Données personnelles
Le produit est conçu par minimisation : ce qui n'est pas nécessaire n'est pas collecté. Ce qui suit décrit ce que le code fait, pas une intention.
Ce qui n'est pas collecté
- Aucune identité n'est demandée pour lire le site : la consultation est anonyme, et un compte contributeur ne laisse que l'identifiant qu'il s'est choisi, le nom qu'il a écrit et, s'il le veut, une adresse électronique.
- Aucune adresse IP n'est stockée. Le compteur de débit des dépôts ne retient qu'une empreinte journalière non réversible, et l'empreinte de la veille ne rapproche pas de celle du jour.
- Aucun traceur publicitaire, aucune analyse d'audience externe, aucune police servie par un tiers. Une seule donnée sort du site vers un tiers : le courriel qui porte un lien de réinitialisation, quand vous l'avez demandé et si votre compte porte une adresse — il part par le relais d'envoi réglé par l'exploitant, jamais par un service d'analyse ou de publicité. Ce relais est un sous-traitant au sens du règlement : son nom, ce qu'il conserve d'une adresse et d'un horodatage, et pour combien de temps, doivent être écrits sur cette page avant qu'un premier message parte. Tant que ce n'est pas fait, la porte est ouverte mais muette, et elle le dit.
- Aucune donnée de contact pour un élu : ni adresse, ni courriel, ni téléphone. Seuls le nom, la fonction et les dates du mandat sont publiés.
- Aucun mot de passe en clair, nulle part : ils sont stockés par bcrypt, et la colonne est hors de portée de toute requête ordinaire — la vérification se fait dans la base, qui ne rend jamais la valeur.
Ce qui est collecté
| Donnée | Pourquoi | Conservation |
|---|---|---|
| Empreinte de dépôt | Limiter le débit des signalements et des droits de réponse, sans identité. | 24 heures (empreinte recalculée chaque jour) |
| Courriel d'un signalement (facultatif) | Donner une suite, uniquement si vous l'avez demandé. | 12 mois après traitement, puis suppression |
| Nom et qualité d'un signataire | Signer un droit de réponse publié. | durée du mandat, puis archive |
| Cookie de session | Conserver une session d'instructeur ou d'administrateur. | 8 heures |
| Adresse électronique d'un compte (facultative) | Une seule finalité : porter un lien quand le mot de passe est perdu. Ni publication, ni champ de connexion, ni lecture par un autre compte. | jusqu’au retrait — par le compte lui-même ou par un administrateur |
| Empreinte d'un lien de réinitialisation | Reconnaître un lien sans le stocker : seule sa trace SHA-256 est écrite, le jeton en clair ne passe jamais en base. | 30 minutes, usage unique ; effacé par la demande suivante |
| Nom, fonction, dates d'un mandataire | Désigner qui est responsable d'un acte publié. | durée du mandat |
| Titulaire d'un poste de travail, ses dates, son nom | Nommer la porte ouverte à un outil qui n'est pas celui du site : qui en répond, depuis quand, jusqu'à quand, la version des instructions qui lui a été remise, et pourquoi elle a été fermée. | Durée du poste, puis l'horodatage de sa fermeture |
| Empreinte d'un jeton de poste | Reconnaître un jeton sans le stocker : seule sa trace SHA-256 est écrite, et elle n'est lisible par aucun rôle — pas même par le titulaire. | Jusqu'à la fermeture du poste ou la remise d'un jeton nouveau |
| Adresse relue et empreinte du document | Dater une relecture : le site garde l'adresse qu'il a relue et l'empreinte des octets qu'il a reçus. Le contenu du document n'est ni stocké ni montré. | Aussi longtemps que la ligne est au dossier |
Vos droits
Accès, rectification, effacement, opposition. Pour un mandataire, la demande porte sur le nom, la fonction et les dates du mandat — données obligatoires d'un mandat électif public, publiées pour désigner l'auteur d'un acte.
Pour l'adresse électronique d'un compte, la voie la plus courte est le compte lui-même : l'espace contributeur la retire, et le retrait est immédiat — écrire rien et valider. Passé là, elle ne sert plus à rien : sans adresse au dossier, aucun lien ne peut partir vers personne.
La voie la plus directe est le signalement, qui ouvre un examen nominatif. Les mentions légales nomment l'exploitant à qui la demande est adressée.
Ce que la base ne laisse pas faire
- Une colonne de coordonnées est refusée à l'écriture sur les tables de personnes : la base rejette une adresse électronique ou un numéro de téléphone détecté dans une note.
- Les tables de dépôt sont purgées périodiquement, et l'empreinte n'est pas une adresse : elle ne peut pas être retournée en adresse.
- Le score d'une extraction automatique n'est jamais exposé au visiteur : il ordonne une file de relecture et ne décrit personne.
- L'adresse électronique d'un compte n'est pas une colonne de la table des comptes : la politique de lecture de cette table ouvre les comptes à toute session posée, et un contributeur y lirait l'adresse d'un autre. Elle est dans une table à part, qui ne rend que la sienne à qui n'est pas administrateur.
- Un lien de réinitialisation ne se relit pas : sa trace est une empreinte SHA-256, à usage unique, morte en trente minutes, et la table qui la porte n'est lisible par aucun rôle applicatif — la fonction qui la consume est la seule à y toucher.
- Le jeton d'un poste de travail n'est lisible par personne : la colonne qui porte son empreinte est hors du droit de lecture de tous les rôles, titulaire compris. Il est montré une fois, à l'ouverture, et nulle part d'autre — ni dans une URL, ni dans un courriel, ni dans un journal. Perdu, il se remplace ; il ne se relit pas.
- Un document relu n'est ni stocké ni montré : la vérification garde une adresse et une empreinte, jamais le corps du document. La demande ne part que sur une action du contributeur, vers le web public en HTTPS seul, et une adresse qui désignerait le réseau interne du serveur est refusée avant la demande, pas après la réponse.
- Un jeton écrit, il ne valide rien. Ni validation, ni envoi, ni fermeture de porte, ni publication : ce que l'outil dépose attend une main nommée, ligne par ligne. La production d'une machine reste signée d'un compte de service, distinct de celui du contributeur — c'est le poste qui dit pour qui elle a travaillé.
Dernière revue : 19 octobre 2026. Aucune finalité secondaire n'est ajoutée sans que cette page soit réécrite.