En vigor desde el momento de su publicación
En caso de discrepancia de la presente Política con la Carta se aplica la Carta, y en caso de discrepancia de la Carta con la Declaración, la Declaración. Las reglas generales de tratamiento de datos personales están en la Política de privacidad.
Sirve a un solo fin: acreditar que detrás de cada voto hay una sola persona viva y única. Es la base de la confianza entre desconocidos, y nada más. El sistema está diseñado de modo que no pueda emplearse para vigilar.
La persona importa más que los documentos. Su pertenencia al pueblo la determina su libre elección, y no un pasaporte o una nacionalidad. La tarea de la comprobación no es un reconocimiento desde fuera, sino la confirmación de un hecho simple: usted es usted, y es uno solo.
1. Confirmación de la unicidad, no control. La comprobación protege al pueblo de los registros múltiples, pero no crea una base para vigilar.
2. La pertenencia se acredita personalmente. Los documentos estatales siguen en su lugar: la comprobación se limita a cotejar la identidad, sin sustituir nada.
3. Confianza mediante la comprobación. En una comunidad sin poder central, una unicidad acreditada crea una capa básica de confianza. Eso no garantiza la buena fe en un trato concreto, pero elimina la multiplicidad anónima de cuentas como fuente de manipulaciones.
4. Protección frente a los abusos. La separación de los almacenes, el cifrado y la imposibilidad práctica de reconstruir una imagen a partir de los datos conservados están hechos para que el sistema no pueda emplearse para una vigilancia masiva.
La presente Política determina el tratamiento de los datos biométricos al firmar la Declaración, al obtener la condición de earthling y al participar en la infraestructura del pueblo.
Los datos biométricos pertenecen a la categoría especial de datos personales conforme al artículo 9 del RGPD y se tratan exclusivamente sobre la base de su consentimiento explícito (artículos 6.1.a y 9.2.a del RGPD).
Es la única base: ni la ejecución de un contrato ni el interés legítimo legitiman por sí solos una categoría especial de datos.
La comprobación es voluntaria. Usted puede revocar el consentimiento en cualquier momento escribiendo a privacy@earth-lings.org.
Qué ocurre al revocarlo:
No podemos destruir su pasaporte en su lugar. La Carta (artículo 21) admite la destrucción del pasaporte por persona distinta de su titular solo en dos casos: la anulación de una emisión inválida por decisión de la Asamblea y la reemisión técnica a solicitud suya; contra su voluntad el pasaporte solo puede destruirse en el primero de ellos. La revocación del consentimiento no figura entre esos casos, y la plataforma no guarda sus claves. Si usted revoca el consentimiento y no destruye el pasaporte, suprimiremos los datos por nuestra parte, pero el asiento del registro permanecerá hasta que usted lo destruya.
La lista completa y las bases jurídicas están en la Política de privacidad. Para la comprobación se requieren:
El nombre y los apellidos reales no se conservan. Los datos del documento se emplean solo en el momento de la comprobación - para cotejar el rostro con el documento y confirmar la unicidad - y tras concluir esta se suprimen. Su seudónimo sigue siendo su nombre público.
Qué no da esa condición. El pasaporte no da nacionalidad ni residencia, ni derechos de visado, ni eficacia ante las instituciones estatales, y no sustituye a los documentos de su país. El pueblo Earthlings no tiene personalidad jurídica internacional y no puede representar los intereses de nadie ante los tribunales o ante los órganos del Estado. La lista completa está en los documentos El camino del earthling y Pasaporte SBT.
Documento → rostro → comprobación de presencia viva → cotejo del documento y el rostro → resultado → conservación protegida del resultado
Qué queda tras la comprobación. Las fotografías, los escaneos de los documentos y las plantillas biométricas no se conservan. Quedan: el estado de la comprobación (superada o no) y unos hashes criptográficos irreversibles calculados a partir del número del documento y de la combinación del nombre con el país.
Los hashes no impiden volver. Solo impiden que una misma persona tenga dos pasaportes en vigor a la vez: al adherirse de nuevo, el sistema encuentra la coincidencia, comprueba que el pasaporte anterior está destruido y emite uno nuevo.
Con precisión, sobre la condición de los hashes. Un hash es irreversible: de él no se puede leer ni el nombre ni el número del documento. Pero permite distinguir a una persona concreta entre otras; de lo contrario no cumpliría su tarea. Por eso, conforme al RGPD, son datos seudonimizados y no anónimos, y la protección de datos personales se les aplica en su totalidad. No los llamamos anonimizados porque sería inexacto.
Las medidas generales están descritas en la Política de privacidad; a continuación, las específicas de la biometría.
Transmisión protegida. Todos los datos se transmiten por canales protegidos con cifrado de extremo a extremo entre su dispositivo y los servidores del sistema de comprobación.
Cifrado en la conservación. Los hashes se conservan cifrados (AES-256). Las claves de descifrado se conservan aparte de los datos.
Separación de los almacenes. Los hashes y los resultados de la comprobación se conservan aparte de los datos de la cuenta.
Supresión inmediata de los materiales originales. Las fotografías y los escaneos se suprimen en cuanto concluye la comprobación.
Control de acceso. Autenticación de varios niveles y registro: todos los accesos a los datos de la comprobación quedan registrados y pueden verificarse.
Filosofía de la seguridad: la mejor protección es que no haya nada que robar. No conservamos aquello que pueda emplearse contra usted.
Los derechos generales del participante están en la Política de privacidad y en las Condiciones de uso. A continuación, los específicos de la biometría.
Revocar el consentimiento: en cualquier momento; el procedimiento y las consecuencias están descritos en la sección 02.
