NordVPN vs Proton VPN

Datacenterbruddet i Finland i 2018 var en indtrængen fra tredjepart, ikke en beslaglæggelse foretaget af retshåndhævende myndigheder — det registreres under P12_case_history som kind=breach, ikke P01_seizure_event. NordVPNs egen redegørelse (nordvpn.com/blog/official-response-datacenter-breach/) og Bloombergs samtidige dækning er enige om, at offentliggørelsen fulgte Twitter-påstande fra eksterne forskere, ikke NordVPNs eget initiativ — derfor third_party_disclosed frem for self_disclosed_late.

NordVPN og Surfshark har samme ejer (Nord Security), men begge virksomheders egen fusionsmeddelelse angiver separat infrastruktur og separate produktplaner; M18 sættes til separat på det grundlag.

Canariefilen og kvartalet, der erstattede den. Den samme side udfasede canariefilen (P07=removed) til fordel for kvartalsvise transparensrapporter; det seneste fuldstændige kvartal (apr.–jun. 2026) viser 85 henvendelser fra myndigheder og 0 udleveringer, så P08/P09 gælder den periode, ikke livstidstallet.

Indien og regimet med hemmelige påbud. P04=withdrew_physical er udtræden fra Indien i juni 2022. P11=none_known bygger på sidens erklæring om, at NordVPN ikke har modtaget bindende National Security-breve eller tavshedspålæg, samt på Panamas fravær af et sådant regime.

Et sikkerhedsniveau, ingen kan kontrollere. NordVPN beskriver Deloitte Lithuania-opgaven som en rimelig erklæringsopgave i henhold til ISAE 3000 (Revised), hvilket ville være den stærkere form; PIAs rapport, som kan læses, angiver en konklusion med begrænset sikkerhed.

Hvorfor det stærkere niveau ikke krediteres. Modellen prissætter nu den forskel, og denne post får ikke fordel af den: V15_assurance_strength er ukendt, fordi den eneste angivelse af laget er NordVPNs egen og handler om en rapport, som ingen uden for en Nord Account kan åbne. Et dokument bag et login er ikke belæg her på noget lag, så arbejdet krediteres efter markedsnormen snarere end på det niveau, det hævdes at have nået.

En rapport bag et login. Selve rapporten kan kun læses efter login på en Nord Account, så ingen uden for dette forhold har kontrolleret dens omfang, og alle auditfelter her bygger på NordVPNs egen opsummering af den snarere end på dokumentet. Det, og ikke en konstatering imod tjenesten, er grunden til, at denne post er den tyndeste i kataloget.

Ejerfelterne. M11_owner_jurisdiction og X04_owner_group_history er ukendte: nordvpn.com og nordsecurity.com angiver Nord Security som ejer, men ingen af dem angiver Nord Securitys egen jurisdiktion for registrering eller nogen tidligere historik for gruppen; sekundær presse knytter en 'Cyberspace'-holdingsenhed til Nederlandene fra fusionen i 2022, men det blev ikke bekræftet mod en primær Nord Security- eller NordVPN-side inden for den tilgængelige tid.

Det, der slet ikke kunne læses. Den fulde tekst af Deloitte-rapporten fra 2025 kan slet ikke læses (login-begrænset), så der er ikke registreret nogen konstatering om opbevaring ud over politikkens egen hævdelse i C01_linkable_retention.

Servertabellen, der ikke ville åbne. C09b_mandate_hosting er ukendt: Den aktive servertabel pr. land viser kun fysisk/virtuel status for regionen Amerika i den accordion-tilstand, som denne audit kunne gengive; sektionerne for Europa, Asien og Stillehavsområdet samt Afrika/Mellemøsten (som omfatter flere lande med påbud, som flåden betjener, f.eks. AE, IN, TR, VN, IQ, KZ ifølge servers API) indlæses på klientsiden ved klik og blev ikke foldet ud.

Efterladt ukendt frem for hævdet. C04-C07, U06 (censurbelæg), U11, V12-V14, X06, X07, X10 og X11 blev ikke uafhængigt bekræftet mod et primært dokument og er efterladt ukendte frem for at blive hævdet på grundlag af sekundær omtale.

En tvivl forbliver åben og tæller ikke imod. En tvivl forbliver åben om X12 uden at tælle imod: Plays formular om datasikkerhed for com.nordvpn.android angiver Installed apps under analyse på Android, mens NordVPNs fortrolighedsmeddelelse kun nævner installerede applikationer ét sted — i sårbarhedsscanningen mod malware — og begrænser behandlingen af applikationsnavne og -versioner til Windows.

Hvorfor det stadig læses som et match. Kategorien er oplyst snarere end fraværende, og R28 drager ikke en konstatering på grundlag af en forskel i platformens omfang, så værdien læses som matches_policy; men Android-formålet er ikke det, meddelelsen beskriver, og kun NordVPN kan sige, hvilken af de to der er skrevet forkert.

Anken, og hvad den ikke afgør. Anken af 22. oktober 2021 citeres her med et forbehold, der bør fremgå klart: Federal Administrative Court fastslog, at e-mail-tjenester ikke er telekommunikationsudbydere, og hverken omtalen af dommen eller Protons egen redegørelse for den nævner VPN.

Det, der faktisk afgør de to felter. Det, der afgør C10 og C11, er, at Schweiz ikke har noget grundlag for påbud i katalogets egen landeliste; anken underbygger, hvordan schweiziske myndigheder behandler Proton, og er ikke i sig selv en konstatering om Proton VPN. En afgørelse om en søstertjeneste er et tyndere grundlag, end kildehenvisningen får den til at se ud.

Det største åbne punkt. Proton tilbyder exit-placeringer i otte lande, der har indført et logningspåbud. Det er ikke dokumenteret, om der faktisk befinder sig hardware i nogen af dem: Proton fjernede fysiske servere fra Indien i 2022 og dokumenterer Smart Routing for placeringer, som de betjener fra andre steder, hvilket peger på virtuelle placeringer, men det blev kun verificeret for Indien. At fastslå C09b_mandate_hosting er det største åbne punkt i dette post.