ExpressVPN vs Private Internet Access

Raport przejrzystości. P05/P06/P08/P09 opierają się teraz na półrocznym raporcie przejrzystości ExpressVPN (lip.–gru. 2025: 155 wniosków rządowych i organów ścigania, 0 ujawnień, 3 nakazy wymienione osobno), dostępnym przez Trust Center — wcześniejszy przebieg nie uwzględnił żadnego z tych dwóch elementów.

Canary i reszta bloku. Nie znaleziono canary dotyczącego nakazów ExpressVPN i nie znaleziono żadnego pierwotnego oświadczenia, które by mu zaprzeczało, więc P07 pozostaje nieznane. P02/P03=none_known opierają się na serii raportów przejrzystości i stanowisku dotyczącym postępowań sądowych zawartym w polityce prywatności; P11=none_known — na oświadczeniu w tej polityce, że wszystkie żądania przechodzą przez sądy BVI. P04=withdrew_physical oznacza wycofanie się z Indii w czerwcu 2022 r.

Co nigdy nie jest publikowane. Liczba subskrybentów (M08) i łączna liczba serwerów (U03) nie są publikowane. Nie udało się potwierdzić na podstawie żadnej sprawdzonej strony, kto jest właścicielem sprzętu serwerowego (C08: własny czy dzierżawiony) ani jakie są identyfikatory urządzeń na poziomie aplikacji (C12).

106 krajów wobec deklarowanych 113. U02_server_countries odzwierciedla 105 stron docelowych krajów w sitemapie ExpressVPN oraz Chiny (potwierdzone jako „Available - Virtual Locations” na aktywnej stronie /vpn-server, ale bez odrębnej strony docelowej) — łącznie 106 kodów wobec własnej deklaracji marketingowej serwisu „113 Countries”; aktywna strona lokalizacji serwerów to bardzo duża tabela według protokołów, której nie przeanalizowano wyczerpująco, więc luka między 106 a 113 jest zaraportowana, a nie wyjaśniona.

W 2017 r. władze tureckie zajęły serwer ExpressVPN podczas śledztwa w sprawie zabójstwa rosyjskiego ambasadora Andrieja Karłowa i nie znalazły żadnych użytecznych logów (TorrentFreak, który zawiera informację o sponsorowaniu przez ExpressVPN — odnotowane, a nie wykluczone, ponieważ fakty można zewnętrznie sprawdzić, a własna strona z oświadczeniem ExpressVPN od tego czasu zwraca HTTP 410 i nie ma jej migawki w Wayback Machine).

We wrześniu 2021 r. upubliczniono zawartą przez DOJ umowę Deferred Prosecution Agreement z Danielem Gerickiem, dyrektorem ds. informacji w ExpressVPN, dotyczącą jego wcześniejszej roli w latach 2016–2018 w hakerskiej operacji „Project Raven” w ZEA; sam główny dokument DPA nigdy nie wymienia ExpressVPN (dotyczy wyłącznie jego wcześniejszego zatrudnienia w ZEA) — powiązanie z ExpressVPN wynika z własnych oświadczeń ExpressVPN i doniesień prasowych. ExpressVPN pozostawił Gerickego w zatrudnieniu i opublikował publiczną obronę tej decyzji.

C12 to resettable_ad_id na podstawie własnego opisu dostawcy, a nie kategorii sklepu. W akapicie dotyczącym marketingu w polityce prywatności stwierdzono, że Installation ID i XV User ID są zawsze zbierane, a identyfikatory reklamowe — IDFA lub Android Advertising ID — są przekazywane po uzyskaniu wyraźnej zgody; całość trafia do AppsFlyer. Formularz bezpieczeństwa danych w Google Play niezależnie deklaruje wykorzystywanie identyfikatorów urządzenia lub innych identyfikatorów do celów reklamowych lub marketingowych.

Mechanizm zgody oraz środek zaradczy, którego nie oferuje tu nikt inny — ruch kierowany do AppsFlyer przez dedykowaną pulę adresów IP ExpressVPN, dzięki czemu atrybucja nie może korelować na podstawie adresu IP — są rzeczywiste i zostały tu odnotowane, ponieważ dolna granica ocenia to, co można utrzymać, a nie to, jak dobrze zostało to wyjaśnione.