Três categorias de registros
É útil distinguir três famílias. Os dados do aplicativo — versão instalada, sistema operacional, idioma e relatórios de falha ativados voluntariamente — são legítimos e não identificam uma atividade. Os registros de conexão armazenam o IP de origem, os horários, a duração, o servidor utilizado e o volume de dados trocados. Os registros de uso são os mais sensíveis: histórico, consultas DNS e destinos visitados. É a ausência de armazenamento destes últimos que precisa ser declarada e, idealmente, verificada.
Registros de conexão: o ponto decisivo
Uma VPN realmente sem registros não armazena nenhum dado de atividade: nem IP de origem, nem histórico de navegação, nem horário de sessão. Os registros de conexão ocupam uma posição intermediária: individualmente revelam menos que um histórico de navegação, mas, quando cruzados, podem permitir relacionar uma atividade a um usuário. Sua retenção, mesmo parcial, marca a diferença entre um serviço que não tem nada a transmitir e um serviço que possui informações utilizáveis.
Dados agregados ou identificadores
Nem toda medição é um cadastro de pessoas. Contar um volume de dados — por exemplo, para aplicar a franquia mensal de um plano grátis, zerada a cada mês, ou para detectar que um servidor está servindo de ponto de passagem de um ataque — pode continuar sendo uma medição agregada, e não um arquivo identificador. O essencial é o anonimato dessas informações: um dado agregado que não está ligado a nenhum indivíduo não tem o mesmo alcance que um registro nominal.
Vocabulário enganoso
É aí que se encontra a maioria das ambiguidades. Desconfie de formulações como “informações técnicas” ou “metadados anonimizados” quando não há um escopo preciso: esses termos podem abranger tanto dados realmente inofensivos quanto registros de conexão com nomes inadequados. Uma política séria lista o que não mantém, em vez de se esconder atrás de um vocabulário vago. A leitura crítica desses compromissos está detalhada na política de privacidade das VPNs.
Reduzir o que pode ser armazenado
Além das declarações, a arquitetura determina o que é tecnicamente possível armazenar. Infraestruturas que funcionam inteiramente em memória RAM apagam seus dados a cada reinicialização, tornando a recuperação impossível, mesmo em caso de apreensão. Uma política no-log plausível se reconhece por essa coerência entre o compromisso escrito, a arquitetura e a verificação por uma auditoria independente , não apenas pela presença da palavra “no-log”.
Recapitulação
“No-log” não significa nada enquanto não se especifica de quais registros se trata. Os dados do aplicativo são inofensivos, os registros de uso devem estar ausentes e os registros de conexão são o verdadeiro ponto decisivo. O restante é uma questão de vocabulário: um provedor sério responde com um escopo explícito, não com “metadados anonimizados” cujos limites não estão definidos.