Технический аудит · 13.09.2026

alexela.ee

Сайт энергетической компании

Сайт энергетической компании Alexela — один замер страницы продукта (электричество), 59 запросов, 7 узлов. Баннер cookie сделан корректно: текст просит активного согласия, а категории статистики и маркетинга в настройках по умолчанию выключены. Но при этом движок персонализации Salesforce Evergage (CDP) не просто грузится, а фактически отправляет события взаимодействия, а Hotjar ведёт запись сессии — оба до какого-либо выбора и при выключенных по умолчанию категориях. Платформы, гейтящей теги, нет. И оба трекера — Evergage и Hotjar — не названы ни в куки-декларации, ни в подробном списке обработчиков, который у Alexela есть.

Хронология обращений

+1018…+1034 мс · CDP, контейнер, запись сессии

cdn.evgnet.com/beacon/… (Salesforce Evergage, +1018 мс), www.googletagmanager.com/gtm.js (GTM-MTBJKCD, +1033 мс), static.hotjar.com/c/hotjar-1847701.js (Hotjar, +1034 мс). Платформы управления согласием нет — баннер собственный.

+1141…+1669 мс · Evergage шлёт события, Hotjar пишет

s5568….germany-2.evergage.com/api2/event/dev (+1141 мс) и POST /pr с параметрами item, action, .scv (событие взаимодействия, +1301 мс) — Salesforce Evergage отправляет данные; script.hotjar.com/modules… (+1669 мс) — Hotjar подгружает модули записи сессии. Всё до выбора.

Декларация против факта

✓ Контролёр — AS Alexela и AS Alexela Energia Teenused (энергетический концерн) — заявлен

✓ Документы: принципы обработки персональных данных, подробный список обработчиков (volitatud isikuandmete töötlejad), куки-декларация — заявлен

✓ Куки-декларация называет: Google (_gid, статистика) — заявлен

✓ Баннер «Kasutame oma veebisaidil küpsiseid»: активное согласие, категории Statistika и Turunduslikud по умолчанию выключены — заявлен

✓ Надзорный орган — Andmekaitse Inspektsioon — заявлен

+ Salesforce Evergage / Interaction Studio (CDP, шлёт события взаимодействия) в документах не назван — не заявлен

+ Hotjar (session recording) в документах не назван — не заявлен

+ Evergage и Hotjar грузятся и передают данные до выбора, при выключенных по умолчанию категориях — не заявлен

+ Прямой кнопки отказа на первом экране баннера нет (только принять всё или перейти в настройки) — не заявлен

Тайминги передачи

+1018 мс cdn.evgnet.com

Salesforce Evergage beacon; в документах не назван.

+1034 мс static.hotjar.com

hotjar-1847701; в документах не назван.

+1141 мс germany-2.evergage.com

api2/event/dev — Interaction Studio.

+1301 мс germany-2.evergage.com

POST /pr — item, action, .scv.

Зафиксированные трекеры

Salesforce Evergage / Interaction Studio (cdn.evgnet.com, s5568…germany-2.evergage.com) — CDP и движок персонализации; не просто грузится (+1018 мс), а ШЛЁТ данные — api2/event/dev (+1141 мс) и POST /pr с параметрами item, action, .scv (событие взаимодействия, +1301 мс). До выбора в баннере. В документах НЕ назван
Hotjar (script.hotjar.com, static.hotjar.com — hotjar-1847701) — session recording и тепловые карты; грузится на +1034 мс, подгружает модули записи. До выбора. В документах НЕ назван
Google Tag Manager (www.googletagmanager.com, GTM-MTBJKCD) — контейнер тегов; +1033 мс
Первая сторона и инфраструктура: www.alexela.ee, Web eID (эстонская э-идентификация для входа), собственный баннер (alexela_cookie_toggle), чат (alexela_chatmodal)
Артефакт инструмента съёмки: edge.microsoft.com/translate — функция перевода браузера, не компонент сайта

