Politique de confidentialité de GuruVPN

Avis de traduction : cette page est une traduction automatique fournie uniquement à titre de commodité et d’information. La version anglaise du document est la version principale et prévaut. En cas de divergence, la version anglaise prévaut.

Guru VPN est un service de réseau privé virtuel moderne conçu pour garantir la sécurité et l'anonymat des utilisateurs lorsqu'ils surfent sur Internet. Il protège efficacement les données et les informations personnelles contre tout accès non autorisé, offrant une solution fiable à ceux qui apprécient la confidentialité dans le monde numérique.

Guru VPN traite vos données personnelles et agit en tant que contrôleur de données conformément aux lois sur la confidentialité, y compris le Règlement général sur la protection des données (RGPD).

Cette politique de confidentialité explique comment GURU NETWORK S.R.L. (« Société », « nous », « notre ») collecte, utilise, stocke, divulgue et traite de toute autre manière des données personnelles en relation avec le service Guru VPN (site Web : guruvpn.com, applications mobiles). En accédant ou en utilisant le Service, vous reconnaissez avoir lu et accepté cette Politique.

En continuant à utiliser notre site Web et/ou nos services, vous acceptez les termes de cette politique de confidentialité. Nous vous invitons fortement à vous abstenir d'utiliser nos services et sites Web si vous n'êtes pas d'accord avec cette politique de confidentialité ou l'une de ses dispositions.

Responsable du traitement : GURU NETWORK S.R.L. (dénomination sociale : GURU NETWORK S.R.L., numéro d'enregistrement : J2025060746006, numéro CUI/TVA 523197202, adresse enregistrée : Bucureşti, Sectorul 3, Str. Nerva Traian, Nr. 27-33, br. 6, Scara B, Etaj 1, code postal 031044, Roumanie).

E-mail de contact pour la confidentialité : privacy@guruvpn.com ; assistance générale : support@guruvpn.com.

1. Traitement de vos données

Guru VPN suit une approche sans journaux du contenu de votre trafic VPN. Nous ne surveillons, n’inspectons ni ne stockons le contenu des communications, les charges utiles du trafic, les URL complètes, le contenu des pages ou les historiques de navigation détaillés. Lorsque des données opérationnelles limitées sont traitées pour exploiter, sécuriser, dépanner, facturer, améliorer et administrer légalement le Service, elles sont décrites dans la présente Politique et minimisées.

L'absence de journaux ne signifie pas que Guru VPN ne collecte aucune donnée. Guru VPN peut traiter les comptes limités, les abonnements, la facturation, les diagnostics, la sécurité, les métadonnées de service, les journaux de connexion liés à l'utilisateur, l'état des limites des appareils enregistrés, les journaux techniques DNS, les données d'analyse/SDK, les cookies pour le site Web, les données de notification push et les données d'assistance si nécessaire aux fins décrites dans la présente politique.

Pour garantir le fonctionnement efficace de notre service VPN, nos systèmes peuvent conserver des journaux de connexion limités liés à l'utilisateur indiquant qu'un compte d'utilisateur ou un appareil enregistré s'est connecté à un serveur VPN particulier, ainsi que des horodatages de connexion disponibles dans l'architecture actuelle et des indicateurs d'état de connexion, par exemple si le trafic a été détecté pour les mesures de réussite de la connexion et de fiabilité du service. Nous ne stockons pas les adresses IP sources réelles des utilisateurs dans les journaux de connexion, n'associons pas les adresses IP sources aux comptes d'utilisateurs et ne conservons pas d'enregistrement des sites Web que vous visitez.

2. Catégories de données personnelles que nous collectons

Nous collectons une quantité limitée de données personnelles qui peuvent vous identifier directement ou indirectement lorsque vous utilisez nos Services. Ces informations sont essentielles pour fournir efficacement nos Services, améliorer l'expérience utilisateur, optimiser les fonctionnalités et garantir le respect des obligations légales. Nous sommes profondément engagés à protéger votre vie privée et à gérer vos données personnelles avec la plus grande responsabilité et le plus grand soin.

