Politique de confidentialité

Dernière mise à jour : 21 octobre 2026

1. Qui nous sommes

La République mondiale (« République mondiale », « nous », « notre » ou « nos ») exploite l’application et le site web de la République mondiale à l’adresse https://www.worldrepublic.org (le « Service »). La même application est également proposée sous un second nom, Raised by Humanity, à l’adresse https://www.raisedbyhumanity.org. Ce site fonctionne avec le même logiciel, utilise les mêmes comptes et la même base de données, et nous en assurons l’exploitation. Dans la présente politique, « le Service » désigne les deux sites, et la présente politique s’applique sur l’un comme sur l’autre. La République mondiale est une association suisse (Verein) au sens des art. 60 et suivants du Code civil suisse, dont le siège est à Zoug, en Suisse. Elle a la personnalité juridique en vertu de l’art. 60, al. 1, du Code civil et n’est pas inscrite au registre du commerce. Le Service est administré depuis la Hongrie par notre comité : au regard du Règlement général sur la protection des données de l’Union européenne (RGPD), la République mondiale est donc établie dans l’Union européenne, et notre autorité de contrôle chef de file y est l’Autorité nationale hongroise pour la protection des données et la liberté d’information (NAIH).

Pour la plupart des traitements décrits ci-dessous, nous sommes le responsable du traitement. Pour la vérification d’identité, nous sommes le responsable du traitement et Amazon Web Services agit en qualité de sous-traitant / prestataire de services. Un second prestataire, Didit, est mentionné ci-dessous au titre d’un recours qui n’est pas proposé actuellement — voir la section 4.2.

• Contact pour la confidentialité : privacy@worldrepublic.org
• Contact dans l’Union européenne : Balázs Kónya, membre du comité, 3626 Hangony, Dózsa György út 5., Hongrie (privacy@worldrepublic.org)

2. Champ d’application

La présente politique s’applique à toute personne qui utilise le Service, partout dans le monde. Lorsque le droit local vous confère des droits supplémentaires — notamment le RGPD de l’Union européenne et celui du Royaume-Uni, la loi fédérale suisse révisée sur la protection des données (nLPD), le California Consumer Privacy Act tel que modifié par le CPRA, et les lois biométriques d’États des États-Unis (BIPA de l’Illinois, CUBI du Texas, État de Washington) —, ces droits sont décrits à la section 10.

La République mondiale organise actuellement des élections tests non contraignantes. Nous n’admettons pas encore de membres ; la participation est expérimentale.

3. Les informations que nous collectons

3.1 Les informations que vous fournissez

• Informations de compte : si vous vous connectez avec Google, nous recevons un jeton d’authentification et l’identifiant de votre compte Google. Nous conservons l’identifiant, qui est ce qui relie votre compte à votre connexion Google. Nous ne stockons pas votre nom Google, votre adresse e-mail ni votre photo, et nous ne conservons pas le jeton, qui les contient.
• Données de clé d’accès : si vous utilisez une clé d’accès (WebAuthn), nous stockons le justificatif d’identité à clé publique, un identifiant et les métadonnées de l’appareil nécessaires pour vous authentifier.
• Informations de profil : un nom d’utilisateur, que nous générons lors de la création de votre compte et que vous pouvez modifier à tout moment dans les paramètres de votre compte. Votre nom d’utilisateur est publié partout où vous apparaissez dans le Service — voir la section 6 —, de sorte que si vous le remplacez par votre propre nom, c’est votre propre nom qui est publié. Nous générons aussi un code d’invitation pour chaque compte ; rien dans le Service ne l’utilise.
• Le contenu que vous créez : noms de partis politiques, descriptions et liens.
• Un signalement concernant un parti : si vous signalez l’entrée d’un parti dans le registre, nous conservons le parti concerné, le motif que vous avez choisi, ce que vous avez écrit et l’heure. Pour la plupart des motifs, nous demandons également votre nom et une adresse e-mail, parce que la loi qui nous oblige à accepter votre signalement nous oblige aussi à confirmer que nous l’avons bien reçu et à vous dire ce que nous avons décidé — et nous n’avons aucun autre moyen de vous joindre. Pour un motif, nous ne demandons ni l’un ni l’autre, et n’en conservons aucun : le signalement d’un contenu constituant des abus sexuels sur des enfants. Si votre session est ouverte, nous enregistrons aussi quel compte l’a déposé. C’est le seul endroit où nous détenons une adresse e-mail que vous nous avez donnée ; la section 8 indique pour combien de temps, et la section 10.1 indique ce pour quoi nous l’utilisons et ce pour quoi nous ne l’utilisons pas.
• Confirmation de l’âge : le fait que vous avez confirmé avoir 18 ans ou plus, et à quelle date. Nous le demandons une seule fois, avant la vérification d’identité. Nous ne demandons pas votre date de naissance et n’en stockons aucune — seulement le fait que la confirmation a été donnée, l’âge auquel elle se rapportait et l’heure.
• Résultat de la vérification de votre parti : le fait que la vérification automatique prévue à la section 5.1 ait affiché votre parti par défaut ou l’ait mis de côté comme spam, le motif qu’elle a retenu, laquelle de ses deux vérifications (ou quelle personne) a décidé, quel modèle a décidé lorsque c’est un modèle qui a décidé, et à quelle date.
• Le fait que votre parti indique ou non ce qu’il veut en matière d’IA : le fait que le nom ou la description de votre parti indique ou non ce que le parti veut en matière d’intelligence artificielle, selon la lecture qu’en a faite la vérification prévue à la section 5.2 ; la ligne qu’elle a donnée, qui peut citer vos propres mots ; ce qui a donné la réponse (le classificateur automatique ou une personne) ; quel modèle, lorsque c’est un modèle qui a répondu ; et à quelle date.
• La décision de retirer votre parti : indépendamment de la vérification ci-dessus, un parti dont nous jugeons le contenu illicite peut être retiré entièrement du registre — sa page cesse de s’ouvrir pour quiconque, il est introuvable et il ne peut plus recevoir de voix. Il s’agit d’une mesure différente et bien plus lourde que le résultat de la vérification ci-dessus, qui détermine seulement si un parti est affiché par défaut. Lorsque nous la prenons, nous conservons la date, la base légale sur laquelle nous nous sommes fondés, notre propre motivation écrite expliquant pourquoi cette base s’applique à votre parti, le fait que la décision ait été déclenchée par le signalement de quelqu’un ou par notre propre examen du registre, et une mention désignant qui a décidé. Tout cela vous est présenté, à l’exception du dernier élément, dans le Service, sur la page de votre propre parti — qui s’ouvre encore pour vous alors qu’elle ne s’ouvre pour personne d’autre. Nous ne nommons pas la personne qui a décidé, et nous ne vous disons pas qui vous a signalé, si quelqu’un l’a fait.
• Enregistrement de votre vote : le fait que vous avez voté lors d’une élection test donnée, et à quelle date. Pas le parti pour lequel vous avez voté. Dans la présente politique, votre bulletin est le choix que vous exprimez lors d’une élection test. Votre bulletin est privé : votre choix est ajouté au total du parti et n’est pas stocké avec votre compte. Hormis la confirmation que votre propre appareil affiche au moment où vous votez, aucun écran du Service ne montre comment vous avez voté, et nous ne le publions pas. Dans certains cas, une personne ayant un accès direct à notre base de données (section 11), ou à une copie de celle-ci, peut tout de même relier un bulletin à la personne qui l’a déposé. La section 5.3 indique dans quels cas, et pendant combien de temps.
• Détails des transactions : lorsque vous retirez des WDD, l’adresse de portefeuille de destination, le montant et le réseau sélectionné.

3.2 Vérification d’identité et données biométriques

Pour que les élections tests restent équitables (une personne vérifiée, une voix) et pour prévenir la fraude et les comptes en double, nous vérifions que vous êtes une personne réelle, unique et physiquement présente. La section 4 contient l’explication complète et distincte consacrée aux données biométriques — nous vous invitons à la lire attentivement.

3.3 Les informations collectées automatiquement

• Informations sur l’appareil et journaux : type d’appareil et de navigateur, système d’exploitation et données techniques similaires.
• Adresse IP : nous traitons votre adresse IP pour appliquer des limites de fréquence et prévenir les abus (conservée peu de temps dans nos enregistrements de limitation de fréquence). Nous stockons également votre adresse IP et l’agent utilisateur de votre navigateur au sein d’un enregistrement de consentement lorsque vous acceptez pour la première fois nos Conditions d’utilisation et reconnaissez avoir pris connaissance de la présente politique, ou lorsque vous donnez votre consentement biométrique, à titre de preuve de cette acceptation ou de ce consentement. Votre adresse IP et l’agent utilisateur de votre navigateur sont aussi enregistrés dans les registres de sécurité décrits à la section 8 : lorsque votre appareil lance la détection du vivant d’une vérification faciale, et chaque fois que vous téléchargez les images de vos vérifications faciales.
• Informations d’utilisation : les fonctionnalités utilisées et les actions effectuées dans le Service.
• Copies de vos données : lorsque vous téléchargez le fichier lisible par machine décrit à la section 10.1, ou les images de vos vérifications faciales, nous enregistrons qu’une copie a été faite, à quelle date, de laquelle des deux il s’agissait, et quelles parties de l’enregistrement elle contenait (pour les images, la partie vérification à laquelle elles appartiennent). Pour les images, l’enregistrement est fait au début du téléchargement : un téléchargement qui échoue ensuite sur votre appareil figure donc quand même dans la liste et compte dans la limite. Nous le conservons pour que tous les appareils sur lesquels votre session est ouverte affichent la même liste — c’est le seul moyen dont nous disposions pour vous signaler que quelqu’un disposant de votre session a emporté une copie de l’ensemble, puisque nous ne détenons aucune adresse à laquelle vous prévenir. La consultation de la copie à l’écran n’est pas enregistrée ; ce que la liste retient, c’est la copie qui quitte l’appareil.

