Opera VPN vs Private Internet Access

Perché il punteggio non dipende da questo. Sia il prezzo accertato sia quello sconosciuto valgono 0,000, quindi nulla nel punteggio dipende da questo; ciò che manca è la scheda, non il numero, e la prossima esecuzione dovrebbe iniziare dai documenti depositati da Kunlun e dal registro federale dei procedimenti, non da un loro riepilogo.

Il report che sposterebbe quattro campi. Il report di Deloitte è l'altro documento che sposterebbe diversi campi in una volta sola: V04, V07, V11 e V15 sono tutti sconosciuti solo perché non è pubblicato, e V11 in particolare è il campo su cui poggia l'intera dichiarazione di assenza di log.

Ciò per cui non esiste alcun documento. U07 non ha alcun documento e lo stesso vale per C13, che ne è alla base: Opera nomina AES-256 e un «secure tunnel», ma mai un protocollo, quindi il trasporto più debole tra quelli offerti non è accertato. U08, U09 e U12b non sono compilati per lo stesso motivo: la tabella di confronto delle funzionalità nella pagina del prodotto contrassegna le righe con segni di spunta che il markup recuperato non contiene, e leggere i segni di spunta da un'immagine renderizzata non costituisce una fonte.

Server descritti, non supportati da prove. C02, C06 e C08 non hanno alcuna prova a sostegno: Opera afferma che i server sono fisici e di sua proprietà, il che non accerta né il disco né il DNS né chi possiede l'hardware. Non è possibile rispondere a C09b finché U02 è sconosciuto.

Un solo store, non due. È stato esaminato soltanto il modulo sulla sicurezza dei dati di Google Play; le etichette sulla privacy dell'App Store per il browser iOS non sono state esaminate, quindi X12 si basa su un solo store anziché sul peggiore dei due.

Due interpretazioni anziché dichiarazioni. Linux in U01 è dedotto dal manuale di assistenza desktop, che documenta la VPN e tratta insieme Windows, macOS e Linux senza distinguerli per piattaforma; Android e iOS sono nominati esplicitamente nell'annuncio dell'audit. U10 è illimitato perché non esistono né un account né un limite di dispositivi da applicare, il che è un'interpretazione del prodotto anziché un dato dichiarato.

Che cosa non ha esaminato. Il rapporto riguarda soltanto l'infrastruttura. C07a_app_sdk e C12_device_identifier sono elementi relativi all'app che non ha mai esaminato; ora citano invece l'informativa sulla privacy, che descrive l'analisi dei visitatori del sito web e i rapporti diagnostici con consenso esplicito che includono la piattaforma e la versione dell'app. Interpretare l'uno o l'altro come una dichiarazione sugli SDK compilati nell'app è il punto più debole di questa scheda, e i client open source sono il luogo in cui la questione sarebbe effettivamente accertata.

La citazione in giudizio del 2016 si basa sulla stessa dichiarazione di PIA, non sugli atti del tribunale. L'unico resoconto dettagliato del caso McWaters (S.D. Fla., 9:16-cr-80043) si trova su un sito affiliato che questa scheda non può citare; il registro di CourtListener per quel caso non indica alcuna citazione in giudizio, alcun fornitore né alcun esito. P03_court_record e P12_case_history si basano ora sulla dichiarazione di PIA nel proprio rapporto sulla trasparenza, secondo cui ha ricevuto una citazione in giudizio nel 2016-2017 e non ha prodotto nulla: un'autodichiarazione di livello B, non un atto giudiziario verificato.

X02 è l'accertamento su cui poggia il resto, ed entrambi i documenti su cui si basa sono di Opera. L'annuncio del 2024 cita il parere di Deloitte secondo cui «la configurazione dei sistemi IT e la gestione delle operazioni IT di supporto sono state adeguatamente progettate e implementate, sotto ogni aspetto rilevante, sulla base dei criteri descritti nella Management Assertion di Opera, al 10 agosto 2024», e attribuisce separatamente la frase «La funzionalità di registrazione dei dati non è integrata nel servizio VPN e non viene raccolto alcun dato» alla Management Assertion di Opera.

Il post del 2026 ripercorre lo stesso incarico presentando Deloitte come autore dell'accertamento: «abbiamo dato al team di Deloitte accesso completo alla nostra VPN e alla nostra infrastruttura dei server, e il team ha potuto verificare la nostra dichiarazione ... In effetti, una funzione di registrazione dei dati non è nemmeno integrata nella VPN». Lo stesso post trasforma una finestra che il post del 2024 data al 18 giugno in «accesso completo» al 10 agosto 2024.

