Confidentialité
Seule la version catalane de ce document a valeur juridique, le catalan étant la langue officielle du Principat d'Andorra. La présente version française est une traduction de confort ; en cas de divergence, le texte catalan prévaut.
Le principe
ValiraVPN est conçu pour ne pas savoir qui vous êtes. Ce n'est pas une promesse de discrétion, c'est une contrainte technique : la plupart des données qu'une politique de confidentialité ordinaire s'engage à protéger n'existent nulle part dans nos systèmes, et nous ne pourrions pas les produire si on nous les demandait.
Un compte est créé sans adresse électronique, sans nom, sans mot de passe et sans aucun formulaire d'inscription. Il se résume à un numéro de seize chiffres, tiré au hasard, que vous seul détenez. Ce numéro n'est même pas stocké : la base n'en conserve qu'une empreinte cryptographique à clé, qui permet de reconnaître le numéro que vous présentez mais ne permet pas de le retrouver.
Ce que nous détenons
La liste est exhaustive. Elle correspond exactement aux colonnes de notre base de données.
- Pour le compte : l'empreinte à clé du numéro, la date de création, la date d'expiration de l'abonnement, un compteur d'octets consommés sur le quota résidentiel, et le pays de résidence fiscale que vous déclarez au premier paiement.
- Pour chaque appareil : le nom que vous lui donnez, sa plateforme, sa clé publique WireGuard, sa date d'ajout, la date de dernière activité, et l'adresse interne du tunnel, qui appartient à notre plage privée et ne désigne rien à l'extérieur.
- Pour chaque paiement : la sous-adresse Monero émise pour lui, le montant attendu et reçu, le nombre de confirmations, la durée achetée et les horodatages du suivi.
- Pour chaque facture : le numéro, la période couverte, le montant, le taux de taxe et le pays de résidence fiscale déclaré.
- Pour la session en cours : l'empreinte à clé du jeton de connexion et sa date d'expiration.
Ce que nous ne détenons pas
Nous n'avons ni adresse électronique, ni nom, ni adresse postale, ni moyen de paiement nominatif, ni mot de passe. Nous n'enregistrons ni les sites que vous visitez, ni les adresses auxquelles vous vous connectez, ni les requêtes DNS, ni les horaires de connexion, ni votre adresse IP réelle. Aucun de ces éléments n'est écrit sur un disque, à aucun moment.
Le compteur d'octets du quota résidentiel est un simple total : il indique combien de données ont transité, jamais vers où.
Les journaux du serveur web
Le site est servi derrière un relais. Le serveur web ne voit donc jamais l'adresse IP de ses visiteurs : il voit l'adresse du relais, et c'est ce qu'il inscrit dans ses journaux. Nous avons vérifié cette propriété sur l'intégralité des journaux existants, dans lesquels ne figurent que les deux extrémités du tunnel de relais. Ces journaux sont conservés quatorze jours puis détruits automatiquement.
Le site est également accessible par un service onion, qui ne passe par aucun relais et où la question ne se pose pas : le réseau Tor ne transmet pas d'adresse d'origine.
Les nœuds
Les serveurs qui portent votre trafic fonctionnent en mémoire vive seule. Ils n'ont pas de disque de stockage persistant. Une coupure de courant, un redémarrage ou une saisie physique ne livre rien, parce qu'il n'y a rien à lire : la mémoire d'une machine éteinte est vide.
Les nœuds de sortie appartiennent au réseau décentralisé Sentinel et sont exploités par des tiers indépendants que nous ne contrôlons pas. Votre trafic est chiffré jusqu'au nœud de sortie, mais ce qui en sort vers l'Internet public suit les règles habituelles : ce qui n'est pas chiffré de bout en bout par vous, typiquement hors HTTPS, est lisible par l'opérateur du nœud de sortie comme il le serait par n'importe quel fournisseur d'accès. Nous ne pouvons pas garantir le comportement de ces opérateurs.
