Технический аудит · 06.06.2026

dpd.com

Курьерская служба, дочерняя компания GeoPost SA (Франция)

Курьерская служба с образцовой прозрачностью: ConsentManager показывает всех 17 вендоров поимённо с переключателями. Первый в серии сайт где список получателей задокументирован полностью. Но четыре сервиса включены по умолчанию без согласия.

Хронология обращений

+47 мс · до баннера
ConsentManager (cdn.consentmanager.net) — баннер начинает загружаться.
+51 мс · до баннера
Brandcenter DPD Group (brandcenter.dpdgroup.com) — SVG-логотипы группы. Франция/ЕС.
+52 мс · до баннера
Amazon CloudFront (d2csxpduxe849s.cloudfront.net) — медиа CDN. США.
+55 мс · до баннера
Alturing AI-чат (chatbot.alturing.eu) — чат поддержки. EU-домен.
+157 мс · баннер виден
ConsentManager полностью загружен. Баннер на русском языке с 6 категориями и кнопками «Отклонить все» / «Принять все».
+903 мс
ConsentManager загружает персонализированные данные согласия — cookie-список со всеми 17 вендорами.

Декларация против факта

✓ A/B Tasty — в Cookie Declaration — заявлен
✓ Amazon CloudFront — в Cookie Declaration — заявлен
✓ Cloudflare — в Cookie Declaration — заявлен
✓ consentmanager — в Cookie Declaration — заявлен
✓ Facebook (Meta) — в Cookie Declaration — заявлен
✓ Geopost — в Cookie Declaration — заявлен
✓ Google Ads — в Cookie Declaration — заявлен
✓ Google Advertising Products — в Cookie Declaration — заявлен
✓ Google Analytics — в Cookie Declaration — заявлен
✓ Google Fonts — в Cookie Declaration — заявлен
✓ Google General — в Cookie Declaration — заявлен
✓ Google Maps — в Cookie Declaration — заявлен
✓ Google Recaptcha — в Cookie Declaration — заявлен
✓ Google Tag Manager — в Cookie Declaration — заявлен
✓ TikTok (Analytics) — в Cookie Declaration — заявлен
✓ TikTok (Embed) — в Cookie Declaration — заявлен
✓ YouTube — в Cookie Declaration — заявлен

Тайминги передачи

+47 мс cdn.consentmanager.net

ConsentManager SDK

+52 мс d2csxpduxe849s.cloudfront.net

Amazon CloudFront. США

+55 мс chatbot.alturing.eu

Alturing AI-чат

+157 мс Баннер согласия появился

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

DPD Eesti AS — курьерская служба, дочерняя компания GeoPost SA (Франция, группа La Poste). Работает в Эстонии, Латвии и Литве. Использует глобальную платформу dpd.com с локализацией для Эстонии (/ee/et/). HAR: 115 запросов, 6 доменов.

Скриншоты из ConsentManager показывают то, чего не было ни у одного сайта в серии: полный список из 17 вендоров, каждый поимённо, с переключателями для каждого:

A/B Tasty, Amazon CloudFront, Cloudflare, consentmanager, Facebook (Meta), Geopost, Google Ads, Google Advertising Products, Google Analytics, Google Fonts, Google General, Google Maps, Google Recaptcha, Google Tag Manager, TikTok (Analytics), TikTok (Embed), YouTube.

У каждого вендора — ссылка на его политику конфиденциальности. Пользователь видит кого именно он авторизует. Это стандарт прозрачности Art. 13(1)(e), которого не достиг ни один другой сайт в этой серии.

Что включено по умолчанию — проблема

Из 17 вендоров четыре включены по умолчанию (On) без согласия: Amazon CloudFront, Cloudflare, consentmanager и Geopost. Плюс Google Recaptcha также помечена как On. Технически Cloudflare и consentmanager можно обосновать как «необходимые» для работы сайта. Но Amazon CloudFront — CDN медиаконтента — и Google Recaptcha передают данные в США и не являются строго необходимыми по смыслу GDPR. Включение их по умолчанию без согласия не соблюдает принцип opt-in для необязательных сервисов.

HAR фиксирует только 6 доменов — потому что аудит проводился до принятия согласия. После нажатия «Принять все» активировались бы все 17 вендоров включая Google Analytics, Facebook Pixel, TikTok и YouTube. Это именно та модель которую должен реализовывать GDPR: большинство трекеров заблокированы до согласия, разблокируются после.

Вывод

DPD демонстрирует лучшую Cookie Declaration в серии: 17 вендоров поимённо, переключатели, ссылки на политики, кнопки «Отклонить все» и «Принять все». Это образец того как должна выглядеть прозрачность по Art. 13(1)(e). Единственное замечание — Amazon CloudFront и Google Recaptcha включены по умолчанию без согласия. Технически небольшое исправление на фоне в целом корректной архитектуры.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: ee/dpd-ee-2026-06-06.har
SHA-256: 9e53377076ffb9a6491ce35fd3fa73fda8ec361d918ad06dfbbaf8144c76941a
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.