3.4 Cookies et stockage local

Nous n’utilisons que des cookies et un stockage local strictement nécessaires et fonctionnels :

• Authentification et sécurité (cookies de session et d’association de compte).
• Préférences (par exemple la langue que vous avez choisie).
• État fonctionnel (par exemple le retour à la page après la vérification).
• Une copie de l’écran de votre compte, conservée pour que le Service puisse le réafficher immédiatement à votre retour. Elle contient ce que cet écran affiche : votre solde WDD, vos transactions récentes — y compris l’adresse de portefeuille de destination et le réseau de chaque retrait que vous avez effectué — et le fait que votre compte soit vérifié ou que votre vérification faciale ait été refusée. La déconnexion la remplace par une copie vide. Tant que vous ne vous déconnectez pas, elle reste sur l’appareil : déconnectez-vous donc si d’autres personnes utilisent cet appareil.

Nous n’utilisons pas de cookies publicitaires, et nous n’employons aucun SDK de publicité ou de suivi intersites.

4. Données biométriques (détection du vivant) — à lire attentivement

Pour voter lors d’une élection test et pour inscrire un parti, vous devez effectuer une vérification par détection du vivant. La présente politique appelle cette vérification la vérification faciale. La vérification faciale traite des données biométriques, qui constituent des données à caractère personnel sensibles / relevant de catégories particulières. Nous tenons à être pleinement transparents à ce sujet.

4.1 Ce qui se passe

• Votre appareil capture une courte vidéo faciale en direct, traitée par Amazon Rekognition Face Liveness d’Amazon Web Services (AWS) afin de confirmer qu’une personne réelle est physiquement présente (protection contre l’usurpation).
• AWS conserve une image faciale de référence pour la session. AWS conserve cette image que la vérification aboutisse ou échoue, de sorte qu’une vérification qui n’a pas abouti laisse malgré tout une image. Vous pouvez faire détruire cette image à tout moment (section 4.4).
• Si la vérification aboutit, nous ajoutons à une collection AWS Rekognition sécurisée un vecteur facial (gabarit) établi à partir de cette image. Une vérification refusée pour cause de doublon n’ajoute aucun vecteur à la collection.
• Nous utilisons cette collection pour effectuer une comparaison un-à-plusieurs avec les vecteurs faciaux des autres utilisateurs, afin de vérifier si le même visage est déjà vérifié sur un autre compte.

Le refus est automatique. Si la comparaison trouve une correspondance, la vérification de ce compte est refusée à cet instant, par la comparaison elle-même, et aucune personne ne prend part à la décision. La seule chose qui soit pesée est le degré de ressemblance entre le vecteur facial établi à partir de votre scan et un vecteur déjà présent dans la collection, mesuré au regard d’un seuil de similarité unique et fixe ; rien d’autre vous concernant n’y entre. Un compte refusé ne peut pas voter lors des élections tests ni inscrire un parti, et le refus reste en vigueur pour ce compte à moins qu’une personne ne le modifie.

Vous pouvez demander qu’une personne l’examine. Écrivez à privacy@worldrepublic.org, ou posez la question dans notre Communauté d’aide, et nous vous répondrons dans un délai d’un mois. Une personne compare l’image de référence de votre vérification avec celle conservée pour le compte auquel elle correspondait, lorsque les deux existent encore — l’une comme l’autre peut déjà avoir été détruite en application de la section 4.5 —, et elle peut annuler le refus et vérifier votre identité.

Si les images ont disparu, tout n’est pas perdu pour autant. Lorsque le visage auquel votre vérification correspondait a depuis été détruit — parce que ce compte a été supprimé, ou parce que la personne qui en était titulaire a retiré son consentement —, une personne peut à la place lever le refus afin que vous puissiez effectuer de nouveau la vérification. Ce n’est pas une décision constatant que votre identité est vérifiée : la nouvelle vérification se déroule intégralement, avec la même comparaison, et elle peut vous refuser une nouvelle fois. Pour que ces deux voies restent possibles, nous conservons, avec la vérification refusée, l’enregistrement de la correspondance : quel compte a été mis en correspondance, et à quel degré de proximité (section 8).

4.2 Recours à Didit

Cette voie n’est pas proposée actuellement, et aucune vérification ne peut être lancée. Elle est décrite ici parce qu’elle a été conçue.

L’idée est un recours à Didit, un prestataire de vérification d’identité, pour une personne que la vérification faciale refuse à tort — une fausse correspondance de doublon entre des personnes qui se ressemblent. Ce recours demanderait votre consentement explicite et ferait vérifier par Didit, pour notre compte, une pièce d’identité et un selfie.

Aujourd’hui, rien de tout cela ne fonctionne : le Service ne comporte aucun écran qui le propose, et la voie qui lancerait une vérification refuse toutes les requêtes. Didit ne détient aucune de nos données de vérification. Si la vérification faciale a refusé votre compte, la voie qui vous est ouverte est celle de la section 4.1 : posez la question dans notre Communauté d’aide, et une personne peut examiner les deux enregistrements et rouvrir la vérification.

Si ce recours est un jour proposé, la présente section indiquera ce qu’il collecte et ce que nous recevons avant qu’il ne le fasse.

4.3 Avis relatif aux prestataires de services (AWS et Didit)

La République mondiale fait appel à des prestataires de services pour les services de vérification d’identité. Les identifiants biométriques et les informations biométriques (les « données biométriques »), plus précisément les scans de votre géométrie faciale ainsi que les images et gabarits faciaux qui s’y rapportent, peuvent être collectés, conservés et utilisés par ces prestataires de services (AWS ; et Didit, si le recours prévu à la section 4.2 est un jour proposé) pour le compte de la République mondiale, aux fins de vérifier que vous êtes une personne réelle, unique et physiquement présente et d’empêcher les comptes en double ou frauduleux. La République mondiale détruit les données biométriques qu’AWS conserve pour son compte lorsque la finalité initiale de leur collecte a été atteinte, lorsque vous en demandez la suppression, ou plus tôt si la loi l’exige. Didit ne détient aucune de nos données biométriques ni d’identité, parce que ce recours n’est pas proposé. S’il devait un jour être proposé, les conditions dans lesquelles Didit peut détenir ces données et doit les supprimer seront arrêtées et énoncées ici au préalable. Les données biométriques peuvent être transmises entre la République mondiale et ses prestataires de services dans la mesure nécessaire à la fourniture de ce service.

4.4 Votre consentement et votre choix

Deux choses sous-tendent cette vérification, et nous les nommons toutes les deux.

La vérification elle-même est nécessaire au service que vous nous demandez. Une élection test dans laquelle une personne vérifiée dispose d’une voix ne peut pas être organisée sans qu’il soit établi que chaque électeur n’y est inscrit qu’une seule fois, et nous n’avons aujourd’hui aucun moyen moins intrusif de l’établir. Parce que la vérification traite des données biométriques, une seconde chose est également requise : votre consentement explicite, donné par un acte positif, qui est la condition sur laquelle nous nous fondons pour les données biométriques elles-mêmes. Nous demandons ce consentement au début de la vérification faciale, et nous ne traitons aucune donnée biométrique sans lui.

Ce que le refus vous coûte. La vérification faciale est aujourd’hui la seule voie d’accès au vote. Si vous la refusez, vous ne pouvez pas voter lors d’une élection test, et vous ne pouvez pas inscrire de nouveau parti. Cela ne vous coûte rien d’autre : vous pouvez toujours détenir des WDD, retirer des WDD, diriger un parti que vous avez inscrit auparavant et utiliser le reste du Service. Avant toute élection dont le résultat lie qui que ce soit, nous proposerons une voie d’accès au vote qui n’utilise pas de vérification faciale.

Vous pouvez retirer ce consentement à tout moment, et vous n’avez pas besoin de supprimer votre compte pour le faire. Dans l’application, ouvrez Compte → Vérification → Supprimer mes données faciales. Le retrait prend effet immédiatement et détruit à la fois les images de référence et le gabarit facial qui sert à la comparaison. Si vous souhaitez une copie des images, téléchargez-les d’abord, depuis le même écran (section 10.1). Votre compte, votre solde WDD, tout parti que vous dirigez et tout vote que vous avez déjà exprimé restent intacts. Vous ne pourrez pas voter de nouveau tant que vous n’aurez pas effectué une nouvelle vérification faciale, ce que vous êtes libre de faire à tout moment — sauf si votre vérification a déjà été refusée comme doublon d’un autre compte (le refus automatique décrit à la section 4.1). Le retrait détruit les données mais ne modifie pas cette décision ; écrivez à privacy@worldrepublic.org pour la contester.

