getapro.ee

Тема: Жалоба на обработку персональных данных — getapro.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом getapro.ee.

2. Обстоятельства
Я посетил сайт getapro.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 06.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте установлены платформа согласия OneTrust и режим согласия Google, по умолчанию запрещающий хранилища. Однако отслеживание конверсий Google Ads (www.googleadservices.com/pagead/conversion.js) загружается на +378 мс прямо из разметки страницы, а контейнер Google Tag Manager — на +414 мс, тогда как сам скрипт платформы OneTrust (otSDKStub.js) подтягивается только на +1031 мс. То есть рекламные скрипты стартуют раньше, чем появляется механизм согласия. За весь замер (17 страниц, 1813 запросов) согласие не давалось: статус согласия во всех обращениях GA4 и AdSense — gcs=G100 (оба хранилища запрещены). При этом обращения pagead2.googlesyndication.com/ccm/collect передают событие page_view и полный адрес страницы на рекламные аккаунты Google Ads AW-413167288 и AW-10975410146. Браузер отправлял заголовок DNT: 1 (в 1073 запросах) — на состав передач это не повлияло.

2) Сайт работает на Microsoft-IIS/10.0 и на основном документе выставляет лишь X-Frame-Options: SAMEORIGIN и Cache-Control: private. Отсутствуют Strict-Transport-Security (HSTS), Content-Security-Policy, Referrer-Policy, Permissions-Policy и X-Content-Type-Options (nosniff). Это происходит на маркетплейсе, где Tegija (мастер) при регистрации передаёт имя, телефон, адрес электронной почты, личный код (isikukood) или регистрационный номер предприятия и платёжные реквизиты, а Klient (клиент) публикует заказ с адресом. Для площадки, собирающей такой состав данных, отсутствие базового набора защитных заголовков — самостоятельный дефект безопасности обработки.

3) В разделе о технических данных политика конфиденциальности заявляет: «Tehnilisi andmeid on vaja saidi kasutamise analüüsimiseks… Seda teavet ei kasutata Kasutaja isikupärastamiseks» (технические данные нужны для анализа использования сайта; эта информация не используется для персонализации пользователя), а статистические cookie описаны как дающие «анонимную» статистику. Фактически на сайте работают отслеживание конверсий Google Ads, AdSense и рамочная схема IAB TCF с сотнями рекламных поставщиков, построенная на уникальной идентификации браузера и устройства для адресной рекламы, — что сама же декларация cookie в категории целевых файлов и описывает. Заявление о том, что данные не используются для персонализации и являются анонимными, расходится с фактическим составом рекламного стека. Отдельно отмечу в плюс: в отличие от ряда родственных площадок, политика getapro не отрицает передачу третьим лицам и прямо раскрывает рекламные и сторонние cookie и список поставщиков IAB.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-getapro-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — рекламный трекинг до и без согласия; GDPR Art. 32 — безопасность обработки, слабые заголовки; GDPR Art. 5(1)(a) — точность описания обработки

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — getapro.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website getapro.ee.

2. Circumstances
I visited the website getapro.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 6 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has the OneTrust consent platform and Google Consent Mode installed, defaulting to denied storage. However, Google Ads conversion tracking (www.googleadservices.com/pagead/conversion.js) loads at +378 ms straight from the page markup, and the Google Tag Manager container at +414 ms, whereas the OneTrust platform script itself (otSDKStub.js) is not pulled in until +1031 ms. That is, the advertising scripts start before the consent mechanism appears. Across the entire capture (17 pages, 1813 requests) consent was never given: the consent state across all GA4 and AdSense requests is gcs=G100 (both storages denied). At the same time the pagead2.googlesyndication.com/ccm/collect requests transmit a page_view event and the full page URL to the Google Ads accounts AW-413167288 and AW-10975410146. The browser sent the DNT: 1 header (in 1073 requests) — this had no effect on the composition of the transfers.

2) The site runs on Microsoft-IIS/10.0 and, on the main document, sets only X-Frame-Options: SAMEORIGIN and Cache-Control: private. Strict-Transport-Security (HSTS), Content-Security-Policy, Referrer-Policy, Permissions-Policy and X-Content-Type-Options (nosniff) are absent. This on a marketplace where a Tegija (tradesman) submits, on registration, name, phone, email address, personal ID code (isikukood) or company registration number, and payment details, while a Klient (client) posts an order with an address. For a platform collecting this composition of data, the absence of a basic set of protective headers is a standalone security-of-processing defect.

