Vie privée

Politique de confidentialité

Cette page décrit les données que traite MonVoteCitoyen, pourquoi, combien de temps, qui y a accès et comment exercer vos droits. Elle décrit le fonctionnement réel du site, avec ses limites et les points qui restent à confirmer.

Mise à jour : 12 octobre 2026.

L'essentiel

Votre choix (Pour, Contre ou Abstention) est chiffré dans votre navigateur avant d'être envoyé : ni le serveur, ni la base de données, ni les journaux ne le voient en clair. Il n'est jamais enregistré avec votre identité.
Aucun vote n'est possible tant que la clé de vote de l'association n'est pas en service.
Le site ne conserve ni votre nom, ni votre date de naissance, ni votre région, et ne publie aucun résultat par âge ou par région.
Aucun cookie, aucun outil publicitaire ni de mesure d'audience.
Aucune donnée n'est vendue, louée ni exploitée commercialement (statuts, art. 18-3).
Cette protection a des limites, expliquées plus bas : quand très peu de personnes votent, et pour qui détiendrait à la fois la clé privée de l'association et une copie de la base faite pendant le vote.

Le détail de ces limites figure dans la section « Votes : séparation et limites ».

Qui traite vos données ?

Responsable du traitement : l'association MONVOTECITOYEN (nom d'usage MonVoteCitoyen), association loi 1901 dont le siège est à Aix-en-Provence, qui édite le site.

Contact : contact@monvotecitoyen.fr, ou le formulaire de contact avec l'objet « Exercice de mes droits (données personnelles) ».

L'association n'a pas désigné de délégué à la protection des données. Les demandes sont traitées par les membres de son bureau.

Quelles données ?

Votre compte

Demandés à l'inscription, tous obligatoires : e-mail, téléphone, date de naissance, mot de passe, et l'acceptation des conditions d'utilisation. Sans eux, le compte ne peut pas être créé.
Conservés : e-mail ; téléphone ; mot de passe, uniquement sous forme hachée (transformé de façon irréversible), jamais en clair ; état et date de vérification de l'e-mail et du téléphone ; date d'inscription ; date d'acceptation des conditions d'utilisation ; date de votre consentement au vote et, le cas échéant, de son retrait ; date de dernière connexion ; codes de vérification en cours, sous forme hachée seulement ; sessions de connexion.
La date de naissance sert seulement à vérifier que vous déclarez avoir au moins 18 ans : elle n'est jamais enregistrée. L'âge n'est pas contrôlé autrement que par cette déclaration.

Votre participation au vote

Pour voter, il faut un e-mail et un téléphone vérifiés et le consentement au vote. Sans eux, le compte existe mais le vote est désactivé.
La liste des textes sur lesquels votre compte a voté, sans date ni choix.
Deux empreintes de participation : un code calculé à partir de votre e-mail, un autre à partir de votre téléphone, chacun avec une clé secrète. Elles ne contiennent ni l'un ni l'autre en clair, ni votre choix, ni de date.
Votre choix lui-même est chiffré dans votre navigateur ; le serveur garde ce vote chiffré, sans date ni identifiant de compte (voir « Votes : séparation et limites »).

Newsletter (facultatif)

Avec un compte : le canal choisi (e-mail, téléphone ou les deux), relié à votre compte. Sans compte : l'e-mail ou le téléphone saisis, et le canal. Dans les deux cas, la date d'inscription.

Formulaire de contact

Obligatoires : nom, prénom, e-mail, objet et message. Facultatifs : civilité, téléphone, pays ou région, langue.
Ces informations ne sont pas enregistrées dans la base du site : elles sont transmises par e-mail à l'association, et un accusé de réception à texte fixe, qui ne reprend pas votre message, est envoyé à l'adresse indiquée.

Suppression de compte

Le motif, si vous en indiquez un (facultatif), est enregistré sans aucun identifiant ni lien avec votre compte. N'y écrivez rien qui permettrait de vous reconnaître.

