ExpressVPN vs Private Internet Access

Em 2017, as autoridades turcas apreenderam um servidor da ExpressVPN ao investigarem o assassinato do embaixador russo Andrei Karlov e não encontraram registos utilizáveis (TorrentFreak, que apresenta um aviso de patrocínio da ExpressVPN — assinalado, não excluído, uma vez que os factos podem ser verificados externamente e a própria página de declaração da ExpressVPN desde então devolveu HTTP 410 sem qualquer captura na Wayback Machine).

Em setembro de 2021, o Deferred Prosecution Agreement do DOJ com Daniel Gericke, Chief Information Officer da ExpressVPN, relativo ao seu anterior cargo, entre 2016 e 2018, na operação de pirataria informática «Project Raven» dos EAU tornou-se público; o documento principal do DPA nunca menciona a ExpressVPN (abrange apenas o seu emprego anterior nos EAU) — a ligação à ExpressVPN provém das declarações da própria ExpressVPN e da imprensa. A ExpressVPN manteve Gericke empregado e publicou uma defesa pública dessa decisão.

C12 é resettable_ad_id no texto do próprio fornecedor, e não numa categoria da loja. O parágrafo de marketing da política de privacidade declara que um Installation ID e um XV User ID são sempre recolhidos e que os identificadores de publicidade — IDFA ou Android Advertising ID — são enviados após consentimento explícito, sendo tudo isso enviado para AppsFlyer; o formulário de segurança dos dados do Play declara de forma independente Device ou outros IDs para publicidade ou marketing.

A barreira de consentimento e uma mitigação que nenhum outro fornecedor aqui oferece — o tráfego destinado à AppsFlyer encaminhado através de um conjunto dedicado de IPs da ExpressVPN, para que a atribuição não possa fazer correlações por IP — são reais e estão registados aqui, porque a barreira avalia o que pode ser retido, não quão bem é explicado.

U07_protocols inclui todo o seletor: Lightway UDP e TCP como vendor_open, além de WireGuard, OpenVPN UDP/TCP e IKEv2. Lightway é o protocolo próprio da ExpressVPN e o seu código-fonte é publicado com uma análise independente que o sustenta (Cure53, 2021 e 2024), que é a distinção para a qual existe vendor_open — proprietary atribui pontuação à impossibilidade de determinar se um transporte é fraco, e aqui é possível determiná-lo.

O PPTP foi retirado das aplicações da ExpressVPN pela própria página de protocolos do fornecedor, e L2TP e SSTP são aí explicados sem serem disponibilizados.

M08_user_scale, P02_disclosure_history, P03_court_record e P12_case_history foram relidos com base nas mesmas fontes e permanecem inalterados; a página principal do relatório de transparência continua sem identificar nenhum caso além das intimações de 2016-2017 já registadas. A releitura dos preços na mesma página buy-vpn-online constatou que os dois valores permanecem inalterados: mês a mês, $11,95; plano de um ano, $47,88 cobrados pelo primeiro ano e renovado automaticamente pelo mesmo valor de $47,88, sem diferença entre o preço inicial e o de renovação, em consonância com os preços fixos da PIA indicados noutra parte do catálogo.

Com base nas próprias páginas e no blogue de privateinternetaccess.com, nos dois PDFs 'Independent Limited Assurance Report' da Deloitte ISAE 3000 (Revised) (abril de 2024 e dezembro de 2025, ambos abertos e lidos diretamente), no próprio site da Kape Technologies, nos relatórios provenientes da Isle of Man/Companies House sobre a aquisição para privatização da Kape em 2023 pela Unikmind Holdings (Teddy Sagi), e na organização oficial do GitHub pia-foss para os clientes de código aberto.

O processo público no CourtListener de United States v. McWaters (9:16-cr-80043, S.D. Fla.) foi consultado, mas não identifica nenhuma intimação, fornecedor de VPN ou resultado; o artigo afiliado (vpncompare.co.uk) que descreve essa intimação em detalhe foi descartado como fonte proibida, e a cobertura do próprio TorrentFreak devolveu HTTP 403 em todas as tentativas de consulta nesta execução, incluindo curl. P03/P12 baseiam-se agora na autodeclaração da PIA no relatório de transparência.

