Accord de sous-traitance

Objet et qualité des parties

Le présent accord encadre le traitement des données personnelles que Condorcet.Vote effectue pour le compte de l'organisateur d'un scrutin, conformément à l'article 28 du RGPD. L'organisateur est responsable du traitement ; Condorcet.Vote est sous-traitant. Cet accord complète les conditions d'utilisation et prévaut sur elles pour tout ce qui concerne le traitement des données personnelles. Il est conclu du seul fait d'utiliser le service pour organiser un scrutin ; une version signée peut être demandée à contact@condorcet.vote.

Objet, nature et durée du traitement

Le traitement a pour objet la tenue d'un scrutin : prise en charge de la liste électorale fournie par l'organisateur, distribution des liens de vote, recueil des bulletins, publication du registre et du résultat. Sa nature est l'hébergement, l'envoi de messages, le stockage et la publication tels que le service les définit. Il dure le temps du scrutin puis, pour les données nominatives, le temps nécessaire à la période pendant laquelle le résultat peut être contesté ; l'organisateur peut en demander la suppression à tout moment.

Données et personnes concernées

Le traitement porte sur les catégories ci-dessous. Le service ne demande aucune donnée sensible au sens de l'article 9 du RGPD, et l'organisateur s'engage à ne pas en introduire dans les champs libres.

Votants

Adresse e-mail, nom si l'organisateur le renseigne, poids de vote, participation au scrutin, clé publique de vote et empreinte du lien de vote.

Bulletins

Contenu du bulletin et signature cryptographique, sans lien avec l'identité du votant, sauf si l'organisateur active le vote non anonyme, auquel cas l'identité est publiée avec le bulletin.

Contenus du scrutin

Intitulé, description, candidats et messages saisis par l'organisateur, susceptibles de contenir des données personnelles comme les noms et photos des candidats.

Personnes concernées

Les votants inscrits par l'organisateur et, le cas échéant, les candidats qu'il désigne.

Traitement sur instruction documentée

Nous ne traitons ces données que pour la finalité ci-dessus et sur instruction de l'organisateur : la configuration du scrutin qu'il définit dans l'interface vaut instruction documentée. Nous ne les utilisons pas pour notre propre compte, ni pour de la prospection, ni pour entraîner un modèle, et ne les communiquons à personne en dehors des sous-traitants listés plus bas. Si une instruction nous paraît contraire au RGPD, nous en informons l'organisateur.

Confidentialité

Les personnes autorisées à accéder à ces données sont tenues à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire à l'exploitation du service ou à une demande de support. Le protocole de vote est conçu pour que le contenu d'un bulletin ne soit accessible à personne, nous y compris.

Mesures de sécurité

Compte tenu de l'état de l'art et des risques, les mesures suivantes sont mises en œuvre au titre de l'article 32 du RGPD.

Chiffrement en transit

Tous les échanges avec le service sont chiffrés (TLS).

Secrets au repos

Mots de passe hachés, secrets de double authentification chiffrés, liens de vote conservés sous forme d'empreinte ; le lien de groupe permanent, qui doit pouvoir être réaffiché, est chiffré.

Secret du bulletin

Le bulletin est signé dans le navigateur du votant par un schéma de signature en anneau : côté serveur, le lien entre un bulletin et une identité n'existe pas.

Intégrité

Chaque bloc du registre est haché, enchaîné au précédent et signé par une clé de la plateforme publiée et vérifiable par quiconque.

Cloisonnement du navigateur

Les pages de vote sont servies sous une politique de sécurité stricte, sans aucun script tiers.

Authentification renforcée

Double authentification et clés d'accès (passkeys) disponibles sur les comptes organisateurs.

Hébergement

Serveurs, base de données et registre hébergés en France.

Sous-traitants ultérieurs

L'organisateur autorise le recours aux sous-traitants suivants, tenus par des obligations équivalentes à celles du présent accord. Nous l'informons de tout ajout ou remplacement ; il peut s'y opposer pour un motif légitime, son opposition valant alors résiliation du service pour l'avenir.

OVH (France)

Hébergement de l'intégralité du service : serveurs, base de données et registre public, en France.

Resend

Acheminement des e-mails transactionnels : liens de vote, confirmations et notifications. Les adresses des destinataires transitent par ce service, dont l'infrastructure peut se situer hors de l'Union européenne ; ce transfert est encadré par les clauses contractuelles types de la Commission européenne.

Droits des personnes concernées

Les demandes d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité relèvent de l'organisateur, responsable du traitement. Nous l'assistons par les moyens du service (consultation et modification de la liste, suppression sur demande) et lui transmettons sans délai toute demande qui nous parviendrait directement. Le registre déjà publié ne peut pas être modifié : une demande d'effacement porte sur les données détenues en dehors de lui.

Violations de données

En cas de violation de données affectant un scrutin, nous en informons l'organisateur sans délai injustifié après en avoir pris connaissance, avec les éléments dont nous disposons : nature de la violation, catégories de données et de personnes concernées, conséquences probables et mesures prises. La notification à l'autorité de contrôle et, s'il y a lieu, aux personnes concernées incombe à l'organisateur.

Assistance à la conformité

Nous fournissons à l'organisateur les informations nécessaires pour démontrer le respect de ses obligations et pour conduire, le cas échéant, une analyse d'impact : description du protocole, documentation technique publique, code source des bibliothèques et registre vérifiable.

Sort des données à la fin de la prestation

À la fin de la prestation, les données nominatives sont supprimées sur demande de l'organisateur ou lui sont restituées dans un format exploitable s'il le préfère. Une exception, inhérente au service et acceptée en l'utilisant : le registre public déjà publié n'est pas supprimé, car son effacement détruirait la preuve d'intégrité du scrutin. Il ne contient aucune identité en clair, sauf si l'organisateur a activé le vote non anonyme.

Audit et vérification

L'organisateur peut vérifier le respect du présent accord : nous mettons à disposition la documentation utile et répondons à ses questions écrites. Un audit sur pièces ou sur site peut être organisé sous réserve d'un préavis raisonnable, à ses frais, et dans des conditions préservant la sécurité et la confidentialité des autres clients.

Responsabilité et droit applicable

La responsabilité des parties est régie par les conditions d'utilisation. Le présent accord est soumis au droit français ; les tribunaux de Paris sont compétents, sous réserve des règles impératives de compétence applicables aux consommateurs.