Opera VPN vs Private Internet Access

El informe que cambiaría cuatro campos. El informe de Deloitte es el otro documento que cambiaría varios campos a la vez: V04, V07, V11 y V15 son todos desconocidos únicamente porque no está publicado, y V11, en particular, es el campo en el que se basa toda la afirmación de ausencia de registros.

Lo que no tiene documento. U07 no tiene documento y C13 tampoco lo tiene detrás: Opera menciona AES-256 y un «secure tunnel», pero nunca un protocolo, por lo que el transporte más débil disponible no está establecido. U08, U09 y U12b no están cumplimentados por la misma razón: la tabla de comparación de funciones de la página del producto marca las filas con marcas de verificación que el marcado obtenido no incluye, y leer marcas de verificación de una imagen renderizada no es una fuente.

Servidores descritos, no evidenciados. C02, C06 y C08 no tienen nada que los respalde: Opera afirma que los servidores son físicos y propios, lo que no establece ni el disco, ni el DNS, ni quién es propietario del hardware. C09b no puede responderse mientras U02 sea desconocido.

Una tienda, no dos. Solo se leyó el formulario de seguridad de datos de Google Play; no se leyeron las etiquetas de privacidad de App Store para el navegador de iOS, por lo que X12 se basa en una tienda y no en la peor de las dos.

Dos interpretaciones en lugar de afirmaciones. Linux en U01 se infiere del manual de ayuda de escritorio, que documenta la VPN y cubre Windows, macOS y Linux conjuntamente sin dividir por plataforma; Android e iOS se mencionan explícitamente en el anuncio de la auditoría. U10 es ilimitado porque no hay cuenta ni límite de dispositivos que pueda imponer uno, lo que es una interpretación del producto y no una cifra declarada.

Qué no examinó. El informe cubre únicamente la infraestructura. C07a_app_sdk y C12_device_identifier son hechos del lado de la aplicación que nunca examinó; ahora citan la política de privacidad, que describe analítica para visitantes del sitio web e informes de diagnóstico optativos que incluyen la plataforma y la versión de la aplicación. Interpretar cualquiera de ellos como una declaración sobre SDK compilados en la aplicación es el eslabón más débil de esta ficha, y los clientes de código abierto son donde realmente se resolvería.

La citación de 2016 se basa en la propia palabra de PIA, no en el expediente judicial. El único relato detallado del caso McWaters (S.D. Fla., 9:16-cr-80043) se encuentra en un sitio afiliado que esta ficha no puede citar; el expediente de CourtListener para ese caso no menciona ninguna citación, ningún proveedor ni ningún resultado. P03_court_record y P12_case_history se basan ahora en la declaración del informe de transparencia de PIA de que recibió una citación en 2016-2017 y no entregó nada: una autodeclaración de nivel B, no un expediente judicial verificado.

La identidad de ese tercero ha cambiado: el anuncio de la auditoría de 2024 dice que los servidores de VPN Pro son "proporcionados en colaboración con Nord", y la explicación de 2026 dice que VPN Pro está "equipada con el protocolo Lightway de última generación", que es de ExpressVPN. Ningún documento dice que el acuerdo haya cambiado.

X02 es el hallazgo fundamental, y ambos documentos que lo respaldan son propios de Opera. El anuncio de 2024 cita la opinión de Deloitte: "la configuración de los sistemas de TI y la gestión de las operaciones de TI de apoyo se diseñaron e implementaron adecuadamente, en todos los aspectos materiales, sobre la base de los criterios descritos en la Declaración de la dirección de Opera, a fecha de 10 de agosto de 2024", y atribuye por separado la frase "No hay ninguna funcionalidad de registro de datos integrada en el servicio VPN, y no se recopilan datos de ningún tipo" a la propia Declaración de la dirección de Opera.

La publicación de 2026 vuelve a contar el mismo encargo como un hallazgo realizado por Deloitte: "dimos al equipo de Deloitte acceso completo a nuestra VPN y a nuestra infraestructura de servidores, y pudieron verificar nuestra afirmación ... De hecho, la función de registro de datos ni siquiera está integrada en la VPN". La misma publicación eleva una ventana que la publicación de 2024 fecha del 18 de junio al 10 de agosto de 2024 a "acceso completo".

