NordVPN против Proton VPN

Канарейка и заменивший её квартал. На той же странице канарейка предписаний была отменена (P07=removed) в пользу ежеквартальных отчётов о прозрачности; последний завершённый квартал (апрель–июнь 2026 года) показывает 85 запросов от государственных органов и 0 раскрытий, поэтому P08/P09 относятся к этому периоду, а не к показателю за весь период.

Индия и режим тайных предписаний. P04=withdrew_physical — это уход из Индии в июне 2022 года. P11=none_known основан на заявлении страницы о том, что NordVPN не получал обязательных National Security letters или запретов на разглашение, а также на отсутствии такого режима в Панаме.

Уровень уверенности, который никто не может проверить. NordVPN описывает работу Deloitte Lithuania как аудит с reasonable уверенностью по ISAE 3000 (Revised), что было бы более сильной формой; в доступном для чтения отчёте PIA указано заключение об ограниченной уверенности.

Почему более сильная форма не засчитывается. Теперь модель учитывает эту разницу, но эта запись не получает выгоды от неё: V15_assurance_strength имеет значение unknown, поскольку единственное заявление об уровне принадлежит самому NordVPN и касается отчёта, который никто за пределами Nord Account открыть не может. Документ за страницей входа не является здесь доказательством ни на каком уровне, поэтому аудит засчитывается по рыночной норме, а не на уровне, которого, как заявлено, он достиг.

Отчёт, доступный только после входа. Сам отчёт можно прочитать только после входа в Nord Account, поэтому никто за пределами этих отношений не проверял его охват, и каждое поле аудита здесь основано на собственном резюме NordVPN, а не на документе. Именно это, а не вывод против сервиса, делает эту запись самой скудной в каталоге.

Поля владельца. M11_owner_jurisdiction и X04_owner_group_history неизвестны: nordvpn.com и nordsecurity.com называют владельцем Nord Security, но ни один из них не указывает собственную юрисдикцию регистрации Nord Security или какую-либо предшествующую историю группы; вторичные публикации связывают холдинговую структуру «Cyberspace» с Нидерландами после слияния 2022 года, но за доступное время это не было подтверждено по первичной странице Nord Security или NordVPN.

Что вообще нельзя было прочитать. Полный текст отчёта Deloitte за 2025 год вообще нельзя прочитать (доступ закрыт входом), поэтому никакого вывода о хранении данных не зафиксировано, кроме собственного заявления политики в C01_linkable_retention.

Таблица серверов, которая не открылась. C09b_mandate_hosting неизвестно: действующая таблица серверов по странам в состоянии аккордеона, которое этот аудит смог отобразить, показывает статус физических/виртуальных серверов только для региона Americas; разделы Europe, Asia-Pacific и Africa/Middle East (включающие несколько стран с предписанием, где работает флот, например AE, IN, TR, VN, IQ, KZ, согласно API серверов) загружаются на стороне клиента по нажатию и не были раскрыты.

Оставлено неизвестным, а не заявлено. C04-C07, U06 (доказательства цензуры), U11, V12-V14, X06, X07, X10 и X11 не были независимо подтверждены по первичному документу и оставлены неизвестными, а не заявлены на основании вторичных публикаций.

Одно сомнение оставлено открытым и не учтено. По X12 остаётся одно сомнение, без его учёта: форма безопасности данных Play для com.nordvpn.android указывает Installed apps в разделе аналитики на Android, тогда как уведомление о конфиденциальности NordVPN упоминает установленные приложения только в одном месте — в проверке уязвимостей на наличие вредоносных программ — и ограничивает обработку названий и версий приложений Windows.

Почему это всё же считается совпадением. Категория раскрыта, а не отсутствует, и R28 не делает вывода на основании различия в охвате платформ, поэтому значение отображается как matches_policy; однако назначение на Android не совпадает с описанным в уведомлении, и только NordVPN может сказать, что из двух записано неверно.

Апелляция и то, чего она не устанавливает. Апелляция от 22 октября 2021 года приводится здесь с оговоркой, которую стоит сформулировать прямо: Federal Administrative Court постановил, что услуги email не являются поставщиками телекоммуникационных услуг, и ни освещение решения, ни собственное описание Proton не упоминают VPN.

Что действительно устанавливает эти два поля. C10 и C11 устанавливаются тем, что Швейцария не имеет основания для предписания в собственном списке стран каталога; апелляция подтверждает, как швейцарские органы относятся к Proton, и сама по себе не является выводом о Proton VPN. Решение по родственному сервису — менее веское основание, чем это выглядит по источнику.

Самый крупный открытый пункт. Proton предлагает точки выхода в восьми странах, устанавливающих предписание о ведении журналов. Установлено не было, находится ли оборудование фактически хотя бы в одной из них: Proton вывел физические серверы из Индии в 2022 году и документирует Smart Routing для местоположений, которые обслуживает из других мест, что указывает на виртуальные местоположения, но это было проверено только для Индии. Установление C09b_mandate_hosting — самый крупный открытый пункт в этой записи.

Взлом дата-центра в Финляндии в 2018 году был проникновением третьей стороны, а не изъятием правоохранительными органами — он записан в P12_case_history как kind=breach, а не в P01_seizure_event. Собственное описание NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) и одновременное освещение в Bloomberg согласуются в том, что раскрытие последовало за заявлениями в Twitter внешних исследователей, а не было инициативой NordVPN, — поэтому используется third_party_disclosed, а не self_disclosed_late.

NordVPN и Surfshark имеют общего владельца (Nord Security), но в объявлении обеих компаний о слиянии указано, что инфраструктура и планы развития продуктов остаются раздельными; на этом основании для M18 задано значение separate.