Pourquoi tu peux nous croire — et où nous pouvons encore mieux faire

Le vote, pour de vrai

Ton bulletin est secret par construction, pas par promesse. Il est écrit dans deux collections séparées : l'émargement (qui tu es, sans ton choix — elle empêche le double vote) et le bulletin (ton choix, sans toi). Le bulletin n'a pas d'identifiant de compte, pas d'horodatage exploitable : son identifiant est un numéro aléatoire qui ne porte pas sa date de création — sinon on pourrait le rejoindre à ton émargement. Personne — pas même nous — ne peut relier les deux.

Le résultat citoyen est scellé jusqu'au dépouillement, quatre dimanches par an, pour tout le monde en même temps. Les bulletins blancs comptent dans la participation, jamais dans la majorité. Et si tu supprimes ton compte : tes bulletins, anonymes par conception, continuent de compter dans les urnes — impossibles à retirer, jamais rattachables à toi.

Ce qu'un compte garantit — et ce qu'il ne garantit pas

Un compte, c'est une adresse e-mail vérifiée et une commune déclarée. Il garantit « un compte = un vote par scrutin ». Il ne garantit pas « une personne = un vote » : rien ne prouve que tu es qui tu dis, ni que tu habites la commune déclarée. C'est pour ça que nos résultats parlent de « participants », jamais de « la population » ou « les habitants ». C'est écrit ici parce que c'est vrai.

Contre la manipulation, aujourd'hui :

• vérification de l'adresse e-mail obligatoire avant le premier vote ;
• un compte = une adresse unique ; un scrutin = un bulletin par compte ;
• limitation du nombre d'inscriptions par adresse IP et blocage des e-mails jetables ;
• un piège invisible à robots dans le formulaire d'inscription ;
• un filet anti-injures sur l'agora et un signalement relu par un humain.

Demain, si la participation monte : détection de grappes de comptes, et des résultats publiés par niveaux (« participants vérifiés » / « participants déclarés »). La vérification d'identité (FranceConnect) n'est pas prévue : elle exclurait plus de monde qu'elle ne protégerait — mais le débat est ouvert.

Les résumés écrits par une machine

« De quoi s'agit-il ? » est écrit par un modèle (Mistral) à partir du titre officiel et du décompte, rien d'autre — aucune donnée d'utilisateur ne lui est envoyée. Le prompt est strict : question descriptive du texte et jamais de son intention morale, aucun nom de personne, aucun groupe politique, aucun jugement, aucune invention au-delà de l'intitulé. Les résumés ne sont pas relus systématiquement : un bouton « Signaler ce résumé » figure sur chaque page de scrutin, et chaque signalement est relu.

Les e-mails

Deux familles, rien d'autre, jamais de prospection : les e-mails de compte (confirmation d'adresse, réinitialisation de mot de passe — nécessaires au service) et le rappel de dépouillement (un seul e-mail la veille de chaque dimanche de dépouillement, uniquement si tu l'as demandé, consentement enregistré, désinscription en un clic dans chaque e-mail). L'expéditeur est noreply@ikki.io ; pour nous écrire : contact@civique.ikki.io.

Les sources, citées partout

Scrutins de l'Assemblée nationale (data.assemblee-nationale.fr) et du Sénat (base DOSLEG, data.senat.fr) ; votes nominatifs du Parlement européen (europarl.europa.eu, agrégés par HowTheyVote.eu) ; territoires et population (INSEE, geo.api.gouv.fr) ; élus (Répertoire national des élus) ; budgets communaux (DGFiP) ; coordonnées des mairies (DILA). Chaque page affiche sa source et son millésime, et renvoie au document officiel quand il existe.

La gouvernance

Lampions est édité par un particulier, à titre non professionnel et sans but lucratif : pas d'actionnaires, pas de publicité, pas de revente de données, pas de affiliation avec l'État, une collectivité ou un parti. Le financement est personnel et les coûts (serveurs, envois d'e-mails) restent modestes par choix d'architecture. Si le projet grandit, la piste d'une association loi 1901 avec statuts et bureau identifiables est ouverte — rien n'est promis, c'est écrit pour être tenu.

Les audits

Le site est audité en continu par des audits automatisés — des agents d'analyse qui le parcourent en production comme de vrais utilisateurs (UX, accessibilité, conversion, copywriting, performance), avec des comptes de test intégralement supprimés ensuite. Le code est public sur GitHub, chaque correctif y est tracé, et le déploiement est automatique après vérifications (tests, typage, build). Les statistiques de fréquentation sont publiques sur /api/stats.

Une faille ? Un doute ? Écris-nous : contact@civique.ikki.io. Et pour la partie RGPD, tout est dans les mentions légales.