Opera VPN vs Private Internet Access

O relatório que alteraria quatro campos. O relatório da Deloitte é o outro documento que alteraria vários campos de uma só vez: V04, V07, V11 e V15 são todos desconhecidos apenas porque não está publicado, e V11, em particular, é o campo em que assenta toda a alegação de ausência de registos.

O que não tem documento. U07 não tem documento, nem C13 que lhe está subjacente: a Opera menciona AES-256 e um «túnel seguro», mas nunca um protocolo, pelo que o transporte mais fraco disponível não está comprovado. U08, U09 e U12b não estão preenchidos pela mesma razão — a tabela de comparação de funcionalidades na página do produto assinala as linhas com marcas de seleção que a marcação obtida não contém, e ler marcas de seleção numa imagem renderizada não é uma fonte.

Servidores descritos, não comprovados. C02, C06 e C08 não têm qualquer prova por trás: a Opera afirma que os servidores são físicos e seus, o que não comprova nem o disco, nem o DNS, nem quem é proprietário do hardware. C09b não pode ser respondido enquanto U02 for desconhecido.

Uma loja, não duas. Apenas foi lido o formulário de segurança dos dados do Google Play; as etiquetas de privacidade da App Store para o navegador iOS não foram lidas, pelo que X12 assenta numa loja, e não na pior das duas.

Duas leituras em vez de afirmações. O Linux em U01 é inferido do manual de ajuda para computador, que documenta a VPN e abrange Windows, macOS e Linux em conjunto, sem os separar por plataforma; Android e iOS são nomeados explicitamente no anúncio da auditoria. U10 é ilimitado porque não há conta nem limite de dispositivos que imponha um limite, o que é uma leitura do produto e não um valor declarado.

O que não examinou. O relatório abrange apenas a infraestrutura. C07a_app_sdk e C12_device_identifier são factos do lado da aplicação que nunca examinou; agora citam a política de privacidade, que descreve análises para visitantes do site e relatórios de diagnóstico opt-in que incluem a plataforma e a versão da aplicação. Interpretar qualquer um deles como uma afirmação sobre SDK compilados na aplicação é o elo mais fraco desta ficha, e é nos clientes de código aberto que isso seria efetivamente esclarecido.

A intimação de 2016 baseia-se na própria palavra da PIA, não no processo judicial. O único relato detalhado do caso McWaters (S.D. Fla., 9:16-cr-80043) encontra-se num site afiliado que esta ficha não pode citar; o processo desse caso no CourtListener não identifica nenhuma intimação, nenhum fornecedor e nenhum resultado. P03_court_record e P12_case_history baseiam-se agora na declaração do próprio relatório de transparência da PIA de que recebeu uma intimação em 2016-2017 e não produziu nada — uma autodeclaração de nível B, não um registo judicial verificado.

X02 é a constatação decisiva, e os dois documentos que a sustentam são da própria Opera. O anúncio de 2024 cita a opinião da Deloitte como sendo de que "a configuração dos sistemas de TI e a gestão das operações de TI de suporte foram devidamente concebidas e implementadas, em todos os aspetos materiais, com base nos critérios descritos na Management Assertion da Opera, à data de 10 de agosto de 2024", e atribui separadamente à própria Management Assertion da Opera a frase "Não existe qualquer funcionalidade de registo de dados incorporada no serviço VPN e não são recolhidos quaisquer dados".

A publicação de 2026 reconta o mesmo trabalho, apresentando a Deloitte como tendo feito a constatação: "demos à equipa da Deloitte acesso completo à nossa infraestrutura de VPN e de servidores, e conseguiram verificar a nossa afirmação ... Na verdade, uma função de registo de dados nem sequer está incorporada na VPN desde o início." A mesma publicação transforma uma janela que a publicação de 2024 data de 18 de junho a 10 de agosto de 2024 em "acesso completo".

