Politique de vérification biométrique des Earthlings

• la biométrie est traitée au moment de la vérification et n'est pas conservée;
• pour qu'une même personne ne puisse pas détenir deux passeports valides, des hachages cryptographiques irréversibles sont conservés;
• revenir après une sortie est possible à tout moment;
• le prénom et le nom tels qu'ils figurent dans le document sont nécessaires à la comparaison avec celui-ci; les autres participants vous voient sous le pseudonyme que vous avez choisi;
• la biométrie sert la confiance, non le contrôle;
• système de vérification propre, minimisation des données.

Elle sert un seul but: attester que derrière chaque voix se tient une seule personne vivante et unique. C'est le socle de la confiance entre inconnus, et rien de plus. Le système est conçu de manière à conserver le moins possible.

La personne compte plus que les documents. Votre appartenance au peuple est déterminée par votre libre choix, et non par un passeport ou une nationalité. Le but de la vérification n'est pas une reconnaissance venue de l'extérieur, mais la constatation d'un fait simple: vous êtes bien vous, et vous êtes unique.

1. Vérifier l'unicité, non contrôler. La vérification protège le peuple contre les inscriptions multiples et n'est pas employée à des fins de surveillance.

2. L'appartenance s'atteste en personne. Les documents d'État restent à leur place: la vérification ne fait que contrôler l'identité, sans rien remplacer.

3. La confiance par la vérification. Dans une communauté sans pouvoir central, une unicité vérifiée crée une couche de confiance de base. Cela ne garantit pas la bonne foi dans une opération déterminée, mais élimine la multiplication anonyme des comptes comme source de manipulations.

4. La protection contre les abus. Le fait de ne conserver ni images ni gabarits, les hachages calculés avec la clé secrète du serveur et l'impossibilité pratique de reconstituer une image à partir des données conservées sont conçus pour que le système ne puisse pas servir à une surveillance de masse.

Les données biométriques relèvent d'une catégorie particulière de données personnelles selon l'article 9 du RGPD et sont traitées exclusivement sur le fondement de votre consentement explicite (articles 6(1)(a) et 9(2)(a) du RGPD).

C'est le seul fondement: ni l'exécution d'un contrat, ni l'intérêt légitime ne rendent licite par eux-mêmes le traitement d'une catégorie particulière de données.

La vérification est volontaire. Vous avez le droit de retirer votre consentement à tout moment, en écrivant à privacy@earth-lings.org.

Ce qui se passe au retrait:

• le traitement des données biométriques cesse (après la vérification, elles ne sont de toute façon pas conservées); le résultat de la vérification (section 04) est conservé: il ne constitue pas une donnée biométrique;
• le hachage irréversible d'unicité est lui aussi conservé. Il est calculé à partir des données du document et non de la biométrie, il ne relève donc pas du consentement de l'article 9 du RGPD et est conservé sur un autre fondement. Sans lui, une même personne pourrait obtenir un second passeport avec les mêmes données de document: le hachage permet de déceler une telle tentative, y compris de sa part, et un passeport délivré en contournant la vérification est annulé (Déclaration, article 8);
• le retrait du consentement n'affecte ni l'appartenance ni le droit de vote, et le compte n'est pas supprimé de ce fait; pour qui appartient au peuple, la suppression du compte ne va qu'avec la sortie;
• c'est vous qui détruisez le passeport, avec votre propre clé, si vous décidez de sortir: le retrait du consentement ne détruit pas le passeport.

La liste complète et les fondements juridiques figurent dans la Politique de confidentialité. La vérification exige:

• un pseudonyme - à votre choix, utilisé dans le passeport et pour la connexion à la plateforme;
• une adresse électronique - pour le contact;
• le contrôle du document et du visage - avec le prénom et le nom en caractères latins tels qu'ils figurent dans le document; en outre, le pays de résidence est indiqué et l'âge de 18 ans révolus est confirmé. La vérification repose sur un document d'identité: une personne sans documents ne peut pas entrer aujourd'hui. Cela contredit l'article 8 de la Déclaration et demeure une question ouverte: la garantie est écrite, mais n'est pas encore tenue.

Les nom et prénom réels ne sont pas conservés. Les données du document ne sont utilisées qu'au moment de la vérification, pour comparer le visage au document et confirmer l'unicité; une fois celle-ci achevée, il n'en subsiste que le type et le pays de délivrance du document et des hachages irréversibles. Votre pseudonyme demeure le nom sous lequel les autres participants vous voient.

• le passeport - attestation de l'appartenance au peuple;
• le droit de vote à l'Assemblée DAO: une personne, une voix;
• l'accès à l'infrastructure - participation aux projets, services, coordination;
• le droit de faire des propositions et de participer aux décisions sur chaque question.