Nous collectons les catégories de données personnelles suivantes pour exploiter et maintenir le Service :

• Informations sur le compte : adresse e-mail (obligatoire pour la plupart des utilisateurs ; facultatif pour les comptes iOS de démonstration), nom d'utilisateur ou nom d'affichage si fourni, date de création du compte et statut de l'abonnement, méthode d'inscription (OTP ou OAuth via Apple/Google).
• Métadonnées d'authentification et de sécurité : tentatives de connexion, métadonnées de mot de passe à usage unique (OTP), identifiants d'appareil utilisés pour l'authentification.
• Métadonnées de paiement et de facturation : identifiants de transaction, reçus, nom/e-mail de facturation, identifiants d'abonnement gérés via Stripe et RevenueCat. Nous ne stockons pas les numéros de carte complets (PAN) sur nos serveurs ; le traitement des cartes est géré par les prestataires de paiement.
• Journaux de connexion : identifiants du serveur VPN et horodatages de connexion (heures de début/fin de connexion). Ceux-ci sont enregistrés dans notre base de données principale.
• Journaux DNS : noms de domaine que vous résolvez, horodatages et votre adresse IP source. Ceux-ci sont stockés dans Google Cloud BigQuery (États-Unis) pendant 7 jours maximum pour permettre le filtrage de sécurité et l'amélioration des performances. Nous n'enregistrons pas les URL complètes ni le contenu de votre trafic.
• Données de crash et de diagnostic : rapports de crash, traces de pile et autres télémétries de diagnostic stockées dans Firebase (et Sentry le cas échéant).
• Analyses et métriques d'utilisation : données d'événements et métriques agrégées envoyées aux fournisseurs d'analyses (par exemple, Firebase/Google Analytics, Amplitude, Plausible, AppsFlyer).
• Données de notification push : jetons d'appareil et métadonnées associées traitées via OneSignal.
• Communications d'assistance : e-mail, messages d'assistance dans l'application et journaux de tickets associés.

3. Données que nous ne collectons pas

Nous ne collectons ni ne conservons les charges utiles complètes du trafic, le contenu des communications, les historiques de navigation détaillés ou le contenu des pages. Les seules métadonnées au niveau du réseau que nous conservons sont les journaux de connexion et les enregistrements DNS mentionnés ci-dessus.

4. Finalités et bases juridiques du traitement

Nous traitons les données personnelles aux fins suivantes et sur la base des fondements juridiques suivants, le cas échéant :

• Fournir et administrer le Service et remplir les obligations contractuelles envers les utilisateurs (exécution d'un contrat).
• Maintenir la sécurité, détecter et prévenir les fraudes, les abus et les attaques, et assurer la fiabilité du service (intérêts légitimes).
• Se conformer aux lois applicables et répondre aux demandes légales des autorités publiques (obligation légale).
• Le cas échéant, sur la base du consentement de l'utilisateur - pour des fonctionnalités facultatives telles que certaines analyses ou communications marketing.

5. Journalisation actuelle, emplacements de stockage et pratiques de conservation

• Journaux de connexion : journaux de connexion limités liés aux utilisateurs stockés dans notre base de données principale hébergée sur DigitalOcean (Amsterdam, NL). Ces journaux peuvent montrer qu'un compte d'utilisateur ou un appareil enregistré est connecté à un serveur VPN particulier, ainsi que les horodatages de connexion disponibles dans l'architecture actuelle et les indicateurs d'état de connexion, par exemple si le trafic a été détecté pour les mesures de réussite de la connexion et de fiabilité du service. Nous ne stockons pas les adresses IP sources réelles des utilisateurs dans les journaux de connexion, n'associons pas les adresses IP sources aux comptes d'utilisateurs et n'utilisons pas ces journaux pour conserver les historiques de navigation, le contenu du trafic, les URL complètes, le contenu des pages, les journaux de requêtes DNS liées aux utilisateurs ou le contenu des communications. Les journaux de connexion sont conservés par défaut pendant 30 jours et peuvent être conservés jusqu'à 6 mois si nécessaire et documentés à des fins de sécurité, de facturation, d'enquête sur les incidents, de traitement des demandes légales ou d'établissement, d'exercice ou de défense de réclamations légales. Une fois la période de conservation expirée, les journaux sont supprimés, anonymisés ou agrégés afin que les mesures du taux de connexion à long terme ne restent pas identifiables par l'utilisateur, sauf si une raison juridique ou de sécurité documentée l'exige autrement.

