Сайт официального импортёра автомобилей Kia в Эстонии — одна запись, около семи минут, 590 запросов, девятнадцать узлов. Платформа согласия iubenda работает образцово: кнопки «Отказаться» и «Согласиться» равнозначны уже на первом экране, категории измерения и маркетинга выключены по умолчанию. Пользователь отказался, отказ записан, и за всю запись — ни до выбора, ни после — нет ни одного обращения к Google Analytics, Meta или Adform, хотя политика называет их все. Контейнер Google Tag Manager загружается, но данных не передаёт. У домена сильный набор защитных заголовков. Заявленное шире фактического. Браузер заголовок DNT не отправлял.
Хронология обращений
Декларация против факта
Тайминги передачи
iubenda Cookie Solution, категории выключены по умолчанию.
GTM-TQVSRX; за всю запись ни одного обращения к аналитике или рекламе.
big_data/consent — цели 4 и 5 false.
recaptcha/api.js на странице модели.
Карта дилеров на /ru/dealers/dealer-locator.
Зафиксированные трекеры
- iubenda Cookie Solution (embeds.iubenda.com, cdn.iubenda.com, cpl.iubenda.com, idb.iubenda.com, www.iubenda.com) — платформа управления согласием; фиксирует выбор (cpl.iubenda.com/big_data/consent) и собственную статистику показов (idb.iubenda.com/csdata)
- Google Tag Manager (www.googletagmanager.com, контейнер GTM-TQVSRX) — загружается на каждой странице; за всю запись ни одного обращения с данными
- Modera Salesfront (cdn.modera.org, cdn2.modera.org, s3.eu-north-1.amazonaws.com/modera-salesfront) — платформа сайта и изображения автомобилей
- Amazon S3 (s3.eu-west-1.amazonaws.com) — значки поставщиков на странице cookie-политики iubenda
- Google reCAPTCHA (www.google.com/recaptcha, www.gstatic.com) — защита форм на страницах моделей
- Google Maps (maps.google.com, maps.googleapis.com, maps.gstatic.com) — карта дилеров на странице поиска дилера
- Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — шрифт Roboto для reCAPTCHA и карты
Контекст
kia.ee — сайт официального импортёра автомобилей Kia в Эстонии: модели, конфигуратор, предложения, подержанные автомобили, поиск дилера. Контролёр по политике — KIA Auto AS, Ülemiste tee 2, 11415 Tallinn; специалист по защите данных — TKM Grupp AS (dpo@tkmgrupp.ee). Сайт работает на платформе Modera Salesfront, сервер Apache (Ubuntu).
Обработку описывает политика конфиденциальности kia.ee, сформированная сервисом iubenda (обновлена 31 марта 2026 года), и cookie-политика iubenda, открываемая из баннера. К материалам приложены четыре снимка экрана: баннер, второй слой настроек, категории и страница политики.
Замер состоит из одной записи продолжительностью около семи минут: главная, две cookie-политики iubenda, страницы моделей Picanto, CT1 и PV5 Cargo, конфигуратор, новости, предложения, русская версия и поиск дилера. Пятьсот девяносто запросов, девятнадцать узлов. Запись сделана 22 сентября 2026 года.
Кому уходят данные напрямую
iubenda (платформа согласия), Google (Tag Manager — без передачи данных, reCAPTCHA, Maps, Fonts), Modera Salesfront и Amazon S3 (платформа и статика). Аналитики, рекламы, пикселей и RTB в записи нет.
Заявленное против фактического
Политика подробна и называет получателей поимённо: Google Analytics 4 и функции рекламной отчётности Google Analytics, Google Tag Manager, Meta Events Manager и Meta Pixel, Adform, Amazon S3 и AWS; указаны компании, места обработки и цели — реклама, хостинг, аналитика и управление тегами.
Замер даёт расхождение в благоприятную сторону: фактического меньше, чем заявлено.
Платформа согласия настроена образцово. iubenda Cookie Solution загружается с +444 мс. Первый экран баннера, как видно на снимках, предлагает две равнозначные кнопки — «Keeldu» (отказаться) и «Nõustu» (согласиться) — и прямо объясняет, что отказ позволяет продолжить без согласия. Во втором слое «Teie privaatsusvalikud» доступны «Keeldu kõigist» и «Nõustu kõigiga», а категории «Mõõtmine» (измерение) и «Turundus» (маркетинг) выключены по умолчанию.
Отказ записан. На +232686 мс обращение cpl.iubenda.com/big_data/consent фиксирует выбор: цель 1 (строго необходимые) — true, цель 4 (измерение) — false, цель 5 (таргетинг и реклама) — false, с меткой времени 21:16:45 UTC.