Pasar la comprobación de nuevo. Si su aspecto ha cambiado mucho y la comprobación no lo reconoce, usted la pasa de nuevo. La plantilla no se «actualiza» con ello: no se conserva en ninguna parte, y el cotejo se realiza cada vez desde cero.
Exigir la revisión por una persona. Una denegación automática no es definitiva (artículo 22 del RGPD). Usted puede exponer su posición e impugnar el resultado. Tras dos intentos automáticos fallidos, el asunto pasa a una persona sin necesidad de solicitarlo. El número de solicitudes reiteradas no está limitado.
Presentar una reclamación ante la autoridad de control de protección de datos de su país; el procedimiento está en la Política de privacidad.
La lista es exhaustiva: no se realiza tratamiento con otros fines.
Qué no hacemos. No seguimos la localización. No analizamos el comportamiento. No vendemos datos a terceros. No elaboramos perfiles para publicidad. No empleamos el sistema para vigilar. No entregamos datos a los órganos del Estado si no es por una resolución judicial firme o un requerimiento legal equivalente, cuya legitimidad se comprueba en cada caso.
De los requerimientos atendidos se informa al participante, salvo que la propia resolución lo prohíba. Un resumen de tales casos se publica en el informe de transparencia.
El código del contrato inteligente del pasaporte es abierto bajo licencia MIT y verificable en el explorador de la red.
El código del sistema de verificación de identidad es cerrado, precisamente porque trabaja con datos personales y su publicación facilitaría eludir la protección. Es una elección consciente y no un silencio; la lista con sus motivos está en el documento Dónde estamos ahora.
A cambio de esa opacidad asumimos lo siguiente:
Las cuestiones de ética en el tratamiento de datos biométricos se someten al Consejo Independiente, órgano no subordinado a quienes operan la plataforma. Hasta que el Consejo se constituya, tales cuestiones las examina la Asamblea DAO, y los plazos de debate público se duplican (Carta, artículo 39).
Las propuestas de modificación de la presente Política se someten a votación de la Asamblea.
Qué no se conserva: nombres y apellidos reales; números de pasaporte y de documentos; fechas exactas de nacimiento; domicilios; fotografías y plantillas biométricas; números de teléfono, salvo en los casos de autenticación de dos factores.
Qué se conserva: el seudónimo; la dirección de correo electrónico; la confirmación de ser mayor de 18 años; el país de residencia (para estadística); el estado de la verificación de identidad; el vínculo con el pasaporte; la fecha de obtención de la condición.
El registro sigue el principio de minimización de datos conforme al RGPD. Se conserva únicamente lo necesario: la unicidad acreditada, el vínculo con el pasaporte para participar en las decisiones y un identificador interno para distribuir las remuneraciones.
Las fotografías y los escaneos se suprimen en cuanto concluye la comprobación, pero su resultado sigue siendo válido y verificable, del mismo modo que un Estado no conserva de manera permanente las muestras biométricas al expedir un pasaporte, aunque el hecho de la expedición siga siendo válido.
El vínculo entre la identidad real y el seudónimo no se conserva. Los datos del documento se tratan solo en el momento de la comprobación. En el registro quedan el seudónimo, el estado de la comprobación y la confirmación criptográfica de la unicidad. Esa arquitectura excluye que se revele la identidad de un participante - a otros participantes, a los administradores y a terceros - porque no hay nada que revelar.
¿Pueden reconstruir mi rostro a partir de lo que conservan? No. La plantilla biométrica no se conserva en absoluto: la comparación se realiza en el momento de la comprobación, tras lo cual los datos originales se suprimen. Quedan hashes irreversibles de los que no se puede obtener ni una imagen ni los datos del documento.
¿Qué ocurre si pierdo el teléfono? Los datos de la comprobación están a salvo. Para recuperar el acceso basta con instalar la aplicación en un dispositivo nuevo y pasar la comprobación de nuevo.
¿Pueden robar mi biometría? Solo se pueden robar hashes cifrados e irreversibles, inútiles sin las claves de descifrado. Reconstruir a partir de ellos una imagen del rostro es prácticamente imposible.
¿Es obligatorio indicar el nombre verdadero? No. El nombre y los apellidos reales no se conservan. Los datos del documento se comprueban solo en el momento de la comprobación y después se suprimen. En la relación cotidiana se le conoce por su seudónimo.
¿Qué ocurre con los datos al salir? El vínculo entre los datos de la comprobación y su identidad se rompe. Los hashes seudonimizados se conservan exclusivamente para que una misma persona no pueda tener dos pasaportes en vigor. Eso no impide volver.
¿Qué hacer si mi aspecto ha cambiado mucho? Pasar la comprobación de nuevo. No existe una plantilla conservada que hubiera que actualizar.
¿Y si la comprobación se rechaza? Recibirá un aviso con los motivos. Se puede repetir el intento tras subsanarlos, por ejemplo con imágenes de mejor calidad o con otro documento. Si no está de acuerdo, puede exigir la revisión por una persona, y tras dos intentos automáticos fallidos esa revisión se produce de manera automática.
¿Quién puede ver mi nombre y mis apellidos reales? Nadie: no se conservan. El pueblo no puede técnicamente revelar datos de los que no dispone.
¿Entregan datos a los Estados? Solo por una resolución judicial firme o un requerimiento legal equivalente; el procedimiento y el aviso al participante están descritos en la Política de privacidad.
La Política se actualiza a medida que avanzan las tecnologías y la legislación. Las modificaciones se publican indicando la fecha de entrada en vigor.
El procedimiento de modificación - aviso por correo electrónico con no menos de 30 días de antelación, aviso en la plataforma en el siguiente acceso, publicación de la lista de cambios y derecho a objetar - está establecido en la Política de privacidad.
Para cuestiones de verificación de identidad: privacy@earth-lings.org