Politique de confidentialité

Dernière mise à jour : 21 septembre 2026. Cette version couvre le vote par carte nationale d'identité (application 2.0, le passeport n'est plus accepté), les messages envoyés au support, les pétitions, la lettre d'information et les contributions.

Principe fondateur : aucun fichier central reliant identité et vote

Référendum Citoyen est conçu autour d'un principe simple : votre identité n'est jamais reliée à votre vote. La vérification de votre droit de voter (nationalité, majorité, unicité de la pièce d'identité) est effectuée sur votre appareil, via la lecture NFC de la puce de votre carte nationale d'identité, et se traduit par une preuve cryptographique qui ne révèle rien sur vous.

Aucun fichier central reliant identité et vote n'existe. Cette propriété est garantie par construction technique. Le code source de l'application sera publié pour permettre à tout auditeur compétent de le vérifier. Votre identité ne quitte jamais votre téléphone, et n'est jamais reliée à votre vote.

Responsable du traitement

Le responsable du traitement est l'Association Libérez-vous Citoyens !, sise 70 rue La Boétie, 75008 Paris. Contact pour les données personnelles : referendumcitoyen@proton.me, ou par courrier à l'adresse du siège, mention « Données personnelles ».

Une analyse d'impact relative à la protection des données (article 35 du RGPD) a été réalisée pour l'application et est tenue à jour à chaque évolution ; sa synthèse peut être communiquée sur demande.

Données lues sur votre appareil (application)

Lors de la lecture de la puce de votre pièce d'identité, les données suivantes sont lues par votre téléphone, pour le temps de la vérification :

• la bande de lecture optique (groupe de données DG1) : nom, prénoms, date de naissance, sexe, nationalité, numéro et date d'expiration du document ;
• les données complémentaires d'identité (DG11) : nom complet, date et lieu de naissance, adresse ;
• la signature électronique de l'État (SOD), qui prouve que le document est authentique ;
• sur Android uniquement, les groupes DG12 et DG14 (informations techniques sur le document et la puce).

Ces données servent à vérifier sur votre téléphone que vous êtes de nationalité française, majeur, et que ce document n'a pas déjà été enregistré. Elles sont effacées de la mémoire de l'application après la génération de la preuve. Seules subsistent sur votre téléphone :

• une clé de vote générée aléatoirement, qui ne dérive d'aucune donnée de la pièce d'identité ;
• une empreinte technique du document (résultat d'une fonction de hachage), qui ne permet pas d'en retrouver le contenu.

Vous pouvez exporter ces deux éléments depuis le menu « Gestion des clés » pour les sauvegarder ou les transférer sur un autre appareil. Ils ne sont pas transmis à l'association. Leur perte empêche de voter à nouveau avec ce document.

Données transmises au registre public

Les données suivantes sont envoyées au registre public distribué (chaîne publique opérée avec le protocole Rarimo) :

• lors du premier enregistrement, une inscription non nominative du document (empreinte cryptographique) accompagnée de la preuve que le document est authentique ;
• à chaque vote, une preuve cryptographique (Zero-Knowledge Proof) attestant que le votant a le droit de voter, sans révéler qui il est ;
• le choix exprimé (OUI, NON, BLANC ou refus de vote) ;
• un identifiant unique du bulletin permettant la vérification du vote par le votant. Ce numéro est personnel : ne le communiquez à personne, il permettrait de prouver votre vote.

Aucune de ces données ne permet, par construction, de remonter à l'identité du votant.

Une personne, une voix : comment l'unicité est garantie

Chaque carte d'identité ne peut être enregistrée qu'une seule fois. Sur votre téléphone, l'application rattache votre carte à une clé de vote qui lui est propre ; le registre public, lui, refuse d'enregistrer une carte déjà enregistrée. Pour chaque scrutin, un numéro de bulletin unique dérivé de cette clé empêche un second vote. Votre nom, votre date de naissance et votre sexe ne sont transmis à aucun serveur, ni à l'enregistrement, ni au moment du vote.

Le passeport n'est pas accepté dans cette version : il n'existe donc aucun contrôle croisé entre carte et passeport, et aucun serveur de vérification n'est en service. Si l'association acceptait un jour un second document, le dispositif retenu ferait l'objet d'une mise à jour de l'analyse d'impact et serait annoncé sur cette page avant toute activation.

Décision automatisée : le refus d'enregistrer une carte déjà enregistrée, ou d'un second vote avec la même carte, est décidé automatiquement, sans intervention humaine, parce qu'il est nécessaire au principe « une personne, une voix » que vous acceptez (article 22 § 2 a du RGPD). Si vous estimez avoir été refusé à tort, écrivez à referendumcitoyen@proton.me : une personne examinera votre demande, sans jamais avoir accès à votre vote.

Rapports d'erreur (application)

Si vous choisissez d'envoyer un rapport d'erreur depuis l'application, celui-ci contient le journal technique des dernières minutes, le modèle de votre téléphone, la version de l'application et l'adresse e-mail depuis laquelle vous l'envoyez. Il est adressé à l'association, utilisé uniquement pour corriger le problème signalé, et supprimé au plus tard six mois après réception. Il ne contient ni votre vote, ni votre clé de vote.

Vos messages au support

Si vous écrivez à referendumcitoyen@proton.me, nous recevons votre adresse e-mail, votre message et ce que votre logiciel de messagerie y ajoute (objet, date, éventuelle signature). Ces éléments servent uniquement à vous répondre et à corriger les problèmes que vous signalez. Ils ne sont jamais utilisés pour vous inscrire à une liste de diffusion, ne sont ni vendus ni transmis à des tiers à des fins commerciales, et ne sont reliés à aucun vote : nous n'avons aucun moyen technique de faire ce lien.

