Manuel d'utilisation

Preuve

Dronetrake ne tient pas un journal quelconque : il tient des preuves. La différence est concrète. Un journal, quiconque a accès à la base de données peut le corriger, et personne ne s'en aperçoit. La preuve est construite pour qu'une manipulation se voie, et pour que la date d'un fait soit garantie par quelqu'un qui n'est pas nous. Ce chapitre explique ce qui est en preuve, comment cela fonctionne, ce que cela coûte et — tout aussi important — ce que la preuve ne prouve pas.

Ce que cela veut dire, en une phrase

Un fait est en preuve quand trois conditions tiennent ensemble :

1. il est écrit dans une entrée qui ne se réécrit pas (ou qui, si on la supprime, laisse une trace) ;
2. l'entrée porte une empreinte (SHA-256) calculée sur son contenu plus l'empreinte de l'entrée précédente : c'est la chaîne ;
3. la tête de la chaîne reçoit, à intervalles réguliers, un horodatage d'un prestataire indépendant.

À partir de là, n'importe qui, même sans nous faire confiance, peut recalculer la chaîne et établir que ce fait existait, tel qu'il est, avant cette heure. La question « qui a fait quoi, et quand ? » a une réponse documentaire, pas une réponse de mémoire.

Les chaînes

Chaque organisation a cinq chaînes, une par famille de faits :

• Vols : le carnet de vol. Drone, télépilote, décollage et atterrissage, lieux, VLOS/BVLOS, anomalies (voir le chapitre Vols).
• Enregistrements : les enregistrements chiffrés des directs, avec l'empreinte du fichier et l'heure de début.
• Fichiers de mission : livrables, documents, NOTAM. Entrent dans la chaîne les octets (empreinte, taille, type) et l'heure de dépôt ; le nom du fichier, le type de livrable et la mission rattachée sont des étiquettes que vous pouvez corriger sans rien casser.
• Procès-verbaux des check-lists : chaque check-list signée produit, à l'instant de la signature, un procès-verbal avec les points cochés, qui a signé et quand. Le procès-verbal est l'entrée en chaîne, et il survit à la mission.
• Attestations de formation : pour les écoles, le dossier d'un exercice remis (voir Équipe et le guide pour les écoles).

Il existe aussi une sixième chaîne, de plateforme : le registre des actes — connexions réussies et échouées, changements de rôle, entrées et sorties d'organisations, changements d'offre, suspensions, révocations de liens et de clés, actes de l'équipe. C'est une chaîne unique, la nôtre, scellée chaque nuit, que nous produisons sur demande quand il faut reconstituer qui a fait quoi.

Dans l'empreinte entrent les faits ; les étiquettes corrigibles en restent dehors. Corriger une étiquette ne casse rien ; toucher un fait, si, de manière visible.

Les deux niveaux

Niveau 1 — la chaîne et le sceau nocturne. La chaîne est là toujours et pour tous, sans coût et sans choix : dès l'offre gratuite, chaque entrée naît avec son maillon. Le sceau nocturne s'active depuis le profil de l'organisation, avec l'interrupteur « Sceau nocturne avec horodatage » : il est gratuit, et dès lors chaque nuit la tête de chaque chaîne reçoit l'horodatage d'un prestataire indépendant. C'est un horodatage non qualifié : il prouve qu'à cette heure la chaîne était celle-là, et c'est plus que suffisant pour ses propres archives, pour un client, pour un compte rendu interne. Interrupteur activé, la page Preuve apparaît dans le panneau.

Niveau 2 — l'horodatage qualifié eIDAS. C'est la date opposable aux tiers : elle est posée par un prestataire qualifié au sens du règlement européen eIDAS, indépendant de nous, et son nom apparaît sur la page Preuve dès que le premier horodatage est émis. C'est un choix, à horodatages comptés, qui s'exprime de trois façons :

• « Mettre en preuve » sur un vol, depuis le registre des vols : quand ce vol devra tenir devant quelqu'un ;
• marquer un enregistrement comme preuve, depuis la liste des enregistrements ;
• l'interrupteur de mission « Doit tenir devant des tiers » : dès lors les vols de la mission, les enregistrements de son canal dans la fenêtre de l'opération (jusqu'à deux heures après la fin), les procès-verbaux des check-lists et les fichiers naissent déjà marqués. Si vous l'activez après coup, ce qui existe se met à jour.

Un horodatage qualifié couvre tout ce qui a été marqué dans la journée sur cette chaîne : le coût est par nuit et par chaîne, pas par entrée. Le plafond mensuel dépend de l'offre : Solo et School aucun horodatage qualifié, Pilot quinze par mois, Crew et Ops sans plafond (la limite est le passage nocturne lui-même). Si les horodatages sont épuisés, rien n'est perdu : le vol, l'enregistrement ou le fichier restent au niveau 1, et la page Preuve montre la demande en attente.

