Los registros de conexión VPN se conservan durante 93 días: la política de registro de StageVPN se lee en texto completo

Base legal: ¿Qué ley me obliga a mantener registros de acceso?

La ley que exige el almacenamiento de registros de acceso es el artículo 15-2 de la Ley de Protección de Secretos de las Comunicaciones y el artículo 41 del Decreto de Aplicación de la misma ley. La ley establece la obligación de cooperación del operador de empresa de telecomunicaciones y delega el plazo de conservación, y el decreto de aplicación fija el plazo mínimo de conservación para cada tipo de dato. Enbase Korea Co., Ltd., que opera StageVPN, está sujeta a esta obligación como operador de telecomunicaciones en Corea.

"① Los operadores de empresas de telecomunicaciones cooperarán con las solicitudes de los fiscales, agentes de la policía judicial o jefes de agencias de inteligencia y de investigación para proporcionar medidas de restricción de las comunicaciones y datos de confirmación de las comunicaciones implementadas de conformidad con esta Ley. ② Los asuntos en los que cooperarán los operadores de empresas de telecomunicaciones para la ejecución de medidas de restricción de las comunicaciones de conformidad con las disposiciones del párrafo (1), el período de almacenamiento de los datos de confirmación de las comunicaciones y otros asuntos necesarios relacionados con la cooperación de los operadores de empresas de telecomunicaciones se determinarán mediante Decreto Presidencial".

Artículo 15-2 de la Ley de Protección de Secretos de las Comunicaciones (Obligación de Cooperación de los Operadores Empresariales de Telecomunicaciones), Ley N° 20735, vigente a partir del 1 de agosto de 2025 — Centro de información de derecho nacional

El artículo 15-2 establece dos cosas. En primer lugar, los operadores de empresas de telecomunicaciones deben cooperar con las solicitudes para proporcionar datos de confirmación de la comunicación de conformidad con la ley. En segundo lugar, el tiempo que debe conservarse depende del Decreto Presidencial (Decreto de Aplicación). La ordenanza de aplicación es el artículo 41 siguiente.

"② El período de conservación de los datos de confirmación de comunicación de un operador de empresa de telecomunicaciones de conformidad con el artículo 15-2, párrafo 2 de la Ley será mayor que el período de acuerdo con las siguientes clasificaciones: 1. Datos de confirmación de comunicación de conformidad con los subpárrafos a ad y f del artículo 2, párrafo 11 de la Ley: 12 meses. Sin embargo, en el caso de datos relacionados con el servicio telefónico local y de larga distancia, será de 6 meses. 2. De conformidad con el artículo 2, apartado 11, e y g de la Ley. Datos de confirmación de la comunicación: 3 meses”.

Artículo 41 (Obligación de cooperación de los operadores de empresas de telecomunicaciones, etc.) Párrafo 2 del Decreto de Aplicación de la Ley de Protección de Secretos de las Comunicaciones, Decreto Presidencial N° 35674, vigente a partir del 1 de agosto de 2025 - Centro de información de derecho nacional

Lo que son “elementos e y pastorales” en el artículo 41, párrafo 2, se establece en el artículo 2, punto 11 de la Ley. Los datos de confirmación de la comunicación se refieren a datos sobre los hechos de la comunicación, como "cuándo, quién y dónde se realizó la comunicación", en lugar del contenido de la comunicación.

"11. 'Datos de confirmación de hechos de comunicación' se refiere a datos sobre hechos de telecomunicaciones que se incluyen en cualquiera de los siguientes elementos: (...) E. Datos de registros de comunicaciones por computadora o de Internet relacionados con el hecho de que una comunicación por computadora o un usuario de Internet utilizó servicios de telecomunicaciones (...) F. Datos de seguimiento de acceso que pueden confirmar la ubicación del dispositivo de información y comunicación utilizado por una comunicación por computadora o un usuario de Internet para acceder a la red de información y comunicación"

Ley de Protección de Secretos de las Comunicaciones Artículo 2 (Definiciones) N° 11 E y A — Centro de información de derecho nacional

Los registros dejados en el servidor VPN que muestran "qué cuenta se conectó y con dónde se comunicó y cuándo" corresponden a los registros de registro de Internet de Mamok, y los registros que dejan "desde qué IP se accedió" corresponden a los datos de seguimiento de acceso de Samok. Por lo tanto, el período mínimo legal de conservación de los registros de acceso de StageVPN es de 3 meses.

