Технический аудит · 13.09.2026

estravel.ee

Сайт туристического агентства

Сайт туристического агентства Estravel — один замер главной, 98 запросов, 10 узлов. Стек неожиданно скромный для тревела: рекламных сетей и Facebook-пикселя в замере нет, платформа согласия CookieYes на месте, а баннер образцовый — три кнопки с «Reject All» на первом экране, категории по умолчанию выключены. Но одна вещь эту рамку обходит: Microsoft Clarity — инструмент записи сессии (движения мыши, клики, ввод в формы) — грузится сразу за баннером и пишет сессию непрерывно, до согласия и при выключенной аналитике. И в политике session recording не раскрыт вообще — ни Clarity по имени, ни сам факт записи сессии.

Хронология обращений

+44…+73 мс · CMP, GTM и Clarity стартуют почти вместе

cdn-cookieyes.com/script.js (платформа согласия, +44 мс), www.socialintents.com (чат, +49 мс), www.google.com/recaptcha (+51 мс), www.googletagmanager.com/gtm.js (GTM-MWNNL7T6, +72 мс), www.clarity.ms/tag (Microsoft Clarity, +73 мс). Session recording инициализируется практически одновременно с платформой согласия.

+1012…+36620 мс · запись сессии непрерывно

k.clarity.ms/collect — Microsoft Clarity отправляет данные записи сессии, начиная с +1012 мс и далее каждые ~5-7 секунд (11 обращений за 36 секунд записи). Тела обращений — от 1064 байт. Всё до фиксации согласия и при выключенной категории Analytics.

Декларация против факта

✓ Контролёр — Estravel AS (туристическое агентство) — заявлен

✓ Объединённая политика и куки-декларация на движке CookieYes; категории Necessary, Functional, Analytics, Advertisement, Performance — заявлен

✓ Баннер с тремя кнопками («Customise» / «Reject All» / «Accept All»), категории по умолчанию выключены — заявлен

✓ В декларации названы: CookieYes, Google Tag Manager, Analytics, Facebook — заявлен

✓ Надзорный орган — Andmekaitse Inspektsioon — заявлен

+ Microsoft Clarity (session recording) в политике не назван ни по имени, ни как запись сессии — не заявлен

+ Session recording ведётся до согласия и при выключенной по умолчанию категории Analytics — не заявлен

+ Виджет чата SocialIntents в политике по имени не назван — не заявлен

Тайминги передачи

+44 мс cdn-cookieyes.com

Платформа согласия; баннер с «Reject All» на первом экране.

+73 мс www.clarity.ms

Microsoft Clarity tag; в политике не назван.

+1012 мс k.clarity.ms

/collect, тело от 1064 байт; далее непрерывно всю сессию.

Зафиксированные трекеры

Microsoft Clarity (k.clarity.ms — 9, www.clarity.ms, scripts.clarity.ms) — session recording и тепловые карты; грузится на +73 мс, шлёт /collect с +1012 мс и далее непрерывно каждые ~5-7 секунд (11 обращений за 36 секунд). Записывает поведение пользователя на странице. В политике по имени НЕ назван
CookieYes (cdn-cookieyes.com, log.cookieyes.com, ID abee1882…) — платформа управления согласием; грузится первой (+44 мс). Баннер с тремя кнопками («Customise» / «Reject All» / «Accept All»), категории по умолчанию выключены — отказ на первом экране
SocialIntents (www.socialintents.com) — виджет чата поддержки; грузится с +49 мс. Функциональный, в политике по имени не назван
Google Tag Manager (www.googletagmanager.com, GTM-MWNNL7T6) — контейнер тегов; +72 мс, раньше баннера
Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com) — защита форм, функциональная
Первая сторона и инфраструктура: www.estravel.ee (69 обращений)