• Journaux DNS : les journaux techniques DNS peuvent être constitués de noms de domaine résolus via le Service et d'horodatages. Ils peuvent être collectés via des serveurs DNS tiers et/ou le résolveur de Guru VPN et stockés dans Google Cloud / BigQuery (États-Unis) pendant 7 jours maximum pour permettre un filtrage de sécurité et des améliorations de performances. Dans l'architecture ordinaire actuelle, ces journaux sont anonymisés ou dissociés des utilisateurs avant leur stockage ou leur utilisation, ne sont pas associés aux comptes d'utilisateurs, aux appareils enregistrés ou aux adresses IP sources réelles des utilisateurs, et ne nous permettent pas d'identifier quel utilisateur ou appareil a effectué une requête DNS particulière. Dans des cas spécifiques (par exemple, enquête sur des abus ou des incidents de sécurité), les journaux techniques DNS peuvent être conservés jusqu'à 30 jours avec des contrôles d'accès stricts ; toute conservation au-delà de 30 jours nécessite une justification juridique ou de sécurité documentée et une surveillance de surveillance. Nous n'enregistrons pas les URL complètes, le contenu des pages, les charges utiles du trafic ou le contenu de vos communications.

• Alertes de sécurité/IDS/IPS et signaux d'abus : des signaux de sécurité limités au niveau du réseau, des signatures configurées, des alertes basées sur des modèles, des signaux d'infrastructure et des rapports d'abus externes peuvent être traités pour protéger le Service et enquêter sur les abus. Les alertes peuvent inclure des indicateurs techniques et des identifiants d'appareil internes qui peuvent permettre à Guru VPN d'associer un événement de sécurité à un compte ou un appareil si nécessaire. Les alertes IDS/IPS ne constituent pas une surveillance complète du contenu du trafic, et les paquets ou les charges utiles du trafic ne sont pas conservés en tant que journaux d'activité des utilisateurs.

• Statut de l'appareil enregistré : le statut limite des appareils enregistrés peut être traité pour faire respecter les limites du plan, actuellement jusqu'à quatre (4) appareils enregistrés, sauf indication contraire dans le plan applicable. Les limites d'appareils sont basées sur les appareils liés à un compte, et non sur le nombre de connexions simultanées

• Journaux de crash et de diagnostic : les rapports de crash et la télémétrie de diagnostic sont stockés dans Firebase (et Sentry le cas échéant). Par défaut, ces journaux sont conservés pendant 90 jours. Si une conservation plus longue est nécessaire pour le débogage continu de problèmes récurrents, nous pouvons conserver les journaux anonymisés jusqu'à 12 mois avec une justification documentée et un accès restreint.

• Enregistrements de facturation et de paiement : les métadonnées transactionnelles et les reçus sont traités et conservés par Stripe et RevenueCat conformément à leurs politiques ; nous conservons uniquement les métadonnées ou références nécessaires dans nos systèmes.

• Données et agrégats d'analyse : les événements d'analyse et les métriques agrégées/pseudonymisées sont stockés auprès des fournisseurs d'analyse et dans BigQuery selon la configuration de chaque fournisseur.

• Jetons push : les jetons d'appareil et les métadonnées push sont stockés/traités via OneSignal.

• Sauvegardes et exportations : les sauvegardes de base de données gérées et les exportations planifiées vers BigQuery ou d'autres magasins d'analyse peuvent conserver les enregistrements au-delà du cycle de vie des données dans la base de données principale ; les politiques de conservation des sauvegardes du fournisseur s’appliquent.

6. Suppression de compte - Procédure et limitations

Lorsqu'un utilisateur supprime son compte via l'application ou le tableau de bord, nous écrasons/zéro les champs personnels (y compris l'e-mail) dans la base de données principale et marquons le compte comme supprimé. Cette opération supprime les données personnelles de notre magasin opérationnel principal.

