NordVPN vs Proton VPN

Il canarino, e il trimestre che lo ha sostituito. La stessa pagina ha ritirato il canarino dei mandati (P07=removed) a favore di report trimestrali sulla trasparenza; l’ultimo trimestre completo (apr–giu 2026) mostra 85 richieste governative e 0 divulgazioni, quindi P08/P09 si riferiscono a quel periodo, non al dato relativo all’intera durata.

L’India e il regime degli ordini segreti. P04=withdrew_physical è l’uscita dall’India del giugno 2022. P11=none_known si basa sulla dichiarazione della pagina secondo cui NordVPN non ha ricevuto lettere vincolanti di National Security né ordini di bavaglio e sull’assenza di un regime simile a Panama.

Un livello di assurance che nessuno può verificare. NordVPN descrive l’incarico di Deloitte Lithuania come un incarico di assurance ragionevole ai sensi di ISAE 3000 (Revised), che sarebbe la forma più solida; il report di PIA, che è leggibile, dichiara una conclusione di assurance limitata.

Perché la forma più forte non è accreditata. Il modello ora valorizza quella differenza, e questa scheda non ne beneficia: V15_assurance_strength è sconosciuto perché l'unica dichiarazione del livello è quella di NordVPN, relativa a un rapporto che nessuno al di fuori di un Nord Account può aprire. Un documento dietro un accesso non è una prova qui a nessun livello, quindi l'incarico è accreditato secondo la norma di mercato anziché al livello che dichiara di aver raggiunto.

Un rapporto dietro un accesso. Il rapporto stesso è leggibile solo dopo aver effettuato l'accesso a un Nord Account, quindi nessuno al di fuori di quella relazione ne ha verificato l'ambito, e ogni campo di audit qui si basa sul riepilogo che NordVPN ne fa, anziché sul documento. Questo, e non un accertamento a carico del servizio, è il motivo per cui questa scheda è la più scarna del catalogo.

I campi del proprietario. M11_owner_jurisdiction e X04_owner_group_history sono sconosciuti: nordvpn.com e nordsecurity.com indicano Nord Security come proprietario, ma nessuno dei due dichiara la giurisdizione di costituzione di Nord Security o alcun precedente del gruppo; la stampa secondaria collega un'entità holding «Cyberspace» ai Paesi Bassi in seguito alla fusione del 2022, ma ciò non è stato confermato rispetto a una pagina primaria di Nord Security o NordVPN nel tempo disponibile.

Ciò che non è stato possibile leggere affatto. Il testo completo del rapporto Deloitte del 2025 non è leggibile affatto (l'accesso è soggetto a login), quindi non viene registrato alcun accertamento sulla conservazione oltre alla dichiarazione della policy stessa in C01_linkable_retention.

La tabella dei server che non si apriva. C09b_mandate_hosting è sconosciuto: la tabella attiva dei server per paese mostra lo stato fisico/virtuale solo per la regione delle Americhe nello stato dell'accordion che questo audit ha potuto visualizzare; le sezioni Europa, Asia-Pacifico e Africa/Medio Oriente (che includono diversi paesi soggetti a obbligo serviti dalla flotta, ad esempio AE, IN, TR, VN, IQ, KZ secondo l'API dei server) vengono caricate lato client al clic e non sono state espanse.

Lasciati sconosciuti anziché dichiarati. C04-C07, U06 (prova di censura), U11, V12-V14, X06, X07, X10 e X11 non sono stati confermati indipendentemente rispetto a un documento primario e sono lasciati sconosciuti anziché essere dichiarati sulla base della copertura secondaria.

Un dubbio lasciato aperto, senza penalizzazione. Rimane aperto un dubbio su X12 senza penalizzazione: il modulo Play sulla sicurezza dei dati per com.nordvpn.android dichiara Installed apps tra le attività di analisi su Android, mentre l'informativa sulla privacy di NordVPN menziona le applicazioni installate in un solo punto — la scansione delle vulnerabilità anti-malware — e limita il trattamento dei nomi e delle versioni delle applicazioni a Windows.

Perché risulta comunque una corrispondenza. La categoria è dichiarata anziché assente, e R28 non trae un accertamento da una differenza nell'ambito della piattaforma, quindi il valore risulta matches_policy; tuttavia, lo scopo su Android non è quello descritto nell'informativa, e solo NordVPN può dire quale delle due formulazioni sia errata.

Il ricorso e ciò che non stabilisce. Il ricorso del 22 ottobre 2021 è citato qui con una precisazione che vale la pena esprimere chiaramente: il Federal Administrative Court ha stabilito che i servizi di email non sono fornitori di servizi di telecomunicazione, e né i resoconti della sentenza né il resoconto fornito da Proton menzionano la VPN.

Ciò che determina effettivamente i due campi. Ciò che determina C10 e C11 è che la Svizzera non ha alcuna base per un obbligo nell'elenco dei Paesi del catalogo; l'appello corrobora il modo in cui le autorità svizzere trattano Proton e non costituisce di per sé un accertamento su Proton VPN. Una decisione su un servizio affine offre una base più debole di quanto la citazione lasci intendere.

Il principale punto aperto. Proton offre località di uscita in otto Paesi che impongono un obbligo di conservazione. Non è accertato che l'hardware si trovi effettivamente in uno di essi: Proton ha ritirato i server fisici dall'India nel 2022 e documenta lo Smart Routing per le località servite da altrove, il che indica una configurazione virtuale, ma ciò è stato verificato solo per l'India. Stabilire C09b_mandate_hosting è il principale punto aperto di questa scheda.

La violazione del datacenter in Finlandia del 2018 è stata un’intrusione di terze parti, non un sequestro da parte delle forze dell’ordine — registrata in P12_case_history come kind=breach, non P01_seizure_event. Il resoconto di NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) e la copertura contemporanea di Bloomberg concordano sul fatto che la divulgazione sia seguita alle accuse su Twitter di ricercatori esterni, non a un’iniziativa di NordVPN — da qui third_party_disclosed invece di self_disclosed_late.

NordVPN e Surfshark condividono un proprietario (Nord Security), ma l’annuncio della fusione delle due società afferma che le infrastrutture e le roadmap dei prodotti restano separate; M18 è impostato su questa base.