Comment TrustChain enregistre une signature

Le créateur se connecte à un compte TrustChain et remplit l’entente : le titre, les travaux à réaliser, le montant, les dates et l’adresse courriel de l’autre personne.

C’est le serveur de TrustChain qui sauvegarde l’enregistrement, pas le navigateur du créateur : aucun navigateur ni aucune application ne peut créer directement un enregistrement d’entente. Celui-ci contient l’identifiant du compte du créateur, l’adresse courriel saisie pour chaque partie, le titre, le montant et la devise, le texte de l’entente et ses autres champs, le statut (en attente de signatures), les deux signatures indiquées comme non encore apposées et l’heure de création.

Pour les ententes créées avec le formulaire actuel, le serveur rédige lui-même le texte de l’entente à partir des champs qu’il vient de sauvegarder, afin que le texte lu, signé et ancré corresponde à ces champs.

Le serveur attribue aussi à l’entente un identifiant d’enregistrement de 8 caractères. Le lien de l’enregistrement public (trustchain.biz/verify/ suivi de cet identifiant) et le certificat l’utilisent. TrustChain conserve également un identifiant interne plus long pour chaque entente.

L’Historique de l’entente reçoit sa première entrée : le créateur a créé l’entente, avec l’heure. Aucune adresse IP n’est enregistrée à cette étape.

Le créateur invite l’autre personne par courriel en tant que signataire. Il peut aussi inviter d’autres personnes comme lecteurs, qui peuvent lire l’entente sans pouvoir la signer.

Pour chaque invitation, le serveur de TrustChain crée un nouveau lien aléatoire. Il ne conserve qu’une empreinte à sens unique de la partie secrète du lien, jamais le lien lui-même, et envoie le lien depuis l’adresse de TrustChain par Resend, un service d’envoi de courriels. La page du créateur affiche aussi le lien pour qu’il puisse le copier et l’envoyer autrement.

Durée de validité d’un lien : 7 jours. Pendant la suspension des nouvelles vérifications d’identité, un nouveau lien reste plutôt valide 14 jours, pour ne pas expirer pendant que la personne attend leur reprise. Actuellement, un nouveau lien est valide pendant 14 jours. Un lien déjà envoyé conserve l’échéance prévue lors de son envoi.

Un lien ouvre l’entente autant de fois que nécessaire jusqu’à son expiration, l’annulation de l’invitation par le créateur, l’envoi d’un nouveau lien par le créateur ou le retrait de l’entente. Appuyer sur « Envoyer un nouveau lien » désactive l’ancien lien. Inviter à nouveau la même adresse crée une deuxième invitation, et les deux liens fonctionnent jusqu’à leur expiration ou leur annulation respective.

L’Historique enregistre la création et l’envoi de l’invitation, avec l’heure, le créateur et l’adresse invitée. Les deux entrées sont écrites avant la remise du courriel au service d’envoi : elles ne montrent donc pas, à elles seules, que le courriel est arrivé. Si l’envoi échoue, l’invitation est indiquée comme non remise et le créateur est invité à envoyer un nouveau lien. La modification de l’adresse invitée, l’annulation d’une invitation et l’envoi d’un nouveau lien ajoutent chacun leur propre entrée.

L’adresse du signataire ne peut être modifiée que tant que son lien n’a pas été ouvert, que personne n’a signé et que l’invitation n’a pas été liée à son compte TrustChain. Après cela et jusqu’à la signature de la personne invitée, le créateur ne peut plus modifier l’adresse. Il peut annuler l’invitation, ce qui retire l’accès de cette adresse et est consigné dans l’Historique, puis inviter quelqu’un d’autre. Tant que personne n’a signé, il peut aussi retirer l’entente, comme décrit ci-dessous.

Si un lien expire avant d’être utilisé, la personne invitée peut en demander un nouveau depuis la page du lien expiré. TrustChain en informe le créateur au plus une fois par jour, et seul le créateur peut envoyer un nouveau lien. Cette demande ajoute une entrée à l’Historique.

