NordVPN против Private Internet Access

Канарейка и заменивший её квартал. На той же странице канарейка предписаний была отменена (P07=removed) в пользу ежеквартальных отчётов о прозрачности; последний завершённый квартал (апрель–июнь 2026 года) показывает 85 запросов от государственных органов и 0 раскрытий, поэтому P08/P09 относятся к этому периоду, а не к показателю за весь период.

Индия и режим тайных предписаний. P04=withdrew_physical — это уход из Индии в июне 2022 года. P11=none_known основан на заявлении страницы о том, что NordVPN не получал обязательных National Security letters или запретов на разглашение, а также на отсутствии такого режима в Панаме.

Уровень уверенности, который никто не может проверить. NordVPN описывает работу Deloitte Lithuania как аудит с reasonable уверенностью по ISAE 3000 (Revised), что было бы более сильной формой; в доступном для чтения отчёте PIA указано заключение об ограниченной уверенности.

Почему более сильная форма не засчитывается. Теперь модель учитывает эту разницу, но эта запись не получает выгоды от неё: V15_assurance_strength имеет значение unknown, поскольку единственное заявление об уровне принадлежит самому NordVPN и касается отчёта, который никто за пределами Nord Account открыть не может. Документ за страницей входа не является здесь доказательством ни на каком уровне, поэтому аудит засчитывается по рыночной норме, а не на уровне, которого, как заявлено, он достиг.

Отчёт, доступный только после входа. Сам отчёт можно прочитать только после входа в Nord Account, поэтому никто за пределами этих отношений не проверял его охват, и каждое поле аудита здесь основано на собственном резюме NordVPN, а не на документе. Именно это, а не вывод против сервиса, делает эту запись самой скудной в каталоге.

Поля владельца. M11_owner_jurisdiction и X04_owner_group_history неизвестны: nordvpn.com и nordsecurity.com называют владельцем Nord Security, но ни один из них не указывает собственную юрисдикцию регистрации Nord Security или какую-либо предшествующую историю группы; вторичные публикации связывают холдинговую структуру «Cyberspace» с Нидерландами после слияния 2022 года, но за доступное время это не было подтверждено по первичной странице Nord Security или NordVPN.

Что вообще нельзя было прочитать. Полный текст отчёта Deloitte за 2025 год вообще нельзя прочитать (доступ закрыт входом), поэтому никакого вывода о хранении данных не зафиксировано, кроме собственного заявления политики в C01_linkable_retention.

Таблица серверов, которая не открылась. C09b_mandate_hosting неизвестно: действующая таблица серверов по странам в состоянии аккордеона, которое этот аудит смог отобразить, показывает статус физических/виртуальных серверов только для региона Americas; разделы Europe, Asia-Pacific и Africa/Middle East (включающие несколько стран с предписанием, где работает флот, например AE, IN, TR, VN, IQ, KZ, согласно API серверов) загружаются на стороне клиента по нажатию и не были раскрыты.

Оставлено неизвестным, а не заявлено. C04-C07, U06 (доказательства цензуры), U11, V12-V14, X06, X07, X10 и X11 не были независимо подтверждены по первичному документу и оставлены неизвестными, а не заявлены на основании вторичных публикаций.

Одно сомнение оставлено открытым и не учтено. По X12 остаётся одно сомнение, без его учёта: форма безопасности данных Play для com.nordvpn.android указывает Installed apps в разделе аналитики на Android, тогда как уведомление о конфиденциальности NordVPN упоминает установленные приложения только в одном месте — в проверке уязвимостей на наличие вредоносных программ — и ограничивает обработку названий и версий приложений Windows.

Почему это всё же считается совпадением. Категория раскрыта, а не отсутствует, и R28 не делает вывода на основании различия в охвате платформ, поэтому значение отображается как matches_policy; однако назначение на Android не совпадает с описанным в уведомлении, и только NordVPN может сказать, что из двух записано неверно.