Une exception, et c’est la même que celle que la section 4.5 décrit pour la suppression du compte : si une élection test lors de laquelle vous avez voté est encore ouverte au moment où vous retirez votre consentement, ce consentement prend fin immédiatement, mais les données biométriques elles-mêmes sont détruites à la clôture de cette élection — sauf si vous effectuez une nouvelle vérification faciale avant cette date, auquel cas ce nouveau consentement s’applique et rien n’est détruit. Comme l’expose la section 4.5, la destruction n’attend jamais plus de quatorze jours : une élection qui se clôt plus de quatorze jours après votre retrait ne diffère en rien la destruction. Vous pouvez aussi supprimer l’intégralité de votre compte (section 9), ou nous contacter pour exercer l’un quelconque des droits énoncés à la section 10.

4.5 Conservation et destruction

Nous ne conservons les données biométriques que le temps nécessaire à la vérification et à la lutte contre les doublons. Nous les détruisons lorsque la finalité est atteinte, sur votre demande de suppression, lorsque votre compte est supprimé, ou trois ans après votre dernière interaction avec le Service — à la première de ces échéances. Un enregistrement est conservé plus longtemps : l’entrée du journal d’audit de sécurité qui note les positions de vos yeux, de votre nez et de votre bouche et l’angle de votre tête, décrite à la section 1 de notre Politique de conservation et de destruction des données biométriques. Le calendrier écrit qu’établit notre Politique de conservation et de destruction des données biométriques expose chacun de ces déclencheurs en détail, et la section 2 de ladite politique énumère ce qui compte comme une interaction. La destruction comprend la suppression de l’image de référence chez AWS (Amazon S3) et du vecteur facial (collection Rekognition).

Une exception, délimitée et énoncée ici parce que vous devez la connaître avant d’agir : si vous supprimez votre compte — ou retirez votre consentement biométrique au titre de la section 4.4 — alors qu’une élection test lors de laquelle vous avez voté est encore ouverte, nous conservons vos données biométriques jusqu’à la clôture de cette élection et les détruisons à ce moment-là. Si vous avez retiré votre consentement puis faites de nouveau vérifier votre identité avant la clôture de l’élection, la destruction en attente est annulée, car la nouvelle vérification faciale vaut nouveau consentement ; une suppression n’est jamais annulée de cette façon. Un vote exprimé ne peut pas être retiré du total du parti, il reste donc comptabilisé, et la vérification faciale est la seule chose qui empêche une même personne de faire vérifier un nouveau compte et de voter une seconde fois lors de la même élection. Le report n’excède jamais le temps restant de l’élection et n’excède jamais quatorze jours : une élection qui se clôt plus de quatorze jours après votre action ne diffère en rien la destruction. Rien d’autre, dans la suppression, n’est différé.

4.6 Où les données biométriques sont traitées

Vos gabarits faciaux et vos images de référence sont traités et conservés par AWS dans l’Union européenne (Irlande). Les métadonnées de vérification associées (par exemple les scores de confiance et les références de stockage) sont conservées dans notre base de données principale (voir la section 7).

5. Comment nous utilisons les informations et nos bases légales

5.1 Vérification automatique des inscriptions de partis

Lorsque vous inscrivez un parti ou le modifiez, un programme le vérifie avant qu’il ne soit affiché par défaut. Aucune personne ne prend part à cette étape.

• Ce qu’il lit : le nom du parti, sa description, le lien vers son site web et le nom d’utilisateur de son chef — rien d’autre vous concernant.
• Ce qu’il décide : si le parti apparaît dans les listes par défaut, dans la recherche et dans la liste des partis de l’élection, ou s’il est mis de côté comme spam. Un parti mis de côté n’est pas retiré : il reste à sa propre adresse, les électeurs peuvent toujours le trouver en choisissant d’afficher tous les partis, et voter pour lui.
• Les motifs : la publicité pour quelque chose d’extérieur au Service (y compris l’usurpation de l’identité du Service ou d’un parti établi), la proposition d’un paiement individuel en échange de voix, l’incitation à la violence et l’obscénité. Les opinions politiques ne constituent jamais un motif, et la vérification doit citer ce qu’elle signale.
• Comment il décide : un grand modèle de langage, GLM-5.3 Flash de Z.ai, applique ces règles au texte. Lorsque ce modèle est indisponible, les mêmes règles sont appliquées par GLM-5.3, du même concepteur. Tous deux fonctionnent chez Baseten, aux États-Unis (sections 6 et 7), qui ne conserve rien de l’une ou l’autre requête une fois qu’elle a reçu sa réponse et ne s’en sert pas pour l’entraînement. Une seconde règle, fixe, compare le nom du parti aux noms des partis établis. Le résultat, son motif, la vérification qui a décidé et — lorsque c’est un modèle qui a décidé — lequel des deux modèles sont conservés avec le parti (section 8).
• Pourquoi un programme peut en décider : un registre dans lequel chaque entrée correspond à une inscription de parti authentique fait partie du service pour lequel vous inscrivez un parti, et c’est ce qui permet qu’un programme prenne cette décision. Une inscription de parti exprime aussi des opinions politiques. La décision n’est jamais prise en fonction de ces opinions — les motifs ci-dessus portent sur ce que fait une inscription, non sur ce dont elle parle, et une inscription n’est jamais signalée pour ce qu’elle défend. Ces opinions ne sont lues que parce qu’elles se trouvent dans le texte vérifié, et c’est vous-même qui les rendez publiques en inscrivant le parti en vue de sa publication dans le registre public. Vous n’avez pas besoin d’inscrire un parti pour voter, pour détenir des WDD, ni pour utiliser quoi que ce soit d’autre.
• Ce que vous pouvez faire : le chef du parti voit le résultat et le motif sur la page du parti. Modifier le parti le soumet à une nouvelle vérification. Vous pouvez demander qu’une personne réexamine le résultat via la Communauté d’aide dont le lien figure dans cet avis, ou en écrivant à privacy@worldrepublic.org.

5.2 Un parti indique-t-il ce qu’il veut en matière d’IA ?

Raised by Humanity est une campagne sur la manière dont l’intelligence artificielle devrait être gouvernée. Pour repérer les partis qui prennent position à ce sujet, la même requête, celle qui porte la vérification prévue à la section 5.1, pose aussi une seconde question, distincte.

• Ce qu’il demande : si une personne qui suit le débat public sur l’IA pourrait comprendre, à partir du nom ou de la description du parti, ce que le parti veut en matière d’IA — comment l’IA devrait être développée, utilisée, partagée, limitée ou gouvernée. Toute position compte, pour ou contre, et aucune ne compte plus qu’une autre. Un parti n’a pas besoin d’employer le mot « IA ». Mentionner l’IA, ou l’utiliser ou la vendre, n’est pas une position.
• Ce qu’il lit : les mêmes champs qu’à la section 5.1, dans la même requête — le nom du parti, sa description, le lien vers son site web et le nom d’utilisateur de son chef. Rien de plus n’est envoyé, et cela n’est envoyé nulle part ailleurs.
• Ce qu’il enregistre : la réponse — le parti indique ce qu’il veut en matière d’IA, ou non — avec une ligne qui cite les mots sur lesquels elle s’appuie, le modèle qui a répondu, et à quelle date. Elle est conservée avec le parti (section 8).
• Ce qu’il change : une seule vue, et uniquement pour un lecteur qui la demande. Activer « Afficher uniquement les partis de gouvernance de l’IA » dans la liste des partis ou dans la liste des partis d’une élection n’affiche que les partis dont la réponse est qu’ils indiquent ce qu’ils veulent en matière d’IA. Ce filtre est désactivé, sauf si le lecteur l’active. La réponse ne joue aucun rôle dans la vérification prévue à la section 5.1. Sans ce filtre, elle ne change rien à ce que quiconque voit, y compris les listes par défaut, la recherche et la liste des partis d’une élection, et elle n’a jamais d’incidence sur un vote. Si cela change, la présente section l’indiquera dès le jour où ce sera le cas.
• Comment il décide : les mêmes modèles qu’à la section 5.1 — GLM-5.3 Flash de Z.ai, ou GLM-5.3 lorsque ce modèle est indisponible —, qui fonctionnent chez Baseten, aux États-Unis ; Baseten ne conserve rien de la requête une fois qu’elle a reçu sa réponse et ne s’en sert pas pour l’entraînement.
• Ce que vous pouvez faire : chaque modification du parti pose à nouveau la question, et sa réponse remplace l’ancienne. La réponse figure dans la copie de vos données que le Service vous fournit (section 10). Vous pouvez demander qu’une personne la réexamine, ou vous y opposer, en écrivant à privacy@worldrepublic.org. Si la réponse est que votre parti n’indique pas ce qu’il veut en matière d’IA, la carte de votre parti le signale tant que vous avez ce filtre activé.
• Pourquoi il peut lire une position politique : c’est le seul endroit où le Service lit ce qu’un parti défend, et pas seulement ce qu’il fait. Il ne lit que les mots que le parti a lui-même publiés, sur un seul sujet, et traite toutes les positions sur ce sujet de la même manière. C’est vous-même qui rendez ces mots publics en inscrivant le parti en vue de sa publication dans le registre public. Vous n’avez pas besoin d’inscrire un parti pour voter, pour détenir des WDD, ni pour utiliser quoi que ce soit d’autre.

