Le registre : public, immuable, sans nom
Le registre de Commita est une chaîne d'empreintes : chaque entrée contient l'empreinte de la précédente, si bien qu'aucune entrée passée ne peut être modifiée ni retirée sans rompre la chaîne — et cette rupture est détectable par n'importe qui. Le registre est lisible publiquement, sans compte.
Ce qu'il contient : la nature de l'événement (inscription, création ou adhésion à un projet, déclaration puis validation d'une contribution, inscription à un programme, changement de statut), son horodatage, des identifiants internes, des références pseudonymes et les empreintes de chaînage. Toute clé portant un nom, un e-mail, un téléphone ou une adresse est supprimée automatiquement à l'écriture, de manière centralisée, avant même que l'empreinte de l'entrée ne soit calculée.
Votre adresse e-mail n'y figure jamais, ni en clair ni sous une forme testable : la référence publiée est un HMAC calculé avec une clé secrète conservée sur le serveur. Sans cette clé, personne ne peut vérifier depuis l'extérieur si une adresse donnée est inscrite sur la plateforme.
Conséquence directe sur le droit à l'effacement, et nous préférons l'écrire noir sur blanc : nous pouvons supprimer ou anonymiser votre compte et vos données dans la base, mais nous ne pouvons pas supprimer une écriture déjà inscrite au registre. La supprimer détruirait la garantie d'intégrité qui fait tout l'intérêt du registre pour l'ensemble des membres. Ces écritures ne vous nomment pas ; une fois votre compte supprimé, les références pseudonymes qu'elles contiennent ne peuvent plus être rattachées à votre identité par la plateforme. Si cette permanence ne vous convient pas, la seule décision réellement efficace est de ne pas déclarer de contribution.