Mullvad VPN

Mullvad VPN AB está registrada en Bolagsverket con el número de organización 559238-4001, en Box 53049, 400 14 Gothenburg, Suecia, con oficina visible en Engelbrektsgatan 28. Su único accionista es Amagicom AB (número de organización 5567839807, con la misma dirección en Gotemburgo), y a su vez Amagicom AB pertenece al 100 % a los fundadores Fredrik Strömberg y Daniel Berntsson, que siguen activamente implicados en la empresa. La página «about» lo afirma textualmente: «Both Mullvad VPN AB and our parent company Amagicom AB are 100% owned by us, the founders Fredrik Strömberg and Daniel Berntsson, who are actively involved in the company». No hay capital riesgo, dinero de private equity, OPV ni entidad holding extranjera por encima del grupo -- un rasgo diferenciador entre las VPN de consumo, donde los competidores suelen depender de estructuras holding al estilo del private equity.

El grupo Mullvad no tiene ninguna entidad constituida en EE. UU. Mullvad VPN AB y Amagicom AB son ambas aktiebolag suecas con sede en Gotemburgo, ambas en manos de los fundadores, y ninguna filial estadounidense, británica o de otro país extranjero aparece en ninguna fuente pública. Por lo tanto, no hay ninguna entidad corporativa de Mullvad a la que la CLOUD Act estadounidense pueda obligar directamente. Mullvad sí emplea dos subencargados estadounidenses -- Stripe Inc. para el procesamiento de pagos con tarjeta (solo datos de tarjeta; los usuarios que pagan en efectivo, en Monero o mediante Swish/SEPA no pasan por Stripe) y Google LLC para el terminador MX de entrada del correo corporativo no orientado al cliente (el correo de soporte al cliente se autohospedó en 2024) --, ambos a su vez sometidos a la CLOUD Act, pero ninguno ve tráfico de VPN, consultas de DNS ni metadatos de conexión. Mullvad sí opera servidores VPN físicamente ubicados en Estados Unidos en aproximadamente 19 ciudades; estos están sujetos a la coacción de las fuerzas del orden del propio país a nivel de la colocation, pero la arquitectura RAM-only / sin registros de Mullvad implica que no hay datos históricos de clientes que entregar, y los clientes pueden optar por evitar por completo los servidores de salida en EE. UU. (o de cualquier otro país de los Cinco Ojos).

Según la política de no registros en mullvad.net/en/help/no-logging-data-policy: «no logging of traffic, no logging of DNS requests, no logging of connections (including when one is made and when it disconnects), no logging of IP addresses, no logging of user bandwidth». Los datos que Mullvad sí conserva se limitan al número de cuenta aleatorio de 16 dígitos, la fecha de vencimiento de la cuenta, la clave pública de WireGuard y la dirección del túnel cuando se usa WireGuard, los metadatos de pago de retención corta (20 días para los identificadores de transacción) y los registros contables exigidos por ley, conservados hasta 7 años según la Bokföringslagen sueca. El Departamento Nacional de Operaciones de la Policía sueca ejecutó una orden de registro en la oficina de Gotemburgo el 18 de abril de 2023 -- la primera en 14 años de actividad -- y se marchó con las manos vacías porque no había datos de clientes que incautar.

Mullvad genera un número de cuenta aleatorio de 16 dígitos a demanda en mullvad.net/account/create; no se requiere correo electrónico, ni nombre de usuario ni contraseña. Puedes pagar de forma anónima enviando efectivo físico por correo postal en cualquiera de nueve divisas (el sobre se destruye una vez contado el dinero) o enviando Monero al monedero XMR del propio Mullvad. Los pagos en efectivo no son reembolsables conforme a las normas contra el blanqueo de capitales; Mullvad solo registra el importe, la divisa y la marca de tiempo. Se aceptan tarjeta, PayPal, transferencia bancaria y Swish, pero estos vinculan la cuenta a un nombre; en esos casos, el identificador de transacción se elimina a los 20 días, mientras que los registros contables exigidos por ley se conservan 7 años según la Bokföringslagen sueca.

La política declarada de Mullvad, textualmente, en mullvad.net/en/help/how-we-handle-government-requests-user-data, es: «We must -- and do -- make it impossible for us to fulfill any data request. There is simply no data to request, nor confiscate in the case of physical seizure». Sobre la cuestión de verse obligados a espiar, la empresa añade: «we will cease operation of our service in the affected jurisdiction and only resume it if the legal situation has been remedied». La legislación sueca, por el momento, no permite obligar a prestar asistencia para vigilancia. La orden de registro de Gotemburgo del 18 de abril de 2023 es la única prueba de estrés real registrada; Mullvad demostró la arquitectura sin registros, se consultó al fiscal y no se incautó ningún dato.