Entre en vigueur dès sa publication
En cas de divergence entre la présente Politique et la Charte, la Charte s'applique, et en cas de divergence entre la Charte et la Déclaration, la Déclaration. Les règles générales de traitement des données personnelles figurent dans la Politique de confidentialité.
Elle sert un seul but: attester que derrière chaque voix se tient une seule personne vivante et unique. C'est le socle de la confiance entre inconnus, et rien de plus. Le système est conçu de manière à ne pas pouvoir être employé à des fins de surveillance.
La personne compte plus que les documents. Votre appartenance au peuple est déterminée par votre libre choix, et non par un passeport ou une nationalité. Le but de la vérification n'est pas une reconnaissance venue de l'extérieur, mais la constatation d'un fait simple: vous êtes bien vous, et vous êtes unique.
1. Vérifier l'unicité, non contrôler. La vérification protège le peuple contre les inscriptions multiples, mais ne crée pas de base de surveillance.
2. L'appartenance s'atteste en personne. Les documents d'État restent à leur place: la vérification ne fait que contrôler l'identité, sans rien remplacer.
3. La confiance par la vérification. Dans une communauté sans pouvoir central, une unicité vérifiée crée une couche de confiance de base. Cela ne garantit pas la bonne foi dans une opération déterminée, mais élimine la multiplication anonyme des comptes comme source de manipulations.
4. La protection contre les abus. La séparation des espaces de stockage, le chiffrement et l'impossibilité pratique de reconstituer une image à partir des données conservées sont conçus pour que le système ne puisse pas servir à une surveillance de masse.
La présente Politique détermine le traitement des données biométriques lors de la signature de la Déclaration, de l'obtention du statut d'earthling et de la participation à l'infrastructure du peuple.
Les données biométriques relèvent d'une catégorie particulière de données personnelles selon l'article 9 du RGPD et sont traitées exclusivement sur le fondement de votre consentement explicite (articles 6(1)(a) et 9(2)(a) du RGPD).
C'est le seul fondement: ni l'exécution d'un contrat, ni l'intérêt légitime ne rendent licite par eux-mêmes le traitement d'une catégorie particulière de données.
La vérification est volontaire. Vous avez le droit de retirer votre consentement à tout moment, en écrivant à privacy@earth-lings.org.
Ce qui se passe au retrait:
Nous ne pouvons pas détruire votre passeport à votre place. La Charte (article 21) n'admet la destruction du passeport par une personne autre que son titulaire que dans deux cas: l'annulation d'une délivrance non valide par décision de l'Assemblée et la réémission technique à votre propre demande; contre votre volonté, le passeport ne peut être détruit que dans le premier de ces cas. Le retrait du consentement ne figure pas parmi ces cas, et la plateforme ne conserve pas vos clés. Si vous retirez votre consentement sans détruire votre passeport, nous supprimerons les données de notre côté, mais l'inscription au registre demeurera tant que vous ne l'aurez pas détruite.
La liste complète et les fondements juridiques figurent dans la Politique de confidentialité. La vérification exige:
Les nom et prénom réels ne sont pas conservés. Les données du document ne sont utilisées qu'au moment de la vérification - pour comparer le visage au document et confirmer l'unicité - et sont supprimées une fois celle-ci achevée. Votre pseudonyme demeure votre nom public.
Ce que le statut ne donne pas. Le passeport ne donne ni nationalité ni résidence, aucun droit de visa, aucune force devant les administrations, et ne remplace pas les documents de votre pays. Le peuple des Earthlings ne possède pas la personnalité juridique internationale et ne peut représenter les intérêts de quiconque devant des juridictions ou des organes de l'État. La liste complète figure dans les documents Le chemin de l'earthling et Passeport SBT.
Document → visage → contrôle de présence vivante → comparaison document/visage → résultat → conservation protégée du résultat
Ce qui subsiste après la vérification. Les photographies, les scans de documents et les gabarits biométriques ne sont pas conservés. Subsistent: l'état de la vérification (réussie ou non) et des empreintes cryptographiques irréversibles, calculées à partir du numéro du document et de la combinaison du nom et du pays.
