Mullvad VPN наспрам NordVPN

Зашто број износи осам. Број ревизија износи осам јер се преглед GotaTun-а налази изван сопствене листе репозиторијума апликације. Пре њих, 30 човек-дана X41 D-Sec прегледа на свих пет платформи утврдило је шест рањивости — три високе, две средње, једну ниску, без критичних.

Шта ниједан ангажман не обухвата. Ниједан од ових ангажмана не обухвата флоту сервера: сваки од њих испитује апликацију или протокол тунела, због чега се покривеност флоте бележи као није применљиво, а не као узорак. Тврдња о непостојању евиденција на инфраструктурној страни зато се ослања на налог за претрес из априла 2023. — шведска полиција је дошла по податке о корисницима и отишла без њих — а не на било коју ревизију.

Репродуцибилне компилације, само за Android. Репродуцибилне компилације постоје само за Android, почев од верзије 2025.2, па поље остаје делимично; desktop и iOS компилације не могу се проверити бит по бит. Турска је једина земља са мандатом на понуђеној листи, а хостинг који стоји иза ње није утврђен.

Ништа објављено о захтевима. Ништа у запису не ослања се на било шта што провајдер објављује о захтевима које прима: нема извештаја о транспарентности нити канаринца за налоге, па заплена из априла 2023. представља једини основ. Покривеност прекидачем везе и политика P2P нису утврђене; најновија ревизија је преглед кода протокола, а не ангажман о непостојању евиденција, па V11 не износи закључак, а задржавање података ослања се на изјаву.

Канаринац, и квартал који га је заменио. Иста страница је повукла канаринца за налоге (P07=removed) у корист кварталних извештаја о транспарентности; последњи потпуни квартал (април–јун 2026) показује 85 упита влада и 0 откривања података, па се P08/P09 односе на тај период, а не на доживотни износ.

Индија и режим тајних налога. P04=withdrew_physical је повлачење из Индије у јуну 2022. P11=none_known заснива се на изјави странице да NordVPN није примио ниједно обавезујуће писмо о националној безбедности или забрану обавештавања, као и на одсуству таквог режима у Панами.

Ниво уверења који нико не може да провери. NordVPN описује ангажман Deloitte Lithuania као ангажман са разумним уверењем према стандарду ISAE 3000 (Revised), што би био јачи облик; у извештају PIA, који се може прочитати, наводи се закључак са ограниченим уверењем.

Зашто се јачи облик не признаје. Модел сада вреднује ту разлику, а овај запис од ње нема користи: V15_assurance_strength је непознато јер је једина изјава о нивоу NordVPN-ова, о извештају који нико изван Nord Account-а не може да отвори. Документ иза пријаве овде није доказ ни на једном нивоу, па се ангажман признаје према тржишној норми, а не према нивоу за који се тврди да је достигнут.

Извештај иза пријаве. Сам извештај је читљив тек након пријављивања на Nord Account, па нико изван тог односа није проверио његов обухват, а свако поље ревизије овде почива на NordVPN-овом сопственом сажетку, а не на документу. То, а не налаз против услуге, разлог је што је овај запис најмање поткрепљен у каталогу.

Поља о власнику. M11_owner_jurisdiction и X04_owner_group_history су непозната: nordvpn.com и nordsecurity.com наводе Nord Security као власника, али ниједан не наводи сопствену јурисдикцију оснивања Nord Security-а нити било какав претходни запис о групи; секундарни медијски извештаји повезују холдинг ентитет „Cyberspace“ са Холандијом након спајања из 2022. године, али то није потврђено на примарној страници Nord Security-а или NordVPN-а у расположивом времену.

Оно што уопште није могло да се прочита. Пуни текст Deloitte извештаја из 2025. године уопште не може да се прочита (приступ је условљен пријавом), па није забележен никакав налаз о задржавању података осим сопственог тврђења политике у C01_linkable_retention.

Табела сервера која се није отворила. C09b_mandate_hosting је непознато: жива табела сервера по земљама приказује статус физичких/виртуелних сервера само за регион Америке у стању акордеона које је ова ревизија могла да прикаже; одељци за Европу, Азију и Пацифик и Африку/Блиски исток (који обухватају неколико земаља са мандатима у којима флота пружа услугу, нпр. AE, IN, TR, VN, IQ, KZ према API-ју сервера) учитавају се на страни клијента након клика и нису проширени.

Повреда безбедности дата-центра у Финској из 2018. била је упад треће стране, а не заплена од стране органа за спровођење закона — забележена је у оквиру P12_case_history као kind=breach, а не P01_seizure_event. Сопствени извештај NordVPN-а (nordvpn.com/blog/official-response-datacenter-breach/) и истовремено извештавање Bloomberg-а слажу се да је обелодањивање уследило после навода спољних истраживача на Twitter-у, а не на сопствену иницијативу NordVPN-а — отуда third_party_disclosed, а не self_disclosed_late.

NordVPN и Surfshark имају исту матичну компанију (Nord Security), али сопствена објава обе компаније о спајању наводи одвојену инфраструктуру и планове развоја производа; M18 је на тој основи подешен на одвојено.