Технический аудит · 26.05.2026

crossroads.be

Бельгийская студия цифрового медиа-продакшна

crossroads.be — сайт студии Crossroads digital media, бельгийского продакшна в области музеографии (сценография музейных экспозиций), документального кино, серьёзных игр (serious games) и корпоративного видео. Клиенты — музеи и культурные учреждения, телевидение, корпорации. Ответственным за обработку по замеру считается оператор сайта Crossroads. Замер: 108 запросов, 5 доменов, снят на чистом браузере.

Хронология обращений

+0 мс · загрузка портала

Контент и ресурсы с crossroads.be (хостинг OVH, Бельгия/ЕС).

+215 мс · Google WebFont Loader до согласия

ajax.googleapis.com/ajax/libs/webfont/1.4.7/webfont.js — загрузчик веб-шрифтов Google. IP посетителя уходит в Google (США).

+231 мс · jQuery с CloudFront

d1tdp7z6w94jbb.cloudfront.net/js/jquery-3.3.1.min.js — библиотека с AWS CloudFront (США).

+257 мс · Google Fonts до согласия

fonts.googleapis.com (Open Sans) и fonts.gstatic.com — Google Fonts. IP посетителя уходит в Google (США).

политика не обнаружена

Страница с политикой конфиденциальности на сайте не найдена; информирование о получателях данных отсутствует.

Декларация против факта

+ Google Fonts, Google WebFont Loader, jQuery с CloudFront — передают IP в Google и AWS (США) до согласия — не заявлен

+ Политика конфиденциальности на сайте не обнаружена — не заявлен

+ Consent-менеджер отсутствует — не заявлен

Тайминги передачи

+215 мс ajax.googleapis.com

Google WebFont Loader. Google, США.

+231 мс d1tdp7z6w94jbb.cloudfront.net

jQuery. AWS CloudFront, США.

+257 мс fonts.googleapis.com

Google Fonts (Open Sans). Google, США.

Зафиксированные трекеры

Google Fonts (fonts.googleapis.com, fonts.gstatic.com)
Google WebFont Loader (ajax.googleapis.com)
jQuery с CloudFront (d1tdp7z6w94jbb.cloudfront.net)

Признаки несоответствия GDPR

GDPR Art. 13 — отсутствие информирования
Политика конфиденциальности на сайте не обнаружена. При этом сайт передаёт данные посетителя сторонним получателям (см. ниже). Отсутствие какой-либо политики означает, что требование информировать субъекта о получателях данных и целях обработки не выполнено вовсе.
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача
На загрузке страницы до согласия загружаются Google WebFont Loader (ajax.googleapis.com, +215 мс), Google Fonts (fonts.googleapis.com + fonts.gstatic.com, Open Sans, +257 мс) и библиотека jQuery с CloudFront (d1tdp7z6w94jbb.cloudfront.net, +231 мс). Обращения передают IP посетителя в Google (США) и в инфраструктуру AWS (США). Получатели нигде не раскрыты.
ePrivacy (бельгийская имплементация) — сторонние ресурсы до согласия
Consent-менеджер на сайте отсутствует. Все внешние обращения происходят на загрузке страницы, до какого-либо выбора. Set-Cookie за весь сеанс ноль.

Контекст

crossroads.be — бельгийский сайт на домене crossroads.be, размещённый на инфраструктуре OVH. Характер деятельности владельца по одному браузерному замеру не устанавливается и здесь не предполагается. Замер: 108 запросов, 5 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP через Google Fonts и Google WebFont Loader; AWS CloudFront (США) — IP через загрузку jQuery.

Заявленное против фактического

Сверка с политикой в этом случае невозможна по объективной причине: страница с политикой конфиденциальности на сайте не обнаружена. Само по себе это существенно: при наличии обработки, передающей данные третьим сторонам, отсутствие какой-либо политики означает, что обязанность информировать посетителя о получателях данных, целях и правовых основаниях не выполнена вовсе.

Замер фиксирует передачу данных внешним получателям. На +215 мс загружается Google WebFont Loader с ajax.googleapis.com, на +257 мс — CSS и файлы Google Fonts (шрифт Open Sans) с fonts.googleapis.com и fonts.gstatic.com; обе загрузки передают IP-адрес посетителя в Google (компания США). На +231 мс библиотека jQuery загружается с d1tdp7z6w94jbb.cloudfront.net — распределительная сеть AWS CloudFront (США). Consent-менеджер на сайте отсутствует, за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан — то есть все внешние обращения происходят до какого-либо согласия.

