Confidentialité et sécurité totales, garanties par le droit européen

XS News est synonyme de confidentialité et de sécurité totales. Ce sont deux choses différentes, et les deux comptent : la confidentialité relève du droit et de ce qu’une entreprise choisit de stocker, tandis que la sécurité concerne la façon dont ta connexion est protégée tant qu’elle est ouverte. Cette page aborde les deux, en détail.

Nous pouvons être précis plutôt que simplement rassurants, car la confidentialité se résume à trois faits vérifiables : où une entreprise est immatriculée, où se trouvent ses serveurs et quelle loi permet de les atteindre. Ce sont eux qui déterminent ce qu’il est réellement possible de faire de tes données, quoi que promettent les CGV. Toutes les autres phrases sur la confidentialité qu’on lit sur Internet, les nôtres comprises, reposent sur ces trois faits.

Pourquoi la juridiction décide de tout le reste

La protection des données n’est pas d’abord une affaire technique. Le chiffrement protège les données pendant leur transit ; c’est la loi qui décide de ce qu’il en advient une fois arrivées, et des règles que doit respecter l’entreprise qui les détient.

Voilà pourquoi la première question à poser à un fournisseur n’est pas « Les connexions sont-elles chiffrées ? » (presque tout le monde le fait), mais « Le droit de quel pays s’applique ? » Une entreprise ne peut protéger tes données que dans la limite de ce que permet son propre cadre juridique. Au-delà, les bonnes intentions ne comptent plus.

XS News est immatriculée aux Pays-Bas, et les serveurs auxquels tu te connectes depuis l’Europe se trouvent dans la région d’Amsterdam. Ton cocontractant, et le seul à qui une demande pourrait être adressée, est une entreprise néerlandaise. Il n’y a pas de maison mère dans un autre pays. Être européen a aussi des conséquences pratiques, au-delà du juridique : latence, prix en euros, horaires du support. Ce qu’un fournisseur européen change concrètement →

Le CLOUD Act américain ne s’applique pas à nous

Le CLOUD Act est une loi américaine de 2018. Elle permet aux autorités des États-Unis de contraindre un fournisseur de services américain à leur remettre des données clients. Et, point essentiel, elle s’applique quel que soit le pays où les données sont physiquement stockées.

C’est ce détail qui trompe beaucoup de monde. Un fournisseur basé aux États-Unis peut louer un centre de données à Francfort ou à Amsterdam, afficher « serveurs européens » en toute honnêteté, et rester soumis à cette loi. Les serveurs sont en Europe ; l’entreprise, non. Aucune clause de ses conditions d’utilisation ne peut passer outre une obligation que lui impose son propre gouvernement.

À elle seule, la mention « serveurs dans l’UE » ne dit donc pas grand-chose. Ce qui compte, c’est le pays où l’entreprise elle-même est immatriculée, et la nôtre l’est aux Pays-Bas. Notre structure ne comporte aucune entité américaine sur laquelle le CLOUD Act pourrait avoir prise : pas de maison mère américaine, pas de filiale aux États-Unis, et pas d’opérateur américain qui gère notre infrastructure pour notre compte.

Ce n’est pas une politique que nous pourrions discrètement modifier plus tard. Cela découle de la structure même de l’entreprise.

Ce que le RGPD t’apporte vraiment

On cite tellement le RGPD qu’il a fini par ressembler à une simple formalité. Ce n’en est pas une. Il te donne des droits concrets et opposables sur les données qu’une entreprise détient à ton sujet :

• Accès — tu peux demander quelles données nous détenons sur toi, et nous sommes tenus de te répondre.
• Rectification — toute donnée erronée est corrigée.
• Effacement — tu peux faire supprimer tes données, sauf lorsque la loi nous oblige à les conserver (les factures, pendant la durée prévue par le droit fiscal néerlandais).
• Portabilité — tu peux obtenir tes données dans un format que tu peux réutiliser ailleurs.
• Opposition — tu peux t’opposer à un traitement que tu n’as pas demandé.

Derrière ces droits se trouve aussi un principe qui compte plus que chacun d’eux pris isolément : la minimisation des données. Le RGPD ne nous autorise à collecter que ce dont nous avons réellement besoin pour fournir le service. Pas ce qui pourrait être intéressant, pas ce qui pourrait être monétisé plus tard : uniquement le nécessaire. Ce qui nous amène à la section la plus importante de cette page.

Ce que nous stockons, et ce que nous choisissons de ne pas stocker

La meilleure garantie de confidentialité n’est pas une promesse de protéger les données. C’est de ne pas les avoir du tout. Ce qui n’a jamais été enregistré ne peut ni fuiter lors d’une faille, ni être réclamé plus tard, ni être vendu à un annonceur, ni être égaré par un employé.

