IVPN vs NordVPN

契約が対象としたもの。 アプリの侵入テスト（iOS、Android、Electron、デーモン）は2022年3月のもので、ゲートウェイ／サーバーOSのレビューは2023年2月のものである。どちらもログなしという主張自体を検証しておらず、2023年のレポートはそのことを明記している。そのため、保持はプライバシーポリシーの宣言だけを根拠としている。

最新のレポートは該当するものではない。 2024年4月のエンゲージメントは、IVPNに対するCure53の6回目のエンゲージメントであり、顧客アカウントのウェブサイト、API、ホスティングを検査した。Cure53自身のスコープページではクライアントアプリとVPNサーバーが対象外とされているため、アプリまたはゲートウェイのエビデンスを拡張するものではなく、V03_audit_subjectもその分を繰り越さずunknownと記録される。新しいメールおよびDNSサービスを対象とした7回目のエンゲージメントは、2025年5月に実施予定であると発表されただけであり、そのレポートは公開されていない。

一次サイトで確認できないこと。 RAMのみは、IVPNがテスト展開を進めている移行として説明しており、完了を発表していないため、部分的として記録される。サーバーハードウェアの所有（リースか所有か）、出口でのトラフィック変更、実質的所有者個人の法域は確認されていない。IVPNの一次ページにはこの3点のいずれを記載したものもなく、ユーザーベースの規模も記載されていない。

初回入力時に最初に読んだページではなく、ナレッジベースが回答する3つのフィールド。 IPの割り当ては設計上共有されている。「crowding」により、帰属を困難にするため、1つのアドレスにユーザーを集める。P2Pはどこでも許可されているが、IVPNは上流事業者からのDMCAの圧力を理由に、米国の出口を避けるよう顧客に求めている。ストリーミングの保証はないが、同社は多くの顧客が実際にアクセスできていると述べている。

誰も検証できない保証水準。 NordVPNは、Deloitte Lithuaniaによる業務を、ISAE 3000 (Revised)に基づく合理的保証業務と説明しており、これはより強い形式に当たる。読むことのできるPIAのレポートには、限定的保証の結論が記載されている。

より強い形態がクレジットされない理由。 モデルは現在その差を価格に反映しており、このレコードはその恩恵を受けない。V15_assurance_strength は不明である。というのも、そのレベルについての唯一の記述は、Nord Account の外部からは開けないレポートに関する、NordVPN 自身のものだからである。ログインの背後にある文書は、ここではいかなるレベルでもエビデンスとはならないため、このエンゲージメントは、到達したとされるレベルではなく、市場の標準に基づいてクレジットされる。

ログインの背後にあるレポート。 レポート自体は Nord Account にサインインした後でしか読めないため、その関係の外部にいる者は誰もその範囲を確認していない。したがって、ここにあるすべての監査フィールドは文書ではなく、NordVPN によるその要約に依拠している。これが、サービスに対する判定ではなく、このレコードがカタログ内で最も根拠の薄いものとなっている理由である。

オーナーフィールド。 M11_owner_jurisdiction と X04_owner_group_history は不明である。nordvpn.com と nordsecurity.com は Nord Security をオーナーとして記載しているが、いずれも Nord Security 自身の設立法域や、グループの過去の記録を記載していない。二次報道は、2022年の合併を起点として「Cyberspace」という持株事業体をオランダと結び付けているが、利用可能な時間内には、Nord Security または NordVPN の一次ページに照らして確認できなかった。

まったく読めなかったもの。 2025年の Deloitte レポートの全文はまったく読めない（ログイン制限）ため、C01_linkable_retention におけるポリシー自身の自己申告を超える保持についての判定は記録されていない。

開かなかったサーバー表。 C09b_mandate_hosting は不明である。公開中の国別サーバー表は、この監査で表示できたアコーディオンの状態では、Americas 地域についてのみ物理／仮想の別を示している。Europe、Asia-Pacific、Africa/Middle East のセクション（サーバー API によれば、フリートが提供する AE、IN、TR、VN、IQ、KZ など複数の義務対象国を含む）はクリック時にクライアント側で読み込まれ、展開されなかった。

主張せず不明のままとしたもの。 C04-C07、U06（検閲の証明）、U11、V12-V14、X06、X07、X10、X11 は一次文書に照らして独立に確認できなかったため、二次報道から主張せず、不明のままとした。

一つの疑念を未解決のまま残し、減点しなかった。 X12 について一つの疑念が残っているが、減点はしていない。com.nordvpn.android の Play のデータセーフティフォームは、Android の分析における「インストール済みアプリ」を申告している。一方、NordVPN のプライバシー通知がインストール済みアプリケーションに言及するのは、マルウェア対策の脆弱性スキャンにおける一か所のみであり、アプリケーション名とバージョンの処理対象を Windows に限定している。

それでも一致と読める理由。 そのカテゴリーは欠落しているのではなく開示されており、R28 はプラットフォームの対象範囲の差について判定を下さないため、値は matches_policy と読める。しかし、Android における目的は通知が記載するものではなく、二つのうちどちらの記載が誤っているのかを言えるのは NordVPN だけである。

NordVPNとSurfsharkは親会社（Nord Security）を共有しているが、両社自身の合併発表は、インフラと製品ロードマップが別々であると記載している。その根拠に基づき、M18は分離に設定されている。