Сайт охранной компании — один замер с переходами, 373 запроса, 14 узлов, около четырёх минут. Разбор чистый в главном: ни одного аналитического или рекламного трекера в записи не срабатывает — контейнер Google Tag Manager загружается, но ничего за собой не запускает, а заявленные в политике Google Analytics, Facebook и LinkedIn в этом замере молчат. Из внешних узлов остаются функциональные: чат поддержки LiveChat, карта Google Maps, reCAPTCHA на формах, шрифты Google и одно превью YouTube. Заголовки безопасности выставлены строго. Нарушений не зафиксировано; оговорки — платформы управления согласием в записи нет (хотя политика ссылается на Cookiebot), а функциональные компоненты обращаются к сторонним без явного гейта согласия.
Хронология обращений
Декларация против факта
Тайминги передачи
LiveChat tracking.js; в политике раскрыт как обработчик.
GTM. Downstream-обращений к аналитике/рекламе нет.
Защита формы; адрес IP в Google.
Google Maps; адрес IP в Google.
Зафиксированные трекеры
- Google Tag Manager (www.googletagmanager.com) — контейнер тегов; загружается один раз (+1126 мс), но ни одного downstream-обращения к аналитике или рекламе в этом замере не запускает
- LiveChat (cdn.livechatinc.com, api.livechatinc.com, secure.livechatinc.com, accounts.livechatinc.com) — виджет поддержки и его tracking.js; функциональный, в политике раскрыт как обработчик (LiveChat Inc с субобработчиками)
- Google Maps (maps.googleapis.com, maps.gstatic.com) — карта расположения; загружается при переходе на страницу с картой (+200 с), функциональная
- Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com/recaptcha) — защита форм; загружается при переходе к форме (+33 с), функциональная
- Google Fonts (fonts.gstatic.com, fonts.googleapis.com) — веб-шрифты, адрес IP уходит в Google
- YouTube (i.ytimg.com) — одно превью встроенного ролика
- Strapi media (g4s-strapi-media.s3.eu-north-1.amazonaws.com) — медиа системы управления контентом на AWS S3 (регион EU), первая сторона
- Платформы управления согласием в записи нет; при этом политика ссылается на Cookiebot и «Декларацию о куки-файлах»
- Заявленный, но не сработавший стек: Google Analytics, Facebook, LinkedIn — упомянуты в политике и в декларации cookie, но обращений к ним в этом замере нет
Контекст
g4s.ee — сайт охранной компании; ответственный обработчик — AS G4S Eesti, регистрационный код 10022095, Vesipapi 2, Tallinn. Сайт отдаётся через Apache и держит строгую планку заголовков: Content-Security-Policy (default-src 'self' с точечным белым списком), HSTS с preload, Permissions-Policy (включая interest-cohort=()), Referrer-Policy origin-when-cross-origin, X-Content-Type-Options nosniff, X-Frame-Options DENY.
Замер — одна запись с переходами по сайту: 373 запроса, 14 узлов, около четырёх минут, съёмка 8 сентября 2026 года. Обработку описывает документ «Политика и куки» с декларацией cookie.
Кому уходят данные напрямую
Функционально — LiveChat (чат поддержки), Google (Maps, reCAPTCHA, Fonts) и одно превью YouTube. Аналитических или рекламных получателей в этом замере нет; контейнер Google Tag Manager обращений к аналитике не порождает.
Заявленное против фактического
Здесь заявленное и фактическое расходятся в редкую сторону: сайт обрабатывает данные не больше, а меньше, чем описывает.
Политика подробна: она раскрывает LiveChat как обработчика (LiveChat Inc с субобработчиками), заявляет использование Google Analytics с оговоркой об анонимизации адреса IP, упоминает Facebook и LinkedIn в декларации cookie и ссылается на платформу Cookiebot с «Декларацией о куки-файлах», которую можно в любой момент изменить или отозвать. То есть на бумаге заявлен и аналитико-рекламный стек, и механизм управления согласием.
Фактически в этом замере не сработал ни один из заявленных трекеров. За 373 запроса нет ни одного обращения к Google Analytics, к Facebook, к LinkedIn. Контейнер Google Tag Manager загружается, но ни одного downstream-обращения к аналитике или рекламе за ним не следует. Платформы Cookiebot в записи тоже нет — то есть механизм управления согласием, на который ссылается политика, на странице не наблюдается. При этом отсутствие CMP здесь ни к чему не приводит: гейтить попросту нечего, так как аналитико-рекламные обращения не возникают.