5.3 Votre bulletin

Lorsque vous votez, notre serveur reçoit en même temps votre identité et votre choix, parce qu’il doit vérifier que vous pouvez voter, puis décompter le vote. Il les stocke séparément, dans trois enregistrements écrits ensemble : un enregistrement du fait que vous avez voté lors de cette élection, et à quel moment ; un enregistrement de votre consentement au décompte de votre vote, qui mentionne l’élection et le jour ; et une voix de plus ajoutée au total du parti. Aucun enregistrement ne stocke votre choix avec votre compte. Dans certains cas, votre bulletin peut tout de même être relié à vous, et la présente section indique quand.

• Tant qu’une élection est ouverte. Notre base de données marque d’un numéro de référence chaque modification qu’elle enregistre. Les trois enregistrements sont écrits dans la même modification : ils portent donc le même numéro. Ainsi, tant qu’une élection est ouverte, une personne ayant un accès direct à notre base de données (section 11) pourrait découvrir qui a déposé le bulletin le plus récent pour chaque parti et, en observant l’évolution des totaux, qui a déposé chaque bulletin pendant cette période. Avec des outils qui lisent directement le stockage de la base de données, elle pourrait aussi découvrir qui a déposé d’autres bulletins récents, à partir d’anciennes versions des totaux que la base de données n’a pas encore effacées. Nos élections tests recueillent des bulletins pendant trois jours, et le Service ne recueille jamais de bulletins lors d’une élection pendant plus de quatorze jours.
• Après sa clôture. Peu après la clôture d’une élection, généralement en quelques minutes, nous réécrivons ses totaux dans une modification distincte. Ensuite, aucun enregistrement de notre base de données principale, celle sur laquelle fonctionne le Service, ne relie un bulletin à la personne qui l’a déposé. D’anciennes versions des totaux peuvent subsister dans le stockage de la base de données jusqu’à ce qu’elles soient écrasées, et ces mêmes outils peuvent encore les lire.
• Dans l’historique de restauration et les sauvegardes de notre prestataire. Notre prestataire de base de données conserve un historique de restauration de la base de données, que nous avons actuellement fixé à environ six heures. Cet historique peut relier tout bulletin déposé pendant cette durée, et il peut rétablir les totaux tels qu’ils étaient avant que nous les réécrivions, avec les liens qu’ils contenaient. Le prestataire conserve aussi ses propres sauvegardes, qu’il déclare conserver pendant 30 jours ; nous n’avons pas encore confirmé auprès de lui ce que couvrent ces sauvegardes. Ces sauvegardes, ainsi que toute copie de notre base de données (section 11) faite avant la réécriture des totaux, conservent ces liens jusqu’à ce qu’elles expirent ou soient supprimées, et une copie que nous supprimons peut subsister dans ces sauvegardes jusqu’à ce qu’elles expirent.
• Dans ce que nous publions. Nous publions le total de chaque parti une fois l’élection close (section 6) ; tant qu’elle est ouverte, nous n’affichons que le nombre total de bulletins déposés. Si toutes les personnes qui votent lors d’une élection votent pour le même parti, les totaux révèlent comment chacune d’elles a voté à quiconque sait qu’elles ont voté. Et lorsque très peu de personnes votent, quelqu’un qui sait comment les autres ont voté peut en déduire le reste.

Rien dans le Service n’utilise quoi que ce soit de tout cela pour relier un bulletin à la personne qui l’a déposé.

Parce que votre choix révèle une opinion politique, nous vous demandons votre consentement explicite avant de le décompter. L’écran sur lequel vous exprimez votre vote comporte une case non cochée qui demande ce consentement, lors de chaque élection test, et elle doit être cochée avant que le vote ne soit exprimé ; notre serveur refuse tout bulletin qui en est dépourvu. Nous enregistrons ce consentement avec l’élection, la version et la langue du texte que vous avez coché, et le jour. Nous n’enregistrons avec lui ni adresse IP ni navigateur, et seulement le jour, parce qu’il est écrit au même moment que l’enregistrement du fait que vous avez voté, et qu’une heure exacte constituerait un second enregistrement du moment où vous avez voté. Vous pouvez retirer ce consentement (section 10).

6. Comment nous partageons les informations

Nous ne vendons pas vos informations personnelles. La présente section indique qui reçoit des informations vous concernant, et à quel titre. Certaines sont traitées pour nous par des prestataires de services, sur nos instructions et pour aucune finalité qui leur soit propre. Certaines parviennent à une entreprise qui décide elle-même de ce qu’elle en fait, et la présente section nomme ces destinataires. Certaines, nous devons les divulguer pour nous conformer à la loi, et en cas de fusion, d’acquisition ou de cession d’actifs, ce que nous détenons passerait à l’acquéreur, sous réserve des garanties prévues par la loi — à l’exception de vos données biométriques, qui ne passent jamais par cette voie. Et certaines sont publiées par le Service à l’intention d’autres personnes.

Les prestataires de services qui agissent pour nous. Ces prestataires traitent les informations sur nos instructions et pour aucune finalité qui leur soit propre. Didit ne figure dans la liste ci-dessous que par souci d’exhaustivité, et ne traite rien pour nous aujourd’hui :

• Google Workspace — héberge nos boîtes aux lettres, parmi lesquelles privacy@worldrepublic.org et legal@worldrepublic.org. Tout ce que vous nous écrivez à l’une ou l’autre de ces adresses, et tout ce que vous y joignez — y compris ce que vous envoyez pour établir qu’une demande émane bien de vous (section 10.3) —, est traité par Google en qualité de prestataire. Les alertes d’exploitation décrites ci-dessous dans l’entrée Amazon Web Services sont également acheminées par e-mail, et l’une des adresses qu’elles atteignent relève de notre propre domaine. Une alerte qui contient une adresse de portefeuille de destination est donc elle aussi traitée par Google. La connexion avec Google est une relation différente, et la présente section l’expose plus bas.
• Amazon Web Services (AWS) — quatre choses. Amazon Rekognition Face Liveness, Amazon S3 (images de référence) et Amazon Cognito (identifiants temporaires d’invité), en qualité de prestataire de services pour la vérification biométrique (région UE). Amazon Simple Notification Service, qui achemine nos alertes d’exploitation. AWS CloudTrail, qui tient le journal d’audit de sécurité de nos comptes cloud et notre registre des accès aux images de vérification faciale (section 8). Et Amazon Simple Email Service, qui achemine les deux messages que nous devons à la personne qui signale un parti — que nous avons bien reçu le signalement, et ce que nous avons décidé. Ces messages sont envoyés à l’adresse que cette personne nous a donnée et contiennent le nom du parti, la date et une référence ; ils ne contiennent jamais le motif choisi ni ce que la personne a écrit. Une alerte nous signale qu’un point demande notre attention — par exemple un retrait qui s’est mal déroulé, un compte qui a atteint l’une des limites que nous fixons à la fréquence de ses actions, une inscription de parti que la vérification automatique n’a pas pu lire, ou une destruction de données biométriques qui n’a pas abouti. Ce sont des exemples, et non la liste complète. Une alerte peut contenir une adresse de portefeuille de destination, le montant et le réseau d’un retrait ainsi que la référence que nous attribuons à ce retrait dans nos propres enregistrements, l’identifiant interne d’un compte et l’identifiant d’un parti. Lorsqu’un transfert a été envoyé, une alerte peut aussi contenir le hachage de cette transaction sur la chaîne de blocs et la référence que le prestataire de paiement lui a attribuée. Une alerte ne contient jamais le nom ni la description d’un parti, et ne contient jamais ce que la vérification automatique en a dit.
• Didit — vérification d’identité en cas de recours. Non proposée actuellement et ne détenant aucune de nos données (section 4.2). Voir l’avis de confidentialité relatif à la vérification et les conditions d’utilisation pour la vérification d’identité de Didit.
• Coinbase — exécute les retraits de WDD sur la chaîne de blocs ; reçoit l’adresse de destination, le montant, le réseau et la référence que nous attribuons à ce retrait dans nos propres enregistrements, et rien d’autre.
• Neon — hébergement de base de données pour les données du Service. Notre base de données fonctionne à Singapour, et Neon effectue également des traitements aux États-Unis (section 7).
• Vercel — hébergement de l’application et journaux d’infrastructure. Notre application fonctionne à Singapour, et Vercel effectue également des traitements aux États-Unis (section 7). Son AI Gateway achemine en outre la requête de vérification de parti prévue aux sections 5.1 et 5.2 — une seule requête — vers Baseten et nulle part ailleurs.
• Baseten — fait fonctionner les modèles de langage qui vérifient les inscriptions de partis (sections 5.1 et 5.2) ; reçoit le nom du parti, sa description, son lien et le nom d’utilisateur de son chef, n’en conserve rien une fois la requête traitée et ne s’en sert pas pour l’entraînement (États-Unis).

La liste à jour des sous-traitants ultérieurs est disponible sur demande.

Google, lorsque vous vous connectez. La connexion avec Google est un échange entre vous et Google, et Google décide lui-même de ce qu’il en fait. Google n’agit pas ici uniquement sur nos instructions : Google n’est donc pas notre prestataire de services pour cela. Nous recevons un jeton d’authentification et un identifiant de votre compte Google, et nous ne conservons que l’identifiant (section 3.1). Ce que Google fait d’une connexion est régi par la politique de confidentialité de Google elle-même (policies.google.com/privacy).