La razón por la que StageVPN eligió 93 días es porque el texto legal es "no menos de tres meses". Los tres meses calendario varían de 89 a 92 días dependiendo de la combinación de tres meses consecutivos, con un máximo de 92 días, como por ejemplo del 1 de julio al 30 de septiembre. Los registros creados en cualquier mes se fijan en 93 días para cumplir con el período legal, y no se conservan arbitrariamente por más tiempo. El contenido legal de este artículo se basa en la ordenanza de aplicación de la Ley de Protección de Secretos de Comunicaciones (en vigor desde el 1 de agosto de 2025) publicada en el Centro de Información sobre Legislación Nacional en septiembre de 2026.

Qué conservar: ¿qué se queda y qué no?

Lo que queda es la hora de conexión y la información de la dirección, y lo que no queda es el contenido de la comunicación. La aplicación StageVPN y StageVPN para Chrome funcionan de manera diferente y tienen elementos ligeramente diferentes. En ambos métodos, el servidor recopila registros cada minuto y los envía a la base de datos de StageVPN mediante comunicación cifrada (HTTPS). Las dos tablas siguientes son Acceder al aviso de almacenamiento de registros Los artículos 2 y 3 están traducidos palabra por palabra.

El dominio de destino (nombre de host) no está incluido en el historial de la aplicación. Las búsquedas de DNS también se procesan dentro del túnel VPN, pero no hay ningún registro de qué dominios se buscaron. El problema con la fuga de DNS fuera del túnel es Fuga de DNS y fuga de WebRTCEsto se explicó por separado.

StageVPN para Chrome envía la comunicación del navegador a un proxy HTTPS, por lo que registra el nombre del host de destino requerido para la conexión (por ejemplo, www.example.com), pero no registra rutas de página, términos de búsqueda, cadenas de consulta ni contenido de la página. Tampoco descifra contenido cifrado en sitios HTTPS. La diferencia en el alcance de la protección entre los dos métodos es VPN de navegador versus VPN de aplicaciónConsulte .

No almacenamos la siguiente información de ninguna manera (Artículo 4 del Aviso de retención de registros de acceso):

• Contenidos de la comunicación intercambiada: contenidos de la página web, correo electrónico/texto del mensaje, audio/vídeo, archivos.
• Ruta URL, término de búsqueda, cadena de consulta, valor de formulario ingresado y valor de cookie
• Lista de nombres de dominio (búsquedas de DNS) y dominios visitados buscados en la aplicación StageVPN
• Contenido descifrado de comunicaciones HTTPS (no intercepta ni descifra comunicaciones cifradas)
• Información de ubicación precisa, como el GPS de su dispositivo

Además de los registros de acceso, existen otros registros para evitar el uso fraudulento y garantizar la seguridad. Los registros de emisión y liberación de claves VPN se eliminan automáticamente después de 90 días, los registros de auditoría de cambios de configuración del servicio se eliminan automáticamente después de 180 días y los registros de solicitud de API (registros del servidor) se eliminan automáticamente después de 30 días. El período para cada artículo es política de privacidad Está todo escrito en el artículo 3.

Vida de los datos: ¿Cómo se crean los registros y cuándo se eliminan?

Los registros de acceso se crean en el servidor en el momento de la conexión y se transfieren a la base de datos cada minuto, y se eliminan mediante la función de caducidad automática de la base de datos 93 días después de la fecha de creación. En lugar de que un humano determine el cronograma de eliminación, cada registro se borra automáticamente en un tiempo de vencimiento establecido, por lo que StageVPN no puede conservarlo por más tiempo arbitrariamente.

