Manual de uso

Evidencia

Dronetrake no lleva un registro cualquiera: lleva evidencia. La diferencia es concreta. Un registro lo puede corregir quien tenga acceso a la base de datos, y nadie se entera. La evidencia está construida para que una manipulación se vea, y para que la fecha de un hecho la garantice alguien que no somos nosotros. Este capítulo explica qué está en evidencia, cómo funciona, cuánto cuesta y — igual de importante — qué es lo que la evidencia no prueba.

Qué significa, en una frase

Un hecho está en evidencia cuando se cumplen tres cosas a la vez:

1. está escrito en una entrada que no se reescribe (o que, si se borra, deja rastro);
2. la entrada lleva una huella (SHA-256) calculada sobre su contenido más la huella de la entrada anterior: es la cadena;
3. la cabeza de la cadena recibe, a intervalos regulares, un sello de tiempo de un prestador independiente.

Desde ese momento cualquiera, incluso sin fiarse de nosotros, puede recalcular la cadena y establecer que ese hecho existía, tal como es, antes de esa hora. La pregunta «¿quién hizo qué, y cuándo?» tiene una respuesta documental, no de memoria.

Las cadenas

Cada organización tiene cinco cadenas, una por cada familia de hechos:

• Vuelos: el logbook. Dron, piloto, despegue y aterrizaje, lugares, VLOS/BVLOS, anomalías (ver el capítulo Vuelos).
• Grabaciones: las grabaciones cifradas de los directos, con la huella del archivo y la hora de inicio.
• Archivos de misión: entregas, documentos, NOTAM. A la cadena van los bytes (huella, tamaño, tipo) y la hora de subida; el nombre del archivo, el tipo de entrega y la misión a la que está enganchado son etiquetas que puedes corregir sin romper nada.
• Actas de las listas de comprobación: cada lista firmada produce, en el instante de la firma, un acta con los puntos marcados, quién firmó y cuándo. El acta es la entrada en cadena, y sobrevive a la misión.
• Certificados de formación: para las escuelas, el expediente de una tarea entregada (ver Equipo y la guía para escuelas).

Hay además una sexta cadena, de plataforma: el registro de los actos — accesos correctos y fallidos, cambios de rol, entradas y salidas de organizaciones, cambios de plan, suspensiones, revocaciones de enlaces y claves, actos del personal. Es una cadena única, nuestra, sellada cada noche, y la producimos a petición cuando hace falta reconstruir quién hizo qué.

En la huella entran los hechos; las etiquetas corregibles quedan fuera. Corregir una etiqueta no rompe nada; tocar un hecho sí, de forma evidente.

Los dos niveles

Nivel 1 — la cadena y el sello nocturno. La cadena está siempre y para todos, sin coste y sin elección: desde el plan gratuito en adelante, cada entrada nace con su eslabón. El sello nocturno se activa desde el perfil de la organización, con el interruptor «Sello nocturno con sello de tiempo»: es gratuito, y desde ese momento cada noche la cabeza de cada cadena recibe el sello de un prestador independiente. Es un sello no cualificado: demuestra que a esa hora la cadena era esa, y es más que suficiente para el archivo propio, para un cliente, para una rendición de cuentas interna. Con el interruptor activo, en el panel aparece la página Evidencia.

Nivel 2 — el sello de tiempo cualificado eIDAS. Es la fecha oponible a terceros: la pone un prestador cualificado según el reglamento europeo eIDAS, independiente de nosotros, y su nombre aparece en la página Evidencia en cuanto se emite el primer sello. Esto es una elección, con sellos contados, y se expresa de tres maneras:

• «Marcar como evidencia» en un vuelo, desde el registro de vuelos: cuando ese vuelo tendrá que sostenerse ante alguien;
• marcar una grabación como evidencia, desde la lista de grabaciones;
• el interruptor de misión «Debe sostenerse ante terceros»: desde ese momento los vuelos de la misión, las grabaciones de su canal dentro de la ventana de la operación (hasta dos horas después del final), las actas de las listas y los archivos nacen ya marcados. Si lo activas con las cosas hechas, lo que existe se pone al día.

Un sello cualificado cubre todo lo marcado ese día en esa cadena: el coste es por noche y por cadena, no por entrada. El tope mensual depende del plan: Solo y School ningún sello cualificado, Pilot quince al mes, Crew y Ops sin tope (el límite es el propio ciclo nocturno). Si los sellos se agotan, no se pierde nada: el vuelo, la grabación o el archivo se quedan en el nivel 1, y la página Evidencia muestra la petición en espera.

