Frontières honnêtes
La valeur d'Agreely tient à ce qu'il prouve le consentement au lieu de seulement le journaliser. Cela ne tient que si les preuves sont décrites honnêtement, y compris là où elles s'arrêtent. Cette page est la liste des choses qu'Agreely n'affirme délibérément pas. Chacune est un endroit où une surestimation facile serait tentante et fausse.
1. L'effacement, c'est la copie d'Agreely plus une demande que l'entreprise doit honorer
Effacer une cellule est une destruction de clé de la propre copie lisible d'Agreely, plus une demande que l'entreprise doit honorer dans ses propres systèmes. Ce n'est pas un seul interrupteur qui détruit les renseignements partout.
Jamais « détruit partout et en tout temps »
Après une destruction de clé, un résidu subsiste dans les journaux d'écriture anticipée et les sauvegardes de base à l'intérieur d'une fenêtre de conservation documentée, et les renseignements que l'entreprise détient dans ses propres systèmes échappent entièrement à la portée d'Agreely. Agreely affirme l'anonymisation immédiate de la base de données en service et la destruction physique complète à l'intérieur de la fenêtre de conservation. Il n'affirme jamais que le consentement est détruit partout, instantanément, pour toutes les copies.
2. Un consentement manuel ne prouve pas qu'un humain a signé
Un consentement manuel ou hors ligne produit un reçu attesté par l'entreprise. L'entreprise atteste détenir un document signé à la main (un PDF) dont le hachage correspond à l'engagement enregistré. Le serveur fait confiance au hachage du PDF calculé côté client : c'est un cachet de date à la manière d'un notaire sur un document dont l'entreprise se porte garante, et non une preuve cryptographique qu'un humain précis a signé.
« Attesté » est plus faible que « signé », et libellé comme tel
Un consentement citizen_signed porte une assertion par clé d'accès qui lie l'authentificateur d'un humain aux cellules exactes. Un consentement company_attested ne porte que la parole de l'entreprise et un hachage correspondant. Les deux s'appliquent de façon identique au moment de la vérification, mais le libellé du palier indique toujours à un lecteur lequel il a sous les yeux.
3. La cartographie de conformité est un guide, pas un avis juridique
Les modèles de documents de consentement d'Agreely et sa cartographie de conformité à la Loi 25 sont un point de départ pour raisonner, non un avis juridique. La validation finale de tout libellé de consentement, de toute règle de conservation ou de toute correspondance d'article revient au conseiller juridique de l'entreprise. Agreely n'exerce pas le droit et ne certifie pas la conformité.
4. L'ancrage sur la chaîne, ce sont des hachages seulement
Ce qu'Agreely inscrit sur la chaîne se limite à des engagements bytes32
opaques, émis une seule fois, ne portant aucun contenu lisible. Il n'y a aucun
renseignement personnel, aucun DID et aucun customer_id sur la chaîne. L'ancrage
existe pour qu'un registre ne puisse pas être réécrit en douce après coup.
La chaîne est une preuve, jamais le chemin de lecture
La vérification synchrone ne lit jamais la chaîne, et la chaîne ne conditionne jamais une décision. L'application fait autorité dans la base de données d'application à l'instant où un octroi ou un retrait est validé. Si la chaîne était injoignable, les vérifications se résoudraient tout de même. L'ancrage est là pour la vérification après coup, non pour l'application.
5. La copie IPFS du document ne prouve pas que quiconque a consenti
Agreely publie une copie publique (un CID IPFS) du document de divulgation de l'article 8, l'avis décrivant ce qui est recueilli et pourquoi. Cette copie existe pour que le texte de divulgation soit épinglé publiquement et ne puisse pas être altéré en douce.
Une divulgation publiée n'est pas un consentement
La copie IPFS est l'avis de divulgation de l'entreprise, non la réponse d'une personne. Elle n'est explicitement pas une preuve qu'un citoyen a consenti, et elle n'est pas un renseignement personnel. Le consentement vit dans le reçu et l'enregistrement d'application, jamais dans la copie publique du document.
6. L'ancrage est asynchrone, et c'est le relayeur d'Agreely qui écrit
L'ancrage de production est en service sur Base, le réseau principal (chain id
8453). Deux limites restent vraies et sont énoncées telles quelles.
D'abord, l'ancrage est asynchrone. Un octroi ou un retrait fait autorité dans la base de données à l'instant où il est validé, et l'écriture sur la chaîne suit ensuite. Il existe donc une fenêtre pendant laquelle un consentement est pleinement applicable mais pas encore ancré. C'est délibéré : la chaîne ne conditionne jamais une décision.
Ensuite, c'est un portefeuille relayeur d'Agreely qui soumet les
transactions (onlyRelayer). Ce que la chaîne garantit, ce n'est donc pas
qu'Agreely a écrit tout ce qu'il aurait dû écrire, c'est que ce qui a été écrit
ne peut plus être réécrit en douce après coup, et qu'une entreprise ou un
auditeur peut le lire directement, sans passer par Agreely.
7. La signature d'époque et la délégation sont de la reddition de comptes, non de la non-répudiation
Chaque racine d'époque est signée avec la clé DID enregistrée de l'entreprise, et l'entreprise autorise cette clé de signature avec sa propre clé d'accès racine, engagée dans son DNS. C'est un renforcement réel de la reddition de comptes, décrit exactement comme tel.
Hébergé par Agreely : jamais « vous seul »
La clé de signature opérationnelle est hébergée par Agreely : elle est générée côté serveur et son secret est scellé sous la clé de chiffrement du locataire, de sorte qu'Agreely peut la déballer et signer pour le compte de l'entreprise. Agreely affirme donc « signé avec la clé DID enregistrée de votre entreprise » et « vous autorisez la clé de signature avec votre propre clé d'accès, engagée dans votre DNS, vérifiable et révocable ». Il n'affirme jamais la non-répudiation, « vous seul », l'infalsifiabilité, ni une révocation garantie visible indépendamment du relayeur. Pour une clé d'accès synchronisée, le niveau reste ~AAL2 (pas d'isolation matérielle). Une signature ou une délégation absente ou invalide dégrade vers « non attesté par l'entreprise », jamais vers un échec d'intégrité.
Ensuite
- Confidentialité et effacement : la destruction de clé et sa frontière de résidu au complet.
- Le cycle de vie du consentement : d'où vient le palier attesté par l'entreprise.
- Le protocole pour la construction de l'ancrage.