Qui traite ces messages. La boîte est hébergée par Proton AG (Suisse), dont les serveurs de messagerie sont situés en Suisse et dans l'Union européenne. Nos réponses sont acheminées par Brevo (Sendinblue SAS, société française, hébergement dans l'Union européenne), qui agit comme sous-traitant : il reçoit votre adresse, l'objet et le texte de notre réponse, le temps de l'acheminement et de ses journaux techniques. Votre message d'origine ne lui est pas transmis, et nos réponses sont envoyées en texte simple, sans image ni lien de suivi : aucune mesure d'ouverture ni de clic n'est effectuée.

Combien de temps. Les rapports d'erreur sont supprimés trois mois après réception, dans notre messagerie comme dans nos copies de travail ; cette suppression est automatisée et a lieu chaque semaine. Les autres messages sont conservés le temps nécessaire au suivi de votre demande, et vous pouvez à tout moment nous demander la suppression du vôtre. Les journaux d'acheminement conservés par le sous-traitant suivent sa propre durée, limitée à quelques semaines.

Vos droits s'exercent à la même adresse : vous pouvez demander l'accès à ce que nous détenons sur vous, sa rectification ou son effacement (voir la section « Vos droits » ci-dessous).

Pétitions (site)

Les pages de pétition du site sont en lecture seule : elles publient une question, un exposé et des arguments. Les signatures ouvriront en octobre 2026. Jusqu'à cette ouverture, le site ne collecte aucune adresse e-mail, aucune signature ni aucune autre donnée personnelle liée aux pétitions, et aucune liste de soutiens n'existe. Le dispositif de signature retenu, le responsable du traitement, l'éventuel prestataire, les durées de conservation et les modalités de retrait seront publiés dans cette politique avant l'ouverture. Aucune donnée de l'application de vote ne sera utilisée pour les pétitions.

Lettre d'information (site)

L'inscription à la lettre d'information se fait sur le site avec votre adresse e-mail, après confirmation par un lien reçu à cette adresse, sur le fondement de votre consentement. Elle est réservée aux personnes de 15 ans et plus. Finalité : vous informer des résultats et des prochaines questions. Même prestataire, même hébergement et même lien de désinscription que pour les pétitions. Votre adresse est conservée jusqu'à votre désinscription. Elle n'est reliée à aucun vote.

Contributions (site)

Les contributions se font sur la page « Contribuer » du site, au bénéfice de l'association Les #Gueux, qui finance l'infrastructure de vote. Le paiement par carte a lieu sur la page de paiement de cette association (prestataire Stripe) : seul votre e-mail y est collecté, par Les #Gueux, pour la confirmation de paiement, conformément à sa propre politique de confidentialité. Un virement ne transmet que ce que votre banque transmet. Aucune donnée de don n'est rapprochée d'un vote, et rien ne relie un don à un vote. Un don n'ouvre pas droit à réduction d'impôt : aucun reçu fiscal n'est délivré.

Cookies et traceurs sur le site

Le site web ne dépose aucun cookie de mesure d'audience et aucun cookie publicitaire. Seuls des cookies strictement nécessaires au fonctionnement du site peuvent être utilisés. Aucune bannière de consentement n'est donc nécessaire. La police de caractères du site est chargée depuis le réseau de diffusion jsDelivr, qui reçoit votre adresse IP à cette occasion ; aucun autre service tiers n'est appelé par les pages.

Données techniques (journaux du site web)

L'hébergeur du site, Netlify, Inc. (États-Unis), conserve des journaux techniques (adresse IP, navigateur, pages consultées) pour la sécurité et le bon fonctionnement du site, sur le fondement de l'intérêt légitime de l'association (article 6 § 1 f), pour une durée maximale de douze mois. Ils ne servent à aucun profilage. Ce transfert hors de l'Union européenne est encadré par le cadre de protection des données UE-États-Unis (Data Privacy Framework), auquel Netlify est certifié. Les adresses e-mail saisies dans les formulaires de pétition et de lettre d'information ne sont pas stockées par Netlify : elles sont transmises directement au prestataire d'e-mailing de l'association, hébergé dans l'Union européenne.

Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès aux données vous concernant ;
• Droit de rectification en cas de données inexactes ;
• Droit à l'effacement (« droit à l'oubli ») ;
• Droit à la limitation du traitement ;
• Droit à la portabilité ;
• Droit d'opposition au traitement ;
• Droit de retirer votre consentement à tout moment pour la lettre d'information ;
• Droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

Pour l'application, ces droits ont une portée limitée par construction : nous ne stockons aucune donnée nominative vous concernant. Les données inscrites dans le registre public (preuve, inscription du document, choix exprimé, numéro de bulletin) sont conçues pour ne permettre l'identification de personne, y compris par l'association ; elles ne constituent donc pas des données personnelles au sens du RGPD et ne peuvent pas être effacées, ce qui est la garantie que personne ne peut modifier un vote. L'application vous en informe avant chaque vote. Pour les pétitions et la lettre d'information, vos droits s'exercent par le lien de chaque e-mail ou en nous écrivant.

Sécurité

Les composants techniques du protocole Rarimo (lecture des documents, génération de preuves, contrats du registre) ont fait l'objet d'audits indépendants par le cabinet Halborn en mars 2024. Les rapports sont publics et accessibles depuis la page La technologie. Les composants propres à l'association (l'application) font l'objet de revues internes et seront soumis à un audit indépendant.

Modifications de la politique

Toute modification de la présente politique est publiée sur cette page avec sa date de mise à jour en tête. Les modifications qui concernent l'application sont signalées dans l'application lors de sa mise à jour. Nous vous invitons à consulter cette page à chaque nouvelle version.

Contact

Pour toute question relative à vos données personnelles : referendumcitoyen@proton.me