Le problème
"Faites-nous confiance"
Les outils de sondage classiques stockent les réponses et promettent de ne pas regarder. L'anonymat repose sur la confiance, pas sur une preuve.
Le répondant atypique
Sur un sujet sensible, celui qui répond différemment des autres (le "1 non sur 99") reste identifiable dans un décompte exact.
Aucune vérification possible
Ni le répondant ni un tiers ne peut vérifier que les données brutes ont réellement été détruites.
Ce que VERA garantit
Une garantie chiffrée, pas un engagement moral
Le bruit ajoute aux résultats publiés est échantillonné par OpenDP ; la comptabilité de epsilon = 0,5 est démontrée dans ce dépôt, pas calculée par OpenDP lui-même (le composant utilisé reste déclaré non vetté par OpenDP). Ce que cette garantie couvre, et ce qu'elle ne couvre pas, est écrit noir sur blanc dans les limites.
Non-persistance
Aucune réponse individuelle n'est jamais stockée : seuls des compteurs agrégés existent, et ils sont détruits à la clôture. Il subsiste une seule chose : le nom de chaque groupe consulté et la date, qui alimentent l'avertissement de fréquence. Ni réponse, ni identité, ni compteur.
Protection du répondant atypique
Le bruit différentiel protège chaque participant, y compris celui qui répond différemment des autres.
Consultation, pas vote
VERA donne une tendance fiable, pas un décompte exact. Ce flou maîtrisé est précisément ce qui protège les personnes.
Invariants du protocole
Ce que le code garantit — et ce qu'il ne peut pas garantir seul.
- La donnée brute n'est jamais stockée ni exposée
- Les sorties sont des agregats statistiques bruites, irréversibles
- Confidentialité différentielle : budget epsilon plafonne et borne
- Seuil minimum de participants (K = 240) : refus de publier en dessous
- Une invitation a usage unique : un jeton consomme ne peut plus servir
- Limites du modèle de menace documentées, pas dissimulees
Ce que le code ne peut pas garantir seul. L'anonymat tient aussi a cinq conditions que le code ne vérifie pas : un hébergement assuré par un tiers distinct de l'organisation, un transporteur d'invitations indépendant de cet hébergeur, l'attestation de l'effectif par un représentant du personnel, des groupes qui ne se recoupent pas, et pas plus de quatre publications par periode de douze mois glissants portant sur les mêmes personnes. Elles sont détaillées dans les limites, et aucune n'est optionnelle.
État du projet. Fonctionnel sur le parcours testé et soumis à plusieurs audits de code, jamais déployé en conditions réelles : aucune consultation avec de vrais participants n'a encore eu lieu.
Les chiffres clés
epsilon par publication — bruit échantillonné par OpenDP, comptabilite demontree dans les limites
K minimum — seuil MESURÉ, pas supposé. Aucune publication en dessous.
réponse individuelle stockee, a aucun moment
code source vérifiable, modèle de menace public
Comment l'anonymat tient techniquement
Votre navigateur tire un secret que personne d'autre ne voit, puis le masque avant de l'envoyer au serveur. Le serveur signe sans pouvoir lire ce qu'il signe — c'est une signature aveugle (RSABSSA, RFC 9474). Votre navigateur retire ensuite le masque : il obtient une signature valide que le serveur n'a jamais vue.
Au dépôt, vous présentez cette signature. Le serveur la vérifie sans pouvoir la rattacher à l'invitation qui l'a produite. Deux registres coexistent, et aucune ligne ne les relie : les invitations consommées d'un côté, les réponses agrégées de l'autre.
Le code de cette page est public et son empreinte publiée : un tiers peut la recalculer en deux commandes — voir la procédure de vérification.
Ce que VERA peut poser comme question
Une question, trois options, quatre fois par an
C'est le fait le plus décisif pour évaluer ce système. Une consultation VERA porte sur une seule question, à trois options fixes : oui, non, abstention. Pas deux questions, pas d'échelle, pas de champ libre. Toute la calibration en dépend.
Si votre besoin est un baromètre social de quarante items croisés par service et par ancienneté, VERA n'est pas l'outil. Il produit quatre référendums d'entreprise par an, pas un questionnaire.
Combien de personnes faut-il ?
240 réponses par groupe, pas 240 invités. La différence décide de votre éligibilité.
À un taux de participation de 40 % — hypothèse prudente —, il faut environ 600 personnes par groupe consulté. À 25 %, près de 1 000. Ce taux n'a jamais été mesuré sur VERA : c'est l'inconnue principale du projet, et la raison d'être du premier déploiement réel.
En dessous de 240 réponses, rien n'est publié. VERA refuse.