La excepción es el historial de sesiones de la aplicación. Los registros de sesión se conservan hasta que se retira la membresía, ya que son el historial de uso necesario para la prestación del servicio. Sin embargo, las partes necesarias para la comparación con los registros de acceso permanecen incluso después del retiro hasta que hayan transcurrido 93 días desde la fecha de creación. Incluso si un miembro se da de baja, los registros de acceso ya creados se eliminarán después de 93 días debido a obligaciones legales de almacenamiento, y se separarán de otra información y se almacenarán únicamente para los fines estipulados por la ley.

Derechos del usuario: ¿Puedo ver o eliminar mis registros?

Puede solicitar la visualización, pero no se solicitará la eliminación durante el período de almacenamiento. Después de verificar su identidad, los miembros pueden solicitar ver si se conservan sus registros de acceso y ver su contenido. Sin embargo, la visualización puede estar restringida de conformidad con el artículo 35, párrafo 4 de la Ley de Protección de Información Personal y, en este caso, StageVPN le notificará el motivo.

Los registros de acceso durante el período de retención no se pueden eliminar antes del final del período, incluso si se solicita la eliminación debido a obligaciones legales de almacenamiento, y se eliminan automáticamente después de 93 días. Las consultas y solicitudes se pueden enviar al Gerente de Protección de Información Personal (privacy@stagevpn.com) o al Centro de Atención al Cliente (support@stagevpn.com). Si no está satisfecho con el manejo de StageVPN, puede solicitar una consulta o mediación de disputas al Comité de Mediación de Disputas de Información Personal (1833-6972, sin código de área) o al Centro de Informes de Infracción de Información Personal de la Agencia de Seguridad e Internet de Corea (118, sin código de área). La diferencia entre retiro de membresía y cancelación de suscripción Información del plan StageVPNEsto se explica en .

Procedimiento de provisión: ¿Quién puede recibir registros de acceso y mediante qué procedimientos?

Los registros de acceso se proporcionarán únicamente previa solicitud por escrito que cumpla con los requisitos y procedimientos establecidos por la ley, incluido el permiso judicial, y en la medida mínima necesaria dentro del alcance de la solicitud. No se proporciona automáticamente cuando se solicita, y StageVPN solicitará complementos o se negará a proporcionar cualquier solicitud que sea insuficiente o demasiado amplia. El procedimiento de solicitud de una investigación penal está determinado por el artículo 13 de la Ley de Protección de los Secretos de las Comunicaciones.

"③ Al solicitar el suministro de datos de confirmación de la comunicación de conformidad con los párrafos 1 y 2, se debe obtener el permiso del tribunal de distrito competente (incluidos los tribunales militares; en lo sucesivo se aplicará lo mismo) o un respaldo por escrito que registre el motivo de la solicitud, la relación con el abonado en cuestión y el alcance de los datos necesarios. Sin embargo, si hay razones urgentes por las cuales no se puede obtener el permiso del tribunal de distrito competente o el apoyo, la solicitud de suministro de datos de confirmación de la comunicación debe recibirse sin demora y enviarse al operador de la empresa de telecomunicaciones. ④ Párrafo 3 Si los datos de confirmación de la comunicación se han proporcionado por razones urgentes de acuerdo con la condición, pero no se ha obtenido el permiso del tribunal o del soporte local, los datos de confirmación de la comunicación proporcionados deben destruirse sin demora".

