Opera VPN vs Proton VPN

O relatório que alteraria quatro campos. O relatório da Deloitte é o outro documento que alteraria vários campos de uma só vez: V04, V07, V11 e V15 são todos desconhecidos apenas porque não está publicado, e V11, em particular, é o campo em que assenta toda a alegação de ausência de registos.

O que não tem documento. U07 não tem documento, nem C13 que lhe está subjacente: a Opera menciona AES-256 e um «túnel seguro», mas nunca um protocolo, pelo que o transporte mais fraco disponível não está comprovado. U08, U09 e U12b não estão preenchidos pela mesma razão — a tabela de comparação de funcionalidades na página do produto assinala as linhas com marcas de seleção que a marcação obtida não contém, e ler marcas de seleção numa imagem renderizada não é uma fonte.

Servidores descritos, não comprovados. C02, C06 e C08 não têm qualquer prova por trás: a Opera afirma que os servidores são físicos e seus, o que não comprova nem o disco, nem o DNS, nem quem é proprietário do hardware. C09b não pode ser respondido enquanto U02 for desconhecido.

Uma loja, não duas. Apenas foi lido o formulário de segurança dos dados do Google Play; as etiquetas de privacidade da App Store para o navegador iOS não foram lidas, pelo que X12 assenta numa loja, e não na pior das duas.

Duas leituras em vez de afirmações. O Linux em U01 é inferido do manual de ajuda para computador, que documenta a VPN e abrange Windows, macOS e Linux em conjunto, sem os separar por plataforma; Android e iOS são nomeados explicitamente no anúncio da auditoria. U10 é ilimitado porque não há conta nem limite de dispositivos que imponha um limite, o que é uma leitura do produto e não um valor declarado.

O recurso e o que não resolve. O recurso de 22 de outubro de 2021 é citado aqui com uma ressalva que vale a pena declarar claramente: o Federal Administrative Court decidiu que os serviços de email não são fornecedores de telecomunicações, e nem a cobertura da decisão nem o próprio relato da Proton mencionam a VPN.

O que efetivamente decide os dois campos. O que decide C10 e C11 é o facto de a Suíça não ter uma base de mandato na própria lista de países do catálogo; o recurso corrobora a forma como as autoridades suíças tratam a Proton e não constitui, por si só, uma conclusão sobre a Proton VPN. Uma decisão sobre um serviço irmão é uma base mais frágil do que a citação faz parecer.

O maior item em aberto. A Proton oferece localizações de saída em oito países que impõem um mandato de retenção. Não está comprovado que exista hardware efetivamente em algum deles: a Proton retirou os servidores físicos da Índia em 2022 e documenta o Smart Routing para localizações que serve a partir de outro lugar, o que aponta para localizações virtuais, mas isso só foi verificado para a Índia. Estabelecer C09b_mandate_hosting é o maior item em aberto neste registo.

X02 é a constatação decisiva, e os dois documentos que a sustentam são da própria Opera. O anúncio de 2024 cita a opinião da Deloitte como sendo de que "a configuração dos sistemas de TI e a gestão das operações de TI de suporte foram devidamente concebidas e implementadas, em todos os aspetos materiais, com base nos critérios descritos na Management Assertion da Opera, à data de 10 de agosto de 2024", e atribui separadamente à própria Management Assertion da Opera a frase "Não existe qualquer funcionalidade de registo de dados incorporada no serviço VPN e não são recolhidos quaisquer dados".

A publicação de 2026 reconta o mesmo trabalho, apresentando a Deloitte como tendo feito a constatação: "demos à equipa da Deloitte acesso completo à nossa infraestrutura de VPN e de servidores, e conseguiram verificar a nossa afirmação ... Na verdade, uma função de registo de dados nem sequer está incorporada na VPN desde o início." A mesma publicação transforma uma janela que a publicação de 2024 data de 18 de junho a 10 de agosto de 2024 em "acesso completo".

A Opera está a descrever a sua própria afirmação como a conclusão do seu auditor. É por isso que o bloco VERIFY se divide da forma que se divide. V01 é yes_verified com base num relatório que foi efetivamente aberto — o resumo de gestão publicado pela própria Cure53 sobre a sua avaliação de março de 2022 — e não com base no anúncio da Deloitte.

O próprio relatório da Deloitte não está publicado em lado algum, pelo que V02 é press_only, e todos os campos que constituem uma constatação desse relatório, e não um facto sobre o trabalho realizado, permanecem desconhecidos: cobertura da frota (V04), norma de garantia (V07), o que o relatório afirma ser retido (V11) e a robustez da opinião (V15).

Os factos do trabalho — a empresa, a sua categoria, a data, o que foi listado como testado — são retirados do anúncio. Um fornecedor que comprovadamente voltou a caracterizar esta auditoria de forma diferente uma vez não é uma fonte sobre o que a auditoria concluiu. C01 é none_linkable porque essa é a declaração constante da declaração de privacidade; V11 é a constatação, e não há nenhuma constatação para ler.