La page Preuve

Vous la trouvez dans le groupe Conformité, quand le sceau nocturne est activé. Elle montre :

• Qui pose la date : le prestataire qualifié, dès qu'au moins un horodatage a été émis ; sinon la phrase qui explique comment l'obtenir. Et combien d'horodatages qualifiés restent dans le mois.
• Vols mis en preuve, chacun avec son état : En attente d'horodatage (couvert cette nuit) ou Horodaté le … par ….
• Enregistrements mis en preuve, avec l'état de la copie hors serveur.
• Check-lists signées, fichiers de mission et, pour les écoles, attestations : chacun avec le sceau qui le couvre ou En attente du sceau nocturne.

Une règle vaut pour tout : un horodatage couvre ce qui existait avant lui. Ce qui naît après attend le suivant. C'est pourquoi la page dit toujours quelle est la fenêtre : l'horodatage arrive avec le passage nocturne, pas à l'instant.

Les enregistrements marqués comme preuve

Un enregistrement marqué comme preuve change de nature : la rétention ne l'élague plus, il reçoit une copie hors serveur (la page dit si elle est faite ou en cours) et il ne se supprime pas depuis le panneau. Pour le supprimer, il faut d'abord le rétrograder en ordinaire, et il reste écrit qui l'a fait et quand. C'est le cas où l'automatisme protège du hasard, et le modèle protège de la personne.

Les check-lists signées

Une check-list se remplit, se corrige et se signe. Après la signature, elle ne se modifie pas et ne se supprime pas toute seule : par aucun chemin, pas même depuis la console. À la signature naît le procès-verbal — les points cochés, le signataire, l'heure, la mission — qui entre en chaîne. Si un jour la mission est supprimée, la check-list part avec elle en laissant une pierre tombale, mais le procès-verbal reste, avec son empreinte et le sceau qui le couvre.

Supprimer, et ce qui reste

Supprimer est possible, sauf là où la preuve l'interdit : les entrées de carnet de moins de trois ans, les enregistrements marqués comme preuve, les procès-verbaux, les attestations. Mais rien ne disparaît en silence : chaque suppression laisse une pierre tombale avec ce que c'était, quand, selon quelle règle (à la main, rétention, purge) et de la main de qui. La pierre tombale conserve aussi le maillon de l'entrée supprimée : c'est pourquoi la chaîne tient même sans elle, et la vérification continue de passer.

Une suppression faite en cachette, hors du produit, ne laisse pas de pierre tombale : la chaîne se casse, et la vérification le dit. C'est exactement le travail qu'elle doit faire.

Vérifier

De l'intérieur : la page Preuve, et dans la fiche de chaque vol l'empreinte complète, copiable.

De l'extérieur, sans compte : le QR des rapports de mission ouvre une page publique qui recalcule la chaîne depuis zéro à chaque visite, vol par vol, et montre les empreintes des fichiers livrés. Il en va de même pour le certificat d'historique d'un drone, pour l'attestation d'un télépilote et pour l'attestation de formation d'un élève : qui reçoit le document vérifie lui-même, et voit le résultat, pas vos données internes.

De notre côté : chaque nuit le système revérifie tous les sceaux émis, en recalculant chaque chaîne jusqu'à la tête horodatée ; si quelque chose ne colle pas, nous le savons avant tout le monde. Et tous les dix-huit mois les horodatages sont renouvelés — un arbre d'empreintes sur tous les jetons, et un seul horodatage sur la racine — parce que la validité d'un horodatage n'est pas éternelle.

À la clôture

Si l'organisation ferme, elle reçoit le dossier de remise : le carnet complet avec empreintes et contenus signés, les sceaux avec les jetons d'horodatage, et un LISEZ-MOI qui explique comment tout revérifier hors ligne, avec des outils standard, sans Dronetrake. Puis une fenêtre s'ouvre pour le télécharger ; la fenêtre expirée, les données sont supprimées — la conservation des registres est une obligation de l'exploitant, et dès lors elle est entre ses mains. De notre côté restent les sceaux et les pierres tombales des entrées supprimées : ils attestent que le registre a existé, jusqu'à quelle tête et quand il a été supprimé, sans contenir vos données. Qui le souhaite peut choisir la garde : les registres restent chez nous, scellés, en lecture seule, vérifiés chaque nuit et avec des horodatages renouvelés, tant que la garde est payée ; quand elle s'arrête, la fenêtre de 90 jours s'ouvre et le cycle reprend de là.

Ce que la preuve n'est pas

• Elle ne certifie pas la conformité : elle aligne les faits et les rend vérifiables ; le jugement reste à qui doit le rendre.
• Elle ne dit pas qu'un fait est vrai : elle dit qu'il a été enregistré ainsi, et avant cette heure. Une donnée erronée saisie par une personne reste dans la chaîne, erronée et vérifiable — et se corrige par une rectification, pas en la réécrivant.
• L'horodatage gratuit n'est pas un horodatage qualifié : il prouve la séquence et l'heure avec la garantie d'un prestataire indépendant, mais la date opposable aux tiers, au sens du règlement eIDAS, est seulement la qualifiée.
• Les archives sont à vous : si vous supprimez avec pierre tombale, si vous fermez, si vous laissez expirer une rétention, la preuve le raconte sans enjoliver. C'est la raison pour laquelle elle vaut quelque chose.