NordVPN và Windscribe

Canary, và quý thay thế nó. Chính trang đó đã ngừng sử dụng warrant canary (P07=removed) để chuyển sang các báo cáo minh bạch theo quý; quý gần nhất đã hoàn tất (tháng 4–6 năm 2026) cho thấy 85 yêu cầu của chính phủ và 0 lần tiết lộ, vì vậy P08/P09 là của giai đoạn đó, không phải con số trong toàn bộ hồ sơ.

Ấn Độ, và chế độ lệnh bí mật. P04=withdrew_physical là việc rút khỏi Ấn Độ vào tháng 6 năm 2022. P11=none_known dựa trên tuyên bố trên trang rằng NordVPN chưa nhận được thư National Security hoặc lệnh bí mật nào có tính ràng buộc, cùng với việc Panama không có chế độ như vậy.

Một mức đảm bảo không ai có thể kiểm tra. NordVPN mô tả hợp đồng của Deloitte Lithuania là một hợp đồng đảm bảo hợp lý theo ISAE 3000 (Revised), vốn sẽ là hình thức mạnh hơn; báo cáo của PIA, có thể đọc được, nêu kết luận đảm bảo hạn chế.

Vì sao dạng mạnh hơn không được tính điểm. Mô hình hiện tính đến chênh lệch đó, còn hồ sơ này không được hưởng lợi từ điều đó: V15_assurance_strength không xác định vì tuyên bố duy nhất về cấp độ là tuyên bố của NordVPN, về một báo cáo mà không ai bên ngoài Nord Account có thể mở. Một tài liệu yêu cầu đăng nhập không được xem là bằng chứng ở bất kỳ cấp độ nào tại đây, nên cuộc kiểm toán được tính ở mức thông lệ thị trường thay vì ở cấp độ được cho là đã đạt được.

Một báo cáo yêu cầu đăng nhập. Bản thân báo cáo chỉ có thể đọc được sau khi đăng nhập vào Nord Account, nên không ai bên ngoài mối quan hệ đó đã kiểm tra phạm vi của báo cáo, và mọi trường kiểm toán ở đây đều dựa trên bản tóm tắt của chính NordVPN thay vì dựa trên tài liệu. Điều đó, chứ không phải một phát hiện bất lợi cho dịch vụ, là lý do hồ sơ này sơ sài nhất trong danh mục.

Các trường về chủ sở hữu. M11_owner_jurisdiction và X04_owner_group_history không xác định: nordvpn.com và nordsecurity.com nêu Nord Security là chủ sở hữu nhưng không trường nào nêu khu vực pháp lý nơi Nord Security được thành lập hoặc bất kỳ lịch sử trước đây nào của nhóm; báo chí thứ cấp liên hệ một pháp nhân sở hữu “Cyberspace” với Hà Lan từ vụ sáp nhập năm 2022, nhưng điều đó chưa được xác nhận đối chiếu với trang gốc của Nord Security hoặc NordVPN trong thời gian có sẵn.

Điều hoàn toàn không thể đọc được. Toàn văn báo cáo Deloitte năm 2025 hoàn toàn không thể đọc được (bị giới hạn bởi yêu cầu đăng nhập), nên không ghi nhận kết luận nào về lưu giữ dữ liệu ngoài tuyên bố của chính chính sách tại C01_linkable_retention.

Bảng máy chủ không mở được. C09b_mandate_hosting không xác định: bảng máy chủ trực tiếp theo từng quốc gia chỉ hiển thị trạng thái vật lý/ảo cho khu vực Châu Mỹ trong trạng thái accordion mà cuộc kiểm toán này có thể hiển thị; các phần Châu Âu, Châu Á - Thái Bình Dương và Châu Phi/Trung Đông (bao gồm một số quốc gia có nghĩa vụ pháp lý mà mạng lưới phục vụ, như AE, IN, TR, VN, IQ, KZ theo API máy chủ) tải ở phía máy khách khi nhấp và chưa được mở rộng.

