NordVPN vs Private Internet Access

Canary a čtvrtletí, které ho nahradilo. Tatáž stránka ukončila warrant canary (P07=removed) ve prospěch čtvrtletních zpráv o transparentnosti; poslední úplné čtvrtletí (duben–červen 2026) uvádí 85 vládních žádostí a 0 zveřejnění, takže P08/P09 se týkají tohoto období, nikoli údaje za celou dobu.

Indie a režim tajných příkazů. P04=withdrew_physical je odchod z Indie v červnu 2022. P11=none_known vychází z tvrzení na stránce, že NordVPN neobdržel žádné závazné National Security letters ani příkazy s mlčenlivostí, a z neexistence takového režimu v Panamě.

Úroveň ujištění, kterou nikdo nemůže ověřit. NordVPN popisuje angažmá Deloitte Lithuania jako angažmá s přiměřeným ujištěním podle ISAE 3000 (Revised), což by byla silnější forma; zpráva PIA, kterou lze číst, uvádí závěr s omezeným ujištěním.

Proč se silnější forma nezapočítává. Model nyní tento rozdíl oceňuje a tento záznam z něj nemá prospěch: V15_assurance_strength je neznámo, protože jediným tvrzením o úrovni je vlastní tvrzení NordVPN o zprávě, kterou nikdo mimo Nord Account nemůže otevřít. Dokument za přihlášením zde není důkazem na žádné úrovni, takže se audit započítává podle tržní normy, nikoli podle úrovně, které měl údajně dosáhnout.

Zpráva za přihlášením. Samotná zpráva je čitelná až po přihlášení k Nord Account, takže nikdo mimo tento vztah neověřil její rozsah a každé auditní pole zde vychází z vlastního shrnutí NordVPN, nikoli z dokumentu. To, a nikoli zjištění proti službě, je důvodem, proč je tento záznam v katalogu nejméně podložený.

Pole vlastníka. M11_owner_jurisdiction a X04_owner_group_history jsou neznámo: nordvpn.com a nordsecurity.com uvádějí jako vlastníka Nord Security, ale ani jeden z těchto webů neuvádí vlastní jurisdikci registrace Nord Security ani předchozí historii skupiny; sekundární tisk spojuje holdingovou entitu „Cyberspace“ s Nizozemskem na základě fúze z roku 2022, ale v dostupném čase to nebylo potvrzeno na primární stránce Nord Security ani NordVPN.

Co vůbec nešlo přečíst. Úplný text zprávy Deloitte z roku 2025 nelze vůbec přečíst (je přístupná jen po přihlášení), takže kromě vlastního tvrzení zásad v C01_linkable_retention není zaznamenáno žádné zjištění o uchovávání.

Tabulka serverů, která se neotevřela. C09b_mandate_hosting je neznámo: živá tabulka serverů podle zemí zobrazuje stav fyzický/virtuální pouze pro region Ameriky ve stavu akordeonu, který tento audit dokázal vykreslit; sekce Evropa, Asie a Tichomoří a Afrika / Blízký východ (které zahrnují několik zemí s mandátem, v nichž flotila poskytuje služby, např. AE, IN, TR, VN, IQ, KZ podle API serverů) se načítají na straně klienta po kliknutí a nebyly rozbaleny.

Ponecháno jako neznámo, nikoli deklarováno. C04-C07, U06 (důkaz cenzury), U11, V12-V14, X06, X07, X10 a X11 nebyly nezávisle potvrzeny proti primárnímu dokumentu a jsou ponechány jako neznámo, nikoli deklarovány na základě sekundárního zpravodajství.

Jedna pochybnost zůstává otevřená a není započtena. U X12 zůstává jedna pochybnost otevřená, aniž by byla započtena: formulář bezpečnosti dat v Play pro com.nordvpn.android deklaruje Installed apps v rámci analytics na Androidu, zatímco oznámení o ochraně soukromí NordVPN zmiňuje nainstalované aplikace pouze na jednom místě — při skenování zranitelností proti malwaru — a rozsah zpracování názvů a verzí aplikací omezuje na Windows.

Proč je výsledek stále shoda. Kategorie je uvedena, nikoli chybějící, a R28 nečiní z rozdílu v rozsahu platformy žádné zjištění, takže hodnota je matches_policy; účel na Androidu však není účelem popsaným v oznámení a pouze NordVPN může říci, který z těchto dvou údajů je napsán nesprávně.