Opera está describiendo su propia afirmación como la conclusión de su auditoría. Por eso el bloque VERIFY se divide como lo hace. V01 es yes_verified porque se basa en un informe que realmente se abrió —el propio resumen de gestión publicado por Cure53 sobre su evaluación de marzo de 2022—, no en el anuncio de Deloitte.

El informe de Deloitte en sí no está publicado en ninguna parte, por lo que V02 es press_only, y todo campo que sea un hallazgo de ese informe, y no un hecho sobre el encargo, sigue siendo desconocido: cobertura de la flota (V04), estándar de aseguramiento (V07), lo que el informe afirma que se retiene (V11) y la solidez de la opinión (V15).

Los hechos del encargo —la empresa, su categoría, la fecha y lo que figuraba como evaluado— se toman del anuncio. Un proveedor que ha vuelto a caracterizar esta auditoría de forma demostrable una vez no es una fuente para saber qué concluyó la auditoría. C01 es none_linkable porque esa es la declaración de la declaración de privacidad; V11 es el hallazgo, y no hay ningún hallazgo que leer.

El informe de Cure53 es real y es la razón por la que V14 es yes_verified: siete evaluadores, veinticuatro jornadas-persona, una evaluación de caja blanca en cuatro paquetes de trabajo que cubrían los clientes VPN, la configuración y la infraestructura del servidor, y el protocolo de Opera Mini utilizado para proporcionar la configuración de VPN. Catorce problemas pertinentes para la seguridad, ocho de ellos vulnerabilidades reales, cinco clasificados como de gravedad alta y ninguno crítico.

En marzo de 2022, nueve se habían corregido y las correcciones se habían verificado, uno se había corregido parcialmente, se había aceptado el riesgo de tres, uno era una alerta falsa y uno seguía en curso. El blog de Opera afirma que los siete elementos relacionados directamente con la VPN del navegador fueron «todos resueltos posteriormente», y la tabla lo confirma: el remanente se encuentra en el paquete de trabajo de Opera Mini, no en la propia VPN.

La propiedad está completamente divulgada y termina en un país de mandato, por lo que X03 y C11 apuntan en direcciones opuestas sin contradecirse.

El responsable del tratamiento de datos identificado en la propia declaración de privacidad de Opera es Opera Norway AS, una empresa noruega, y el informe de transparencia se presenta con ese nombre.

La sociedad holding es Opera Limited, una sociedad exenta constituida en las Islas Caimán en marzo de 2018, sin operaciones sustantivas propias. El Form 20-F de 2025 identifica a Hong Kong Kunlun Tech Holding Limited como accionista principal, con un 68,0 %, una filial de Kunlun Tech Co., Ltd. constituida en la PRC, y afirma que Kunlun «es la matriz última de Opera y está controlada por el presidente ejecutivo de Opera».

Por tanto, M06 es NO y C10 es no, mientras que M11 es CN y C11 es yes.

C12 es el vacío más marcado entre la declaración de la VPN y la aplicación en la que está integrada. La sección de la VPN de la declaración de privacidad declara ausencia de registros; otra sección del mismo documento dice que, cuando se instala una aplicación de Opera, «se genera un ID de instalación aleatorio. Recopilamos este identificador, así como Machine ID, las especificaciones del hardware (modelo, fecha de lanzamiento, etc.), el sistema operativo, la configuración del entorno y los datos de uso de funciones», con una retención de hasta tres años.

Un Machine ID se deriva del hardware, por lo que el identificador que conserva el proveedor es persistent_hardware_id y no uno aleatorio con alcance limitado a la aplicación, haga el túnel lo que haga o no haga con los registros.

X12 compara dos documentos que Opera presentó por sí misma. El formulario de seguridad de datos de Play para com.opera.browser declara que Installed apps se recopila para Analytics, y la declaración de privacidad nunca menciona la recopilación de las aplicaciones instaladas en el dispositivo. Installed apps es comportamiento, no un identificador; de ahí undisclosed_behaviour.

