NordVPN vs Surfshark

Canary, dan triwulan yang menggantikannya. Halaman yang sama menghentikan canary surat perintah (P07=removed) demi laporan transparansi triwulanan; triwulan lengkap terbaru (April–Juni 2026) menunjukkan 85 permintaan pemerintah dan 0 pengungkapan, jadi P08/P09 adalah periode tersebut, bukan angka seumur hidup.

India, dan rezim perintah rahasia. P04=withdrew_physical adalah keluarnya dari India pada Juni 2022. P11=none_known didasarkan pada pernyataan halaman tersebut bahwa NordVPN belum menerima National Security letters atau perintah bungkam yang mengikat dan pada tidak adanya rezim semacam itu di Panama.

Tingkat assurance yang tidak dapat diperiksa siapa pun. NordVPN menggambarkan engagement Deloitte Lithuania sebagai engagement assurance wajar berdasarkan ISAE 3000 (Revised), yang akan menjadi bentuk yang lebih kuat; laporan PIA, yang dapat dibaca, menyatakan kesimpulan assurance terbatas.

Mengapa bentuk yang lebih kuat tidak diberi kredit. Model kini memberi harga pada perbedaan itu, dan berkas ini tidak mendapat manfaat darinya: V15_assurance_strength tidak diketahui karena satu-satunya pernyataan tentang tingkat tersebut berasal dari NordVPN sendiri, mengenai laporan yang tidak dapat dibuka oleh siapa pun di luar Nord Account. Dokumen di balik login bukan bukti di sini pada tingkat apa pun, jadi keterlibatan ini diberi kredit pada norma pasar, bukan pada tingkat yang diklaim telah dicapainya.

Laporan di balik login. Laporan itu sendiri hanya dapat dibaca setelah masuk ke Nord Account, jadi tidak ada seorang pun di luar hubungan tersebut yang telah memeriksa cakupannya, dan setiap bidang audit di sini bertumpu pada ringkasan NordVPN sendiri, bukan pada dokumennya. Hal itu, bukan temuan yang merugikan layanan, adalah alasan berkas ini memiliki bukti paling tipis dalam katalog.

Bidang pemilik. M11_owner_jurisdiction dan X04_owner_group_history tidak diketahui: nordvpn.com dan nordsecurity.com menyebut Nord Security sebagai pemilik, tetapi tidak satu pun menyatakan yurisdiksi pendirian Nord Security sendiri atau catatan sebelumnya untuk grup tersebut; pers sekunder mengaitkan entitas pemegang "Cyberspace" dengan Belanda dari merger 2022, tetapi hal itu tidak dikonfirmasi terhadap halaman utama Nord Security atau NordVPN dalam waktu yang tersedia.

Yang sama sekali tidak dapat dibaca. Teks lengkap laporan Deloitte 2025 sama sekali tidak dapat dibaca (akses dibatasi login), jadi tidak ada temuan retensi yang dicatat selain klaim kebijakan itu sendiri dalam C01_linkable_retention.

Tabel server yang tidak dapat dibuka. C09b_mandate_hosting tidak diketahui: tabel server langsung per negara hanya menunjukkan status fisik/virtual untuk wilayah Amerika dalam keadaan akordeon yang dapat dirender oleh audit ini; bagian Eropa, Asia-Pasifik, dan Afrika/Timur Tengah (yang mencakup beberapa negara mandat yang dilayani armada ini, misalnya AE, IN, TR, VN, IQ, KZ menurut API server) dimuat di sisi klien saat diklik dan tidak dibuka.

Dibiarkan tidak diketahui, bukan dinyatakan. C04-C07, U06 (bukti sensor), U11, V12-V14, X06, X07, X10, dan X11 tidak dikonfirmasi secara independen terhadap dokumen utama dan dibiarkan tidak diketahui, bukan dinyatakan berdasarkan liputan sekunder.

Satu keraguan dibiarkan terbuka dan tidak dibebankan. Satu keraguan tetap terbuka pada X12 tanpa dibebankan: formulir keamanan data Play untuk com.nordvpn.android menyatakan Aplikasi yang terinstal di bawah analitik pada Android, sementara pemberitahuan privasi NordVPN menyebut aplikasi yang terinstal hanya di satu tempat — pemindaian kerentanan antimalware — dan membatasi pemrosesan nama serta versi aplikasi pada Windows.

Mengapa tetap terbaca sebagai kecocokan. Kategori tersebut dipublikasikan, bukan tidak ada, dan R28 tidak menjadikan perbedaan cakupan platform sebagai temuan, sehingga nilainya terbaca matches_policy; tetapi tujuan Android bukan yang dijelaskan dalam pemberitahuan tersebut, dan hanya NordVPN yang dapat mengatakan mana dari kedua pernyataan itu yang salah tulis.

India dan rezim perintah rahasia. P04_mandate_response=withdrew_physical adalah keluarnya dari India pada Juni 2022, dipulihkan dari blog milik Surfshark sendiri (surfshark.com/blog/surfshark-servers-certin-india) setelah penelusuran sebelumnya menemukan bahwa halaman /trust-center tidak lagi memuatnya. P11=judicial_only didasarkan pada laporan transparansi yang menunjukkan surat perintah Amsterdam District Court pada April 2026 serta penghitung surat keamanan nasional dan perintah bungkamnya bernilai nol.

Dua laporan ditemukan, mungkin tidak semuanya. Hanya dua laporan no-logs Deloitte (Des 2022, Jun 2025) yang ditemukan dipublikasikan; mungkin ada yang lain yang tidak ditautkan dari robots.txt dan tidak dicari oleh audit ini dengan cara lain.

Pembobolan pusat data Finlandia pada 2018 merupakan intrusi pihak ketiga, bukan penyitaan oleh penegak hukum — dicatat dalam P12_case_history sebagai kind=breach, bukan P01_seizure_event. Pernyataan NordVPN sendiri (nordvpn.com/blog/official-response-datacenter-breach/) dan liputan Bloomberg pada saat itu sepakat bahwa pengungkapan tersebut mengikuti tuduhan di Twitter oleh peneliti eksternal, bukan inisiatif NordVPN sendiri — sehingga digunakan third_party_disclosed, bukan self_disclosed_late.

NordVPN dan Surfshark memiliki pemilik yang sama (Nord Security), tetapi pengumuman merger milik kedua perusahaan tersebut menyatakan bahwa infrastruktur dan peta jalan produk tetap terpisah; M18 ditetapkan terpisah berdasarkan hal itu.