NordVPN vs Proton VPN

O canário, e o trimestre que o substituiu. A mesma página retirou o canário de mandado (P07=removed) em favor de relatórios de transparência trimestrais; o último trimestre completo (abr.–jun. de 2026) mostra 85 pedidos governamentais e 0 divulgações, pelo que P08/P09 correspondem a esse período, e não ao valor de sempre.

A Índia e o regime de ordens secretas. P04=withdrew_physical corresponde à saída da Índia em junho de 2022. P11=none_known baseia-se na afirmação da página de que a NordVPN não recebeu cartas vinculativas de Segurança Nacional nem ordens de mordaça e na ausência de tal regime no Panamá.

Um nível de garantia que ninguém pode verificar. A NordVPN descreve o trabalho da Deloitte Lithuania como um trabalho de garantia razoável ao abrigo da ISAE 3000 (Revised), que seria a forma mais forte; o relatório da PIA, que pode ser consultado, declara uma conclusão de garantia limitada.

Por que a forma mais forte não é creditada. O modelo atribui agora um valor a essa diferença, e esta ficha não beneficia dela: V15_assurance_strength é desconhecido porque a única afirmação sobre o nível é da própria NordVPN, acerca de um relatório que ninguém fora de uma Nord Account pode abrir. Um documento protegido por início de sessão não é prova aqui a nenhum nível, pelo que a análise é creditada segundo a norma de mercado, e não segundo o nível que se diz ter alcançado.

Um relatório protegido por início de sessão. O próprio relatório só pode ser lido depois de iniciar sessão numa Nord Account, pelo que ninguém fora dessa relação verificou o seu âmbito, e todos os campos de auditoria aqui assentam no resumo que a própria NordVPN faz dele, e não no documento. Isso, e não uma conclusão contra o serviço, é a razão por que esta ficha é a mais incompleta do catálogo.

Os campos do proprietário. M11_owner_jurisdiction e X04_owner_group_history são desconhecidos: nordvpn.com e nordsecurity.com identificam a Nord Security como proprietária, mas nenhum dos dois indica a própria jurisdição de constituição da Nord Security ou qualquer histórico anterior do grupo; a imprensa secundária associa uma entidade holding «Cyberspace» aos Países Baixos desde a fusão de 2022, mas isso não foi confirmado numa página primária da Nord Security ou da NordVPN no tempo disponível.

O que não pôde ser lido de todo. O texto integral do relatório da Deloitte de 2025 não pode ser lido de todo (protegido por início de sessão), pelo que não é registada qualquer conclusão sobre retenção além da própria alegação da política no campo C01_linkable_retention.

A tabela de servidores que não abria. C09b_mandate_hosting é desconhecido: a tabela ativa de servidores por país mostra o estado físico/virtual apenas para a região das Américas no estado do acordeão que esta auditoria conseguiu apresentar; as secções da Europa, Ásia-Pacífico e África/Médio Oriente (que incluem vários países de mandato servidos pela frota, por exemplo AE, IN, TR, VN, IQ, KZ segundo a API de servidores) carregam do lado do cliente ao clicar e não foram expandidas.

Deixados desconhecidos em vez de afirmados. C04-C07, U06 (prova de censura), U11, V12-V14, X06, X07, X10 e X11 não foram confirmados de forma independente num documento primário e são deixados desconhecidos em vez de afirmados com base em cobertura secundária.

Uma dúvida deixada em aberto, sem penalização. Permanece uma dúvida em aberto sobre X12, sem penalização: o formulário de segurança dos dados do Play para com.nordvpn.android declara Aplicações instaladas em análise no Android, enquanto o aviso de privacidade da NordVPN menciona aplicações instaladas num único ponto — a análise de vulnerabilidades antimalware — e limita o tratamento dos nomes e versões das aplicações ao Windows.

Por que continua a ser lido como uma correspondência. A categoria é divulgada, em vez de estar ausente, e R28 não tira uma conclusão de uma diferença de âmbito da plataforma, pelo que o valor aparece como matches_policy; mas a finalidade no Android não é a que o aviso descreve, e só a NordVPN pode dizer qual dos dois está redigido incorretamente.

O recurso e o que não resolve. O recurso de 22 de outubro de 2021 é citado aqui com uma ressalva que vale a pena declarar claramente: o Federal Administrative Court decidiu que os serviços de email não são fornecedores de telecomunicações, e nem a cobertura da decisão nem o próprio relato da Proton mencionam a VPN.

O que efetivamente decide os dois campos. O que decide C10 e C11 é o facto de a Suíça não ter uma base de mandato na própria lista de países do catálogo; o recurso corrobora a forma como as autoridades suíças tratam a Proton e não constitui, por si só, uma conclusão sobre a Proton VPN. Uma decisão sobre um serviço irmão é uma base mais frágil do que a citação faz parecer.

O maior item em aberto. A Proton oferece localizações de saída em oito países que impõem um mandato de retenção. Não está comprovado que exista hardware efetivamente em algum deles: a Proton retirou os servidores físicos da Índia em 2022 e documenta o Smart Routing para localizações que serve a partir de outro lugar, o que aponta para localizações virtuais, mas isso só foi verificado para a Índia. Estabelecer C09b_mandate_hosting é o maior item em aberto neste registo.

A violação do centro de dados na Finlândia em 2018 foi uma intrusão de terceiros, não uma apreensão por autoridades policiais — registada em P12_case_history como kind=breach, e não como P01_seizure_event. O próprio relato da NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) e a cobertura contemporânea da Bloomberg concordam que a divulgação se seguiu a alegações no Twitter feitas por investigadores externos, e não a uma iniciativa da NordVPN — daí third_party_disclosed, em vez de self_disclosed_late.

A NordVPN e a Surfshark partilham um proprietário (Nord Security), mas o anúncio da fusão das próprias empresas afirma infraestruturas e roteiros de produtos separados; M18 é definido como separado com base nisso.