Эстонский онлайн-магазин продуктов Barbora — 334 обращения, 25 узлов, запись 3,5 минуты. В отличие от многих, здесь платформа согласия Cookiebot, похоже, придерживает основной трекинг: пиксель Facebook и Google Analytics начинают передачу только после +17 секунд, после перехода на регистрацию, а не при загрузке. Пиксель работает без передачи хешей почты. Но до согласия из разметки уже грузятся сторонняя аналитика Cloudflare Insights, поисковый сервис Constructor и SDK Facebook, а защитные заголовки почти отсутствуют.
Хронология обращений
Декларация против факта
Тайминги передачи
Аналитика производительности Cloudflare.
Поисковый сервис Constructor.
SDK Facebook; контакт с Meta, адрес IP уходит до выбора.
Пиксель Meta, PageView id 261556848483061, без advanced matching.
GA4, page_view, gcs=G100.
Зафиксированные трекеры
- Facebook / Meta (connect.facebook.net, www.facebook.com) — SDK грузится сразу, пиксель PageView (id 261556848483061) начинает передачу после перехода на регистрацию, без advanced matching
- Google Analytics 4 (region1.google-analytics.com), Google Tag Manager — стартуют после взаимодействия, gcs=G100
- Cloudflare Insights (static.cloudflareinsights.com) — сторонняя аналитика производительности, грузится до согласия
- Constructor (cnstrc.com) — поисковый сервис магазина, грузится до согласия
- Tellq (tellq.io), Sentry (barbora.lt), Adobe Typekit (use.typekit.net) — чат, мониторинг ошибок, шрифты
Признаки несоответствия GDPR
- ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a))На сайте установлена платформа управления согласием Cookiebot, и основной рекламный и аналитический трекинг действительно придержан: пиксель Facebook и Google Analytics начинают передавать данные только после +17 секунд, после перехода пользователя на регистрацию. Однако до этого, на +254…+331 мс, из разметки уже грузятся сторонняя аналитика производительности Cloudflare Insights, поисковый сервис Constructor и SDK Facebook — все до какого-либо выбора пользователя. Загрузка SDK Facebook на первой секунде означает контакт с инфраструктурой Meta и передачу адреса IP посетителя ещё до согласия.
- GDPR Art. 32 — меры безопасностиЗащитные заголовки почти отсутствуют: политика безопасности содержимого сведена к frame-src * (то есть фактически не ограничивает источники сценариев), строгого транспорта нет, политики реферера нет, политики разрешений нет. Для магазина, обрабатывающего платежи и передающего в рекламные платформы адрес электронной почты и телефон, это недостаточный уровень защиты клиентской части.
- GDPR Art. 13(1)(e) — раскрытие получателейПолитика раскрывает рекламный контур: прямо названы Facebook, Instagram, Google и Microsoft как рекламные платформы и Google Analytics как аналитика. Но ряд фактических получателей веб-данных поимённо не назван: платформа согласия Cookiebot, поисковый сервис Constructor, чат Tellq, аналитика Cloudflare Insights и шрифтовой сервис Adobe Typekit в политике отсутствуют.
Контекст
barbora.ee — сайт эстонского онлайн-магазина продуктов Barbora (сеть Maxima), доставка продуктов с оплатой и авторизацией. Магазин построен на Next.js и отдаётся через Cloudflare (server: cloudflare). Замер сделан на эстонской версии.
Замер: 334 обращения, 25 узлов, длительность записи 216,5 секунды (около трёх с половиной минут), снят 23 августа 2026 года. Помимо собственных доменов (barbora.ee, cdn.barbora.ee, production-elb.barbora.ee, sentry-relay.barbora.lt), страница обращается к сторонним получателям: платформа согласия Cookiebot, Facebook/Meta (SDK и пиксель), Google (Analytics, Tag Manager, SSO), Cloudflare Insights, поисковый сервис Constructor (cnstrc.com), чат Tellq, шрифты Adobe Typekit и Google Fonts, SDK входа Apple.
Метки с адресом публикации и эталонным хешем в архиве нет. Хеш опубликованного файла вычислен при разборе и приведён во фронтматтере.
Обработку описывает документ с условиями защиты данных Barbora (Andmekaitsetingimused): подробная часть о cookie, разделы о целях обработки, о рекламных платформах и о передаче данных.
