Технический аудит · 20.09.2026

davinci.ee

Сайт сети кафе и кондитерских Da Vinci и её интернет-магазина выпечки

Сайт сети кафе и кондитерских Da Vinci и её интернет-магазина выпечки bakery.davinci.ee — одна запись, десять навигаций, 747 запросов, семь узлов. Данные в аналитику и рекламу не уходят: контейнер Google Tag Manager загружается, но за всю запись не отправляет ни одного обращения с данными, а установленный в магазине менеджер пикселей PixelYourSite Pro не вызывает ни одного пиксельного сервиса. В магазине работает баннер согласия с равнозначной кнопкой отказа. Оговорки касаются прозрачности: на основном сайте баннера нет, в подвале магазина нет ссылки на условия защиты данных, реквизиты в подвале и в политике называют разные юридические лица по одному адресу, а в приложенной копии политики остались незаполненные места шаблона. Браузер заголовок DNT не отправлял.

Хронология обращений

+0 мс · навигация

Открытие davinci.ee: переадресация с http на https (307). Приложение на WordPress, сервер Apache/ZoneOS. Защитных заголовков (строгий транспорт, политика безопасности содержимого, запрет вложения в кадр, политика реферера) на ответах обоих доменов в записи не наблюдается. Браузер заголовок DNT не отправлял.

+196…+489 мс · ресурсы основного сайта

На davinci.ee из разметки грузятся библиотека slick с cdn.jsdelivr.net (+196 мс), шрифт Manrope с fonts.googleapis.com и fonts.gstatic.com (+256…+489 мс) и контейнер Google Tag Manager GTM-WNG9S9L2 (+440 мс). Баннера согласия на основном сайте нет.

вся запись · передач в аналитику и рекламу нет

За 747 запросов ни одного обращения к Google Analytics (/collect и /g/collect отсутствуют), Facebook, TikTok или иным пиксельным и рекламным сервисам. Контейнер GTM и менеджер пикселей загружены, но данных не передают. POST-обращения к wc-ajax и admin-ajax — обновление корзины и выбор пункта выдачи, первая сторона.

Декларация против факта

✓ Контролёр — Gelato Italiano OÜ, рег. код 11384908, Mõisa 4, 13522 Tallinn; последняя версия условий — davinci.ee/andmekaitsetingimused — заявлен

✓ Условия применяются к зарегистрированным постоянным клиентам и получателям предложений и новостей — заявлен

✓ Обрабатываются идентификационные и контактные данные, данные услуг, записи камер наблюдения — заявлен

✓ Правовые основания: договор, закон, законный интерес (в т. ч. профильный анализ и статистика), согласие (прямой маркетинг) — заявлен

✓ Получатели: компании группы Da Vinci в ЕС, поставщики бизнес-ПО, ИТ-управления, почтового сервера, администратор сайта, аудитор, юристы, разработчик ПО для анализа данных; органы власти по закону — заявлен

✓ Данные не хранятся и не передаются за пределы Европейской экономической зоны — заявлен

✓ Cookie-документ (баннер cookie-law-info): сторонние cookie для анализа, предпочтений и рекламы сохраняются только с предварительного согласия; во всех категориях — «cookie для отображения нет» — заявлен

+ Google Tag Manager (GTM-WNG9S9L2) и Google Fonts — поимённо не названы; на davinci.ee загружаются без баннера согласия, данных кроме адреса IP не передают — не заявлен

+ PixelYourSite Pro — менеджер рекламных пикселей установлен в магазине; в cookie-документе категории пусты, пиксели в записи не сработали — не заявлен

Тайминги передачи

+196 мс cdn.jsdelivr.net

Карусель slick на davinci.ee.

+256 мс fonts.googleapis.com

Шрифт Manrope. Адрес IP посетителя виден Google.

+440 мс www.googletagmanager.com

GTM-WNG9S9L2 на davinci.ee; за всю запись ни одного обращения /collect.

+49261 мс cdnjs.cloudflare.com

lightbox2 и другие библиотеки на bakery.davinci.ee.

