Politique de confidentialité

1. Qui sommes-nous ?

La plateforme Ma Démocratie.fr est éditée par la société JSC DIGITAL, Société par Actions Simplifiée à associé unique au capital de 1 000,00 euros, immatriculée au Registre du Commerce et des Sociétés d’Aix-en-Provence sous le numéro 999 457 526, dont le siège social est situé 11 boulevard de la Grande Thumine, Parc d’Ariane – Bâtiment E1, 13090 Aix-en-Provence, représentée par son Président, M. Julien Scarella.

JSC DIGITAL est responsable de traitement au sens de l’article 4 du règlement (UE) 2016/679 (RGPD) pour l’ensemble des données personnelles collectées via la plateforme.

Contact pour toute question relative à vos données : contact@mademocratie.fr.

Délégué à la protection des données : sa désignation est en cours. Ses coordonnées figureront ici dès qu’elle sera effective ; dans l’intervalle, toute demande relative à vos données est adressée à contact@mademocratie.fr.

2. À qui s’applique cette politique

La présente politique s’applique à toutes les personnes physiques dont les données sont traitées via la plateforme :

• les citoyens inscrits, dans les conditions des CGU Citoyens ;
• les personnes qui ne résident pas en France titulaires d’un compte visiteur, dans les conditions des CGU Visiteurs (section 3 quater) ;
• les élus en exercice titulaires d’un compte Élu, dans les conditions des CGU Élus ;
• les candidats à une élection titulaires d’un espace Candidat, dans les conditions des CGV Candidats ;
• les candidats à l’élection présidentielle dont le profil est présenté sans avoir été revendiqué, pour les données publiques les concernant ;
• les personnes qui déposent une demande d’inscription pour le compte d’un candidat, et le mandataire financier du candidat ;
• les personnes physiques référentes des collectivités, établissements publics, associations et conseils de quartier inscrits, dans les conditions des conditions générales qui leur sont propres ;
• les gestionnaires des établissements professionnels inscrits au titre de l’offre Entreprises, dans les conditions des CGU Entreprises, ainsi que les entrepreneurs individuels et les dirigeants dont les données publiques, issues du répertoire Sirene et du Registre national des entreprises, servent à identifier les établissements et à vérifier la qualité de leur déclarant (section 3 ter) ;
• les personnes, inscrites ou non, qui adressent une demande à un établissement professionnel (réservation, devis, rendez-vous, renseignements), pour la seule transmission de cette demande (section 3 ter) ;
• les adhérents des associations, comités d’intérêt de quartier et conseils de quartier inscrits qui utilisent leur espace adhérents, les enfants qu’un adulte y déclare et les autres adultes autorisés à suivre un adhérent mineur (section 3 bis) ;
• les visiteurs non inscrits, pour les seules données de navigation décrites par la Politique de cookies.

Elle ne s’applique pas aux traitements mis en œuvre par les collectivités et établissements publics pour leur propre compte, en dehors de la plateforme, à partir des démarches qui leur sont adressées : ils en sont alors responsables de traitement au sens du RGPD. Les élus, candidats et associations ne peuvent pas extraire ces données de la plateforme (section 5.3). Chaque établissement professionnel est de même responsable du traitement des demandes qu’il reçoit.

Pour l’espace adhérents, chaque association, comité d’intérêt de quartier ou conseil de quartier est responsable du traitement des données de ses adhérents ; JSC DIGITAL agit pour son compte en qualité de sous-traitant (section 3 bis).

3. Quelles données, pour quoi faire, sur quelle base légale, et combien de temps

Note sur les réactions par émoji. Nul ne sait qui a réagi à une publication, et vous ne voyez jamais les réactions des autres citoyens avant d’avoir donné la vôtre. Sur les publications des collectivités, établissements publics, candidats, associations et conseils de quartier, vous découvrez ensuite le décompte agrégé des réactions. Sur les publications des élus, aucun décompte n’est jamais affiché. Sur les publications des établissements professionnels, seule la réaction « J’apprécie » est proposée : aucun décompte n’est affiché aux citoyens et seul l’établissement en reçoit le total. Vous ne pouvez réagir qu’aux publications qui concernent votre territoire. Vos réactions sont confidentielles mais ne sont pas anonymes : le lien entre votre compte et votre réaction est conservé, sous forme pseudonymisée, pour trois finalités limitatives — garantir une seule réaction active par compte et par publication, vous permettre de la modifier ou de la retirer, et l’effacer en cas de suppression de votre compte ou de retrait de votre consentement. Le lien est supprimé sans délai si vous retirez votre réaction, si la publication ou votre compte est supprimé, ou si vous retirez votre consentement. Une fois supprimées, ces données peuvent subsister dans les sauvegardes techniques pendant trente (30) jours au maximum, puis en sont définitivement effacées.

