Le sens étroit
Le KYC est un processus de vérification d'identité. Dans ce contexte d'hébergement, no-KYC désigne un modèle de compte sans contrôle systématique de documents d'identité. Cela ne signifie pas qu'un service ne traite aucune information personnelle.
Les enregistrements dont un service peut avoir besoin
KoalaVPS ne conserve pas de journaux des activités réalisées sur les serveurs des clients. Les identifiants de compte, les enregistrements d'authentification, les commandes, les références de paiement et les messages de support peuvent néanmoins rester nécessaires pour fournir et sécuriser le compte. No-KYC et l'absence de journaux d'activité serveur décrivent des parties différentes de la politique de confidentialité ; ni l'un ni l'autre ne rend privées les transactions de blockchain publique.
Votre charge de travail reste sous votre responsabilité
Maintenez les logiciels à jour, protégez les utilisateurs de vos applications et adoptez des pratiques licites de traitement des données. L'inscription minimale d'un hébergeur ne modifie pas vos propres obligations envers les personnes dont votre application traite les données.
Posez des questions concrètes
Quelles données sont collectées à l'inscription ? Que contiennent les journaux du serveur ? Où sont les sauvegardes ? Quelle entreprise contracte avec vous ? Comment les demandes sont-elles traitées ? Des réponses claires rendent un choix de confidentialité pertinent.
Le pseudonymat ne signifie pas être inobservable
Une adresse e-mail stable ou une clé publique peut identifier un compte sans nom de passeport, tout en reliant l'activité dans le temps. L'adresse de votre serveur, le contenu publié et les références de paiement peuvent créer d'autres liens. Choisissez ce qu'il faut séparer selon un besoin réaliste, et non selon la promesse d'une invisibilité parfaite.
Intégrez la récupération à la conception de la confidentialité
Une inscription minimale peut rendre plus difficile la récupération d'un compte perdu. Conservez des codes de récupération privés et des méthodes d'accès vérifiées. Un service devrait éviter de collecter a posteriori un fichier d'identité inutile simplement parce que son processus de récupération n'a jamais été conçu.
Comparez les compromis avant de commander
Une inscription no-KYC peut réduire les données d'identité détenues par le fournisseur tout en laissant subsister d'autres compromis pratiques. La récupération d'un compte perdu peut dépendre d'un secret de récupération ou d'une adresse e-mail vérifiée plutôt que d'un contrôle de passeport. Les cryptomonnaies prépayées peuvent être soumises à des règles de conversion et de remboursement différentes de celles d'un paiement par carte. L'hébergement autogéré vous laisse également la maintenance logicielle et les sauvegardes. Comparez l'ensemble du service à vos exigences plutôt que de considérer une simple mention d'inscription comme une garantie de sécurité complète.
- Consultez la politique de confidentialité pour les catégories de données nommées, les finalités, la conservation, l'accès de l'assistance et les sous-traitants.
- Demandez comment un compte est récupéré si la boîte e-mail et l’accès au serveur sont tous deux perdus ; conservez les éléments de récupération convenus hors du serveur.
- Vérifiez les conditions d'annulation et de remboursement avant de payer une longue période de service.
- Considérez une page canari ou de transparence comme une déclaration datée du fournisseur. Elle ne certifie pas que l'infrastructure n'a jamais fait l'objet d'un accès.
Documentation officielle : EDPB : responsabilités du responsable du traitement et du sous-traitant
Séparez la confidentialité du compte de votre propre politique applicative
Si vous exploitez une application publique, expliquez les informations que votre application collecte, même lorsque le compte d'hébergement ne requiert qu'une inscription minimale. Un administrateur peut toujours conserver des adresses IP, des enregistrements d'e-mails, des événements d'authentification et des sauvegardes de base de données. Définissez une finalité de conservation pour chacun plutôt que d'hériter indéfiniment d'une politique de journalisation par défaut. Si un examen de confidentialité révèle trop de données, supprimez la collecte inutile au niveau de l'application et du proxy inverse, puis vérifiez également la conservation des sauvegardes.
- Gardez des alertes opérationnelles utiles sans journaliser les mots de passe, les jetons porteurs ni les corps de requête complets.
- Utilisez des utilisateurs applicatifs distincts et des identifiants de base de données à portée restreinte ; la minimisation des données côté fournisseur n'empêche pas la compromission d'une application.
- Examinez ensemble la politique et les paramètres techniques après avoir modifié la récupération de compte, la facturation ou les outils d'assistance.
Documentation officielle : EDPB : responsabilités du responsable du traitement et du sous-traitant