Để ở trạng thái không xác định thay vì tự khẳng định. C04-C07, U06 (bằng chứng về kiểm duyệt), U11, V12-V14, X06, X07, X10 và X11 chưa được xác nhận độc lập đối chiếu với tài liệu gốc và được để ở trạng thái không xác định thay vì được tự khẳng định từ thông tin thứ cấp.

Một nghi vấn được để ngỏ và không bị tính bất lợi. Một nghi vấn vẫn được để ngỏ về X12 mà không bị tính bất lợi: biểu mẫu an toàn dữ liệu của Play cho com.nordvpn.android khai báo Ứng dụng đã cài đặt trong mục phân tích trên Android, trong khi thông báo về quyền riêng tư của NordVPN chỉ đề cập đến các ứng dụng đã cài đặt tại một nơi — hoạt động quét lỗ hổng chống phần mềm độc hại — và giới hạn việc xử lý tên và phiên bản ứng dụng ở Windows.

Vì sao kết quả vẫn được đọc là khớp. Danh mục này được công bố thay vì vắng mặt, và R28 không đưa ra phát hiện dựa trên khác biệt về phạm vi nền tảng, nên giá trị được đọc là matches_policy; nhưng mục đích trên Android không phải là mục đích được thông báo mô tả, và chỉ NordVPN mới có thể nói nội dung nào trong hai nội dung đã được ghi sai.

Vì sao lưu giữ dữ liệu được định giá dựa trên phát hiện. Do đó, lưu giữ dữ liệu được định giá dựa trên những gì kiểm toán viên chứng minh là có thể truy cập, thay vì dựa trên những gì chính sách tuyên bố, và kênh toàn vẹn mang theo khoảng cách giữa hai điều này. Hãy hiểu đó là một phát hiện từ hai năm trước trên một nút, không phải phép đo hiện tại: phạm vi chỉ là ca-023.windscribe.com, và một đợt đánh giá mới hơn bao quát nhiều hơn trong toàn bộ hệ thống máy chủ mới có thể xác lập điều này.

Danh sách chưa từng được đọc. Danh sách quốc gia được cung cấp chưa từng được đọc, nên không thể tính điểm quốc gia về tiện dụng cũng như phần giao với nghĩa vụ pháp lý — Windscribe công bố sự phân biệt giữa vật lý và ảo, nhờ đó C09b có thể được trả lời tại đây ngay khi danh sách được đọc. Quy mô người dùng cũng chưa được xác lập, khiến dải mức độ lộ diện dựa trên ít hơn mức đáng ra.

Ba sự kiện hiện trích dẫn từ đâu. AIN.UA vẫn đăng các máy chủ tại Ukraine bị tịch thu vào ngày 24 tháng 6 năm 2021, còn blog của Windscribe đăng vụ việc tại Hy Lạp bị bác bỏ vào ngày 11 tháng 4 năm 2025. Vụ tịch thu tại Hà Lan và chính trường vụ tịch thu hiện trích dẫn trang không lưu nhật ký của Windscribe thay vì báo chí được trả tiền bởi chương trình liên kết đã đưa tin đầu tiên: lời tường thuật của công ty về chính vụ tịch thu của mình là nguồn sơ cấp, không phải lời tường thuật của người khác về một vụ tịch thu. Sự kiện tại Ukraine được ghi ngày theo chính vụ tịch thu, không phải theo bài viết.

Vụ xâm nhập trung tâm dữ liệu tại Phần Lan năm 2018 là một vụ xâm nhập do bên thứ ba thực hiện, không phải vụ cơ quan thực thi pháp luật thu giữ — được ghi dưới P12_case_history với kind=breach, không phải P01_seizure_event. Bản tường thuật của chính NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) và bài đưa tin đương thời của Bloomberg thống nhất rằng việc công bố xảy ra sau các cáo buộc trên Twitter của các nhà nghiên cứu bên ngoài, không phải do NordVPN chủ động — do đó là third_party_disclosed thay vì self_disclosed_late.

NordVPN và Surfshark có cùng một chủ sở hữu cấp trên (Nord Security), nhưng thông báo sáp nhập của chính hai công ty nêu rõ cơ sở hạ tầng và lộ trình sản phẩm riêng biệt; trên cơ sở đó, M18 được đặt là tách biệt.