Признаки несоответствия GDPR

ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — CDP и session recording шлют данные до согласия
Баннер cookie корректен по тексту (просит активного разрешения «Küsime Sinult luba»), и в панели настроек категории Statistika ja analüütika и Turunduslikud по умолчанию ВЫКЛЮЧЕНЫ (не предвыбраны). Однако прямой кнопки отказа на первом экране нет: только «Nõustun kõigi küpsistega» (согласиться со всеми) и «Muudan küpsiste seadistusi» (в настройки) — чтобы отказаться, нужно перейти в отдельный экран настроек, то есть отказ не равнозначен согласию по числу шагов. Кроме того (по наблюдению живого прохода, не подтверждается HAR этого замера) путь через настройки уводит в воронку оформления — вплоть до перехода к подписанию договора. При этом платформа Salesforce Evergage / Interaction Studio (CDP и персонализация) не просто грузится, а фактически ОТПРАВЛЯЕТ данные до какого-либо выбора: api2/event/dev на +1141 мс и POST /pr с параметрами взаимодействия (item, action, .scv, +1301 мс), а Hotjar (session recording) грузится на +1034 мс. Платформы, гейтящей теги, нет — баннер собственный (alexela_cookie_toggle) и загрузку не удерживает.
GDPR Art. 13(1)(e) — веб-трекеры не раскрыты (Evergage, Hotjar)
У Alexela есть механизм раскрытия получателей: куки-декларация и отдельный подробный PDF со списком обработчиков (volitatud isikuandmete töötlejad). Однако веб-трекеры в них не попали. Куки-декларация называет только Google (_gid, статистика). Salesforce Evergage / Interaction Studio (CDP, шлёт события взаимодействия) и Hotjar (запись сессии) не упомянуты ни в куки-декларации, ни в списке обработчиков. То есть документ обработчиков существует и подробен, но два фактически работающих веб-трекера в него не внесены.

Контекст

alexela.ee — сайт энергетического концерна Alexela (AS Alexela и AS Alexela Energia Teenused): электричество, газ, топливо, зарядные станции. Обработку описывают принципы обработки персональных данных, подробный список обработчиков (volitatud isikuandmete töötlejad) и куки-декларация; управление согласием — собственный баннер (alexela_cookie_toggle), отдельной платформы CMP в замере нет.

Замер — одна запись страницы продукта «электричество» (/et/elekter): 59 запросов, 7 узлов.

Кому уходят данные напрямую

Salesforce Evergage / Interaction Studio (CDP и персонализация — шлёт события взаимодействия), Hotjar (запись сессии) — оба до выбора в баннере. GTM — контейнер. Функционально — Web eID (вход), собственный чат. Первая сторона — сайт Alexela. Обращения к edge.microsoft.com/translate — артефакт инструмента съёмки (перевод в браузере). GA/рекламных сетей в этом замере нет.

Заявленное против фактического

Здесь корректный баннер соседствует с трекерами, которые его рамку обходят.

Баннер корректен по тексту, но отказ не равнозначен согласию. Текст просит активного разрешения («Küsime Sinult luba selliste küpsiste kasutamiseks, mida ei ole tingimata vaja») — не «продолжая, вы соглашаетесь», а именно запрос согласия, и в панели настроек категории Statistika и Turunduslikud по умолчанию выключены (не предвыбраны). Но на первом экране прямой кнопки отказа нет: только «Nõustun kõigi küpsistega» (принять всё) и «Muudan küpsiste seadistusi» (в настройки). Отклонить одним кликом, как принять, нельзя — нужно идти в отдельный экран. По наблюдению живого прохода, этот путь через настройки уводит дальше в воронку оформления, вплоть до перехода к подписанию договора; по HAR этого замера (одна страница) сам проход не фиксируется, поэтому это отмечается как UX-наблюдение, а не как доказанный из файла факт.