Кому уходят данные напрямую
Facebook/Meta, Google (Analytics, Tag Manager), Cloudflare Insights, Constructor, Tellq, Adobe Typekit.
Заявленное против фактического
Платформа согласия, похоже, придерживает основной трекинг — и это надо сказать прямо. В отличие от типичного сюжета, здесь пиксель Facebook и Google Analytics не срабатывают при загрузке страницы. За первые шестнадцать секунд на главной странице не ушло ни одного события пикселя и ни одного обращения Google Analytics — только загрузки SDK и функциональных скриптов. Первое обращение пикселя www.facebook.com/tr с событием PageView уходит лишь на +17999 мс, после того как пользователь перешёл на страницу регистрации, а Google Analytics передаёт page_view только на +36161 мс. Платформа Cookiebot при переходе проходит второй цикл. Такое поведение соответствует работающему механизму согласия: трекинг включается после взаимодействия, а не до него.
Пиксель работает без передачи контактных хешей. Обращения пикселя Facebook несут только событие PageView с идентификатором пикселя; параметров advanced matching (хешей адреса электронной почты или телефона) в них нет. То есть контактные данные в пиксель не передаются, хотя политика такую возможность для рекламных платформ резервирует.
Но до согласия часть сторонних сценариев всё же грузится. На +254…+331 мс, одновременно с баннером, из разметки стартуют сторонняя аналитика производительности Cloudflare Insights, поисковый сервис Constructor и SDK Facebook. Загрузка SDK Facebook на первой секунде — это уже контакт с инфраструктурой Meta и передача адреса IP посетителя до какого-либо выбора, даже если события пикселя ещё не отправляются. Аналитика Cloudflare Insights также передаёт данные до согласия.
Рекламный контур в политике раскрыт. Документ прямо называет Facebook, Instagram, Google и Microsoft как рекламные платформы и предупреждает, что для таргетинга могут передаваться адрес электронной почты и телефон; Google Analytics назван как аналитический сервис. Это честнее, чем у многих. Однако платформа согласия Cookiebot, поисковый сервис Constructor, чат Tellq, аналитика Cloudflare Insights и шрифтовой сервис Adobe Typekit поимённо не названы.
Защитные заголовки почти отсутствуют. Политика безопасности содержимого сведена к frame-src *, что источники сценариев фактически не ограничивает. Строгого транспорта нет, политики реферера нет, политики разрешений нет. Для магазина, обрабатывающего платежи и передающего контактные данные в рекламные платформы, это недостаточный уровень защиты клиентской части.
Согласие: что доказано и что нет
Доказано: основной трекинг придержан до взаимодействия. За первые шестнадцать секунд на главной странице ни пиксель Facebook, ни Google Analytics не отправили ни одного события. Пиксель начинает передачу на +17999 мс, Google Analytics — на +36161 мс, после перехода на регистрацию.
Доказано: пиксель работает без advanced matching. В обращениях www.facebook.com/tr присутствует только событие PageView с идентификатором пикселя; хешей контактных данных нет.
Доказано: часть сторонних сценариев грузится до согласия. Cloudflare Insights (+254 мс), Constructor (+253 мс) и SDK Facebook (+331 мс) инициированы разметкой и предшествуют выбору пользователя.
Не доказано и не устанавливается однозначно: механика согласия Cookiebot. Отправил ли пользователь явное согласие на +16-17 секунде или трекинг включился по иному условию — по записи не восстанавливается: заголовки cookie, в которых Cookiebot хранит состояние согласия, и разметка страницы из опубликованного файла удалены при очистке (тела ответов сохранены лишь частично, для интерфейсных ответов в формате JSON). Фиксируется наблюдаемое: события пикселя и аналитики отсутствовали до перехода на регистрацию и появились после него.
Не доказано и не утверждается: состояние cookie на устройстве. Заголовки cookie из опубликованного файла удалены при очистке.
Отдельно: браузер при съёмке отправлял заголовок DNT: 1. На состав и адресацию обращений это не повлияло.
Границы наблюдения
Замер охватывает главную страницу и переход на регистрацию. Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне сервера, договорные отношения с получателями и настройки на их стороне браузерным замером не проверяются. Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.