Retrait de l’entente. Tant que personne n’a signé et que l’entente attend toujours les signatures, le créateur peut la retirer en se connectant à son propre compte TrustChain avec une adresse courriel confirmée. Personne d’autre ne le peut, et la signature de l’une ou l’autre personne, y compris celle du créateur, supprime cette possibilité. Le serveur de TrustChain vérifie à nouveau toutes ces conditions, puis, en une seule opération, définit le statut comme retiré avec l’heure et l’identifiant du compte du créateur, annule toutes les invitations encore valides et ajoute une entrée de retrait à l’Historique avec le créateur et les invitations annulées. Le texte de l’entente, les adresses courriel et les deux signatures, toujours indiquées comme non apposées, restent inchangés sur l’enregistrement. Aucune adresse IP n’est enregistrée à cette étape.

Après cela, personne ne peut signer l’entente ni y être invité, et le retrait est irréversible. Le lien de chaque invitation annulée cesse de s’ouvrir, et la personne qui l’ouvre est informée que le créateur a retiré l’entente. TrustChain n’envoie aucun courriel à ce sujet. L’enregistrement reste dans la liste du créateur avec la mention Retirée, et la personne invitée peut encore le lire depuis un compte TrustChain dont l’adresse courriel confirmée est l’adresse invitée. La page de l’enregistrement public correspondant à son identifiant indique seulement qu’il a été retiré. Le retrait ne restitue pas au créateur l’entente utilisée.

Lorsqu’une personne ouvre le lien, le serveur de TrustChain retrouve l’invitation à partir du lien et vérifie qu’elle n’a pas expiré et n’a pas été annulée. Il enregistre la première ouverture de ce lien et chaque consultation de l’entente dans l’Historique, puis démarre une session invitée pour cette seule invitation, afin que la personne puisse lire l’entente sans créer de compte.

L’adresse IP de chaque ouverture et consultation est envoyée à un journal accessible uniquement aux serveurs, pas à l’Historique (section 8).

Si la personne est déjà connectée à un compte TrustChain dont l’adresse courriel confirmée est l’adresse invitée, elle signe depuis ce compte plutôt que depuis une session invitée.

Une session invitée démarrée à partir d’un lien continue de fonctionner après l’expiration ou le remplacement du lien. L’annulation de l’invitation ou le retrait de l’entente y met fin.

En étant connecté à un compte TrustChain

Le créateur signe toujours de cette façon. La personne invitée le peut aussi lorsque l’adresse courriel confirmée de son compte est l’adresse invitée.

Avec le lien d’invitation

La personne invitée signe dans la session invitée démarrée par son lien d’invitation.

Chaque signature indique laquelle des deux méthodes a été utilisée. Le serveur de TrustChain détermine qui signe et pour quelle partie à partir du compte ou de l’invitation avec lequel la personne est connectée, jamais à partir d’une indication du navigateur. Une invitation de lecteur ne permet pas de signer, et chaque lien d’invitation ne permet de signer qu’une fois.

Toute personne qui signe sur TrustChain réussit d’abord une vérification d’identité. Cette vérification est obligatoire : le serveur de TrustChain refuse une signature si l’enregistrement du compte signataire n’indique pas qu’elle a été réussie. Il n’est pas possible de signer sans elle.

Sumsub, une entreprise de vérification d’identité, effectue la vérification dans sa propre fenêtre sur la page TrustChain, avec une pièce d’identité avec photo et un égoportrait. Les documents sont envoyés à Sumsub. Pour connaître le résultat, le serveur de TrustChain demande à Sumsub l’enregistrement de la vérification. La réponse de Sumsub peut inclure des détails lus sur la pièce d’identité, comme le nom, et TrustChain ne conserve que le résultat. Aucun navigateur ni aucune application ne peut écrire ce résultat. Un compte TrustChain passe la vérification une seule fois ; une session invitée issue d’un lien d’invitation a sa propre vérification.

Avant l’ouverture de la fenêtre Sumsub, la boîte de dialogue de TrustChain indique que Sumsub vérifie une pièce d’identité avec photo et un égoportrait dans sa propre fenêtre, et renvoie à la partie de la Politique de confidentialité consacrée à Sumsub.

Les nouvelles vérifications d’identité sont actuellement suspendues. Une personne ayant déjà réussi la vérification peut toujours signer. Les autres pourront signer à la reprise des vérifications. La rédaction d’une entente, les invitations et le partage restent possibles entre-temps. La vérification demeure une étape obligatoire pendant toute cette période.

