cinamonkino.com

Тема: Жалоба на обработку персональных данных — cinamonkino.com

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом cinamonkino.com.

2. Обстоятельства
Я посетил сайт cinamonkino.com и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 24.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Механизма согласия на сайте нет: ни cookie-баннера, ни платформы управления согласием, а корневой элемент страницы помечен атрибутом data-consent=0. Несмотря на это, за первые 2,3 секунды загружаются и начинают передачу: Facebook Pixel (+515 мс), Google Tag Manager GTM-K5RCC8R (+517 мс), Microsoft Clarity (+851 мс), Universal Analytics и Google Analytics 4 (+1466…+1638 мс), связка Google Ads и ремаркетинг-аудитории (+1640…+1641 мс), Snapchat Pixel с событием PAGE_VIEW (+1751 мс) и сопоставлением cookie (+1756 мс), проверка статуса входа Facebook (+1792 мс), запись сеанса Clarity (+1922 мс) и синхронизация идентификатора Bing (+2233 мс). Режим согласия Google не настроен: gcd=13l3l3l2l1l1 («не задано»), параметр gcs отсутствует.

2) Microsoft Clarity с +1922 мс записывает сеанс: первая отправка на h.clarity.ms/collect весит 67 183 байта (снимок страницы), далее следуют 57 инкрементов. В уцелевших телах видно, что Clarity сериализует структуру и тексты страниц — заголовки, подписи ссылок и корневой элемент <HTML data-consent=0>; в запись попадает в том числе страница политики конфиденциальности. Запись поведения посетителя на сайте без согласия не имеет правового основания и выходит за пределы необходимого для заявленной «статистики».

3) Без согласия выполняются три отдельных механизма сопоставления рекламных идентификаторов: iframe tr.snapchat.com/cm/i Snapchat (+1756 мс и +45426 мс), синхронизация c.bing.com/c.gif Microsoft (+2233 мс) и передача посетителя в ремаркетинг-аудитории Google Ads (www.google.ee/ads/ga-audiences, трижды) с единым идентификатором клиента, созданным через полторы секунды после начала сеанса. Facebook JavaScript SDK обращается к www.facebook.com/x/oauth/status, что позволяет Meta сопоставить визит с учётной записью Facebook. Политика рекламных целей не заявляет вовсе.

4) Политика называет контролёром «CINAMON Group» без регистрационного кода и адреса, описывает cookie как нужные «для работы сайта и статистики» и «запоминания предпочтений», предлагает управлять ими в браузере и заявляет: «мы не продаём ваши данные третьим лицам». Ни один получатель не назван — ни Microsoft (Clarity, Bing), ни Snap, ни Meta, ни Google, ни Movio, ни Adobe; правовые основания по целям не указаны; о передаче в третьи страны (Snap Inc., Meta Platforms — США) не сказано ничего.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-cinamonkino-com/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 6(1), Art. 5(1)(c) — запись сеансов без правового основания; GDPR Art. 6(1), Art. 5(1)(b) — рекламное сопоставление идентификаторов; GDPR Art. 5(1)(a), Art. 13(1)(a), (c), (e), (f), Art. 44 — прозрачность и раскрытие

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — cinamonkino.com

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website cinamonkino.com.

2. Circumstances
I visited the website cinamonkino.com and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 24 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) There is no consent mechanism on the site: no cookie banner, no consent-management platform, and the page's root element carries the attribute data-consent=0. Nonetheless, within the first 2.3 seconds the following load and begin transmitting: the Facebook Pixel (+515 ms), Google Tag Manager GTM-K5RCC8R (+517 ms), Microsoft Clarity (+851 ms), Universal Analytics and Google Analytics 4 (+1466…+1638 ms), the Google Ads link and remarketing audiences (+1640…+1641 ms), the Snapchat Pixel with a PAGE_VIEW event (+1751 ms) and cookie matching (+1756 ms), the Facebook login-status check (+1792 ms), Clarity session recording (+1922 ms) and Bing identifier synchronisation (+2233 ms). Google's consent mode is not configured: gcd=13l3l3l2l1l1 ('not set'), and the gcs parameter is absent.

2) From +1922 ms Microsoft Clarity records the session: the first transmission to h.clarity.ms/collect weighs 67,183 bytes (a page snapshot), followed by 57 increments. The surviving bodies show that Clarity serialises the structure and text of the pages — titles, link labels and the root element <HTML data-consent=0>; the privacy-policy page is recorded too. Recording the visitor's behaviour on the site without consent has no legal basis and goes beyond what is necessary for the declared 'statistics'.

3) Three separate advertising-identifier matching mechanisms run without consent: Snapchat's tr.snapchat.com/cm/i iframe (+1756 ms and +45426 ms), Microsoft's c.bing.com/c.gif synchronisation (+2233 ms) and the passing of the visitor into Google Ads remarketing audiences (www.google.ee/ads/ga-audiences, three times) with a single client identifier created one and a half seconds after the start of the session. The Facebook JavaScript SDK calls www.facebook.com/x/oauth/status, which allows Meta to link the visit to a Facebook account. The policy declares no advertising purposes at all.

