NordVPN против Windscribe

Канарейка и заменивший её квартал. На той же странице канарейка предписаний была отменена (P07=removed) в пользу ежеквартальных отчётов о прозрачности; последний завершённый квартал (апрель–июнь 2026 года) показывает 85 запросов от государственных органов и 0 раскрытий, поэтому P08/P09 относятся к этому периоду, а не к показателю за весь период.

Индия и режим тайных предписаний. P04=withdrew_physical — это уход из Индии в июне 2022 года. P11=none_known основан на заявлении страницы о том, что NordVPN не получал обязательных National Security letters или запретов на разглашение, а также на отсутствии такого режима в Панаме.

Уровень уверенности, который никто не может проверить. NordVPN описывает работу Deloitte Lithuania как аудит с reasonable уверенностью по ISAE 3000 (Revised), что было бы более сильной формой; в доступном для чтения отчёте PIA указано заключение об ограниченной уверенности.

Почему более сильная форма не засчитывается. Теперь модель учитывает эту разницу, но эта запись не получает выгоды от неё: V15_assurance_strength имеет значение unknown, поскольку единственное заявление об уровне принадлежит самому NordVPN и касается отчёта, который никто за пределами Nord Account открыть не может. Документ за страницей входа не является здесь доказательством ни на каком уровне, поэтому аудит засчитывается по рыночной норме, а не на уровне, которого, как заявлено, он достиг.

Отчёт, доступный только после входа. Сам отчёт можно прочитать только после входа в Nord Account, поэтому никто за пределами этих отношений не проверял его охват, и каждое поле аудита здесь основано на собственном резюме NordVPN, а не на документе. Именно это, а не вывод против сервиса, делает эту запись самой скудной в каталоге.

Поля владельца. M11_owner_jurisdiction и X04_owner_group_history неизвестны: nordvpn.com и nordsecurity.com называют владельцем Nord Security, но ни один из них не указывает собственную юрисдикцию регистрации Nord Security или какую-либо предшествующую историю группы; вторичные публикации связывают холдинговую структуру «Cyberspace» с Нидерландами после слияния 2022 года, но за доступное время это не было подтверждено по первичной странице Nord Security или NordVPN.

Что вообще нельзя было прочитать. Полный текст отчёта Deloitte за 2025 год вообще нельзя прочитать (доступ закрыт входом), поэтому никакого вывода о хранении данных не зафиксировано, кроме собственного заявления политики в C01_linkable_retention.

Таблица серверов, которая не открылась. C09b_mandate_hosting неизвестно: действующая таблица серверов по странам в состоянии аккордеона, которое этот аудит смог отобразить, показывает статус физических/виртуальных серверов только для региона Americas; разделы Europe, Asia-Pacific и Africa/Middle East (включающие несколько стран с предписанием, где работает флот, например AE, IN, TR, VN, IQ, KZ, согласно API серверов) загружаются на стороне клиента по нажатию и не были раскрыты.

Оставлено неизвестным, а не заявлено. C04-C07, U06 (доказательства цензуры), U11, V12-V14, X06, X07, X10 и X11 не были независимо подтверждены по первичному документу и оставлены неизвестными, а не заявлены на основании вторичных публикаций.

Одно сомнение оставлено открытым и не учтено. По X12 остаётся одно сомнение, без его учёта: форма безопасности данных Play для com.nordvpn.android указывает Installed apps в разделе аналитики на Android, тогда как уведомление о конфиденциальности NordVPN упоминает установленные приложения только в одном месте — в проверке уязвимостей на наличие вредоносных программ — и ограничивает обработку названий и версий приложений Windows.

Почему это всё же считается совпадением. Категория раскрыта, а не отсутствует, и R28 не делает вывода на основании различия в охвате платформ, поэтому значение отображается как matches_policy; однако назначение на Android не совпадает с описанным в уведомлении, и только NordVPN может сказать, что из двух записано неверно.

Почему хранение оценивается по находке. Поэтому хранение оценивается по тому, доступность чего продемонстрировал аудитор, а не по тому, что заявляет политика, и канал целостности передаёт расхождение между этими двумя вещами. Это следует читать как находку двухлетней давности на одном узле, а не как текущее измерение: область охватывала только ca-023.windscribe.com, и именно новое исследование, охватывающее большую часть парка, позволило бы установить это.

Список, который так и не прочитали. Предоставленный список стран так и не был прочитан, поэтому ни балл удобства по странам, ни пересечение с предписанием вычислить нельзя — Windscribe публикует различие между физическими и виртуальными серверами, благодаря чему на вопрос C09b здесь можно будет ответить, как только появится список. Масштаб пользователей также не установлен, из-за чего уровень подверженности основан на меньшем объёме данных, чем должен.

Откуда теперь цитируются три события. AIN.UA по-прежнему содержит сведения об изъятых украинских серверах от 24 июня 2021 года, а в собственном блоге Windscribe — о греческом деле, прекращённом 11 апреля 2025 года. Источник сведений о нидерландском изъятии и само поле об изъятии теперь — собственная страница Windscribe об отсутствии журналов, а не оплаченная партнёрами пресса, которая сообщила об этом первой: описание компанией собственного изъятия является первичным источником, а не чьим-то описанием чужого изъятия. Датой украинского события считается само изъятие, а не публикация о нём.

Взлом дата-центра в Финляндии в 2018 году был проникновением третьей стороны, а не изъятием правоохранительными органами — он записан в P12_case_history как kind=breach, а не в P01_seizure_event. Собственное описание NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) и одновременное освещение в Bloomberg согласуются в том, что раскрытие последовало за заявлениями в Twitter внешних исследователей, а не было инициативой NordVPN, — поэтому используется third_party_disclosed, а не self_disclosed_late.

NordVPN и Surfshark имеют общего владельца (Nord Security), но в объявлении обеих компаний о слиянии указано, что инфраструктура и планы развития продуктов остаются раздельными; на этом основании для M18 задано значение separate.