Le lien est conservé tant que votre réaction est active et que la publication est en ligne ; il disparaît avec la publication, dont la durée de conservation figure au tableau ci-dessus. La réaction aux publications des élus et des candidats n’est ouverte qu’une fois le dispositif de recueil du consentement en service ; le décompte agrégé est affiché au fur et à mesure de la mise en service du régime « résultat révélé » (CGU Citoyens, article 7).

Note sur vos démarches. Vos questions, propositions et signalements sont transmis à leur destinataire avec votre nom, votre prénom et votre commune — jamais votre adresse email ni votre numéro de téléphone. Ils ne sont publiés que si vous l’avez autorisé à l’envoi et si le destinataire choisit de répondre publiquement ; la publication porte alors sur votre démarche et la réponse ensemble, sous l’identité que vous avez choisie (prénom et initiale du nom, ou nom complet). Aucune démarche d’un mineur n’est publiée sous son nom complet. Vous pouvez retirer votre autorisation à tout moment depuis votre espace « Mes échanges ».

3 bis. L’espace adhérents des associations

Rôles. Pour l’espace adhérents, chaque association, comité d’intérêt de quartier ou conseil de quartier (la « structure ») est responsable du traitement des données de ses adhérents ; JSC DIGITAL agit pour son compte en qualité de sous-traitant au sens de l’article 28 du RGPD, dans les conditions de l’Annexe 2 des CGU Associations. Pour toute question sur l’usage que la structure fait de ces données, adressez-vous d’abord à elle ; vous pouvez aussi écrire à contact@mademocratie.fr, qui lui transmet votre demande.

Données traitées. La demande d’accès comporte l’identité de l’adhérent ou, pour un enfant, ses nom, prénom et date de naissance déclarés par l’adulte qui fait la demande, avec son lien avec l’enfant ; les nom, prénom, lien avec l’adhérent et adresse email des autres adultes autorisés à le suivre (quatre adultes au plus, demandeur compris) ; les groupes de l’adhérent ; ses autorisations d’image ; ses réponses de présence, réactions, réponses aux sondages et questions dans les fils de l’espace adhérents.

Visibilité. La date de naissance complète n’est visible que du super-administrateur de la structure. Dans les fils, un mineur n’apparaît que sous son prénom et l’initiale de son nom. Les adresses email des autres adultes ne sont jamais communiquées à la structure : elles servent uniquement à leur adresser l’invitation et sont effacées dès son acceptation, ou trente (30) jours après son envoi. Les contenus de l’espace adhérents ne sont visibles que des membres concernés ; ils n’apparaissent jamais sur le fil public, sur le mini-site, dans la recherche ni dans les moteurs de recherche. Les photos et documents qui y sont publiés sont conservés dans un espace de stockage privé et ne sont transmis qu’aux membres autorisés.

Autorisations d’image. Les trois autorisations proposées (fil du groupe, espace adhérents, diffusion publique) sont facultatives et recueillies pour le compte de la structure ; un refus ne prive jamais de l’accès. Pour un mineur, une autorisation n’est effective qu’avec l’accord de ses deux parents, chacun depuis son propre compte, sauf attestation par un parent qu’il exerce seul l’autorité parentale ou décision d’un tuteur légal ; le mineur de quinze à dix-sept ans titulaire d’un compte donne en outre son propre accord. Chaque choix est conservé avec son auteur, sa date et la version du texte accepté, tant que l’adhésion existe, afin que la structure puisse justifier de l’autorisation ; un retrait vaut pour les publications à venir et la structure en est avertie.

Notifications et agenda. Selon le réglage que vous choisissez pour chaque structure dans « Mes associations » (Tout, Convocations et sondages seulement, Aucun), vous recevez des courriels qui ne contiennent jamais le texte des messages. Si vous l’acceptez, les convocations vous sont en outre adressées sous forme d’invitation d’agenda (titre, date, durée et lieu), mise à jour ou annulée si la convocation change ; votre adresse email n’est jamais communiquée à la structure. Vous pouvez retirer cet accord à tout moment.

Durées de conservation. Demandes d’accès refusées : trente (30) jours ; adhésions non renouvelées : trente (30) jours après la clôture de la saison ; contenus de l’espace adhérents : durée d’existence du compte de la structure. La suppression du compte de la structure entraîne l’effacement de ses contenus et de ses listes d’adhérents dans un délai de trente (30) jours ; votre compte citoyen n’en est pas affecté.