Notre Communauté d’aide. Les sections 4.1 et 5.1 vous renvoient à notre Communauté d’aide si vous souhaitez qu’une personne examine une décision automatisée. Cette communauté est un canal public sur Telegram. Ce que vous y écrivez est lu par Telegram et par toutes les autres personnes présentes dans ce canal. Nous ne maîtrisons pas ce canal. Si vous préférez ne pas écrire en public, écrivez plutôt à privacy@worldrepublic.org : cette voie atteint la même personne, et la section 10.1 l’expose.

Les divulgations imposées par la loi, et le cas où le Service passe à une autre organisation. Nous pouvons divulguer des informations pour nous conformer à la loi ou à des demandes valables d’autorités publiques. Nous pouvons également divulguer des informations dans le cadre d’une fusion, d’une acquisition ou d’une cession d’actifs (sous réserve des garanties prévues par la loi). Vos données biométriques ne font jamais partie d’un tel transfert. Nous ne les vendons pas, ne les louons pas, n’en faisons pas commerce et n’en tirons aucun profit d’une autre manière, et nous ne les transmettons pas à un acquéreur avec le reste de ce que nous détenons. En dehors du prestataire qui les conserve pour nous et sur nos instructions (section 4.3), nous ne divulguons les données biométriques que lorsque vous y consentez, lorsqu’une loi l’exige, ou lorsqu’un mandat ou une assignation en bonne et due forme l’impose. Une fusion, une acquisition et une cession d’actifs n’entrent dans aucun de ces cas.

Ce que le Service publie. Une partie de ce que vous faites est montrée à d’autres personnes. Il ne s’agit pas d’un partage avec un prestataire. C’est une publication, et elle ne peut pas être défaite en demandant à un prestataire de s’arrêter :

• Le registre des partis. Si vous inscrivez un parti, le nom du parti, sa description, son lien, votre nom d’utilisateur et le total des WDD attribués au parti en subventions sont publiés dans le registre. Le registre est ouvert : n’importe qui peut le lire sans compte, et les moteurs de recherche peuvent l’indexer.
• Les retraits. Un retrait de WDD est une transaction publique sur la chaîne de blocs. L’adresse de destination, le montant, le réseau, l’heure et la référence que nous attribuons à ce retrait dans nos propres enregistrements sont publiés sur la chaîne de blocs, non par nous, et personne ne peut les supprimer. Nous inscrivons cette référence dans la transaction afin qu’il soit possible de prouver qu’un retrait a été effectué une fois et une seule. La référence n’est pas l’identifiant de votre compte. Chaque retrait a sa propre référence, et une référence n’appartient qu’à un seul retrait. Pour vérifier qu’un retrait a bien été effectué, nous demandons à un service public de chaîne de blocs de rechercher la transaction pour nous. Ces services voient ce que la chaîne de blocs publie déjà — l’adresse, le montant et la référence — et rien d’autre de ce que nous détenons à votre sujet.
• Les résultats des élections. Le total des voix de chaque parti est publié une fois l’élection close. Tant qu’une élection est ouverte, aucun total par parti n’est affiché, seulement le nombre total de bulletins déposés. Nous ne publions que des totaux, jamais un bulletin individuel. Si tout le monde a voté pour le même parti, les totaux peuvent tout de même révéler comment vous avez voté à quelqu’un qui sait que vous avez voté ; et si très peu de personnes ont voté, à quelqu’un qui sait aussi comment les autres ont voté (section 5.3). La section 5.3 indique quand un bulletin peut être relié à vous dans notre base de données.

Votre nom d’utilisateur est le nom qui apparaît dans tout cela, et c’est vous qui le choisissez (section 3.1).

7. Transferts internationaux de données

Notre siège est en Suisse, qui bénéficie d’une décision d’adéquation de l’Union européenne, et nous sommes également établis dans l’Union européenne (section 1). Vos données sont traitées dans plus d’un pays :

• Les données biométriques (gabarits faciaux et images de référence) sont traitées et conservées par AWS dans l’Union européenne (Irlande).
• Le journal d’audit de sécurité de nos comptes cloud, et notre registre des accès aux images de vérification faciale (section 8) : les entrées qui vous concernent sont conservées dans l’Union européenne — en Irlande, où s’effectue la vérification faciale, et en Allemagne, où nous conservons nos copies.
• Les données de compte et d’application sont conservées dans notre base de données chez Neon et servies par Vercel. Les deux fonctionnent à Singapour, et une partie de ces données parvient également aux États-Unis : l’accord de traitement des données de Vercel indique que ses principales installations de traitement se trouvent aux États-Unis, et Neon contracte par l’intermédiaire d’une société mère américaine dont les conditions nomment un prestataire américain pour la supervision de l’infrastructure. Ce qui circule ainsi, ce sont les journaux de requêtes et de serveur — votre adresse IP, l’agent utilisateur de votre navigateur, la page que vous avez demandée et, dans certains enregistrements d’erreur, l’identifiant interne d’un compte.
• Les inscriptions de partis en cours de vérification (nom, description, lien, nom d’utilisateur du chef) sont envoyées à Baseten, aux États-Unis, pour la vérification automatique prévue aux sections 5.1 et 5.2, et n’y sont pas conservées.
• Les détails des retraits — l’adresse de destination, le montant, le réseau et la référence que nous attribuons à ce retrait dans nos propres enregistrements — sont transmis à Coinbase, une société établie aux États-Unis. Nous n’avons pas établi dans quels pays Coinbase traite elle-même ces données.
• Les alertes d’exploitation sont acheminées par Amazon Simple Notification Service (section 6), et une alerte peut contenir une adresse de portefeuille de destination, le montant et le réseau d’un retrait ainsi que la référence que nous attribuons à ce retrait dans nos propres enregistrements, l’identifiant interne d’un compte et l’identifiant d’un parti. Lorsqu’un transfert a été envoyé, une alerte peut aussi contenir le hachage de cette transaction sur la chaîne de blocs et la référence que le prestataire de paiement lui a attribuée. Une alerte ne contient jamais le nom ni la description d’un parti, et ne contient jamais ce que la vérification automatique en a dit. Ce service fonctionne dans la région Amazon que nous avons configurée pour lui, quelle qu’elle soit, et cette région peut se situer en dehors de l’Union européenne. L’alerte est ensuite acheminée par e-mail, et l’une des adresses qu’elle atteint relève de notre propre domaine, que Google Workspace héberge aux États-Unis (section 6).
• Les messages adressés à la personne qui a signalé un parti sont acheminés par Amazon Simple Email Service dans l’Union européenne (Irlande) — la même région que les données biométriques, au titre du même accord.
• Les données de connexion sont transmises à Google, qui les traite aux États-Unis et dans d’autres pays.
• Le recours à la vérification de pièce d’identité prévu à la section 4.2 n’envoie rien nulle part, parce qu’il n’est pas proposé et qu’aucune vérification ne peut être lancée. La société Didit qui contracte avec les clients européens est Didit Identity Spain, S.L., et Didit déclare que ses principaux systèmes de traitement se trouvent à l’intérieur de l’Espace économique européen. Cette déclaration est celle de Didit, et nous ne l’avons pas confirmée nous-mêmes. Avant que cette voie ne soit proposée, nous confirmerons dans la présente section où une vérification serait traitée, et nous nommerons la garantie qui la couvre.
• Ce que vous écrivez à privacy@worldrepublic.org ou à legal@worldrepublic.org est traité aux États-Unis par Google Workspace (section 6).

Singapour n’est couvert par aucune décision d’adéquation de l’Union européenne ou de la Suisse, et les États-Unis ne le sont que pour les destinataires certifiés au titre du Data Privacy Framework. Nous ne nous appuyons pas sur une garantie unique pour l’ensemble de ces transferts. Nous préférons vous dire quelle garantie couvre quel destinataire plutôt que de nommer un instrument dont nous ne disposons pas :

• Vercel, et Baseten via la passerelle de Vercel : les clauses contractuelles types de la Commission européenne et l’International Data Transfer Addendum du Royaume-Uni, tous deux intégrés à l’accord de traitement des données de Vercel. Nous n’avons pas établi si cet accord comporte également le complément qu’exige le droit suisse. Nous ne disposons d’aucun accord distinct avec Baseten.
• Google, pour nos boîtes aux lettres : les conditions standard de Google Workspace, qui intègrent l’avenant de Google relatif au traitement des données et les clauses contractuelles types.
• Google, pour la connexion : aucune qui nous soit propre. Google décide lui-même de la manière dont il traite une connexion, il n’agit donc pas ici uniquement sur nos instructions, et nous ne disposons d’aucun accord de traitement des données avec Google pour la connexion. Google déclare être certifié au titre du Data Privacy Framework UE-États-Unis. Nous n’avons obtenu aucun instrument distinct pour ce transfert.
• AWS : l’accord de traitement des données d’AWS. Vos données biométriques sont conservées dans l’Union européenne (Irlande) et ne sont aucunement transférées hors de l’Union européenne. Lorsque vous téléchargez une copie des images de vos propres vérifications faciales (section 10.1), votre navigateur les récupère directement auprès d’AWS dans l’Union européenne (Irlande), où que vous soyez : elles ne passent pas par nos serveurs, et nous ne conservons aucune copie de ce que vous téléchargez. Les alertes d’exploitation décrites ci-dessus sont acheminées au titre du même accord, dans la région Amazon que nous avons configurée pour ces alertes, quelle qu’elle soit. Les messages que nous envoyons à la personne qui a signalé un parti sont acheminés au titre de ce même accord, dans l’Union européenne (Irlande).
• Neon : les conditions standard de Neon, qui s’appliquent automatiquement dès lors que nous utilisons Neon. Les clauses de transfert de ce contrat figurent dans les conditions de la société mère de Neon, et nous ne les avons pas encore obtenues.
• Coinbase : les conditions standard de Coinbase pour les développeurs. Nous croyons comprendre que ces conditions comportent une annexe relative aux transferts, et nous ne l’avons pas encore confirmé.

