SDK Modèle de sécurité
Modèle de sécurité
Une autorité de consentement ne vaut que ce que vaut la pire chose qu'elle pourrait faire de ce qu'elle détient. Nous détenons donc aussi peu que possible, nous chaînons ce que nous enregistrons, et nous publions les clés qui vous permettent de vérifier notre travail sans nous le demander.
Ce qu'ID Side ne voit jamais
Aucun prompt, aucune complétion
L'appel d'autorisation porte un hachage SHA-256 de la requête — suffisant pour lier la preuve à cette requête exacte, inutilisable pour la reconstituer. Le contenu de vos utilisateurs va directement de votre backend à votre fournisseur d'IA. Il ne transite jamais par nous.
Aucun identifiant utilisateur brut
Votre user_id est pseudonymisé par un HMAC à clé avant d'atteindre notre base de données, nos journaux ou le registre — avec une dérivation de clé propre à chaque application, de sorte qu'une seule fuite ne puisse pas réidentifier des utilisateurs à travers plusieurs clients. Ce que nous stockons ressemble à psu_4f2a…, et rien d'autre.
Rien ne remonte aux développeurs
Quand une utilisatrice relie son compte ID Side à une application, l'application n'apprend qu'une seule chose : un choix existe. Jamais son email, jamais ce qu'elle a choisi. Les adresses email des utilisateurs finaux sont chiffrées au repos, et aucune API ne les renvoie.
Aucune API d'écriture des préférences — pour personne
Les seuls à pouvoir écrire un consentement sont le choix de l'utilisatrice dans le widget, le signal GPC de son navigateur, et son compte ID Side. Le SDK ne peut pas définir de préférences. Le tableau de bord ne peut pas définir de préférences. Cette absence est délibérée, et c'est elle, le produit.
La politique d'une organisation restreint, et ne fait que restreindre
La seule chose qui écrive sans l'utilisateur est la politique d'une organisation — et elle ne peut que retirer. Seuls ses refus sont lus, elle ne peut pas rallumer une option, et le refus propre d'une personne y survit. Une politique capable d'autoriser, ce serait un client annulant ses utilisateurs depuis son propre tableau de bord : l'exception qui viderait la règle ci-dessus.
Un registre en ajout seul, que vous pouvez auditer vous-même
Chaque autorisation est ajoutée à une chaîne de hachage propre à chaque application : chaque entrée s'engage sur celle qui la précède. Réécrire une entrée passée casse tous les liens qui la suivent — modifier silencieusement le passé n'est une option ni pour vous, ni pour nous.
Vous n'avez pas à nous croire sur parole. Recalculez la chaîne quand vous le souhaitez :
Une chaîne brisée signale exactement où elle s'est rompue. Exportez vos entrées, recalculez les hachages hors ligne, comparez — le format est documenté et volontairement sans surprise.
Échec fermé, toujours
Si ID Side est injoignable, le SDK lève ConsentUnreachableError et l'appel IA ne quitte pas votre backend. Il n'existe ni repli silencieux ni mode « best effort » — un appel non vérifiable est un appel qui n'a pas lieu. La même règle s'applique à la facturation : dépasser un quota renvoie une erreur explicite, cela ne dégrade jamais l'application du consentement.
Un jeton, une requête
Chaque jeton ACT est lié à un hachage de requête et à un nonce, expire au bout d'une heure, et n'est jamais réutilisable. Les clés de signature vivent dans un KMS de notre côté ; ce que vous recevez, c'est la moitié publique. Vérifiez vous-même n'importe quel jeton auprès de /.well-known/jwks.json — JWKS standard, ES256 standard, sans nous demander la permission.
Une honnêteté sur ce que signifie l'application du consentement
Forcer store=false ne signifie pas « le fournisseur a supprimé la donnée », et nous ne vous dirons jamais le contraire. Ce qu'ID Side garantit est précis : les paramètres de non-rétention sont forcés sur la requête et prouvés dans le registre. Jusqu'où va la propre garantie de chaque fournisseur — un véritable paramètre par requête, un engagement contractuel, ou rien du tout sur certains niveaux — est indiqué fournisseur par fournisseur dans votre tableau de bord, avec les sources et la date de notre dernière vérification.
La même précision s'applique au droit. Le GPC a force contraignante dans une douzaine d'États américains ; en Europe, il n'a aujourd'hui aucune force juridique, et nous ne prétendons pas le contraire. Les textes européens proposés sur les signaux de consentement lisibles par machine sont des propositions en cours de négociation, pas un droit en vigueur — si cela change, l'application change avec lui, et votre registre montrera exactement quand.