Toutefois, les copies et exportations précédemment écrites dans BigQuery et les données conservées par des processeurs tiers (Stripe, RevenueCat, Amplitude, Firebase, OneSignal, etc.) ne sont pas automatiquement purgées par l'opération de suppression de base de données principale et restent soumises aux politiques de conservation et de suppression de ces fournisseurs.

Si vous demandez la suppression de données stockées par des tiers, contactez privacy@guruvpn.com. Nous déploierons des efforts commercialement raisonnables pour soumettre les demandes de suppression via les API disponibles et documenterons le résultat. Si un fournisseur ne peut pas supprimer les données, nous vous informerons de la période de conservation applicable.

7. Divulgation et utilisation par des sous-traitants tiers

Nous engageons des processeurs pour fournir des services d'infrastructure, d'analyse, de paiement, de surveillance et autres. Les principaux processeurs incluent (sans s'y limiter) : DigitalOcean, Google Cloud / BigQuery, Stripe, RevenueCat, Firebase, Sentry, Amplitude, Plausible, AppsFlyer, OneSignal et divers fournisseurs d'hébergement VPN (Vultr, Inferno, M247, Timeweb, etc.). Tous les sous-traitants fonctionnent dans le cadre d'accords contractuels de traitement des données (DPA). Pour les transferts hors EEE, nous appliquons des garanties appropriées (décisions d'adéquation, clauses contractuelles types ou mécanismes équivalents).

8. Transferts internationaux de données personnelles

Les informations que nous collectons, comme indiqué dans la présente politique de confidentialité, peuvent être stockées et traitées dans n'importe quel pays où nous disposons d'une infrastructure ou collaborons avec d'autres fournisseurs de services. Nous évaluons minutieusement tous les transferts de données internationaux et appliquons les

mesures pour protéger vos données personnelles conformément à la présente politique de confidentialité. Veuillez noter que nous utilisons des clauses contractuelles types approuvées par la Commission européenne (disponibles ici) pour transférer vos données personnelles de l'EEE vers d'autres pays.

9. Mesures de sécurité et contrôles opérationnels

Nous maintenons des garanties administratives, techniques et physiques proportionnelles à la sensibilité des données traitées :

• Cryptage TLS en transit pour les communications avec nos services.
• Chiffrement au repos lorsqu'il est pris en charge par les plates-formes des fournisseurs.
• Contrôles d'accès basés sur le moindre privilège, basés sur les rôles et MFA obligatoire pour le personnel.
• Journalisation des accès administratifs et privilégiés, avec révisions périodiques.
• Analyse régulière des vulnérabilités et tests d'intrusion programmés.

Nous faisons de notre mieux pour protéger vos informations et votre vie privée, mais nous ne pouvons garantir une sécurité à 100 % pour les données que vous divulguez sur Internet. En utilisant les Services, vous reconnaissez et acceptez expressément que nous ne pouvons garantir la sécurité des données que vous fournissez ou que nous recevons via les Services, et que toute information générale, autre information ou information obtenue de votre part via le site Web ou les services est fournie par vous à vos propres risques.

10. Analyse, apprentissage automatique et traitement automatisé

Nous utilisons des fournisseurs d'analyses et pouvons exécuter des analyses sur des données agrégées ou pseudonymisées pour améliorer le service. Toute utilisation de modèles d'apprentissage automatique impliquant des données personnelles sera minimisée, correctement documentée et soutenue par une base juridique appropriée. Nous ne prenons pas de décision automatisée ayant des effets juridiques ou d’importance similaire sans garanties explicites.

11. Communications marketing et notifications push

Avec le consentement de l'utilisateur, si nécessaire, nous pouvons envoyer des messages marketing par e-mail et par notifications push. Les utilisateurs peuvent se désabonner des e-mails marketing via des liens de désabonnement et désactiver les notifications push via les paramètres de l'appareil ou les contrôles de l'application. Les jetons push sont gérés via OneSignal.

12. Cookies et technologies de suivi

Notre site Web peut utiliser des cookies, des pixels, des balises Web et des technologies Web similaires pour améliorer, sécuriser, mesurer et améliorer le site Web et les services. Vous pourrez peut-être gérer ou désactiver les cookies via votre navigateur ou les contrôles décrits dans notre politique en matière de cookies ; cela pourrait limiter certaines fonctionnalités du site Web.