Les empreintes n'interdisent pas de revenir. Elles empêchent seulement une même personne de détenir deux passeports valides en même temps: lors d'une nouvelle adhésion, le système trouve la correspondance, s'assure que l'ancien passeport a été détruit et en délivre un nouveau.
Précisément, sur le statut des empreintes. Une empreinte est irréversible: on ne peut pas en tirer un nom ou un numéro de document. Mais elle permet de distinguer une personne déterminée des autres, sans quoi elle ne remplirait pas sa tâche. Selon le RGPD, il s'agit donc de données pseudonymisées et non anonymes, et la protection des données personnelles leur est applicable dans son intégralité. Nous ne les qualifions pas d'anonymisées, car ce serait inexact.
Les mesures générales sont décrites dans la Politique de confidentialité; ci-dessous, celles qui sont propres à la biométrie.
Transmission protégée. Toutes les données sont transmises par des canaux protégés, avec un chiffrement de bout en bout entre votre appareil et les serveurs du système de vérification.
Chiffrement au repos. Les empreintes sont conservées sous forme chiffrée (AES-256). Les clés de déchiffrement sont conservées séparément des données.
Séparation des espaces de stockage. Les empreintes et les résultats de vérification sont conservés séparément des données du compte.
Suppression immédiate des éléments d'origine. Les photographies et les scans sont supprimés dès l'achèvement de la vérification.
Contrôle des accès. Authentification à plusieurs niveaux et journalisation: tous les accès aux données de vérification sont consignés et peuvent être vérifiés.
Philosophie de la sécurité: la meilleure protection, c'est quand il n'y a rien à voler. Nous ne conservons pas ce qui pourrait être employé contre vous.
Les droits généraux du participant figurent dans la Politique de confidentialité et dans les Conditions d'utilisation. Ci-dessous, ceux qui sont propres à la biométrie.
Retirer votre consentement - à tout moment; les modalités et les conséquences sont décrites à la section 02.
Repasser la vérification. Si votre apparence a beaucoup changé et que la vérification ne vous reconnaît pas, vous la repassez. Le gabarit n'est pas « mis à jour » pour autant: il n'est conservé nulle part, et la comparaison se refait chaque fois à partir de zéro.
Exiger un réexamen par un être humain. Un refus automatique n'est pas définitif (article 22 du RGPD). Vous avez le droit d'exposer votre position et de contester le résultat. Après deux tentatives automatiques infructueuses, le dossier est transmis à un être humain sans demande distincte. Le nombre de nouvelles demandes n'est pas limité.
Déposer une réclamation auprès de l'autorité de contrôle de la protection des données de votre pays; les modalités figurent dans la Politique de confidentialité.
La liste est exhaustive: aucun traitement à d'autres fins n'est effectué.
Ce que nous ne faisons pas. Nous ne suivons pas les déplacements. Nous n'analysons pas les comportements. Nous ne vendons pas de données à des tiers. Nous ne constituons pas de profils publicitaires. Nous n'utilisons pas le système à des fins de surveillance. Nous ne transmettons pas de données aux organes de l'État autrement qu'en vertu d'une décision de justice devenue définitive ou d'une exigence légale équivalente, dont la légitimité est vérifiée dans chaque cas.
Le participant est informé des demandes auxquelles il a été fait droit, sauf si la décision elle-même l'interdit. Un relevé de ces cas est publié dans le rapport de transparence.
Le code du contrat intelligent du passeport est ouvert sous licence MIT et vérifiable dans l'explorateur du réseau.
Le code du système de vérification d'identité est fermé, précisément parce qu'il traite des données personnelles et que sa publication faciliterait le contournement des protections. C'est un choix assumé et non un non-dit; la liste avec les motifs figure dans le document Où nous en sommes.
En contrepartie de cette fermeture, nous prenons les engagements suivants:
Les questions d'éthique du traitement des données biométriques seront soumises au Conseil indépendant, organe non subordonné à ceux qui exploitent la plateforme. Tant que le Conseil n'est pas constitué, ces questions sont examinées par l'Assemblée DAO, et les délais de débat public sont doublés (Charte, article 39).