Données sensibles. L’adhésion à certaines structures peut révéler une donnée sensible au sens de l’article 9 du RGPD. Les partis et groupements politiques, les syndicats et les associations dont l’objet est l’exercice d’un culte ne sont pas admis sur la plateforme. Chaque structure, responsable de traitement, garantit la licéité des traitements qu’elle met en œuvre par l’espace adhérents et s’interdit d’y publier une donnée sensible concernant un adhérent sans base légale appropriée.

Accès de Ma Démocratie.fr. JSC DIGITAL ne consulte pas les contenus de l’espace adhérents, sauf de manière ponctuelle, motivée et journalisée, pour traiter un signalement, assurer la sécurité de la plateforme ou répondre à une réquisition légale.

3 ter. Les établissements professionnels

Vérification. Pour vérifier la qualité de la personne qui inscrit un établissement, JSC DIGITAL compare son identité à celle des dirigeants inscrits au Registre national des entreprises ; à défaut de concordance, un code à usage unique est adressé par courrier postal à l’adresse de l’établissement. Le numéro d’inscription à un ordre ou à un registre déclaré par un professionnel réglementé est contrôlé, jamais publié, et supprimé douze (12) mois après sa validation. Le nom des gestionnaires n’est jamais affiché sur les publications de l’établissement.

Recommandations. Une recommandation est enregistrée avec votre compte pour garantir qu’elle est unique et vous permettre de la retirer. L’établissement n’en connaît que le total, affiché publiquement à partir de cinq (5) ; personne ne sait qui l’a recommandé. Vos recommandations sont effacées si vous quittez le territoire de l’établissement.

Demandes adressées aux établissements. Lorsque vous adressez une demande à un établissement depuis sa vitrine ou une publication, JSC DIGITAL la lui transmet par courriel, ou prépare un SMS que vous envoyez vous-même depuis votre téléphone, sans conserver ni votre message ni vos coordonnées. L’établissement qui la reçoit en est responsable de traitement et ne peut l’utiliser que pour vous répondre. Lorsque l’établissement renvoie vers son propre outil (réservation, prise de rendez-vous, boutique en ligne), les données que vous y saisissez relèvent de cet outil et de l’établissement.

Abonnement. Le paiement de l’abonnement d’un établissement est traité par Stripe (section 5.4) ; JSC DIGITAL ne conserve aucune donnée de carte bancaire.

3 quater. Le compte visiteur

Personnes concernées. Le compte visiteur est réservé aux personnes qui ne résident pas en France, outre-mer compris (CGU Visiteurs). L’inscription demande le prénom, le nom, la date de naissance, le pays de résidence, l’adresse email, un mot de passe et l’attestation de ne pas résider en France ; aucune adresse, aucun numéro de téléphone ni aucune commune n’est demandé.

Usages. Le visiteur suit les territoires de son choix, tient son agenda personnel (hors événements des élus et des candidats), adresse des questions aux associations et des demandes aux établissements professionnels : ces données sont traitées comme celles des citoyens (section 3 et section 3 ter). Il ne réagit pas aux publications, ne vote pas aux consultations, ne recommande pas d’établissement et n’adresse aucune démarche aux élus ni aux candidats.

« Je serai présent ». Seule réaction ouverte au visiteur, sur les événements publiés par les collectivités, elle repose sur son consentement ; la collectivité n’en connaît que le nombre. Le retrait du consentement efface ces réponses.

Résidence à l’étranger. Les données du visiteur sont hébergées en France dans les mêmes conditions que celles des autres utilisateurs (section 8). Le visiteur peut saisir la CNIL ou l’autorité de protection des données de son pays de résidence. S’il s’installe en France, son compte devient un compte citoyen, régi par les CGU Citoyens.

4. Ce que nous ne faisons pas

• Nous ne vendons pas vos données personnelles. À personne. Jamais.
• Nous ne les louons pas à des tiers.
• Nous ne les utilisons pas à des fins publicitaires ou de ciblage commercial.
• Nous ne pratiquons aucun profilage algorithmique de vos comportements, et la plateforme ne comporte aucun algorithme de recommandation : l’ordre d’affichage du fil est chronologique, sous la seule réserve des publications des collectivités territoriales, maintenues pendant sept (7) jours parmi les trente (30) premières selon une règle identique pour toutes ; l’annuaire des établissements est présenté dans un ordre tiré au sort chaque jour, qui ne dépend d’aucun paiement.
• Nous ne transmettons pas vos données aux collectivités, aux élus, aux candidats ni aux associations ni aux établissements professionnels, en dehors des démarches que vous leur adressez volontairement — et jamais votre adresse email ni votre numéro de téléphone. Les demandes que vous adressez à un établissement lui sont transmises avec les coordonnées que vous choisissez d’y indiquer.
• Nous ne partageons pas vos données avec des partis politiques ou des organisations électorales.
• Nous n’affichons jamais l’identité des auteurs de réactions, ni aucun décompte avant que vous ayez vous-même réagi — et jamais aucun décompte sur les publications des élus. Nous ne déduisons pas le consentement aux réactions sur les publications des élus et des candidats de la seule acceptation des CGU.