4) The policy names 'CINAMON Group' as the controller without a registration code or address, describes cookies as needed 'for the operation of the site and statistics' and 'remembering preferences', suggests managing them in the browser, and states: 'we do not sell your data to third parties'. Not a single recipient is named — not Microsoft (Clarity, Bing), Snap, Meta, Google, Movio or Adobe; legal bases per purpose are not stated; nothing is said about transfers to third countries (Snap Inc., Meta Platforms — USA).

Full technical documentation is published at: https://gdpru.eu/audits/ee-cinamonkino-com/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 6(1), Art. 5(1)(c) — session recording without a legal basis; GDPR Art. 6(1), Art. 5(1)(b) — advertising identifier matching; GDPR Art. 5(1)(a), Art. 13(1)(a), (c), (e), (f), Art. 44 — transparency and disclosure

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil cinamonkino.com.

2. Asjaolud
Külastasin veebisaiti cinamonkino.com ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 24.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Saidil puudub nõusolekumehhanism: pole ei küpsisebännerit ega nõusolekuhalduse platvormi ning lehe juurelement on märgistatud atribuudiga data-consent=0. Sellest hoolimata laaditakse esimese 2,3 sekundi jooksul ja alustavad andmete edastamist: Facebook Pixel (+515 ms), Google Tag Manager GTM-K5RCC8R (+517 ms), Microsoft Clarity (+851 ms), Universal Analytics ja Google Analytics 4 (+1466…+1638 ms), Google Adsi sidumine ja remarketingu sihtrühmad (+1640…+1641 ms), Snapchat Pixel sündmusega PAGE_VIEW (+1751 ms) ja küpsiste sobitamisega (+1756 ms), Facebooki sisselogimisoleku kontroll (+1792 ms), Clarity seansisalvestus (+1922 ms) ning Bingi identifikaatori sünkroonimine (+2233 ms). Google'i nõusolekurežiim ei ole seadistatud: gcd=13l3l3l2l1l1 (määramata), parameeter gcs puudub.

2) Microsoft Clarity salvestab alates +1922 ms seanssi: esimene saadetis aadressile h.clarity.ms/collect on 67 183 baiti (lehe hetktõmmis), sellele järgneb 57 täiendust. Säilinud päringukehadest nähtub, et Clarity serialiseerib lehtede struktuuri ja tekstid — pealkirjad, linkide tekstid ja juurelemendi <HTML data-consent=0>; salvestisse jõuab ka privaatsuspoliitika leht. Külastaja käitumise salvestamisel ilma nõusolekuta puudub õiguslik alus ning see väljub deklareeritud statistika jaoks vajaliku piiridest.

3) Ilma nõusolekuta rakendatakse kolme eraldi reklaamiidentifikaatorite sobitamise mehhanismi: Snapchati iframe tr.snapchat.com/cm/i (+1756 ms ja +45426 ms), Microsofti sünkroonimine c.bing.com/c.gif (+2233 ms) ning külastaja edastamine Google Adsi remarketingu sihtrühmadesse (www.google.ee/ads/ga-audiences, kolm korda) ühtse kliendiidentifikaatoriga, mis luuakse poolteist sekundit pärast seansi algust. Facebooki JavaScripti SDK pöördub aadressile www.facebook.com/x/oauth/status, mis võimaldab Metal siduda külastuse Facebooki kasutajakontoga. Poliitika ei deklareeri reklaamieesmärke üldse.

4) Poliitika nimetab vastutava töötlejana CINAMON Groupi ilma registrikoodi ja aadressita, kirjeldab küpsiseid kui saidi toimimiseks, statistikaks ja eelistuste meelespidamiseks vajalikke, soovitab neid hallata brauseris ja kinnitab, et andmeid kolmandatele isikutele ei müüda. Ühtegi vastuvõtjat ei nimetata — ei Microsofti (Clarity, Bing), Snapi, Metat, Google'it, Moviot ega Adobet; õiguslikke aluseid eesmärkide kaupa ei ole märgitud; edastamisest kolmandatesse riikidesse (Snap Inc., Meta Platforms — USA) ei ole midagi öeldud.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-cinamonkino-com/

3. Sätted, mille järgimist palun kontrollida
e-privaatsuse direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a); IKÜM art 6 lg 1, art 5 lg 1 p c — seansside salvestamine ilma õigusliku aluseta; IKÜM art 6 lg 1, art 5 lg 1 p b — reklaamiidentifikaatorite sobitamine; IKÜM art 5 lg 1 p a, art 13 lg 1 p a, c, e, f, art 44 — läbipaistvus ja avalikustamine

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]