Грызун
Плеймаркеты проверят разве что на отсутствие вирусов в приложении, а что сервер будет делать с вашим трафиком им в принципе недоступно. И ещё раз, как кто-то узнает, что утечка была здесь, а не в другом месте? Вы пользовались этим ВПН? Ага, давайте по IP определим, какой компании он принадлежит и напишем запрос в Канаду. А не пошлют ли нас куда? Ладно, прислали ответ, его арендовал кениец. Поедем в Кению или как? А тот скажет, что здесь не причём, какие доказательства то?
Какие-то наивные рассуждения, всех вычислю по IP и набью им морду.