Entre en vigueur dès sa publication
En cas de divergence entre la présente Politique et la Charte, la Charte s'applique, et en cas de divergence entre la Charte et la Déclaration, la Déclaration. Le traitement des données biométriques est décrit à part, dans la Politique de vérification biométrique, et en cas de divergence sur ce point c'est elle qui s'applique. Pendant la période constituante - du 22 novembre 2026 jusqu'à l'adoption de la Déclaration -, la signature de la Déclaration et l'adhésion au peuple sont suspendues: le peuple défini par un texte adopté n'existe pas encore. La vérification d'identité est menée gratuitement durant cette période et donne lieu à la délivrance d'un document temporaire de participant à la constitution, et non d'un passeport (document « La période constituante », partie 2, point 5). Le document temporaire est émis dans le même contrat que le passeport (document « Où nous en sommes »). La présente Politique s'applique aussi à cette vérification; ce qu'elle dit de la signature, de la cotisation et du passeport se rapporte au régime principal, après l'adoption de la Déclaration.
Responsable du traitement des données personnelles. Pendant l'étape de mise en place des structures, les fonctions de responsable sont exercées par les fondateurs du projet. À mesure du développement institutionnel, cette fonction est transférée à une structure, dont les coordonnées sont publiées ici.
Demandes relatives aux droits de la personne concernée: privacy@earth-lings.org
Minimisation. N'est collecté que ce qui est réellement nécessaire au fonctionnement du peuple. Si une fonction peut être remplie sans données, elle l'est sans données.
Limitation des finalités. Les données collectées pour une finalité ne sont pas utilisées pour une autre. La liste des finalités de la section 03 est exhaustive.
Clarté. Chaque décision de collecte ou d'usage des données est expliquée en mots ordinaires. Si l'explication exige une formation juridique, c'est que l'explication est mauvaise.
La plupart des plateformes considèrent les données personnelles comme une marchandise. Nous les considérons comme une part de la dignité humaine.
Quoi: un pseudonyme de votre choix, une adresse électronique, le pays de résidence, la confirmation d'avoir 18 ans.
Pourquoi: le pseudonyme est le nom sous lequel les autres participants vous voient sur la plateforme et qui figure dans votre passeport; il n'apparaît ni dans la vérification publique du passeport ni dans le registre; l'adresse électronique sert à confirmer l'inscription et à vous joindre; le pays sert aux statistiques de répartition géographique, à la page du passeport et au profil sur la plateforme; l'âge est une condition obligatoire de participation.
Les nom et prénom réels ne sont pas conservés.
Ce qui est conservé: l'état de la vérification, le type et le pays de délivrance du document, les scores numériques de la vérification, les motifs de refus et des hachages irréversibles, calculés avec la clé secrète du serveur - un hachage du numéro du document et un seul hachage commun du prénom, du nom et de la date de naissance figurant dans le document; le numéro du document, le prénom, le nom et la date de naissance eux-mêmes ne sont pas conservés.
Ce qui n'est pas conservé: les images du visage et du document, les gabarits biométriques. Ils sont traités au moment de la vérification et supprimés.
Pourquoi: pour qu'une même personne ne puisse pas détenir deux passeports valides.
Précisément, sur le statut des hachages. Un hachage est irréversible et se calcule avec la clé secrète du serveur: on ne peut pas en tirer un nom ou un numéro de document, et sans la clé on ne peut pas davantage les retrouver par force brute. Mais il permet de distinguer une personne déterminée des autres, sans quoi il ne remplirait pas sa tâche. Ce sont donc des données pseudonymisées et non anonymes, et la protection des données personnelles leur est applicable dans son intégralité.
Le détail figure dans la Politique de vérification biométrique.
Quoi: adresse IP, type de navigateur et d'appareil, système d'exploitation.
Pourquoi: sécurité, détection d'activités suspectes, assistance technique.
Quoi: des enregistrements d'actions dans l'interface - quelles rubriques ont été ouvertes, la participation au travail des cellules, les demandes d'assistance; les messages dans les discussions, la délégation de la voix, la réputation et les marques de participation; la localisation jusqu'à la ville, la région et le fuseau horaire, si vous l'avez indiquée.
Pourquoi: amélioration du fonctionnement de la plateforme et diagnostic technique.
