Agreely Docs
FR EN

Non-corrélation

Les enregistrements du côté entreprise et du côté citoyen sont tenus séparément. Ce qui est ancré sur la chaîne est un engagement bytes32 opaque, sans identifiant d'entreprise, sans DID et sans renseignement personnel : un observateur de la chaîne ne peut rien en déduire qui relie une personne à une entreprise. Et une entreprise ne voit que ses propres enregistrements : elle ne peut lire ni ceux d'une autre entreprise, ni le côté citoyen.

La frontière précise

La non-corrélation est une propriété précise, et la surestimer serait malhonnête. Elle tient contre deux sortes d'observateurs, et pas contre un troisième.

  • Un observateur de la chaîne. Il ne voit que des engagements opaques. C'est une propriété cryptographique.
  • Une autre entreprise. Elle ne voit que ses propres enregistrements, par la séparation des locataires et des rôles. C'est un contrôle d'accès.
  • Agreely lui-même, ou quiconque lit toute la base de données. La protection ne tient pas contre lui. Dans une même base, une référence de consentement relie le côté entreprise (la référence de client) et le côté citoyen (le DID), et une personne qui a accès à toute la base peut les joindre. Contre l'exploitant, la non-corrélation est une question de contrôle d'accès et de politique (schémas séparés, droits des rôles de base de données, règles d'exploitation), et non une garantie cryptographique.

Ce que la non-corrélation ne fait pas

Elle ne rend pas la personne anonyme envers l'entreprise avec laquelle elle transige. L'entreprise connaît déjà ses propres clients, et elle apprend le DID du citoyen : il figure sur le reçu qu'elle émet. Agreely tient aussi, dans le registre des clients, le nom et le courriel que l'entreprise y inscrit, chiffrés au repos sous la clé du locataire. Agreely n'est pas un système d'anonymat.

Ensuite