Но CDP и запись сессии шлют данные до выбора. Платформа Salesforce Evergage / Interaction Studio (движок персонализации и клиентских данных) не просто грузится на +1018 мс, а фактически отправляет данные: обращение api2/event/dev на +1141 мс и POST /pr на +1301 мс с параметрами взаимодействия (item, action, .scv). Параллельно Hotjar (session recording) грузится на +1034 мс и подгружает модули записи сессии. Всё это — до какого-либо выбора пользователя и при выключенных по умолчанию категориях статистики и маркетинга. Платформы управления согласием, которая удерживала бы теги до выбора, нет — баннер реализован собственным скриптом и загрузку не гейтит. Получается противоречие: настройки показывают «статистика и маркетинг выключены», а движок персонализации Evergage и запись сессии Hotjar уже работают и передают данные.

И веб-трекеры не раскрыты. У Alexela есть механизм раскрытия — куки-декларация и отдельный подробный PDF со списком обработчиков. Но веб-трекеры в них не попали: куки-декларация называет только Google (_gid, статистика), а Salesforce Evergage и Hotjar не упомянуты ни в декларации, ни в списке обработчиков. То есть документ обработчиков существует и детален, но два фактически работающих веб-трекера — CDP и запись сессии — в него не внесены.

Согласие: что доказано и что нет

Доказано: баннер корректен по форме. Скриншоты фиксируют активную формулировку согласия и выключенные по умолчанию категории статистики и маркетинга.

Доказано: Evergage шлёт данные до выбора. api2/event/dev (+1141 мс) и POST /pr с параметрами взаимодействия (+1301 мс); скрипт — на +1018 мс.

Доказано: Hotjar ведёт запись до выбора. hotjar-1847701.js на +1034 мс, модули записи на +1669 мс.

Доказано: Evergage и Hotjar не раскрыты. Поиск по куки-декларации и PDF обработчиков их имён не находит.

Не установлено: решение о согласии. Выбор в замере не зафиксирован; ключевой факт — что Evergage и Hotjar отработали до выбора.

Не доказано: содержимое событий Evergage и записи Hotjar. Тела обращений в опубликованном файле вычищены; читаются эндпоинты и имена параметров, не значения.

Границы наблюдения

Замер охватывает одну страницу продукта и фиксирует поведение браузера, не серверную обработку: что Salesforce и Hotjar делают с полученными данными, браузерным замером не проверяется. Установлено: Evergage отправляет события взаимодействия и Hotjar ведёт запись до выбора; оба не раскрыты в документах. Собственный баннер (alexela_cookie_toggle) теги не гейтит — это следует из того, что трекеры срабатывают до фиксации выбора. Web eID и чат отнесены к функциональной части. Обращения к edge.microsoft.com отнесены к артефактам инструмента съёмки.

Файл опубликован очищенным от личных данных (69 правок, самопроверка чистая); отправка событий Evergage до выбора, загрузка Hotjar и отсутствие Evergage/Hotjar в документах проверяются по опубликованному файлу и скриншотам напрямую. Баннер, настройки и состав источников — со скриншотов (живой UI).

Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.

Вывод

Энергетический концерн на уровне текста согласия сделал баннер корректно (активный запрос, не implied) и не предвыбрал категории. Но отказ не равнозначен согласию: принять всё можно одним кликом, а чтобы отклонить — надо идти в настройки, и по наблюдению этот путь уводит дальше в воронку оформления.

Но фактическое поведение эту рамку обходит. Движок персонализации Salesforce Evergage (CDP) не просто загружается, а отправляет события взаимодействия, а Hotjar ведёт запись сессии — оба до какого-либо выбора и при выключенных по умолчанию категориях, потому что собственный баннер загрузку тегов не гейтит. И оба этих трекера — Evergage и Hotjar — не внесены ни в куки-декларацию, ни в список обработчиков, хотя механизм раскрытия у Alexela есть. Получается разрыв: форма согласия аккуратная, а два реально работающих веб-трекера и передают данные раньше выбора, и остаются нераскрытыми.