Les propositions de modification de la présente Politique sont soumises au vote de l'Assemblée.
Ce qui n'est pas conservé: les nom et prénom réels; les numéros de passeport et de documents; les dates de naissance exactes; les adresses de résidence; les photographies et les gabarits biométriques; les numéros de téléphone, hors les cas d'authentification à deux facteurs.
Ce qui est conservé: le pseudonyme; l'adresse électronique; la confirmation d'avoir 18 ans; le pays de résidence (à des fins statistiques); l'état de la vérification d'identité; le lien avec le passeport; la date d'obtention du statut.
Le registre suit le principe de minimisation des données conformément au RGPD. N'est conservé que le nécessaire: l'unicité vérifiée, le lien avec le passeport pour la participation aux décisions, un identifiant interne pour la répartition des rémunérations.
Les photographies et les scans sont supprimés dès la vérification, mais son résultat reste valide et vérifiable, à la manière dont un État ne conserve pas en permanence les échantillons biométriques lors de la délivrance d'un passeport, alors que le fait de la délivrance reste valide.
Le lien entre l'identité réelle et le pseudonyme n'est pas conservé. Les données du document ne sont traitées qu'au moment de la vérification. Il reste dans le registre le pseudonyme, l'état de la vérification et une attestation cryptographique d'unicité. Cette architecture exclut la divulgation de l'identité d'un participant - aux autres participants, aux administrateurs et aux tiers - parce qu'il n'y a rien à divulguer.
Pouvez-vous reconstituer mon visage à partir de ce que vous conservez? Non. Le gabarit biométrique n'est pas conservé du tout: la comparaison s'effectue au moment de la vérification, après quoi les données d'origine sont supprimées. Subsistent des empreintes irréversibles, dont on ne peut tirer ni image ni données de document.
Que se passe-t-il si je perds mon téléphone? Les données de vérification sont en sécurité. Pour retrouver l'accès, il suffit d'installer l'application sur un nouvel appareil et de repasser la vérification.
Ma biométrie peut-elle être dérobée? On ne peut dérober que des empreintes chiffrées et irréversibles, inutiles sans les clés de déchiffrement. Reconstituer une image de visage à partir d'elles est pratiquement impossible.
Faut-il obligatoirement indiquer son vrai nom? Non. Les nom et prénom réels ne sont pas conservés. Les données du document ne sont contrôlées qu'au moment de la vérification et sont supprimées ensuite. Dans les échanges quotidiens, vous êtes connu par votre pseudonyme.
Qu'advient-il des données à la sortie? Le lien entre les données de vérification et votre identité est rompu. Les empreintes pseudonymisées sont conservées exclusivement pour qu'une même personne ne puisse pas détenir deux passeports valides. Cela n'empêche pas de revenir.
Que faire si mon apparence a beaucoup changé? Repasser la vérification. Il n'existe pas de gabarit conservé qu'il faudrait mettre à jour.
Et si la vérification est rejetée? Vous recevrez une notification des motifs. Vous pouvez recommencer après les avoir levés, par exemple avec des images de meilleure qualité ou un autre document. En cas de désaccord, vous avez le droit d'exiger un réexamen par un être humain, et après deux tentatives automatiques infructueuses ce réexamen a lieu automatiquement.
Qui a accès à mes nom et prénom réels? Personne: ils ne sont pas conservés. Le peuple ne peut techniquement pas divulguer des données dont il ne dispose pas.
Transmettez-vous des données aux États? Uniquement en vertu d'une décision de justice devenue définitive ou d'une exigence légale équivalente; les modalités et l'information du participant sont décrites dans la Politique de confidentialité.
La Politique est mise à jour à mesure que les technologies et la législation évoluent. Les modifications sont publiées avec l'indication de la date d'entrée en vigueur.
Les modalités de modification - notification par courriel au moins 30 jours à l'avance, notification sur la plateforme à la connexion suivante, publication de la liste des modifications et droit d'objecter - sont établies par la Politique de confidentialité.
Pour toute question relative à la vérification d'identité: privacy@earth-lings.org