Домены barbora.ee, cdn.barbora.ee, production-elb.barbora.ee и sentry-relay.barbora.lt относятся к собственной инфраструктуре Barbora и как сторонние получатели не рассматриваются; Sentry размещён на собственном домене сети. SDK входа Apple и Google относятся к функции авторизации. Метки с адресом публикации и эталонным хешем в архиве нет; хеш опубликованного файла вычислен при разборе, поле адреса оставлено пустым до его получения.
Файл опубликован очищенным от личных данных: удалены заголовки cookie в запросах, тела ответов сохранены лишь частично (интерфейсные ответы в формате JSON). Вывод о придержанном трекинге опирается на сетевой уровень — тайминги, адреса и инициаторы обращений читаются по записи, и события пикселя и аналитики в первые шестнадцать секунд отсутствуют. Идентификатор пикселя приведён как публично наблюдаемый в запросе; контактные хеши в обращениях отсутствуют.
Идентификация сервисов опирается на домены и схему адресов: Cookiebot — по cookiebot.com и uc.js; Facebook/Meta — по connect.facebook.net, facebook.com/tr, fbevents.js; Google Analytics 4 — по google-analytics.com/g/collect; Google Tag Manager — по googletagmanager.com; Cloudflare Insights — по cloudflareinsights.com; Constructor — по cnstrc.com; Tellq — по tellq.io; Adobe Typekit — по typekit.net; провайдер отдачи — по заголовку server: cloudflare.
Вывод
Эстонский онлайн-магазин Barbora выделяется на фоне многих: установленная платформа согласия Cookiebot, по наблюдаемой записи, придерживает основной трекинг — пиксель Facebook и Google Analytics начинают передавать данные только после того, как пользователь перешёл на страницу регистрации, а не при загрузке главной. Пиксель при этом работает без передачи хешей адреса электронной почты или телефона. Рекламный контур в политике раскрыт: Facebook, Instagram, Google и Microsoft названы прямо.
Тем не менее до согласия из разметки уже грузятся сторонняя аналитика производительности Cloudflare Insights, поисковый сервис Constructor и SDK Facebook — последнее означает контакт с инфраструктурой Meta и передачу адреса IP посетителя до выбора. Защитные заголовки почти отсутствуют: политика безопасности содержимого сведена к frame-src *, нет ни строгого транспорта, ни политики реферера, ни политики разрешений. Ряд получателей — Cookiebot, Constructor, Tellq, Cloudflare Insights, Adobe Typekit — в политике поимённо не назван.
Устранение: поставить загрузку SDK Facebook, аналитики Cloudflare Insights и поискового сервиса в зависимость от выбора пользователя, чтобы до согласия контакт с инфраструктурой Meta и передача аналитики не происходили; назвать в политике или отдельном уведомлении о cookie всех получателей веб-данных поимённо, включая Cookiebot, Constructor, Tellq, Cloudflare Insights и Adobe Typekit; выставить полноценную политику безопасности содержимого с перечнем доверенных источников, строгий транспорт, политику реферера и политику разрешений.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
565958017f8ff64fcc3cc2221eac4df58bb9cd203db4cccb91bedc867608dbbfХотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — barbora.ee Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта barbora.ee. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) На сайте установлена платформа управления согласием Cookiebot, и основной рекламный и аналитический трекинг действительно придержан: пиксель Facebook и Google Analytics начинают передавать данные только после +17 секунд, после перехода пользователя на регистрацию. Однако до этого, на +254…+331 мс, из разметки уже грузятся сторонняя аналитика производительности Cloudflare Insights, поисковый сервис Constructor и SDK Facebook — все до какого-либо выбора пользователя. Загрузка SDK Facebook на первой секунде означает контакт с инфраструктурой Meta и передачу адреса IP посетителя ещё до согласия. 2) Защитные заголовки почти отсутствуют: политика безопасности содержимого сведена к frame-src * (то есть фактически не ограничивает источники сценариев), строгого транспорта нет, политики реферера нет, политики разрешений нет. Для магазина, обрабатывающего платежи и передающего в рекламные платформы адрес электронной почты и телефон, это недостаточный уровень защиты клиентской части. 3) Политика раскрывает рекламный контур: прямо названы Facebook, Instagram, Google и Microsoft как рекламные платформы и Google Analytics как аналитика. Но ряд фактических получателей веб-данных поимённо не назван: платформа согласия Cookiebot, поисковый сервис Constructor, чат Tellq, аналитика Cloudflare Insights и шрифтовой сервис Adobe Typekit в политике отсутствуют. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-barbora-ee/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — barbora.ee To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website barbora.ee. