VPN隐私政策与数据路径对照：一项比较式梳理

从政策里取一句话，也就是让你开始考虑这家提供商的那句话，然后沿着整个系统把它追一遍。关于隧道的承诺并不会自动描述账户门户、解析器、支持邮箱或支付处理商。多数糟糕的对比，都是把关于某个组件的一句话读完之后套用到另一个组件上。下面的梳理把这种习惯变成一张简短的工作表。

追踪数据，而不是形容词

「没有活动日志」这样的标题是关于某一类数据的陈述，真正有用的问题是：哪个组件本来能够产生这一类数据。隧道出口能看到源地址和时间戳；解析器能看到被查询的域名；账户系统能看到身份和付款记录；支持团队能看到你粘贴进工单的一切。其中两个可能由同一家公司运营，而另一个可能是承包商。

传输加密对保留期限毫无说明，因为出口在转发之前就已经解密。

写下六行：客户端应用、隧道出口运营方、DNS解析器、账户与计费系统、支持渠道，以及任何接收诊断或崩溃报告的接收方。每一行都记下由谁运营，以及那一方是否就是你在读的这家公司。白标服务、外包支持台和第三方分析，往往比想象中更容易让答案变得有意思。

然后列出每个组件在技术上能接触到什么：源地址、账户标识、被查询的名称、连接时间、传输量、设备信息、提交的报告。可接触不等于保留，但它能指明政策中的哪一部分必须回答哪个问题。

「不存储浏览目的地」并不覆盖会话时间戳，而关于汇总统计的陈述也不描述喂出这些统计的原始记录。按顺序去找确切的类别、声明的目的、保留期限和关于共享的措辞。当政策说「匿名」时，要查清去掉了哪些标识符、时间精度到了什么程度，而不是把那个词当成解释。

注意按产品线分别适用的条款。同一品牌的浏览器扩展、移动客户端和路由器设备可能有不同的数据路径，而政策也许只用一页泛泛之谈覆盖这三者。

IETF的隐私考量指南在这里是有用的框架，因为它迫使人按组件分析，而不是按营销语句分析。

开源客户端代码描述的是客户端如何处理你的数据，对终结隧道的后端几乎什么也没说。审计覆盖的是声明过的系统在声明过的期间内的情况，这很有用，但比永久保证要窄。关于司法管辖的陈述讲的是法律程序，不是技术日志。每一种都是特定类型的证据，把它们混在一起，就会得出一年之后没人能辩护的自信结论。

静态加密保护的是仍然存在的记录，所以它回答的是另一个问题：记录究竟存不存在。

政策里缺少某个组件、或者没有谈到某一类数据的地方，就在旁边写上「未说明」。这才是诚实的结果，也比把沉默变成保证或指控更有用。把政策的版本和日期记在笔记旁边，因为这类文档会悄悄变化，而没有版本号的对比很快就会过时。

最后，要清楚你自己的测试证明了什么。可用的出口和改变了的公网地址证明的是路由。它们对服务器端保留什么也说明不了，而这个区分就活在整张工作表里。