Remarque l’asymétrie. La colonne de gauche est courte, parce qu’elle doit l’être. C’est dans la colonne de droite qu’on voit si une politique de confidentialité est sérieuse ou purement décorative.

Où se trouvent réellement tes données

Autant être concret sur ce point, car « européen », c’est facile à dire comme à nuancer. Les données de ton compte (adresse e-mail, abonnement, historique de paiement) sont conservées par XS News sur des serveurs européens. Pas par un partenaire, ni par un sous-traitant sur un autre continent.

Nous exploitons aussi des serveurs aux États-Unis, et autant dire clairement à quoi ils servent : la vitesse, rien d’autre. Ils permettent aux clients d’Amérique du Nord d’accéder aux articles par un chemin court, au lieu de traverser l’Atlantique à chaque requête. Aucune donnée client n’y est stockée. Un article Usenet est une donnée publique que tout le monde peut récupérer ; ton compte, non, et il reste en Europe.

Qui voit quoi

Mieux vaut préciser qui apprend quoi, plutôt que d’invoquer vaguement la « confidentialité » en général :

Chiffrement : SSL/TLS 256 bits, activé par défaut

Tout ce qui précède concerne le volet confidentialité : quel droit s’applique, et ce que nous refusons de stocker. La suite de cette page porte sur le volet sécurité : ce qui protège la connexion elle-même, chaque fois qu’elle s’ouvre.

Chaque connexion entre ton newsreader et nos serveurs est protégée par un chiffrement SSL/TLS 256 bits sur le port 563, le port NNTP sécurisé standard. (Tu verras les deux noms employés pour désigner la même chose : TLS est le successeur moderne de SSL, et la plupart des newsreaders affichent encore l’option sous le nom « SSL ».) Ce n’est ni une fonction premium, ni une option payante, ni une case à dénicher dans un panneau de réglages : c’est la configuration d’origine du service.

Concrètement, voici ce que ça t’apporte :

• Ton fournisseur d’accès ne peut pas lire ton trafic. Il voit des octets chiffrés partir vers une adresse néerlandaise, mais rien de leur contenu.
• Personne d’autre sur le trajet non plus — ni sur un Wi-Fi public, ni à l’hôtel, ni sur une ligne partagée.
• La connexion est authentifiée : ton newsreader peut vérifier qu’il communique bien avec notre serveur, et non avec un imposteur.

Nos tutoriels pour newsreaders utilisent systématiquement les paramètres chiffrés : quel que soit celui que tu suis, tu te retrouves avec le SSL/TLS activé sans même y penser.

Authentification sécurisée et hygiène du compte

Ton compte possède son propre nom d’utilisateur et son propre mot de passe, qui servent à authentifier chaque connexion, sans exception. Deux conséquences concrètes :

• Tu peux changer ton mot de passe toi-même, à tout moment, depuis l’espace membre. Si un appareil disparaît ou si tu as partagé tes identifiants avec quelqu’un en qui tu n’as plus confiance, inutile de contacter qui que ce soit — change-le, et toutes les connexions qui utilisent l’ancien cessent de fonctionner.
• La connexion à ton compte se fait avec un code à usage unique envoyé par e-mail, donc pour accéder à ton espace membre, il faut avoir accès à ta boîte mail : deviner un mot de passe ne suffit pas.

Pas d’appli, donc pas de télémétrie

Ce point passe facilement inaperçu, car il s’agit d’une absence. Usenet fonctionne via un protocole standard, à travers un newsreader que tu choisis toi-même. Il n’y a aucune application XS News sur ton ordinateur ou ton téléphone.

Autrement dit, aucun logiciel de chez nous ne tourne sur ton appareil, susceptible de collecter des statistiques d’utilisation, des rapports de plantage, des identifiants d’appareil, des identifiants publicitaires ou une liste de contacts. Nous ne pourrions pas établir de profil comportemental à partir de ton appareil même si nous le voulions, puisque rien de chez nous n’y est installé. Juste un serveur, un port et tes identifiants.

Teste d’abord, décide ensuite

Sur tout cela, tu n’as pas à croire un site web sur parole. Notre politique de confidentialité est la version officielle de cette page, et nos CGV précisent le reste.

Quand tu voudras tester le service lui-même, choisis une offre résiliable en quelques clics. Tout ce qui figure sur cette page s’applique à toutes les offres que nous proposons, mensuelles ou annuelles — la confidentialité n’est pas une option en supplément.