Bulletins de confidentialité

Ce que nous faisons

Nous avons réécrit notrePolitique de confidentialité. La plupart des modifications sont d'ordre structurel : la politique est désormais plus courte et plus claire, et les durées de conservation spécifiques à chaque type de données ont été déplacées vers notrePage Politiques et traitement des donnéesafin qu'ils puissent être tenus à jour au fur et à mesure de l'évolution de nos systèmes.

Trois changements sont substantiels et nous voulons être clairs à leur sujet :

• Les retours de diagnostic peuvent désormais être conservés plus longtemps. Auparavant, les retours étaient soumis à nos pratiques générales de conservation. Les rapports, y compris toute adresse e-mail facultative que vous y incluez, peuvent désormais être conservés indéfiniment afin que nous puissions diagnostiquer les problèmes et identifier les problèmes récurrents. Si vous avez inclus une adresse e-mail, vous pouvez nous demander de supprimer votre rapport à tout moment en contactantprivacy@psiphon.ca.
• Nous avons décrit une exception pour les événements de censure. Lorsqu'un événement de censure important survient, nous pouvons conserver un sous-ensemble filtré de données de connexion non identifiantes au-delà du calendrier habituel, parfois indéfiniment, afin qu'il puisse être étudié plus tard. C'est ainsi que nous comprenons et controns les blocages à grande échelle. Chaque fois que nous le faisons, nous publierons ici une entrée décrivant ce qui a été conservé, pourquoi et pour combien de temps.
• Il est indiqué que les statistiques agrégées sont conservées indéfiniment. Il s'agit de décomptes et de tendances qui ne peuvent être reliés à aucun individu ni à aucune connexion. Cela reflète la pratique existante plutôt qu'un changement de celle-ci.

Nous avons également cessé de faire plusieurs choses décrites dans la politique précédente :

• Nous n'enregistrons plus aucune information sur les destinations auxquelles vous vous connectez. La politique précédente décrivait l'enregistrement du volume de données transférées vers un petit nombre de domaines populaires et vers des serveurs de logiciels malveillants connus. Cette fonctionnalité a été supprimée. Nous n'enregistrons pas les sites, applications ou services auxquels vous vous connectez, quel que soit le niveau de détail.
• La journalisation des accès est désactivée pour l'espace de stockage qui héberge nos pages de téléchargement et nos listes de serveurs. Ces journaux enregistraient auparavant les adresses IP, les agents utilisateurs et les horodatages. Cela met fin à l'exception que nous avions signalée le 2020-06-19.
• Nous ne demandons plus la localisation approximative facultative. Cela annule la modification que nous avions annoncée le 2023-11-16.
• Nous ne travaillons plus avec Freestar. La politique précédente mentionnait Freestar aux côtés de Google en tant que partenaire publicitaire. Google AdMob est désormais le seul partenaire publicitaire.
• PsiCash a été abandonné et le service n'est plus disponible, il n'est donc plus couvert par cette politique.

Nous n'enregistrons toujours pas votre adresse IP et ne conservons pas le contenu de votre trafic.

Pourquoi nous le faisons

La politique précédente s'était développée par accumulation et était difficile à lire. Séparer les principes, qui ont leur place dans la politique, des périodes spécifiques, qui évoluent en même temps que nos systèmes, permet à la politique de rester stable tout en conservant des détails exacts.

Quand nous le faisons

En vigueur le 2026-09-28T00:00Z

Ce que nous faisons

Nous mettons à jour notrePolitique de confidentialitéafin d'ajouter la mention de la collecte facultative de données de localisation approximative. Pour connaître les modifications exactes, consultez leCommit GitHub.

Pourquoi nous le faisons

Nous ajoutons la collecte facultative de données de localisation approximative à certaines plateformes clientes.

Quand nous le faisons

Cela entrera en vigueur le 2023-11-17T00:00Z.

Applications affectées

Psiphon Android et Psiphon Windows exécutant le protocole de tunnel Conjure, qui est activé uniquement pour certains pays et ISPs.

Que s'est-il passé

L'authentification des stations Conjure se connectant au registrar Conjure a été supprimée par erreur lors d'une refactorisation introduite vers la fin d'octobre 2022.

Impact

Il était possible pour tout acteur ayant connaissance du problème de se connecter au registrar Conjure et d'obtenir une liste des informations d'enregistrement actives, y compris les adresses IP client associées. Une fois le problème découvert fin avril 2023, les journaux ont été surveillés et aucune connexion suspecte au registrar Conjure n'a été observée.

Résolution

Un correctif, restaurant l'authentification,a été implémentéet est maintenant déployé.

Ce que nous faisons

Nous mettons à jour notrePolitique de confidentialité. Nous avons supprimé les liens vers les partenaires publicitaires que nous n'utilisons plus. Pour connaître les modifications exactes, consultez leCommit GitHub.

