NordVPN مقابل Windscribe

كان اختراق مركز بيانات Finland في 2018 عملية اختراق من طرف ثالث، وليس مصادرة من جهات إنفاذ القانون — وسُجّل ضمن P12_case_history على أنه kind=breach، لا P01_seizure_event. ويتفق سرد NordVPN نفسه (nordvpn.com/blog/official-response-datacenter-breach/) والتغطية المعاصرة من Bloomberg على أن الإفصاح جاء بعد ادعاءات على Twitter من باحثين خارجيين، لا بمبادرة NordVPN نفسها — ومن ثم third_party_disclosed بدلًا من self_disclosed_late.

تشترك NordVPN وSurfshark في مجموعة مالكة هي Nord Security، لكن إعلان الاندماج الصادر عن الشركتين نفسيهما ينص على بنية تحتية وخرائط طريق للمنتجات منفصلة؛ ولذلك ضُبط M18 على الفصل على هذا الأساس.

إشارة الكناري، والربع الذي حلّ محلها. أوقفت الصفحة نفسها إشارة أمر الإفصاح (P07=removed) لصالح تقارير شفافية ربع سنوية؛ ويُظهر أحدث ربع مكتمل (أبريل–يونيو ٢٠٢٦) ٨٥ استفسارًا حكوميًا و٠ إفصاح، ولذلك فإن P08/P09 يخصّان تلك الفترة، لا الرقم طوال الفترة.

الهند، ونظام الأوامر السرية. ‏P04=withdrew_physical هو خروج الهند في يونيو ٢٠٢٢. ويستند P11=none_known إلى بيان الصفحة بأن NordVPN لم تتلقَّ أي National Security letters أو أوامر عدم إفصاح ملزمة، وإلى عدم وجود نظام من هذا النوع في Panama.

مستوى ضمان لا يمكن لأحد التحقق منه. تصف NordVPN مهمة Deloitte Lithuania بأنها مهمة ضمان معقول بموجب ISAE 3000 (Revised)، وهو الشكل الأقوى؛ بينما ينص تقرير PIA، الذي يمكن قراءته، على استنتاج ضمان محدود.

لماذا لا تُحتسب الصيغة الأقوى. يسعّر النموذج الآن ذلك الفرق، ولا تستفيد منه هذه القائمة: V15_assurance_strength غير معروف لأن التصريح الوحيد عن المستوى صادر عن NordVPN نفسها، ويتعلق بتقرير لا يستطيع أي شخص خارج Nord Account فتحه. الوثيقة المحجوبة خلف تسجيل الدخول ليست دليلًا هنا على أي مستوى، ولذلك يُحتسب هذا الالتزام وفق معيار السوق لا وفق المستوى الذي يُقال إنه بلغه.

تقرير محجوب خلف تسجيل الدخول. لا يمكن قراءة التقرير نفسه إلا بعد تسجيل الدخول إلى Nord Account، ولذلك لم يتحقق أي شخص خارج تلك العلاقة من نطاقه، وتستند كل حقول التدقيق هنا إلى ملخص NordVPN نفسها له بدلًا من الوثيقة. وهذا، لا وجود نتيجة ضد الخدمة، هو سبب كون هذا السجل الأقل أدلة في القائمة.

حقول الجهة المالكة. M11_owner_jurisdiction وX04_owner_group_history غير معروفين: يذكر كل من nordvpn.com وnordsecurity.com أن Nord Security هي الجهة المالكة، لكن لا يذكر أيٌّ منهما الولاية القضائية الخاصة بتأسيس Nord Security نفسها أو أي سجل سابق للمجموعة؛ وتربط الصحافة الثانوية كيانًا قابضًا باسم 'Cyberspace' بهولندا منذ اندماج 2022، لكن لم يُؤكَّد ذلك مقابل صفحة أساسية لـNord Security أو NordVPN خلال الوقت المتاح.

ما تعذّرت قراءته بالكامل. لا يمكن قراءة النص الكامل لتقرير Deloitte لعام 2025 على الإطلاق (محجوب بتسجيل الدخول)، ولذلك لا يُسجَّل أي استنتاج بشأن الاحتفاظ بالبيانات يتجاوز مُعلَن السياسة نفسها في C01_linkable_retention.