5. Qui a accès à vos données

5.1 En interne

Seules les personnes intervenant pour le compte de JSC DIGITAL et ayant besoin d’accéder à vos données dans le cadre de leurs fonctions y ont accès, dans le respect du principe de limitation des accès. Les accès sont individuels et tracés.

5.2 Les collectivités, établissements publics, associations et conseils de quartier

Ces entités ne reçoivent, sur leurs propres publications, que des données agrégées : nombre de réactions par type d’émoji — que les citoyens ayant réagi découvrent également —, répartition géographique au-delà d’un seuil minimal garantissant qu’aucune réaction ne peut être rattachée à une personne. Ces données ne sont visibles d’aucun autre utilisateur. Elles reçoivent vos nom, prénom et commune uniquement avec les démarches que vous leur adressez volontairement.

Une association, un comité d’intérêt de quartier ou un conseil de quartier reçoit en outre, pour ses seuls adhérents validés, les données de l’espace adhérents décrites à la section 3 bis, dans la limite des droits confiés à chacun de ses responsables : un responsable ne voit que les membres de ses groupes. Il lui est interdit d’extraire ou de réutiliser ces données en dehors de la vie associative, et d’exporter, de conserver hors de la plateforme ou de réutiliser l’identité des citoyens qui lui adressent des questions.

5.2 bis Les établissements professionnels

Un établissement professionnel ne reçoit que le total privé des « J’apprécie » sur ses publications, le nombre de ses recommandations et, au-delà d’un seuil minimal, le nombre de citoyens qui ont ajouté ses événements à leur agenda — jamais leur identité. Il reçoit les demandes que vous lui adressez, avec les coordonnées que vous y indiquez ; il lui est interdit de les utiliser à d’autres fins que d’y répondre, notamment de prospection.

5.3 Les élus et les candidats

Un élu ou un candidat ne reçoit que le décompte agrégé et privé des réactions par type d’émoji sur ses propres publications, sans répartition géographique, ainsi que les statistiques d’audience de son mini-site. Il ne reçoit jamais l’identité des auteurs de réactions, ni aucune donnée individuelle ; ce décompte ne porte que sur les citoyens ayant réagi et n’est pas représentatif. Il reçoit vos nom, prénom et commune uniquement avec les questions et propositions que vous lui adressez. Il lui est contractuellement interdit de publier ou d’exploiter ces décomptes, et d’exporter, conserver hors de la plateforme ou réutiliser l’identité des citoyens qui lui écrivent, notamment à des fins de prospection politique.

Un candidat ne reçoit jamais l’identité des citoyens qui suivent sa campagne ni de ceux qui lui demandent son programme. Tant qu’il n’a pas revendiqué son profil, il reçoit au plus un courriel par jour, qui n’indique que le nombre de demandes de programme reçues.

5.4 Nos sous-traitants

JSC DIGITAL recourt à des prestataires techniques agissant en qualité de sous-traitants au sens de l’article 28 du RGPD. Chacun est lié par un accord de sous-traitance comportant les garanties de l’article 28.3 — intégré aux conditions du prestataire ou conclu séparément — et n’a pas le droit d’utiliser vos données à ses propres fins.

Resend, Inc. est une société soumise au droit des États-Unis et Stripe Payments Europe, Limited appartient à un groupe américain : ces prestataires sont susceptibles d’entrer dans le champ d’application du Clarifying Lawful Overseas Use of Data Act (Cloud Act). L’hébergeur principal, Scaleway SAS, est une société de droit français. Voir la section 8.

5.5 Les autorités

JSC DIGITAL peut être amenée à communiquer vos données aux autorités compétentes lorsque la loi l’y oblige ou qu’une décision judiciaire l’y contraint. Sauf interdiction légale, vous en êtes informé.

6. Les mineurs

La création d’un compte est réservée aux personnes âgées d’au moins quinze (15) ans révolus. Aucun compte ne peut être créé par ou pour une personne de moins de quinze ans, y compris avec l’autorisation d’un titulaire de l’autorité parentale.