Остаются функциональные компоненты, обращающиеся к сторонним без явного гейта согласия. Виджет поддержки LiveChat загружает свой tracking.js при заходе; LiveChat раскрыт в политике как обработчик, а сам виджет обслуживает чат. Карта Google Maps подтягивается при переходе на страницу с картой, reCAPTCHA — при переходе к форме, веб-шрифты — из стилей; все они несут адрес IP в Google. Это функциональная и защитная отдача, а не рекламно-аналитический трекинг; отмечается как оговорка, а не как расхождение.
Согласие: что доказано и что нет
Доказано: заявленный аналитико-рекламный стек в этом замере не сработал. Ни одного обращения к Google Analytics, Facebook или LinkedIn за 373 запроса. Контейнер Google Tag Manager downstream-тегов не запускает.
Доказано: платформы управления согласием в записи нет. Обращений к Cookiebot или иной CMP в файле не встречается, хотя политика на Cookiebot ссылается.
Доказано: функциональные компоненты загружаются без гейта. LiveChat tracking.js — на +1114 мс; reCAPTCHA — при переходе к форме; Google Maps — при переходе на страницу с картой.
Не доказано и не требуется: точное состояние согласия. Поскольку ни один тег с сигналом согласия не сработал, машинного признака «дано/отклонено» в записи нет; существенно то, что заявленный стек фактически не обращался вовне.
Границы наблюдения
Замер охватывает несколько страниц сайта и фиксирует поведение браузера, не внутреннюю кухню сервисов: настройка контейнера Google Tag Manager, серверная обработка и договоры с получателями браузерным замером не проверяются. Отсутствие обращений к аналитике означает, что в этом замере аналитический сбор в браузере не наблюдается; что контейнер отправил бы при ином наборе тегов или на других страницах, по записи не устанавливается. Медиа системы управления контентом (g4s-strapi-media.s3…amazonaws.com) отнесены к первой стороне; виджет LiveChat — к функциональной части.
Файл опубликован очищенным от личных данных: удалены значения куки в запросах. Заголовки ответов, порядок загрузки и инициаторы сохранены, поэтому состав обращений и отсутствие downstream-аналитики проверяются по опубликованному файлу напрямую.
Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.
Вывод
Разбор чистый. Сайт охранной компании держит строгие заголовки безопасности и в этом замере не запускает ни одного аналитического или рекламного трекера: контейнер Google Tag Manager загружается, но ничего за собой не тянет, а заявленные в политике Google Analytics, Facebook и LinkedIn молчат. Расхождение между заявленным и фактическим здесь — в пользу пользователя: сайт обрабатывает данные меньше, чем декларирует.
Оговорки касаются не трекинга, а конфигурации и функциональной отдачи. Политика ссылается на платформу управления согласием Cookiebot и «Декларацию о куки-файлах», но самой платформы в записи нет — этот механизм на странице не наблюдается (гейтить, впрочем, нечего). Функциональные компоненты — чат поддержки LiveChat, карта Google Maps, reCAPTCHA и шрифты Google — обращаются к сторонним без явного гейта согласия и несут адрес IP в Google и LiveChat.
Устранение (в порядке ужесточения, не как исправление нарушения): привести политику в соответствие с фактом — если Cookiebot и заявленный аналитико-рекламный стек более не используются, убрать ссылки на них из документа, а если используются на других разделах — обеспечить, чтобы платформа согласия загружалась и гейтила их; рассмотреть самостоятельный хостинг шрифтов и загрузку карты и превью роликов через фасад-заглушку, чтобы адрес IP не уходил в Google до необходимости.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
91d5476b92fb923e393deb18ffb8cc651266fcbb2c41bc653ad0bbd3eaa3015aХотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — g4s.ee Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта g4s.ee. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-g4s-ee/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — g4s.ee To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website g4s.ee. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) I request information on all categories, purposes, and recipients of my data processed on this site — regardless of whether any non-compliance has been identified to date. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-g4s-ee/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — g4s.ee Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond] Kellelt: [Teie nimi], [kontakt-e-post] Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi g4s.ee kasutamisega. 1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c)) Palun esitada teave kõigi minu andmete töötlemise kategooriate, eesmärkide ja vastuvõtjate kohta sellel veebisaidil — sõltumata sellest, kas praeguseks on tuvastatud mingeid mittevastavusi. 2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46) Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-g4s-ee/ 3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h)) Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]