Wikipedia foi retirada de V12 em favor da própria organização do GitHub. Nenhum site afiliado ou agregador de 'melhor VPN' foi usado como fonte factual em nenhuma parte desta ficha, embora vários tenham surgido repetidamente nos resultados de pesquisa com números aparentemente plausíveis (contagens de servidores, contagens de utilizadores, datas de auditorias) que não puderam ser confirmados numa página primária e foram descartados em vez de utilizados.

O relatório de transparência. P05/P06/P08/P09 assentam agora no relatório de transparência semestral da ExpressVPN (jul.–dez. de 2025: 155 pedidos governamentais/de autoridades policiais, 0 divulgações, 3 mandados listados separadamente), acedido através do Trust Center — a análise anterior não encontrou nenhum dos dois.

O canário, e o resto do bloco. Não foi possível encontrar um canário de mandados da ExpressVPN e nenhuma declaração primária nega a sua existência, pelo que P07 permanece desconhecido. P02/P03=none_known assentam na série de transparência e na posição da política de privacidade sobre litígios; P11=none_known assenta na declaração da política de que todas as exigências passam pelos tribunais das BVI. P04=withdrew_physical é a saída da Índia em junho de 2022.

O que nunca é publicado. O número de subscritores (M08) e o número total de servidores (U03) não são publicados. A propriedade do hardware dos servidores (C08: próprio versus arrendado) e os identificadores de dispositivos ao nível da aplicação (C12) não puderam ser comprovados em nenhuma página consultada.

106 países contra uma alegação de 113. U02_server_countries reflete as 105 páginas de destino por país no próprio mapa do site da ExpressVPN, mais a China (confirmada como «Available - Virtual Locations» na página ativa /vpn-server, mas sem uma página de destino dedicada) — 106 códigos no total, contra a própria alegação de marketing do site de «113 Countries»; a página ativa de localizações de servidores é uma tabela muito extensa por protocolo que não foi analisada exaustivamente, pelo que a lacuna entre 106 e 113 é reportada, não resolvida.

Uma conclusão de auditoria entre duas categorias. V11_audit_findings é registado como session_metadata, em vez de none_linkable ou aggregates_only: o relatório da KPMG de 2025 descreve um registo estruturado por ligação (país, ISP, data, protocolo, volume de dados, um pseudónimo estável com hash salteado) que é mais do que um agregado puro, mas não contém IP nem hora precisa — um caso genuinamente ambíguo para as quatro categorias intermédias deste campo.

Não verificado nesta passagem. Não foram verificadas nesta passagem a existência da cobertura da ExpressVPN fora de sites afiliados (X08), o seu escalão de pagamento a afiliados (X10) e se os meios de análise geridos pelo proprietário assinalam a ligação de propriedade (X11).

P2P, procurado e ausente. U12a_p2p_allowed continua desconhecido por uma razão diferente da dos restantes: foi procurado e não está publicado. Nem o mapa do site (578 páginas e URLs de suporte) nem os termos de serviço mencionam P2P, BitTorrent ou partilha de ficheiros em qualquer parte, enquanto todos os outros fornecedores catalogados indicam a sua posição nos seus próprios documentos. Um artigo de suporte ou uma cláusula nos termos resolveria a questão; um site de análise que dissesse que funciona não resolveria.

O que não examinou. O relatório abrange apenas a infraestrutura. C07a_app_sdk e C12_device_identifier são factos do lado da aplicação que nunca examinou; agora citam a política de privacidade, que descreve análises para visitantes do site e relatórios de diagnóstico opt-in que incluem a plataforma e a versão da aplicação. Interpretar qualquer um deles como uma afirmação sobre SDK compilados na aplicação é o elo mais fraco desta ficha, e é nos clientes de código aberto que isso seria efetivamente esclarecido.

A intimação de 2016 baseia-se na própria palavra da PIA, não no processo judicial. O único relato detalhado do caso McWaters (S.D. Fla., 9:16-cr-80043) encontra-se num site afiliado que esta ficha não pode citar; o processo desse caso no CourtListener não identifica nenhuma intimação, nenhum fornecedor e nenhum resultado. P03_court_record e P12_case_history baseiam-se agora na declaração do próprio relatório de transparência da PIA de que recebeu uma intimação em 2016-2017 e não produziu nada — uma autodeclaração de nível B, não um registo judicial verificado.