A Opera está a descrever a sua própria afirmação como a conclusão do seu auditor. É por isso que o bloco VERIFY se divide da forma que se divide. V01 é yes_verified com base num relatório que foi efetivamente aberto — o resumo de gestão publicado pela própria Cure53 sobre a sua avaliação de março de 2022 — e não com base no anúncio da Deloitte.

O próprio relatório da Deloitte não está publicado em lado algum, pelo que V02 é press_only, e todos os campos que constituem uma constatação desse relatório, e não um facto sobre o trabalho realizado, permanecem desconhecidos: cobertura da frota (V04), norma de garantia (V07), o que o relatório afirma ser retido (V11) e a robustez da opinião (V15).

Os factos do trabalho — a empresa, a sua categoria, a data, o que foi listado como testado — são retirados do anúncio. Um fornecedor que comprovadamente voltou a caracterizar esta auditoria de forma diferente uma vez não é uma fonte sobre o que a auditoria concluiu. C01 é none_linkable porque essa é a declaração constante da declaração de privacidade; V11 é a constatação, e não há nenhuma constatação para ler.

O relatório da Cure53 é real e é a razão pela qual V14 é yes_verified: sete testadores, vinte e quatro dias-pessoa, uma avaliação de caixa branca em quatro pacotes de trabalho que abrangeram os clientes VPN, a configuração e a infraestrutura do servidor, e o protocolo Opera Mini utilizado para fornecer a configuração VPN. Catorze problemas relevantes para a segurança, oito dos quais eram vulnerabilidades efetivas, cinco classificados como de gravidade elevada e nenhum crítico.

À data de março de 2022, nove tinham sido corrigidos, com as correções verificadas, um estava parcialmente corrigido, três tinham o risco aceite, um era um falso alerta e um continuava em curso. O blogue da Opera afirma que os sete itens relacionados diretamente com a VPN do navegador foram "todos posteriormente resolvidos", e a tabela confirma isso — o remanescente está no pacote de trabalho do Opera Mini, não na própria VPN.

A propriedade está totalmente divulgada e termina num país de mandato, razão pela qual X03 e C11 apontam em direções opostas sem se contradizerem.

O responsável pelo tratamento dos dados identificado na própria declaração de privacidade da Opera é a Opera Norway AS, uma empresa norueguesa, e o relatório de transparência é apresentado nesse nome.

A sociedade holding é a Opera Limited, uma sociedade isenta constituída nas Ilhas Caimão em março de 2018, sem operações substanciais próprias. O Form 20-F de 2025 identifica a Hong Kong Kunlun Tech Holding Limited como acionista principal, com 68,0%, uma subsidiária da Kunlun Tech Co., Ltd. constituída na RPC, e afirma que a Kunlun "é a sociedade-mãe final da Opera e é controlada pelo presidente executivo da Opera".

Assim, M06 é NO e C10 é no, enquanto M11 é CN e C11 é yes.

C12 é a lacuna mais acentuada entre a declaração da VPN e a aplicação onde está integrada. A secção da VPN da declaração de privacidade declara ausência de registos; uma secção diferente do mesmo documento afirma que, quando uma aplicação Opera é instalada, "é gerado um ID de instalação aleatório. Recolhemos este identificador, bem como o Machine ID, especificações do hardware (modelo, data de lançamento, etc.), o sistema operativo, a configuração do ambiente e dados de utilização das funcionalidades", retidos durante até três anos.

Um Machine ID é derivado do hardware, pelo que o identificador que o fornecedor detém é persistent_hardware_id e não um identificador aleatório específico da aplicação, independentemente do que o túnel regista ou não regista.

X12 compara dois documentos que a própria Opera apresentou. O formulário de segurança dos dados da Play para com.opera.browser declara que Installed apps é recolhido para Analytics, e a declaração de privacidade nunca menciona a recolha das aplicações instaladas no dispositivo. Installed apps é comportamento, não um identificador, daí undisclosed_behaviour.

O mesmo formulário declara que Device or other IDs são partilhados com outras empresas para publicidade, o que coloca C07a em ads. C07b assenta em algo mais restrito e é marcado como B por isso: o único anfitrião de terceiros na marcação servida para a página do produto é Google Tag Manager, e o que esse contentor carrega em tempo de execução não foi enumerado.