Ce qui n'y figure pas et n'y figurera pas. Le contenu de votre vote ne doit être accessible à personne, y compris à ceux qui exploitent la plateforme, et aucune publication ne fait connaître si vous avez participé à un vote. Sont publics le résultat du vote et les votes exprimés par le délégué au titre des voix qui lui ont été confiées: c'est une propriété du vote lui-même et non de l'analyse d'usage. L'outil qui assurera cela techniquement est encore en cours de sélection, et nous disons sans détour ce qu'il en est aujourd'hui: dans le canal de vote ouvert qui est déployé, le vote et l'adresse du portefeuille sont publics, et aucun vote de fond ne s'y est tenu; la plateforme conserve les votes exprimés dans les cellules en les reliant au compte, montre aux autres participants de la cellule le résultat ainsi que les objections avec leurs arguments, et ceux qui exploitent la plateforme disposent d'un accès technique aux votes conservés.
Pour améliorer la plateforme, les données d'usage sont employées sous forme agrégée. Ce sont des données agrégées et non anonymisées: tant qu'un enregistrement est relié à un compte, il demeure une donnée personnelle.
Quoi: adresses de portefeuilles, inscriptions relatives au passeport, transactions.
Pourquoi: le fonctionnement de l'infrastructure et votre participation aux décisions.
Les inscriptions au registre ne se suppriment pas, par nature de la technologie, et c'est précisément pour cela que le nom, le document, la biométrie et les hachages de vérification n'y sont pas inscrits lors de l'émission. Lors de l'émission, sont inscrits au registre l'adresse du portefeuille, le numéro de l'inscription du passeport, l'identifiant du participant par lequel l'inscription est reliée aux données du système de vérification d'identité, et l'heure de l'émission; l'émission et la destruction laissent des marques au registre. Ce sont des données pseudonymes que nous relions à votre compte.
Comment cela se concilie avec le droit à l'effacement (art. 17 du RGPD). Le droit à l'effacement s'exerce là où les données sont conservées chez nous: le compte et les journaux de la plateforme sont supprimés à votre demande, hormis l'adresse du portefeuille, le numéro de l'inscription du passeport, le pseudonyme et le pays; et pour qui appartient au peuple, la suppression du compte ne va qu'avec la sortie. Les données de la vérification d'identité nommées ci-dessus demeurent, y compris les hachages, pour qu'une même personne ne puisse pas détenir deux passeports valides. L'inscription au registre elle-même n'est pas supprimée, car nul ne peut la supprimer, nous compris: elle n'est pas sous notre contrôle, et le nom, le document, la biométrie et les hachages de vérification n'y figurent pas. Nous n'affirmons pas que cela règle la question de façon exhaustive: l'articulation des registres immuables avec le droit à l'effacement n'est pas fixée dans la pratique des autorités de contrôle. Nous avons choisi une construction dans laquelle n'entrent dans la partie immuable ni nom, ni document, ni biométrie, ni hachages de vérification.
L'exécution d'un contrat (art. 6(1)(b) du RGPD) - inscription, tenue du compte, délivrance et gestion du passeport, participation aux décisions, traitement des transactions, accès à l'infrastructure.
Le consentement explicite (art. 6(1)(a) et art. 9(2)(a) du RGPD) - exclusivement pour le traitement des données biométriques lors de la vérification d'identité. Pour les envois d'information, la base est le consentement (art. 6(1)(a) du RGPD).
Il n'y a pas et il ne peut pas y avoir ici deux fondements à la fois. La biométrie relève d'une catégorie particulière de données selon l'article 9 du RGPD, et ni l'exécution d'un contrat ni l'intérêt légitime ne la rendent licite par eux-mêmes. Le seul fondement est votre consentement explicite, et vous avez le droit de le retirer à tout moment. Les conséquences du retrait sont décrites dans la Politique de vérification biométrique.
L'intérêt légitime (art. 6(1)(f) du RGPD) - prévention des inscriptions multiples et des abus, sécurité de la plateforme, assistance technique, tenue du registre des participants pour les champs non sensibles (pseudonyme, pays, état de la vérification). Vous avez le droit de vous opposer au traitement fondé sur ce motif (section 07).
L'obligation légale (art. 6(1)(c) du RGPD) - l'exécution des obligations que nous impose le droit de l'Union européenne ou d'un État membre.
La liste est exhaustive: aucun traitement à d'autres fins n'est effectué.
Jamais: publicité et marketing de tiers; vente ou transmission à des courtiers en données; profilage à des fins commerciales; suivi hors de la plateforme; toute finalité non indiquée ci-dessus.
Il faut ici distinguer trois ressources différentes, car elles sont agencées différemment.
Le site public n'utilise pas de cookies: ni pour l'authentification, ni pour la personnalisation, ni pour l'analyse d'audience. La seule chose conservée dans le navigateur est la langue d'interface que vous avez choisie, dans le stockage local de l'appareil. C'est un réglage technique et non un identifiant: il n'est pas relié à votre identité.