Что он не исследовал. Отчет охватывает только инфраструктуру. C07a_app_sdk и C12_device_identifier — это факты на стороне приложения, которые он не исследовал; теперь в качестве источника для них указана политика конфиденциальности, описывающая аналитику для посетителей сайта и диагностические отчеты, отправляемые с согласия пользователя и содержащие сведения о платформе и версии приложения. Рассматривать любое из этих утверждений как описание SDK, скомпилированных в приложение, — самое слабое место этой записи; фактический ответ можно было бы установить по клиентам с открытым исходным кодом.

Сведения о повестке 2016 года основаны на собственных словах PIA, а не на материалах суда. Единственное подробное описание дела McWaters (S.D. Fla., 9:16-cr-80043) находится на сайте аффилированной компании, который эта запись не может использовать как источник; в реестре дела на CourtListener нет упоминаний о повестке, провайдере или исходе дела. P03_court_record и P12_case_history теперь основаны на утверждении PIA в отчете о прозрачности о том, что в 2016–2017 годах ей была направлена повестка и она ничего не предоставила, — это самостоятельное заявление уровня B, а не подтвержденная судебная запись.

Взлом дата-центра в Финляндии в 2018 году был проникновением третьей стороны, а не изъятием правоохранительными органами — он записан в P12_case_history как kind=breach, а не в P01_seizure_event. Собственное описание NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) и одновременное освещение в Bloomberg согласуются в том, что раскрытие последовало за заявлениями в Twitter внешних исследователей, а не было инициативой NordVPN, — поэтому используется third_party_disclosed, а не self_disclosed_late.

NordVPN и Surfshark имеют общего владельца (Nord Security), но в объявлении обеих компаний о слиянии указано, что инфраструктура и планы развития продуктов остаются раздельными; на этом основании для M18 задано значение separate.

M08_user_scale, P02_disclosure_history, P03_court_record и P12_case_history были повторно сверены с теми же источниками и остаются без изменений; на главной странице отчётов о прозрачности по-прежнему не названо ни одного дела, кроме повесток 2016–2017 годов, уже внесённых в запись. Повторная проверка цен по той же странице buy-vpn-online не выявила изменений ни в одной из двух сумм: помесячный план — $11,95, годовой план — $47,88 с оплатой за первый год и автоматическим продлением по той же цене $47,88 без разницы между начальной и продлеваемой ценой, что соответствует фиксированной цене PIA, отмеченной в других местах каталога.

Источниками послужили собственные страницы и блог privateinternetaccess.com, два PDF-файла Deloitte с «Independent Limited Assurance Report» по ISAE 3000 (Revised) (апрель 2024 года и декабрь 2025 года; оба были открыты и прочитаны напрямую), собственный сайт Kape Technologies, материалы с источниками в Isle of Man/Companies House о выкупе Kape в 2023 году Unikmind Holdings (Teddy Sagi) и официальная организация pia-foss в GitHub для клиентов с открытым исходным кодом.

Публичная карточка дела в CourtListener по United States v. McWaters (9:16-cr-80043, S.D. Fla.) была открыта, но не называет ни одной повестки, провайдера VPN или исхода дела; материал аффилированного сайта (vpncompare.co.uk), подробно описывающий эту повестку, был исключён как запрещённый источник, а собственные материалы TorrentFreak при каждой попытке загрузки в ходе этой проверки, включая curl, возвращали HTTP 403. Теперь P03/P12 основываются на собственном заявлении PIA в отчёте о прозрачности.

Wikipedia была исключена из V12 в пользу самой организации GitHub. Ни один аффилированный сайт или сайт-агрегатор «лучших VPN» не использовался в качестве источника фактов нигде в этой записи, хотя в результатах поиска неоднократно появлялись несколько таких сайтов с правдоподобными числами (количество серверов, количество пользователей, даты аудитов), которые невозможно было перепроверить по первичной странице и поэтому они были отброшены, а не использованы.