NordVPN vs Private Internet Access

Kanarek nakazowy i kwartał, który go zastąpił. Ta sama strona wycofała kanarka nakazowego (P07=removed) na rzecz kwartalnych raportów przejrzystości; ostatni pełny kwartał (kwiecień–czerwiec 2026 r.) wykazuje 85 zapytań rządowych i 0 ujawnień, więc P08/P09 dotyczą tego okresu, a nie danych z całego okresu.

Indie i reżim tajnych nakazów. P04=withdrew_physical oznacza wycofanie z Indii w czerwcu 2022 r. P11=none_known opiera się na stwierdzeniu na stronie, że NordVPN nie otrzymał żadnych wiążących listów dotyczących bezpieczeństwa narodowego ani nakazów tajności, oraz na braku takiego reżimu w Panamie.

Poziom pewności, którego nikt nie może sprawdzić. NordVPN opisuje zlecenie dla Deloitte Lithuania jako zlecenie dające rozsądną pewność zgodnie z ISAE 3000 (Revised), co stanowiłoby silniejszą formę; raport PIA, który można przeczytać, stwierdza wniosek dotyczący ograniczonej pewności.

Dlaczego silniejsza forma nie została zaliczona. Model uwzględnia teraz tę różnicę w wycenie, a ten rekord nie korzysta z tego: V15_assurance_strength jest nieznane, ponieważ jedyne stwierdzenie dotyczące poziomu pochodzi od NordVPN i dotyczy raportu, którego nikt spoza Nord Account nie może otworzyć. Dokument dostępny dopiero po zalogowaniu nie jest tu dowodem na żadnym poziomie, dlatego zlecenie zaliczono według normy rynkowej, a nie według poziomu, który miał zostać osiągnięty.

Raport dostępny dopiero po zalogowaniu. Sam raport można odczytać dopiero po zalogowaniu się do Nord Account, więc nikt spoza tej relacji nie sprawdził jego zakresu, a każde pole audytu opiera się tutaj na własnym podsumowaniu NordVPN, a nie na dokumencie. To, a nie ustalenie przeciwko usłudze, sprawia, że ten rekord jest najsłabiej udokumentowany w katalogu.

Pola właściciela. M11_owner_jurisdiction i X04_owner_group_history są nieznane: nordvpn.com i nordsecurity.com wskazują Nord Security jako właściciela, ale żadna z tych stron nie podaje własnej jurysdykcji rejestracji Nord Security ani wcześniejszej historii grupy; wtórne publikacje prasowe wiążą podmiot holdingowy „Cyberspace” z Niderlandami od czasu fuzji w 2022 roku, ale w dostępnym czasie nie potwierdzono tego na podstawie pierwotnej strony Nord Security ani NordVPN.

Czego w ogóle nie można było odczytać. Pełnego tekstu raportu Deloitte z 2025 roku w ogóle nie można odczytać (jest dostępny dopiero po zalogowaniu), dlatego nie odnotowano żadnego ustalenia dotyczącego retencji poza własną deklaracją polityki w C01_linkable_retention.

Tabela serwerów, która się nie otwierała. C09b_mandate_hosting jest nieznane: bieżąca tabela serwerów według krajów pokazuje status fizyczny/wirtualny tylko dla regionu obu Ameryk w stanie akordeonu, który ten audyt mógł wyrenderować; sekcje Europy, Azji i Pacyfiku oraz Afryki/Bliskiego Wschodu (obejmujące kilka krajów z obowiązkiem retencyjnym obsługiwanych przez flotę, np. AE, IN, TR, VN, IQ, KZ według API serwerów) ładują się po stronie klienta po kliknięciu i nie zostały rozwinięte.

Pozostawione jako nieznane, a nie uznane za deklarowane. C04-C07, U06 (dowód cenzury), U11, V12-V14, X06, X07, X10 i X11 nie zostały niezależnie potwierdzone na podstawie pierwotnego dokumentu i pozostawiono je jako nieznane, zamiast uznawać je za deklarowane na podstawie wtórnych materiałów.

Jedna wątpliwość pozostawiona otwarta i nieobciążająca wyniku. Jedna wątpliwość dotycząca X12 pozostaje otwarta i nie obciąża wyniku: formularz bezpieczeństwa danych Play dla com.nordvpn.android deklaruje Zainstalowane aplikacje w ramach analityki na Androidzie, podczas gdy polityka prywatności NordVPN wspomina o zainstalowanych aplikacjach tylko w jednym miejscu — przy skanowaniu podatności pod kątem złośliwego oprogramowania — i ogranicza przetwarzanie nazw oraz wersji aplikacji do Windows.