Lorsqu’une décision d’adéquation couvre un transfert — l’Union européenne et la Suisse se reconnaissent mutuellement —, nous nous appuyons sur cette décision, et aucun autre instrument n’est nécessaire.

Deux autres points qu’il vaut mieux que vous sachiez plutôt que d’avoir à les supposer. Nous n’avons réalisé d’analyse d’impact relative aux transferts pour aucun des transferts nommés ci-dessus. Nous ne nous appuyons sur aucune mesure supplémentaire au-delà des mesures de sécurité prévues à la section 11. Nous travaillons à mettre en place les instruments manquants, et nous mettrons à jour la présente section à mesure que chacun d’eux sera en place.

Vous pouvez nous demander une copie des garanties nommées ci-dessus. Écrivez à privacy@worldrepublic.org (section 10.1).

8. Conservation des données

9. Suppression du compte

Vous pouvez supprimer votre compte dans le Service. La suppression détruit les données biométriques qu’AWS détient pour notre compte et retire vos enregistrements de vérification. Elle détruit vos moyens de connexion — le lien vers votre compte Google et toute clé d’accès — de sorte qu’il ne soit plus possible de se connecter à ce compte. Si vous vous connectez de nouveau ensuite, vous obtenez un compte nouveau et vide. Elle remplace votre nom d’utilisateur par un nom généré aléatoirement, et elle supprime l’adresse IP et les détails de l’appareil conservés avec vos enregistrements de consentement. Au sein de notre base de données, ces modifications sont apportées à notre base de données principale, celle sur laquelle fonctionne le Service. Notre prestataire de base de données conserve un historique de restauration de la base de données, que nous avons actuellement fixé à environ six heures, ainsi que ses propres sauvegardes, qu’il déclare conserver pendant 30 jours ; nous n’avons pas encore confirmé auprès de lui ce que couvrent ces sauvegardes. Ce que nous supprimons subsiste dans cet historique et dans ces sauvegardes jusqu’à leur expiration. Nous ne faisons une copie de notre base de données que pour tester une modification du Service ou pour remédier à une panne, et nous la supprimons lorsque ce travail prend fin. Une copie faite avant que vous ne supprimiez votre compte conserve ce qu’elle contenait jusqu’à sa suppression, et elle peut ensuite subsister dans les sauvegardes du prestataire jusqu’à leur expiration. Il en va de même pour chaque enregistrement dont la section 8 indique que nous le supprimons de notre base de données.

La suppression de votre compte entraîne également la perte de votre solde WDD et annule vos flux de récompenses — les récompenses qui étaient encore en cours de versement. C’est une stipulation des Conditions d’utilisation plutôt qu’une question de confidentialité, et la section 8.5 des Conditions d’utilisation l’expose. Si vous souhaitez conserver votre solde, retirez-le avant de supprimer votre compte. Vous n’avez pas besoin de supprimer votre compte pour faire détruire vos données biométriques : la section 4.4 décrit cette voie distincte, et l’emprunter laisse votre solde WDD intact.

La suppression ne retire pas tout, et nous préférons nommer ce qui reste plutôt que de le qualifier d’anonyme. Votre compte possède un identifiant interne que nous ne supprimons pas, et la quasi-totalité de ces enregistrements restent rattachés à cet identifiant :

• Le fait que vous avez voté lors de chaque élection test, et à quelle date — pas le parti pour lequel vous avez voté, qui n’est pas stocké avec votre compte. La section 5.3 indique quand un bulletin peut encore être relié à la personne qui l’a déposé. L’enregistrement du fait que vous avez voté est conservé afin que la participation à chaque élection reste exacte.
• Votre enregistrement WDD — chaque récompense qui vous a été attribuée, conservée sous la forme du flux qui l’a versée sur votre solde, chaque modification de ce flux, et chaque retrait que vous avez effectué : l’adresse de portefeuille de destination, le montant et le réseau, et, lorsqu’un retrait n’a pas pu être envoyé, l’enregistrement de cette tentative. Votre solde est ramené à zéro et vos flux de récompenses sont supprimés, mais l’enregistrement de ce qui a été attribué et de ce qui a été versé subsiste. C’est notre enregistrement des WDD que nous avons attribués et des WDD que nous avons versés (section 8).
• Le code d’invitation généré pour votre compte, que rien dans le Service n’utilise (section 3.1).
• La preuve de chaque consentement que vous avez donné et de chacun que vous avez retiré — quel document, quelle version, à quelle date, la langue et l’écran sur lequel la déclaration a été présentée, et, pour le consentement au décompte d’un vote, quelle élection (section 8).
• Le fait que vous avez confirmé avoir 18 ans ou plus, et à quelle date — conservé comme preuve que nous avons posé la question et que vous y avez répondu (section 3.1). Nous ne détenons aucune date de naissance : il n’y a donc aucune date de naissance à supprimer.
• Un parti que vous avez inscrit, qui reste dans le registre. Le nom d’utilisateur généré aléatoirement remplace celui que vous aviez choisi comme nom du chef de ce parti.
• Les alertes d’exploitation signalant un problème, et leurs copies dans les boîtes aux lettres qui les reçoivent — une alerte peut contenir une adresse de portefeuille de destination, le montant et le réseau d’un retrait ainsi que la référence que nous attribuons à ce retrait dans nos propres enregistrements, l’identifiant interne d’un compte et l’identifiant d’un parti. Lorsqu’un transfert a été envoyé, une alerte peut aussi contenir le hachage de cette transaction sur la chaîne de blocs et la référence que le prestataire de paiement lui a attribuée. Une alerte ne contient jamais le nom ni la description d’un parti, et ne contient jamais ce que la vérification automatique en a dit. Une alerte est un message portant sur un événement, et non un enregistrement conservé sous votre compte : elle contient donc ceux de ces identifiants que cet événement comportait. La suppression de votre compte ne les supprime pas (section 8).
• Les journaux de serveur et d’erreur, que nos prestataires d’hébergement et de base de données conservent pendant une durée que nous ne maîtrisons pas. Une ligne de journal peut contenir l’identifiant interne de votre compte, l’adresse d’où provenait une requête et la page qu’elle demandait. La suppression de votre compte ne supprime pas ces journaux (section 8).
• Le journal d’audit de sécurité de nos comptes cloud, et notre registre des accès aux images de vérification faciale (section 8, qui indique combien de temps chacun est conservé). Leurs entrées peuvent contenir l’identifiant interne de votre compte ou nommer l’une de vos sessions de vérification faciale. Les entrées relatives à vos vérifications faciales peuvent aussi contenir un identifiant qu’AWS a attribué à votre navigateur. Les entrées relatives à vos détections du vivant et à vos propres téléchargements des images de vos vérifications faciales contiennent aussi l’adresse IP et l’agent utilisateur du navigateur, et l’entrée relative à l’ajout de votre visage à la collection note où se situent vos yeux, votre nez et votre bouche dans l’image de référence et l’angle de votre tête, jamais l’image ni le gabarit. La destruction de vos données faciales que déclenche la suppression ajoute ses propres entrées, et la suppression de votre compte ne supprime aucune de ces entrées.
• Les dates portées sur le compte lui-même — la date de création du compte, celle de sa dernière modification et celle de sa suppression.

Ces enregistrements sont pseudonymisés, et non anonymes, et la différence mérite d’être dite. Aucun d’eux ne contient votre adresse e-mail. Aucun d’eux ne contient votre nom ni le nom d’utilisateur que vous aviez choisi. La quasi-totalité de ces enregistrements restent rattachés au même identifiant interne : ils peuvent donc encore être lus comme les enregistrements d’un seul compte. Certains types d’enregistrement y font exception, et chacun est nommé ci-dessus : une alerte d’exploitation est un message portant sur un événement et non un enregistrement conservé sous un compte, et une ligne de journal de serveur ou d’erreur, ou une entrée du journal d’audit de sécurité ou de notre registre des accès aux images de vérification faciale, ne contient l’identifiant interne qu’une partie du temps. Une adresse de portefeuille de destination est plus qu’un identifiant pseudonyme : c’est un identifiant permanent sur une chaîne de blocs publique, et quiconque connaît déjà l’une de vos adresses peut voir les paiements effectués vers cette adresse. Qualifier ces enregistrements d’anonymes ne serait pas exact, nous ne les qualifions donc pas ainsi.

