PureVPN

2017年に使用された正確な法的手段は、宣誓供述書には記載されていない。P12イベントは、その手段自体を名指しする出典ではなく、PureVPNが自ら説明した対応基準（「有効な裁判所命令または召喚状」）に基づき、kind=subpoenaとして記録されている。

2つ目の独立した所見も、より小規模ながら同じパターンを裏付けている。PureVPNによる4回目のノーログ評価（ブログ、2023年8月18日）の説明では、評価者が、旧式または手動設定されたプロトコルの利用者について、「不完全な接続のエラーログ内に……発信元IPアドレス」を確認し、さらに初回接続時刻、最終接続時刻、接続回数のログも確認したとされている。これはV11_audit_findingsにsource_ipとして記録されている。モデル独自のルールに従い、C01が申告する内容とこの所見が示す内容のうち、より悪い方が採用されている。

基礎となる評価報告書も、企業名も、この実行で確認できた範囲ではどこにも公開されていない。ノーログ評価ページ自身のマーケティング文言には、名称が入るべき箇所が文字どおり「よく知られた監査法人」と記載されているため、V06_firm_categoryは推測せず、名称不明として記録されている。

プライバシーポリシーページに別途付されたパートナー向け通知では、「KPMG-Audited No-Logs Network」の監査人としてKPMGが個別に記載されている。ただし、その通知はホワイトラベルのPartner Deploymentsのみに適用され、このレコードがスコア対象とするコンシューマーサービスには適用されないと明記しているため、ここではV05/V06についてKPMGを出典としていない。

法域：PureVPN自身の「About Us」ページには、イギリス領ヴァージン諸島には「no mandatory data retention laws」があることを理由に、同地を選択したと記載されている。このプロジェクト独自の義務表（countries.csv）では、VGを根拠の記載なしの義務法域として記録しており、別途、親グループのDisrupt（旧Gaditek）がdisrupt.comによれば現在本社を置くAE（UAE）を、「licensing and lawful-interception obligations」という根拠の記載がある義務法域として記録している。

その表の該当エントリーではC10とC11の両方がyesとして記録されている。このレコードでは、それをX01=lie_about_jurisdictionの判定にまで拡張していない。これは、VGについての義務表自体の根拠欄が空白であり、この実行ではBVIの法律がVPN事業者に何を要求しているのか、仮に要求しているとしても何を要求しているのかを独自に確認していないためである。

法人名は、プライバシーポリシー本文（「GZ Systems Private Ltd」）とサイトのフッター／会社登録行（「GZ Systems Limited」）で一致していない。両方を出典として記録し、一方を黙って選ぶのではなく、両方の名称を注記した1つの法人として記録した。

更新 2026年9月13日：purevpn.com/vpn-transparency-reportでは現在、Q2 2026の期間（受領したリクエスト「38K+」、共有したユーザーログ0件）を見出しに表示しているが、JSでアニメーションするカウンターであり、ページの静的マークアップには正確な整数が表示されない。また、Q1 2025以降、正確な件数を記載した四半期ごとの専用ブログ記事は公開されていない（完全なブログサイトマップで確認済み――存在するのは2024年の年次記事とQ1 2025の記事のみ）。

したがってP06/P08/P09は、正確で出典を示せる数値がある直近の期間であるQ1 2025の数値（リクエスト23,838件、提供0件）に固定されたままである。ライブダッシュボードも同じゼロ開示のパターンを裏付けているが、置き換え可能な値は提供していない。