La plateforme, où vous vous connectez à votre compte, utilise des cookies de session techniquement nécessaires: sans eux, la connexion est impossible. Ils ne servent ni à l'analyse d'audience, ni à la publicité, ni au suivi hors de la plateforme, et ils sont supprimés à la déconnexion. La page de vérification d'identité (id.earth-lings.org) dépose un cookie de formulaire techniquement nécessaire, elp_form_session - il vaut 24 heures, et sans lui le formulaire ne peut pas être rempli -, ainsi qu'un cookie earthlings_lang portant la langue choisie, d'une durée d'un an; dans le stockage local du navigateur, la page conserve la langue choisie et la marque des accords acceptés avec l'adresse du portefeuille.
Il n'y a de cookies d'analyse ni de publicité sur aucune des trois ressources, et aucun traceur tiers n'est installé. Les visites des trois sont comptées par le compteur de statistique propre au peuple (stats.earth-lings.org), également sans cookies: il reçoit l'adresse de la page, l'adresse IP, le type de navigateur et d'appareil, la taille de l'écran et les actions sur la page, y compris le changement de langue, et sert à la statistique agrégée des visites.
Par défaut, les données restent dans l'infrastructure du peuple. Les exceptions se limitent à trois cas.
Les prestataires techniques. La vérification d'identité est effectuée par le système propre au peuple. Pour le fonctionnement de l'infrastructure, des données des participants sont reçues par: le prestataire d'hébergement sur les serveurs duquel tourne l'infrastructure; le service de courrier Zoho - courriels et demandes; Web3Auth - connexion par courriel, Google ou Apple et création du portefeuille; Cloudflare Turnstile - protection du formulaire contre les requêtes automatiques (signaux du navigateur et adresse IP); les réseaux de distribution de scripts jsDelivr, cdnjs et esm.sh - adresse IP au chargement de la page; les nœuds du réseau Polygon, WalletConnect et Snapshot - adresse du portefeuille, adresse IP et actes signés par le portefeuille; le service de paiement NOWPayments - adresse électronique et adresse du portefeuille lors du versement de la cotisation dans le régime principal; GitHub - le registre ouvert des propositions de la période constituante, dans lequel sont publiés la proposition elle-même et la réponse qui lui est faite (document « La période constituante »).
Les exigences légales. Les données ne sont transmises qu'en vertu d'une décision de justice devenue définitive ou d'une exigence légale équivalente, dont la légitimité est vérifiée dans chaque cas. Le participant est informé des demandes auxquelles il a été fait droit, sauf si la décision elle-même l'interdit; un relevé est publié dans le rapport de transparence.
Les données publiques des décisions. Une partie des données est publique par nature de l'autogouvernement: les propositions, y compris les propositions de la période constituante avec les réponses qui leur sont faites (document « La période constituante »), les résultats des votes, les mouvements des fonds communs. D'un courriel contenant une proposition, c'est le texte qui est publié; le nom et les coordonnées de l'expéditeur ne sont pas publiés sans son accord et, s'il demande à être nommé, seul le nom qu'il indique est publié. Le contenu du vote personnel et la participation d'une personne déterminée au vote ne relèvent pas de cette catégorie; sont publics les votes exprimés par le délégué au titre des voix qui lui ont été confiées.
Pour l'instant, la décentralisation ne protège que le registre: la base du système de vérification d'identité, avec la clé qui sert à calculer les hachages, et la base de la plateforme se trouvent sur un même serveur, et sa compromission divulguerait les données qui y sont conservées. Le registre des passeports vit dans un réseau distribué et non sur nos serveurs, et il reste vérifiable indépendamment du fonctionnement de la plateforme.
En cas d'incident. Si une violation de sécurité touchant vos données survient, nous vous en informerons dans les 72 heures de sa découverte et vous indiquerons les mesures prises.
Accès. Obtenir une copie de vos données et des informations sur la manière dont elles sont traitées.
Rectification. Corriger des données inexactes ou incomplètes.
Effacement. Supprimer les données situées hors du registre distribué, hormis celles que nomme la section 02 (encadré sur le droit à l'effacement); pour qui appartient au peuple, la suppression du compte ne va qu'avec la sortie. Les inscriptions au registre ne se suppriment pas, par nature de la technologie; à la sortie, le passeport est détruit, et il reste au registre une marque pseudonyme indiquant que l'appartenance a existé pendant une période déterminée. C'est un fait du passé, non une appartenance qui dure.
Limitation du traitement (art. 18 du RGPD). Exiger la suspension du traitement pendant que sont vérifiées l'exactitude des données ou le bien-fondé d'une opposition.