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) The site uses the Cookiebot consent management platform, and the main advertising and analytics tracking is indeed deferred: the Facebook pixel and Google Analytics begin transmitting data only after +17 seconds, following the user's navigation to the registration page. However, prior to that, at +254–+331 ms, the third-party performance analytics Cloudflare Insights, the Constructor search service, and the Facebook SDK are already loading from the markup — all before any user choice. Loading the Facebook SDK within the first second means contact with Meta infrastructure and transmission of the visitor's IP address before consent. 2) Security headers are almost entirely absent: the Content Security Policy is reduced to frame-src * (effectively placing no restriction on script sources), there is no HSTS, no Referrer Policy, and no Permissions Policy. For a store that processes payments and transmits email addresses and phone numbers to advertising platforms, this is an inadequate level of client-side security. 3) The policy discloses the advertising layer: Facebook, Instagram, Google, and Microsoft are named explicitly as advertising platforms, and Google Analytics is named as an analytics service. However, several actual recipients of web data are not named: the Cookiebot consent platform, the Constructor search service, the Tellq chat widget, Cloudflare Insights analytics, and the Adobe Typekit font service are absent from the policy. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-barbora-ee/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — barbora.ee Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond] Kellelt: [Teie nimi], [kontakt-e-post] Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi barbora.ee kasutamisega. 1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c)) Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad: 1) Saidil on nõusoleku haldamise platvorm Cookiebot ning peamine reklaami- ja analüütiline jälgimine on tõesti kinni peetud: piksel Facebook ja Google Analytics hakkavad andmeid edastama alles pärast +17 sekundit, pärast seda, kui kasutaja lülitub registreerimisele. Kuid enne seda, +254... +331 ms, kaubamärgist, mis on juba laaditud kolmanda osapoole tulemuslikkuse analüüsi Cloudflare Insights, otsinguteenus Constructor ja Facebook SDK - kõik mis tahes kasutaja valikule. Facebooki SDK allalaadimine esimesel sekundil tähendab Meta infrastruktuuriga ühendust võtmist ja külastaja IP-aadressi edastamist enne nõusoleku saamist. 2) Turvapäised on peaaegu puuduvad: sisu turvalisuse poliitika taandatakse frame-src * (st ei piira tegelikult skriptiallikaid), ranget transporti ei ole, ei ole referrer-poliitikat, ei ole loapoliitikat. Kaupluse jaoks, mis töötleb makseid ja edastab reklaamiplatvormidele e-posti aadressi ja telefoni, on see kliendi jaoks ebapiisav kaitsetase. 3) Poliitika paljastab reklaamikontuuri: Facebook, Instagram, Google ja Microsoft on otse nimetatud reklaamiplatvormideks ja Google Analytics analüüsiks. Kuid mitmed veebiandmete tegelikud saajad ei ole nimetatud: nõusoleku platvorm Cookiebot, otsinguteenus Constructor, chat Tellq, analüütika Cloudflare Insights ja fonditeenus Adobe Typekit poliitikas puuduvad. 2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46) Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-barbora-ee/ 3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h)) Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee
Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — barbora.ee 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом barbora.ee. 2. Обстоятельства Я посетил сайт barbora.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 23.08.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) На сайте установлена платформа управления согласием Cookiebot, и основной рекламный и аналитический трекинг действительно придержан: пиксель Facebook и Google Analytics начинают передавать данные только после +17 секунд, после перехода пользователя на регистрацию. Однако до этого, на +254…+331 мс, из разметки уже грузятся сторонняя аналитика производительности Cloudflare Insights, поисковый сервис Constructor и SDK Facebook — все до какого-либо выбора пользователя. Загрузка SDK Facebook на первой секунде означает контакт с инфраструктурой Meta и передачу адреса IP посетителя ещё до согласия. 2) Защитные заголовки почти отсутствуют: политика безопасности содержимого сведена к frame-src * (то есть фактически не ограничивает источники сценариев), строгого транспорта нет, политики реферера нет, политики разрешений нет. Для магазина, обрабатывающего платежи и передающего в рекламные платформы адрес электронной почты и телефон, это недостаточный уровень защиты клиентской части. 