Vous pouvez enregistrer une copie de vos données avant de supprimer votre compte, et il vaut mieux le faire d’abord (section 10.1). Une fois le compte supprimé, cette voie n’existe plus : la copie est constituée pour un compte dont la session est ouverte, et il n’est plus possible de se connecter à un compte supprimé. Nous n’aurions par ailleurs aucun moyen, ensuite, de nous assurer qu’une demande portant sur un compte supprimé émane bien de la personne à qui ce compte appartenait (section 10.3). La copie constituée dans l’application ne contient pas les images de vos vérifications faciales ; elles font l’objet d’un téléchargement distinct, sous Compte → Vérification, et, comme la copie, elles ne peuvent plus être téléchargées une fois le compte supprimé.

Les voix que vous avez exprimées restent comptabilisées. Votre choix fait partie du total du parti et n’est pas stocké avec votre compte : nous ne pouvons donc rien en retirer séparément. La suppression de votre compte enregistre votre consentement à leur décompte comme retiré, à la date de cette suppression. Si une élection test lors de laquelle vous avez voté est encore ouverte au moment où vous supprimez votre compte, vos données biométriques sont détruites à la clôture de cette élection plutôt qu’immédiatement (voir la section 4.5).

10. Vos droits

Selon votre lieu de résidence, vous pouvez disposer des droits ci-dessous. Leur exercice ne vous coûte normalement rien (section 10.5), et nous ne vous traiterons pas différemment parce que vous les exercez.

• UE/EEE et Royaume-Uni (RGPD / RGPD britannique) : l’accès, la rectification, l’effacement, la limitation, la portabilité, l’opposition et le retrait du consentement. Lorsqu’une décision vous concernant a été prise par des moyens exclusivement automatisés et produit un effet significatif à votre égard — le refus décrit à la section 4.1 et la décision d’affichage prévue à la section 5.1 —, vous avez en outre le droit d’obtenir une intervention humaine de notre part, d’exprimer votre point de vue et de contester la décision ; écrivez à privacy@worldrepublic.org. Nous prenons ces deux décisions par des moyens automatisés parce que chacune est nécessaire au service que vous nous avez demandé. Pour le refus, ce service est une élection test dans laquelle une personne vérifiée dispose d’une voix. Pour la décision d’affichage, ce service est un registre dans lequel chaque entrée correspond à une inscription de parti authentique. Le refus porte sur des données relevant d’une catégorie particulière — vos données biométriques — et la condition sur laquelle nous nous fondons à cet égard est le consentement explicite que vous donnez lors de la vérification faciale (section 4.4). La décision d’affichage n’est jamais prise en fonction des opinions politiques qu’exprime une inscription ; ces opinions ne sont lues que parce qu’elles font partie du texte vérifié, et c’est vous-même qui les rendez publiques en inscrivant le parti en vue de sa publication (section 5.1). La réponse prévue à la section 5.2 est différente à ces deux égards : elle passe bel et bien par la lecture de la position qu’un parti publie sur l’IA, et elle ne change rien à la manière dont votre parti est affiché, sauf si un lecteur demande à voir uniquement les partis qui indiquent ce qu’ils veulent en matière d’IA (section 5.2). Vous pouvez demander qu’une personne la réexamine, et vous pouvez vous y opposer, parce que nous nous fondons pour elle sur notre intérêt légitime (section 10.6). Vous pouvez déposer une réclamation auprès de votre autorité de contrôle locale ; aux fins du RGPD de l’Union européenne, notre autorité de contrôle chef de file est la NAIH hongroise (section 14).
• Suisse (nLPD) : l’accès, la rectification, la suppression, la portabilité des données (art. 28 nLPD), l’opposition et le droit de déposer une dénonciation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT). Pour le refus automatique décrit à la section 4.1, vous pouvez aussi faire valoir votre point de vue et demander que la décision soit examinée par une personne.
• Brésil (LGPD) : la confirmation que nous traitons vos données, l’accès, la correction, l’anonymisation ou la suppression, la portabilité, l’information sur les personnes avec lesquelles nous avons partagé vos données, et le retrait du consentement.
• Californie (CCPA/CPRA) : savoir, supprimer, corriger, refuser la vente ou le partage (nous ne vendons ni ne partageons), et limiter l’utilisation des informations personnelles sensibles (qui comprennent les données biométriques).
• Lois biométriques (BIPA de l’Illinois, CUBI du Texas, État de Washington) : nous obtenons votre consentement avant de collecter des données biométriques, nous ne les vendons jamais, ne les louons jamais, n’en faisons jamais commerce et n’en tirons jamais profit d’une autre manière, et nous suivons un calendrier écrit de conservation et de destruction. Elles ne font jamais partie d’une fusion, d’une acquisition ou d’une cession d’actifs (section 6).

Vous pouvez retirer à tout moment votre consentement au décompte de votre bulletin (section 5.3) : dans l’application, ouvrez Compte → Vérification → Retirer mon consentement au vote. Le retrait couvre toutes les élections lors desquelles vous avez voté, et nous enregistrons le jour où vous le retirez (section 8). Le retrait ne compromet pas la licéité du décompte de vos votes effectué avant ce retrait. Un vote déjà décompté reste dans le total du parti : votre choix fait partie de ce total et n’est pas stocké avec votre compte, de sorte que nous ne pouvons rien en retirer séparément (section 9). Le retrait ne raccourcit pas les durées, indiquées à la section 5.3, pendant lesquelles un bulletin peut encore être relié à vous. Lors de votre prochain vote, votre consentement vous sera de nouveau demandé.

10.1 Comment les exercer

Il existe deux voies. La première répond à l’accès et à la portabilité sur-le-champ, sans rien demander à personne.

• Dans l’application. Ouvrez les paramètres de votre compte ; sous Compte figure une ligne intitulée Vos données. Elle constitue une copie de tout ce que nous détenons à votre sujet et que nous pouvons atteindre depuis votre compte — une page que vous pouvez lire et un fichier lisible par machine que vous pouvez remettre à un autre service. Elle est constituée au moment où vous la demandez, pour le compte qui la demande, et elle n’est stockée nulle part : nous n’en conservons aucune copie et il n’existe aucun lien qui puisse être envoyé à quelqu’un d’autre. C’est notre réponse au droit d’accès et à la portabilité, et vous n’avez pas à nous la demander. Cette copie ne contient pas les images que vos vérifications faciales ont laissées chez nous : elles restent en dehors d’un fichier conçu pour être transmis. Téléchargez-les plutôt depuis Compte → Vérification, où elles sont fournies dans un fichier distinct — toutes les images conservées au titre de vos propres vérifications faciales, et jamais aucune conservée au titre de celles de quelqu’un d’autre. La suppression de votre compte se trouve sur le même écran.
• Par écrit. Tout le reste — la rectification, la limitation, l’opposition, une question sur les données détenues par nos prestataires (sections 4.3 et 6), ou une réclamation au sujet d’une décision — est à adresser à privacy@worldrepublic.org.

La connexion ne nous laisse aucune adresse e-mail vous concernant (section 3.1) : nous ne pouvons donc normalement répondre qu’à une adresse depuis laquelle vous nous écrivez. Il existe une exception, et elle est étroite. Si vous signalez un parti, nous conservons l’adresse que vous avez indiquée dans ce signalement, et nous l’utilisons pour ce signalement et rien d’autre : pour confirmer que nous l’avons bien reçu, et pour vous dire ce que nous avons décidé. Nous ne l’utilisons pas pour répondre à une autre question, pour vous informer d’une modification de la présente politique, ni pour vous envoyer quoi que ce soit que vous n’avez pas demandé. Elle fait aussi partie de l’enregistrement de la décision, et c’est pourquoi la section 8 la conserve au lieu de l’abandonner une fois les deux messages partis.

10.2 Nos délais de réponse

Balázs Kónya, membre du comité, est responsable des réponses aux demandes adressées à privacy@worldrepublic.org, dans les délais exposés ci-dessous. Nous ne promettons pas de délai interne plus court que celui qu’exige la loi : un objectif que personne ne tient vaut moins que le délai légal respecté, et ce sont les délais ci-dessous que nous nous imposons.

Le délai court à compter du jour où votre demande nous parvient — et non du jour où nous achevons de vous identifier, ni du jour où nous trouvons ce que vous avez demandé. Au titre du RGPD et du RGPD britannique, nous répondons dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois à compter de la réception. Lorsqu’une demande est complexe, ou lorsque vous en avez formulé plusieurs, nous pouvons prendre jusqu’à deux mois supplémentaires ; nous vous informerons dans le premier mois que nous le faisons, et pourquoi.

Lorsque la loi de votre lieu de résidence prévoit autre chose, c’est cela que nous appliquons :

• Royaume-Uni. Si nous avons raisonnablement besoin d’informations supplémentaires pour vous identifier ou pour trouver ce que vous avez demandé, le délai est suspendu du jour où nous les demandons jusqu’au jour où vous répondez. Nous ne les demanderons que lorsque nous ne pouvons véritablement pas avancer sans elles.
• Brésil. Nous confirmons si nous traitons vos données et vous y donnons accès sous une forme simplifiée immédiatement, et intégralement dans les 15 jours suivant votre demande.
• Suisse. Nous répondons en règle générale dans les 30 jours. La réponse comporte ce que l’art. 25, al. 2, nLPD lui impose de comporter, notamment les destinataires ou catégories de destinataires auxquels vos données sont communiquées et, lorsqu’elles sont communiquées à l’étranger, le pays concerné et les garanties sur lesquelles nous nous appuyons — les sections 6 et 7 exposent les deux par avance.
• Californie. Nous accusons réception dans les 10 jours ouvrables et répondons dans les 45 jours, délai que nous pouvons prolonger une fois de 45 jours supplémentaires si nous vous en disons la raison.

