NordVPN vs Proton VPN

El canario y el trimestre que lo sustituyó. La misma página retiró el canario de órdenes judiciales (P07=removed) para publicar informes de transparencia trimestrales; el último trimestre completo (abr.–jun. de 2026) muestra 85 consultas gubernamentales y 0 divulgaciones, por lo que P08/P09 corresponden a ese periodo, no a la cifra de toda la vigencia.

India y el régimen de órdenes secretas. P04=withdrew_physical es la salida de la India en junio de 2022. P11=none_known se basa en la declaración de la página de que NordVPN no ha recibido cartas vinculantes de National Security ni órdenes de mordaza, y en la ausencia de tal régimen en Panamá.

Un nivel de aseguramiento que nadie puede comprobar. NordVPN describe el encargo de Deloitte Lithuania como un encargo de aseguramiento razonable conforme a ISAE 3000 (Revised), que sería la modalidad más sólida; el informe de PIA, que se puede consultar, declara una conclusión de aseguramiento limitado.

Por qué no se acredita la forma más sólida. El modelo ahora valora esa diferencia, y esta ficha no obtiene ese beneficio: V15_assurance_strength es desconocido porque la única declaración del nivel es la de NordVPN, sobre un informe que nadie fuera de una Nord Account puede abrir. Un documento tras un inicio de sesión no es evidencia aquí en ningún nivel, por lo que el encargo se acredita conforme a la norma del mercado y no al nivel que se dice que ha alcanzado.

Un informe tras un inicio de sesión. El informe solo se puede leer después de iniciar sesión en una Nord Account, por lo que nadie fuera de esa relación ha comprobado su alcance, y todos los campos de auditoría aquí se basan en el propio resumen de NordVPN en lugar de en el documento. Eso, y no un hallazgo contra el servicio, es la razón por la que esta ficha es la más escasa del catálogo.

Los campos del propietario. M11_owner_jurisdiction y X04_owner_group_history son desconocidos: nordvpn.com y nordsecurity.com nombran a Nord Security como propietario, pero ninguno indica la propia jurisdicción de constitución de Nord Security ni ningún registro anterior del grupo; la prensa secundaria vincula una entidad de control «Cyberspace» con los Países Bajos a partir de la fusión de 2022, pero eso no se confirmó contrastándolo con una página primaria de Nord Security o NordVPN en el tiempo disponible.

Lo que no se pudo leer en absoluto. El texto completo del informe de Deloitte de 2025 no se puede leer en absoluto (está restringido por inicio de sesión), por lo que no se registra ningún hallazgo de retención más allá de la propia declaración de la política en C01_linkable_retention.

La tabla de servidores que no se abría. C09b_mandate_hosting es desconocido: la tabla de servidores activa por país muestra el estado físico/virtual solo para la región de las Américas en el estado del acordeón que esta auditoría pudo representar; las secciones de Europa, Asia-Pacífico y África/Oriente Medio (que incluyen varios países con mandato a los que presta servicio la flota, por ejemplo AE, IN, TR, VN, IQ, KZ según la API de servidores) se cargan en el cliente al hacer clic y no se expandieron.

Se dejó desconocido en lugar de afirmarlo. C04-C07, U06 (prueba de censura), U11, V12-V14, X06, X07, X10 y X11 no se confirmaron de forma independiente contrastándolos con un documento primario y se dejaron desconocidos en lugar de afirmarlos a partir de cobertura secundaria.

Una duda quedó abierta y no se imputó. Una duda queda abierta sobre X12 sin imputarse: el formulario de seguridad de datos de Play para com.nordvpn.android declara «Aplicaciones instaladas» en analítica en Android, mientras que el aviso de privacidad de NordVPN menciona las aplicaciones instaladas en un solo lugar —el análisis de vulnerabilidades antimalware— y limita el tratamiento de los nombres y las versiones de las aplicaciones a Windows.

Por qué sigue apareciendo como coincidencia. La categoría se divulga en lugar de estar ausente, y R28 no convierte una diferencia de alcance de plataforma en un hallazgo, por lo que el valor aparece como matches_policy; pero la finalidad en Android no es la que describe el aviso, y solo NordVPN puede decir cuál de las dos está redactada incorrectamente.

La apelación y lo que no resuelve. La apelación del 22 de octubre de 2021 se cita aquí con una salvedad que conviene expresar claramente: Federal Administrative Court resolvió que los servicios de correo electrónico no son proveedores de telecomunicaciones, y ni la cobertura de la sentencia ni el propio relato de Proton mencionan la VPN.

Lo que realmente establece los dos campos. Lo que establece C10 y C11 es que Suiza no tiene ninguna base de mandato en la propia lista de países del catálogo; la apelación corrobora cómo las autoridades suizas tratan a Proton y no constituye por sí sola una conclusión sobre Proton VPN. Una resolución sobre un servicio hermano es un fundamento más débil de lo que hace parecer la cita.

El único asunto pendiente más importante. Proton ofrece ubicaciones de salida en ocho países que imponen un mandato de registro de datos. No está establecido que haya hardware físicamente en alguno de ellos: Proton retiró los servidores físicos de la India en 2022 y documenta Smart Routing para las ubicaciones a las que presta servicio desde otro lugar, lo que apunta a ubicaciones virtuales, pero eso solo se verificó para la India. Establecer C09b_mandate_hosting es el único asunto pendiente más importante de esta ficha.

La vulneración del centro de datos de Finlandia de 2018 fue una intrusión de terceros, no una incautación por las fuerzas del orden; se registra en P12_case_history como kind=breach, no como P01_seizure_event. El propio relato de NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) y la cobertura contemporánea de Bloomberg coinciden en que la divulgación siguió a acusaciones en Twitter de investigadores externos, no a una iniciativa propia de NordVPN; de ahí third_party_disclosed en lugar de self_disclosed_late.

NordVPN y Surfshark comparten una matriz (Nord Security), pero el anuncio de fusión de ambas empresas afirma que sus infraestructuras y hojas de ruta de productos son independientes; M18 se establece como separado sobre esa base.