docmorris.de

Контекст

www.docmorris.de — сайт DocMorris, одной из крупнейших европейских онлайн-аптек (доставка лекарств и товаров для здоровья, личный кабинет, программа лояльности). Контролёры данных — DocMorris N.V. и DocMorris Services B.V. (Хеерлен, Нидерланды); сайт работает на немецкую аудиторию под доменом .de. Поскольку речь об аптеке, чувствительность контекста высокая.

Замер: 146 обращений к 12 доменам, главная страница, снят на чистом браузере без VPN и блокировщика. Сессия вошла через переадресацию с www.docmorris.nl на www.docmorris.de — этим объясняется нидерландский домен в списке. На сайте есть собственный механизм согласия на платформе consentmanager.

Кто получает данные

Напрямую до согласия: Exactag, сторонний трекер spapi.io.

Exactag — это маркетинговая атрибуция: измерение точек контакта, просмотров, onsite-событий и конверсий по пути пользователя. Её библиотека загружается на 5380 мс, раньше отрисовки интерфейса баннера (15956 мс). spapi.io — сторонний домен, на который на 7630 мс уходит обращение-бикон с привязанным к визиту полезным грузом (длина адреса запроса — 1087 символов); вендора идентифицировать публично не удалось, в политике сайта он не назван.

Контейнеры сборщика тегов (первичный поддомен measure.docmorris.de поверх Google Tag Gateway и стандартный Google Tag Manager) загружаются, но коммерческих трекеров не разворачивают: ни аналитики Google, ни рекламных обращений в этом сеансе нет. Criteo разрешён в заголовке CSP, но удержан за согласием и не сработал. Из функционального — виджет чат-ассистента (Zowie), заявленный в политике.

Был ли баннер согласия

Да, полноценный баннер на платформе consentmanager присутствует, и устроен он во многом правильно: основная масса коммерческих средств удержана за ним. Скрипт платформы согласия загружается на 5818 мс, интерфейс баннера отрисовывается на 15956 мс, а решение фиксируется на 40255 мс (обращение consent.php).

Узловой момент в том, что часть маркетинга отработала раньше баннера: к моменту отрисовки его интерфейса (15956 мс) библиотека Exactag (5380 мс) и сторонний бикон (7630 мс) уже сходили в сеть.

Что срабатывает до согласия

До отрисовки баннера и до любого согласия отрабатывает:

• маркетинговая атрибуция Exactag (5380 мс) — загрузка библиотеки измерения пути пользователя;
• обращение-бикон на сторонний домен spapi.io (7630 мс) — с привязанным к визиту полезным грузом;
• контейнеры сборщика тегов — загружаются, но коммерческих тегов в этом сеансе не разворачивают;
• чат-ассистент Zowie (8315 мс) — функциональный сервис поддержки.

Контейнеры тегов и чат претензий не вызывают: первые без согласия ничего не развернули, второй функционален и заявлен. Претензия — к Exactag и стороннему бикону: это маркетинговые, нетехнические цели, и они контактируют с третьими лицами до выбора пользователя.

Почему «контейнер загружен» — это ещё не нарушение, а Exactag — уже

Это важно для понимания. Загрузка контейнера сборщика тегов сама по себе нейтральна: если без согласия он не развернул ни аналитику, ни рекламу, ни пиксели — претензии нет, и здесь это так. Поэтому Google Tag Manager в этом замере к нарушению не относится.

Иначе с Exactag. Это не контейнер, а конкретный маркетинговый инструмент с собственной целью — измерение пути и конверсий. DocMorris в своей же документации относит маркетинговые средства, включая Exactag, к обработке на основании согласия (Art. 6(1)(a) GDPR). Запуск такой библиотеки до согласия противоречит этому основанию. К ней добавляется сторонний бикон на spapi.io, который не назван в политике вовсе, — что усугубляет и вопрос прозрачности.

Вывод

Docmorris.de — случай в целом дисциплинированной настройки с одной утечкой на уровне маркетинга. В пользу сайта многое: есть полноценный баннер согласия, аналитика Google, Criteo и рекламные пиксели в чистом сеансе не разворачиваются, Criteo удержан за согласием. Но библиотека маркетинговой атрибуции Exactag (5380 мс) и сторонний бикон на не идентифицированный домен spapi.io (7630 мс) отрабатывают раньше, чем отрисовывается интерфейс баннера (15956 мс), и раньше любого согласия. Главное, что должен вынести читатель: достаточно перевести маркетинговую атрибуцию и сторонний бикон в режим ожидания согласия — так же, как это уже сделано для аналитики Google и Criteo, — и для аптеки, оперирующей чувствительным контекстом, конфигурация стала бы чистой.