Устранение: обусловить загрузку и отправку данных Salesforce Evergage и Hotjar фактическим согласием, чтобы при выключенных категориях статистики и маркетинга они не грузились и не передавали события до выбора; внести Evergage / Interaction Studio и Hotjar в куки-декларацию и в список обработчиков как получателей с указанием цели (персонализация/CDP и запись сессии); сохранить корректную форму баннера (активное согласие, невыбранные категории) и распространить принцип гейтинга на веб-трекеры.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/alexela-ee-2026-09-13.har

SHA-256: f21976e6ed8934024d286ed1faa7111815a6294d05b165c366bfeba0015b4661

Скриншот

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — alexela.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта alexela.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Баннер cookie корректен по тексту (просит активного разрешения «Küsime Sinult luba»), и в панели настроек категории Statistika ja analüütika и Turunduslikud по умолчанию ВЫКЛЮЧЕНЫ (не предвыбраны). Однако прямой кнопки отказа на первом экране нет: только «Nõustun kõigi küpsistega» (согласиться со всеми) и «Muudan küpsiste seadistusi» (в настройки) — чтобы отказаться, нужно перейти в отдельный экран настроек, то есть отказ не равнозначен согласию по числу шагов. Кроме того (по наблюдению живого прохода, не подтверждается HAR этого замера) путь через настройки уводит в воронку оформления — вплоть до перехода к подписанию договора. При этом платформа Salesforce Evergage / Interaction Studio (CDP и персонализация) не просто грузится, а фактически ОТПРАВЛЯЕТ данные до какого-либо выбора: api2/event/dev на +1141 мс и POST /pr с параметрами взаимодействия (item, action, .scv, +1301 мс), а Hotjar (session recording) грузится на +1034 мс. Платформы, гейтящей теги, нет — баннер собственный (alexela_cookie_toggle) и загрузку не удерживает.

2) У Alexela есть механизм раскрытия получателей: куки-декларация и отдельный подробный PDF со списком обработчиков (volitatud isikuandmete töötlejad). Однако веб-трекеры в них не попали. Куки-декларация называет только Google (_gid, статистика). Salesforce Evergage / Interaction Studio (CDP, шлёт события взаимодействия) и Hotjar (запись сессии) не упомянуты ни в куки-декларации, ни в списке обработчиков. То есть документ обработчиков существует и подробен, но два фактически работающих веб-трекера в него не внесены.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-alexela-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — alexela.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website alexela.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The cookie banner is correct in its text (it asks for active permission, «Küsime Sinult luba»), and in the settings panel the categories Statistika ja analüütika and Turunduslikud are OFF by default (not pre-ticked). However, there is no direct refusal button on the first screen: only «Nõustun kõigi küpsistega» (agree to all) and «Muudan küpsiste seadistusi» (into settings) — to refuse, one must go to a separate settings screen, so refusal is not equal to consent in the number of steps. In addition (by observation of a live walk-through, not confirmed by the HAR of this capture), the path through the settings leads into an onboarding funnel — as far as a transition to signing a contract. Meanwhile the Salesforce Evergage / Interaction Studio platform (CDP and personalisation) does not merely load but actually SENDS data before any choice: api2/event/dev at +1141 ms and POST /pr with interaction parameters (item, action, .scv, +1301 ms), and Hotjar (session recording) loads at +1034 ms. There is no platform to gate the tags — the banner is in-house (alexela_cookie_toggle) and does not hold loading back.