Données techniques

Comme pour tout site, les serveurs reçoivent votre adresse IP, l'heure, l'adresse demandée et des informations sur votre navigateur. Le serveur du site s'en sert, en mémoire seulement, pour limiter les abus : tentatives de connexion, demandes de code, créations de compte, envois de messages. Les hébergeurs les inscrivent dans leurs journaux techniques.
Tant qu'aucun service d'envoi n'est branché, aucun code de vérification n'est envoyé ni enregistré : la vérification, et donc le vote, sont impossibles. Un code n'est jamais écrit dans les journaux du serveur ; la base n'en garde qu'une empreinte, quinze minutes au plus.

Pourquoi, et sur quelle base ?

Chaque traitement repose sur une base légale du règlement général sur la protection des données (RGPD) (s'ouvre dans un nouvel onglet). Le consentement ne vaut que pour le vote et la newsletter : il se retire à tout moment.

Finalités des traitements, données concernées et bases légales
Finalité	Données	Base légale
Créer et gérer votre compte, vérifier votre e-mail et votre téléphone, vérifier l'âge déclaré, vous connecter	Données : Données du compte	Base légale : Exécution du contrat conclu en acceptant les conditions d'utilisation (RGPD, art. 6-1-b)
Compter votre vote et publier les totauxUn vote sur un texte de loi peut révéler une opinion politique, catégorie de données que l'article 9 du RGPD protège particulièrement.	Données : Votre choix, chiffré dans votre navigateur ; les totaux, après le dépouillement	Base légale : Votre consentement explicite, distinct des conditions d'utilisation (art. 6-1-a et 9-2-a)
Empêcher qu'une même personne vote deux fois sur un texteRetirer ce consentement bloque vos votes suivants. Il n'efface ni les votes déjà comptés, ni la liste des participants et les empreintes des textes déjà votés : elles restent jusqu'à leur effacement automatique, pour empêcher un second vote.	Données : Liste des participants, empreintes de participation	Base légale : Votre consentement au vote (même base)
Envoyer la newsletterAucun outil d'envoi n'est encore relié au site.	Données : E-mail ou téléphone, canal choisi	Base légale : Votre consentement (art. 6-1-a)
Répondre à vos messages	Données : Informations du formulaire de contact	Base légale : Intérêt légitime de l'association à vous répondre (art. 6-1-f)
Protéger le site contre les abus et assurer sa sécurité	Données : Adresse IP, journaux techniques	Base légale : Intérêt légitime (art. 6-1-f)

Votes : séparation et limites

C'est le point le plus sensible : un vote sur un texte de loi peut révéler une opinion politique. Voici ce que fait le site, puis ce que cette organisation ne garantit pas.

Ce qui se passe quand vous votez

Votre navigateur chiffre votre choix avec la clé publique de l'association (RSA-OAEP, 3 072 bits). Le message chiffré a toujours la même taille, quel que soit le choix.
Il envoie au serveur, avec votre session, ce seul message chiffré : le serveur ne reçoit jamais votre choix en clair et ne peut pas le lire.
Le serveur vérifie votre e-mail et votre téléphone, votre consentement, l'ouverture du vote et l'absence de vote précédent. Puis, dans une seule opération, il enregistre le vote chiffré, note que votre compte a participé et enregistre les empreintes de participation, sans date ni choix.
Pendant le vote, aucun total n'existe, pas même pour l'association. Après la clôture, le serveur mélange les votes chiffrés dans un ordre aléatoire et les transmet, toujours chiffrés, à l'association. Elle les déchiffre sur son propre ordinateur, avec la clé privée, qui ne passe jamais par un serveur, et ne renvoie au serveur que les totaux. Une deuxième personne du bureau refait ce dépouillement de son côté et doit obtenir les mêmes totaux avant leur publication.
Le site ne garde pas votre choix dans votre navigateur : il ne peut pas vous le rappeler.

Les bons mots

Données agrégées: Les totaux de chaque option : des nombres, sans information sur une personne.
Données personnelles: Votre compte et la liste des textes sur lesquels il a voté : ils vous désignent directement.
Données chiffrées: Les votes, pendant le vote : illisibles sans la clé privée de l'association, qui n'est sur aucun serveur.
Données pseudonymisées: Les empreintes de participation. Elles ne contiennent ni votre e-mail ni votre téléphone, mais qui détient la clé secrète et connaît vos coordonnées peut les recalculer : elles restent des données personnelles.
Anonymisation: Au sens du RGPD, elle suppose que plus personne ne puisse, par des moyens raisonnables, relier une donnée à une personne. Les totaux d'un texte ne peuvent être considérés comme anonymes qu'une fois effacés sa liste des participants, ses empreintes et ses votes chiffrés, 7 jours après la publication des résultats, et sous réserve des copies techniques décrites ci-dessous.

