NordVPN vs Windscribe

Naruszenie centrum danych w Finlandii z 2018 roku było włamaniem strony trzeciej, a nie przejęciem przez organy ścigania — zapisano je w P12_case_history jako kind=breach, a nie P01_seizure_event. Własna relacja NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) i ówczesne relacje Bloomberga są zgodne co do tego, że ujawnienie nastąpiło po zarzutach na Twitterze ze strony zewnętrznych badaczy, a nie z inicjatywy NordVPN — stąd third_party_disclosed zamiast self_disclosed_late.

NordVPN i Surfshark mają wspólną grupę właścicielską (Nord Security), ale własny komunikat obu spółek o połączeniu stwierdza, że mają odrębną infrastrukturę i mapy rozwoju produktów; na tej podstawie M18 ustawiono jako odrębne.

Kanarek nakazowy i kwartał, który go zastąpił. Ta sama strona wycofała kanarka nakazowego (P07=removed) na rzecz kwartalnych raportów przejrzystości; ostatni pełny kwartał (kwiecień–czerwiec 2026 r.) wykazuje 85 zapytań rządowych i 0 ujawnień, więc P08/P09 dotyczą tego okresu, a nie danych z całego okresu.

Indie i reżim tajnych nakazów. P04=withdrew_physical oznacza wycofanie z Indii w czerwcu 2022 r. P11=none_known opiera się na stwierdzeniu na stronie, że NordVPN nie otrzymał żadnych wiążących listów dotyczących bezpieczeństwa narodowego ani nakazów tajności, oraz na braku takiego reżimu w Panamie.

Poziom pewności, którego nikt nie może sprawdzić. NordVPN opisuje zlecenie dla Deloitte Lithuania jako zlecenie dające rozsądną pewność zgodnie z ISAE 3000 (Revised), co stanowiłoby silniejszą formę; raport PIA, który można przeczytać, stwierdza wniosek dotyczący ograniczonej pewności.

Dlaczego silniejsza forma nie została zaliczona. Model uwzględnia teraz tę różnicę w wycenie, a ten rekord nie korzysta z tego: V15_assurance_strength jest nieznane, ponieważ jedyne stwierdzenie dotyczące poziomu pochodzi od NordVPN i dotyczy raportu, którego nikt spoza Nord Account nie może otworzyć. Dokument dostępny dopiero po zalogowaniu nie jest tu dowodem na żadnym poziomie, dlatego zlecenie zaliczono według normy rynkowej, a nie według poziomu, który miał zostać osiągnięty.

Raport dostępny dopiero po zalogowaniu. Sam raport można odczytać dopiero po zalogowaniu się do Nord Account, więc nikt spoza tej relacji nie sprawdził jego zakresu, a każde pole audytu opiera się tutaj na własnym podsumowaniu NordVPN, a nie na dokumencie. To, a nie ustalenie przeciwko usłudze, sprawia, że ten rekord jest najsłabiej udokumentowany w katalogu.

Pola właściciela. M11_owner_jurisdiction i X04_owner_group_history są nieznane: nordvpn.com i nordsecurity.com wskazują Nord Security jako właściciela, ale żadna z tych stron nie podaje własnej jurysdykcji rejestracji Nord Security ani wcześniejszej historii grupy; wtórne publikacje prasowe wiążą podmiot holdingowy „Cyberspace” z Niderlandami od czasu fuzji w 2022 roku, ale w dostępnym czasie nie potwierdzono tego na podstawie pierwotnej strony Nord Security ani NordVPN.

Czego w ogóle nie można było odczytać. Pełnego tekstu raportu Deloitte z 2025 roku w ogóle nie można odczytać (jest dostępny dopiero po zalogowaniu), dlatego nie odnotowano żadnego ustalenia dotyczącego retencji poza własną deklaracją polityki w C01_linkable_retention.

Tabela serwerów, która się nie otwierała. C09b_mandate_hosting jest nieznane: bieżąca tabela serwerów według krajów pokazuje status fizyczny/wirtualny tylko dla regionu obu Ameryk w stanie akordeonu, który ten audyt mógł wyrenderować; sekcje Europy, Azji i Pacyfiku oraz Afryki/Bliskiego Wschodu (obejmujące kilka krajów z obowiązkiem retencyjnym obsługiwanych przez flotę, np. AE, IN, TR, VN, IQ, KZ według API serwerów) ładują się po stronie klienta po kliknięciu i nie zostały rozwinięte.

Pozostawione jako nieznane, a nie uznane za deklarowane. C04-C07, U06 (dowód cenzury), U11, V12-V14, X06, X07, X10 i X11 nie zostały niezależnie potwierdzone na podstawie pierwotnego dokumentu i pozostawiono je jako nieznane, zamiast uznawać je za deklarowane na podstawie wtórnych materiałów.

Jedna wątpliwość pozostawiona otwarta i nieobciążająca wyniku. Jedna wątpliwość dotycząca X12 pozostaje otwarta i nie obciąża wyniku: formularz bezpieczeństwa danych Play dla com.nordvpn.android deklaruje Zainstalowane aplikacje w ramach analityki na Androidzie, podczas gdy polityka prywatności NordVPN wspomina o zainstalowanych aplikacjach tylko w jednym miejscu — przy skanowaniu podatności pod kątem złośliwego oprogramowania — i ogranicza przetwarzanie nazw oraz wersji aplikacji do Windows.

Dlaczego nadal odczytuje się to jako zgodność. Kategoria jest ujawniona, a nie nieobecna, zaś R28 nie wyciąga ustalenia z różnicy zakresu platform, dlatego wartość odczytuje się jako matches_policy; jednak cel na Androidzie nie jest tym, który opisuje polityka, i tylko NordVPN może stwierdzić, która z tych dwóch informacji jest zapisana błędnie.

Dlaczego retencja jest wyceniana na podstawie ustalenia. Retencja jest więc wyceniana na podstawie tego, do czego dostęp wykazał audytor, a nie tego, co deklaruje polityka, natomiast kanał integralności pokazuje odległość między tymi dwiema rzeczami. Należy to odczytywać jako ustalenie sprzed dwóch lat dotyczące jednego węzła, a nie jako bieżący pomiar: zakres obejmował wyłącznie ca-023.windscribe.com, a rozstrzygnąć tę kwestię mógłby nowszy audyt obejmujący większą część floty.

Lista, której nigdy nie odczytano. Oferowana lista krajów nigdy nie została odczytana, więc nie można obliczyć ani wyniku użyteczności dla krajów, ani przecięcia z obowiązkiem — Windscribe publikuje rozróżnienie na lokalizacje fizyczne i wirtualne, dzięki czemu C09b można tutaj ocenić, gdy tylko lista będzie dostępna. Skala użytkowników również nie jest potwierdzona, przez co przedział ekspozycji opiera się na mniejszej podstawie, niż powinien.

Skąd trzy zdarzenia czerpią teraz cytowania. AIN.UA nadal zawiera informację o ukraińskich serwerach przejętych 24 czerwca 2021 roku, a własny blog Windscribe — o greckiej sprawie oddalonej 11 kwietnia 2025 roku. Holenderskie przejęcie oraz samo pole przejęcia odwołują się teraz do własnej strony Windscribe dotyczącej braku logów, a nie do prasy opłaconej przez program partnerski, która po raz pierwszy o nim poinformowała: relacja firmy z własnego przejęcia jest źródłem pierwotnym, a nie cudzą relacją z jednego przejęcia. Ukraińskie zdarzenie datuje się na samo przejęcie, a nie na późniejszą publikację.