Ley de Protección de Secretos de las Comunicaciones Artículo 13 (Procedimientos para proporcionar datos de confirmación de comunicaciones para una investigación criminal) Párrafos 3 y 4 — Centro de información de derecho nacional

El párrafo 1 del artículo 13 especifica que la persona que puede presentar la solicitud es un fiscal o un agente de la policía judicial, y el párrafo 3 estipula que la autorización del tribunal debe obtenerse por escrito indicando el motivo de la solicitud, su importancia para el suscriptor y el alcance de los datos. En caso de emergencia, deberá solicitar primero y obtener permiso sin demora. Si no se obtiene el permiso, los materiales recibidos deberán ser destruidos. La obligación de inscribir después de la provisión está prevista en el apartado 7 del mismo artículo.

"⑦ Cuando un operador de empresas de telecomunicaciones proporciona datos de verificación de comunicaciones a un fiscal, oficial de policía judicial o jefe de una agencia de inteligencia e investigación, deberá informar el estado del suministro de datos al Ministro de Ciencia, TIC y Planificación Futura dos veces al año, y llevará un libro de contabilidad que contenga los asuntos necesarios, como el suministro de datos de verificación de comunicaciones, y datos relacionados, como una solicitud de suministro de datos de verificación de comunicaciones, durante 7 años a partir de la fecha de suministro de los datos de verificación de comunicaciones".

Artículo 13, párrafo 7 de la Ley de protección de los secretos de las comunicaciones. Centro de información de derecho nacional

El organismo de investigación que recibió los datos deberá notificarlo al interesado. El plazo de notificación está determinado por el artículo 13-3 para cada resultado de la tramitación del asunto.

“① Un fiscal o un oficial de policía judicial, en relación con un caso para el cual se han proporcionado datos de verificación de comunicación de conformidad con el artículo 13, notificará por escrito a la parte sujeta a la provisión de datos de verificación de comunicación el hecho de que se han proporcionado datos de verificación de comunicación, la agencia que solicita la provisión, el período, etc. dentro del período especificado en las siguientes categorías: 1. Una disposición de no presentar una acusación pública, presentar un proceso o transferir a la fiscalía (suspensión del proceso, suspensión de testigos o suspensión de la investigación) (excluidas las decisiones) o en el caso de una disposición de no registrar un caso: dentro de los 30 días siguientes a la fecha de dicha disposición (...) 3. Si hay una investigación en curso: dentro de los 30 días a partir de la fecha de recepción de los datos de confirmación de la comunicación (3 años en el caso de un delito comprendido en cualquier subpárrafo del artículo 6, párrafo 8).

Ley de Protección de Secretos de Comunicaciones Artículo 13-3 (Aviso de suministro de datos de confirmación de comunicación para investigación criminal) Párrafo 1 - Centro de información de derecho nacional

El párrafo 2 del mismo artículo estipula que la notificación podrá posponerse si existe riesgo para la seguridad nacional, amenazas a la vida o el cuerpo de las personas involucradas en el caso, riesgo de destrucción de pruebas o fuga, o violación del honor o la privacidad, y el párrafo 4 estipula que la notificación debe realizarse dentro de los 30 días siguientes a la fecha de resolución de la causa. Las solicitudes de seguridad nacional siguen procedimientos separados establecidos en el artículo 13-4 de la misma Ley. Al traducir estas disposiciones al orden de procesamiento real de StageVPN, queda como sigue:

También hay registros de acceso y otro tipo de solicitudes. El artículo 83 de la Ley de Empresas de Telecomunicaciones estipula las solicitudes de suministro de información del suscriptor, como el nombre del usuario, su identificación y la fecha de suscripción, y con la revisión de diciembre de 2023, el nombre se cambió de "datos de comunicación" a "información del usuario de comunicación".

