Hébergement et données
Vous demandez leur avis à des gens. Voici ce qu’ils vous confient.
Où vivent les données, qui peut y accéder, combien de temps elles restent, et ce que vous signez. Tout est vérifiable, et rien n’est réservé aux formules payantes.
Où passent les réponses
Une consultation recueille l’avis de personnes qui ne se sont inscrites nulle part. La moindre des choses est de dire par où cet avis transite, et jusqu’où il va.
- Le navigateur du participantIl ouvre le lien, répond, referme. Pendant ce temps, la page n’appelle que notre propre domaine : ni script, ni police, ni image servie par un tiers.
- L’applicationUn conteneur exécuté en région fr-par (Paris). C’est là que la réponse est pseudonymisée, avec une clé propre à cette consultation — et jamais avec la même d’une consultation à l’autre.
- La base de donnéesPostgreSQL managé, même région, chiffré au repos et sauvegardé chaque jour. Une purge automatique applique chaque nuit les durées de conservation annoncées.
Les mesures, en clair
Elles sont en place, et non projetées. Chacune figure à l’annexe II du contrat de sous-traitance, dans sa formulation contractuelle.
Le cloisonnement est tenu par la base
L’isolation entre organisations n’est pas une précaution de code : elle est appliquée par PostgreSQL à chaque requête, y compris à une requête écrite par erreur sans filtre. L’oubli devient impossible plutôt que testé.
Les réponses sont pseudonymisées par consultation
L’identifiant du participant est dérivé avec une clé propre à chaque consultation, mélangée à une graine délivrée par le serveur. L’empreinte enregistrée diffère donc d’une consultation à l’autre, et les avis d’une même personne ne se recoupent pas.
Chiffrement en transit et au repos
Toutes les liaisons sont chiffrées, y compris entre le service et sa base. Le volume de la base l’est également, au niveau de l’instance managée. Les mots de passe sont dérivés par scrypt, jamais réversibles.
Aucune mesure d’audience
Pas de traceur, pas de pixel publicitaire, pas de police servie par un tiers. Une page de ce site n’émet aucune requête vers un autre domaine que le nôtre.
Une purge automatique chaque nuit
Les durées de conservation annoncées sont appliquées par une purge nocturne, sans intervention humaine. Les sauvegardes quotidiennes sont conservées sept jours, dans la même région française.
Vos contributions ne servent à rien d’autre
Elles n’entraînent aucun modèle, n’alimentent aucune publicité et ne sont revendues à personne. Ce n’est pas une intention : c’est un engagement contractuel, à l’article 4 du contrat de sous-traitance.
Ce que le contrat vous garantit
Le contrat de sous-traitance prévu par l’article 28 du RGPD est publié en clair. Il n’est pas une option d’une formule payante : il s’applique à tout client, offre gratuite comprise, parce que le règlement l’impose.
- Vous restez responsable de traitement. Nous n’agissons que sur vos instructions, et nous nous interdisons tout usage propre des données recueillies.
- Toute addition à la liste des sous-traitants est publiée avant d’entrer en service, ce qui vous laisse le temps de vous y opposer.
- En cas de violation de données, vous êtes notifié sans délai injustifié, avec les éléments dont vous avez besoin pour votre propre notification.
- À la fin du contrat, vos données vous sont restituées puis effacées. La récupération intégrale est gratuite sur toutes les formules.
Une copie signée s’obtient sur demande à contact@placecommune.app, qui est aussi le point de contact pour toute question de protection des données.
Ce que nous ne prétendons pas
La protection contre les réponses multiples est une déduplication technique par consultation. Elle est robuste, et distincte d’une authentification : elle ne convient pas à un scrutin réglementaire, ni à une élection dont le résultat doit être opposable. Nous le disons ici plutôt que de le laisser découvrir.
La pseudonymisation n’est pas un anonymat absolu. Elle empêche de rapprocher les avis d’une même personne d’une consultation à l’autre ; elle ne prétend pas résister à un recoupement avec des données que vous détiendriez par ailleurs.
Aucune formule ne s’accompagne d’un engagement contractuel de disponibilité : PlaceCommune est édité par une structure d’une personne, qui ne promet pas ce qu’une astreinte permettrait seule de tenir.