Ce que montre le sceau. Chaque signature apposée après une vérification réussie porte un sceau : Identité vérifiée par Sumsub. Il indique qu’au moment où la signature a été sauvegardée, l’enregistrement de TrustChain pour le compte signataire indiquait que la vérification de Sumsub avait abouti à un résultat positif.

Ce qu’il ne montre pas. TrustChain ne conserve ni la pièce d’identité ni l’égoportrait, et ne conserve pas le nom vérifié par Sumsub. Il ne compare ce nom à aucun nom de l’entente ni à l’adresse courriel. Pour une signature apposée avec un lien d’invitation, la vérification appartient à la session invitée de cette invitation, pas à un compte TrustChain. Les détails d’une vérification sont détenus par Sumsub. Les signatures antérieures à l’ajout du sceau par TrustChain n’en ont pas, et TrustChain n’en ajoute jamais après coup.

Les deux endroits où une personne signe, la page de l’entente d’un compte et la page du lien d’invitation, présentent d’abord l’entente : le titre, l’autre personne, le montant, la date d’achèvement et le texte intégral (pour les anciennes ententes, aussi les clauses types construites à partir d’autres champs).

En dessous se trouve une case à cocher portant le libellé « I want to sign this agreement », avec cette ligne : « I've read all the terms above. I understand my signature will be recorded with the date and time and tied to my verified identity. » La signature n’est envoyée qu’une fois la case cochée. Le serveur de TrustChain n’enregistre pas le fait de cocher la case lui-même.

Juste au-dessus du bouton de signature, en texte visible et non derrière un lien, figure cette phrase :

La requête de signature transmet cet identifiant de version, et le serveur de TrustChain le conserve sur la signature lorsqu’il correspond à la version actuellement utilisée par le serveur. Une page ouverte avant l’existence de la phrase n’envoie aucune version, et sa signature n’en conserve aucune. Si la phrase change un jour, elle reçoit un nouvel identifiant de version, et chaque signature conserve l’identifiant sous lequel elle a été apposée.

La version conservée indique quelle phrase la page de signature était conçue pour afficher. TrustChain ne peut pas voir l’écran d’une personne : elle ne montre donc pas que la personne l’a lue.

Sur la page du lien d’invitation, une ligne sous le bouton de signature permet de lire les Conditions et la Politique de confidentialité de TrustChain, chacune dans un nouvel onglet. Les enregistrements de l’entente de TrustChain ne montrent pas si l’une ou l’autre a été ouverte.

Lorsque la personne appuie sur le bouton, le serveur de TrustChain vérifie sa connexion, détermine pour quelle partie elle signe et vérifie que l’entente est encore ouverte à la signature, qu’elle n’a pas déjà signé et qu’elle a réussi sa vérification d’identité. Il sauvegarde ensuite tous les éléments ci-dessous en une seule opération : soit tout est sauvegardé, soit rien ne l’est.

Heure

Le moment où la signature a été sauvegardée, défini par la base de données de TrustChain à partir de l’horloge du serveur de Google, et non par le téléphone ou l’ordinateur du signataire. Le certificat l’indique en UTC.

Méthode

Signature depuis un compte TrustChain ou avec le lien d’invitation.

Qui

L’identifiant du compte ou de l’invitation, l’adresse courriel provenant de la connexion ou de l’invitation, la partie concernée (créateur ou personne invitée) et l’indication d’une session invitée ou non. Pour le créateur, l’adresse est celle de son compte.

Sceau de vérification d’identité

Identité vérifiée par Sumsub (section 5).

Version du consentement

L’identifiant de version de la phrase affichée au-dessus du bouton (section 6).