Зафиксированные трекеры

Google Tag Manager (www.googletagmanager.com, контейнер GTM-WNG9S9L2) — загружается на davinci.ee; за всю запись ни одного обращения с данными
Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — шрифт Manrope; при загрузке адрес IP посетителя виден Google
jsDelivr (cdn.jsdelivr.net) — библиотека карусели slick на davinci.ee
cdnjs (cdnjs.cloudflare.com) — библиотеки lightbox2 и другие на bakery.davinci.ee
cookie-law-info (плагин WordPress, первая сторона) — баннер согласия на bakery.davinci.ee; на davinci.ee не установлен
PixelYourSite Pro (плагин WordPress, первая сторона) — менеджер рекламных пикселей на bakery.davinci.ee; в записи ни одного обращения к пиксельным сервисам
WooCommerce order attribution / sourcebuster (первая сторона) — фиксирует источник визита локально, наружу не передаёт

Контекст

davinci.ee — сайт сети кафе, ресторанов и кондитерских Da Vinci; bakery.davinci.ee — её интернет-магазин выпечки и кондитерских изделий на WooCommerce с доставкой через Bolt Food и Wolt и самовывозом в Таллинне и Тарту. Оба домена работают на WordPress, сервер Apache/ZoneOS.

Обработку описывают приложенные условия защиты данных (Andmekaitsetingimused) — контролёр Gelato Italiano OÜ, регистрационный код 11384908, Mõisa 4, 13522 Tallinn — и cookie-документ баннера согласия магазина. В подвале магазина (снимок экрана) указано другое юридическое лицо по тому же адресу — Da Vinci Restoranid OÜ. К материалам приложены два снимка экрана: баннер согласия и подвал магазина.

Замер состоит из одной записи, десять навигаций: главная davinci.ee, затем главная магазина, категории выпечки, кренделей и бенто-тортов, страницы контактов и условий использования. Семьсот сорок семь запросов, семь узлов. Запись сделана 20 сентября 2026 года.

Кому уходят данные напрямую

Google (Tag Manager, Fonts), jsDelivr, cdnjs — загрузка ресурсов, при которой адрес IP виден их серверам. Аналитики, рекламы, пикселей и RTB в записи нет.

Заявленное против фактического

Условия защиты данных применяются к зарегистрированным постоянным клиентам и подписчикам, перечисляют получателей по категориям — в том числе «разработчика ПО для анализа данных» — и заявляют, что данные не хранятся и не передаются за пределы ЕЭЗ. Cookie-документ баннера обещает сохранять сторонние cookie для анализа, предпочтений и рекламы только с предварительного согласия, но во всех категориях указывает «cookie для отображения нет».

Замер даёт расхождение в благоприятную сторону по передачам и ряд оговорок по прозрачности.

Данные в аналитику и рекламу не уходят. Контейнер Google Tag Manager (GTM-WNG9S9L2) загружается на davinci.ee на +440 мс, но за все 747 запросов ни одного обращения к Google Analytics (/collect, /g/collect) не возникает. В магазине установлен PixelYourSite Pro — плагин для подключения рекламных пикселей, — однако ни одного обращения к Facebook, TikTok или иным пиксельным сервисам в записи нет. Модули WooCommerce order attribution и sourcebuster фиксируют источник визита на стороне браузера и наружу его не передают. POST-обращения к wc-ajax и admin-ajax — обновление корзины и выбор пункта выдачи «Tallinn (Solaris)».

В магазине работает баннер согласия с равнозначным отказом. Плагин cookie-law-info на bakery.davinci.ee выводит баннер с кнопками «Kohanda», «Keeldu kõigist» и «Nõustun kõigiga» — отказ стоит наравне с согласием.

На основном сайте баннера нет. На davinci.ee плагин согласия не установлен; контейнер GTM и шрифты Google загружаются из разметки сразу, так что их серверам виден адрес IP посетителя. Данных сверх этого контейнер не передаёт.

Оговорки по прозрачности. Google Tag Manager и Google Fonts в документах поимённо не названы. В подвале магазина, в разделе обслуживания клиентов, ссылки на условия защиты данных нет — есть условия использования, получение товара, контакты, вход и обратная связь. Подвал называет Da Vinci Restoranid OÜ, а условия защиты данных — Gelato Italiano OÜ, по одному и тому же адресу. В приложенной копии условий вместо адреса электронной почты контролёра стоит «[…]», один из сроков хранения указан как «[…3] kuud», а в строке о видеонаблюдении упоминаются «рестораны Da Vinci в спа» — следы незаполненного шаблона.