El mismo formulario declara que Device or other IDs se comparte con otras empresas para publicidad, lo que sitúa C07a en ads. C07b se basa en algo más limitado y se marca como B por ello: el único host de terceros en el marcado servido para la página del producto es Google Tag Manager, y no se enumeró lo que ese contenedor carga en tiempo de ejecución.

U02 es desconocido por el diseño del producto, no por un fallo de la búsqueda: la VPN gratuita ofrece tres regiones —Opera las denomina America, Asia y Europe— y nunca un país. C09 y C09b se derivan de ello y no pueden resolverse mientras se mantenga esta situación.

X05 es ads_supported en el explicador de Opera, que enumera la publicidad en primer lugar entre tres fuentes de ingresos y describe que Opera Ads recopila un ID de usuario generado aleatoriamente, la ciudad o el país y categorías generales de sitios visitados, con una retención de hasta un año; junto con U05 = unlimited_free, este es exactamente el caso que R15 existe para señalar.

X06 es la afirmación de la publicación de 2026 de que AES-256 «le llevaría a un hacker con incluso el ordenador más rápido más de mil millones de años descifrarlo». X09 es self_disclosed_prompt en dos publicaciones de 2026 en las que Opera publicó vulnerabilidades que investigadores externos le habían comunicado, junto con el análisis y la versión corregida; se trata de vulnerabilidades del navegador, no de incidentes de VPN, y no se conoce ningún incidente de VPN.

C05 es not_sold. La VPN gratuita no tiene ningún paso de pago: ni suscripción ni cuenta; por tanto, no hay nada que pagar de forma anónima ni de otro modo.

Esta ficha se escribió inicialmente como none, lo que se interpreta como «solo se ofrecen métodos de pago identificados» y aquí es falso, porque el vocabulario no tenía ningún token para un servicio que no cobra dinero; unknown habría afirmado que la búsqueda había fallado, lo que también era falso, y entre dos interpretaciones erróneas se registró la que perjudica al proveedor. El token existe ahora y tiene un precio de nada, que es la respuesta honesta: donde no hay pago, no hay identidad de pago que pueda filtrarse.

M08_user_scale, P02_disclosure_history, P03_court_record y P12_case_history se volvieron a leer frente a las mismas fuentes y permanecen sin cambios; la página principal del informe de transparencia sigue sin mencionar ningún caso aparte de las citaciones de 2016-2017 ya registradas. La revisión de precios frente a la misma página buy-vpn-online constató que ambas cifras permanecían sin cambios: 11,95 $ mes a mes, plan de un año de 47,88 $ facturado por el primer año y con renovación automática por los mismos 47,88 $, sin diferencia entre la tarifa inicial y la de renovación, en consonancia con los precios de tarifa plana de PIA señalados en otra parte del catálogo.

Obtenido de las propias páginas y el blog de privateinternetaccess.com, los dos PDF de Deloitte titulados «Informe independiente de aseguramiento limitado» conforme a ISAE 3000 (Revisada) (abril de 2024 y diciembre de 2025, ambos abiertos y leídos directamente), el propio sitio de Kape Technologies, los informes procedentes de Isle of Man/Companies House sobre la adquisición privada de Kape en 2023 por Unikmind Holdings (Teddy Sagi), y la organización oficial de pia-foss en GitHub para los clientes de código abierto.

Se abrió el expediente público de CourtListener de United States v. McWaters (9:16-cr-80043, S.D. Fla.), pero no menciona ninguna citación, ningún proveedor de VPN ni ningún resultado; el artículo del sitio afiliado (vpncompare.co.uk) que describe detalladamente esa citación se descartó como fuente prohibida, y la cobertura propia de TorrentFreak devolvió HTTP 403 en cada intento de obtención durante esta revisión, incluido curl. P03/P12 se basan ahora en la autodeclaración del propio informe de transparencia de PIA.

Wikipedia se retiró de V12 en favor de la propia organización de GitHub. No se utilizó ningún sitio afiliado ni ningún agregador de «mejor VPN» como fuente factual en ninguna parte de esta ficha, aunque varios aparecieron repetidamente en los resultados de búsqueda con cifras de aspecto plausible (número de servidores, número de usuarios, fechas de auditoría) que no podían cotejarse con una página primaria y se descartaron en lugar de utilizarse.