U02 é desconhecido por conceção do produto, não por falha da pesquisa: a VPN gratuita oferece três regiões — a Opera chama-lhes America, Asia e Europe — e nunca um país. C09 e C09b decorrem disso e não podem ser estabelecidos enquanto essa situação se mantiver.

X05 é ads_supported na própria explicação da Opera, que lista a publicidade em primeiro lugar entre três fontes de receita e descreve a Opera Ads a recolher um ID de utilizador gerado aleatoriamente, a cidade ou o país e categorias gerais dos sites consultados, retidos durante até um ano; juntamente com U05 = unlimited_free, este é exatamente o caso que R15 existe para assinalar.

X06 é a alegação da publicação de 2026 de que o AES-256 "levaria um hacker, mesmo com o computador mais rápido, mais de mil milhões de anos a quebrar". X09 é self_disclosed_prompt em duas publicações de 2026 nas quais a Opera publicou vulnerabilidades que investigadores externos lhe tinham comunicado, juntamente com a análise e a versão corrigida — estas são vulnerabilidades do navegador, não incidentes de VPN, e não é conhecido qualquer incidente de VPN.

C05 é not_sold. A VPN gratuita não tem qualquer etapa de pagamento — nem subscrição, nem conta —, portanto não há nada a pagar anonimamente ou de outra forma.

Esta ficha foi inicialmente escrita como none, o que significa «são oferecidos apenas os métodos de pagamento identificados» e é falso neste caso, porque o vocabulário não tinha um token para um serviço que não recebe dinheiro; unknown teria afirmado que a pesquisa falhou, o que também era falso, e entre duas interpretações erradas foi registada a que erra contra o fornecedor. O token existe agora e tem o preço de nada, que é a resposta honesta: onde não há pagamento, não há identidade de pagamento para divulgar.

M08_user_scale, P02_disclosure_history, P03_court_record e P12_case_history foram relidos com base nas mesmas fontes e permanecem inalterados; a página principal do relatório de transparência continua sem identificar nenhum caso além das intimações de 2016-2017 já registadas. A releitura dos preços na mesma página buy-vpn-online constatou que os dois valores permanecem inalterados: mês a mês, $11,95; plano de um ano, $47,88 cobrados pelo primeiro ano e renovado automaticamente pelo mesmo valor de $47,88, sem diferença entre o preço inicial e o de renovação, em consonância com os preços fixos da PIA indicados noutra parte do catálogo.

Com base nas próprias páginas e no blogue de privateinternetaccess.com, nos dois PDFs 'Independent Limited Assurance Report' da Deloitte ISAE 3000 (Revised) (abril de 2024 e dezembro de 2025, ambos abertos e lidos diretamente), no próprio site da Kape Technologies, nos relatórios provenientes da Isle of Man/Companies House sobre a aquisição para privatização da Kape em 2023 pela Unikmind Holdings (Teddy Sagi), e na organização oficial do GitHub pia-foss para os clientes de código aberto.

O processo público no CourtListener de United States v. McWaters (9:16-cr-80043, S.D. Fla.) foi consultado, mas não identifica nenhuma intimação, fornecedor de VPN ou resultado; o artigo afiliado (vpncompare.co.uk) que descreve essa intimação em detalhe foi descartado como fonte proibida, e a cobertura do próprio TorrentFreak devolveu HTTP 403 em todas as tentativas de consulta nesta execução, incluindo curl. P03/P12 baseiam-se agora na autodeclaração da PIA no relatório de transparência.

Wikipedia foi retirada de V12 em favor da própria organização do GitHub. Nenhum site afiliado ou agregador de 'melhor VPN' foi usado como fonte factual em nenhuma parte desta ficha, embora vários tenham surgido repetidamente nos resultados de pesquisa com números aparentemente plausíveis (contagens de servidores, contagens de utilizadores, datas de auditorias) que não puderam ser confirmados numa página primária e foram descartados em vez de utilizados.