NordVPN vs Proton VPN

NordVPN

針對整筆紀錄。

nordvpn.com 本身會向本次稽核所使用的每一個非瀏覽器擷取請求（包括無頭擷取工具）返回 Cloudflare 機械人挑戰（403）；本紀錄中所有指向 nordvpn.com 頁面的出處，均是透過第三方讀取代理（r.jina.ai）擷取，由該代理在伺服器端呈現頁面，而不是直接向該網域提出請求。

法律文件（私隱政策、條款）位於另一個網域 my.nordaccount.com，無法從 nordvpn.com 自身的網站地圖發現——只能透過呈現頁面的頁尾連結前往。第六份 Deloitte 無日誌稽核保證報告（發出日期為 2025年12月12日）按照 NordVPN 自己的網誌文章明確受到登入限制（「我們不會公開發佈摘錄……登入你的 Nord 帳戶」），因此 V11_audit_findings 記錄為 not_stated，而不是根據公告摘要推斷留存結論，依據 R23。

2018年芬蘭資料中心遭入侵是第三方入侵，而不是執法機關扣押——在 P12_case_history 下記錄為 kind=breach，而不是 P01_seizure_event。NordVPN 自己的說明（nordvpn.com/blog/official-response-datacenter-breach/）以及 Bloomberg 當時的報道均同意，披露是在外部研究人員於 Twitter 提出指控後發生，而不是由 NordVPN 主動作出——因此採用 third_party_disclosed，而不是 self_disclosed_late。

NordVPN 和 Surfshark 共有母公司 Nord Security，但兩間公司的合併公告均說明基礎設施和產品路線圖各自獨立；M18 因此按此依據設定為分開。

Proton VPN

針對整筆紀錄。

2021 年迫使 Proton Mail 進行前瞻性記錄留存的瑞士命令，針對的是 Proton Mail 而不是 VPN，因此刻意不列入 P12：把同系產品所受命令的影響歸於 VPN，會是關於 Proton AG 的事實，而不是關於這項服務。

U08 是 all_platforms，因為支援文件為 Windows、macOS、Linux（GUI 和 CLI）、Android 以及 iOS/iPadOS 提供啟用步驟——每個有應用程式的平台。相同文件列明兩項該值無法承載、而本註記可以承載的限制：在 macOS 上切換伺服器時，真實 IP 可能會短暫暴露；在 iOS 上，即使已開啟 kill switch，部分 Apple 服務的 DNS 請求仍可能繞過通道。

U04b_price_yearly 紀錄 1 年 VPN Plus 計劃的首期收費：首 12 個月為 $53.88（每月 $4.49），這在定價頁面上其續期行旁邊列明——「其後每 12 個月以 $83.88 續期」（每月 $6.99）——而這不是該欄位的值。

NordVPN

此紀錄目前仍未解決的事項。

兩項價格。 U04b_price_yearly=139.08 及 U04_price_monthly=14.99 是以美元計算的 Basic 級別續訂價格，從美國 IP 讀取 nordvpn.com/pricing（該頁面按地區鎖定貨幣；一年計劃宣傳首 12 個月每月 $5.49，其後為每年 $139.08）。

透明度頁面，再次閱讀。 P-block 已根據 NordVPN 的透明度頁面（nordvpn.com/blog/nordvpn-introduces-transparency-reports/，每日更新）重新閱讀：2024 年 10 月，巴拿馬檢察官辦公室發出的具約束力手令，迫使 NordVPN 交出付款資料，以及確認某個帳戶以指定電郵地址存在——紀錄中唯一一次歷來披露（P02/P03/P12）。

金絲雀，以及取代它的季度。 同一頁面為季度透明度報告而撤下手令金絲雀（P07=removed）；最近一個完整季度（2026 年 4 月至 6 月）顯示有 85 宗政府查詢及 0 宗披露，因此 P08/P09 對應該時段，而非歷來數字。

印度，以及秘密命令制度。 P04=withdrew_physical 是 2022 年 6 月退出印度。P11=none_known 建基於頁面所述 NordVPN 從未收到具約束力的國家安全信函或秘密命令，以及巴拿馬沒有此類制度。

Proton VPN

此紀錄目前仍未解決的事項。

稽核實際檢查的內容。 無日誌的判定同時強而狹窄。Securitum 於 2025 年 8 月親身檢查生產伺服器，並自 2022 年起每年進行檢查。

報告自行列明的限制。 這是一次時點檢查，是對 Proton 工程師示範的系統進行的引導式審查，而非無人監督的鑑證檢查；同時是具代表性的樣本，而非整個伺服器群。CI/CD、原始碼及帳戶管理系統明確不在範圍內，因此這裏沒有任何內容說明帳單一側持有甚麼資料。

上訴，以及它沒有解決的問題。 這裏引用 2021 年 10 月 22 日的上訴，並附上值得明確說明的限制：Federal Administrative Court 裁定，電郵服務不是電訊業者，而判決報道及 Proton 自己對事件的說明均沒有提及 VPN。

實際決定兩個欄位的依據。 決定 C10 和 C11 的是，瑞士在名錄自己的國家清單中沒有義務依據；上訴印證了瑞士當局如何處理 Proton，但本身並不是對 Proton VPN 的判定。對同系服務作出的裁決，其依據比出處呈現出來的更薄弱。

唯一最大的未決項目。 Proton 在八個施加記錄留存義務的國家提供出口位置。硬件是否實際位於其中任何一個國家，尚未確認：Proton 在 2022 年從印度撤走實體伺服器，並記錄了從其他地方提供服務的位置所使用的 Smart Routing，這指向虛擬位置，但這只在印度得到驗證。在這份紀錄中，確認 C09b_mandate_hosting 是唯一最大的未決項目。