Des faits, jamais un contenu : qui, quand, depuis quel pays et quel appareil, quel type d'action sur quel numéro de document. Guardian ne lit ni vos documents, ni leurs titres, ni vos recherches.
- Il fonctionne à part de l'application, avec son propre accès à la base, limité aux événements de sécurité et à ce qu'il écrit : il ne peut ouvrir ni un document ni un compte.
- Chaque événement est scellé par une empreinte que Guardian garde de son côté et vérifie en continu : un événement modifié ou effacé après coup se voit.
- Les événements sont conservés 180 jours, les alertes un an. Un appareil n'est retenu que sous une forme abrégée (« Firefox · macOS ») et une empreinte courte, jamais la chaîne complète que le navigateur envoie.
- Pour une session, il ne retient que la famille du navigateur qui l'a ouverte (Firefox, Safari…) ; pour un import refusé, que le motif (type ou structure du fichier), jamais son nom.