Confluence
L'Application pour Nous mettre en Relation pour Notre Protection
Confluence
From Divide to Rule
→ to Reconnect in order to Verify
Protocole de ConScience aMi · Project Presentation V0.3
The system must be able to know there is Confluence
without having to possess the whole story.
Overview
A consent-based connection infrastructure for people linked by the same story — without any public relationship directory.
Ŷ Confluence n’a pas besoin de devenir « une nouvelle grosse application ». Le projet devient plus réaliste lorsqu’il orchestre des briques existantes : rapprochement relationnel, consentement, coffre de signalement sécurisé, graphe documentaire privé et canal de discussion externe.
The Problem
Diviser isole
Chaque nouvelle relation reçoit potentiellement un récit différent des précédentes. Les personnes concernées restent séparées et ne peuvent comparer directement leurs expériences.
Les bases publiques exposent
Un annuaire nominatif de relations, accusations ou ex-partenaires créerait lui-même du doxxing, du stalking, des homonymies et un réservoir de données intimes.
Les preuves sont dispersées
Sources publiques, signalements privés, procédures, témoignages et chronologies vivent souvent dans des outils séparés sans provenance homogène.
La fonction manquante
Permettre à deux personnes ayant déclaré indépendamment une même relation de choisir de se parler, sans rendre cette relation publiquement consultable.
The Proposal
A match is not proof.
The absence of a match is not a certificate of safety.
Journey
Nouvelle partenaire, ancienne partenaire, ex ↔ ex : le sens n’est pas imposé. Le consentement décide.
The Four States of a Relationship in Confluence
📨 Je peux Proposer
Je consens à initier éventuellement une proposition d’échange si une compatibilité admissible existe.
📥 Je peux Recevoir
Je consens à recevoir éventuellement une proposition minimale. Cela ne m’oblige jamais à répondre.
↔️ Les Deux
Je peux initier ou recevoir selon la situation. Une ancienne partenaire peut aussi souhaiter retrouver une nouvelle — si celle-ci a elle-même autorisé ce type de proposition.
⏸️ Pause
Je cesse de participer aux nouveaux rapprochements sans avoir à supprimer immédiatement mon historique personnel.
Double Consent
What the interface can say
Votre disponibilité est enregistrée. Une mise en relation n’aura lieu qu’avec les accords nécessaires. L’absence de contact ne permet aucune conclusion sur une personne, une inscription ou un refus.
La Confluence n’est pas le droit de retrouver quelqu’un.
C’est la possibilité de se retrouver lorsque chacune le choisit.
Modular Architecture
Construire seulement ce qui manque. Réutiliser le reste.
The Proposed Flow
Evidence Graph
The Abusers' WikiLeaks becomes Confluence's documentary memory — private first, public only when status allows it.
The Four Documentary States
A · Décisions établies
Condamnation, relaxe, acquittement, décision judiciaire ou institutionnelle sourcée. C’est la couche la plus publiable — toujours avec statut et source exacts.
B · Procédures en cours
Plainte, enquête, mise en examen, renvoi ou procédure publique : utile pour veiller, jamais équivalent à une culpabilité.
C · Signaux non validants
Témoignages consentis, rapprochements privés, alertes à vérifier. Cette couche reste privée et oriente l’attention sans devenir verdict.
D · Réparation actée
État prospectif : documenter qu’une réparation a réellement été reconnue par celle ou celui qui a subi, pour éviter qu’une mémoire documentaire devienne une peine perpétuelle automatique.
One Row = One Provenance
In Private, we may Search.
In Public, we must Protect.
GlobaLeaks
Ne pas reconstruire un coffre-fort lorsqu’un projet libre et audité fournit déjà signalement, rôles, pièces, commentaires et rétention.
What GlobaLeaks already does
📝 Signalement
Questionnaires configurables, pièces jointes, identifiant d’accès anonyme et possibilité de compléter le dossier après dépôt.
💬 Échange
Communication bidirectionnelle anonyme entre personne déclarante et destinataires autorisés.
🧑⚖️ Rôles
Whistleblower, recipient, administrator, analyst/custodian selon configuration ; gestion des conflits d’intérêts.
🗑️ Rétention
Politiques de conservation configurables par canal, avec expiration automatique des rapports.
🧅 Anonymat
Intégration Tor, absence de journalisation IP annoncée, chiffrement des rapports et communications.
🔌 API
Architecture backend/client et REST API : base intéressante pour une intégration contrôlée avec une couche Confluence.