3) In the technical-data section, the privacy policy states: 'Tehnilisi andmeid on vaja saidi kasutamise analüüsimiseks… Seda teavet ei kasutata Kasutaja isikupärastamiseks' (technical data is needed to analyse use of the site; this information is not used to personalise the user), and the statistics cookies are described as providing 'anonymous' statistics. In fact the site runs Google Ads conversion tracking, AdSense and the IAB TCF framework with hundreds of advertising vendors, built on the unique identification of the browser and device for targeted advertising — which the cookie declaration itself describes in its targeting-cookie category. The statement that the data is not used for personalisation and is anonymous diverges from the actual composition of the advertising stack. To its credit, and unlike a number of sister platforms, the getapro policy does not deny transfers to third parties and openly discloses the advertising and third-party cookies and the IAB vendor list.

Full technical documentation is published at: https://gdpru.eu/audits/ee-getapro-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — advertising tracking before and without consent; GDPR Art. 32 — security of processing, weak headers; GDPR Art. 5(1)(a) — accuracy of the description of processing

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil getapro.ee.

2. Asjaolud
Külastasin veebisaiti getapro.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 06.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Saidil on OneTrusti nõusoleku platvorm ja Google'i nõusoleku režiim, mis keelab vaikimisi salvestamise. Kuid Google Adsi teisendamise jälgimine (www.googleadservices.com/pagead/ conversion.js) laadib +378 ms-le otse lehe märgistusest ja Google Tag Manageri konteiner laadib +414 ms-le, samas kui OneTrust platvormi skript ise (otSDKStub.js) tõmbab üles ainult +1031 ms-le. See tähendab, et reklaamiskriptid algavad enne nõusoleku mehhanismi ilmumist. Kogu mõõtmise jaoks (17 lehekülge, 1813 taotlust) nõusolekut ei antud: nõusoleku staatus kõigis GA4 ja AdSense rakendustes on gcs=G100 (mõlemad hoidlad on keelatud). Samal ajal edastavad pagead2.googlesyndication.com/ccm/collect aadressid lehevaate sündmuse ja täieliku lehekülje aadressi Google Ads AW-413167288 ja AW-10975410146 reklaamikontodele. Brauser saatis DNT päise: 1 (1073 taotluses) - see ei mõjutanud edastuse koostist.

2) Sait töötab Microsoft-IIS/10.0 ja kuvab ainult X-Frame-Options: SAMEORIGIN ja Cache-Control: private. Puuduvad range transpordi-turvalisus (HSTS), sisu-turvalisus-poliitika, suunaja-poliitika, load-poliitika ja X-sisu tüüpi valikud (nosniff). See juhtub turul, kus Tegija (meister) edastab registreerimisel ettevõtte nime, telefoni, e-posti aadressi, isikukoodi (isikukood) või registreerimisnumbri ja makseandmed ning Klient (klient) avaldab tellimuse koos aadressiga. Saidi puhul, mis selliseid andmeid kogub, on turvapäiste põhikomplekti puudumine töötlemise turvalisuse sõltumatu puudus.

3) Tehnilisi andmeid käsitlevas jaotises on privaatsuspoliitikas kirjas: „Tehnilisi andmeid on vaja saidi kasutamise analüsimiseks ... Seda teavet ei kasutata Kasutaja isikupärastamiseks (tehnilised andmed on vajalikud saidi kasutamise analüüsimiseks; seda teavet ei kasutata kasutaja isikupärastamiseks) ja statistilisi küpsiseid kirjeldatakse kui anonüümset statistikat. Tegelikult toimib sait Google Adsi, AdSense'i ja IAB TCF-i konversioonide jälgimise raamistikus sadade reklaamipakkujatega, mis põhineb brauseri ja suunatud reklaami seadme unikaalsel identifitseerimisel - mis on sama küpsisedeklaratsioon sihitud failide kategoorias ja kirjeldab seda. Väide, et andmeid ei kasutata isikupärastamiseks ja need on anonüümsed, on vastuolus reklaamikogumi tegeliku koosseisuga. Lisaks, erinevalt mitmetest seotud saitidest, ei keela Getapro poliitika edastamist kolmandatele isikutele ning avalikustab otse reklaami ja kolmandate osapoolte küpsised ning IAB pakkujate nimekirja.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-getapro-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koostoimes GDPRi artikli 6 lõike 1 punktiga a) - reklaamide jälgimine enne ja ilma nõusolekuta; GDPR artikkel 32 – töötlemisturvalisus, nõrgad rubriigid; GDPR artikli 5 lõike 1 punkt a – töötlemise täpsus

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]