La prova del consenso

Quando qualcuno accetta, non salviamo una casella spuntata: costruiamo un documento. Dentro c'è il testo esatto che quella persona ha letto, il giorno e l'ora, il canale da cui è arrivata, l'indirizzo di rete della richiesta e la conferma del codice che le abbiamo mandato. È l'insieme di queste cose a fare una prova. Una casella spuntata, da sola, non prova che qualcuno abbia visto qualcosa.

Del modulo che la persona ha letto conserviamo un'impronta: un codice che cambia se cambia anche una virgola. Puoi riscrivere il modulo domani, cambiare offerta, rifare il sito: il consenso raccolto ieri resta legato al testo di ieri, e si vede. È la differenza fra dire «hanno accettato» e mostrare che cosa hanno accettato. Ogni consenso firmato entra in un registro che si allunga solo in coda. La radice giornaliera di quel registro non è ancora accesa.

La data di un consenso è la prima cosa che si contesta, e un'ora scritta dal fornitore vale quanto la parola del fornitore. Noi registriamo l'ora esatta della firma, al secondo, dentro il messaggio firmato. La marca temporale qualificata di un ente terzo europeo, che toglierebbe il sospetto anche su di noi, non è ancora attiva.

Ogni consenso ha una pagina pubblica di verifica. Chi ti chiede conto (un cliente, un legale, un'autorità) apre l'indirizzo e vede se la prova regge, senza un account e senza chiedere niente a te. Il fascicolo contiene tutto quello che serve per rifare il controllo da soli; lo strumento per farlo fuori dai nostri sistemi è in aggiornamento, e lo pubblichiamo con la beta. Una prova che si può verificare solo chiedendola a noi non è una prova, è una promessa.

Chi si iscrive può uscire quando vuole, da un link o rispondendo STOP, e riceve una ricevuta nello stesso momento. Quell'uscita entra nel registro come l'ingresso: con la data, il modo e la ricevuta. Il giorno che qualcuno dirà «io avevo revocato», la risposta è un documento, non un ricordo.