Co nebylo zkoumáno. Zpráva pokrývá pouze infrastrukturu. C07a_app_sdk a C12_device_identifier jsou fakta na straně aplikace, která nikdy nezkoumala; nyní odkazují na zásady ochrany soukromí, jež popisují analytiku návštěvníků webu a diagnostické zprávy odesílané na základě souhlasu, které obsahují platformu a verzi aplikace. Číst kterékoli z nich jako tvrzení o SDK zkompilovaných do aplikace je nejslabším článkem tohoto záznamu a právě open-source klienti jsou místem, kde by se to skutečně rozhodlo.

Předvolání z roku 2016 stojí na vlastním tvrzení PIA, nikoli na soudním spise. Jediný podrobný popis případu McWaters (S.D. Fla., 9:16-cr-80043) je na partnerském webu, který tento záznam nemůže citovat; docket CourtListener pro tento případ neuvádí žádné předvolání, žádného poskytovatele ani výsledek. P03_court_record a P12_case_history nyní stojí na vlastním prohlášení PIA ve zprávě o transparentnosti, že v letech 2016–2017 obdržela předvolání a neposkytla nic — vlastní deklarace úrovně B, nikoli ověřený soudní záznam.

Průnik do datacentra ve Finsku z roku 2018 byl průnikem třetí strany, nikoli zabavením orgány činnými v trestním řízení — v P12_case_history je zaznamenán jako kind=breach, nikoli jako P01_seizure_event. Vlastní vyjádření NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) a dobové zpravodajství Bloomberg se shodují, že ke zveřejnění došlo po tvrzeních externích výzkumníků na Twitteru, nikoli z vlastní iniciativy NordVPN — proto third_party_disclosed namísto self_disclosed_late.

NordVPN a Surfshark mají společného vlastníka (Nord Security), ale oznámení o fúzi obou společností uvádějí samostatnou infrastrukturu a produktové plány; M18 je na tomto základě nastaveno na oddělené.

M08_user_scale, P02_disclosure_history, P03_court_record a P12_case_history byly znovu přečteny podle stejných zdrojů a zůstávají beze změny; hlavní stránka zprávy o transparentnosti stále neuvádí žádný případ kromě předvolání z let 2016–2017, která jsou již v záznamu. Opětovná kontrola cen podle stejné stránky buy-vpn-online zjistila, že obě částky zůstaly beze změny: měsíc po měsíci $11.95, roční plán $47.88 účtovaný za první rok a automaticky obnovovaný za stejných $47.88 bez rozdílu mezi úvodní a obnovovací cenou, v souladu s paušálními cenami PIA uvedenými jinde v katalogu.

Zdrojem byly vlastní stránky a blog privateinternetaccess.com, dva PDF dokumenty Deloitte ISAE 3000 (Revised) s názvem „Independent Limited Assurance Report“ (duben 2024 a prosinec 2025, oba přímo otevřené a přečtené), vlastní web Kape Technologies, zprávy vycházející z Isle of Man/Companies House o převzetí Kape soukromými vlastníky prostřednictvím Unikmind Holdings (Teddy Sagi) v roce 2023 a oficiální organizace pia-foss na GitHubu pro klienty s otevřeným zdrojovým kódem.

Veřejný docket CourtListener k případu United States v. McWaters (9:16-cr-80043, S.D. Fla.) byl otevřen, ale neuvádí žádné předvolání, poskytovatele VPN ani výsledek; partnerský článek (vpncompare.co.uk), který toto předvolání podrobně popisuje, byl jako zakázaný zdroj vyřazen a vlastní pokrytí TorrentFreak vrátilo při každém pokusu o načtení v tomto běhu HTTP 403, včetně použití curl. P03/P12 nyní stojí na vlastní deklaraci PIA ve zprávě o transparentnosti.

Wikipedia byla z V12 vyřazena ve prospěch samotné organizace na GitHubu. Jako věcný zdroj nebyl v tomto záznamu použit žádný partnerský web ani agregátor typu „best VPN“, přestože se jich několik opakovaně objevovalo ve výsledcích vyhledávání s na první pohled věrohodnými čísly (počty serverů, počty uživatelů, data auditů), která nebylo možné ověřit podle primární stránky, a proto byla vyřazena namísto použití.