Opera descrive la propria dichiarazione come la conclusione del proprio auditor. Per questo il blocco VERIFY è suddiviso in questo modo. V01 è yes_verified sulla base di un rapporto effettivamente consultato — la sintesi gestionale pubblicata da Cure53 della propria valutazione del marzo 2022 — e non sulla base dell'annuncio di Deloitte.

Il rapporto di Deloitte non è pubblicato da nessuna parte, quindi V02 è press_only, e ogni campo che è una risultanza di quel rapporto anziché un fatto sull'incarico resta sconosciuto: copertura della flotta (V04), standard di assurance (V07), ciò che il rapporto dichiara essere soggetto a conservazione (V11) e solidità del parere (V15).

I fatti sull'incarico — lo studio, la sua categoria, la data, ciò che era indicato come oggetto dei test — sono ricavati dall'annuncio. Un fornitore che ha dimostrabilmente ridefinito una volta questo audit non è una fonte per ciò che l'audit ha concluso. C01 è none_linkable perché questa è la dichiarazione nell'informativa sulla privacy; V11 è la risultanza, e non c'è alcuna risultanza da leggere.

Il rapporto di Cure53 è reale ed è il motivo per cui V14 è yes_verified: sette tester, ventiquattro giornate-persona, white-box su quattro pacchetti di lavoro che coprivano i client VPN, la configurazione e l'infrastruttura del server, nonché il protocollo Opera Mini utilizzato per fornire la configurazione VPN. Quattordici problemi rilevanti per la sicurezza, otto dei quali vere vulnerabilità, cinque classificati di gravità elevata e nessuno critico.

Al marzo 2022 nove erano stati risolti con le correzioni verificate, uno era stato risolto parzialmente, tre avevano il rischio accettato, uno era un falso allarme e uno era ancora in corso. Il blog di Opera afferma che i sette elementi direttamente collegati alla VPN del browser erano "all subsequently resolved", e la tabella lo conferma: gli elementi residui si trovano nel pacchetto di lavoro Opera Mini, non nella VPN stessa.

La proprietà è interamente dichiarata e termina in un paese con obbligo, motivo per cui X03 e C11 puntano in direzioni opposte senza contraddirsi.

Il titolare del trattamento indicato nell'informativa sulla privacy di Opera è Opera Norway AS, una società norvegese, e il rapporto sulla trasparenza è depositato a quel nome.

La società capogruppo è Opera Limited, una società esente costituita nelle Isole Cayman nel marzo 2018 senza operazioni sostanziali proprie. Il Form 20-F per il 2025 indica Hong Kong Kunlun Tech Holding Limited come azionista principale al 68,0%, una controllata di Kunlun Tech Co., Ltd. costituita nella RPC, e dichiara che Kunlun "is the ultimate parent of Opera and is controlled by Opera's executive chairman".

Quindi M06 è NO e C10 è no, mentre M11 è CN e C11 è yes.

C12 è la lacuna più netta tra la dichiarazione della VPN e l'applicazione in cui risiede. La sezione sulla VPN dell'informativa sulla privacy dichiara l'assenza di registrazione; una sezione diversa dello stesso documento afferma che quando un'applicazione Opera viene installata "viene generato un ID di installazione casuale. Raccogliamo questo identificatore, oltre a Machine ID, specifiche hardware (modello, data di rilascio, ecc.), sistema operativo, configurazione dell'ambiente e dati sull'uso delle funzionalità", conservati per un massimo di tre anni.

Un Machine ID è derivato dall'hardware, quindi l'identificatore in possesso del fornitore è persistent_hardware_id e non uno casuale associato all'app, indipendentemente dal fatto che il tunnel registri o meno.

X12 confronta due documenti depositati dalla stessa Opera. Il modulo Play sulla sicurezza dei dati per com.opera.browser dichiara che Installed apps viene raccolto per Analytics, mentre l'informativa sulla privacy non menziona mai la raccolta delle applicazioni installate sul dispositivo. Installed apps è un comportamento, non un identificatore, da cui undisclosed_behaviour.

Lo stesso modulo dichiara che Device or other IDs viene condiviso con altre aziende per la pubblicità, ed è questo che porta C07a a ads. C07b si basa su qualcosa di più circoscritto ed è contrassegnato con B per questo motivo: l'unico host di terze parti presente nel markup servito per la pagina del prodotto è Google Tag Manager, e ciò che quel contenitore carica durante l'esecuzione non è stato enumerato.