Признаки несоответствия GDPR

ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — session recording до согласия
Платформа управления согласием CookieYes установлена и, что важно, баннер корректен: три кнопки («Customise», «Reject All», «Accept All»), категории (Functional, Analytics, Performance) по умолчанию выключены, отказ доступен на первом экране. Однако Microsoft Clarity — инструмент session recording, который записывает движения мыши, клики, скроллинг и взаимодействие с формами, — грузится на +73 мс (практически сразу за платформой согласия) и начинает отправлять данные записи (k.clarity.ms/collect) с +1012 мс, продолжая непрерывно всю сессию (11 обращений каждые ~5-7 секунд). Это происходит до какого-либо выбора пользователя и при выключенной по умолчанию категории Analytics. Clarity не относится к Google-стеку и режима согласия не знает — он пишет сессию независимо от баннера. Session recording особенно чувствителен: на тревел-сайте пользователь вводит направления, даты, персональные данные при бронировании, и запись сессии может их захватывать.
GDPR Art. 13(1)(e) — session recording не раскрыт в политике
Объединённая политика и куки-декларация (на движке CookieYes) описывает категории (Necessary, Functional, Analytics, Advertisement, Performance) и называет CookieYes, Google Tag Manager, Analytics, Facebook. Однако Microsoft Clarity — самый интрузивный компонент на сайте, ведущий запись сессии, — в политике не упомянут вовсе: ни по имени, ни через свои куки (_clck, _clsk, CLID), ни как «session recording». Виджет чата SocialIntents также по имени не назван. Посетитель, читающий политику, не узнаёт, что его сессия записывается и кому эта запись уходит.

Контекст

estravel.ee — сайт Estravel AS, одного из крупнейших туристических агентств Эстонии (авиабилеты, отели, пакетные туры, круизы). Тревел — умеренно чувствительная категория: пользователь вводит направления, даты поездок, а при бронировании — персональные и платёжные данные. Обработку описывают объединённая политика и куки-декларация на движке CookieYes; управление согласием — CookieYes.

Замер — одна запись главной страницы: 98 запросов, 10 узлов. Стек для тревел-сайта скромный: рекламных сетей, Facebook-пикселя и аудиторных платформ в этом замере нет.

Кому уходят данные напрямую

Microsoft Clarity — запись сессии (движения, клики, ввод), непрерывно и до согласия. Управление согласием — CookieYes. Чат поддержки — SocialIntents. Функционально — reCAPTCHA. Первая сторона — сайт Estravel. GA4/рекламных обращений в замере практически нет.

Заявленное против фактического

Здесь необычная ситуация: баннер сделан образцово, а обходит рамку один, но самый интрузивный компонент.

Баннер корректен. Платформа CookieYes грузится первой (+44 мс), баннер «We value your privacy» даёт три кнопки — «Customise», «Reject All», «Accept All», — причём «Reject All» на первом экране, равнозначная «Accept All». В настройках категории Functional, Analytics, Performance по умолчанию выключены (тумблеры пустые). По части механизма согласия претензий нет — отказ прост и доступен сразу.

Но session recording работает в обход этой рамки. Microsoft Clarity — инструмент записи сессии: он фиксирует движения мыши, клики, скроллинг и взаимодействие с формами, фактически «переснимая» действия пользователя на странице. Он грузится на +73 мс — сразу за платформой согласия — и начинает слать данные записи (k.clarity.ms/collect) с +1012 мс, продолжая непрерывно всю сессию: 11 обращений каждые ~5-7 секунд, тела от 1064 байт. Всё это — до какого-либо выбора пользователя и при выключенной по умолчанию категории Analytics. Clarity не относится к Google-стеку, режима согласия не знает и пишет сессию независимо от баннера. На тревел-сайте это особенно значимо: пользователь вводит направления, даты, а на страницах бронирования — персональные данные, и запись сессии способна их захватывать.

И session recording не раскрыт. Куки-декларация описывает категории (Necessary, Functional, Analytics, Advertisement, Performance) и называет CookieYes, Google Tag Manager, Analytics, Facebook. Но Microsoft Clarity в ней не упомянут вовсе — ни по имени, ни через свои куки (_clck, _clsk, CLID), ни как «запись сессии». Виджет чата SocialIntents тоже по имени не назван. То есть самый интрузивный компонент сайта — запись действий пользователя — посетителю не раскрыт: читая политику, он не узнаёт, что его сессия записывается.

Согласие: что доказано и что нет

Доказано: баннер корректен. Скриншоты фиксируют «Reject All» на первом экране и выключенные по умолчанию категории.

Доказано: Clarity пишет сессию до согласия. www.clarity.ms/tag на +73 мс, k.clarity.ms/collect с +1012 мс, далее непрерывно (11 обращений за 36 секунд).

Доказано: Clarity не раскрыт в политике. Поиск по декларации не находит ни «Clarity», ни «Microsoft», ни кук _clck/_clsk/CLID, ни «session recording».

Доказано: категория Analytics выключена по умолчанию. Скриншот настроек показывает пустые тумблеры Functional/Analytics/Performance.