2) Alexela has a mechanism for disclosing recipients: a cookie declaration and a separate detailed PDF with a list of processors (volitatud isikuandmete töötlejad). However, the web trackers did not make it into them. The cookie declaration names only Google (_gid, statistics). Salesforce Evergage / Interaction Studio (a CDP that sends interaction events) and Hotjar (session recording) are not mentioned either in the cookie declaration or in the list of processors. That is, the processors document exists and is detailed, but two web trackers that are actually working are not entered into it.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-alexela-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — alexela.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi alexela.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) Küpsiste bänner on tekstis korrektne (nõuab «Küsime Sinult luba» aktiivset resolutsiooni) ning kategooriate Statistika ja analüütika ning Turunduslikud seadistuste paneelis on vaikimisi VÄLJA lülitatud (ei ole eelnevalt valitud). Kuid esimesel ekraanil ei ole otsest loobumisnuppu: ainult «Nõustun kõigi küpsistega» (nõustud kõigiga) ja «Muudan küpsiste seadistusi» (seadetes) - keeldumiseks peate minema eraldi seadete ekraanile, st keeldumine ei võrdu sammude arvu kokkuleppega. Lisaks (otsekäigu vaatluse kohaselt ei kinnitata selle mõõtmise HAR-i), viib seadete tee disainilehtrisse - kuni üleminekuni lepingu allkirjastamisele. Samal ajal ei ole Salesforce Evergage / Interaction Studio (CDP ja personaliseerimine) platvorm lihtsalt laaditud, vaid tegelikult SETS-i andmed igale valikule: api2/event/dev +1141 ms ja POST /pr koos interaktsiooniparameetritega (element, tegevus, .scv, +1301 ms) ja Hotjar (seansisalvestus) koormused +1034 ms-l. Platvormid, mis väravasildid, ei - bännerid oma (alexelco) ja ei pea vastu.

2) Alexelal on vastuvõtjate avalikustamise mehhanism: küpsisedeklaratsioon ja eraldi detailne PDF koos protsessorite nimekirjaga (volitatud isikuandmete tötlejad). Kuid veebijälgijad ei tabanud neid. Küpsiste deklaratsioon viitab ainult Google'ile (Gid, statistika). Salesforce Evergage/Interaction Studio (CDP) ja Hotjar (seansisalvestus) ei ole mainitud küpsisedeklaratsioonis ega protsessorite nimekirjas. See tähendab, et käitleja dokument on olemas ja üksikasjalik, kuid kaks tegelikult töötavat veebijälgijat ei sisaldu selles.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-alexela-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — alexela.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом alexela.ee.

2. Обстоятельства
Я посетил сайт alexela.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 13.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Баннер cookie корректен по тексту (просит активного разрешения «Küsime Sinult luba»), и в панели настроек категории Statistika ja analüütika и Turunduslikud по умолчанию ВЫКЛЮЧЕНЫ (не предвыбраны). Однако прямой кнопки отказа на первом экране нет: только «Nõustun kõigi küpsistega» (согласиться со всеми) и «Muudan küpsiste seadistusi» (в настройки) — чтобы отказаться, нужно перейти в отдельный экран настроек, то есть отказ не равнозначен согласию по числу шагов. Кроме того (по наблюдению живого прохода, не подтверждается HAR этого замера) путь через настройки уводит в воронку оформления — вплоть до перехода к подписанию договора. При этом платформа Salesforce Evergage / Interaction Studio (CDP и персонализация) не просто грузится, а фактически ОТПРАВЛЯЕТ данные до какого-либо выбора: api2/event/dev на +1141 мс и POST /pr с параметрами взаимодействия (item, action, .scv, +1301 мс), а Hotjar (session recording) грузится на +1034 мс. Платформы, гейтящей теги, нет — баннер собственный (alexela_cookie_toggle) и загрузку не удерживает.

2) У Alexela есть механизм раскрытия получателей: куки-декларация и отдельный подробный PDF со списком обработчиков (volitatud isikuandmete töötlejad). Однако веб-трекеры в них не попали. Куки-декларация называет только Google (_gid, статистика). Salesforce Evergage / Interaction Studio (CDP, шлёт события взаимодействия) и Hotjar (запись сессии) не упомянуты ни в куки-декларации, ни в списке обработчиков. То есть документ обработчиков существует и подробен, но два фактически работающих веб-трекера в него не внесены.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-alexela-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — CDP и session recording шлют данные до согласия; GDPR Art. 13(1)(e) — веб-трекеры не раскрыты (Evergage, Hotjar)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — alexela.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website alexela.ee.