Les applications mobiles n'utilisent pas les cookies du navigateur de la même manière que les sites Web. Les applications mobiles peuvent utiliser des identifiants basés sur le SDK, tels que IDFA/GAID, des identifiants Firebase, des identifiants RevenueCat, des identifiants d'attribution, des jetons de notification push et des identifiants mobiles similaires, comme décrit dans la présente Politique et dans les paramètres applicables de l'application. La politique en matière de cookies s'applique principalement aux cookies de sites Web et aux technologies Web similaires.

13. Droits des personnes concernées et comment les exercer

Sous réserve de la loi applicable, vous pouvez disposer de droits d'accès, de rectification, d'effacement, de restriction du traitement, d'opposition au traitement, de demande de portabilité des données et de retrait de votre consentement. Pour exercer ces droits, contactez privacy@guruvpn.com ou support@guruvpn.com. Nous vérifierons votre identité et vous répondrons dans les délais légaux. Notez que certaines copies (par exemple, les sauvegardes, les fonds de fournisseurs tiers) peuvent persister pendant un certain temps après les demandes de suppression.

14. Résumé de la rétention - Choix opérationnels actuels

• Journaux de connexion (identifiants du serveur VPN + horodatages) :

• Lieu : DigitalOcean, Amsterdam (Pays-Bas).

  • Rétention : par défaut 30 jours ; jusqu'à 6 mois avec justification documentée (enquête sur incident, forces de l'ordre).
  • Base juridique : intérêts légitimes (sécurité) ou exécution d'un contrat.
  • Sauvegardes : suppression automatique ; anonymisation/pseudonymisation ; chiffrement au repos ; accès au moindre privilège ; accéder à la journalisation.

• Journaux DNS (domaines + horodatages + IP de l'utilisateur réel) :

• Localisation : Google BigQuery (États-Unis).

  • Rétention : par défaut 7 jours ; jusqu'à 30 jours si cela est nécessaire sur le plan opérationnel ; au-delà de 30 jours uniquement pour des raisons juridiques/d’enquête (jusqu’à 6 à 12 mois lorsque cela est justifié).
  • Base juridique : intérêts légitimes (prévention des abus) ou consentement.
  • Garanties : pseudonymisation/suppression de l'adresse IP lorsque cela est possible ; chiffrement en transit et au repos ; contrôles d’accès et audit stricts.

• Journaux de crash et de diagnostic (Firebase / Sentry) :

• Localisation : Firebase (Google) et Sentry (fournisseurs de cloud ; peuvent être situés dans diverses juridictions, y compris aux États-Unis).

  • Conservation : 90 jours par défaut ; jusqu’à 12 mois si cela est justifié pour un débogage à long terme.
  • Base juridique : exécution d'un contrat / intérêts légitimes (fiabilité du service).
  • Garanties : supprimer les identifiants personnels lorsque cela est possible ; minimisation des données ; cryptage ; accès basé sur les rôles.

• Métadonnées de facturation/paiement :

• Emplacement : Stripe, RevenueCat (prestataires de paiement, généralement internationaux/États-Unis) et métadonnées locales limitées.

  • Conservation : conformément à la législation fiscale/financière applicable (généralement 3 à 7 ans). Métadonnées auxiliaires locales supprimées lorsqu'elles ne sont plus nécessaires, sauf si la loi exige leur conservation.
  • Base juridique : obligations légales / exécution d'un contrat.
  • Sauvegardes : DPA avec les fournisseurs, chiffrement, accès basé sur les rôles, minimisation des données.

• Analyses et métriques agrégées :

• Localisation : Google BigQuery (États-Unis) et fournisseurs d'analyses.

  • Conservation : les données entièrement anonymisées/agrégées peuvent être conservées indéfiniment ; données analytiques personnelles/pseudonymisées : généralement 3 à 24 mois selon l'objectif.
  • Base juridique : intérêts légitimes ou consentement.
  • Sauvegardes : agrégation, anonymisation, calendriers de conservation, contrôle d'accès.