Не установлено: решение о согласии. Выбор пользователя в этом замере не зафиксирован; ключевой факт — что Clarity пишет сессию до любого выбора.

Не доказано: содержимое записи Clarity. Тела /collect в опубликованном файле вычищены (осталась метка размера от 1064 байт), поэтому что именно записано — движения, ввод в формы — из файла не читается; вывод строится на факте работы session-recording-инструмента до согласия, а не на содержании записи.

Границы наблюдения

Замер охватывает главную страницу и фиксирует поведение браузера, не серверную обработку: что Microsoft записывает и хранит на своей стороне и как настроен Clarity (маскирует ли он ввод в формы), браузерным замером не проверяется. Замер сделан на главной, не на странице бронирования, поэтому захват конкретных персональных данных в записи не наблюдался — но session-recording-инструмент активен уже здесь, до согласия. Тела обращений Clarity вычищены при очистке (осталась метка размера), поэтому содержание записи не приводится. SocialIntents (чат) и reCAPTCHA отнесены к функциональной части.

Файл опубликован очищенным от личных данных (97 правок, самопроверка чистая); порядок загрузки (Clarity сразу за CMP), непрерывность обращений /collect и отсутствие Clarity в тексте политики проверяются по опубликованному файлу и скриншотам напрямую. Баннер и его кнопки — со скриншотов (живой UI).

Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.

Вывод

Туристическое агентство сделало механизм согласия образцово: платформа CookieYes грузится первой, баннер даёт «Reject All» на первом экране наравне с «Accept All», а опциональные категории по умолчанию выключены. Рекламного стека, Facebook-пикселя и аудиторных платформ в замере нет — для тревел-сайта это скромный и опрятный набор.

Но одна вещь эту рамку обходит, и это самый интрузивный компонент. Microsoft Clarity — инструмент записи сессии, фиксирующий движения, клики и взаимодействие с формами, — грузится сразу за платформой согласия и пишет сессию непрерывно, до какого-либо выбора и при выключенной по умолчанию аналитике. Он не знает режима согласия и работает независимо от баннера. И в политике session recording не раскрыт вообще: ни Clarity по имени, ни сам факт записи сессии. Получается парадокс: сайт даёт честный выбор в баннере, но параллельно ведёт скрытую запись действий пользователя, о которой политика молчит.

Устранение: обусловить загрузку и запись Microsoft Clarity фактическим согласием, чтобы session recording не велся до выбора и при выключенной аналитике; назвать Microsoft Clarity в политике как получателя с указанием цели (запись сессии) и настроить маскирование ввода в формы, чтобы запись не захватывала персональные и платёжные данные при бронировании; назвать виджет чата SocialIntents; в остальном корректный баннер CookieYes — с «Reject All» на первом экране и выключенными по умолчанию категориями — может служить ориентиром.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/estravel-ee-2026-09-13.har

SHA-256: df2ba4a190fcd9f49c6ffd2de9ac0898763a6e5d02e5e22ef1896fa3c9d55743

Скриншот

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — estravel.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта estravel.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Платформа управления согласием CookieYes установлена и, что важно, баннер корректен: три кнопки («Customise», «Reject All», «Accept All»), категории (Functional, Analytics, Performance) по умолчанию выключены, отказ доступен на первом экране. Однако Microsoft Clarity — инструмент session recording, который записывает движения мыши, клики, скроллинг и взаимодействие с формами, — грузится на +73 мс (практически сразу за платформой согласия) и начинает отправлять данные записи (k.clarity.ms/collect) с +1012 мс, продолжая непрерывно всю сессию (11 обращений каждые ~5-7 секунд). Это происходит до какого-либо выбора пользователя и при выключенной по умолчанию категории Analytics. Clarity не относится к Google-стеку и режима согласия не знает — он пишет сессию независимо от баннера. Session recording особенно чувствителен: на тревел-сайте пользователь вводит направления, даты, персональные данные при бронировании, и запись сессии может их захватывать.

