Começa agora

Manual de utilização

Evidência

O Dronetrake não mantém um registo qualquer: mantém evidência. A diferença é concreta. Um registo pode ser corrigido por quem tem acesso à base de dados, e ninguém dá por isso. A evidência é construída para que uma adulteração se veja, e para que a data de um facto seja garantida por alguém que não somos nós. Este capítulo explica o que está em evidência, como funciona, quanto custa e — igualmente importante — o que a evidência não prova.

O que quer dizer, numa frase

Um facto está em evidência quando se verificam três coisas em conjunto:

  1. está escrito numa entrada que não se reescreve (ou que, se for apagada, deixa rasto);
  2. a entrada traz uma impressão (SHA-256) calculada sobre o seu conteúdo mais a impressão da entrada anterior: é a cadeia;
  3. a cabeça da cadeia recebe, a intervalos regulares, um selo temporal de um prestador independente.

A partir desse momento qualquer pessoa, mesmo sem confiar em nós, pode recalcular a cadeia e estabelecer que esse facto existia, tal como está, antes dessa hora. A pergunta «quem fez o quê, e quando?» tem uma resposta documental, não de memória.

As cadeias

Cada organização tem cinco cadeias, uma por família de factos:

Há ainda uma sexta cadeia, de plataforma: o registo dos atos — acessos bem-sucedidos e falhados, mudanças de papel, entradas e saídas de organizações, mudanças de plano, suspensões, revogações de ligações e chaves, atos da equipa. É uma cadeia única, nossa, selada todas as noites, e produzimo-la a pedido quando é preciso reconstituir quem fez o quê.

Na impressão entram os factos; as etiquetas corrigíveis ficam de fora. Corrigir uma etiqueta não quebra nada; tocar num facto sim, de forma evidente.

Os dois níveis

Nível 1 — a cadeia e o selo noturno. A cadeia existe sempre e para todos, sem custo e sem escolha: desde o plano gratuito, cada entrada nasce com o seu elo. O selo noturno ativa-se no perfil da organização, com o interruptor «Selo noturno com selo temporal»: é gratuito, e a partir daí todas as noites a cabeça de cada cadeia recebe o selo de um prestador independente. É um selo não qualificado: prova que àquela hora a cadeia era aquela, e é mais do que suficiente para o arquivo próprio, para um cliente, para uma prestação de contas interna. Com o interruptor ligado, aparece no painel a página Evidência.

Nível 2 — o selo temporal qualificado eIDAS. É a data oponível a terceiros: é aposta por um prestador qualificado de serviços de confiança nos termos do regulamento europeu eIDAS, independente de nós, e o seu nome aparece na página Evidência assim que o primeiro selo é emitido. Isto é uma escolha, com selos contados, e exprime-se de três formas:

Um selo qualificado cobre tudo o que foi marcado nesse dia nessa cadeia: o custo é por noite e por cadeia, não por entrada. O teto mensal depende do plano: Solo e School nenhum selo qualificado, Pilot quinze por mês, Crew e Ops sem teto (o limite é o próprio ciclo noturno). Se os selos se esgotarem, não se perde nada: o voo, a gravação ou o ficheiro ficam no nível 1, e a página Evidência mostra o pedido em espera.

A página Evidência

Encontra-la no grupo Conformidade, quando o selo noturno está ligado. Mostra:

Uma regra vale para tudo: um selo cobre o que existia antes dele. O que nasce depois espera pelo seguinte. Por isso a página diz sempre qual é a janela: o selo chega com o ciclo noturno, não no instante.

As gravações marcadas como evidência

Uma gravação marcada como evidência muda de natureza: a retenção já não a apaga, recebe uma cópia fora do servidor (a página diz se está feita ou em curso) e não se apaga a partir do painel. Para a apagar é preciso primeiro despromovê-la a ordinária, e fica escrito quem o fez e quando. É o caso em que o automatismo protege do acaso, e o modelo protege da pessoa.

As listas de verificação assinadas

Uma lista preenche-se, corrige-se e assina-se. Depois da assinatura não se modifica nem se apaga por si só: por nenhum caminho, nem sequer a partir da consola. Na assinatura nasce o auto — os pontos marcados, o assinante, a hora, a missão — que entra em cadeia. Se um dia a missão for apagada, a lista vai com ela deixando uma lápide, mas o auto fica, com a sua impressão e o selo que o cobre.

Apagar, e o que fica

Apagar é possível, exceto onde a evidência o proíbe: as entradas de registo com menos de três anos, as gravações marcadas como evidência, os autos, os certificados. Mas nada desaparece em silêncio: cada eliminação deixa uma lápide com o que era, quando, por que regra (à mão, retenção, expurgo) e pela mão de quem. A lápide conserva também o elo da entrada apagada: por isso a cadeia aguenta mesmo sem ela, e a verificação continua a bater certo.

Uma eliminação feita às escondidas, fora do produto, não deixa lápide: a cadeia quebra, e a verificação di-lo. É exatamente o trabalho que ela tem de fazer.

Verificar

Por dentro: a página Evidência, e na ficha de cada voo a impressão completa, copiável.

Por fora, sem conta: o QR dos relatórios de missão abre uma página pública que recalcula a cadeia do zero a cada visita, voo a voo, e mostra as impressões dos ficheiros entregues. O mesmo vale para o certificado de histórico de um drone, para o certificado de um piloto e para o certificado de formação de um aluno: quem recebe o documento verifica por si, e vê o resultado, não os teus dados internos.

Da nossa parte: todas as noites o sistema volta a verificar todos os selos emitidos, recalculando cada cadeia até à cabeça selada; se algo não bater certo, sabemo-lo antes de qualquer pessoa. E de dezoito em dezoito meses os selos são renovados — uma árvore de impressões sobre todos os tokens, e um só selo na raiz — porque a validade de um selo temporal não é eterna.

No encerramento

Se a organização encerrar, recebe o dossier de entrega: o registo completo com impressões e conteúdos assinados, os selos com os tokens, e um LEIA-ME que explica como voltar a verificar tudo offline, com ferramentas normais, sem o Dronetrake. Depois abre-se uma janela para o descarregar; expirada a janela, os dados são apagados — a conservação dos registos é uma obrigação do operador, e a partir desse momento está nas suas mãos. Do nosso lado ficam os selos e as lápides das entradas apagadas: atestam que o registo existiu, até que cabeça e quando foi apagado, sem conter os seus dados. Quem quiser pode escolher a custódia: os registos ficam connosco, selados, só de leitura, verificados todas as noites e com os selos temporais renovados, enquanto a custódia estiver paga; quando termina, abre-se a janela de 90 dias e o ciclo retoma daí.

O que a evidência não é

← Conformidade Business →