Pourquoi 240 et pas un autre nombre. C'est un seuil mesuré, pas choisi : à 240 réponses, l'erreur introduite par le bruit reste sous 12 voix dans 95 % des publications — soit 5 % de l'effectif. Vérifié sur 20 000 tirages à quatre effectifs différents. En dessous, la même erreur pèse trop lourd : 12 voix sur 100 réponses, c'est 12 %.
Sept jours, pas plus
Une consultation dure sept jours au maximum. Passé ce délai, les clés de signature expirent et les liens deviennent inutilisables : c'est ce qui garantit qu'une invitation ne circule pas indéfiniment.
Ce n'est donc pas 600 personnes qu'il faut, mais 600 personnes en sept jours, relances comprises. C'est la contrainte la plus décisive pour organiser votre consultation, et il vaut mieux la connaître avant qu'après.
Une instance par organisation
VERA n'est pas un service mutualisé. Chaque organisation dispose de sa propre instance — sa base, ses clés, son budget de confidentialité. Deux organisations ne partagent jamais un serveur.
Vous n'installez rien et n'administrez rien : c'est VERA qui opère. Mais l'instance est la vôtre, et cela change ce que vous devez inscrire à votre registre de traitements.
Statut RGPD : non tranché
VERA ne revendique pas que les données produites constituent juridiquement des données anonymisées au sens du règlement. Cette qualification — anonymisation ou pseudonymisation — doit être déterminée par votre DPO ou votre conseil juridique, au regard de votre contexte. Elle décide si le traitement sort ou non du champ du règlement.
Ce que VERA ne garantit pas
Un outil qui ne dit que ses forces ne merite pas votre confiance. Voici ses limites, ecrites noir sur blanc.
La liste des invités reste la votre
VERA ne connaît pas vos membres — c'est ce qui protège leur anonymat. Il ne peut donc vérifier ni que les invitations sont parties aux bonnes personnes, ni qu'elles ne sont parties qu'à elles. La fiabilité du résultat repose sur l'intégrité de votre liste de diffusion.
Consultation, pas scrutin
Il n'y a ni recu, ni urne publique, ni recomptage possible : un décompte vérifiable trahirait les personnes que le bruit protège. Pour un scrutin contraignant ou juridiquement opposable, cette garantie manquante est rédhibitoire — VERA n'est pas conçu pour cet usage.
L'hébergeur compte
La garantie tient contre un tiers et contre un operateur honnete-mais-curieux. Face a une organisation qui aurait intérêt à désanonymiser ET qui héberge elle-même le serveur, un hébergement par un tiers de confiance est nécessaire.
Fréquence des consultations
Interroger plusieurs fois les mêmes personnes érode la protection, et le chiffre mérite d'être dit : une publication coûte ε = 0,5, quatre coûtent ε = 2,0 — la certitude d'un adversaire dans le pire cas passe de 62 % à 88 %. Règle d'usage : pas plus de quatre publications par an portant sur les mêmes personnes. VERA ne peut pas l'imposer — il ne sait pas qui sont vos membres, c'est ce qui les protège.
Vous evaluez VERA pour votre organisation ? Le code, le modèle de menace complet et les limites detaillees sont publics. Faites-les examiner par votre responsable informatique, votre DPO ou un auditeur externe — c'est précisément pour cela qu'ils sont publiés.
Devenir la première organisation
Ce qu'un pilote implique
Aucune consultation réelle n'a encore eu lieu. C'est écrit plus haut, et c'est le point qui décide de tout : le taux de participation n'a jamais été mesuré, et c'est lui qui détermine si votre effectif suffit.
Concrètement, un pilote demande : un groupe d'au moins 600 personnes, joignables en sept jours ; une question à trois options qui vous intéresse vraiment ; un représentant du personnel prêt à contrôler le nombre d'invitations ; et un transporteur d'invitations indépendant de l'hébergeur.
De notre côté : l'instance, l'hébergement chez un tiers, le code déjà public. Nous ne voyons jamais votre liste de membres — le système ne la demande à aucun moment.
Faites d'abord examiner le dossier. Le code, le modèle de menace et les limites sont publics précisément pour ça. Votre DPO tranchera la qualification RGPD, que nous ne revendiquons pas. Si après cet examen le dispositif vous convient, écrivez à securite@vera-consultation.fr.
Comment ça marche
1. Ouverture
L'organisateur ouvre une consultation. Chaque participant reçoit une invitation a usage unique, envoyee depuis la liste de l'organisation, jamais transmise a l'hébergeur.
2. Réponses
Les participants répondent une fois chacun. Le seuil de publication porte sur les réponses reçues, pas sur le nombre d'invités.
3. Agrégation + bruit
Les réponses alimentent un compteur agrégé, jamais un enregistrement individuel. Le résultat est bruité par le mécanisme de Laplace (OpenDP).
4. Publication
Seule la tendance bruitee est publiee. Le budget de confidentialité est décompte ; au-dela, publication refusee.