2) Объединённая политика и куки-декларация (на движке CookieYes) описывает категории (Necessary, Functional, Analytics, Advertisement, Performance) и называет CookieYes, Google Tag Manager, Analytics, Facebook. Однако Microsoft Clarity — самый интрузивный компонент на сайте, ведущий запись сессии, — в политике не упомянут вовсе: ни по имени, ни через свои куки (_clck, _clsk, CLID), ни как «session recording». Виджет чата SocialIntents также по имени не назван. Посетитель, читающий политику, не узнаёт, что его сессия записывается и кому эта запись уходит.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-estravel-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — estravel.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website estravel.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The CookieYes consent management platform is installed and, importantly, the banner is correct: three buttons («Customise», «Reject All», «Accept All»), the categories (Functional, Analytics, Performance) off by default, refusal available on the first screen. However, Microsoft Clarity — a session-recording tool that records mouse movements, clicks, scrolling and form interaction — loads at +73 ms (almost immediately after the consent platform) and begins sending recording data (k.clarity.ms/collect) from +1012 ms, continuing throughout the session (11 requests every ~5-7 seconds). This happens before any choice by the user and with the Analytics category off by default. Clarity does not belong to the Google stack and does not know consent mode — it records the session independently of the banner. Session recording is especially sensitive: on a travel site the user enters destinations, dates, and personal data when booking, and a session recording can capture them.

2) The combined policy and cookie declaration (running on the CookieYes engine) describes categories (Necessary, Functional, Analytics, Advertisement, Performance) and names CookieYes, Google Tag Manager, Analytics, Facebook. However, Microsoft Clarity — the most intrusive component on the site, which records the session — is not mentioned in the policy at all: neither by name, nor via its cookies (_clck, _clsk, CLID), nor as «session recording». The SocialIntents chat widget is also not named. A visitor reading the policy does not learn that their session is being recorded or to whom that recording goes.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-estravel-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — estravel.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi estravel.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) Nõusoleku haldamise platvorm CookieYes on paigaldatud ja mis kõige tähtsam, bänner on õige: kolm nuppu («Customise», «Reject All», «Accept All»), kategooriad (Functional, Analytics, Performance) on vaikimisi välja lülitatud, loobumine on saadaval esimesel ekraanil. Kuid Microsoft Clarity - seansi salvestamise tööriist, mis salvestab hiire liigutusi, klõpse, kerimist ja suhtlemist vormidega - laadib +73 ms-le (peaaegu kohe nõusolekuplatvormi taga) ja hakkab saatma salvestusandmeid (k.clarity.ms/collect) +1012 ms-st, jätkates pidevalt kogu seansi jooksul (11 kõnet iga ~5-7 sekundi järel). See juhtub enne kasutaja valimist ja kui vaikimisi Analytics kategooria on välja lülitatud. Selgus ei viita Google pingile ja nõusoleku režiim ei tea - see kirjutab seansi olenemata bännerist. Seansi salvestamine on eriti tundlik: reisisaidil sisestab kasutaja broneerimisel juhiseid, kuupäevi, isikuandmeid ning seansi salvestamine võib neid jäädvustada.

2) Kombineeritud poliitika ja küpsiste deklaratsioon (CookieYes mootoril) kirjeldab kategooriaid (vajalik, funktsionaalne, analüüs, reklaam, jõudlus) ja helistab CookieYes, Google Tag Manager, Analytics, Facebook. Kuid Microsoft Clarity, saidi kõige pealetükkivam komponent, mis salvestab seansi, ei ole poliitikas üldse mainitud: ei nime ega küpsiste kaudu (clck, clsk, CLID) ega «session recording». Samuti ei ole nimetatud SocialIntentsi vestlusvidinat. Poliitikalugeja ei tea, et tema seanss salvestatakse või kellele plaat saadetakse.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-estravel-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — estravel.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом estravel.ee.

2. Обстоятельства
Я посетил сайт estravel.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 13.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Платформа управления согласием CookieYes установлена и, что важно, баннер корректен: три кнопки («Customise», «Reject All», «Accept All»), категории (Functional, Analytics, Performance) по умолчанию выключены, отказ доступен на первом экране. Однако Microsoft Clarity — инструмент session recording, который записывает движения мыши, клики, скроллинг и взаимодействие с формами, — грузится на +73 мс (практически сразу за платформой согласия) и начинает отправлять данные записи (k.clarity.ms/collect) с +1012 мс, продолжая непрерывно всю сессию (11 обращений каждые ~5-7 секунд). Это происходит до какого-либо выбора пользователя и при выключенной по умолчанию категории Analytics. Clarity не относится к Google-стеку и режима согласия не знает — он пишет сессию независимо от баннера. Session recording особенно чувствителен: на тревел-сайте пользователь вводит направления, даты, персональные данные при бронировании, и запись сессии может их захватывать.