Ce que cette séparation ne garantit pas

Les petits nombres et l'unanimité

Quand très peu de personnes votent sur un texte, ou quand toutes font le même choix, les totaux peuvent révéler le choix de celles dont on sait qu'elles ont voté. Pour cette raison, seul le nombre de participants est publié, jamais la répartition entre Pour, Contre et Abstention, dans deux cas : en dessous de 10 participants, et quand tous les votes valides portent sur la même option. Il reste deux limites : quand la répartition d'un texte de 10 participants ou plus n'est pas publiée, on peut en déduire que tous ont voté pareil, sans savoir quoi ; et un résultat presque unanime (par exemple 49 Pour et 1 Contre) rend le choix de chacun très probable, sans le rendre certain.

La clé privée et une copie de la base

Pendant le vote, chaque vote chiffré est écrit dans la même opération que la participation de son auteur : la base garde ce lien technique jusqu'au mélange du dépouillement, et le journal d'écriture de la base, une sauvegarde ou toute copie faite pendant le vote peuvent le conserver plus longtemps. Sans la clé privée, ce lien ne révèle aucun choix. Une personne qui détiendrait à la fois la clé et une telle copie pourrait en revanche relier des votes à des comptes. La clé est gardée hors ligne par l'association ; confier la clé et l'administration de la base à des personnes différentes reste à organiser. Les statuts interdisent à l'association toute opération visant à attribuer un avis à une personne déterminée (art. 18-2).

Le code servi par le site

Le chiffrement a lieu dans votre navigateur, avec le code que lui envoie le site et la clé publique que lui transmet le serveur de l'association. Si ce code ou cette clé étaient remplacés, votre choix pourrait être lu : rien ne permet aujourd'hui à un participant de le vérifier par lui-même.

Les journaux de l'hébergeur

Railway, qui héberge le serveur, inscrit chaque requête dans ses journaux : adresse IP, heure, adresse appelée, navigateur et taille de la requête. La requête de vote y figure chiffrée et de taille constante : elle ne révèle pas le choix. L'adresse IP et l'heure montrent en revanche qu'une connexion a voté à ce moment-là.

Pas de vérification de bout en bout

Le dépouillement est fait par l'association : un participant ne peut pas vérifier lui-même que son vote a été compté, ni que le décompte publié est exact. Des systèmes de vote vérifiables existent ; ils ne sont pas en place sur ce site.

Un dispositif récent, non audité

Le chiffrement repose sur des outils standard (Web Crypto, RSA-OAEP), mais leur assemblage sur ce site n'a pas encore été examiné par un spécialiste indépendant.

Le site n'a aucun moyen prévu pour retrouver un vote et le retirer des totaux. Un vote déjà compté y reste donc, même si vous retirez votre consentement ou supprimez votre compte. C'est aussi pourquoi un vote ne peut pas être modifié après son envoi.

Combien de temps ?

La dernière colonne dit qui garantit chaque durée : le code du site lui-même, une règle que l'association applique à la main, ou un prestataire dont l'engagement reste à confirmer.

