X-VPN a terminé l’évaluation indépendante sans journaux.

Nous sommes heureux de partager que X-VPN a terminé un engagement d’assurance indépendant, confirmant que nous ne collectons, ne stockons ni ne suivons vos données de connexion, ni ne consignons vos activités en ligne.

Nous avons toujours cru que la protection de la vie privée ne devrait pas être qu’une promesse écrite sur une page web. C’est pourquoi nous avons subi une vérification indépendante pour confirmer notre Politique de Non-Conservation des Logs. Lisez la suite — nous sommes heureux de partager les détails avec vous.

Points clés du rapport d’assurance

Nous avons mandaté l’une des Big Four accounting firms à Singapour pour réaliser une mission d’assurance indépendante sur les déclarations dans la Politique de Confidentialité de X-VPN concernant le traitement des données des utilisateurs, ainsi que sur les pratiques correspondantes soutenant ces déclarations. Le cabinet d’audit des Big Four a réalisé cette mission conformément à la Norme Internationale sur les Missions d’Assurance (ISAE) 3000 (Révisée). 

À travers des enquêtes auprès du personnel concerné et un examen de la configuration du système informatique de X-VPN et des opérations informatiques de soutien, cette assurance indépendante a confirmé les points clés suivants :

• Nous ne collectons, ne stockons ni ne journalisons aucune donnée de trafic, y compris les adresses IP des utilisateurs ou des destinations, l’activité de navigation, les sites Web visités, les informations sur le serveur VPN, les requêtes DNS, le contenu téléchargé ou les horodatages de connexion.
• Nous ne traitons que les informations de compte et de facturation minimales nécessaires pour fournir le service : une adresse e-mail fournie par l’utilisateur (pas besoin d’être vérifiée), un mot de passe stocké sous forme de hachages salés à sens unique (par exemple, bcrypt), un identifiant de commande et l’historique des commandes. Aucune information personnelle supplémentaire n’est requise pour créer ou utiliser un compte.
• Nous ne collectons que des métriques de performance agrégées et non identifiables (par exemple, l’utilisation du CPU, la consommation de mémoire et la disponibilité du service) et nous ne collectons pas d’informations personnellement identifiables.
• La journalisation du trafic utilisateur et de l’activité est désactivée par conception : les sorties du système et des services sont redirigées vers un puits nul (/dev/null), et des contrôles sont en place pour empêcher la génération ou la conservation des journaux dans les environnements de production.
• Tous les serveurs VPN fonctionnent entièrement en mode RAM uniquement, ce qui signifie que toutes les données existent uniquement dans la mémoire volatile et ne sont jamais écrites ou mises en cache sur un stockage physique. Lorsque le serveur est éteint, redémarré ou redéployé, toutes les données en mémoire sont instantanément et définitivement effacées, garantissant un environnement sans journaux véritable et vérifiable.
• Les serveurs de production sont déployés et gérés via un système d’automatisation prédéfini (THA), qui impose et valide en continu la configuration de base sans journaux dans les environnements de production.
• Tous les changements de code sont gérés via un pipeline CI/CD contrôlé par version, soumis à une révision multi-niveaux et à un scan de sécurité automatisé conçu pour valider les contrôles liés à la confidentialité.
• L’accès à la base de données est protégé par une transmission chiffrée (TLS moderne) et par une authentification mutuelle ainsi qu’une liste blanche d’adresses IP avec une surveillance continue.
• La politique de confidentialité est maintenue pour refléter avec précision les opérations du système et les pratiques de traitement des données, et les processus de révision, de mise à jour et de publication sont traçables et vérifiables.
• Le groupe DPO fonctionne avec indépendance et traçabilité, offrant une supervision continue de la gouvernance de la vie privée conforme aux principes sans journaux.

Sur la base des procédures effectuées et des preuves obtenues, les Big Four ont vérifié notre conformité avec la politique No-Logs.

Deux observations ont été identifiées à partir des procédures effectuées. Cependant, ces observations n’ont pas modifié la conclusion de l’audit et ont été rapidement traitées. Les utilisateurs qui souhaitent en savoir plus peuvent se référer aux sections pertinentes du rapport complet.

En raison de la nature technique du rapport et des exigences de divulgation pertinentes, nous ne pouvons pas partager publiquement des extraits du rapport. Cependant, les utilisateurs peuvent accéder au rapport complet en se connectant à leur compte X-VPN. 

Ce que cela signifie pour les utilisateurs de X-VPN

Cette assurance indépendante démontre que les déclarations de X-VPN concernant le traitement des données des utilisateurs ont été vérifiées par un tiers indépendant sur la base des configurations système, des procédures opérationnelles et des contrôles de soutien. 

Lorsque vous utilisez X-VPN, nous ne conservons pas d’enregistrements d’activité qui pourraient être utilisés pour reconstruire comment vous utilisez le service, identifier votre comportement en ligne ou révéler des informations qui pourraient être liées à votre identité personnelle. Cela peut vous donner une plus grande confiance que votre vie privée est protégée lors de l’utilisation de notre service.

Pourquoi la vérification indépendante est importante

Nous croyons que la confiance des utilisateurs doit être construite sur une base de transparence et de responsabilité.

Cette vérification indépendante par un tiers nous aide à démontrer, de manière plus rigoureuse, comment nous mettons en œuvre ces principes dans la conception de notre système, nos processus opérationnels et nos mécanismes de gouvernance. Il ne s’agit pas seulement de tester nos propres normes, mais aussi de la manière dont nous répondons aux attentes de longue date de nos utilisateurs en matière de protection de la vie privée.

En d’autres termes, nous visons à garantir que tous nos utilisateurs sentent que leur confiance est réellement valorisée et que leur vie privée est efficacement protégée grâce à une approche plus transparente, rigoureuse et vérifiable. Nous croyons fermement que la confiance, la vie privée et la sécurité ne devraient pas être des options supplémentaires recherchées uniquement par quelques utilisateurs, mais plutôt des garanties fondamentales que chaque utilisateur devrait recevoir lors de l’utilisation d’un service VPN.

Un jalon, pas la ligne d’arrivée

Cette assurance indépendante est une étape importante pour X-VPN — mais ce n’est pas la destination. La confiance ne se construit pas par un seul engagement d’assurance, et la protection de la vie privée ne se termine pas avec un projet achevé. Elle doit se refléter dans la manière dont nous faisons progresser la gouvernance, abordons les préoccupations et démontrons aux utilisateurs que ces engagements sont constamment respectés à chaque étape que X-VPN franchit.

En regardant vers l’avenir, X-VPN continuera à faire progresser la conformité et la gouvernance en matière de sécurité. À mesure que ces efforts mûrissent, nous élargirons progressivement notre champ d’action pour inclure des audits supplémentaires et partagerons publiquement les résultats des audits lorsque cela est approprié. Nous continuerons également à intégrer les préoccupations de longue date soulevées par les utilisateurs et le public dans nos cadres de gouvernance et de divulgation, en répondant par une communication transparente et des améliorations substantielles.

Ce que nous espérons que les utilisateurs voient, ce n’est pas seulement un résultat d’audit, mais un X-VPN qui continue à gagner la confiance par l’action.