2) Объединённая политика и куки-декларация (на движке CookieYes) описывает категории (Necessary, Functional, Analytics, Advertisement, Performance) и называет CookieYes, Google Tag Manager, Analytics, Facebook. Однако Microsoft Clarity — самый интрузивный компонент на сайте, ведущий запись сессии, — в политике не упомянут вовсе: ни по имени, ни через свои куки (_clck, _clsk, CLID), ни как «session recording». Виджет чата SocialIntents также по имени не назван. Посетитель, читающий политику, не узнаёт, что его сессия записывается и кому эта запись уходит.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-estravel-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — session recording до согласия; GDPR Art. 13(1)(e) — session recording не раскрыт в политике

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — estravel.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website estravel.ee.

2. Circumstances
I visited the website estravel.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 13 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The CookieYes consent management platform is installed and, importantly, the banner is correct: three buttons («Customise», «Reject All», «Accept All»), the categories (Functional, Analytics, Performance) off by default, refusal available on the first screen. However, Microsoft Clarity — a session-recording tool that records mouse movements, clicks, scrolling and form interaction — loads at +73 ms (almost immediately after the consent platform) and begins sending recording data (k.clarity.ms/collect) from +1012 ms, continuing throughout the session (11 requests every ~5-7 seconds). This happens before any choice by the user and with the Analytics category off by default. Clarity does not belong to the Google stack and does not know consent mode — it records the session independently of the banner. Session recording is especially sensitive: on a travel site the user enters destinations, dates, and personal data when booking, and a session recording can capture them.

2) The combined policy and cookie declaration (running on the CookieYes engine) describes categories (Necessary, Functional, Analytics, Advertisement, Performance) and names CookieYes, Google Tag Manager, Analytics, Facebook. However, Microsoft Clarity — the most intrusive component on the site, which records the session — is not mentioned in the policy at all: neither by name, nor via its cookies (_clck, _clsk, CLID), nor as «session recording». The SocialIntents chat widget is also not named. A visitor reading the policy does not learn that their session is being recorded or to whom that recording goes.

Full technical documentation is published at: https://gdpru.eu/audits/ee-estravel-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — session recording before consent; GDPR Art. 13(1)(e) — session recording not disclosed in the policy

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil estravel.ee.

2. Asjaolud
Külastasin veebisaiti estravel.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 13.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Nõusoleku haldamise platvorm CookieYes on paigaldatud ja mis kõige tähtsam, bänner on õige: kolm nuppu («Customise», «Reject All», «Accept All»), kategooriad (Functional, Analytics, Performance) on vaikimisi välja lülitatud, loobumine on saadaval esimesel ekraanil. Kuid Microsoft Clarity - seansi salvestamise tööriist, mis salvestab hiire liigutusi, klõpse, kerimist ja suhtlemist vormidega - laadib +73 ms-le (peaaegu kohe nõusolekuplatvormi taga) ja hakkab saatma salvestusandmeid (k.clarity.ms/collect) +1012 ms-st, jätkates pidevalt kogu seansi jooksul (11 kõnet iga ~5-7 sekundi järel). See juhtub enne kasutaja valimist ja kui vaikimisi Analytics kategooria on välja lülitatud. Selgus ei viita Google pingile ja nõusoleku režiim ei tea - see kirjutab seansi olenemata bännerist. Seansi salvestamine on eriti tundlik: reisisaidil sisestab kasutaja broneerimisel juhiseid, kuupäevi, isikuandmeid ning seansi salvestamine võib neid jäädvustada.

2) Kombineeritud poliitika ja küpsiste deklaratsioon (CookieYes mootoril) kirjeldab kategooriaid (vajalik, funktsionaalne, analüüs, reklaam, jõudlus) ja helistab CookieYes, Google Tag Manager, Analytics, Facebook. Kuid Microsoft Clarity, saidi kõige pealetükkivam komponent, mis salvestab seansi, ei ole poliitikas üldse mainitud: ei nime ega küpsiste kaudu (clck, clsk, CLID) ega «session recording». Samuti ei ole nimetatud SocialIntentsi vestlusvidinat. Poliitikalugeja ei tea, et tema seanss salvestatakse või kellele plaat saadetakse.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-estravel-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a) - seansi salvestamine enne nõusoleku saamist; GDPR artikli 13 lõike 1 punkt e – seansi salvestamine ei ole poliitikas avalikustatud

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]

[Kuupäev]