Opposition (art. 21 du RGPD). S'opposer au traitement fondé sur l'intérêt légitime. Nous cessons le traitement, sauf à démontrer des motifs légitimes impérieux prévalant sur vos intérêts.
Portabilité. Recevoir vos données dans un format lisible par machine et les transmettre à un autre responsable de traitement.
Retrait du consentement (art. 7(3) du RGPD). Retirer à tout moment votre consentement au traitement des données biométriques ou aux envois d'information. Le retrait n'affecte pas la licéité du traitement antérieur à sa réception; les conséquences sont décrites dans la Politique de vérification biométrique.
Décisions sans automatisation (art. 22 du RGPD). Vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé et produisant pour vous des effets importants.
Ce que cela signifie en pratique. Un refus automatique de vérification d'identité n'est pas définitif: vous avez le droit d'exposer votre position et d'exiger un réexamen par un être humain et, après deux tentatives automatiques infructueuses, le réexamen par un être humain a lieu sans demande distincte.
Si des outils auxiliaires sont employés pour analyser les propositions sur la plateforme, ils ne prennent pas de décisions: leurs conclusions ont un caractère consultatif, leurs motifs sont divulgués, et un examen par un être humain est garanti.
Réclamation. Déposer une réclamation auprès de l'autorité de contrôle de la protection des données de votre pays.
Sortie. Mettre fin à votre participation à tout moment: vous détruisez le passeport avec votre propre clé. La destruction du passeport ne supprime pas par elle-même les données: les données du compte sont supprimées à votre demande.
Comment exercer ces droits. La plupart des fonctions sont accessibles depuis l'espace personnel. Pour le reste: privacy@earth-lings.org. Nous répondons dans les 48 heures et achevons le traitement de la demande dans les 30 jours.
Devenue earthling, une personne le reste par son propre choix. Aucune décision de la majorité, même qualifiée, ne peut la priver de son appartenance au peuple. La sortie n'est possible que par l'expression volontaire de la volonté du participant lui-même.
Compte actif. Les données sont conservées pendant toute la durée de la participation au peuple.
Après la sortie. La destruction du passeport ne supprime pas par elle-même les données: les données du compte sont supprimées à votre demande, hormis celles que nomme la section 02 (encadré sur le droit à l'effacement). Les hachages irréversibles sont conservés sous forme pseudonymisée, exclusivement pour qu'une même personne ne puisse pas détenir deux passeports valides; ils ne limitent pas le droit de revenir.
Journaux techniques. Adresses IP et horodatages: jusqu'à 12 mois, pour la sécurité et l'investigation des incidents.
Inscriptions du registre distribué. Conservées en permanence, par nature de la technologie. Lors de la destruction d'un passeport, l'inscription est marquée comme détruite et ne donne accès à rien; le nom, le document, la biométrie et les hachages de vérification n'y sont pas inscrits lors de l'émission.
Le peuple est transnational, et les données peuvent être traitées dans différents ordres juridiques.
L'infrastructure est choisie d'après ses capacités techniques et le niveau de protection des droits de l'homme, non d'après une appartenance politique.
La participation est possible à partir de 18 ans. Cela tient à la nature des engagements: signature de la Déclaration, participation aux décisions, disposition de moyens de compte.
L'âge de 18 ans est une condition inconditionnelle, et le consentement des parents ou des tuteurs ne s'y substitue pas.
S'il apparaît qu'une personne n'ayant pas atteint 18 ans s'est inscrite, le compte est immédiatement suspendu, les motifs et le délai pour présenter des objections sont indiqués à la personne, il est répondu aux objections et la décision peut faire l'objet d'un recours dans les conditions de la Charte (Déclaration, article 4); il n'y a pas d'organe de recours avant l'adoption de la Déclaration. Les données situées hors du registre sont supprimées si cela se confirme après l'examen des objections. Le passeport est alors détruit: soit par le titulaire lui-même, soit, si cela n'a pas lieu, selon la procédure d'annulation d'une délivrance non valide, l'âge étant une condition de délivrance (Charte, article 21); et le document temporaire de participant à la constitution est, avant l'adoption de la Déclaration, détruit selon la procédure du document « La période constituante » (partie 2, point 5). L'adhésion est possible à 18 ans révolus, dans les conditions de droit commun.
Les initiatives éducatives destinées aux jeunes sont menées par des programmes distincts, qui n'exigent pas d'inscription au peuple.
La Politique est mise à jour à mesure que les technologies et la législation évoluent. Les modifications sont publiées avec l'indication de la date d'entrée en vigueur.
En cas de modification substantielle:
Pour toute question relative à la présente Politique: privacy@earth-lings.org
