Politique de certification

1. Ce qui se passe à la réception d'un fichier

Dans cet ordre, automatiquement, sans intervention humaine :

1. Empreinte. Le serveur calcule l'empreinte SHA-256 des octets reçus, tels quels, sans transformation.
2. Confrontation, quand elle est possible. Si l'appareil a annoncé l'empreinte qu'il a calculée de son côté, le serveur la confronte à la sienne : toute divergence entraîne le refus de la certification. Certaines voies d'envoi (le canal drone DJI) n'annoncent pas d'empreinte : le certificat l'indique alors explicitement : « calculée par le serveur », jamais « vérifiée ».
3. Horodatage. L'empreinte (jamais l'image) est soumise à une autorité d'horodatage indépendante (protocole RFC 3161). Le jeton reçu est vérifié immédiatement ; un jeton fourni par l'appareil est vérifié de la même façon, ou remplacé. L'horodatage actuel est standard au sens du règlement eIDAS (recevable, article 41.1) ; il n'est pas qualifié, et aucun document ne prétend le contraire.
4. Relevé. Les informations déclarées par l'appareil (date de prise de vue, position et sa qualité, modèle, numéro de série, réglages) sont consignées dans un dossier. Elles sont reproduites comme déclarations de l'appareil : le serveur distingue toujours ce qu'il a mesuré de ce qu'on lui a déclaré. La mention « RTK — précision centimétrique » n'est écrite que si les champs de contrôle le démontrent.
5. Score de chaîne. Une note sur 100 est calculée selon un barème versionné et figée dans le dossier : un critère non mesuré vaut zéro, et le score est plafonné par son maillon le plus faible, avec la raison du plafond affichée.
6. Registre. L'opération est inscrite dans un journal chaîné : chaque inscription contient l'empreinte de la précédente. Ce journal n'accepte que l'ajout : le compte d'exploitation n'a pas les droits de modification ni de suppression. Un résumé quotidien du journal est horodaté puis déposé en deux endroits indépendants du serveur.
7. Livraison. Le fichier est livré vers le stockage du client s'il en a configuré un ; sinon il reste sur l'appareil du client, et la copie reçue par le serveur est effacée après un délai de garde de 24 heures. Dans les deux cas, ChronoCert ne conserve que la preuve et une miniature. La livraison est vérifiée par re-téléchargement et recalcul d'empreinte. Livraisons, effacements et suppressions sont inscrits au registre.

2. Ce que le certificat atteste (et n'atteste pas)

Le certificat atteste une chose : le fichier identifié par son empreinte existait, dans cet état exact, à la date attestée par le jeton d'horodatage, et n'a pas été modifié depuis.

Il n'atteste pas : la véracité de la scène représentée ; l'exactitude de la date de prise de vue, de la position ou de l'identité de l'appareil, qui sont des données déclarées par le matériel ; l'identité de l'auteur de la prise de vue ; la licéité de la captation. La force probante de l'ensemble est appréciée souverainement par le juge.

3. Vérification sans ChronoCert

La vérification ne dépend pas de nos serveurs : l'empreinte d'un fichier se recalcule avec les outils standard de tout système d'exploitation, et le jeton d'horodatage se contrôle auprès de l'autorité qui l'a signé, avec des outils publics. Le portail de vérification en ligne est un confort, pas le fondement.

4. Erreurs et rectifications

Dans un système à registre, la correction silencieuse est pire que l'erreur. Quand une mention émise s'avère inexacte, le dossier original reste intact, un dossier rectifié est émis à côté avec le motif et la référence de l'original, la rectification est inscrite au registre, et les documents affichent la mention de rectification. Les opérations de ce type déjà réalisées sont documentées et datées.

5. Exploitation

Le service est exploité par VISUAL LOCATION SARL (ChronoCert en est la marque), sur une infrastructure hébergée dans l'Union européenne. Le code du serveur est sous suivi de version ; chaque mise en production est consignée et son empreinte scellée. Les éléments de preuve sont sauvegardés chaque jour hors du serveur.