NordVPN vs Opera VPN

Opera 將其自身的主張描述成其稽核員的結論。這就是 VERIFY 區塊會如此拆分的原因。V01 是 yes_verified，依據的是一份實際開啟的報告——Cure53 自行公開的 2022 年 3 月評估管理摘要——而不是 Deloitte 公告的內容。

Deloitte 報告本身未在任何地方公開，因此 V02 是 press_only；凡是該報告的發現而非關於該次委任的事實的欄位，都維持未知：伺服器群涵蓋範圍（V04）、鑑證標準（V07）、報告所述的留存內容（V11），以及意見強度（V15）。

委任事實——該公司、其類別、日期、列明測試的項目——取自公告。一個已明確重新描述過這次稽核的業者，不是說明稽核結論的來源。C01 是 none_linkable，因為隱私聲明中的宣告就是如此；V11 是該項發現，而沒有任何發現可供讀取。

Cure53 的報告確實存在，也是 V14 為 yes_verified 的原因：七名測試人員、二十四人日，對四個工作套件進行白箱測試，涵蓋 VPN 用戶端、伺服器設定與基礎架構，以及用於傳送 VPN 設定的 Opera Mini 通訊協定。共有十四項與安全性相關的問題，其中八項為實際漏洞，五項評為高嚴重度，無一項為重大漏洞。

截至 2022 年 3 月，其中九項已修復且修復結果已獲驗證，一項部分修復，三項接受風險，一項為誤報，另一項仍在進行中。Opera 的部落格表示，直接涉及瀏覽器 VPN 的七個項目「之後均已解決」，表格也證實了這點——剩餘項目位於 Opera Mini 工作套件，而非 VPN 本身。

所有者集團已完整揭露，且最終位於義務國家，因此 X03 與 C11 指向相反方向，並不互相矛盾。

Opera 自身隱私聲明中列名的資料控制者是 Opera Norway AS，一家挪威公司；透明度報告也以該名稱提交。

控股公司是 Opera Limited，於 2018 年 3 月在開曼群島註冊成立的豁免公司，本身沒有實質營運。2025 年的 Form 20-F 將 Hong Kong Kunlun Tech Holding Limited 列為持有 68.0% 股份的主要股東；該公司是 Kunlun Tech Co., Ltd. 的子公司，於 PRC 註冊成立，並表示 Kunlun「是 Opera 的最終母公司，且受 Opera 執行主席控制」。

因此 M06 是 NO，而 C10 是 no；M11 是 CN，而 C11 是 yes。

C12 是 VPN 的宣告與其所在應用程式之間最明顯的空白。隱私聲明中的 VPN 區段宣告不記錄；同一份文件的另一個區段則表示，安裝 Opera 應用程式時「會產生隨機安裝 ID。我們會收集此識別碼，以及 Machine ID、硬體規格（型號、發行日期等）、作業系統、環境設定與功能使用資料」，留存最長達三年。

Machine ID 源自硬體，因此業者持有的識別碼是 persistent_hardware_id，而不是應用程式範圍的隨機識別碼，無論通道是否記錄這些資料。

X12 比對 Opera 自行提交的兩份文件。com.opera.browser 的 Play 資料安全表單宣告會收集 Installed apps 作為 Analytics 使用，而隱私聲明完全未提及收集裝置上已安裝的應用程式。Installed apps 是行為而非識別碼，因此是 undisclosed_behaviour。

同一份表單宣告會為廣告目的與其他公司分享 Device or other IDs，這使 C07a 判定為 ads。C07b 的依據較窄，因此標記為 B：產品頁面所提供的標記中唯一的第三方主機是 Google Tag Manager，而該容器在執行階段載入的內容未列明。

U02 因產品設計而未知，而不是因搜尋失敗：免費 VPN 提供三個區域——Opera 將其命名為 America、Asia 與 Europe——卻從未指定國家。C09 與 C09b 由此而來，在此狀態維持期間無法確認。

X05 是 Opera 自己說明頁上的 ads_supported；該頁將廣告列為三項收入來源中的第一項，並說明 Opera Ads 會收集隨機產生的使用者 ID、城市或國家，以及瀏覽網站的廣泛類別，留存最長達一年；加上 U05 = unlimited_free，這正是 R15 設立來標記的情況。