O relatório da Cure53 é real e é a razão pela qual V14 é yes_verified: sete testadores, vinte e quatro dias-pessoa, uma avaliação de caixa branca em quatro pacotes de trabalho que abrangeram os clientes VPN, a configuração e a infraestrutura do servidor, e o protocolo Opera Mini utilizado para fornecer a configuração VPN. Catorze problemas relevantes para a segurança, oito dos quais eram vulnerabilidades efetivas, cinco classificados como de gravidade elevada e nenhum crítico.

À data de março de 2022, nove tinham sido corrigidos, com as correções verificadas, um estava parcialmente corrigido, três tinham o risco aceite, um era um falso alerta e um continuava em curso. O blogue da Opera afirma que os sete itens relacionados diretamente com a VPN do navegador foram "todos posteriormente resolvidos", e a tabela confirma isso — o remanescente está no pacote de trabalho do Opera Mini, não na própria VPN.

A propriedade está totalmente divulgada e termina num país de mandato, razão pela qual X03 e C11 apontam em direções opostas sem se contradizerem.

O responsável pelo tratamento dos dados identificado na própria declaração de privacidade da Opera é a Opera Norway AS, uma empresa norueguesa, e o relatório de transparência é apresentado nesse nome.

A sociedade holding é a Opera Limited, uma sociedade isenta constituída nas Ilhas Caimão em março de 2018, sem operações substanciais próprias. O Form 20-F de 2025 identifica a Hong Kong Kunlun Tech Holding Limited como acionista principal, com 68,0%, uma subsidiária da Kunlun Tech Co., Ltd. constituída na RPC, e afirma que a Kunlun "é a sociedade-mãe final da Opera e é controlada pelo presidente executivo da Opera".

Assim, M06 é NO e C10 é no, enquanto M11 é CN e C11 é yes.

C12 é a lacuna mais acentuada entre a declaração da VPN e a aplicação onde está integrada. A secção da VPN da declaração de privacidade declara ausência de registos; uma secção diferente do mesmo documento afirma que, quando uma aplicação Opera é instalada, "é gerado um ID de instalação aleatório. Recolhemos este identificador, bem como o Machine ID, especificações do hardware (modelo, data de lançamento, etc.), o sistema operativo, a configuração do ambiente e dados de utilização das funcionalidades", retidos durante até três anos.

Um Machine ID é derivado do hardware, pelo que o identificador que o fornecedor detém é persistent_hardware_id e não um identificador aleatório específico da aplicação, independentemente do que o túnel regista ou não regista.

X12 compara dois documentos que a própria Opera apresentou. O formulário de segurança dos dados da Play para com.opera.browser declara que Installed apps é recolhido para Analytics, e a declaração de privacidade nunca menciona a recolha das aplicações instaladas no dispositivo. Installed apps é comportamento, não um identificador, daí undisclosed_behaviour.

O mesmo formulário declara que Device or other IDs são partilhados com outras empresas para publicidade, o que coloca C07a em ads. C07b assenta em algo mais restrito e é marcado como B por isso: o único anfitrião de terceiros na marcação servida para a página do produto é Google Tag Manager, e o que esse contentor carrega em tempo de execução não foi enumerado.

U02 é desconhecido por conceção do produto, não por falha da pesquisa: a VPN gratuita oferece três regiões — a Opera chama-lhes America, Asia e Europe — e nunca um país. C09 e C09b decorrem disso e não podem ser estabelecidos enquanto essa situação se mantiver.

X05 é ads_supported na própria explicação da Opera, que lista a publicidade em primeiro lugar entre três fontes de receita e descreve a Opera Ads a recolher um ID de utilizador gerado aleatoriamente, a cidade ou o país e categorias gerais dos sites consultados, retidos durante até um ano; juntamente com U05 = unlimited_free, este é exatamente o caso que R15 existe para assinalar.

X06 é a alegação da publicação de 2026 de que o AES-256 "levaria um hacker, mesmo com o computador mais rápido, mais de mil milhões de anos a quebrar". X09 é self_disclosed_prompt em duas publicações de 2026 nas quais a Opera publicou vulnerabilidades que investigadores externos lhe tinham comunicado, juntamente com a análise e a versão corrigida — estas são vulnerabilidades do navegador, não incidentes de VPN, e não é conhecido qualquer incidente de VPN.

C05 é not_sold. A VPN gratuita não tem qualquer etapa de pagamento — nem subscrição, nem conta —, portanto não há nada a pagar anonimamente ou de outra forma.

Esta ficha foi inicialmente escrita como none, o que significa «são oferecidos apenas os métodos de pagamento identificados» e é falso neste caso, porque o vocabulário não tinha um token para um serviço que não recebe dinheiro; unknown teria afirmado que a pesquisa falhou, o que também era falso, e entre duas interpretações erradas foi registada a que erra contra o fornecedor. O token existe agora e tem o preço de nada, que é a resposta honesta: onde não há pagamento, não há identidade de pagamento para divulgar.