3) Политика раскрывает рекламный контур: прямо названы Facebook, Instagram, Google и Microsoft как рекламные платформы и Google Analytics как аналитика. Но ряд фактических получателей веб-данных поимённо не назван: платформа согласия Cookiebot, поисковый сервис Constructor, чат Tellq, аналитика Cloudflare Insights и шрифтовой сервис Adobe Typekit в политике отсутствуют. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-barbora-ee/ 3. Положения GDPR, соблюдение которых прошу проверить ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 32 — меры безопасности; GDPR Art. 13(1)(e) — раскрытие получателей 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — barbora.ee 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website barbora.ee. 2. Circumstances I visited the website barbora.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 23 August 2026 (open methodology, reproducible measurements) documents the following indications: 1) The site uses the Cookiebot consent management platform, and the main advertising and analytics tracking is indeed deferred: the Facebook pixel and Google Analytics begin transmitting data only after +17 seconds, following the user's navigation to the registration page. However, prior to that, at +254–+331 ms, the third-party performance analytics Cloudflare Insights, the Constructor search service, and the Facebook SDK are already loading from the markup — all before any user choice. Loading the Facebook SDK within the first second means contact with Meta infrastructure and transmission of the visitor's IP address before consent. 2) Security headers are almost entirely absent: the Content Security Policy is reduced to frame-src * (effectively placing no restriction on script sources), there is no HSTS, no Referrer Policy, and no Permissions Policy. For a store that processes payments and transmits email addresses and phone numbers to advertising platforms, this is an inadequate level of client-side security. 3) The policy discloses the advertising layer: Facebook, Instagram, Google, and Microsoft are named explicitly as advertising platforms, and Google Analytics is named as an analytics service. However, several actual recipients of web data are not named: the Cookiebot consent platform, the Constructor search service, the Tellq chat widget, Cloudflare Insights analytics, and the Adobe Typekit font service are absent from the policy. Full technical documentation is published at: https://gdpru.eu/audits/ee-barbora-ee/ 3. GDPR provisions I ask you to examine ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 32 — security measures; GDPR Art. 13(1)(e) — disclosure of recipients 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]
1. Kaebuse ese Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil barbora.ee. 2. Asjaolud Külastasin veebisaiti barbora.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 23.08.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist: 1) Saidil on nõusoleku haldamise platvorm Cookiebot ning peamine reklaami- ja analüütiline jälgimine on tõesti kinni peetud: piksel Facebook ja Google Analytics hakkavad andmeid edastama alles pärast +17 sekundit, pärast seda, kui kasutaja lülitub registreerimisele. Kuid enne seda, +254... +331 ms, kaubamärgist, mis on juba laaditud kolmanda osapoole tulemuslikkuse analüüsi Cloudflare Insights, otsinguteenus Constructor ja Facebook SDK - kõik mis tahes kasutaja valikule. Facebooki SDK allalaadimine esimesel sekundil tähendab Meta infrastruktuuriga ühendust võtmist ja külastaja IP-aadressi edastamist enne nõusoleku saamist. 2) Turvapäised on peaaegu puuduvad: sisu turvalisuse poliitika taandatakse frame-src * (st ei piira tegelikult skriptiallikaid), ranget transporti ei ole, ei ole referrer-poliitikat, ei ole loapoliitikat. Kaupluse jaoks, mis töötleb makseid ja edastab reklaamiplatvormidele e-posti aadressi ja telefoni, on see kliendi jaoks ebapiisav kaitsetase. 3) Poliitika paljastab reklaamikontuuri: Facebook, Instagram, Google ja Microsoft on otse nimetatud reklaamiplatvormideks ja Google Analytics analüüsiks. Kuid mitmed veebiandmete tegelikud saajad ei ole nimetatud: nõusoleku platvorm Cookiebot, otsinguteenus Constructor, chat Tellq, analüütika Cloudflare Insights ja fonditeenus Adobe Typekit poliitikas puuduvad. Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-barbora-ee/ 3. Sätted, mille järgimist palun kontrollida e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR artikkel 32 – Turvameetmed; GDPR – artikli 13 lõike 1 punkt e – vastuvõtjate avalikustamine 4. Nõue Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid. 5. Lisad Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]