“③ Un operador de empresa de telecomunicaciones puede cumplir con una solicitud de un tribunal, fiscal o jefe de una oficina de investigación (…), o jefe de una agencia de inteligencia e investigación para ver o enviar (en lo sucesivo, “suministro de información del usuario de la comunicación”) los siguientes datos (en lo sucesivo, “información del usuario de la comunicación”) para fines de juicio, investigación (…), ejecución de sentencia o recopilación de información para evitar daños a la seguridad nacional: 1. Nombre del usuario 2. Registro de residente del usuario número 3. Dirección del usuario 4. Número de teléfono del usuario 5. ID del usuario (…) 6. Fecha de suscripción o fecha de terminación del usuario ④ Las solicitudes de suministro de información del usuario de comunicación de conformidad con el párrafo 3 deben realizarse por escrito (en lo sucesivo, “solicitud de suministro de información”) indicando el motivo de la solicitud, la relación con el usuario relevante y el alcance de la información requerida del usuario de comunicación”.

Artículo 83 (Protección de los Secretos de las Comunicaciones) Párrafos 3 y 4 de la Ley de Empresas de Telecomunicaciones, texto revisado el 29 de diciembre de 2023 — Centro de información de derecho nacional

La redacción del párrafo 3 del artículo 83 es ​​“podrá seguir”. En otras palabras, el suministro de información del usuario de la comunicación es un área en la que interviene el criterio del operador comercial, a diferencia de los datos de confirmación de la comunicación que requieren permiso judicial, y StageVPN revisa la legalidad y necesidad de la solicitud y responde solo en la medida mínima necesaria. La organización que recibió los datos debe notificar a la parte dentro de los 30 días de conformidad con el artículo 83-2 de la misma ley, y StageVPN no recopila números de registro de residentes, por lo que el dato No. 2 no existe desde el principio.

Ni siquiera los administradores de VPN corporativas pueden ver estos registros de acceso legales. Lo que se proporciona al administrador es el tiempo de sesión de calificación de la empresa, el tiempo de uso, la cantidad de datos, el nombre/país del servidor e incluso la IP dedicada utilizada. Guía de introducción a VPN de IP fija empresarialEstaba cubierto de.

Cómo leer anuncios sin registros

Primero debes comprobar qué significa la frase “no dejar registros” para no dejar atrás. Esto se debe a que el significado varía mucho dependiendo de si significa no dejar ningún contenido de comunicación o no dejar ningún metadato como la hora y la dirección de conexión. Los operadores de VPN están técnicamente en condiciones de ver múltiples capas de información, y qué capas deben dejar atrás dependen de las leyes del país que sigue el operador.

Al comparar las políticas de registro de los servicios VPN, verifique si los siguientes elementos figuran en su documentación: Ninguna de las preguntas se puede responder con una palabra: "sin registros".

• ¿Existe una lista de qué elementos conservar y cuáles no? ¿Dice hora, IP, destino, DNS y contenido por separado, en lugar de una sola línea que diga "sin registros"?
• ¿El período de retención y el método de eliminación están escritos en números? Si solo hay una expresión abierta como “mientras sea necesario”, no se establece el período de tiempo.
• ¿Revela en qué país se encuentra el operador y a qué leyes se aplica? Dado que los operadores de telecomunicaciones coreanos están obligados a mantener registros de conexiones, debe sospechar de los anuncios de "no registro" de los operadores coreanos.
• ¿Revela qué procedimientos se utilizan para responder a las solicitudes de las agencias de investigación? ¿Se indican los criterios para solicitar permiso judicial, revisión del alcance y denegación?
• ¿Especifica que los registros no se utilizarán con fines publicitarios, de análisis de comportamiento o de ventas?
• ¿Existe una ventana para que los usuarios puedan ver o consultar sobre sus registros?

Por el contrario, decir que se mantienen registros de acceso no significa que también se examine el contenido de las comunicaciones. La razón por la que StageVPN divulga todos los elementos, períodos y procedimientos de entrega es porque creemos que el punto de partida de confianza es que los usuarios sepan exactamente lo que pueden y no pueden esperar. La política publicada se convierte en el estándar que el operador debe cumplir y los usuarios pueden hacer preguntas basadas en ese estándar. El alcance y las limitaciones de una VPN son Lo que las VPN previenen y no pueden prevenir, la estructura general de la seguridad del servicio es Información de seguridadLo organicé en .