What GlobaLeaks does not replace
The Ŷ ↔ GlobaLeaks Bridge
Benchmark
Le terrain existe déjà. La question n’est pas « tout inventer » mais quelle fonction reste réellement à articuler.
| Fonction | Tea | Callisto | GlobaLeaks | WikiLeaks aMi | Ŷ Confluence |
|---|---|---|---|---|---|
| Communauté / échanges entre femmes | oui | matching accompagné | non | non | oui, après consentement |
| Consultation de récits sur un tiers | oui | non | selon canal | privé sourcé, pas mur public | non par défaut |
| Matching silencieux sur personne commune | pas son cœur | oui | non | non | oui |
| Nouvelle partenaire → ex | possible via communauté | pas conçu principalement ainsi | non | non | oui |
| Ex → nouvelle partenaire | possible via communauté | pas conçu principalement ainsi | non | non | oui si autorisé des deux côtés |
| Signalement sécurisé + pièces | contenus communautaires | incident log | oui — cœur du produit | méthode locale | via GlobaLeaks |
| Evidence Graph / sources publiques | recherche communautaire | non | non | oui | oui — réutilise WikiLeaks aMi |
| Pas d’annuaire relationnel public | modèle communautaire consultable | oui | oui | oui | oui — règle structurelle |
| Disponibilité Europe | US seulement actuellement | fermeture / nouveaux comptes arrêtés | oui, auto-hébergeable | local | objectif Europe / RGPD |
| Autres relations : asso, coloc, travail… | dating | violences sexuelles / campus | canaux génériques | institutions/secteurs | extension prévue |
Security & Consentement
Le projet n’est sûr que si sa base la plus sensible ne peut pas devenir un outil de stalking.
The Ten Safeguards
1 · Anti-énumération
Impossible de tester 1 000 noms pour découvrir qui est inscrite. Les réponses ne confirment pas l’existence, l’absence ou le refus.
2 · Pas d’arbre global visible
Le graphe relationnel sert au matching ; il n’est jamais une carte consultable par les utilisatrices.
3 · Consentements séparés
Matching, rencontre, révélation d’identité, partage de récit et cercle collectif sont des permissions différentes.
4 · Provenance obligatoire
Chaque donnée garde sa source : déclaration relationnelle, source publique, GlobaLeaks, note de vérification, décision.
5 · Pas d’IA juge
L’IA peut aider à classer ou rechercher ; elle ne décide ni « même personne » sans contrôle, ni culpabilité, ni crédibilité d’un témoignage.
6 · Rétention minimale
Les données inutiles expirent. Un signalement GlobaLeaks conserve sa propre politique de rétention.
7 · Séparation Public / Privé
Le public reçoit seulement ce qui a franchi les contrôles de statut et de minimisation ; jamais la couche C brute.
8 · Révocation
Une personne peut interrompre sa disponibilité et sortir d’une rencontre sans devoir convaincre l’autre.
9 · Journal d’audit
Import, correction, changement de statut, consultation sensible et publication sont traçables.
10 · Droit d’arrêter
Le refus n’est jamais une anomalie à contourner. Une protection qui rend le Non coûteux reproduit le problème.
Threats to test before any real data
| Menace | Question de test | Perte si échec |
|---|---|---|
| Faux compte d’un ex | Peut-il apprendre combien de personnes l’ont déclaré ? | confidentialité / sécurité physique |
| Homonymie | Deux personnes différentes peuvent-elles être fusionnées ? | fausse mise en relation |
| Numéro réattribué | Une nouvelle détentrice peut-elle hériter d’un ancien lien ? | ré-identification erronée |
| Compte compromis | Un attaquant peut-il parcourir les relations ou GlobaLeaks ? | exposition massive |
| API trop bavarde | Une réponse permet-elle de déduire « match/no match » ? | énumération |
| Export Evidence | Une ligne C peut-elle se retrouver dans le public par automatisme ? | accusation / données sensibles |
Build · Reuse · Borrow · Partner
Le projet devient léger lorsque chaque brique fait seulement ce qu’elle sait faire.
