Vox Populi · Sécurité et données
Vos données, votre vote. Ce que nous faisons, et nos limites.
Pour les membres, les structures qui ouvrent un espace et tout visiteur : où sont les données, comment le vote reste secret, qui voit quoi. Mise à jour le 22 octobre 2026.
Hébergement
Où sont les données
La base de données, les comptes et les fichiers sont à Francfort ; les traitements du site s'y exécutent aussi, au plus près de la base. Les autres prestataires n'interviennent que pour une tâche précise.
| Prestataire | Rôle | Lieu des données |
|---|---|---|
| Supabase | Base de données, comptes, fichiers (logos, photos de signalements) | Francfort, Allemagne (UE) |
| Vercel | Hébergement du site et traitements serveur | Francfort, Allemagne (UE) pour les traitements ; pages statiques servies au plus près du visiteur |
| Resend | Envoi des e-mails (connexion, invitations, notifications) | États-Unis |
| Cloudflare (Turnstile) | Contrôle anti-robot du formulaire de connexion | États-Unis |
| Anthropic | Synthèses sur demande (textes publiés, sans pseudonyme ni identifiant) ; tri indicatif de la modération du site national | États-Unis |
| IGN (Géoplateforme) | Fond de carte et recherche d'adresse des cartes des communautés | France |
| Microsoft, Google | Connexion avec un compte Microsoft ou Google, si vous la choisissez | Selon le fournisseur |
Communautés
Comment le vote reste secret
- Deux enregistrements séparés. L'un dit qu'un membre a voté, pour empêcher le double vote ; l'autre contient le bulletin, sans nom, sans heure, sans lien vers le membre.
- Des bulletins hors d'atteinte. Ils sont rangés à part dans la base, où aucun compte n'a de droit de lecture, pas même la clé d'administration technique : seules les fonctions de calcul y accèdent, et elles ne rendent que des totaux.
- Un brassage à chaque vote. Dès qu'un membre vote, tous les bulletins du scrutin sont réécrits dans un ordre aléatoire, avec de nouveaux identifiants : rien ne permet de retrouver lequel vient d'arriver.
- Des résultats prudents. Quand ils sont visibles pendant le vote, les résultats ne sont recalculés qu'une fois par heure, pour qu'on ne puisse pas déduire un vote en comparant deux totaux ; ils restent masqués tant que le nombre de votants est sous le seuil de l'espace (5 par défaut).
- Le papier aussi. Pour un budget participatif avec bulletins papier, la liste d'émargement indique qui a déjà voté en ligne, jamais pour quoi.
Le même mécanisme sert aux consultations, aux élections, aux résolutions d'assemblée, aux questionnaires anonymes et au budget participatif.
Accès
Qui voit quoi
Les membres d'un espace
Ils participent sous un pseudonyme propre à chaque communauté. Les autres membres ne voient ni leur nom ni leur adresse e-mail. Chacun peut télécharger ses données et quitter l'espace à tout moment.
Les administrateurs d'un espace
Ils voient les pseudonymes et les rôles, jamais les bulletins. Ils ne voient une adresse e-mail que s'ils l'ont eux-mêmes saisie pour une invitation, effacée dès l'invitation acceptée, annulée ou expirée. Chaque action d'administration est inscrite dans l'historique de l'espace.
L'équipe Vox Populi
Elle ne lit pas le contenu des espaces. En cas de problème technique ou de signalement grave, un accès exceptionnel est possible : il exige un motif écrit et apparaît dans l'historique visible des administrateurs de l'espace.
Le public
Rien d'un espace n'est public, sauf ce que ses administrateurs choisissent d'afficher dans leur encart : nom, logo, chiffres-clés et engagements ouverts à tous, jamais un pseudonyme.
Mesures techniques
Comment c'est protégé
- Chiffrement de toutes les connexions (HTTPS imposé).
- Règles d'accès écrites dans la base elle-même, table par table : une page mal écrite ne peut pas montrer ce que la règle interdit.
- Séparation des données par sensibilité : identité, profil public, modération, contenus, votes.
- Connexion sans mot de passe à retenir (lien ou code par e-mail, ou compte Microsoft ou Google), protégée par un contrôle anti-robot et une limite de tentatives.
- Accès d'un espace réservable aux adresses e-mail d'un domaine, vérifiées par un code.
- Tests automatiques du vote secret et des règles d'accès sur une base neuve, avant chaque mise en production.
- Pages protégées contre l'affichage dans le cadre d'un autre site (sauf l'encart, conçu pour cela).
Engagements
Ce que nous ne faisons jamais
- Aucune publicité, aucune revente ni location de données.
- Aucun cookie publicitaire ni traceur de mesure d'audience tiers : seuls les cookies de session nécessaires à la connexion.
- Les données d'une communauté ne servent qu'à elle : jamais sur le site national, jamais d'une communauté à l'autre.
- Dans les communautés, l'intelligence artificielle ne décide de rien et ne modère aucun message ; ses synthèses sont des brouillons relus par un humain.
- Aucune donnée de carte bancaire n'est saisie ni conservée par Vox Populi.
Transparence
Les limites que nous connaissons
Des prestataires de droit américain
Supabase et Vercel stockent et traitent les données à Francfort, mais ce sont des sociétés américaines : un accès depuis les États-Unis ne peut pas être exclu. Les transferts sont encadrés par leurs accords de traitement des données et les clauses contractuelles types de la Commission européenne.
Un risque résiduel sur le secret du vote
Le brassage efface le lien dans la base elle-même, mais pas dans les sauvegardes ni dans le journal interne de la base, qui ne sont accessibles qu'à l'hébergeur. Ni les administrateurs d'un espace ni l'équipe Vox Populi n'y ont accès ; ce risque est documenté et accepté.
Pas pour les élections professionnelles
Le vote protège le secret et l'unicité du bulletin, mais n'offre pas de vérification cryptographique par l'électeur. Il convient aux scrutins internes (bureau, délégués, consultations) ; nos conditions excluent les élections du CSE et les scrutins pour lesquels la loi impose un système expertisé.
Pas encore d'audit externe
Le mécanisme du vote et les règles d'accès sont testés automatiquement à chaque modification, mais n'ont pas encore été audités par un tiers. Un audit est prévu ; nous publierons ses conclusions.
Un code qui n'est pas public
Le code de Vox Populi n'est pas publié sous licence libre à ce jour. Les structures qui le souhaitent peuvent nous interroger sur tout point technique.
Une question, une faille ?
Le détail juridique (bases légales, durées de conservation, droits) est dans la politique de confidentialité. Pour signaler une faille de sécurité ou poser une question technique, écrivez à contact@voxpopuli-asso.fr : nous répondons sous 72 heures et ne poursuivons pas les signalements faits de bonne foi.