Технический аудит · 2026-06-06

boozt.com

Скандинавский онлайн-ритейлер одежды — Дания, листинг на Nasdaq Stockholm

Скандинавский ритейлер с 23 внешними доменами. Баннер privacy-center загружается на +1053 мс, но isstarsbuilding.com и Trustpilot запускаются на +1024 и +1029 мс — за доли секунды раньше. Microsoft Clarity собирает данные сессии на протяжении всех 137 секунд записи.

Хронология утечки

+1024 мс · до баннера

isstarsbuilding.com (ObservePoint/Stardust) — платформа аудита тегов, передаёт данные о визите. За 29 мс до баннера.

+1029 мс · до баннера

Trustpilot (widget.trustpilot.com) — виджет отзывов. За 24 мс до баннера.

+1059 мс · до появления

VWO (Visual Website Optimizer) — A/B тестирование. Через 6 мс после начала загрузки баннера.

+1658 мс

Avo Inspector (cdn.avo.app) — инспектор аналитических событий. США.

+1660 мс

GTM (GTM-TR48) — загружается после баннера.

+1720 мс

DialogIntelligens AI-чат (dialogintelligens.dk) — датский чат-сервис.

+3187 мс

Microsoft Bing Ads (bat.bing.com) — конверсионный пиксель. США.

+3476 мс

raw.githubusercontent.com — изображения для чат-виджета DialogIntelligens.

+3811 мс

Microsoft Clarity (clarity.ms) — запись сессий. 9 collect-запросов за 137 секунд сессии.

Декларация против факта

✓ Microsoft (Bing Ads, Clarity) — упомянут в политике — заявлен

✓ Google (GTM) — упомянут — заявлен

✓ Trustpilot — упомянут — заявлен

+ ObservePoint / isstarsbuilding.com — не заявлен

+ Visual Website Optimizer (VWO) — не заявлен

+ Avo Inspector (cdn.avo.app) — не заявлен

+ DialogIntelligens (dialogintelligens.dk) — не заявлен

+ raw.githubusercontent.com — не заявлен

Тайминги передачи

+1024 мс isstarsbuilding.com до баннера ObservePoint tracker. За 29 мс до баннера

+1029 мс widget.trustpilot.com до баннера Trustpilot виджет

+1053 мс sdk.privacy-center.org баннер Баннер начинает загружаться

+1059 мс dev.visualwebsiteoptimizer.com до появления VWO A/B тестирование

+3811 мс clarity.ms после баннера Microsoft Clarity запись сессий

+3815 мс bat.bing.net после баннера Bing Ads conversion tracking

Зафиксированные трекеры

ObservePoint / Stardust (isstarsbuilding.com)
Trustpilot (widget.trustpilot.com)
Visual Website Optimizer / VWO (dev.visualwebsiteoptimizer.com)
Google Tag Manager (GTM-TR48)
Avo Inspector (cdn.avo.app)
DialogIntelligens AI-чат (dialogintelligens.dk)
Microsoft Clarity (clarity.ms)
Microsoft Bing Ads (bat.bing.com, bat.bing.net)
Google Fonts (fonts.googleapis.com)
Avo.app (аналитический инспектор)
raw.githubusercontent.com (CDN изображений чата)
Sentry EU (ingest.de.sentry.io)

Зафиксированные нарушения

GDPR Art. 6(1), Art. 5(1)(a)

isstarsbuilding.com (+1024 мс) и Trustpilot (+1029 мс) запускаются за 29–4 мс до загрузки баннера privacy-center (+1053 мс). VWO (+1059 мс) запускается через 6 мс после начала загрузки баннера — до его фактического появления на экране.
GDPR Art. 7

Microsoft Clarity активируется на +3811 мс и отправляет collect-запросы в течение всей сессии (9 запросов за 137 секунд). Bing Ads (+3187 мс) активируется после баннера — но механизм согласия для них не прозрачен из HAR.
GDPR Art. 13(1)(e)

ObservePoint/isstarsbuilding.com, VWO, Avo Inspector, DialogIntelligens и raw.githubusercontent.com не упомянуты в политике конфиденциальности как получатели данных.
GDPR Art. 13(1)(f), Chapter V

Microsoft Clarity, Bing Ads, VWO, Avo.app — серверы в США. Механизм передачи (EU-US DPF) не указан явно для каждого получателя.