Тайминг относительно согласия

Внешние ресурсы загружаются на +215–257 мс, в начале сеанса. Механизм согласия отсутствует; передача IP в Google и AWS происходит безусловно, до и вне какого-либо выбора пользователя.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Google и AWS могут использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателей (компании США), а не о физическом местоположении узлов. Характер деятельности сайта и личность оператора по замеру не устанавливаются. Отсутствие политики фиксируется по результату проверки сайта; если политика размещена по нестандартному адресу и не связана ссылками, это следует уточнить отдельно. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт crossroads.be до согласия и при отсутствии consent-менеджера передаёт IP посетителя в Google (через Google Fonts и WebFont Loader) и в AWS (через загрузку jQuery с CloudFront). При этом страница с политикой конфиденциальности на сайте не обнаружена, то есть информирование о получателях данных отсутствует полностью. Совокупность передачи данных сторонним получателям в США до согласия и отсутствия политики указывает на несоблюдение требований о согласии, о раскрытии получателей, о трансграничной передаче и об информировании субъекта данных. Устранение: разместить шрифты и библиотеки локально, внедрить механизм согласия, удерживающий сторонние обращения до выбора, и опубликовать политику конфиденциальности с перечнем получателей данных.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: be/crossroads-be-2026-05-26.har

SHA-256: a1d3c6276076a14820aa398b2602581c9a1db28fa58adfd58ccbbc53837cd3fa

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — crossroads.be

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта crossroads.be.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика конфиденциальности на сайте не обнаружена. При этом сайт передаёт данные посетителя сторонним получателям (см. ниже). Отсутствие какой-либо политики означает, что требование информировать субъекта о получателях данных и целях обработки не выполнено вовсе.

2) На загрузке страницы до согласия загружаются Google WebFont Loader (ajax.googleapis.com, +215 мс), Google Fonts (fonts.googleapis.com + fonts.gstatic.com, Open Sans, +257 мс) и библиотека jQuery с CloudFront (d1tdp7z6w94jbb.cloudfront.net, +231 мс). Обращения передают IP посетителя в Google (США) и в инфраструктуру AWS (США). Получатели нигде не раскрыты.

3) Consent-менеджер на сайте отсутствует. Все внешние обращения происходят на загрузке страницы, до какого-либо выбора. Set-Cookie за весь сеанс ноль.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/be-crossroads-be/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — crossroads.be

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website crossroads.be.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) No privacy policy was found on the site. Meanwhile, the site transmits visitor data to third-party recipients (see below). The absence of any policy means the requirement to inform the data subject of recipients and processing purposes is not met at all.

2) Before consent, on page load, the following load: Google WebFont Loader (ajax.googleapis.com, +215 ms), Google Fonts (fonts.googleapis.com + fonts.gstatic.com, Open Sans, +257 ms), and the jQuery library from CloudFront (d1tdp7z6w94jbb.cloudfront.net, +231 ms). These requests transmit the visitor's IP address to Google (USA) and to AWS infrastructure (USA). The recipients are disclosed nowhere.

3) There is no consent manager on the site. All external requests occur on page load, before any choice. Zero Set-Cookie headers for the entire session.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/be-crossroads-be/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: APD — Орган по защите данных Бельгии — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — crossroads.be

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом crossroads.be.

2. Обстоятельства
Я посетил сайт crossroads.be и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 26.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика конфиденциальности на сайте не обнаружена. При этом сайт передаёт данные посетителя сторонним получателям (см. ниже). Отсутствие какой-либо политики означает, что требование информировать субъекта о получателях данных и целях обработки не выполнено вовсе.

2) На загрузке страницы до согласия загружаются Google WebFont Loader (ajax.googleapis.com, +215 мс), Google Fonts (fonts.googleapis.com + fonts.gstatic.com, Open Sans, +257 мс) и библиотека jQuery с CloudFront (d1tdp7z6w94jbb.cloudfront.net, +231 мс). Обращения передают IP посетителя в Google (США) и в инфраструктуру AWS (США). Получатели нигде не раскрыты.

3) Consent-менеджер на сайте отсутствует. Все внешние обращения происходят на загрузке страницы, до какого-либо выбора. Set-Cookie за весь сеанс ноль.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/be-crossroads-be/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13 — отсутствие информирования; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача; ePrivacy (бельгийская имплементация) — сторонние ресурсы до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — crossroads.be

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website crossroads.be.

2. Circumstances
I visited the website crossroads.be and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 26 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) No privacy policy was found on the site. Meanwhile, the site transmits visitor data to third-party recipients (see below). The absence of any policy means the requirement to inform the data subject of recipients and processing purposes is not met at all.

2) Before consent, on page load, the following load: Google WebFont Loader (ajax.googleapis.com, +215 ms), Google Fonts (fonts.googleapis.com + fonts.gstatic.com, Open Sans, +257 ms), and the jQuery library from CloudFront (d1tdp7z6w94jbb.cloudfront.net, +231 ms). These requests transmit the visitor's IP address to Google (USA) and to AWS infrastructure (USA). The recipients are disclosed nowhere.

3) There is no consent manager on the site. All external requests occur on page load, before any choice. Zero Set-Cookie headers for the entire session.

Full technical documentation is published at: https://gdpru.eu/audits/be-crossroads-be/

3. GDPR provisions I ask you to examine
GDPR Art. 13 — absence of information; GDPR Art. 13(1)(e) + Chapter V — disclosure of recipients and transfer; ePrivacy (Belgian implementation) — third-party resources before consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]