NordVPN vs Private Internet Access

Canary, dan triwulan yang menggantikannya. Halaman yang sama menghentikan canary surat perintah (P07=removed) demi laporan transparansi triwulanan; triwulan lengkap terbaru (April–Juni 2026) menunjukkan 85 permintaan pemerintah dan 0 pengungkapan, jadi P08/P09 adalah periode tersebut, bukan angka seumur hidup.

India, dan rezim perintah rahasia. P04=withdrew_physical adalah keluarnya dari India pada Juni 2022. P11=none_known didasarkan pada pernyataan halaman tersebut bahwa NordVPN belum menerima National Security letters atau perintah bungkam yang mengikat dan pada tidak adanya rezim semacam itu di Panama.

Tingkat assurance yang tidak dapat diperiksa siapa pun. NordVPN menggambarkan engagement Deloitte Lithuania sebagai engagement assurance wajar berdasarkan ISAE 3000 (Revised), yang akan menjadi bentuk yang lebih kuat; laporan PIA, yang dapat dibaca, menyatakan kesimpulan assurance terbatas.

Mengapa bentuk yang lebih kuat tidak diberi kredit. Model kini memberi harga pada perbedaan itu, dan berkas ini tidak mendapat manfaat darinya: V15_assurance_strength tidak diketahui karena satu-satunya pernyataan tentang tingkat tersebut berasal dari NordVPN sendiri, mengenai laporan yang tidak dapat dibuka oleh siapa pun di luar Nord Account. Dokumen di balik login bukan bukti di sini pada tingkat apa pun, jadi keterlibatan ini diberi kredit pada norma pasar, bukan pada tingkat yang diklaim telah dicapainya.

Laporan di balik login. Laporan itu sendiri hanya dapat dibaca setelah masuk ke Nord Account, jadi tidak ada seorang pun di luar hubungan tersebut yang telah memeriksa cakupannya, dan setiap bidang audit di sini bertumpu pada ringkasan NordVPN sendiri, bukan pada dokumennya. Hal itu, bukan temuan yang merugikan layanan, adalah alasan berkas ini memiliki bukti paling tipis dalam katalog.

Bidang pemilik. M11_owner_jurisdiction dan X04_owner_group_history tidak diketahui: nordvpn.com dan nordsecurity.com menyebut Nord Security sebagai pemilik, tetapi tidak satu pun menyatakan yurisdiksi pendirian Nord Security sendiri atau catatan sebelumnya untuk grup tersebut; pers sekunder mengaitkan entitas pemegang "Cyberspace" dengan Belanda dari merger 2022, tetapi hal itu tidak dikonfirmasi terhadap halaman utama Nord Security atau NordVPN dalam waktu yang tersedia.

Yang sama sekali tidak dapat dibaca. Teks lengkap laporan Deloitte 2025 sama sekali tidak dapat dibaca (akses dibatasi login), jadi tidak ada temuan retensi yang dicatat selain klaim kebijakan itu sendiri dalam C01_linkable_retention.

Tabel server yang tidak dapat dibuka. C09b_mandate_hosting tidak diketahui: tabel server langsung per negara hanya menunjukkan status fisik/virtual untuk wilayah Amerika dalam keadaan akordeon yang dapat dirender oleh audit ini; bagian Eropa, Asia-Pasifik, dan Afrika/Timur Tengah (yang mencakup beberapa negara mandat yang dilayani armada ini, misalnya AE, IN, TR, VN, IQ, KZ menurut API server) dimuat di sisi klien saat diklik dan tidak dibuka.

Dibiarkan tidak diketahui, bukan dinyatakan. C04-C07, U06 (bukti sensor), U11, V12-V14, X06, X07, X10, dan X11 tidak dikonfirmasi secara independen terhadap dokumen utama dan dibiarkan tidak diketahui, bukan dinyatakan berdasarkan liputan sekunder.

Satu keraguan dibiarkan terbuka dan tidak dibebankan. Satu keraguan tetap terbuka pada X12 tanpa dibebankan: formulir keamanan data Play untuk com.nordvpn.android menyatakan Aplikasi yang terinstal di bawah analitik pada Android, sementara pemberitahuan privasi NordVPN menyebut aplikasi yang terinstal hanya di satu tempat — pemindaian kerentanan antimalware — dan membatasi pemrosesan nama serta versi aplikasi pada Windows.

Mengapa tetap terbaca sebagai kecocokan. Kategori tersebut dipublikasikan, bukan tidak ada, dan R28 tidak menjadikan perbedaan cakupan platform sebagai temuan, sehingga nilainya terbaca matches_policy; tetapi tujuan Android bukan yang dijelaskan dalam pemberitahuan tersebut, dan hanya NordVPN yang dapat mengatakan mana dari kedua pernyataan itu yang salah tulis.