Durées de conservation des données et ce qui les garantit
Donnée	Durée	Comment c'est appliqué
Compte	Durée : Jusqu'à sa suppression ; automatiquement après 3 ans sans connexion	Appliqué par le siteEffacement automatique : le serveur recherche les comptes concernés toutes les heures.
Date de naissance	Durée : Jamais enregistrée	Appliqué par le siteUtilisée au moment de l'inscription, puis oubliée.
Session de connexion	Durée : 30 jours au plus ; effacée à la déconnexion	Appliqué par le siteLes sessions expirées sont effacées toutes les heures.
Code de vérification	Durée : Valable 15 minutes	Appliqué par le siteSeule une empreinte du code est gardée. Un code expiré est refusé, puis effacé lors du passage horaire de nettoyage ; il l'est aussi dès sa validation ou après trois erreurs.
Liste des textes sur lesquels vous avez voté	Durée : 7 jours après la publication des résultats du texte ; 1 an après la date du vote si les résultats ne sont jamais publiés ; ou avec votre compte, s'il est supprimé avant	Appliqué par le siteEffacement automatique, toutes les heures. Un retard est signalé par l'outil de contrôle du site.
Empreintes de participation	Durée : En même temps que la liste des participants du texte. Elles ne sont pas effacées avec le compte.	Appliqué par le siteMême effacement automatique. Elles survivent à la suppression du compte pour empêcher de revoter en recréant un compte.
Votes chiffrés	Durée : En même temps que la liste des participants du texte	Appliqué par le siteMême effacement automatique. Ils sont mélangés et réécrits au dépouillement, avant d'être déchiffrés.
Totaux de chaque option	Durée : Sans limite	Appliqué par le siteDes nombres par option, sans information sur une personne.
Newsletter	Durée : Jusqu'à votre désinscription ; supprimée avec votre compte si elle y est reliée	Appliqué par le siteDésinscription sur demande. Aucune suppression automatique pour une inscription sans compte.
Motif de suppression de compte	Durée : Sans limite	Appliqué par le siteEnregistré sans aucun identifiant.
Limites anti-abus (adresse IP, e-mail ou identifiant de compte)	Durée : De quelques minutes à 24 heures environ	Appliqué par le siteEn mémoire seulement, jamais dans la base ; effacées aussi à chaque redémarrage du serveur.
Messages de contact	Durée : Jusqu'à un an après le dernier échange, dans la messagerie de l'association ; 30 jours chez Resend	Règle de l'associationSuppression faite à la main par l'association, sans mécanisme automatique. La durée chez Resend est celle qu'il indique sur sa page de tarifs.
Journaux techniques du serveur (Railway)	Durée : Consultables 7 jours ; conservés 90 jours selon Railway	À confirmerDurée fixée par Railway. Les 90 jours viennent d'une réponse de son équipe, pas de sa documentation officielle.
Journaux techniques des pages (Vercel)	Durée : Selon les règles de Vercel	À confirmerDurée fixée par Vercel, selon l'offre souscrite.
Copies de sauvegarde	Durée : Non précisée par Railway	À confirmerRailway indique sauvegarder chaque jour les données de ses clients. La sauvegarde propre de l'association (6 jours au plus) n'est pas encore en service. Une donnée effacée peut subsister quelque temps dans ces copies.

Qui peut y accéder ?

L'association réserve l'accès à la base de données et aux outils d'administration aux membres de son bureau. C'est une règle interne : le code du site ne peut pas, à lui seul, la garantir.
Pendant le vote, aucun total n'existe, même pour l'association : les votes sont chiffrés. L'outil d'administration ne donne alors que le nombre de votes enregistrés. À la clôture, les votes sont mélangés, puis déchiffrés sur un ordinateur de l'association avec sa clé privée, jamais sur le serveur ; une deuxième personne du bureau refait le dépouillement de son côté avant la publication.
Les prestataires techniques ci-dessous, chacun pour son rôle.
Aucune cession, location ni exploitation commerciale des données (statuts, art. 18-3).

Prestataires, hébergement et transferts

Vercel, Railway et Resend sont des sociétés américaines : des données peuvent être traitées aux États-Unis. Ces transferts peuvent reposer sur la décision d'adéquation de la Commission européenne du 10 juillet 2023 (Data Privacy Framework), pour les sociétés certifiées, ou sur des clauses contractuelles types adoptées par la Commission. Les garanties citées ici sont celles que publient les prestataires : leur vérification et la réunion des contrats correspondants restent à faire par l'association.

Vercel Inc. · États-Unis

Héberge et diffuse les pages du site.

Données reçues: Adresse IP, pages consultées, informations du navigateur. Pas vos données de compte, vos votes ni vos messages : votre navigateur les envoie directement au serveur hébergé par Railway.
Lieu de traitement: Pages fixes servies depuis le point le plus proche du visiteur (Paris, pour une visite depuis la France) ; pages calculées à la demande exécutées aux États-Unis, région de Washington. Constaté le 11 octobre 2026 dans les réponses du site.
Garanties annoncées: Vercel annonce être certifié au titre du Data Privacy Framework et recourir aux clauses contractuelles types de la Commission européenne.
À confirmer: L'accord de traitement des données applicable au compte de l'association.