Аналитика и реклама не сработали ни до выбора, ни после. Контейнер Google Tag Manager (GTM-TQVSRX) загружается на +755 мс и далее на каждой странице, но за все 590 запросов нет ни одного обращения к Google Analytics, Meta, Adform или иным рекламным сервисам — ни за почти четыре минуты до выбора, ни на шести страницах после отказа. Заголовок Content-Security-Policy разрешает загрузку скриптов Google Analytics, Google Ads, DoubleClick, Facebook и ряда других сервисов, но разрешение в заголовке не означает их работы: в записи они не загружались.
Функциональные получатели. Google reCAPTCHA работает на страницах моделей (формы запроса и тест-драйва), Google Maps с шрифтом Roboto — на странице поиска дилера; в обоих случаях адрес IP посетителя виден Google. Изображения и статика отдаются платформой Modera Salesfront (cdn.modera.org, cdn2.modera.org, s3.eu-north-1.amazonaws.com). iubenda на каждой странице отправляет собственную статистику показов (idb.iubenda.com/csdata). reCAPTCHA, Google Maps, Google Fonts и Modera в политике не названы.
Согласие: что доказано и что нет
Доказано: отказ равнозначен согласию, категории выключены по умолчанию. По снимкам экрана обоих слоёв баннера.
Доказано: отказ записан платформой согласия. По содержимому обращения cpl.iubenda.com/big_data/consent — цели 4 и 5 false.
Доказано: аналитика и реклама не сработали. За всю запись нет обращений к Google Analytics, Meta, Adform и рекламным узлам — ни до выбора, ни после.
Не доказано и не утверждается: поведение сайта при согласии. Пользователь отказался; срабатывают ли заявленные сервисы после согласия, по этой записи не устанавливается.
Отдельно: браузер заголовок DNT в этой записи не отправлял.
Границы наблюдения
Замер охватывает страницы главной, моделей, конфигуратора, предложений, новостей, русской версии и поиска дилера; формы не отправлялись. Наблюдение фиксирует поведение браузера, а не внутреннюю сторону сервисов. Правовую оценку выносит компетентный орган — в Эстонии это Andmekaitse Inspektsioon.
Файл опубликован очищенным по «постному» профилю: удалены значения cookie в запросах, вырезаны заголовки Cookie и Set-Cookie; реестр очистки фиксирует 555 редакций и контрольную сумму. Тело записи согласия iubenda сохранено и читается полностью; тела контейнера GTM и страниц сайта заменены заглушками, поэтому вывод об отсутствии аналитики опирается на отсутствие соответствующих сетевых обращений. В записи согласия поле доказательства формы содержит «Couldn’t retrieve banner HTML» — HTML баннера в доказательство согласия не попал; на оценку это не влияет, но стоит проверить, поскольку контролёр должен быть в состоянии подтвердить, какой выбор предлагался.
Идентификация сервисов опирается на домены и схему адресов: платформа согласия — по iubenda.com; контейнер — по googletagmanager.com и GTM-TQVSRX; reCAPTCHA, карта и шрифты — по их доменам Google; платформа сайта — по modera.org и modera-salesfront. Значения целей iubenda интерпретированы по документации iubenda: 1 — строго необходимые, 4 — измерение, 5 — таргетинг и реклама.
Вывод
Сайт импортёра Kia в Эстонии — пример корректно работающего механизма согласия. Баннер iubenda предлагает равнозначные кнопки отказа и согласия уже на первом экране, категории измерения и маркетинга выключены по умолчанию, отказ пользователя записан платформой, и за всю запись — ни до выбора, ни после — нет ни одного обращения к Google Analytics, Meta или Adform, хотя политика называет их все. Контейнер Google Tag Manager загружается, но данных не передаёт. Домен выставляет строгий транспорт, политику безопасности содержимого, запрет угадывания типа содержимого и политику реферера. Заявленное шире фактического. Как мягкие оговорки можно отметить, что reCAPTCHA, Google Maps, Google Fonts и платформа Modera в политике не названы, а в записи согласия iubenda не сохранился HTML баннера.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
6a60b99c26cda653f4e16e7a24645e0e0c4d84987ad22f33142ab6aec508f518
Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — kia.ee Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта kia.ee. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-kia-ee/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — kia.ee To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website kia.ee. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) I request information on all categories, purposes, and recipients of my data processed on this site — regardless of whether any non-compliance has been identified to date. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-kia-ee/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — kia.ee Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond] Kellelt: [Teie nimi], [kontakt-e-post] Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi kia.ee kasutamisega. 1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c)) Palun esitada teave kõigi minu andmete töötlemise kategooriate, eesmärkide ja vastuvõtjate kohta sellel veebisaidil — sõltumata sellest, kas praeguseks on tuvastatud mingeid mittevastavusi. 2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46) Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-kia-ee/ 3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h)) Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]