Politique de confidentialité
Dernière mise à jour : 18 septembre 2026
Cette politique explique quelles données Vox Populi collecte, pourquoi, combien de temps, et comment exercer vos droits — conformément au Règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée.
1. Responsable du traitement
Le responsable du traitement est l'association Vox Populi, dont le siège social est situé au 88, rue Lucien Andrieux, 38100 Grenoble — c'est l'adresse à utiliser pour nous contacter par courrier. Le directeur de la publication, au sens de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique, est Pascal Santoni.
2. Délégué à la protection des données (DPO)
Pascal Santoni exerce la fonction de délégué à la protection des données de l'association. Il peut être contacté pour toute question relative au traitement de vos données personnelles par courrier à l'adresse indiquée à l'article 1.
3. Données collectées, finalités et bases légales
Le tableau ci-dessous couvre les données à caractère personnel effectivement collectées par la plateforme.
| Donnée | Finalité | Base légale |
|---|---|---|
| Adresse email | Création et authentification du compte (connexion par lien à usage unique envoyé par email, sans mot de passe) | Exécution des CGU (art. 6.1.b) |
| Pseudonyme public | Identité pseudonymisée affichée aux autres visiteurs — jamais l'identité réelle | Exécution des CGU |
| Preuve de consentement (CGU, article 9, newsletter) | Traçabilité du consentement donné ou retiré, par version de politique | Obligation légale / consentement |
| Vote quotidien de confiance (baromètre) | Alimenter l'indice de confiance public par candidat | Consentement explicite (article 9 — opinion politique) |
| Messages de débat, mentions, position Pour/Contre | Participation aux espaces de débat par thème | Consentement explicite (article 9) et intérêt légitime d'animation |
| Réactions (« j'aime ») sur un message | Mesurer l'adhésion à un argument, en agrégé uniquement | Consentement explicite (article 9) |
| Signalements de contenu | Modération et respect du régime LCEN de retrait des contenus manifestement illicites | Intérêt légitime / obligation légale |
| Code d'invitation utilisé (bêta fermée) | Gérer l'accès restreint aux débats pendant la phase de test | Intérêt légitime |
| Répartition budgétaire simulée | Statistiques agrégées anonymes affichées publiquement | Anonyme dès la collecte |
4. Séparation technique identité / opinion
La mesure de protection centrale de l'architecture de Vox Populi consiste à ne jamais pouvoir relier techniquement une identité réelle à une opinion politique exprimée :
- les informations d'identité (vérifications, consentements) sont strictement séparées du profil public (pseudonyme) ; les premières ne sont accessibles par aucune voie publique, uniquement par les traitements serveur habilités ;
- pour le baromètre quotidien, « qui a voté » et « quelle valeur a été déposée » sont deux ensembles de données distincts, sans lien permettant de les relier après écriture ; seul le total agrégé par candidat et par jour est rendu public ;
- les réactions à un message de débat ne sont jamais lisibles individuellement, y compris en interne : seul un compteur agrégé est exposé ;
- toute donnée de cette nature n'est écrite qu'après recueil du consentement explicite et distinct prévu à l'inscription, séparé de l'acceptation des CGU.
5. Hébergement et sous-traitants
| Prestataire | Rôle | Localisation des données |
|---|---|---|
| Supabase | Base de données et authentification | Région Frankfurt, Allemagne (UE) — société éditrice basée aux États-Unis |
| Vercel | Hébergement de l'application web | Société basée aux États-Unis |
| Resend | Envoi des emails transactionnels (connexion, notifications) | À préciser avec le prestataire |
6. Transferts hors Union européenne
Les données sont hébergées physiquement dans l'Union européenne (Francfort). Supabase et Vercel étant des sociétés de droit américain, un accès théorique aux données depuis les États-Unis ne peut être totalement exclu sans les garanties contractuelles appropriées (clauses contractuelles types le cas échéant), en cours de vérification.
7. Cookies et traceurs
Vox Populi ne dépose aucun cookie publicitaire ni traceur de mesure d'audience tiers. Seuls des cookies de session strictement nécessaires au fonctionnement du service (maintien de la connexion) sont déposés. Conformément aux recommandations de la CNIL, ces cookies strictement nécessaires ne requièrent pas de recueil de consentement préalable via un bandeau.
8. Sécurité des données
- chiffrement du trafic en transit (HTTPS) sur l'ensemble des services ;
- sécurité au niveau ligne (row level security) activée sur l'ensemble des données exposées, empêchant par construction l'accès au-delà de ce que chaque règle autorise explicitement ;
- séparation technique par niveau de sensibilité (identité, profil public, modération, contenu éditorial, vote), avec des droits d'accès dédiés à chacun ;
- aucune donnée de carte bancaire n'est manipulée ni stockée par Vox Populi.
9. Durées de conservation
| Donnée | Durée |
|---|---|
| Compte (email, pseudonyme) | Durée de vie du compte + 3 ans après la dernière connexion, ou suppression immédiate sur demande |
| Preuves de consentement | 5 ans après retrait ou clôture du compte |
| Votes quotidiens (agrégés) | Durée du cycle électoral concerné, puis archivage strictement agrégé |
| Messages de débat | Durée de vie du compte de l'auteur, sauf retrait pour modération |
| Signalements traités | 1 an après résolution |
10. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- droit d'accès et de rectification ;
- droit à l'effacement (« droit à l'oubli ») ;
- droit à la limitation du traitement ;
- droit d'opposition ;
- droit à la portabilité des données ;
- droit de retirer à tout moment votre consentement, notamment celui donné au titre de l'article 9 (opinions politiques) — sans effet rétroactif sur les votes déjà agrégés aux totaux publics, qui ne peuvent techniquement plus être isolés ni retirés individuellement.
Ces droits s'exercent par courrier à l'adresse indiquée à l'article 1. En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) — www.cnil.fr.
11. Mineurs
L'inscription à Vox Populi n'est pas ouverte aux personnes de moins de 15 ans, âge du consentement numérique autonome fixé par le droit français.
12. Silence électoral
Indépendamment du RGPD, le baromètre quotidien est soumis à la loi du 19 juillet 1977 sur les sondages : sa publication est automatiquement suspendue pendant les périodes de silence électoral définies par l'association.
13. Points en cours de finalisation
Par souci de transparence, les chantiers suivants sont en cours :
- Analyse d'impact relative à la protection des données (AIPD), au regard de l'article 35 du RGPD.
- Avis juridique sur les garanties de transfert hors UE liées à l'hébergement (Supabase, Vercel).
- Accords de sous-traitance (article 28 du RGPD) avec l'ensemble des prestataires — en particulier Vercel, dont l'addendum de traitement des données ne s'applique qu'aux offres payantes (Pro/Enterprise), non à l'offre gratuite actuellement utilisée.
14. Contact
Pour toute question relative à cette politique, par courrier à l'adresse indiquée à l'article 1.