| Brique | Décision | Pourquoi |
|---|---|---|
| UI / UX Confluence | 🛠️ Construire | Le parcours bidirectionnel proposer/recevoir, le double consentement et la minimisation sont le cœur spécifique. |
| Matching relationnel | 🛠️ Construire ou adapter | Commencer simple avec données fictives ; étudier ensuite un protocole plus confidentiel et l’héritage de Callisto. |
| WikiLeaks / Evidence Graph | ♻️ Réutiliser | La méthode A/B/C/D et la séparation privé/public existent déjà sur Agdistys. |
| Signalements + pièces | ♻️ GlobaLeaks | Évite de reconstruire stockage, workflow, commentaires, rôles, anonymat et rétention. |
| Messagerie longue durée | ↗️ Externaliser | Ouvrir éventuellement vers Signal ou autre canal choisi ; réduire les données conservées par Confluence. |
| Audit sécurité | 🤝 Revue externe ciblée | La développeuse principale reste full-stack ; l’audit critique doit venir d’un autre regard. |
| RGPD / AIPD | 🤝 Compétence externe ciblée | Le cœur peut être solo ; l’examen juridique ne doit pas dépendre seulement de l’autocontrôle. |
Solo-maintainer Architecture
App Confluence
Frontend + backend du matching, autorisations et pseudonymes. Une base propre au service, sans pièces de signalement.
Evidence Store
Le coffre/documentation reste séparé des relations. Chaque import possède provenance et statut.
GlobaLeaks séparé
Instance dédiée, maintenue selon son propre cycle de sécurité. Confluence ne reçoit pas de copie intégrale par défaut.
Connecteur étroit
Un petit adaptateur fait le pont : moins d’API, moins de privilèges, moins de surface à maintenir.
The more sensitive the project,
the smaller the amount of new code should be.
Roadmap
Semer l’idée maintenant ; n’autoriser les vraies données qu’après les garde-fous.
Success Criteria
Compréhension
Les participantes savent ce qu’un match signifie — et surtout ce qu’il ne signifie pas.
Consentement
Refuser, mettre en pause ou partir ne révèle rien de plus et ne dégrade pas le service.
Confidentialité
Un attaquant ne peut pas découvrir une présence par simple recherche systématique.
Provenance
Aucune donnée ne perd son origine ni son statut lorsqu’elle traverse les couches.
Contribute
Un cœur porté par une seule développeuse ; des besoins extérieurs ponctuels et clairement délimités.
🔐 Security / AppSec
Threat model, revue d’API, anti-énumération, secrets, permissions, tests d’abus, revue du connecteur GlobaLeaks.
⚖️ Privacy / RGPD
AIPD, finalités, bases légales, droits des personnes, rétention, données sensibles et gouvernance des couches A/B/C/D.
🧬 Crypto / Matching privé
Étudier si un protocole de matching plus confidentiel est nécessaire et auditable ; éviter toute crypto maison non relue.
🫶 UX trauma-informed
Tester notifications, refus, pauses, sortie, wording, quick-exit et risques de retraumatisation ou pression à répondre.
🧪 QA / Tests
Construire les scénarios adverses, tester mobile, accessibilité, erreurs, perte réseau, double soumission et frontières entre couches.
📚 Retour d’expérience
Callisto, associations, personnes survivantes et professionnels : comprendre ce qui a fonctionné, échoué ou coûté trop cher avant de reconstruire.
Why contact Callisto without acquisition funding
Pas pour promettre un financement inexistant. Une prise de contact peut simplement demander :
- quels problèmes de matching confidentiel ont été les plus difficiles ;
- quels abus ou faux acteurs ils ont dû anticiper ;
- quelles parties de leur technologie/documentation peuvent éventuellement survivre ;
- s’ils connaissent des fondations, associations ou personnes intéressées par une continuité européenne ;
- et ce qu’ils recommanderaient de ne surtout pas refaire.
Sources & References for this V0.3
🪬 Abusers' WikiLeaks
agdistys.fr/wikileaks-des-agresseurs
Architecture coffre privé / observatoire public · modes documentaires · Evidence Engine.
🔐 GlobaLeaks
Documentation officielle
Fonctions, sécurité, rôles, rétention, REST API, Tor, audit.
🌌 Callisto
projectcallisto.org
Matching System, Incident Log et retours publics sur la continuité de la technologie.
🍵 Tea
teaforwomen.com
Benchmark communautaire ; support officiel : service actuellement limité aux États-Unis.
From Divide to Rule
→ to Reconnect in order to Verify.
Ŷ Confluence · Agdistys · Diane Serant
Le système sait qu’il y a Confluence sans devoir posséder toute l’histoire.
Protocole de ConScience aMi — CC BY-SA 4.0 · Overview V0.3 · 25 septembre 2026