Railway Corporation · États-Unis

Héberge le serveur et la base de données.

Données reçues: Toutes les données de compte, de participation et de newsletter, les totaux, les messages de contact pendant leur envoi, et les journaux techniques du serveur.
Lieu de traitement: Son accord de traitement indique que ses opérations principales ont lieu aux États-Unis. Son équipe indique stocker les journaux aux États-Unis.
Garanties annoncées: Son accord de traitement prévoit le Data Privacy Framework ou les clauses contractuelles types, et un chiffrement des bases de données.
À confirmer: La région où tournent le serveur et la base ; la signature de son accord de traitement, qui se conclut chez Railway en remplissant et en signant un formulaire.

Resend, Inc. · États-Unis

Envoie à l'association les messages du formulaire de contact, et l'accusé de réception à leur auteur.

Données reçues: Les informations saisies dans le formulaire et votre message.
Lieu de traitement: Son accord de traitement indique que ses opérations principales ont lieu aux États-Unis.
Garanties annoncées: Son accord de traitement s'applique dès l'utilisation du service et prévoit les clauses contractuelles types ; Resend annonce respecter le Data Privacy Framework.
À confirmer: La certification de Resend sur la liste officielle.

Gandi SAS · France

Gère la messagerie de l'adresse de l'association, d'après la configuration publique de son nom de domaine.

Données reçues: Les messages adressés à l'association, dont ceux du formulaire de contact.
Lieu de traitement: Non vérifié.
Garanties annoncées: Non vérifiées.
À confirmer: Le lieu d'hébergement, le contrat, et un éventuel transfert des messages vers une autre messagerie.

Vos droits

Accès: Votre profil affiche votre e-mail, votre téléphone, l'état de leur vérification, votre consentement au vote et les textes sur lesquels vous avez voté. Pour une copie de toutes les données de votre compte, écrivez à l'association.
Rectification: L'e-mail et le téléphone ne se modifient pas depuis le profil : écrivez à l'association.
Effacement: Depuis votre profil, avec un code envoyé à votre e-mail, et à votre téléphone s'il est vérifié. Tant que l'envoi des codes n'est pas en service, la suppression se fait sur demande à l'association. Restent ensuite les votes déjà comptés, et les empreintes de participation jusqu'à leur effacement automatique.
Retrait du consentement: Le consentement au vote se retire, et se redonne, à tout moment depuis votre profil. Pour quitter la newsletter, écrivez à l'association.
Limitation, opposition, portabilité: Sur demande. L'opposition vise les traitements fondés sur l'intérêt légitime (réponse aux messages, sécurité du site) ; la portabilité, les données que vous avez fournies, comme votre e-mail et votre téléphone.
Après votre décès: Vous pouvez donner des directives sur le sort de vos données après votre décès (loi Informatique et Libertés, art. 85).

L'association répond dans un délai d'un mois, prolongeable de deux mois pour une demande complexe (RGPD, art. 12). Elle peut vous demander de prouver que vous contrôlez l'e-mail ou le téléphone du compte concerné.

Un vote déjà compté ne peut être ni retrouvé ni retiré : voir la section « Votes : séparation et limites ». Vous pouvez également saisir la CNIL (s'ouvre dans un nouvel onglet), autorité chargée de la protection des données personnelles.

Cookies et navigateur

Le site ne dépose aucun cookie.
Quand vous êtes connecté, le jeton de votre session est gardé dans le stockage local de votre navigateur. Indispensable à la connexion, il n'est envoyé qu'au serveur du site et il est effacé à la déconnexion.
Aucun outil de mesure d'audience ni publicitaire. La politique de sécurité du site interdit au navigateur de charger un script, une image ou une police venant d'un autre site.
Les boutons de partage et les liens vers les réseaux sociaux sont de simples liens : rien n'est transmis à ces services tant que vous ne cliquez pas. Le texte de partage proposé ne contient pas votre choix.

Le détail figure sur la page Cookies.

Contact

Une question sur vos données ?

Écrivez à l'association, en choisissant l'objet « Exercice de mes droits (données personnelles) » dans le formulaire de contact.

Nous contacter