Pourquoi nous le faisons

Nous n'utilisons plus ces partenaires publicitaires, les liens vers eux ne sont donc plus pertinents.

Quand nous le faisons

Cela prendra effet le 2023-02-01T00:00Z.

Ce que nous faisons

Nous mettons à jour notrePolitique de confidentialité. Nous avons modifié le texte d'un titre, sans en changer le sens. Pour voir les modifications exactes, consultez lecommit GitHub.

Pourquoi nous le faisons

Pour éviter toute confusion potentielle causée par le titre précédent.

Quand nous le faisons

Cela prendra effet le 2021-10-06T00:00Z.

Ce que nous faisons

Nous mettons à jour notrePolitique de confidentialité. Nous ajoutons des informations sur my.psi.cash. Pour les modifications exactes, consultez leCommit GitHub.

Pourquoi nous le faisons

Pour garantir que la Politique de confidentialité reflète fidèlement nos pratiques en matière de données.

Quand nous le faisons

Cela prendra effet le 2021-09-09T00:00Z.

Ce que nous faisons

Nous mettons à jour notrePolitique de confidentialité. Nous ajoutons des informations sur les comptes PsiCash. Pour connaître les modifications exactes, consultez lacommit GitHub.

Pourquoi nous le faisons

Afin de s'assurer que la Politique de confidentialité reflète fidèlement nos pratiques en matière de données.

Quand nous le faisons

Cela prendra effet le 2021-05-13T00:00Z.

Ce que nous faisons

Nous mettons à jour notrePolitique de confidentialité. Nous rendons plus précises les informations relatives à la journalisation du serveur de messagerie. Pour connaître les modifications exactes, consultez la "Commit GitHub.

Pourquoi nous le faisons

Pour garantir que la Politique de confidentialité reflète fidèlement nos pratiques en matière de données.

Quand nous le faisons

Cela entrera en vigueur le 2021-05-12T00:00Z.

Applications concernées

Psiphon pour Windows v160.

Que s'est-il passé

Une modification a été apportée à l'application Psiphon pour Windows, avec pour conséquence que certains journaux émis par l'exécutable intégré pouvaient potentiellement être classés comme des journaux de plantage. Cela permettait à ces journaux de contourner les mesures mises en place pour éviter l'enregistrement d'informations sensibles. Si l'utilisateur envoyait ensuite des commentaires et acceptait d'inclure des informations de diagnostic, ces journaux étaient alors transmis à Psiphon.

Impact

Le 2021-01-26 à 8:23 EST, un unique retour d'utilisateur contenant un journal incluant le chemin du fichier de l'exécutable Psiphon sur son ordinateur a été découvert. Heureusement, le chemin du fichier ne révélait aucune information personnellement identifiable (PII). Aucune fuite externe connue de ces données ne s'est produite. Aucun autre retour contenant des informations sensibles n'a été trouvé.

Résolution

Le 2021-01-26 à 11:45am EST, du code a été déployé pour masquer immédiatement toute occurrence de ces messages de diagnostic trouvés dans les retours d'utilisateurs envoyés par les clients Psiphon. L'application Psiphon pour Windows a été corrigée dans la version 161.

Applications concernées

Psiphon Android (téléchargé depuis Google Play) antérieur à la v314 ; Psiphon Pro antérieur à la v314.

Arrière-plan

Les clients Psiphon utilisent l'autorisation ACCESS_COARSE_LOCATION afin de déterminer le BSSID WiFi. Le BSSID WiFi est utilisé pour mémoriser les paramètres internes de Psiphon qui fonctionnent le mieux sur différents réseaux WiFi. Le BSSID WiFi est uniquement stocké localement et n'est pas transmis aux serveurs Psiphon. Les versions du client Psiphon pour Android qui utilisent des SDK publicitaires tiers demandent à ces SDK de ne pas utiliser l'autorisation ACCESS_COARSE_LOCATION pour le ciblage publicitaire basé sur la localisation.

Que s'est-il passé

L'un des SDK publicitaires tiers utilisés dans les clients Psiphon pour Android ne dispose plus d'un paramètre permettant de l'empêcher d'utiliser les services de localisation pour le ciblage publicitaire géolocalisé. De plus, de nouveaux SDK publicitaires tiers ont été ajoutés aux clients Psiphon qui ne disposent pas non plus d'un paramètre pour empêcher l'utilisation des services de localisation pour le ciblage publicitaire géolocalisé.

Impact

Il est possible que des SDK publicitaires tiers utilisés par les clients Psiphon pour Android aient utilisé les services de localisation pour le ciblage publicitaire géolocalisé lorsque l'autorisation ACCESS_COARSE_LOCATION est accordée.