جدول الخوادم الذي لم يُفتح. C09b_mandate_hosting غير معروف: يعرض جدول الخوادم المباشر لكل دولة حالة الخوادم الفعلية/الافتراضية لمنطقة الأمريكتين فقط في حالة لوحة الطي التي استطاع هذا التدقيق عرضها؛ أما أقسام أوروبا وآسيا والمحيط الهادئ وأفريقيا/الشرق الأوسط (التي تشمل عدة دول خاضعة للإلزام القانوني تخدمها الأسطول، مثل AE وIN وTR وVN وIQ وKZ وفقًا لـservers API) فتُحمَّل من جهة العميل عند النقر ولم تُوسَّع.

تُركت غير معروفة بدلًا من إعلانها. لم يُؤكَّد C04-C07 وU06 (دليل الرقابة) وU11 وV12-V14 وX06 وX07 وX10 وX11 بشكل مستقل مقابل وثيقة أساسية، وتُركت غير معروفة بدلًا من إعلانها استنادًا إلى تغطية ثانوية.

شُكٌّ واحد تُرك مفتوحًا ولم يُحتسب. يظل شك واحد مفتوحًا بشأن X12 من دون احتسابه: يعلن نموذج أمان البيانات في Play للتطبيق com.nordvpn.android أن Installed apps ضمن التحليلات على Android، بينما يذكر إشعار خصوصية NordVPN التطبيقات المثبتة في موضع واحد فقط — فحص الثغرات الخاص بمكافحة البرمجيات الخبيثة — ويحصر معالجة أسماء التطبيقات وإصداراتها في Windows.

لماذا لا يزال يظهر كتطابق. الفئة مُعلَن عنها وليست غائبة، ولا يصدر R28 حكمًا بسبب اختلاف نطاق المنصة، ولذلك تظهر القيمة matches_policy؛ لكن الغرض على Android ليس الغرض الذي يصفه الإشعار، ولا تستطيع إلا NordVPN تحديد أيّ العبارتين كُتبت على نحو خاطئ.

لماذا يُسعَّر الاحتفاظ بالبيانات بناءً على النتيجة. لذلك يُسعَّر الاحتفاظ بالبيانات بناءً على ما أثبت أحد المدققين إمكانية الوصول إليه، لا بناءً على ما تعلنه السياسة، وتحمل قناة السلامة الفجوة بين الأمرين. ويجب قراءة ذلك بوصفه نتيجة عمرها عامان على عقدة واحدة، لا قياسًا حاليًا: فقد اقتصر النطاق على ca-023.windscribe.com وحده، وسيكون الارتباط الأحدث الذي يغطي جزءًا أكبر من الأسطول هو ما يحسم الأمر.

القائمة التي لم تُقرأ قط. لم تُقرأ قائمة البلدان المعروضة قط، لذلك لا يمكن احتساب درجة بلد سهولة الاستخدام ولا تقاطع الإلزام — تنشر Windscribe تمييزًا بين المادي والافتراضي، ما يجعل الإجابة عن C09b ممكنة هنا بمجرد توفر القائمة. كما أن حجم المستخدمين غير مثبت، ما يترك نطاق التعرّض قائمًا على أقل مما ينبغي.

المصادر التي تشير إليها الأحداث الثلاثة الآن. لا تزال AIN.UA تحمل خبر الخوادم الأوكرانية التي صودرت في 24 يونيو 2021، وتحمل مدونة Windscribe الخاصة بها خبر القضية اليونانية التي رُفضت في 11 أبريل 2025. أما المصادرة الهولندية وحقل المصادرة نفسه، فيشيران الآن إلى صفحة Windscribe الخاصة بعدم الاحتفاظ بالسجلات بدلًا من الصحافة التي دفع لها برنامج الإحالة والتي أبلغت عنها أولًا: رواية الشركة لمصادرتها هي مصدر أولي، وليست رواية شخص آخر عن واحدة منها. ويؤرَّخ الحدث الأوكراني بتاريخ المصادرة نفسها، لا بتاريخ التقرير.