Dlaczego nadal odczytuje się to jako zgodność. Kategoria jest ujawniona, a nie nieobecna, zaś R28 nie wyciąga ustalenia z różnicy zakresu platform, dlatego wartość odczytuje się jako matches_policy; jednak cel na Androidzie nie jest tym, który opisuje polityka, i tylko NordVPN może stwierdzić, która z tych dwóch informacji jest zapisana błędnie.

Czego nie zbadano. Raport obejmuje wyłącznie infrastrukturę. C07a_app_sdk i C12_device_identifier to fakty po stronie aplikacji, których raport nigdy nie badał; obecnie odwołują się one zamiast tego do polityki prywatności, która opisuje analitykę dla odwiedzających stronę oraz dobrowolnie włączane raporty diagnostyczne zawierające platformę i wersję aplikacji. Odczytanie któregokolwiek z nich jako stwierdzenia dotyczącego SDK skompilowanych w aplikacji jest najsłabszym ogniwem tego rejestru, a to właśnie klienci open-source rozstrzygnęliby tę kwestię.

Wezwanie sądowe z 2016 roku opiera się na własnych słowach PIA, nie na aktach sądowych. Jedyny szczegółowy opis sprawy McWaters (S.D. Fla., 9:16-cr-80043) znajduje się na stronie afiliacyjnej, której ten rejestr nie może cytować; wokanda CourtListener dla tej sprawy nie wymienia wezwania sądowego, dostawcy ani wyniku. P03_court_record i P12_case_history opierają się teraz na własnym oświadczeniu PIA w raporcie przejrzystości, że w latach 2016–2017 otrzymała wezwanie sądowe i nie przekazała żadnych danych — samodeklaracja poziomu B, a nie zweryfikowany zapis sądowy.

Naruszenie centrum danych w Finlandii z 2018 roku było włamaniem strony trzeciej, a nie przejęciem przez organy ścigania — zapisano je w P12_case_history jako kind=breach, a nie P01_seizure_event. Własna relacja NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) i ówczesne relacje Bloomberga są zgodne co do tego, że ujawnienie nastąpiło po zarzutach na Twitterze ze strony zewnętrznych badaczy, a nie z inicjatywy NordVPN — stąd third_party_disclosed zamiast self_disclosed_late.

NordVPN i Surfshark mają wspólną grupę właścicielską (Nord Security), ale własny komunikat obu spółek o połączeniu stwierdza, że mają odrębną infrastrukturę i mapy rozwoju produktów; na tej podstawie M18 ustawiono jako odrębne.

M08_user_scale, P02_disclosure_history, P03_court_record i P12_case_history odczytano ponownie na podstawie tych samych źródeł i pozostają bez zmian; główna strona raportu przejrzystości nadal nie wymienia żadnej sprawy poza wezwaniami sądowymi z lat 2016–2017 już znajdującymi się w aktach. Ponowny przegląd cen na tej samej stronie buy-vpn-online wykazał, że obie wartości pozostały bez zmian: plan miesięczny $11,95, plan roczny $47,88 naliczane za pierwszy rok i odnawiane automatycznie po tej samej cenie $47,88, bez różnicy między ceną wstępną a ceną odnowienia, zgodnie ze stałą taryfą PIA odnotowaną w innych miejscach katalogu.

Źródła stanowiły własne strony i blog privateinternetaccess.com, dwa pliki PDF Deloitte „Independent Limited Assurance Report” zgodne z ISAE 3000 (Revised) (z kwietnia 2024 roku i grudnia 2025 roku, oba otwarte i przeczytane bezpośrednio), własna strona Kape Technologies, raporty oparte na źródłach z Isle of Man/Companies House dotyczące wycofania Kape z giełdy w 2023 roku przez Unikmind Holdings (Teddy Sagi) oraz oficjalna organizacja pia-foss w serwisie GitHub dotycząca klientów open source.

Publiczna wokanda CourtListener dla United States v. McWaters (9:16-cr-80043, S.D. Fla.) została otwarta, ale nie wymienia wezwania sądowego, dostawcy VPN ani wyniku; opis na stronie afiliacyjnej (vpncompare.co.uk), który szczegółowo opisuje to wezwanie sądowe, odrzucono jako niedozwolone źródło, a własne materiały TorrentFreak zwracały HTTP 403 przy każdej próbie pobrania w tej turze, w tym przy użyciu curl. P03/P12 opierają się teraz na własnej samodeklaracji PIA w raporcie przejrzystości.

Wikipedia została usunięta z V12 na rzecz samej organizacji GitHub. W żadnym miejscu tego rejestru nie użyto strony afiliacyjnej ani agregatora „best VPN” jako źródła faktów, mimo że w wynikach wyszukiwania wielokrotnie pojawiało się kilka takich stron z pozornie wiarygodnymi liczbami (liczby serwerów, liczby użytkowników, daty audytów), których nie można było sprawdzić względem strony źródłowej; odrzucono je zamiast wykorzystać.