RU EN
www.
Технический аудит · 29.05.2026

dpa.com

Ведущее немецкое новостное агентство
DE

Deutsche Presse-Agentur — ведущее немецкое новостное агентство. 35 запросов, 4 домена. Next.js, nginx. FuturaPT и Inter — локально. Matomo cookieless на собственных серверах dpa, Art. 6(1)(f). Storyblok задекларирован без имени. Нет GTM, нет рекламных пикселей. Set-Cookie — ноль.

Хронология обращений

+0 мс · главная страница
www.dpa.com/en — Next.js, nginx. 304 из кеша. CSP: frame-ancestors 'self' *.storyblok.com — раскрывает CMS.
+95 мс · Storyblok CDN
a.storyblok.com — 10 запросов изображений напрямую (hero, портреты, whitepaper-обложки). Next.js image proxy не используется для Storyblok-ресурсов. IP-адрес посетителя передаётся на серверы Storyblok.
+171 мс · шрифты
FuturaPT/FuturaPTBook.woff2 и Inter/Inter-Regular.woff2 — оба локально из /fonts/. Нет Google Fonts.
+539 мс · Matomo (used.dpa.com)
used.dpa.com/js/container_dkuvDkTV.js — Matomo Tag Manager. Затем +591 мс — /js/?action_name=dpa%20German%20Press%20Agency&idsite=8&rec=1 — трекинг страницы. Cookieless, IP-анонимизация, hash-ID действителен 24 часа.

Декларация против факта

✓ Matomo Analytics (used.dpa.com) — задекларирован, cookieless, собственный сервер, Art. 6(1)(f), hash-ID 24 часа — заявлен
✓ Matomo Tag Manager — задекларирован — заявлен
✓ content management service provider (Storyblok) — задекларирован без имени — заявлен
✓ YouTube, LinkedIn, X, XING, TikTok, Instagram — упомянуты как соцсети dpa — заявлен
+ Storyblok (a.storyblok.com) — имя и домен не раскрыты в политике — не заявлен

Тайминги передачи

+539 мс used.dpa.com

Matomo cookieless. Собственный сервер dpa. Art. 6(1)(f). Без cookies.

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

dpa (Deutsche Presse-Agentur) — основное немецкое новостное агентство, обслуживающее около 1000 медиаорганизаций. Корпоративный сайт на английском языке. Next.js, nginx. HAR: 35 запросов, 4 домена.

Matomo cookieless — без баннера, на собственных серверах

used.dpa.com — собственный домен dpa для Matomo. На +539 мс загружается Matomo Tag Manager (container_dkuvDkTV.js), на +591 мс — трекинг-запрос с idsite=8. Политика описывает Matomo подробно: без cookies, cookieless-режим с хешом на 24 часа, немедленная IP-анонимизация, данные остаются на серверах dpa. Правовое основание — Art. 6(1)(f) GDPR (законный интерес). Баннера согласия нет, и по декларируемой схеме он не требуется — TDDDG §25(2)(2) для технически необходимых технологий и Art. 6(1)(f) для cookieless-аналитики. Set-Cookie — ноль.

Storyblok — задекларирован без имени

CSP содержит frame-ancestors 'self' *.storyblok.com — это Storyblok headless CMS. 10 запросов к a.storyblok.com (изображения) загружаются напрямую без проксирования через Next.js. Политика описывает «content management service provider» как обработчика данных (Art. 4 No. 8, 28 GDPR) без раскрытия имени компании и домена. Art. 13(1)(e) требует указания получателей персональных данных: анонимное описание не соответствует требованиям прозрачности.

FuturaPT и Inter — локально

Корпоративный шрифт FuturaPT (Book) и Inter Regular — оба woff2, локально из /fonts/. Нет Google Fonts, нет Adobe Fonts.

Вывод

www.dpa.com имеет одно замечание: Storyblok не раскрыт по имени в политике конфиденциальности. Технический стек чистый — нет GTM, нет рекламных пикселей, нет внешних CMP. Matomo cookieless на собственных серверах задекларирован корректно.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: de/dpa-com-2026-05-29.har
SHA-256: 1116d64b97f16b1a04446d80d42bf6cee9c5bab8a7fece9a5a9ca846ea04dd5a
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — dpa.com

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта dpa.com.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Storyblok описан в политике конфиденциальности исключительно как «content management service provider» без раскрытия имени компании, домена (a.storyblok.com) или страны регистрации. Art. 13(1)(e) требует указания получателей персональных данных или категорий получателей. Прямые запросы к a.storyblok.com (10 запросов изображений) передают IP-адрес посетителя на серверы Storyblok GmbH (Австрия/США).


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/de-dpa-com/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: BfDI — Федеральный уполномоченный по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — dpa.com

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом dpa.com.

2. Обстоятельства
Я посетил сайт dpa.com и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Storyblok описан в политике конфиденциальности исключительно как «content management service provider» без раскрытия имени компании, домена (a.storyblok.com) или страны регистрации. Art. 13(1)(e) требует указания получателей персональных данных или категорий получателей. Прямые запросы к a.storyblok.com (10 запросов изображений) передают IP-адрес посетителя на серверы Storyblok GmbH (Австрия/США).

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/de-dpa-com/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]