Résolution

Tous les clients Psiphon pour Android v314 suppriment l'autorisation ACCESS_COARSE_LOCATION afin d'empêcher les SDK publicitaires tiers d'utiliser les services de localisation pour le ciblage publicitaire géolocalisé. Les clients Psiphon pour Android utilisent désormais un mécanisme moins précis pour distinguer les réseaux WiFi afin de mémoriser les paramètres internes de Psiphon qui fonctionnent le mieux sur les différents réseaux WiFi.

Applications concernées

Psiphon iOS antérieur à la v1.0.48 ; Psiphon Android antérieur à la v302 ; Psiphon Windows antérieur à la v158 ; Bibliothèque Psiphon antérieure à la v2.0.12.

Arrière-plan

Les clients Psiphon permettent aux utilisateurs de se connecter via des proxys en amont. Les utilisateurs configurent manuellement les paramètres du proxy en amont, y compris les identifiants requis. Psiphon enregistre les messages d'erreur réseau dans les diagnostics inclus dans les commentaires que les utilisateurs soumettent à Psiphon ; et enregistre les messages d'erreur réseau avec les métriques d'échec de connexion automatiquement envoyées à Psiphon. Lorsqu'une connexion à un proxy en amont échoue, les erreurs associées sont enregistrées.

Que s'est-il passé

En interne, les paramètres de proxy en amont sont représentés sous la forme d'une URL et analysés avec net/url de Go. Les messages d'erreur de url.Parse renvoient l'URL, qui contient les identifiants lorsqu'ils sont présents. Cette erreur, contenant des identifiants, a été enregistrée dans les diagnostics et les métriques d'échec de connexion, exposant ainsi les identifiants à Psiphon. Cette situation a été aggravée par l'absence d'encodage URL des paramètres de proxy en amont saisis par l'utilisateur, ce qui rendait l'échec de l'analyse plus probable.

Impact

Des diagnostics contenant des identifiants de proxy en amont et des métriques d'échec de connexion ont été envoyés à Psiphon et conservés, pendant la période de conservation des "Données d'activité de l'utilisateur", sur nos systèmes internes. Aucune fuite externe connue de ces données ne s'est produite.

Résolution

Du code a été déployé pour masquer immédiatement toute occurrence de ces messages de diagnostic trouvée dans les retours des utilisateurs et les métriques d'échec de connexion transmis par les clients Psiphon. Tous les messages de diagnostic et toutes les métriques associés ont été supprimés des systèmes de Psiphon. Les clients ont été mis à jour pour supprimer les URL des messages d'erreur d'analyse d'URL de proxy en amont avant d'envoyer les erreurs à Psiphon.

Applications concernées

Versions 1.0.43, 1.0.44 et 10.45 du VPN Psiphon pour iOS (https://apps.apple.com/us/app/psiphon/id1276263909")."

Arrière-plan

L'application VPN iOS de Psiphon utilise la fonctionnalité « VPN On Demand » fournie par iOS pour s'assurer que le VPN est redémarré en cas de redémarrage de l'appareil ou de plantage du VPN. La première requête réseau effectuée après le redémarrage de l'appareil ou le plantage du VPN déclenchera les règles « VPN On Demand » configurées pour démarrer Psiphon et mettre en file d'attente les requêtes réseau jusqu'à ce que Psiphon ait rétabli sa connexion et soit prêt à faire transiter à nouveau le trafic.

Que s'est-il passé

Le 25 juin 2020, nous avons déployé une modification qui enregistrait les métadonnées fournies par l'OS lorsque le VPN était démarré. Nous avions choisi d'enregistrer ces métadonnées car, lors des tests, elles contenaient des informations non sensibles, comme le fait de savoir si le VPN avait été démarré par l'OS en raison de règles “VPN On Demand” ou par l'utilisateur depuis l'UI de Psiphon. Le 21 juillet 2020, nous avons constaté que le nom d'hôte de destination, ou l'adresse IP, de la première requête réseau ayant déclenché le démarrage de Psiphon après le redémarrage d'un appareil ou un plantage du processus VPN était inclus dans ces métadonnées. Une fois enregistrées, les métadonnées pouvaient être incluses dans un retour soumis par l'utilisateur via le formulaire de retour intégré à l'application. À condition que l'utilisateur n'ait pas refusé d'inclure des informations de diagnostic avec son retour. Lorsqu'un utilisateur soumet un retour, celui-ci est chiffré avec une clé publique, associée à une clé privée que nous possédons et gardons secrète. Cela garantit que seuls nos serveurs de retour peuvent déchiffrer et lire le contenu du retour d'un utilisateur une fois celui-ci envoyé sur Internet. Le retour chiffré est téléversé via TLS. Une fois que le retour parvient à nos serveurs, il est déchiffré, conservé pendant une durée limitée, puis supprimé.

