Siamo lieti di condividere che X-VPN ha completato un incarico di verifica indipendente, confermando che non raccogliamo, memorizziamo o tracciamo i tuoi dati di connessione, né registriamo le tue attività online.
Abbiamo sempre creduto che la protezione della privacy non dovrebbe essere solo una promessa scritta su una pagina web. Ecco perché abbiamo sottoposto a una verifica indipendente la nostra Politica No-Logs. Continua a leggere — siamo felici di condividere i dettagli con te.
Table of Contents
Punti chiave del rapporto di assicurazione
Abbiamo incaricato una delle Big Four accounting firms a Singapore di condurre un incarico di assicurazione indipendente sulle dichiarazioni nella Privacy Policy di X-VPN relative al trattamento dei dati degli utenti, così come le pratiche corrispondenti a supporto di tali dichiarazioni. La società di revisione Big Four ha eseguito questo incarico in conformità con lo Standard Internazionale sugli Incarichi di Assicurazione (ISAE) 3000 (Revisionato).
Attraverso indagini con il personale pertinente e una revisione della configurazione del sistema IT di X-VPN e delle operazioni IT di supporto, questa verifica indipendente ha confermato i seguenti punti chiave:
- Non raccogliamo, memorizziamo o registriamo alcun dato di traffico, inclusi indirizzi IP degli utenti o di destinazione, attività di navigazione, siti web visitati, informazioni sui server VPN, query DNS, contenuti scaricati o timestamp di connessione.
- Elaboriamo solo le informazioni minime sull’account e sulla fatturazione necessarie per fornire il servizio: un indirizzo email fornito dall’utente (non è necessario verificarlo), password memorizzata come hash unidirezionale salato (ad es. bcrypt), ID ordine e cronologia degli ordini. Non sono necessarie ulteriori informazioni personali per creare o utilizzare un account.
- Raccogliamo solo metriche di performance aggregate e non identificabili (ad es., utilizzo della CPU, consumo di memoria e disponibilità del servizio) e non raccogliamo informazioni personali identificabili.
- Il tracciamento del traffico utente e dell’attività è disabilitato per design: le uscite di sistema e servizio sono reindirizzate a un sink nullo (/dev/null), e sono in atto controlli per prevenire la generazione o la retention dei log negli ambienti di produzione.
- Tutti i server VPN funzionano interamente in modalità solo RAM, il che significa che tutti i dati esistono solo nella memoria volatile e non vengono mai scritti o memorizzati su alcun supporto fisico. Quando un server viene spento, riavviato o ridistribuito, tutti i dati in memoria vengono istantaneamente e permanentemente cancellati, garantendo un ambiente senza log vero e verificabile.
- I server di produzione sono distribuiti e gestiti attraverso un sistema di automazione predefinito (THA), che impone e convalida continuamente la configurazione di base senza registri negli ambienti di produzione.
- Tutte le modifiche al codice sono gestite attraverso una pipeline CI/CD controllata da versioni, soggetta a revisione multilivello e scansione automatizzata della sicurezza progettata per convalidare i controlli relativi alla privacy.
- L’accesso al database è protetto utilizzando una trasmissione crittografata (TLS moderno) e attraverso l’autenticazione reciproca e una lista bianca degli indirizzi IP con monitoraggio continuo.
- La Privacy Policy è mantenuta per riflettere accuratamente le operazioni del sistema e le pratiche di elaborazione dei dati, e i processi di revisione, aggiornamento e pubblicazione sono tracciabili e verificabili.
- Il Gruppo DPO opera con indipendenza e tracciabilità, fornendo una supervisione continua sulla governance della privacy in linea con i principi no-logs.
Sulla base delle procedure eseguite e delle prove ottenute, le Big Four hanno verificato la nostra conformità con la No-Logs Policy.
Due osservazioni sono state identificate dalle procedure eseguite. Tuttavia, queste osservazioni non hanno modificato la conclusione dell’audit e sono state affrontate prontamente. Gli utenti che desiderano saperne di più possono fare riferimento alle sezioni pertinenti del rapporto completo.
A causa della natura tecnica del rapporto e dei requisiti di divulgazione pertinenti, non possiamo condividere pubblicamente estratti dal rapporto. Tuttavia, gli utenti possono accedere al rapporto completo effettuando il login nel loro account X-VPN.
Per i nuovi utenti o per gli utenti gratuiti, la creazione di un account non richiede ulteriori informazioni personali e non è necessario alcun pagamento.
Cosa significa questo per gli utenti di X-VPN
Questa verifica indipendente dimostra che le dichiarazioni di X-VPN riguardo al trattamento dei dati degli utenti sono state verificate da una terza parte indipendente sulla base delle configurazioni di sistema, delle procedure operative e dei controlli di supporto.
Quando utilizzi X-VPN, non conserviamo registri di attività che potrebbero essere utilizzati per ricostruire come utilizzi il servizio, identificare il tuo comportamento online o rivelare informazioni che potrebbero essere collegate alla tua identità personale. Questo può darti maggiore fiducia che la tua privacy sia protetta mentre utilizzi il nostro servizio.
Perché la verifica indipendente è importante
Crediamo che la fiducia degli utenti debba essere costruita su una base di trasparenza e responsabilità.
Questa verifica indipendente di terze parti ci aiuta a dimostrare, in modo più rigoroso, come implementiamo questi principi nel nostro design di sistema, nei processi operativi e nei meccanismi di governance. Non si tratta solo di testare i nostri standard, ma anche di come rispondiamo alle aspettative di lunga data dei nostri utenti riguardo alla protezione della privacy.
In altre parole, miriamo a garantire che tutti i nostri utenti sentano che la loro fiducia è genuinamente apprezzata e che la loro privacy è efficacemente protetta attraverso un approccio più trasparente, rigoroso e verificabile. Crediamo fermamente che fiducia, privacy e sicurezza non debbano essere opzioni extra ricercate solo da pochi utenti selezionati, ma piuttosto salvaguardie fondamentali che ogni utente dovrebbe ricevere quando utilizza un servizio VPN.
Per saperne di più sulla verifica indipendente di X-VPN, visita il nostro Centro Audit.
Un traguardo, non il traguardo finale
Questa garanzia indipendente è una tappa importante per X-VPN, ma non è la meta. La fiducia non si costruisce con un singolo impegno di garanzia e la protezione della privacy non finisce con un progetto completato. Dovrebbe riflettersi nel modo in cui promuoviamo la governance, affrontiamo le preoccupazioni e dimostriamo agli utenti che questi impegni vengono costantemente rispettati in ogni passo che X-VPN compie.
Guardando al futuro, X-VPN continuerà a promuovere la conformità e la governance della sicurezza. Man mano che questi sforzi maturano, espanderemo gradualmente il nostro ambito per includere audit aggiuntivi e condivideremo pubblicamente i risultati degli audit dove appropriato. Continueremo anche a incorporare le preoccupazioni di lunga data sollevate dagli utenti e dal pubblico nei nostri quadri di governance e divulgazione, rispondendo con comunicazioni trasparenti e miglioramenti sostanziali.
Ciò che speriamo che gli utenti vedano non è solo un risultato di audit, ma un X-VPN che continua a guadagnare fiducia attraverso l’azione.
