chilli.ee

Тема: Жалоба на обработку персональных данных — chilli.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом chilli.ee.

2. Обстоятельства
Я посетил сайт chilli.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 13.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Платформа управления согласием CookieScript на сайте есть, и баннер даёт отказ («Keeldu kõigist»). Но CMP загружается ПОСЛЕДНЕЙ — на +7391 мс, тогда как весь рекламный и аналитический стек отрабатывает раньше и с фактической передачей данных: контейнер GTM (+2107 мс), Facebook-пиксель (fbevents.js +2130 мс), затем на +2932…+3063 мс — DoubleClick /ccm/s/collect, Google Ads /ccm/collect, GA4 /g/collect, ремаркетинг-аудитории google.ee/ads/ga-audiences, и Facebook-пиксель /tr, срабатывающий ДВАЖДЫ с полным адресом страницы (dl=chilli.ee/et/info/uuendones-platvormil). То есть к моменту, когда CMP наконец загрузилась (+7391 мс), Facebook уже получил просмотр страницы с URL, а Google — событие и сигнал для ремаркетинга. Хуже того: GA4 и DoubleClick идут со статусом gcs=- — режим согласия Google не настроен вовсе (не запрещённое состояние G100, а отсутствие сигнала). Куки _fbp (Facebook) и _gcl_au (Google Ads) записаны на устройство. Баннер с отказом существует, но фактически ни на что не влияет — стек отработал за секунды до появления механизма согласия.

2) Политика использования cookie предельно скудна: она сообщает, что «сайт использует файлы cookie для улучшения обслуживания», и предлагает отказ только через настройки браузера (со ссылкой на aki.ee). Ни один фактический получатель не назван — ни Facebook/Meta (два пикселя, /tr с адресом страницы), ни Google Analytics, ни Google Ads/DoubleClick (реклама и ремаркетинг), ни сама платформа CookieScript. Посетитель, читающий политику, не узнаёт, что его просмотр страницы уходит в Meta и Google с полным URL и используется для рекламного ремаркетинга.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-chilli-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — весь рекламный стек отрабатывает до загрузки CMP; GDPR Art. 13(1)(e) — получатели не раскрыты (политика почти пустая)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — chilli.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website chilli.ee.

2. Circumstances
I visited the website chilli.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 13 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The CookieScript consent management platform is on the site, and the banner offers refusal («Keeldu kõigist»). But the CMP loads LAST — at +7391 ms, whereas the entire advertising and analytics stack runs earlier and with an actual transfer of data: the GTM container (+2107 ms), the Facebook pixel (fbevents.js +2130 ms), then at +2932…+3063 ms — DoubleClick /ccm/s/collect, Google Ads /ccm/collect, GA4 /g/collect, the remarketing audiences google.ee/ads/ga-audiences, and the Facebook pixel /tr, firing TWICE with the full page address (dl=chilli.ee/et/info/uuendused-platvormil). That is, by the time the CMP finally loaded (+7391 ms), Facebook had already received the page view with the URL, and Google an event and a remarketing signal. Worse: GA4 and DoubleClick carry status gcs=- — Google's consent mode is not configured at all (not the denied state G100, but the absence of a signal). The cookies _fbp (Facebook) and _gcl_au (Google Ads) are written to the device. A banner with refusal exists, but in fact it changes nothing — the stack ran seconds before the consent mechanism appeared.

2) The cookie policy is extremely sparse: it states that «the site uses cookies to improve service» and offers refusal only via browser settings (with a link to aki.ee). Not a single actual recipient is named — neither Facebook/Meta (two pixels, /tr with the page address), nor Google Analytics, nor Google Ads/DoubleClick (advertising and remarketing), nor the CookieScript platform itself. A visitor reading the policy does not learn that their page view goes to Meta and Google with the full URL and is used for advertising remarketing.

Full technical documentation is published at: https://gdpru.eu/audits/ee-chilli-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — the entire advertising stack runs before the CMP loads; GDPR Art. 13(1)(e) — recipients not disclosed (an almost empty policy)

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil chilli.ee.

2. Asjaolud
Külastasin veebisaiti chilli.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 13.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Veebisaidil on CookieScripti nõusoleku haldamise platvorm ja bänner keeldub («Keeldu kõigist»). Kuid CMP laaditakse +7391 ms-le LAST-ile, samas kui kogu reklaami- ja analüütiline pinu on välja töötatud varem ja tegeliku andmeedastusega: GTM-konteiner (+2107 ms), Facebooki piksel (fbevents.js +2130 ms), seejärel +2932. +3063 ms – DoubleClick /ccm/s/collect, Google Reklaamid / ccm / kollekt, GA4 / g / kogu, uuesti turundatud vaatajaskond google.ee/ads/ga-audiences ja Facebooki piksel /tr käivitasid TWICE täislehe aadressiga (dl=chilli.ee/et/info/uuendones-platvormil). See tähendab, et selleks ajaks, kui CMP lõpuks laadis (+7391 ms), oli Facebook juba saanud URL-iga lehevaate ja Google oli saanud uuesti turundamiseks sündmuse ja signaali. Veelgi hullem, GA4 ja DoubleClick tulevad staatusega gcs=- Google'i nõusolekurežiim ei ole üldse konfigureeritud (mitte G100 keelatud olek, vaid signaali puudumine). Seadmesse salvestatakse küpsised fbp (Facebook) ja gcl au (Google Ads). Keeldumisega bänner on olemas, kuid tegelikult ei mõjuta see midagi - virna töötas sekundit enne nõusoleku mehhanismi ilmumist.

2) Küpsiste poliitika on äärmiselt halb: see teavitab, et „sait kasutab küpsiseid teenuse parandamiseks ja pakub loobumist ainult brauseri seadete kaudu (viide aki.ee-le). Tegelikku saajat ei nimetata – ei Facebook/Meta (kaks pikslit, /tr lehe aadressiga), Google Analytics, Google Ads/DoubleClick (reklaam ja uuesti turundamine) ega CookieScripti platvorm ise. Poliitikat lugev külastaja ei tea, et tema lehe sirvimine läheb Metasse ja Google'isse koos täieliku URL-iga ja seda kasutatakse reklaamide uuesti turundamiseks.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-chilli-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koostoimes GDPRi artikli 6 lõike 1 punktiga a) - kogu reklaamikomplekt töötatakse välja enne CMP laadimist; GDPR artikli 13 lõike 1 punkt e – saajad avalikustamata (poliitika peaaegu tühi)

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]