Impact

Moins de 10 journaux qui incluaient la destination réseau d'une requête provenant du client ont été stockés sur les serveurs de Psiphon.

Résolution

Le 22 juillet 2020, un correctif a été publié dans la version 1.0.46 de Psiphon iOS VPN et les journaux sensibles ont été supprimés des serveurs de Psiphon. De plus, du code a été déployé pour masquer immédiatement toute occurrence de ces lignes de journal trouvée dans les retours d'utilisateurs envoyés depuis les versions du client affectées au fur et à mesure de leur déchiffrement sur les serveurs de Psiphon.

Que s'est-il passé

Nous utilisons AWS S3 pour héberger des sites web, des applications clientes et des listes de serveurs distants. Nous avons découvert que la journalisation avait été activée pour bon nombre de nos ressources S3 depuis juin 2015. Ces journaux incluent les adresses IP des utilisateurs qui ont accédé à ces ressources.

Impact

Nous n'avons trouvé aucune indication que des journaux aient été obtenus par un tiers externe, il ne s'agit donc pas d'une violation de données utilisateur. Cependant, il s'agit d'une violation de notre Politique de confidentialité.

Résolution

La journalisation a été désactivée pour les compartiments S3 accessibles aux utilisateurs et tous les journaux ont été supprimés. Nous travaillons sur un système pour suivre les exceptions et les problèmes de confidentialité, et nous étudions l'audit des ressources AWS.

Ce que nous faisons

Nous suspendons temporairement la purge des données d'activité des utilisateurs, prolongeant ainsi la durée de conservation des données.

Pourquoi nous le faisons

Nous devons conserver les données d'activité granulaires plus longtemps pour nous donner le temps d'analyser les récents événements de censure.

Quand nous le faisons

Cela prendra effet à compter du 2019-12-12T00:00Z. Cela sera en vigueur pendant un mois. Nous mettrons à jour ce bulletin s'il doit être prolongé au-delà.

Mettre à jour

La conservation des données d'activité des utilisateurs est revenue à la normale au 2020-04-10.

Ce que nous faisons

Nous mettons à jour notrePolitique de confidentialité. Nous modifions la durée de conservation des données d'activité des utilisateurs de 60 jours à 90 jours. Nous avons également complété les informations concernant les bulletins de confidentialité. Pour connaître les modifications exactes, consultez laCommit GitHub.

Pourquoi nous le faisons

Pour s'assurer que la Politique de confidentialité reflète fidèlement nos pratiques en matière de données.

Quand nous le faisons

Cela prendra effet le 2019-12-12T00:00Z.

Ce que nous faisons

Nous mettons à jour notrePolitique de confidentialité". Cela inclut d'y intégrer la réponse à la question de la FAQ « Quelles informations Psiphon collecte-t-il ? »."

Pourquoi nous le faisons

LePolitique de confidentialitépage est désormais le seul endroit que les utilisateurs doivent consulter pour connaître les politiques de confidentialité et de collecte de données de Psiphon. Elle a été mise à jour pour refléter l'utilisation de publicités, d'outils d'analyse et de journalisation pour certains de nos sites Web.

Quand nous le faisons

Ceci est en vigueur au moins depuis le 2015-06-01T00:00Z.

Ce que nous faisons

Nous activons la journalisation des accès pour un « bucket » Amazon S3 (c.-à-d. conteneur de stockage) du site web. (Pour des raisons techniques, nous hébergeons des dizaines de copies du site web dans différents buckets S3.)

Pourquoi nous le faisons

Nous faisons cela pour déterminer le nombre d'accès à la « liste de serveurs distants » stockée dans le bucket. Cela nous aidera à nous faire une idée du nombre d'utilisateurs qui ne parviennent pas à se connecter.

Quand nous le faisons

La journalisation sera activée du 2014-04-17T15:00Z au 2014-04-18T15:00Z.

Quelles données utilisateur seront collectées

La journalisation collectera les adresses IP, les agents utilisateurs et les horodatages d'accès à un site Web. Lorsque ces données seront traitées, nous aurons un décompte des utilisateurs, répartis par région géographique, ayant accédé au fichier en question.

Combien de temps les données seront conservées

Les données ne seront pas conservées plus d'une semaine. Nous conserverons le nombre d'utilisateurs plus longtemps — peut-être indéfiniment.

Combien d'utilisateurs sont affectés

Nous ne savons pas encore avec certitude combien d'utilisateurs seront affectés (c'est pourquoi nous faisons cela), mais nous pensons qu'il y aura moins de 10,000 utilisateurs.

Qui d'autre que Psiphon Inc. verra ces données

Les journaux d'accès sont également stockés dans un compartiment Amazon S3, Amazon aura donc accès aux journaux. (Cependant, Amazon sert les fichiers, elle peut donc déjà accéder à ces informations.)