Empreinte des conditions

Une empreinte Keccak-256 du texte de l’entente tel qu’il était exactement sauvegardé sur l’enregistrement au moment de la signature. Modifier un seul caractère de ce texte produit une empreinte différente. Elle ne couvre que ce texte sauvegardé. Pour les ententes créées avec le formulaire actuel, le texte inclut le montant et la date d’achèvement lorsqu’ils ont été renseignés ; le titre n’en fait jamais partie. Elle est conservée sur le même enregistrement que le texte : à elle seule, elle montre donc que les deux correspondent. Le fait qu’il s’agit du texte au moment de la signature repose sur l’absence de modification ultérieure de l’enregistrement (section 9) ou sur l’ancrage Polygon s’il existe (section 11). Pour les ententes créées avec un ancien formulaire, la page de signature montre aussi des clauses types construites à partir d’autres champs (propriété, confidentialité, droit applicable, intégralité de l’entente), et l’empreinte ne les couvre pas. Si un tel enregistrement n’a aucun texte sauvegardé, la page affiche plutôt la portée des travaux, et l’empreinte est celle d’un texte vide.

Adresse IP de signature

L’adresse IP enregistrée par TrustChain pour la requête de signature. TrustChain la lit dans l’entrée que l’interface d’entrée de Google ou Firebase Hosting ajoute à l’en-tête de transfert de la requête, et ignore toutes les entrées écrites auparavant dans cet en-tête par l’appelant. Lorsque l’en-tête n’a pas la structure attendue par TrustChain, aucune adresse n’est enregistrée. Pour les signatures antérieures à 14 octobre 2026, TrustChain enregistrait l’adresse signalée par son framework web pour la requête, qui pouvait, pour certaines requêtes, être une adresse transmise par l’appelant. Elle est conservée dans l’entrée de signature de l’Historique, que les deux personnes concernées par l’entente et toute personne invitée à la consulter sont autorisées à lire, comme l’indique la phrase au-dessus du bouton. La copie personnelle du certificat d’enregistrement, téléchargée depuis la page de l’entente, l’imprime aussi.

Une adresse IP peut appartenir à un opérateur mobile, un employeur, un VPN ou un réseau partagé. Elle n’identifie pas une personne ni un lieu précis, et TrustChain ne recherche pas de localisation.

Lorsque la deuxième personne signe, le statut devient signé par les deux, la même heure est sauvegardée comme moment où les deux avaient signé, et l’Historique reçoit une entrée signé par les deux. TrustChain envoie ensuite un courriel aux deux personnes : au créateur à l’adresse confirmée de son compte, s’il en a une, et à la personne invitée à l’adresse sous laquelle sa signature a été enregistrée.

TrustChain enregistre aussi l’adresse IP de ces étapes : ouverture d’un lien d’invitation, consultation de l’entente depuis celui-ci, demande d’un nouveau lien et confirmation de fin des travaux. Ces adresses ne vont pas dans l’Historique. Chacune est versée dans un journal distinct accessible uniquement aux serveurs, sauvegardé dans la même opération que son entrée de l’Historique pour permettre de les rapprocher. Les adresses conservées dans les anciennes entrées de l’Historique ont été déplacées vers ce journal.

Aucun navigateur ni aucune application ne peut lire ce journal : l’autre personne et les lecteurs ne voient donc jamais ces adresses. TrustChain les conserve pour la sécurité et pour ses enregistrements.

La création ou le retrait d’une entente, l’envoi, la modification ou l’annulation d’une invitation et l’ancrage n’enregistrent aucune adresse IP.

Chaque étape ci-dessus ajoute une entrée à l’Historique de l’entente, avec son heure provenant du serveur de TrustChain : création, invitation envoyée, adresse modifiée, invitation annulée, nouveau lien envoyé, invitation ouverte, entente consultée, nouveau lien demandé, retrait, signature, signature par les deux, confirmation de fin des travaux, achèvement et ancrage.

Seuls les serveurs de TrustChain écrivent les entrées de l’Historique. Aucun navigateur ni aucune application ne peut en ajouter, modifier ou supprimer, ni modifier le texte de l’entente, les signatures, le statut ou leurs heures sur l’enregistrement. Les deux personnes concernées par l’entente et toute personne invitée dont l’invitation reste valide peuvent lire l’Historique.

Deux entrées, création et ancrage, sont écrites juste après leur étape plutôt que dans la même opération. Si l’une de ces écritures échoue, l’entrée est absente, et les heures de l’enregistrement lui-même indiquent toujours quand l’étape a eu lieu.