U02 è sconosciuto per come è progettato il prodotto, non per un mancato risultato della ricerca: la VPN gratuita offre tre regioni — Opera le chiama America, Asia ed Europa — e non indica mai un paese. C09 e C09b ne conseguono e non possono essere accertati finché questa situazione permane.

X05 è ads_supported nell'approfondimento di Opera, che colloca la pubblicità al primo posto tra tre fonti di ricavo e descrive Opera Ads mentre raccoglie un ID utente generato casualmente, la città o il paese e ampie categorie di siti visitati, conservati per un massimo di un anno; insieme a U05 = unlimited_free, questo è esattamente il caso che R15 serve a segnalare.

X06 è la dichiarazione del post del 2026 secondo cui AES-256 "richiederebbe a un hacker, anche con il computer più veloce, più di un miliardo di anni per essere violato". X09 è self_disclosed_prompt in due post del 2026 nei quali Opera ha pubblicato vulnerabilità che ricercatori esterni le avevano segnalato, insieme all'analisi e alla versione corretta: si tratta di vulnerabilità del browser, non di incidenti VPN, e non è noto alcun incidente VPN.

C05 è not_sold. La VPN gratuita non prevede alcun passaggio di pagamento: nessun abbonamento, nessun account; quindi non c'è nulla da pagare, anonimamente o altrimenti.

Questa scheda è stata inizialmente registrata come none, che si legge come «sono offerti solo i metodi di pagamento identificati», ed è falso in questo caso, perché il vocabolario non aveva alcun token per un servizio che non incassa denaro; unknown avrebbe affermato che la ricerca non era riuscita, cosa anch'essa falsa, e tra due interpretazioni errate è stata registrata quella che sbaglia a sfavore del fornitore. Il token esiste ora e ha un prezzo pari a zero, che è la risposta onesta: dove non c'è pagamento, non c'è alcuna identità di pagamento da divulgare.

M08_user_scale, P02_disclosure_history, P03_court_record e P12_case_history sono stati riletti rispetto alle stesse fonti e restano invariati; la pagina principale del rapporto sulla trasparenza non indica ancora alcun caso oltre alle citazioni in giudizio del 2016-2017 già agli atti. La rilettura dei prezzi rispetto alla stessa pagina buy-vpn-online ha trovato entrambe le cifre invariate: $11,95 mese per mese, piano annuale da $47,88 addebitati per il primo anno e rinnovato automaticamente allo stesso prezzo di $47,88, senza differenza tra prezzo iniziale e di rinnovo, in linea con i prezzi a tariffa fissa di PIA indicati altrove nel catalogo.

Ricavate dalle pagine e dal blog di privateinternetaccess.com, dai due PDF Deloitte ISAE 3000 (Revised) 'Independent Limited Assurance Report' (aprile 2024 e dicembre 2025, entrambi aperti e letti direttamente), dal sito di Kape Technologies, dai rapporti basati su fonti dell'Isola di Man/Companies House sull'acquisizione con ritiro dalla borsa di Kape nel 2023 da parte di Unikmind Holdings (Teddy Sagi) e dall'organizzazione GitHub ufficiale pia-foss per i client open source.

Il registro pubblico di CourtListener per United States v. McWaters (9:16-cr-80043, S.D. Fla.) è stato aperto, ma non indica alcuna citazione in giudizio, alcun fornitore VPN né alcun esito; l'articolo dell'affiliato (vpncompare.co.uk) che descrive dettagliatamente quella citazione in giudizio è stato escluso come fonte vietata, e gli articoli di TorrentFreak hanno restituito HTTP 403 a ogni tentativo di accesso durante questo passaggio, incluso curl. P03/P12 si basano ora sull'autodichiarazione di PIA nel proprio rapporto sulla trasparenza.

Wikipedia è stata esclusa da V12 a favore della stessa organizzazione GitHub. Nessun sito affiliato o aggregatore di tipo 'best VPN' è stato usato come fonte fattuale in questa scheda, anche se diversi sono comparsi ripetutamente nei risultati di ricerca con numeri dall'aspetto plausibile (conteggi dei server, conteggi degli utenti, date degli audit) che non potevano essere verificati rispetto a una pagina primaria e sono stati scartati anziché utilizzati.