Proton VPN và Surfshark

Hồ sơ này trước đây đã được đọc hai lần — connection_timestamps trong V11 từ cách diễn đạt của kiểm toán, source_ip trong C01 từ cách diễn đạt của chính sách — và được chấm theo kết quả kém hơn trong hai kết quả đó, khiến bộ đệm 15 phút bị trừ nhiều hơn so với việc không ghi nhận gì: để trống C01 có mức trước của thị trường là 0.550 còn source_ip là 0.750.

R29 giờ đây vạch rõ ranh giới: trạng thái bị xóa trong một khoảng thời gian đã công bố gắn với thời điểm kết thúc phiên là kết nối, không phải hồ sơ về kết nối đó, nên cả hai trường đều ghi connection_timestamps trong cùng một câu. Điều vẫn được tính là những gì tồn tại sau phiên — ngày đăng nhập gần nhất trong mục 2.3.1 của chính sách và các dấu thời gian kết nối mà kiểm toán viên nêu.

Surfshark và NordVPN có cùng một công ty mẹ (Nord Security, từ năm 2022), nhưng trang about-us của Surfshark nêu rằng các thương hiệu đã sáp nhập 'trong khi hoạt động độc lập' với hạ tầng riêng — M18 được đặt là riêng biệt trên cơ sở đó, phù hợp với hồ sơ nordvpn.com.

U12a là một phần thay vì có trên chính cột P2P của bảng máy chủ: 88 trong số 100 quốc gia được liệt kê có mục này và 12 quốc gia không có (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). Cột này được dựng ở phía máy khách, nên đã được đọc từ bảng đã hiển thị thay vì HTML tĩnh, nơi mọi hàng đều mang mọi nhãn.

Báo cáo minh bạch tại /transparency-report — là nơi /warrant-canary hiện chuyển hướng tới — trình bày quý tháng 4–tháng 6 năm 2026 dưới dạng bảng: 374,719 thông báo DMCA, 33 yêu cầu từ các cơ quan chính phủ, 1 lệnh khám xét, 0 thư an ninh quốc gia và 0 lệnh bí mật. P08 tính 34 yêu cầu pháp lý và loại các thông báo DMCA ra: đó là khiếu nại bản quyền về lưu lượng, không phải yêu cầu dữ liệu của người dùng.

Chính trang đó nêu rằng Surfshark đang loại bỏ tín hiệu cảnh báo lệnh khám xét để chuyển sang báo cáo theo quý, đó là lý do P07 bị loại bỏ thay vì để là không có — tín hiệu này đã tồn tại và được chủ động rút lại.

U07_protocols ghi proprietary cho Dausos dựa trên chính tuyên bố của Surfshark — trang giao thức gọi Dausos là "giao thức proprietary của Surfshark" và không công bố nguồn cho giao thức này — và giá trị duy nhất đó là yếu tố đặt C13_weakest_protocol cũng như khoản trừ về vệ sinh tiếp theo. IKEv2 được giữ lại vì Surfshark vẫn tài liệu hóa giao thức này, dù blog của chính họ ghi nhận việc loại bỏ nó khỏi ứng dụng Windows; Shadowsocks đã biến mất khỏi chỉ mục hỗ trợ và không được liệt kê.

Kháng nghị và điều mà kháng nghị không xác lập. Kháng nghị ngày 22 tháng 10 năm 2021 được trích dẫn ở đây kèm một lưu ý cần nêu rõ: Federal Administrative Court phán rằng các dịch vụ email không phải là nhà cung cấp dịch vụ viễn thông, và cả phần đưa tin về phán quyết lẫn tường thuật của chính Proton đều không đề cập đến VPN.

Điều thực sự xác lập hai trường. Điều xác lập C10 và C11 là Thụy Sĩ không có căn cứ nghĩa vụ pháp lý trong danh sách quốc gia của chính danh mục; kháng nghị củng cố cách các cơ quan chức năng Thụy Sĩ đối xử với Proton và tự nó không phải là một kết luận về Proton VPN. Một phán quyết về một dịch vụ cùng nhóm là căn cứ yếu hơn vẻ ngoài mà trích dẫn tạo ra.

Hạng mục bỏ ngỏ lớn nhất. Proton cung cấp các vị trí điểm thoát tại tám quốc gia áp đặt nghĩa vụ lưu giữ dữ liệu. Việc phần cứng có thực sự đặt tại bất kỳ quốc gia nào trong số đó hay không chưa được xác lập: Proton đã rút máy chủ vật lý khỏi Ấn Độ vào năm 2022 và ghi nhận Smart Routing cho các vị trí được phục vụ từ nơi khác, điều này cho thấy đó có thể là vị trí ảo, nhưng điều đó mới chỉ được xác minh đối với Ấn Độ. Việc xác lập C09b_mandate_hosting là hạng mục bỏ ngỏ lớn nhất trên hồ sơ này.