Ces règles s’imposent aux navigateurs et aux applications. Elles ne s’imposent pas aux propres serveurs de TrustChain ni à une personne disposant d’un accès administrateur à la base de données de TrustChain, qui pourrait modifier un enregistrement. C’est l’une des raisons d’être de l’ancrage : une empreinte ancrée se trouve sur Polygon, hors du contrôle de TrustChain. Les règles ont aussi évolué ; pour un ancien enregistrement, TrustChain peut donc indiquer quelles règles s’appliquaient lors de sa création.

Une fois que les deux ont signé, chaque personne peut appuyer sur un bouton indiquant que tout ce qui a été convenu a été réalisé. Le créateur le fait depuis la page de l’entente, et la personne invitée depuis son compte ou son propre lien d’invitation. Un lecteur ne le peut pas.

Chaque appui sauvegarde sur l’enregistrement l’heure de confirmation de cette personne, provenant de l’horloge du serveur de TrustChain, et ajoute une entrée de confirmation à l’Historique. Son adresse IP est envoyée au journal accessible uniquement aux serveurs (section 8). Lorsque les deux ont appuyé dessus, le statut devient terminé, cette heure est sauvegardée et l’Historique reçoit une entrée d’achèvement. Les enregistrements confirmés avant que TrustChain ne commence à sauvegarder ces heures n’ont chaque confirmation que dans l’Historique.

Cela enregistre uniquement le fait que chaque personne a appuyé sur le bouton. TrustChain ne vérifie ni les travaux ni les paiements.

L’ancrage est facultatif et jamais automatique. Une fois que les deux ont signé, une personne concernée par l’entente et disposant d’un compte TrustChain peut choisir de l’ancrer. Il est inclus dans les forfaits payants ou proposé à l’unité avec le forfait Gratuit (Tarifs).

Le serveur de TrustChain calcule l’empreinte de l’enregistrement : un hachage Keccak-256 de l’identifiant interne de l’enregistrement TrustChain, du titre, du texte de l’entente, du montant, de l’identifiant du compte du créateur et de celui de la personne invitée (laissé vide si l’enregistrement n’en contient pas pour elle, par exemple si elle a signé avec le lien d’invitation sans compte TrustChain). Il l’envoie au contrat de registre de TrustChain sur Polygon dans une transaction envoyée et payée par le propre portefeuille de TrustChain. Les personnes concernées par l’entente ne la signent pas et n’ont pas besoin de portefeuille.

Ce qui est exactement inscrit sur la chaîne :

• l’empreinte ;
• l’identifiant interne de l’enregistrement TrustChain pour l’entente, en texte clair (pas l’identifiant d’enregistrement de 8 caractères) ;
• deux emplacements d’adresses de portefeuille, laissés vides ;
• l’heure du bloc contenant la transaction, telle qu’enregistrée par le réseau Polygon, et l’adresse du portefeuille d’ancrage de TrustChain qui l’a envoyée.

Aucun texte d’entente, nom, adresse courriel, montant, signature, adresse IP ni résultat de vérification d’identité n’est inscrit sur Polygon.

TrustChain attend une confirmation, puis sauvegarde le réseau, l’adresse du contrat, le hachage de transaction, le numéro de bloc, l’empreinte et l’heure, et ajoute une entrée d’ancrage à l’Historique.

Ce que cela montre. L’empreinte a été inscrite sur Polygon à l’heure de ce bloc, et le contrat n’a aucune fonction permettant de modifier ou de supprimer une entrée. Toute modification ultérieure d’un champ couvert par l’empreinte ne correspondrait plus à celle-ci : les modifications d’un enregistrement ancré peuvent donc être détectées. Ce que cela ne montre pas. L’empreinte ne couvre ni les signatures, ni leurs heures, ni les vérifications d’identité, ni les PDF, et ne montre pas qui a signé.

L’adresse du contrat et le portefeuille d’ancrage sont indiqués sur Sécurité. Un contrat signé a-t-il été modifié ? explique comment un enregistrement est comparé à Polygon.