Le paiement
Nous n'acceptons que le Monero, une monnaie dont les montants et les participants sont chiffrés par construction. Aucune plateforme d'échange, aucun processeur de paiement et aucune banque n'intervient entre vous et nous, et aucun tiers ne reçoit donc d'information sur votre achat.
Nous exploitons notre propre nœud Monero. Nous ne consultons pas de service externe pour vérifier vos transactions.
Une sous-adresse distincte est émise pour chaque facture. Elle relie ce paiement à ce compte dans notre base, et c'est le seul lien qui existe entre un compte et la chaîne. Nous n'enregistrons jamais l'identifiant de transaction : il serait un pointeur direct depuis votre compte vers une opération de la chaîne, et nous préférons ne pas le détenir.
Le cours de conversion est relevé au travers du réseau Tor sur un marché public. Cette requête ne porte aucune donnée vous concernant : elle demande un prix, pas un paiement.
La résidence fiscale
La loi nous impose de connaître le pays de résidence de nos clients pour déterminer la taxe applicable et émettre des factures régulières. Nous demandons donc un pays, au premier paiement, et rien de plus : ni région, ni ville, ni adresse. Un pays parmi quelques dizaines n'identifie personne.
Traceurs et services tiers
Le site n'utilise aucun outil de mesure d'audience, aucun traceur publicitaire et aucun réseau de diffusion tiers. Les polices, les images, les feuilles de style et les scripts sont servis par notre propre serveur. Aucune requête n'est faite vers un domaine que nous ne possédons pas.
Un unique cookie est déposé, et seulement après connexion : il porte le jeton
de session qui vous maintient authentifié. Il est marqué HttpOnly,
Secure et SameSite, il n'a aucune finalité de suivi, et
il disparaît à la déconnexion.
Le site fonctionne sans JavaScript. Les scripts n'apportent que du confort, jamais l'accès au service.
Durées de conservation
- Les jetons de session et d'interface expirent d'eux-mêmes et sont effacés à échéance.
- Les journaux du serveur web sont détruits au bout de quatorze jours.
- Les données du compte subsistent tant que le compte existe.
- Les factures et les écritures de paiement correspondantes sont conservées le temps qu'impose la loi comptable, même après la fermeture du compte. Nous ne pouvons pas les supprimer à la demande : cette obligation prime sur le droit à l'effacement.
Vos droits
Le traitement relève de la Llei 29/2021 de protection des données personnelles du Principat d'Andorra, texte aligné sur le règlement général européen. Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité.
Ces droits s'exercent en écrivant à contact@grasandco.com. Nous vous répondrons dans le délai d'un mois.
Deux limites, qui découlent de la conception même du service. Nous ne pouvons répondre qu'à une demande accompagnée de la preuve que vous détenez le numéro de compte concerné, faute de quoi n'importe qui pourrait obtenir les données d'un autre. Et nous ne pouvons pas vous communiquer ce que nous n'avons pas : une demande d'accès à votre historique de navigation recevra une réponse négative, non par refus, mais parce qu'aucun historique n'existe.
Vous pouvez introduire une réclamation auprès de l'Agència Andorrana de Protecció de Dades, autorité de contrôle compétente, ou auprès de l'autorité de votre pays de résidence.
Demandes des autorités
Nous répondons aux réquisitions qui nous sont légalement opposables selon le droit andorran. Ce que nous pouvons y verser se limite à ce que décrit la section « Ce que nous détenons », et ne comprend en aucun cas un historique de navigation, une adresse IP de client ou une identité, puisque ces éléments n'existent pas.
Le droit andorran n'impose aucune obligation générale de conservation des données de connexion aux fournisseurs de services de ce type. Nous ne conservons donc rien de tel, et nous n'avons pas l'intention de commencer.
Transferts
Les données sont traitées sur nos propres serveurs. L'Andorre bénéficie d'une décision d'adéquation de la Commission européenne, ce qui signifie que les transferts de données entre l'Union et l'Andorre ne requièrent aucune garantie supplémentaire.
Modifications
Toute modification de cette politique sera publiée sur cette page. Une modification réduisant vos protections ne sera jamais appliquée rétroactivement.