kalevspa.ee

Тема: Жалоба на обработку персональных данных — kalevspa.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом kalevspa.ee.

2. Обстоятельства
Я посетил сайт kalevspa.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 06.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Платформа управления согласием Cookie-Script загружается первой из разметки страницы (+308 мс). Действующее согласие при этом отрицательное: статус согласия в обоих пингах GA4 — gcs=G100 (оба хранилища запрещены), а рекламный тег Bing UET сам передаёт признак asc=D (реклама запрещена). Несмотря на это, сторонние трекеры срабатывают и передают данные. Facebook / Meta Pixel (ID 2019830551615601) отправляет событие PageView POST-обращением на facebook.com/tr на +700 мс. Bing Ads UET (тег 187229746) отправляет событие pageLoad на +899 мс, при этом сам зная, что согласие на рекламу отклонено. Microsoft Clarity ведёт запись сессии: за 30 секунд браузер шлёт семь POST-обращений g.clarity.ms/collect, одно из которых несёт тело в 78 КБ — потоковая передача данных сессии (взаимодействия и состояние страницы) в Microsoft. Аналитика Google при этом соблюдает запрет хранилищ (пинги бескуковые), но пиксель Facebook, тег Bing и запись сессии Clarity фактическим состоянием согласия не обусловлены.

2) Уведомление о конфиденциальности называет из веб-получателей только Google: «Наш веб-сайт использует сервисы Google (например, Google Ads, Google Analytics, Tag Manager)». Microsoft (Clarity и Bing Ads), а также Meta в уведомлении не названы вовсе, равно как не описана и сама запись сессии — при том что именно в Microsoft уходит поток данных о поведении посетителя, а в Meta — событие пикселя. Получатели раскрыты лишь в автоматической декларации cookie. При этом сама декларация внутренне противоречива: аналитические cookie (в том числе _clck и _clsk от Clarity) описаны как такие, что «не могут использоваться для прямой идентификации определённого посетителя», тогда как в категории целевых та же декларация описывает куку MUID от Microsoft как «широко уникальный идентификатор пользователя», который «синхронизируется между разными доменами Microsoft, что позволяет отслеживание пользователей». Запись сессии и межсайтовый идентификатор — не то же самое, что обезличенный подсчёт посещений.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-kalevspa-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — трекинг и запись сессии при отклонённом согласии; GDPR Art. 13(1)(e) / Art. 5(1)(a) — получатели и точность описания

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — kalevspa.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website kalevspa.ee.

2. Circumstances
I visited the website kalevspa.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 6 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The Cookie-Script consent management platform loads first from the page markup (+308 ms). The active consent is negative: the consent state in both GA4 pings is gcs=G100 (both storages denied), and the Bing UET advertising tag itself transmits the flag asc=D (advertising denied). Despite this, third-party trackers fire and transmit data. The Facebook / Meta Pixel (ID 2019830551615601) sends a PageView event as a POST request to facebook.com/tr at +700 ms. Bing Ads UET (tag 187229746) sends a pageLoad event at +899 ms, while itself knowing that advertising consent is refused. Microsoft Clarity performs session recording: over 30 seconds the browser sends seven POST requests to g.clarity.ms/collect, one of which carries a 78 KB body — streaming session data (interactions and page state) to Microsoft. Google analytics does honour the storage denial (the pings are cookieless), but the Facebook pixel, the Bing tag and the Clarity session recording are not conditioned on the actual consent state.

2) The privacy notice names, among web recipients, only Google: 'Our website uses Google services (for example Google Ads, Google Analytics, Tag Manager)'. Microsoft (Clarity and Bing Ads), as well as Meta, are not named in the notice at all, nor is the session recording itself described — even though it is to Microsoft that a stream of the visitor's behavioural data goes, and to Meta a pixel event. The recipients are disclosed only in the automatic cookie declaration. And that declaration is internally contradictory: the analytics cookies (including _clck and _clsk from Clarity) are described as ones that 'cannot be used to directly identify a specific visitor', whereas in the targeting category the same declaration describes the Microsoft MUID cookie as a 'widely unique user identifier' that is 'synced across various Microsoft domains, which enables user tracking'. Session recording and a cross-site identifier are not the same thing as an anonymised count of visits.

Full technical documentation is published at: https://gdpru.eu/audits/ee-kalevspa-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — tracking and session recording under a refused consent; GDPR Art. 13(1)(e) / Art. 5(1)(a) — recipients and accuracy of description

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil kalevspa.ee.

2. Asjaolud
Külastasin veebisaiti kalevspa.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 06.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Nõusoleku haldamise platvorm Cookie-Script laaditakse lehe märgistuse (+308 ms) esimeseks. Praegune nõusolek on negatiivne: nõusoleku staatus mõlemas pingis on GA4 - gcs=G100 (mõlemad hoidlad on keelatud) ja Bing UET reklaami sild ise annab edasi asc=D märgi (reklaam on keelatud). Sellest hoolimata käivitavad ja edastavad kolmanda osapoole jälgijad andmeid. Facebook / Meta Pixel (ID 2019830551615601) saadab PageView sündmusele POST sõnumi facebook.com/tr aadressil +700 ms. Bing Ads UET (silt 187229746) saadab leheLoad sündmuse +899 ms-le, teades, et reklaamile nõusoleku andmisest keeldutakse. Microsoft Clarity salvestab seansi: 30 sekundiga saadab brauser seitse POST sõnumit g.clarity.ms/collect, millest üks kannab Microsoftile 78 KB voogesituse seansi andmeid (interaktsioonid ja lehe seisund). Google Analytics järgib säilitamiskeeldu, kuid Facebooki pikslit, Bingi silti ja Clarity seansi salvestamist ei sõltu tegelik nõusoleku seisund.

2) Privaatsusteatis viitab ainult Google'i veebisaajatele: "Meie veebisait kasutab Google'i teenuseid (nt Google Ads, Google Analytics, Tag Manager)." Microsofti (Clarity ja Bingi reklaamid), samuti Meta teates ei nimetata üldse, samuti seansi salvestamist ennast ei kirjeldata - hoolimata asjaolust, et see on Microsoft, mis jätab andmete voo külastaja käitumise kohta ja Meta - piksli sündmus. Saajad avalikustatakse ainult automaatses küpsisedeklaratsioonis. Deklaratsioon ise on aga sisemiselt vastuoluline: analüütilisi küpsiseid (sealhulgas Clarity'i Clck ja Clsk) kirjeldatakse sellistena, et "ei saa kasutada konkreetse külastaja otseseks tuvastamiseks", samas kui sihtkategoorias kirjeldab sama deklaratsioon Microsofti MUID-küpsist kui "laialt unikaalset kasutaja ID-d", mis "sünkroonib erinevate Microsofti domeenide vahel, võimaldades kasutaja jälgimist". Seansi salvestamine ja ristsaidi identifikaator ei ole sama mis anonüümne külastuste arv.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-kalevspa-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a) - tagasilükatud nõusolekuga seansi jälgimine ja salvestamine; GDPR art 13(1)(e) / art 5(1)(a) – Saajad ja kirjelduse täpsus

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]