En bref
- Aucun compte, aucun pistage, aucune publicité.
- Nous ne conservons pas les adresses IP.
- Ce que vous envoyez est chiffré sur votre appareil avant d’être transmis. Notre serveur ne peut pas le lire.
- Les commentaires deviennent publics une fois approuvés par la rédaction.
- Le seul cookie est celui de la vérification anti-spam, sur les formulaires.
Ce que nous recueillons
| Ce que vous faites | Ce qui est conservé | Ce qui ne l’est pas |
|---|---|---|
| Consulter le site | Des statistiques anonymes de pages vues, issues de l’outil de mesure d’audience sans cookies de notre hébergeur. | Votre adresse IP, un profil vous concernant, ou quoi que ce soit qui vous suive sur d’autres sites. |
| Envoyer un témoignage, une affaire ou des preuves | Votre texte et vos fichiers, chiffrés de sorte que nous ne pouvons pas les lire sur le serveur ; leur date d’arrivée ; une empreinte de votre code de récépissé. Une adresse de contact uniquement si vous en indiquez une, et elle est chiffrée avec le reste. | Votre adresse IP, le code de récépissé lui-même, ou votre nom, sauf si vous l’écrivez. |
| Commenter | Le nom d’affichage que vous choisissez (ou « Anonyme ») et votre texte. Les commentaires ne sont pas chiffrés, car ils sont destinés à être publiés après modération. | Votre adresse e-mail, votre adresse IP ou un quelconque compte. |
| Exercer un droit de réponse | Comme pour un envoi : chiffré sur votre appareil. | Votre adresse IP. |
Fonctionnement du chiffrement
Lorsque vous appuyez sur Envoyer, votre navigateur crée une nouvelle clé aléatoire, chiffre avec elle votre texte et chaque fichier (XChaCha20-Poly1305), puis verrouille cette clé séparément avec la clé publique de chaque membre de la rédaction. Seules les copies verrouillées quittent votre appareil.
Notre serveur stocke le résultat et ne détient aucune clé capable de l’ouvrir. Les clés privées de la rédaction sont conservées hors ligne, avec des sauvegardes imprimées, et ne sont chargées dans un navigateur que pendant qu’un membre de la rédaction lit les envois.
Limites : ce que ce dispositif ne peut pas protéger
- Notre hébergeur voit votre adresse IP. Le site fonctionne sur un réseau d’hébergement qui voit l’adresse de chaque connexion. Nous ne la conservons pas, mais l’hébergeur la traite.
- Un site compromis pourrait servir un code modifié. Quelqu’un qui prendrait le contrôle de ce site pourrait modifier le formulaire pour qu’il envoie vos mots sans les chiffrer. L’empreinte publiée du script du formulaire permet à chacun de vérifier le code reçu ; voir ci-dessous.
- Votre propre appareil. Le chiffrement ne protège pas contre une personne qui peut voir votre écran, votre historique de navigation ou un ordinateur partagé. Si c’est un risque, lisez comment envoyer des preuves en toute sécurité : utilisez une fenêtre de navigation privée, Tor Browser ou un appareil qui n’est pas le vôtre.
- Ce que vous écrivez peut vous identifier. Des dates, des lieux et de petits détails peuvent désigner la personne qui écrit, même si son nom est omis. La rédaction supprime les détails identifiants avant toute publication, mais réfléchissez à ce que vous incluez.
Durée de conservation
| Envois | Jusqu’à ce que la rédaction en ait terminé avec l’affaire ; les sauvegardes chiffrées expirent après un délai qui sera fixé avant le lancement. Un envoi ne peut pas être retiré une fois transmis. |
|---|---|
| Commentaires | Les commentaires approuvés restent sur la page où ils figurent. Les commentaires en attente et rejetés sont supprimés après un délai qui sera fixé avant le lancement. |
| Actions de la rédaction | Ce qu’un membre de la rédaction a fait d’un envoi (par exemple « compté comme corroboration ») est consigné par souci de responsabilité, sans son contenu. |
| Statistiques de visites | Uniquement des chiffres agrégés, conservés par l’hébergeur selon sa propre politique de conservation. |
Demandes judiciaires
Si nous recevons une injonction judiciaire concernant un envoi, tout ce que nous pouvons remettre depuis le serveur se limite à un texte chiffré que nous ne pouvons pas lire, à sa date d’arrivée et à l’empreinte de son code de récépissé. Nous n’avons aucune adresse IP à fournir.
Les clés hors ligne de la rédaction pourraient en principe être exigées des membres de la rédaction eux-mêmes. C’est une raison de plus pour omettre tout ce que vous n’avez pas besoin de nous dire.
Vérifier le formulaire d’envoi
Le script du formulaire d’envoi est chargé avec Subresource Integrity (contrôle d’intégrité des ressources) : votre navigateur refuse de l’exécuter s’il diffère de la version attendue par la page. Nous publions ici l’empreinte du script afin qu’elle puisse être comparée à ce que votre navigateur a reçu, ainsi qu’aux copies de cette page archivées ailleurs.
- Empreinte du script du formulaire
- Publiée avec la première version
Contact et responsable du traitement
Les questions relatives à la confidentialité peuvent être envoyées au moyen du formulaire chiffré.
- Responsable du traitement
- Sera désigné avant le lancement