Контекст

Boozt A/S — скандинавский онлайн-ритейлер одежды и красоты, штаб-квартира в Копенгагене, листинг на Nasdaq Stockholm. boozt.com/ee/et — эстонская версия. Политика конфиденциальности подробная, на английском, с разделами о cookies и рекламе. HAR: 128 запросов, 23 домена. Сессия длительностью более 2 минут.

Гонка баннера и трекеров — 29 миллисекунд

isstarsbuilding.com стартует на +1024 мс. Trustpilot — на +1029 мс. Баннер privacy-center начинает загружаться на +1053 мс. Разрыв — 29 и 24 миллисекунды соответственно. VWO запускается на +1059 мс — через 6 мс после начала загрузки баннера, но ещё до его фактического появления на экране (баннер полностью загружается за ~1 секунду).

Технически это граничный случай — не явный preloading за секунды до баннера как в других случаях серии. Но принцип privacy by default требует что трекеры не должны инициализироваться до подтверждённого согласия. 29 миллисекунд — это не случайность, это порядок загрузки скриптов.

isstarsbuilding.com — что это

euob.isstarsbuilding.com и obseu.isstarsbuilding.com — домены платформы ObservePoint (ранее Stardust). Это инструмент аудита тегов: отслеживает какие теги и пиксели запускаются на сайте, собирает данные о качестве аналитики. Ирония в том что инструмент контроля за трекерами сам является трекером — и запускается до согласия.

Microsoft Clarity — запись на протяжении сессии

Microsoft Clarity активируется на +3811 мс. В HAR зафиксировано 9 collect-запросов за 137 секунд сессии — на отметках +4402, +6304, +11781, +16088, +25153, +54218, +81090, +122183, +137494 мс. Clarity записывает движения мыши, клики и скроллы на протяжении всего визита. В политике Microsoft упомянут — механизм согласия для этого уровня записи требует явного opt-in.

DialogIntelligens и GitHub CDN

DialogIntelligens — датский AI-чат-сервис. Загружает изображения для чат-виджета напрямую с raw.githubusercontent.com — публичного CDN GitHub. IP каждого пользователя уходит в GitHub/Microsoft при открытии чата. Это архитектурная небрежность: изображения должны хоститься на собственном CDN.

Sentry EU — правильный выбор

Как у IIZI и Zalando — Boozt использует EU-инстанс Sentry (ingest.de.sentry.io). Статус 429 (rate limit) говорит что Sentry активно используется. Данные об ошибках остаются в ЕС.

Вывод

Boozt имеет подробную политику конфиденциальности и баннер согласия. Но isstarsbuilding.com, Trustpilot и VWO опережают баннер на миллисекунды — порядок загрузки скриптов не соответствует принципу согласия до обработки. Microsoft Clarity записывает сессию на протяжении двух минут. Четыре сервиса (ObservePoint, VWO, Avo, DialogIntelligens) не упомянуты в политике. 23 внешних домена — это много для ритейлера который декларирует заботу о данных.

Доказательство

Оригинал (разбор)

HAR-файл: ee/boozt-com-2026-06-06.har

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Кому: AKI — Эстонский надзорный орган по защите данных
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом boozt.com.

2. Обстоятельства
Я посетил сайт boozt.com и обнаружил, что мои персональные данные обрабатывались с нарушением требований GDPR. Технический разбор, опубликованный на gdpru.eu 06.06.2026 (открытая методология, воспроизводимые измерения), документирует следующее:

1) isstarsbuilding.com (+1024 мс) и Trustpilot (+1029 мс) запускаются за 29–4 мс до загрузки баннера privacy-center (+1053 мс). VWO (+1059 мс) запускается через 6 мс после начала загрузки баннера — до его фактического появления на экране.

2) Microsoft Clarity активируется на +3811 мс и отправляет collect-запросы в течение всей сессии (9 запросов за 137 секунд). Bing Ads (+3187 мс) активируется после баннера — но механизм согласия для них не прозрачен из HAR.

3) ObservePoint/isstarsbuilding.com, VWO, Avo Inspector, DialogIntelligens и raw.githubusercontent.com не упомянуты в политике конфиденциальности как получатели данных.

4) Microsoft Clarity, Bing Ads, VWO, Avo.app — серверы в США. Механизм передачи (EU-US DPF) не указан явно для каждого получателя.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/boozt-com/

3. Нарушенные положения
GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 7; GDPR Art. 13(1)(e); GDPR Art. 13(1)(f), Chapter V

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата]                                    [Подпись/имя]