NordVPN vs Windscribe

Canary, dan triwulan yang menggantikannya. Halaman yang sama menghentikan canary surat perintah (P07=removed) demi laporan transparansi triwulanan; triwulan lengkap terbaru (April–Juni 2026) menunjukkan 85 permintaan pemerintah dan 0 pengungkapan, jadi P08/P09 adalah periode tersebut, bukan angka seumur hidup.

India, dan rezim perintah rahasia. P04=withdrew_physical adalah keluarnya dari India pada Juni 2022. P11=none_known didasarkan pada pernyataan halaman tersebut bahwa NordVPN belum menerima National Security letters atau perintah bungkam yang mengikat dan pada tidak adanya rezim semacam itu di Panama.

Tingkat assurance yang tidak dapat diperiksa siapa pun. NordVPN menggambarkan engagement Deloitte Lithuania sebagai engagement assurance wajar berdasarkan ISAE 3000 (Revised), yang akan menjadi bentuk yang lebih kuat; laporan PIA, yang dapat dibaca, menyatakan kesimpulan assurance terbatas.

Mengapa bentuk yang lebih kuat tidak diberi kredit. Model kini memberi harga pada perbedaan itu, dan berkas ini tidak mendapat manfaat darinya: V15_assurance_strength tidak diketahui karena satu-satunya pernyataan tentang tingkat tersebut berasal dari NordVPN sendiri, mengenai laporan yang tidak dapat dibuka oleh siapa pun di luar Nord Account. Dokumen di balik login bukan bukti di sini pada tingkat apa pun, jadi keterlibatan ini diberi kredit pada norma pasar, bukan pada tingkat yang diklaim telah dicapainya.

Laporan di balik login. Laporan itu sendiri hanya dapat dibaca setelah masuk ke Nord Account, jadi tidak ada seorang pun di luar hubungan tersebut yang telah memeriksa cakupannya, dan setiap bidang audit di sini bertumpu pada ringkasan NordVPN sendiri, bukan pada dokumennya. Hal itu, bukan temuan yang merugikan layanan, adalah alasan berkas ini memiliki bukti paling tipis dalam katalog.

Bidang pemilik. M11_owner_jurisdiction dan X04_owner_group_history tidak diketahui: nordvpn.com dan nordsecurity.com menyebut Nord Security sebagai pemilik, tetapi tidak satu pun menyatakan yurisdiksi pendirian Nord Security sendiri atau catatan sebelumnya untuk grup tersebut; pers sekunder mengaitkan entitas pemegang "Cyberspace" dengan Belanda dari merger 2022, tetapi hal itu tidak dikonfirmasi terhadap halaman utama Nord Security atau NordVPN dalam waktu yang tersedia.

Yang sama sekali tidak dapat dibaca. Teks lengkap laporan Deloitte 2025 sama sekali tidak dapat dibaca (akses dibatasi login), jadi tidak ada temuan retensi yang dicatat selain klaim kebijakan itu sendiri dalam C01_linkable_retention.

Tabel server yang tidak dapat dibuka. C09b_mandate_hosting tidak diketahui: tabel server langsung per negara hanya menunjukkan status fisik/virtual untuk wilayah Amerika dalam keadaan akordeon yang dapat dirender oleh audit ini; bagian Eropa, Asia-Pasifik, dan Afrika/Timur Tengah (yang mencakup beberapa negara mandat yang dilayani armada ini, misalnya AE, IN, TR, VN, IQ, KZ menurut API server) dimuat di sisi klien saat diklik dan tidak dibuka.

Dibiarkan tidak diketahui, bukan dinyatakan. C04-C07, U06 (bukti sensor), U11, V12-V14, X06, X07, X10, dan X11 tidak dikonfirmasi secara independen terhadap dokumen utama dan dibiarkan tidak diketahui, bukan dinyatakan berdasarkan liputan sekunder.

Satu keraguan dibiarkan terbuka dan tidak dibebankan. Satu keraguan tetap terbuka pada X12 tanpa dibebankan: formulir keamanan data Play untuk com.nordvpn.android menyatakan Aplikasi yang terinstal di bawah analitik pada Android, sementara pemberitahuan privasi NordVPN menyebut aplikasi yang terinstal hanya di satu tempat — pemindaian kerentanan antimalware — dan membatasi pemrosesan nama serta versi aplikasi pada Windows.

Mengapa tetap terbaca sebagai kecocokan. Kategori tersebut dipublikasikan, bukan tidak ada, dan R28 tidak menjadikan perbedaan cakupan platform sebagai temuan, sehingga nilainya terbaca matches_policy; tetapi tujuan Android bukan yang dijelaskan dalam pemberitahuan tersebut, dan hanya NordVPN yang dapat mengatakan mana dari kedua pernyataan itu yang salah tulis.

Mengapa retensi dinilai berdasarkan temuan. Oleh karena itu, retensi dinilai berdasarkan apa yang dibuktikan auditor dapat dijangkau, bukan berdasarkan apa yang dinyatakan kebijakan, dan saluran integritas membawa jarak antara keduanya. Bacalah ini sebagai temuan pada satu node yang berusia dua tahun, bukan sebagai pengukuran saat ini: cakupannya hanya ca-023.windscribe.com, dan keterlibatan yang lebih baru yang mencakup lebih banyak bagian armada adalah hal yang akan memastikannya.

Daftar yang tidak pernah dibaca. Daftar negara yang ditawarkan tidak pernah dibaca, sehingga skor negara untuk kegunaan maupun irisan mandat tidak dapat dihitung — Windscribe mempublikasikan perbedaan fisik/virtual, yang membuat C09b dapat dijawab di sini segera setelah daftarnya dibaca. Skala pengguna juga belum dipastikan, sehingga kisaran paparan bertumpu pada hal yang lebih sedikit daripada seharusnya.

Dari mana ketiga peristiwa itu sekarang mengambil sitasi. AIN.UA masih memuat server Ukraina yang disita pada 24 Juni 2021, dan blog milik Windscribe memuat kasus Yunani yang dihentikan pada 11 April 2025. Penyitaan Belanda dan bidang penyitaan itu sendiri sekarang mengambil sitasi dari halaman no-logs milik Windscribe, bukan dari media yang dibayar afiliasi yang pertama kali melaporkannya: catatan perusahaan tentang penyitaannya sendiri adalah sumber primer, bukan catatan orang lain tentang satu penyitaan. Peristiwa Ukraina diberi tanggal berdasarkan penyitaannya sendiri, bukan berdasarkan tulisan tentangnya.

Pembobolan pusat data Finlandia pada 2018 merupakan intrusi pihak ketiga, bukan penyitaan oleh penegak hukum — dicatat dalam P12_case_history sebagai kind=breach, bukan P01_seizure_event. Pernyataan NordVPN sendiri (nordvpn.com/blog/official-response-datacenter-breach/) dan liputan Bloomberg pada saat itu sepakat bahwa pengungkapan tersebut mengikuti tuduhan di Twitter oleh peneliti eksternal, bukan inisiatif NordVPN sendiri — sehingga digunakan third_party_disclosed, bukan self_disclosed_late.

NordVPN dan Surfshark memiliki pemilik yang sama (Nord Security), tetapi pengumuman merger milik kedua perusahaan tersebut menyatakan bahwa infrastruktur dan peta jalan produk tetap terpisah; M18 ditetapkan terpisah berdasarkan hal itu.