Les utilisateurs âgés de 15 à 17 ans sont mineurs. Conformément à l’article 45 de la loi Informatique et Libertés, ils consentent seuls aux traitements de leurs données. Ils ne déclarent pas de commune ni de bureau de vote ; leur territoire est déterminé par leur adresse de résidence principale. Aucune de leurs démarches n’est publiée sous leur nom complet. Les informations qui leur sont adressées sont rédigées en termes clairs et adaptés. Toute déclaration d’âge inexacte entraîne la suppression du compte dès qu’elle est constatée.

Dans l’espace adhérents d’une association, un adulte peut déclarer un enfant de moins de quinze ans, qui n’a pas de compte. Les nom, prénom et date de naissance de l’enfant sont alors traités pour le compte de la structure (section 3 bis) ; l’enfant n’apparaît jamais sous son nom de famille dans une publication.

7. La sécurité de vos données

JSC DIGITAL met en œuvre des mesures techniques et organisationnelles destinées à protéger vos données contre tout accès non autorisé, perte, altération ou divulgation : chiffrement des communications, authentification et contrôle des accès par profil côté serveur, sauvegardes régulières et journalisation des accès. Ces mesures font l’objet de tests fonctionnels ; un audit de sécurité indépendant est prévu.

En cas de violation de données susceptible d’engendrer un risque pour vos droits et libertés, JSC DIGITAL notifie la CNIL dans les 72 heures conformément à l’article 33 du RGPD et vous en informe sans délai injustifié si le risque est élevé.

8. Hébergement, localisation et transferts de données

8.1 Hébergement

L’hébergement de la plateforme — application, base de données et fichiers — est assuré par Scaleway SAS, société de droit français dont le siège est situé 8 rue de la Ville-l’Évêque, 75008 Paris, sur des serveurs situés en France (région Paris).

8.2 Transferts hors de l’Union européenne

L’envoi des courriels de service — confirmation d’inscription, réinitialisation de mot de passe, notification de l’existence d’une réponse à une démarche, récapitulatif quotidien des campagnes suivies, invitations et notifications de l’espace adhérents, invitations d’agenda des convocations, transmission des demandes adressées aux établissements professionnels — est assuré par Resend, Inc., dont les traitements sont localisés aux États-Unis. Ce transfert est limité à votre adresse email, à votre prénom et au contenu des courriels de service ; le contenu des réponses que vous adressent les acteurs n’est pas transmis par courriel. Il est encadré par les clauses contractuelles types adoptées par la Commission européenne (article 46.2.c du RGPD). Lors du paiement d’un abonnement par carte bancaire, les données de paiement sont traitées par Stripe Payments Europe, Limited et peuvent être transférées à des sociétés de son groupe situées aux États-Unis, dans le cadre des garanties prévues par les conditions de ce prestataire.

9. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

Pour exercer vos droits : contact@mademocratie.fr. Toute demande reçoit une réponse dans un délai maximum de trente (30) jours, prorogeable de deux mois en cas de complexité, auquel cas vous en êtes informé.

Pour les données de l’espace adhérents, dont la structure est responsable, vous pouvez adresser vos demandes directement à celle-ci ; JSC DIGITAL, sous-traitant, l’aide à y répondre et lui transmet sans délai les demandes qu’elle reçoit. Vous pouvez à tout moment modifier ou retirer vos autorisations d’image et vos réglages de notification et d’agenda depuis « Mes associations ».

Le retrait du consentement ne remet pas en cause la licéité des traitements effectués avant ce retrait.

10. Suppression du compte

Votre compte demeure actif aussi longtemps que vous le souhaitez. Vous pouvez en demander la suppression à tout moment en écrivant à contact@mademocratie.fr depuis l’adresse email associée à votre compte. La suppression est effectuée dans un délai de trente (30) jours et entraîne l’effacement de l’ensemble de vos données personnelles — y compris le lien entre votre compte et vos réactions, vos démarches privées, et la dépublication de vos démarches publiées, ainsi que de vos recommandations — à l’exception des données dont la conservation est imposée par une obligation légale.

11. Cookies

Les traceurs déposés sur votre terminal font l’objet d’une politique distincte, la Politique de cookies, accessible depuis le pied de page de la plateforme.

12. Modification de la présente politique

JSC DIGITAL se réserve le droit de modifier la présente politique pour la mettre en conformité avec les évolutions législatives ou réglementaires, ou pour refléter une évolution de la plateforme. Toute modification substantielle est notifiée par courriel avant son entrée en vigueur.

Dernière mise à jour : 7 octobre 2026.