2. Circumstances
I visited the website alexela.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 13 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The cookie banner is correct in its text (it asks for active permission, «Küsime Sinult luba»), and in the settings panel the categories Statistika ja analüütika and Turunduslikud are OFF by default (not pre-ticked). However, there is no direct refusal button on the first screen: only «Nõustun kõigi küpsistega» (agree to all) and «Muudan küpsiste seadistusi» (into settings) — to refuse, one must go to a separate settings screen, so refusal is not equal to consent in the number of steps. In addition (by observation of a live walk-through, not confirmed by the HAR of this capture), the path through the settings leads into an onboarding funnel — as far as a transition to signing a contract. Meanwhile the Salesforce Evergage / Interaction Studio platform (CDP and personalisation) does not merely load but actually SENDS data before any choice: api2/event/dev at +1141 ms and POST /pr with interaction parameters (item, action, .scv, +1301 ms), and Hotjar (session recording) loads at +1034 ms. There is no platform to gate the tags — the banner is in-house (alexela_cookie_toggle) and does not hold loading back.

2) Alexela has a mechanism for disclosing recipients: a cookie declaration and a separate detailed PDF with a list of processors (volitatud isikuandmete töötlejad). However, the web trackers did not make it into them. The cookie declaration names only Google (_gid, statistics). Salesforce Evergage / Interaction Studio (a CDP that sends interaction events) and Hotjar (session recording) are not mentioned either in the cookie declaration or in the list of processors. That is, the processors document exists and is detailed, but two web trackers that are actually working are not entered into it.

Full technical documentation is published at: https://gdpru.eu/audits/ee-alexela-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — a CDP and session recording send data before consent; GDPR Art. 13(1)(e) — web trackers not disclosed (Evergage, Hotjar)

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil alexela.ee.

2. Asjaolud
Külastasin veebisaiti alexela.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 13.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Küpsiste bänner on tekstis korrektne (nõuab «Küsime Sinult luba» aktiivset resolutsiooni) ning kategooriate Statistika ja analüütika ning Turunduslikud seadistuste paneelis on vaikimisi VÄLJA lülitatud (ei ole eelnevalt valitud). Kuid esimesel ekraanil ei ole otsest loobumisnuppu: ainult «Nõustun kõigi küpsistega» (nõustud kõigiga) ja «Muudan küpsiste seadistusi» (seadetes) - keeldumiseks peate minema eraldi seadete ekraanile, st keeldumine ei võrdu sammude arvu kokkuleppega. Lisaks (otsekäigu vaatluse kohaselt ei kinnitata selle mõõtmise HAR-i), viib seadete tee disainilehtrisse - kuni üleminekuni lepingu allkirjastamisele. Samal ajal ei ole Salesforce Evergage / Interaction Studio (CDP ja personaliseerimine) platvorm lihtsalt laaditud, vaid tegelikult SETS-i andmed igale valikule: api2/event/dev +1141 ms ja POST /pr koos interaktsiooniparameetritega (element, tegevus, .scv, +1301 ms) ja Hotjar (seansisalvestus) koormused +1034 ms-l. Platvormid, mis väravasildid, ei - bännerid oma (alexelco) ja ei pea vastu.

2) Alexelal on vastuvõtjate avalikustamise mehhanism: küpsisedeklaratsioon ja eraldi detailne PDF koos protsessorite nimekirjaga (volitatud isikuandmete tötlejad). Kuid veebijälgijad ei tabanud neid. Küpsiste deklaratsioon viitab ainult Google'ile (Gid, statistika). Salesforce Evergage/Interaction Studio (CDP) ja Hotjar (seansisalvestus) ei ole mainitud küpsisedeklaratsioonis ega protsessorite nimekirjas. See tähendab, et käitleja dokument on olemas ja üksikasjalik, kuid kaks tegelikult töötavat veebijälgijat ei sisaldu selles.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-alexela-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a) - CDP ja sessioonisalvestised saadavad andmeid enne nõusoleku saamist; GDPR artikli 13 lõike 1 punkt e – ei avaldata veebijälgijaid (Evergage, Hotjar)

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]