NordVPN vs Surfshark

NordVPN

このレコードでまだ未解決の点。

2つの価格。 U04b_price_yearly=139.08およびU04_price_monthly=14.99は、米国IPからnordvpn.com/pricingで読み取った、USD建てのBasicティアの更新価格である（ページは通貨を地域ロックしている。1年プランは最初の12か月について月額$5.49、その後は年額$139.08と表示される）。

透明性ページを再読。 PブロックはNordVPNの透明性ページ（nordvpn.com/blog/nordvpn-introduces-transparency-reports/、毎日更新）と照合して再読した。2024年10月、パナマの検察当局による拘束力のある令状により、NordVPNは支払いデータと、特定のメールアドレスについてアカウントが存在したことの確認を引き渡すよう強制された。これは記録上唯一の全期間にわたる開示である（P02/P03/P12）。

カナリアと、それに代わった四半期。 同じページでは、四半期ごとの透明性レポートに移行するため、令状カナリアが廃止されている（P07=removed）。最新の完了した四半期（2026年4月〜6月）では、政府からの照会が85件、開示が0件であるため、P08/P09は全期間の数値ではなく、その期間を示している。

インドと秘密命令制度。 P04=withdrew_physicalは、2022年6月のインド撤退である。P11=none_knownは、NordVPNが拘束力のあるNational Security lettersまたは秘密命令を受け取っていないというページの記載と、パナマにそのような制度が存在しないことに基づいている。

Surfshark

このレコードでまだ未解決の点。

2つの価格。 U04_price_monthly=16.45およびU04b_price_yearly=79.00は、Surfshark Starter（VPN + Alternative ID）の米ドル建て更新価格である。料金ページ自体にはプロモーションの初回期間料金しか表示されないが、利用規約から、期間別の更新価格を掲載した現在の継続課金額ページ（surfshark.com/terms-of-service/pricing）にリンクしている。通貨は地域制限されているため、米国のIPで同ページを確認した。Starterより下位のVPN専用プランはない。

一次文書で確認できなかった事項。 C00_architecture、C08_servers_ownership、U09、U11、V12/V13、X04、X06-X08、X10、X11は、利用可能な時間内に一次文書との照合で確認できず、不明のままとした。M11_owner_jurisdictionおよびX04_owner_group_historyには、nordvpn.jsonに記録されたものと同じ空白がある。Nord Security自身の法域およびレコードは、いずれのブランドのサイトにも記載されていない。

インドと秘密命令の制度。 P04_mandate_response=withdrew_physicalは、2022年6月のインドからの撤退を示すもので、以前の調査で/trust-centerページにその記載がなくなっていることが判明した後、Surfshark自身のブログ（surfshark.com/blog/surfshark-servers-certin-india）から復元した。P11=judicial_onlyは、透明性レポートに、2026年4月のAmsterdam District Courtの令状、およびNational-Security-letterと秘密命令のカウンターがゼロであることが示されていることに基づく。

NordVPN

レコード全体について。

nordvpn.com自体は、この監査で使用したすべての非ブラウザーの取得（headless-fetchツールを含む）に対してCloudflareのボットチャレンジ（403）を返す。このレコード内のnordvpn.comページへの出典はすべて、ドメインへの直接リクエストではなく、ページをサーバー側でレンダリングする第三者リーダープロキシ（r.jina.ai）を通じて取得された。

法的文書（プライバシーポリシー、利用規約）は別ドメインのmy.nordaccount.comにあり、nordvpn.com自身のサイトマップからは発見できず、レンダリングされたページのフッターリンクをたどった場合にのみ到達できた。第6回のDeloitteノーログ保証レポート（2025年12月12日発行）は、NordVPN自身のブログ記事（「we don't publish excerpts publicly... log in to your Nord Account」）によれば明示的にログインで制限されているため、発表の要約から保持に関する所見を推測せず、R23に従いV11_audit_findingsはnot_statedとして記録されている。

2018年のフィンランドのデータセンター侵害は第三者による侵入であり、法執行機関による押収ではないため、P01_seizure_eventではなくkind=breachとしてP12_case_historyに記録されている。NordVPN自身の説明（nordvpn.com/blog/official-response-datacenter-breach/）とBloombergの当時の報道は、開示がNordVPN自身の主導ではなく、外部研究者によるTwitter上の指摘に続くものだったという点で一致しているため、self_disclosed_lateではなくthird_party_disclosedとした。

Surfshark

レコード全体について。

surfshark.comはnordvpn.comのようにCloudflareで遮断されてはいない。robots.txt、静的ページ、さらには2件のISAE 3000ノーログ保証レポートPDFと2025年12月のSecuRingインフラストラクチャ・ペネトレーションテストレポートまで、すべて直接取得できる。また、robots.txt自身のDisallowリストには正確なPDFパスが記載されていた（明らかに、直接リンクから隠すためではなく、検索結果から除外するためのものだった）。

両方の監査PDFを開いて全文を読み取った（レベルA）。2025年のレポートの付録とプライバシーポリシーは、同じレコードを同じ表現で説明している：「user ID and/or your IP address and connection to VPN server time stamps」。これはセッション終了後15分以内に自動的に削除される。

このレコードは以前に2回読み取られていた。監査の表現からV11のconnection_timestampsを、ポリシーの表現からC01のsource_ipを読み取り、2つのうち悪い方で評価していた。そのため、何も記載しない場合よりも15分のバッファの方が大きなコストとなった。C01を空欄にした場合の市場事前確率は0.550、source_ipは0.750である。

R29は線引きを明確にした。セッション終了に結び付いた宣言済みの期間内に削除された状態は接続そのものであり、その記録ではないため、両方のフィールドは同じ文でconnection_timestampsと読む。なお、セッションを超えて残るもの、すなわちポリシーのセクション2.3.1にある最後のログイン日と、監査人が挙げる接続タイムスタンプは、引き続き対象となる。