Согласие: что доказано и что нет

Доказано: передач в аналитику и рекламу нет. За 747 запросов ни одного обращения к аналитическим, пиксельным или рекламным сервисам.

Доказано: в магазине баннер с равнозначным отказом. По снимку экрана — «Keeldu kõigist» наравне с «Nõustun kõigiga».

Доказано: на основном сайте баннера нет. Плагин согласия подключён только на bakery.davinci.ee; контейнер GTM и шрифты на davinci.ee грузятся без условия.

Не доказано и не утверждается: сделанный пользователем выбор и настройки PixelYourSite. Плагин cookie-law-info хранит выбор локально и по сети его не отправляет; тела скриптов в опубликованном файле заредактированы, поэтому какие именно пиксели настроены в PixelYourSite Pro и заблокированы ли они баннером, по записи не устанавливается. Фиксируется результат: ни один пиксель не сработал.

Отдельно: браузер заголовок DNT в этой записи не отправлял.

Границы наблюдения

Замер охватывает две страницы основного сайта и восемь страниц магазина; оформление заказа и вход в учётную запись не выполнялись. Наблюдение фиксирует поведение браузера, а не внутреннюю сторону сервисов: серверная обработка, в том числе данных заказов, браузерным замером не проверяется. Правовую оценку выносит компетентный орган — в Эстонии это Andmekaitse Inspektsioon.

Файл опубликован очищенным по «постному» профилю: удалены значения cookie в запросах, вырезаны заголовки Cookie и Set-Cookie; реестр очистки фиксирует 373 редакции и контрольную сумму. Тела скриптов контейнера GTM, баннера согласия и ряда страниц заменены заглушками; вывод об отсутствии передач опирается на отсутствие соответствующих сетевых обращений. На ответах обоих доменов защитных заголовков не наблюдается.

Идентификация сервисов опирается на домены и схему адресов: контейнер тегов — по googletagmanager.com и GTM-WNG9S9L2; шрифты — по fonts.googleapis.com, fonts.gstatic.com; библиотеки — по cdn.jsdelivr.net, cdnjs.cloudflare.com; плагины первой стороны — по путям /wp-content/plugins/cookie-law-info/, /pixelyoursite-pro/, /woocommerce/. Отсутствие аналитики и рекламы установлено по отсутствию обращений /collect и к соответствующим узлам.

Вывод

Сайт сети Da Vinci и её интернет-магазин выпечки при просмотре не передают данные ни в аналитику, ни в рекламу: контейнер Google Tag Manager загружается, но не отправляет ни одного обращения с данными, а установленный в магазине менеджер пикселей PixelYourSite Pro не вызывает ни одного пиксельного сервиса. В магазине работает баннер согласия с равнозначной кнопкой отказа. Как мягкие оговорки можно отметить, что на основном сайте davinci.ee баннера нет и контейнер GTM со шрифтами Google грузятся сразу, делая адрес IP посетителя видимым Google; что Google Tag Manager и Google Fonts в документах поимённо не названы; что в подвале магазина нет ссылки на условия защиты данных, а реквизиты в подвале и в условиях называют разные юридические лица по одному адресу; что в приложенной копии условий остались незаполненные места шаблона; и что на обоих доменах не выставлены защитные заголовки. Передач в аналитику или рекламу, которые эти меры защищали бы, в записи нет.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/davinci-ee-2026-09-20.har

SHA-256: f970550ac4a9b0cd858c6f40f30f4b94b31e8fcaf3b4723a7093e07a73e63a58

Скриншот

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — davinci.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта davinci.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия.

2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-davinci-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — davinci.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website davinci.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
I request information on all categories, purposes, and recipients of my data processed on this site — regardless of whether any non-compliance has been identified to date.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-davinci-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — davinci.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi davinci.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Palun esitada teave kõigi minu andmete töötlemise kategooriate, eesmärkide ja vastuvõtjate kohta sellel veebisaidil — sõltumata sellest, kas praeguseks on tuvastatud mingeid mittevastavusi.

2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-davinci-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]