NordVPN vs Windscribe

Datacenterbruddet i Finland i 2018 var en indtrængen fra tredjepart, ikke en beslaglæggelse foretaget af retshåndhævende myndigheder — det registreres under P12_case_history som kind=breach, ikke P01_seizure_event. NordVPNs egen redegørelse (nordvpn.com/blog/official-response-datacenter-breach/) og Bloombergs samtidige dækning er enige om, at offentliggørelsen fulgte Twitter-påstande fra eksterne forskere, ikke NordVPNs eget initiativ — derfor third_party_disclosed frem for self_disclosed_late.

NordVPN og Surfshark har samme ejer (Nord Security), men begge virksomheders egen fusionsmeddelelse angiver separat infrastruktur og separate produktplaner; M18 sættes til separat på det grundlag.

Canariefilen og kvartalet, der erstattede den. Den samme side udfasede canariefilen (P07=removed) til fordel for kvartalsvise transparensrapporter; det seneste fuldstændige kvartal (apr.–jun. 2026) viser 85 henvendelser fra myndigheder og 0 udleveringer, så P08/P09 gælder den periode, ikke livstidstallet.

Indien og regimet med hemmelige påbud. P04=withdrew_physical er udtræden fra Indien i juni 2022. P11=none_known bygger på sidens erklæring om, at NordVPN ikke har modtaget bindende National Security-breve eller tavshedspålæg, samt på Panamas fravær af et sådant regime.

Et sikkerhedsniveau, ingen kan kontrollere. NordVPN beskriver Deloitte Lithuania-opgaven som en rimelig erklæringsopgave i henhold til ISAE 3000 (Revised), hvilket ville være den stærkere form; PIAs rapport, som kan læses, angiver en konklusion med begrænset sikkerhed.

Hvorfor det stærkere niveau ikke krediteres. Modellen prissætter nu den forskel, og denne post får ikke fordel af den: V15_assurance_strength er ukendt, fordi den eneste angivelse af laget er NordVPNs egen og handler om en rapport, som ingen uden for en Nord Account kan åbne. Et dokument bag et login er ikke belæg her på noget lag, så arbejdet krediteres efter markedsnormen snarere end på det niveau, det hævdes at have nået.

En rapport bag et login. Selve rapporten kan kun læses efter login på en Nord Account, så ingen uden for dette forhold har kontrolleret dens omfang, og alle auditfelter her bygger på NordVPNs egen opsummering af den snarere end på dokumentet. Det, og ikke en konstatering imod tjenesten, er grunden til, at denne post er den tyndeste i kataloget.

Ejerfelterne. M11_owner_jurisdiction og X04_owner_group_history er ukendte: nordvpn.com og nordsecurity.com angiver Nord Security som ejer, men ingen af dem angiver Nord Securitys egen jurisdiktion for registrering eller nogen tidligere historik for gruppen; sekundær presse knytter en 'Cyberspace'-holdingsenhed til Nederlandene fra fusionen i 2022, men det blev ikke bekræftet mod en primær Nord Security- eller NordVPN-side inden for den tilgængelige tid.

Det, der slet ikke kunne læses. Den fulde tekst af Deloitte-rapporten fra 2025 kan slet ikke læses (login-begrænset), så der er ikke registreret nogen konstatering om opbevaring ud over politikkens egen hævdelse i C01_linkable_retention.

Servertabellen, der ikke ville åbne. C09b_mandate_hosting er ukendt: Den aktive servertabel pr. land viser kun fysisk/virtuel status for regionen Amerika i den accordion-tilstand, som denne audit kunne gengive; sektionerne for Europa, Asien og Stillehavsområdet samt Afrika/Mellemøsten (som omfatter flere lande med påbud, som flåden betjener, f.eks. AE, IN, TR, VN, IQ, KZ ifølge servers API) indlæses på klientsiden ved klik og blev ikke foldet ud.

Efterladt ukendt frem for hævdet. C04-C07, U06 (censurbelæg), U11, V12-V14, X06, X07, X10 og X11 blev ikke uafhængigt bekræftet mod et primært dokument og er efterladt ukendte frem for at blive hævdet på grundlag af sekundær omtale.

En tvivl forbliver åben og tæller ikke imod. En tvivl forbliver åben om X12 uden at tælle imod: Plays formular om datasikkerhed for com.nordvpn.android angiver Installed apps under analyse på Android, mens NordVPNs fortrolighedsmeddelelse kun nævner installerede applikationer ét sted — i sårbarhedsscanningen mod malware — og begrænser behandlingen af applikationsnavne og -versioner til Windows.

Hvorfor det stadig læses som et match. Kategorien er oplyst snarere end fraværende, og R28 drager ikke en konstatering på grundlag af en forskel i platformens omfang, så værdien læses som matches_policy; men Android-formålet er ikke det, meddelelsen beskriver, og kun NordVPN kan sige, hvilken af de to der er skrevet forkert.

Hvorfor opbevaring prissættes efter fundet. Opbevaring prissættes derfor efter det, en auditor demonstrerede var tilgængeligt, snarere end efter det, politikken erklærer, og integritetskanalen bærer forskellen mellem de to. Læs det som et to år gammelt fund på én node, ikke som en aktuel måling: Omfanget var alene ca-023.windscribe.com, og et nyere engagement, der dækker mere af flåden, er det, der ville afklare det.

Listen, der aldrig blev læst. Den tilbudte landeliste blev aldrig læst, så hverken brugervenlighedens landescore eller påbudsintersektionen kan beregnes — Windscribe offentliggør en fysisk/virtuel sondring, hvilket gør C09b besvarlig her, så snart listen er det. Brugerskalaen er også ukendt, hvilket lader eksponeringsniveauet hvile på mindre, end det burde.

Hvorfra de tre hændelser nu har kildehenvisning. AIN.UA har stadig de ukrainske servere, der blev beslaglagt den 24. juni 2021, og Windscribe's egen blog har den græske sag, der blev afvist den 11. april 2025. Den nederlandske beslaglæggelse og selve beslaglæggelsesfeltet henviser nu til Windscribe's egen no-logs-side i stedet for den affiliate-betalte presse, der først rapporterede om den: En virksomheds beretning om sin egen beslaglæggelse er primær, ikke en andens beretning om én. Den ukrainske hændelse er dateret til selve beslaglæggelsen, ikke til omtalen.