ExpressVPN

Os servidores da ExpressVPN rodam inteiramente em memória ("TrustedServer"), o que a KPMG auditou.

A KPMG avaliou o TrustedServer e os controles da política de privacidade da ExpressVPN (ISAE 3000 Tipo 1, uma avaliação em uma data específica). A mais recente teve como data-base 28 de fevereiro de 2025 e foi publicada em junho de 2025; houve trabalhos anteriores da KPMG entre 2022 e 2024. A Cure53 (2022) e a PwC (2019) também auditaram o TrustedServer.

A ExpressVPN em si é financiada por assinaturas e não exibe anúncios, embora desde 2025 a mesma equipe também opere a EventVPN, uma VPN gratuita com anúncios para aparelhos da Apple.

A EventVPN foi lançada em 18-19 de setembro de 2025 como uma VPN gratuita da equipe da ExpressVPN que exibe anúncios antes e depois das sessões; a empresa diz que os dados de anúncios ficam separados do uso da VPN. A política de privacidade da ExpressVPN diz que ela não vende dados pessoais, mas usa identificadores de instalação e de usuário do app (e identificadores de publicidade, com consentimento) para medir o resultado do seu marketing.

A ExpressVPN pertence à Kape Technologies, antiga Crossrider, cujo software anterior foi classificado como adware e que também é dona de sites de "análises" de VPN.

A Kape comprou a ExpressVPN por 936 milhões de dólares em setembro de 2021. Em 2023, a Kape teve o capital fechado pela Unikmind Holdings, do empresário Teddy Sagi. A Kape também é dona da CyberGhost, da Private Internet Access, da ZenMate e da Intego, e em 2021 adquiriu a Webselenese, que publica o vpnMentor e o Wizcase.

Uma falha no app da ExpressVPN para Windows enviou alguns pedidos de DNS, que revelam os sites que você visita, por fora do túnel da VPN para usuários do split tunneling de maio de 2022 a fevereiro de 2024; a ExpressVPN removeu o recurso para corrigir o problema.

A ExpressVPN removeu temporariamente o split tunneling do seu app para Windows.

Em 2021, Daniel Gericke, então diretor de informação da ExpressVPN, concordou em pagar 335.000 dólares em um acordo de suspensão do processo nos EUA por trabalhos de hacking que fez para o governo dos Emirados Árabes Unidos antes de entrar na empresa; a ExpressVPN disse que conhecia os fatos principais do passado dele quando o contratou, e o manteve no cargo.

Gericke foi um dos três ex-integrantes da inteligência ou das forças armadas dos EUA no caso "Project Raven". Eles admitiram a responsabilidade por violações das regras de controle de exportações e de fraude informática em um acordo de suspensão do processo (sem condenação). Ele entrou na ExpressVPN em dezembro de 2019 e saiu em julho de 2023.

Em 2017, investigadores turcos apreenderam um servidor da ExpressVPN ao investigar o assassinato do embaixador da Rússia; segundo relatos e a própria ExpressVPN, o servidor não continha registros capazes de identificar usuários.

A apreensão ocorreu em janeiro de 2017 e veio a público em dezembro de 2017. A ExpressVPN disse que tinha informado às autoridades turcas que não possuía registros de conexão nem de atividade, e que a apreensão confirmou isso. Depois do incidente, a ExpressVPN deixou de usar servidores físicos na Turquia.

Auditores independentes verificaram que a ExpressVPN não guarda registros.

A PwC (publicado em 9 de julho de 2019) e a KPMG (mais recentemente com data-base em 28 de fevereiro de 2025, ISAE 3000 Tipo 1) atestaram que o TrustedServer não coleta registros de atividade nem de conexão. Tipo 1 significa projeto e implementação em uma data específica, não a eficácia operacional ao longo de um período.

A ExpressVPN opera a partir das Ilhas Virgens Britânicas, onde não há lei que obrigue as VPNs a reter dados.