Que transmet réellement le réglage d’analytique d’une application VPN ?

Votre tunnel est chiffré, la page confidentialité parle de l’absence de journaux, et l’application embarque pourtant une bibliothèque de diagnostic qui indique quels écrans vous ouvrez. Ce sont des flux de données différents avec des politiques différentes. Un journal de connexion note où le tunnel est allé ; un événement d’analytique note comment vous avez utilisé l’application. Lire l’un et supposer qu’il couvre l’autre est exactement l’erreur que le réglage invite à commettre.

Ce que le bouton contrôle généralement

La plupart des clients séparent le signalement facultatif du traitement sans lequel un service ne peut pas fonctionner. Le bouton régit en général les rapports de plantage, les événements d’usage et les mesures de performance, tandis que l’authentification, la facturation et la prévention des abus continuent quelle que soit sa position.

Les rapports de plantage contiennent une trace de pile, le modèle d’appareil, la version du système d’exploitation et la version de l’application. Les événements d’usage nomment des écrans et des fonctions, parfois avec des durées. Les événements de performance enregistrent les temps de connexion, les choix de protocole et les codes d’erreur. Le diagnostic d’assistance est une quatrième catégorie, généralement déclenchée à la main et capable de regrouper journaux et configuration.

L’émetteur n’est pas toujours la marque de l’icône. Un SDK intégré à l’application peut envoyer vers son propre point de terminaison, et un service de plantage peut être une entreprise distincte. C’est pourquoi la liste des destinataires de l’avis compte autant que le libellé du bouton.

Les champs qui rendent un rapport identifiant

La catégorie seule ne tranche pas la question de la vie privée ; c’est l’identifiant attaché à l’événement qui la tranche. Un rapport qui semble inoffensif peut devenir un historique lorsque le même identifiant d’installation figure sur chaque ligne.

Le rattachement à un compte est la clé de jointure la plus forte, car il transforme un historique d’appareil en historique de personne. Une adresse IP est une donnée personnelle dans de nombreuses juridictions même lorsque le rapport ne contient aucun nom, et un identifiant stable peut survivre aux réinstallations sur certaines plateformes.

L’agrégation n’est pas une anonymisation lorsque l’identifiant brut reste du côté de l’émetteur. Si un avis revendique des statistiques anonymes, cherchez la méthode : ce qui est supprimé, à quel stade, et si le destinataire peut relier les événements.

Qui reçoit le rapport

Suivez les destinataires plutôt que la marque. Le développeur de l’application peut exploiter le point de terminaison, ou concéder la marque à un autre opérateur ; le fournisseur d’analytique et le service de plantage sont des parties supplémentaires. L’avis de confidentialité devrait nommer ces rôles et les catégories que chacun reçoit. L’avis de confidentialité des abonnements Mozilla sépare les données de compte des catégories techniques et de diagnostic, et c’est ce genre de séparation qu’il faut rechercher.

La conservation est fixée à chaque étape. Un développeur peut garder des événements peu de temps tandis que le fournisseur d’analytique les garde plus longtemps selon sa propre politique, et un paquet d’assistance envoyé par courriel peut survivre aux deux. Demandez quelle partie détient les données, pas seulement laquelle les a collectées.

Le transfert transfrontalier relève du même examen. Un point de terminaison de diagnostic dans une autre région crée un transfert que le chiffrement du tunnel n’affecte pas, car le rapport n’a jamais voyagé dans le tunnel.

Ce que fait et ne fait pas la désactivation

Couper le bouton arrête les futurs rapports facultatifs. Cela ne rappelle pas les rapports déjà envoyés et ne les supprime pas chez le destinataire. La suppression est une demande distincte dans le processus de données du fournisseur, et elle peut nécessiter l’identifiant de compte plutôt que le réglage de l’appareil.

Le traitement essentiel continue lui aussi. La connexion, le renouvellement de l’abonnement, les contrôles antifraude et l’état du service peuvent être journalisés sur une autre base, et le système d’exploitation dispose de ses propres fonctions de plantage et d’analytique que le bouton de l’application n’a jamais contrôlées. Vérifiez le réglage au niveau du système d’exploitation si l’objectif est d’arrêter le diagnostic de l’appareil.

Pour le dépannage, utilisez le réglage à dessein : activez le diagnostic, reproduisez la panne, collectez le paquet, puis désactivez le signalement et supprimez le paquet une fois le ticket clos. Les pièces jointes manuelles méritent le même examen que les automatiques, car un fichier journal peut contenir plus que l’événement d’analytique n’en a jamais contenu.

Comparez l’avis avec ce qui quitte l’appareil

Vous pouvez voir les destinations sans déchiffrer le contenu. Sous macOS et Linux, les listes de connexions montrent avec quelles adresses distantes le client dialogue :

sudo lsof -i -P -n | grep -i vpnclient
ss -tup | grep -i vpnclient

TLS masque la charge utile, la sortie prouve donc une destination et un minutage approximatif, pas les champs à l’intérieur. Cela suffit néanmoins à vérifier une affirmation : si l’avis nomme un destinataire d’analytique et que l’application contacte aussi un domaine non listé, posez la question avant d’accepter la politique au pied de la lettre.

Notez les catégories que vous acceptez, les identifiants qui y sont attachés et les destinataires qui les détiennent. Ce court relevé est plus utile qu’une note mentale lorsque l’application met à jour son SDK ou que le fournisseur change de propriétaire.