NordVPN vs Surfshark

Il canarino, e il trimestre che lo ha sostituito. La stessa pagina ha ritirato il canarino dei mandati (P07=removed) a favore di report trimestrali sulla trasparenza; l’ultimo trimestre completo (apr–giu 2026) mostra 85 richieste governative e 0 divulgazioni, quindi P08/P09 si riferiscono a quel periodo, non al dato relativo all’intera durata.

L’India e il regime degli ordini segreti. P04=withdrew_physical è l’uscita dall’India del giugno 2022. P11=none_known si basa sulla dichiarazione della pagina secondo cui NordVPN non ha ricevuto lettere vincolanti di National Security né ordini di bavaglio e sull’assenza di un regime simile a Panama.

Un livello di assurance che nessuno può verificare. NordVPN descrive l’incarico di Deloitte Lithuania come un incarico di assurance ragionevole ai sensi di ISAE 3000 (Revised), che sarebbe la forma più solida; il report di PIA, che è leggibile, dichiara una conclusione di assurance limitata.

Perché la forma più forte non è accreditata. Il modello ora valorizza quella differenza, e questa scheda non ne beneficia: V15_assurance_strength è sconosciuto perché l'unica dichiarazione del livello è quella di NordVPN, relativa a un rapporto che nessuno al di fuori di un Nord Account può aprire. Un documento dietro un accesso non è una prova qui a nessun livello, quindi l'incarico è accreditato secondo la norma di mercato anziché al livello che dichiara di aver raggiunto.

Un rapporto dietro un accesso. Il rapporto stesso è leggibile solo dopo aver effettuato l'accesso a un Nord Account, quindi nessuno al di fuori di quella relazione ne ha verificato l'ambito, e ogni campo di audit qui si basa sul riepilogo che NordVPN ne fa, anziché sul documento. Questo, e non un accertamento a carico del servizio, è il motivo per cui questa scheda è la più scarna del catalogo.

I campi del proprietario. M11_owner_jurisdiction e X04_owner_group_history sono sconosciuti: nordvpn.com e nordsecurity.com indicano Nord Security come proprietario, ma nessuno dei due dichiara la giurisdizione di costituzione di Nord Security o alcun precedente del gruppo; la stampa secondaria collega un'entità holding «Cyberspace» ai Paesi Bassi in seguito alla fusione del 2022, ma ciò non è stato confermato rispetto a una pagina primaria di Nord Security o NordVPN nel tempo disponibile.

Ciò che non è stato possibile leggere affatto. Il testo completo del rapporto Deloitte del 2025 non è leggibile affatto (l'accesso è soggetto a login), quindi non viene registrato alcun accertamento sulla conservazione oltre alla dichiarazione della policy stessa in C01_linkable_retention.

La tabella dei server che non si apriva. C09b_mandate_hosting è sconosciuto: la tabella attiva dei server per paese mostra lo stato fisico/virtuale solo per la regione delle Americhe nello stato dell'accordion che questo audit ha potuto visualizzare; le sezioni Europa, Asia-Pacifico e Africa/Medio Oriente (che includono diversi paesi soggetti a obbligo serviti dalla flotta, ad esempio AE, IN, TR, VN, IQ, KZ secondo l'API dei server) vengono caricate lato client al clic e non sono state espanse.

Lasciati sconosciuti anziché dichiarati. C04-C07, U06 (prova di censura), U11, V12-V14, X06, X07, X10 e X11 non sono stati confermati indipendentemente rispetto a un documento primario e sono lasciati sconosciuti anziché essere dichiarati sulla base della copertura secondaria.

Un dubbio lasciato aperto, senza penalizzazione. Rimane aperto un dubbio su X12 senza penalizzazione: il modulo Play sulla sicurezza dei dati per com.nordvpn.android dichiara Installed apps tra le attività di analisi su Android, mentre l'informativa sulla privacy di NordVPN menziona le applicazioni installate in un solo punto — la scansione delle vulnerabilità anti-malware — e limita il trattamento dei nomi e delle versioni delle applicazioni a Windows.

Perché risulta comunque una corrispondenza. La categoria è dichiarata anziché assente, e R28 non trae un accertamento da una differenza nell'ambito della piattaforma, quindi il valore risulta matches_policy; tuttavia, lo scopo su Android non è quello descritto nell'informativa, e solo NordVPN può dire quale delle due formulazioni sia errata.

L'India e il regime degli ordini di bavaglio. P04_mandate_response=withdrew_physical è l'uscita dall'India del giugno 2022, ripristinata dal blog di Surfshark (surfshark.com/blog/surfshark-servers-certin-india) dopo che la verifica precedente aveva rilevato che la pagina /trust-center non la riportava più. P11=judicial_only si basa sul rapporto di trasparenza, che mostra il mandato dell'Amsterdam District Court dell'aprile 2026 e i relativi contatori per le lettere di sicurezza nazionale e gli ordini di bavaglio a zero.

Trovati due rapporti, forse non tutti. Sono stati trovati pubblicati solo due rapporti Deloitte no-logs (dicembre 2022, giugno 2025); potrebbero essercene altri non collegati da robots.txt, che questo audit non ha cercato con altri mezzi.

La violazione del datacenter in Finlandia del 2018 è stata un’intrusione di terze parti, non un sequestro da parte delle forze dell’ordine — registrata in P12_case_history come kind=breach, non P01_seizure_event. Il resoconto di NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) e la copertura contemporanea di Bloomberg concordano sul fatto che la divulgazione sia seguita alle accuse su Twitter di ricercatori esterni, non a un’iniziativa di NordVPN — da qui third_party_disclosed invece di self_disclosed_late.

NordVPN e Surfshark condividono un proprietario (Nord Security), ma l’annuncio della fusione delle due società afferma che le infrastrutture e le roadmap dei prodotti restano separate; M18 è impostato su questa base.