• le document - comparaison des données avec un document officiel d'identité;
• la géométrie du visage - points clés et proportions;
• la présence vivante - il s'agit aujourd'hui d'un contrôle passif de base, effectué sur une seule prise de vue du visage: il est conçu pour déceler des falsifications simples - la prise de vue d'une photographie ou d'un écran -, ne protège ni contre les enregistrements vidéo ni contre les masques, et la prise de vue peut être téléversée sous forme de fichier. Le contrôle suivant le modèle de détection des attaques par présentation décrit dans la norme ISO/IEC 30107 n'est pas encore mis en place; le niveau de résistance annoncé et les résultats d'une vérification indépendante seront publiés lors de sa mise en place.

1. Réception de l'image du document et du visage par une connexion protégée.
2. Contrôle de présence vivante.
3. Extraction des caractéristiques - données du document et points clés du visage.
4. Construction d'un gabarit mathématique - un ensemble de nombres décrivant les caractéristiques. Le gabarit n'existe qu'en mémoire vive pendant la durée de la vérification.
5. Comparaison de la biométrie avec le document et contrôle de l'unicité.
6. Conservation du résultat - sans images ni gabarits.

• la destruction du passeport ne supprime pas par elle-même les données: les données du compte sont supprimées à votre demande et, après cette suppression, subsistent l'adresse du portefeuille, le numéro de l'inscription du passeport, le pseudonyme, le pays, le résultat et les scores de la vérification et les hachages irréversibles;
• les hachages pseudonymisés sont conservés exclusivement pour qu'une même personne ne puisse pas détenir deux passeports valides;
• le droit de revenir est conservé: lors d'une nouvelle adhésion, le système s'assure que l'ancien passeport a été détruit et en délivre un nouveau;
• on ne peut pas reconstituer une image à partir des hachages; on ne peut pas non plus y lire un nom ou un numéro de document, et sans la clé secrète du serveur on ne peut pas davantage les retrouver par force brute.

Le code du contrat intelligent du passeport est ouvert sous licence MIT et vérifié dans l'explorateur du réseau: l'explorateur a confirmé que la source correspond exactement au contrat déployé (document « Où nous en sommes »).

Le code du système de vérification d'identité est fermé, précisément parce qu'il traite des données personnelles et que sa publication faciliterait le contournement des protections. C'est un choix assumé et non un non-dit; la liste avec les motifs figure dans le document Où nous en sommes.

En contrepartie de cette fermeture, nous prenons les engagements suivants:

• un audit de sécurité indépendant est prévu avant l'extension des opérations; le rapport est publié;
• la documentation technique est accessible à l'étude;
• des rapports de sécurité sont publiés régulièrement;
• la journalisation des accès aux données de vérification peut être auditée; aujourd'hui, les accès ne sont pas tous journalisés.

Les questions d'éthique du traitement des données biométriques seront soumises au Conseil indépendant, organe non subordonné à ceux qui exploitent la plateforme. Après l'adoption de la Déclaration, tant que le Conseil n'est pas constitué, cette étape est omise et les délais de débat public sur ces questions sont doublés (Charte, article 39); avant l'adoption de la Déclaration, il n'y a pas de Conseil (Charte, article 38).

Après l'adoption de la Déclaration, les propositions de modification de la présente Politique sont soumises au vote de l'Assemblée; avant l'adoption, la décision les concernant est prise par l'auteur de la Déclaration selon la procédure du document « La période constituante » (partie 2, point 2).

• réception et traitement des données du document et du visage;
• reconnaissance du document avec extraction des données de la zone lisible par machine;
• contrôle de présence vivante;
• comparaison de la photographie avec le document;
• confirmation de l'unicité.

Ce qui n'est pas conservé: les nom et prénom réels; les numéros de passeport et de documents; les dates de naissance exactes; les adresses de résidence; les photographies et les gabarits biométriques; les numéros de téléphone, hors les cas d'authentification à deux facteurs.

Ce qui est conservé: le pseudonyme; l'adresse électronique; la confirmation d'avoir 18 ans; le pays de résidence (à des fins statistiques); l'état de la vérification d'identité; le lien avec le passeport; la date d'obtention du statut; l'adresse du portefeuille; l'adresse IP et le type de navigateur au moment de la vérification - pendant douze mois au plus.

Le registre suit le principe de minimisation des données conformément au RGPD. N'est conservé que ce qui est nécessaire à la confirmation de l'unicité et au lien avec le passeport pour la participation aux décisions; ce qui est conservé exactement figure ci-dessus, dans l'encadré ci-dessous et dans la Politique de confidentialité.

Les photographies et les scans sont supprimés dès la vérification, mais son résultat reste valide et vérifiable.