10.3 Comment nous nous assurons qu’il s’agit bien de vous

Nous ne détenons pour vous aucune pièce d’identité ni aucune adresse en dossier : l’échelle ci-dessous est donc tout ce dont nous disposons. Nous la parcourons de haut en bas et nous nous arrêtons à la première étape qui vous identifie.

1. Votre compte connecté. La copie dans l’application et le téléchargement des images de vos vérifications faciales sont constitués pour le compte qui les demande, au moment où il les demande. Rien ne vous identifie mieux, et c’est pourquoi il s’agit de la première voie de la section 10.1 et non d’une simple commodité.
2. Une clé d’accès enregistrée sur ce compte. Si vous ne pouvez pas accéder à l’application, nous pouvons vous demander d’effectuer une connexion par clé d’accès avec un justificatif que le compte détient déjà.
3. Le compte Google qui y est associé. Si vous vous connectez avec Google, nous pouvons vous demander de démontrer que vous contrôlez ce compte en vous y connectant.
4. Des informations supplémentaires. Si aucune de ces voies n’est possible, nous pouvons vous demander les informations supplémentaires dont nous avons raisonnablement besoin pour nous assurer que la demande émane bien de vous, et rien de plus.
5. Un refus écrit. Si nous ne parvenons toujours pas à nous en assurer, nous vous le dirons par écrit, dans le délai prévu à la section 10.2, avec nos motifs et avec la voie de réclamation indiquée à la section 10.4. Nous préférons refuser une demande que nous ne pouvons pas rattacher à son auteur plutôt que d’y répondre à la mauvaise personne.

Nous n’accepterons jamais une adresse de portefeuille comme preuve de votre identité. Les retraits sont effectués sur des chaînes de blocs publiques : une adresse que vous avez utilisée est donc quelque chose que toute personne qui lit la chaîne de blocs peut nommer ; la connaître ne prouve rien, et signer un message depuis cette adresse prouverait la maîtrise d’une clé, non celle de ce compte.

Nous ne vous demanderons pas non plus de pièce d’identité pour répondre à une demande. Nous ne détenons aucune pièce d’identité à laquelle la comparer : elle ne nous apprendrait rien et vous coûterait plus que la demande ne vaut.

10.4 Si nous refusons

Si nous ne donnons pas suite à votre demande, nous vous en dirons la raison, dans le délai prévu à la section 10.2, et nous vous dirons quoi faire ensuite. Vous pouvez déposer une réclamation auprès de l’autorité de protection des données de votre lieu de résidence — pour l’Union européenne, la NAIH hongroise, en Suisse le PFPDT, au Royaume-Uni l’ICO (section 14) — et vous pouvez saisir un tribunal. Ni l’une ni l’autre de ces démarches ne dépend de notre accord.

Au Royaume-Uni, vous avez en outre le droit de nous adresser directement une réclamation. Nous accuserons réception d’une réclamation dans les 30 jours et vous en communiquerons l’issue dans les meilleurs délais. Nous adresser une réclamation n’est pas une condition pour en déposer une auprès de l’ICO.

10.5 Ce que cela coûte

Rien. Lorsqu’une demande est manifestement infondée ou excessive — en particulier lorsqu’elle répète une demande à laquelle nous avons déjà répondu —, la loi nous permet d’exiger des frais raisonnables ou de refuser d’y donner suite, et si nous le faisions un jour, nous dirions laquelle de ces deux voies et pourquoi. Nous préférons refuser une demande en la motivant plutôt que de mettre un prix sur toutes les autres.

Le fichier lisible par machine et le téléchargement des images de vos vérifications faciales partagent une petite limite quant au nombre de copies qui peuvent être faites sur toute période de 24 heures. Il ne s’agit pas de frais et cela ne tient pas à la capacité : cette limite existe pour que quelqu’un qui met la main sur votre session ne puisse pas emporter discrètement l’intégralité de votre dossier, encore et encore. Elle ne vous empêche jamais de lire la copie à l’écran, et elle ne vous empêche jamais de nous écrire.

10.6 Deux droits que nous traitons manuellement

L’accès, la portabilité et la suppression se trouvent dans l’application et ne nécessitent aucune demande. Ce n’est pas le cas de la limitation et de l’opposition. Nous ne disposons d’aucun interrupteur qui suspende le traitement d’une partie de votre dossier tout en laissant le reste fonctionner : une demande de limitation ou d’opposition est donc exécutée par nous, manuellement, au cas par cas, dans les délais prévus à la section 10.2. Écrivez-nous, dites ce que vous voulez voir cesser et ce qui, dans votre situation particulière, le justifie, et nous en pèserons la portée avant de vous dire ce que nous avons fait. Nous préférons vous dire que c’est manuel plutôt que de vous laisser le déduire du temps que cela prend.

11. Sécurité

Nous utilisons le protocole TLS pour les données en transit et un stockage à accès contrôlé. L’accès direct à notre base de données est limité aux personnes que nous autorisons à faire fonctionner le Service, à nos prestataires de base de données et d’hébergement, et aux logiciels que nous utilisons pour faire fonctionner le Service. Nous ne faisons une copie de notre base de données que pour tester une modification du Service ou pour remédier à une panne, et nous la supprimons lorsque ce travail prend fin. Une copie contient les mêmes données, et la section 9 indique combien de temps elle conserve ce que nous supprimons. Aucun système n’est parfaitement sûr, mais nous travaillons à protéger vos données.

12. Mineurs

Le Service est destiné aux adultes de 18 ans ou plus. Avant de vérifier votre identité, nous vous demandons de confirmer que vous avez 18 ans ou plus, et nous ne vérifions l’identité de personne qui ne le confirme pas. Nous enregistrons seulement le fait que la confirmation a été donnée et à quelle date ; nous ne demandons pas votre date de naissance.

Nous ne collectons pas sciemment de données auprès de personnes de moins de 18 ans. Si nous apprenons que nous détenons des données concernant une personne de moins de 18 ans, nous fermons son compte et détruisons ses données biométriques comme l’expose la section 2 de notre Politique de conservation et de destruction des données biométriques. Si vous pensez qu’une personne de moins de 18 ans possède un compte, écrivez à privacy@worldrepublic.org.

13. Modifications

Nous pouvons mettre à jour la présente politique. Lorsque nous le faisons, nous publions le nouveau texte sur cette page et actualisons la date de « Dernière mise à jour » ci-dessus. Une modification de la présente politique prend effet dès sa publication. La présente politique décrit ce que nous faisons réellement de vos données : elle doit donc devenir vraie au moment même où devient vrai ce qu’elle décrit ; retarder une modification d’un mois signifierait seulement que cette politique aurait été inexacte pendant un mois. Il n’en va pas de même des Conditions d’utilisation. Les Conditions d’utilisation sont l’accord conclu entre vous et nous, et la section 14 des Conditions d’utilisation vous accorde 30 jours avant qu’une modification substantielle de cet accord ne vous soit applicable.

Une modification est délibérément plus lente. Si nous allongions un jour la durée pendant laquelle nous conservons les données biométriques, la durée allongée ne s’appliquerait aux données que nous détenons déjà qu’une fois la modification publiée depuis 30 jours. La section 6 de la Politique de conservation et de destruction des données biométriques l’expose, et elle régit la durée indiquée à la section 4.5 et dans le tableau de conservation de la section 8.

Nous ne pouvons pas vous adresser d’avis lorsque la présente politique change. La connexion ne nous laisse aucune adresse e-mail, aucun numéro de téléphone et aucune adresse postale, parce que nous ne conservons délibérément rien de tout cela (section 3.1), et le Service ne comporte ni bannière ni message qui pourrait vous en informer. Si vous avez signalé un parti, nous détenons l’adresse que vous avez indiquée dans ce signalement — et nous ne l’utiliserons pas pour cela, ni pour autre chose que ce signalement (section 10.1). C’est la conséquence du fait que nous conservons si peu : hormis une adresse indiquée dans un signalement, nous ne détenons aucune coordonnée vous concernant. La section 10.1 dit la même chose de tout le reste — nous ne pouvons répondre qu’à une adresse depuis laquelle vous nous écrivez. Cette page est donc l’avis : le texte en vigueur s’y trouve toujours, et la date ci-dessus est celle à laquelle nous avons modifié cette politique pour la dernière fois.

La présente politique est rédigée en anglais, et nous la publions dans d’autres langues. La version qui vous est applicable est celle rédigée dans la langue que le Service vous a présentée. Lorsque cette version et le texte anglais divergent, c’est le sens le plus favorable pour vous qui s’applique.

14. Contact

• Confidentialité : privacy@worldrepublic.org
• Contact dans l’Union européenne : Balázs Kónya, membre du comité, 3626 Hangony, Dózsa György út 5., Hongrie (privacy@worldrepublic.org)
• Autorité de contrôle chef de file dans l’Union européenne : Autorité nationale hongroise pour la protection des données et la liberté d’information (NAIH), Budapest — naih.hu
• Autorité de contrôle suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT), Berne
• Autorité de contrôle britannique : Information Commissioner’s Office (ICO), Wilmslow — ico.org.uk