Apa yang tidak diperiksa. Laporan tersebut hanya mencakup infrastruktur. C07a_app_sdk dan C12_device_identifier adalah fakta sisi aplikasi yang tidak pernah diperiksa olehnya; sekarang keduanya menyitir kebijakan privasi, yang menjelaskan analitik untuk pengunjung situs web dan laporan diagnostik opt-in yang membawa platform dan versi aplikasi. Menafsirkan salah satunya sebagai pernyataan tentang SDK yang dikompilasi ke dalam aplikasi adalah celah terlemah dalam berkas ini, dan klien sumber terbuka adalah tempat hal itu sebenarnya akan dipastikan.

Subpoena 2016 tersebut bersandar pada pernyataan PIA sendiri, bukan berkas pengadilan. Satu-satunya uraian terperinci tentang perkara McWaters (S.D. Fla., 9:16-cr-80043) berada di situs afiliasi yang tidak dapat disitasi oleh berkas ini; doket CourtListener untuk perkara tersebut tidak menyebut subpoena, penyedia, ataupun hasil perkara. P03_court_record dan P12_case_history kini berdiri di atas pernyataan PIA sendiri dalam laporan transparansinya bahwa PIA menerima subpoena pada 2016-2017 dan tidak menyerahkan apa pun — deklarasi mandiri tingkat B, bukan berkas pengadilan yang diverifikasi.

Pembobolan pusat data Finlandia pada 2018 merupakan intrusi pihak ketiga, bukan penyitaan oleh penegak hukum — dicatat dalam P12_case_history sebagai kind=breach, bukan P01_seizure_event. Pernyataan NordVPN sendiri (nordvpn.com/blog/official-response-datacenter-breach/) dan liputan Bloomberg pada saat itu sepakat bahwa pengungkapan tersebut mengikuti tuduhan di Twitter oleh peneliti eksternal, bukan inisiatif NordVPN sendiri — sehingga digunakan third_party_disclosed, bukan self_disclosed_late.

NordVPN dan Surfshark memiliki pemilik yang sama (Nord Security), tetapi pengumuman merger milik kedua perusahaan tersebut menyatakan bahwa infrastruktur dan peta jalan produk tetap terpisah; M18 ditetapkan terpisah berdasarkan hal itu.

M08_user_scale, P02_disclosure_history, P03_court_record, dan P12_case_history dibaca ulang berdasarkan sumber yang sama dan tetap tidak berubah; halaman utama laporan transparansi masih tidak menyebut perkara apa pun selain subpoena 2016-2017 yang sudah tercatat. Peninjauan ulang harga berdasarkan halaman buy-vpn-online yang sama menemukan kedua angka tetap tidak berubah: harga bulanan $11.95, paket satu tahun $47.88 yang ditagihkan untuk tahun pertama dan diperpanjang otomatis dengan $47.88 yang sama tanpa celah harga perkenalan/perpanjangan, konsisten dengan harga tarif tetap PIA yang dicatat di bagian lain katalog.

Bersumber dari halaman dan blog milik privateinternetaccess.com sendiri, dua PDF 'Independent Limited Assurance Report' Deloitte ISAE 3000 (Revised) (April 2024 dan December 2025, keduanya dibuka dan dibaca langsung), situs milik Kape Technologies sendiri, pelaporan bersumber dari Isle of Man/Companies House tentang go-private Kape pada 2023 oleh Unikmind Holdings (Teddy Sagi), serta organisasi GitHub resmi pia-foss untuk klien sumber terbuka.

Doket publik CourtListener untuk United States v. McWaters (9:16-cr-80043, S.D. Fla.) dibuka, tetapi tidak menyebut subpoena, penyedia VPN, ataupun hasil perkara; uraian afiliasi (vpncompare.co.uk) yang menjelaskan subpoena tersebut secara terperinci dihapus sebagai sumber terlarang, dan liputan TorrentFreak sendiri menghasilkan HTTP 403 pada setiap upaya pengambilan dalam pemeriksaan ini, termasuk curl. P03/P12 kini bersandar pada deklarasi mandiri PIA sendiri dalam laporan transparansinya.

Wikipedia dihapus dari V12 dan digantikan oleh organisasi GitHub itu sendiri. Tidak ada situs afiliasi atau agregator 'best VPN' yang digunakan sebagai sumber faktual di mana pun dalam berkas ini, meskipun beberapa di antaranya berulang kali muncul dalam hasil pencarian dengan angka yang tampak masuk akal (jumlah server, jumlah pengguna, tanggal audit) yang tidak dapat dicocokkan silang dengan halaman primer dan karena itu dibuang, bukan digunakan.