X06 是 2026 年文章中的宣稱：AES-256「即使是使用最快電腦的駭客，也要超過十億年才能破解」。X09 是兩篇 2026 年文章中的 self_disclosed_prompt；Opera 在其中公開了外部研究人員向其回報的弱點，以及分析結果與修正版本——這些是瀏覽器弱點而非 VPN 事件，且目前未知有任何 VPN 事件。

C05 為 not_sold。免費 VPN 完全沒有付款步驟——沒有訂閱、沒有帳號——因此無論匿名與否，都沒有需要付款的項目。

這筆紀錄最初記為 none，讀起來是「只提供已確認的付款方式」，而這在此處並不正確，因為當時的詞彙沒有表示服務完全不收費的標記；記為 unknown 則會表示搜尋失敗，同樣不正確，而在兩種錯誤解讀之間，紀錄了對業者不利的那一種。現在已有這個標記，且價格為零，這才是誠實的答案：沒有付款，就沒有付款身分可供洩漏。

無人能查核的確信程度。 NordVPN 將 Deloitte Lithuania 的委託描述為依 ISAE 3000 (Revised) 進行的合理確信委託，這會是較強的形式；PIA 的報告可以讀取，其中載明的是有限確信結論。

為何較強形式未獲計入。 模型現在會對該差異定價，而這筆紀錄不會因此受益：V15_assurance_strength 未知，因為該等級唯一的說明來自 NordVPN 自身，涉及一份 Nord Account 之外無人能開啟的報告。此處任何等級的證據都不接受登入後才能取得的文件，因此這項委託是按照市場常態計入，而不是按照自稱已達到的等級計入。

登入後才能取得的報告。 報告本身只有在登入 Nord Account 後才能閱讀，因此該關係之外無人查核過其範圍，而此處每個稽核欄位所依據的都是 NordVPN 對報告的自身摘要，而不是該文件。這一點，而不是任何針對該服務的發現，正是這筆紀錄在名錄中最單薄的原因。

所有者欄位。 M11_owner_jurisdiction 和 X04_owner_group_history 均為未知：nordvpn.com 和 nordsecurity.com 將 Nord Security 列為所有者，但兩者都未說明 Nord Security 自身註冊成立的管轄地，也未說明該集團的任何過往紀錄；次級媒體報導將一家「Cyberspace」控股實體與荷蘭連結起來，源自 2022 年的合併，但在可用時間內，這一點未能對照 Nord Security 或 NordVPN 的一手頁面確認。

完全無法閱讀的內容。 2025 年 Deloitte 報告的全文完全無法閱讀（登入限制），因此除政策在 C01_linkable_retention 中的自稱外，未紀錄任何留存判定。

無法開啟的伺服器表。 C09b_mandate_hosting 為未知：即時逐國伺服器表在本次稽核能呈現的手風琴狀態中，僅顯示美洲區域的實體／虛擬狀態；歐洲、亞太及非洲／中東區段（包括該服務機群所服務的數個義務國家，例如伺服器 API 所列的 AE、IN、TR、VN、IQ、KZ）會在點擊後於用戶端載入，且未予展開。

保留為未知，而非加以主張。 C04-C07、U06（審查證明）、U11、V12-V14、X06、X07、X10 及 X11 未能對照一手文件獨立確認，因此保留為未知，而非根據次級報導加以主張。

留下一項疑問，但不予扣分。 X12 留有一項疑問，但不予扣分：com.nordvpn.android 的 Play 資料安全表單在 Android 上將 Installed apps 列於分析功能之下，而 NordVPN 隱私聲明僅在一處提及已安裝的應用程式——反惡意軟體漏洞掃描——並將應用程式名稱與版本的處理範圍限定於 Windows。

為何仍呈現為符合。 該類別已有揭露，而 R28 不會針對平台範圍差異作出判定，因此該值呈現為 matches_policy；但 Android 的用途並非該聲明所描述的用途，只有 NordVPN 能說明兩者之中哪一項記載有誤。

一個商店，而非兩個。 僅查閱了 Google Play 的資料安全表單；沒有查閱 iOS 瀏覽器在 App Store 的隱私標籤，因此 X12 是基於一個商店，而不是兩者中較差者。

兩項解讀，而非陳述。 U01 中的 Linux 是從桌面版說明手冊推知的；該手冊記載 VPN，並一併涵蓋 Windows、macOS 和 Linux，沒有按平台拆分；稽核公告則明確列出 Android 和 iOS。U10 被視為不限量，因為沒有帳號，也沒有裝置上限可用來執行此限制；這是對產品的解讀，而非已陳述的數值。