La página Evidencia

La encuentras en el clúster Cumplimiento, cuando el sello nocturno está activo. Muestra:

• Quién pone la fecha: el prestador cualificado, cuando se ha emitido al menos un sello; si no, la frase que explica cómo obtenerlo. Y cuántos sellos cualificados quedan en el mes.
• Vuelos marcados, cada uno con su estado: En espera de sello (cubierto esta noche) o Sellado el … por ….
• Grabaciones marcadas, con el estado de la copia fuera del servidor.
• Listas firmadas, archivos de misión y, para las escuelas, certificados: cada uno con el sello que lo cubre o En espera del sello nocturno.

Una regla vale para todo: un sello cubre lo que existía antes de él. Lo que nace después espera al siguiente. Por eso la página dice siempre cuál es la ventana: el sello llega con el ciclo nocturno, no al instante.

Las grabaciones marcadas como evidencia

Una grabación marcada como evidencia cambia de naturaleza: la retención ya no la poda, recibe una copia fuera del servidor (la página dice si está hecha o en curso) y no se borra desde el panel. Para borrarla hay que rebajarla antes a ordinaria, y queda escrito quién lo hizo y cuándo. Es el caso en que el automatismo protege del azar, y el modelo protege de la persona.

Las listas de comprobación firmadas

Una lista se rellena, se corrige y se firma. Después de la firma no se modifica y no se borra por sí sola: por ningún camino, ni siquiera desde la consola. Con la firma nace el acta — los puntos marcados, el firmante, la hora, la misión — que entra en cadena. Si un día la misión se borra, la lista se va con ella dejando una lápida, pero el acta se queda, con su huella y el sello que la cubre.

Borrar, y qué queda

Borrar se puede, salvo donde la evidencia lo prohíbe: las entradas de logbook con menos de tres años, las grabaciones marcadas como evidencia, las actas, los certificados. Pero nada desaparece en silencio: cada borrado deja una lápida con qué era, cuándo, por qué regla (a mano, retención, purga) y por mano de quién. La lápida conserva también el eslabón de la entrada borrada: por eso la cadena aguanta incluso sin ella, y la verificación sigue cuadrando.

Un borrado hecho a escondidas, fuera del producto, no deja lápida: la cadena se rompe, y la verificación lo dice. Es exactamente el trabajo que tiene que hacer.

Verificar

Desde dentro: la página Evidencia, y en la ficha de cada vuelo la huella completa, copiable.

Desde fuera, sin cuenta: el QR de los informes de misión abre una página pública que recalcula la cadena desde cero en cada visita, vuelo a vuelo, y muestra las huellas de los archivos entregados. Lo mismo vale para el certificado de historial de un dron, para el certificado de un piloto y para el certificado de formación de un alumno: quien recibe el documento lo verifica por sí mismo, y ve el resultado, no tus datos internos.

Por nuestra parte: cada noche el sistema vuelve a verificar todos los sellos emitidos, recalculando cada cadena hasta la cabeza sellada; si algo no cuadra, lo sabemos antes que nadie. Y cada dieciocho meses los sellos se renuevan — un árbol de huellas sobre todos los tokens, y un solo sello sobre la raíz — porque la validez de un sello de tiempo no es eterna.

Al cierre

Si la organización cierra, recibe el dosier de entrega: el logbook completo con huellas y contenidos firmados, los sellos con los tokens, y un LÉEME que explica cómo volver a verificar todo sin conexión, con herramientas estándar, sin Dronetrake. Después se abre una ventana para descargarlo; vencida la ventana, los datos se borran — la conservación de los registros es una obligación del operador, y desde ese momento está en sus manos. De nuestra parte quedan los sellos y las lápidas de las entradas borradas: atestiguan que el registro existió, hasta qué cabeza y cuándo se borró, sin contener tus datos. Quien lo prefiera puede elegir la custodia: los registros siguen con nosotros, sellados, en solo lectura, verificados cada noche y con los sellos de tiempo renovados, mientras la custodia esté pagada; cuando termina, se abre la ventana de 90 días y el ciclo sigue desde ahí.

Lo que la evidencia no es

• No certifica la conformidad: pone los hechos en fila y los hace verificables; el juicio queda para quien deba darlo.
• No dice que un hecho sea verdad: dice que se registró así, y antes de esa hora. Un dato erróneo introducido por una persona se queda en la cadena, erróneo y verificable — y se corrige con una rectificación, no reescribiéndolo.
• El sello gratuito no es un sello cualificado: demuestra la secuencia y la hora con la garantía de un prestador independiente, pero la fecha oponible a terceros, en el sentido del reglamento eIDAS, es solo la cualificada.
• El archivo es tuyo: si borras con lápida, si cierras, si dejas vencer una retención, la evidencia lo cuenta sin adornos. Es la razón por la que vale algo.