TrustChain conserve :

• l’enregistrement de l’entente : le texte, le titre, le montant, l’adresse courriel saisie pour chaque partie, les identifiants de compte, les statuts et leurs heures ;
• l’Historique ;
• chaque signature, avec tous les éléments énumérés à la section 7 ;
• chaque invitation, avec uniquement une empreinte à sens unique de son lien ;
• le journal d’adresses IP accessible uniquement aux serveurs (section 8) ;
• pour chaque compte ou session invitée ayant passé la vérification d’identité : le résultat de Sumsub, l’heure de sa dernière modification et la référence Sumsub de cette vérification.

TrustChain ne conserve pas :

• Les pièces d’identité, leurs photos et les égoportraits. Sumsub les traite.
• Les noms légaux. TrustChain ne demande ni ne vérifie de nom légal. Un compte peut afficher un nom provenant d’un fournisseur de connexion, comme le nom d’un compte Google, que personne ne vérifie.
• Les liens d’invitation eux-mêmes.
• Des copies des PDF téléchargés.
• La conversation entre les deux personnes sous une forme lisible. Elle est chiffrée de bout en bout, et seules les personnes qui y participent peuvent la lire.

Ce que les enregistrements ne montrent pas : qui a physiquement appuyé sur un bouton (ils montrent quel compte ou quelle invitation a effectué chaque requête, et ce que les vérifications de TrustChain ont établi à ce moment-là) ; qui a utilisé un lien d’invitation, puisque le créateur peut aussi le copier et le transmettre ; si les travaux ont été réalisés ou si quelqu’un a payé ; ce qui se trouvait sur l’écran d’une personne au-delà de ce que cette page décrit ; ou tout ce qui s’est passé hors de TrustChain.

Chacune des deux personnes peut télécharger le PDF de l’entente depuis la page de l’entente ou celle du lien d’invitation : les parties, le texte intégral et l’Historique. C’est l’enregistrement principal.

Le certificat d’enregistrement est un résumé de deux pages. La page 1 explique en termes simples ce que montre l’enregistrement : le statut, le moment et la méthode de signature de chaque personne, la ligne de vérification d’identité, la façon dont l’enregistrement a été créé, ainsi que l’adresse et un code QR de l’enregistrement en direct. La page 2, Détails de l’enregistrement, présente les faits à la seconde près : les étapes consignées par TrustChain, la version du consentement et l’empreinte des conditions de chaque signature, le moment où chaque personne a confirmé la fin des travaux, l’ancrage avec son numéro de bloc, la signification de chaque ligne et un lien vers cette page.

La copie personnelle, téléchargée depuis la page de l’entente, imprime aussi l’adresse IP de chaque signature et les adresses courriel partiellement masquées. La copie téléchargeable par tous depuis la page de l’enregistrement public omet les adresses courriel, les adresses IP et les identifiants internes. Le certificat ne montre pas le texte de l’entente.

La carte souvenir est une carte distincte d’une page avec Pip, proposée une fois que les deux ont signé, à conserver et à partager. Elle indique qu’il s’agit d’un souvenir, pas de l’enregistrement, et donne l’adresse de l’enregistrement en direct.

Tous sont créés dans le navigateur de la personne qui les télécharge, à partir de l’enregistrement à ce moment-là. TrustChain n’en conserve pas de copie, et un PDF peut être modifié après son téléchargement : comparez-le donc à l’enregistrement en direct à l’adresse trustchain.biz/verify/ suivie de l’identifiant d’enregistrement.

Une personne concernée par une entente qui a besoin des enregistrements de TrustChain à son sujet, par exemple pour un tribunal, peut écrire à founder@trustchain.biz en indiquant l’identifiant d’enregistrement. TrustChain conserve les enregistrements décrits sur cette page pour chaque entente et peut les fournir pour l’entente concernée sur demande, sous réserve des lois sur la protection de la vie privée : l’enregistrement, son Historique, les invitations sans les empreintes de leurs liens et le résultat de la vérification d’identité. Les documents d’identité eux-mêmes sont chez Sumsub, pas chez TrustChain.

Cette page est versionnée. Lorsque la procédure change, la version et la date en haut de page changent et la liste des modifications indique ce qui a évolué, afin qu’un enregistrement puisse être lu au regard de la procédure applicable lors de sa création. TrustChain conserve toutes les versions antérieures de cette page et peut les fournir sur demande.