• Sauvegardes et exportations :

• Localisation : dans les infrastructures des fournisseurs (dont DigitalOcean et services cloud).

  • Rétention : politique de sauvegarde par fournisseur (30 à 90 jours recommandés). Les sauvegardes contenant des enregistrements principaux supprimés seront marquées pour suppression/rotation conformément à la politique de rétention. La rétention prolongée doit être documentée.
  • Base juridique : nécessité technique de valorisation.
  • Sauvegardes : sauvegardes cryptées, contrôles d'accès, marquage des enregistrements supprimés.

15. Confidentialité des enfants

Le Service n'est pas destiné aux enfants de moins de 18 ans. Nous ne collectons pas sciemment de données personnelles auprès de mineurs.

Nous n'offrons pas nos services aux personnes de moins de 18 ans et nous ne collectons pas intentionnellement leurs informations personnelles. Si vous avez moins de 18 ans, nous vous demandons de ne pas partager de données personnelles avec nous. Si nous découvrons que nous avons reçu des informations personnelles d'une personne de moins de 18 ans, nous les supprimerons rapidement. Si vous pensez que nous pouvons détenir de telles informations, veuillez nous contacter à @guruvpn.com pour les supprimer.

16. Modifications de cette politique

Nous pouvons mettre à jour cette politique de confidentialité ; les modifications importantes seront publiées avec une date d’entrée en vigueur mise à jour et, le cas échéant, notifiées aux utilisateurs.

17. Plaintes et autorités de contrôle

Si vous pensez que notre traitement viole la loi applicable sur la protection des données, contactez privacy@guruvpn.com. Vous pouvez également déposer une plainte auprès d’une autorité de contrôle compétente dans votre juridiction.

18. Documentation interne et auditabilité

Cette politique publique est soutenue par une politique interne de protection des données non publique qui contient : des inventaires de données détaillés, des flux de données, des justifications de conservation, des DPA de processeur, des workflows de suppression, des résumés DPIA, des modèles de demandes de suppression/SAR et des conseils opérationnels pour les équipes d'ingénierie et juridiques.

L'infrastructure et les pratiques en matière de données de Guru VPN sont examinées par le biais d'audits internes et, le cas échéant, d'évaluations tierces indépendantes. Ces évaluations permettent de vérifier que Guru VPN ne conserve pas le contenu du trafic, le contenu des communications, les historiques de navigation détaillés, les URL complètes, le contenu des pages, les journaux d'activité VPN liés à l'IP source ou les historiques DNS liés à l'utilisateur, et que tous les enregistrements opérationnels limités restent alignés avec cette politique, la politique de non-journalisation et le rapport de transparence et le mandat Canary.

19. Transparence et limites connues

Pratique actuelle et limitations connues : les journaux de connexion liés à l'utilisateur, les journaux techniques DNS, les journaux de pannes/diagnostics, les données analytiques, les sauvegardes, les exportations et les enregistrements détenus par le processeur sont soumis aux périodes de conservation et aux limitations décrites dans la présente Politique. Les enregistrements opérationnels principaux doivent être supprimés, anonymisés ou regroupés à l'expiration de la période de conservation applicable, mais les sauvegardes, les exportations, les ensembles de données BigQuery, les systèmes de facturation, les enregistrements de magasins d'applications, les systèmes de fournisseurs d'analyses/SDK et d'autres systèmes de traitement tiers peuvent conserver des copies jusqu'à ce que leurs propres workflows de conservation ou de suppression soient exécutés. Les utilisateurs souhaitant être supprimés des processeurs tiers doivent contacter privacy@guruvpn.com ; nous soumettrons des demandes de suppression lorsque les API/politiques du fournisseur le permettent et enregistrerons ces actions.

Comment nous contacter

Pour les demandes de confidentialité, les demandes de personnes concernées ou les plaintes, contactez : privacy@guruvpn.com ou support@guruvpn.com. Pour les demandes formelles d'ordre juridique ou d'application de la loi, veuillez utiliser : support@guruvpn.com ou privacy@guruvpn.com.

Dernière mise à jour : 01.07.2026