Технический аудит · 19.05.2026

k-rauta.ee

Финская сеть строительных магазинов в Эстонии

Сайт заблокировал посетителя за использование VPN — законного инструмента приватности — автоматически, без объяснений. А внутри: три рекламных брокера одновременно, американская платформа отзывов с 6659 запросами, нераскрытые трекеры и утечка IP на сервер конкурента. Защищают они себя — не тебя.

Хронология обращений

Блокировка за VPN

При заходе через VPN Cloudflare решил, что посетитель — угроза, и заблокировал доступ без объяснения причин. Это автоматизированное решение, ограничивающее доступ к услуге (ст.22 GDPR). После отключения VPN сайт загрузился.

Платформа отзывов и поиск

BazaarVoice (США) — 6659 запросов; конфигурация в коде senukai-lt/krauta: данные эстонских покупателей идут через литовскую инсталляцию Senukai. LupaSearch (Латвия, 201 запрос) записывает каждый поисковый запрос и просмотр товара. Bitrec (shark.bitrec.com) — рекомендательный движок Senukai. Все три — не в политике.

Брокеры и утечка IP

Adform, Appnexus (Xandr) и RTB House — три рекламных брокера одновременно, собирают уникальные ID для таргетинга. Изображения товаров грузятся с серверов 1a.lv (латвийский конкурент) — значит 1a.lv получает IP каждого посетителя.

Декларация против факта

+ BazaarVoice — 6659 запросов, литовская инсталляция Senukai — не заявлен

+ Bitrec, LupaSearch — рекомендации и поиск — не заявлен

+ Adform, Appnexus, RTB House — рекламные брокеры — не заявлен

+ 1a.lv — утечка IP конкуренту — не заявлен

Тайминги передачи

Без точного времени

при VPN Cloudflare Bot ManagementДоступ закрыт автоматически за VPN, без объяснения (ст.22)

за сессию BazaarVoice6659 запросов. Через литовскую инсталляцию Senukai. США

за сессию LupaSearch201 запрос. Каждый поиск и просмотр товара. Латвия

при загрузке 1a.lvИзображения товаров — IP посетителя уходит конкуренту

Зафиксированные трекеры

BazaarVoice (США)
Bitrec / Senukai
LupaSearch (Латвия)
Adform + Appnexus/Xandr + RTB House
Cloudflare Bot Management

Признаки несоответствия GDPR

GDPR Art. 22
Cloudflare автоматически заблокировал доступ к сайту при использовании VPN (законного инструмента приватности) — без объяснения причин. Автоматизированное решение, ограничивающее доступ к услуге. После отключения VPN сайт загрузился.
GDPR Art. 13(1)(e)
Bitrec (shark.bitrec.com, рекомендательный движок Senukai, 15 запросов), LupaSearch (Латвия, записывает каждый поисковый запрос и просмотр товара, 201 запрос) не упомянуты в политике cookies. BazaarVoice (6659 запросов) обрабатывает данные эстонских покупателей через литовскую инсталляцию Senukai (senukai-lt/krauta) — не объяснено.
GDPR Art. 13(1)(f)
BazaarVoice (США) — 6659 запросов. Adform, Appnexus (Xandr), RTB House — три рекламных брокера одновременно собирают уникальные ID для таргетированной рекламы. Механизмы передачи не указаны.
GDPR Art. 5(1)(f)
Изображения товаров загружаются напрямую с серверов 1a.lv (латвийский конкурент) — то есть 1a.lv получает IP-адрес каждого посетителя k-rauta.ee.

Контекст

k-rauta.ee — сайт K-Rauta, финской сети строительных магазинов в Эстонии (в регионе входит в группу Senukai). Разбор начался необычно: при попытке зайти через VPN сайт заблокировал доступ.

Блокировка за приватность

При заходе через VPN Cloudflare решил, что посетитель представляет угрозу, и закрыл доступ к сайту — без объяснения причин, по алгоритму. VPN — законный инструмент защиты приватности; никаких команд не вводилось, ничего необычного не делалось. Это автоматизированное решение, ограничивающее доступ к услуге, что относится к ст.22 GDPR. После отключения VPN сайт загрузился — и стало видно, что внутри.

Что внутри

BazaarVoice (американская платформа отзывов) — 6659 запросов; конфигурация в коде senukai-lt/krauta означает, что данные эстонских покупателей обрабатываются через литовскую инсталляцию Senukai, и это в политике не объяснено. LupaSearch (латвийская AI-платформа поиска, 201 запрос) записывает каждый поисковый запрос и каждый просмотренный товар — в политике не упомянута. Bitrec (shark.bitrec.com) — рекомендательный движок Senukai, 15 запросов, в списке обработчиков отсутствует. Adform, Appnexus (Xandr) и RTB House — три рекламных брокера одновременно собирают уникальные ID для таргетированной рекламы. А изображения товаров загружаются напрямую с серверов 1a.lv — латвийского конкурента, который таким образом получает IP-адрес каждого посетителя k-rauta.ee; случайно это или нет — вопрос открытый.

Вывод

Картина двойная. Снаружи сайт заблокировал посетителя за использование VPN — инструмента приватности — автоматически и без объяснений. Внутри — три рекламных брокера, два нераскрытых трекера, платформа отзывов с тысячами запросов и утечка IP на сервер прямого конкурента. Цель разбора — не утопить магазин, а показать типичную картину: система пристально следит за посетителем и готова заблокировать его по алгоритму, но та же система спокойно раздаёт его данные брокерам и даже конкуренту. Защищают они себя — не тебя.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/k-rauta-ee-2026-05-19.har

SHA-256: 4761c12a6dd58f47b8149ab5a1255e042366631b2b90f59805308a3fe91bc8b4

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — k-rauta.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта k-rauta.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Cloudflare автоматически заблокировал доступ к сайту при использовании VPN (законного инструмента приватности) — без объяснения причин. Автоматизированное решение, ограничивающее доступ к услуге. После отключения VPN сайт загрузился.

2) Bitrec (shark.bitrec.com, рекомендательный движок Senukai, 15 запросов), LupaSearch (Латвия, записывает каждый поисковый запрос и просмотр товара, 201 запрос) не упомянуты в политике cookies. BazaarVoice (6659 запросов) обрабатывает данные эстонских покупателей через литовскую инсталляцию Senukai (senukai-lt/krauta) — не объяснено.

3) BazaarVoice (США) — 6659 запросов. Adform, Appnexus (Xandr), RTB House — три рекламных брокера одновременно собирают уникальные ID для таргетированной рекламы. Механизмы передачи не указаны.

4) Изображения товаров загружаются напрямую с серверов 1a.lv (латвийский конкурент) — то есть 1a.lv получает IP-адрес каждого посетителя k-rauta.ee.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-krauta-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — k-rauta.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website k-rauta.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) Cloudflare automatically blocked access to the site when a VPN (a legitimate privacy tool) was used — with no explanation given. An automated decision restricting access to a service. After disabling the VPN, the site loaded.

2) Bitrec (shark.bitrec.com, Senukai's recommendation engine, 15 requests) and LupaSearch (Latvia, records every search query and product view, 201 requests) are not mentioned in the cookie policy. BazaarVoice (6,659 requests) processes Estonian shoppers' data via a Lithuanian Senukai installation (senukai-lt/krauta) — unexplained.

3) BazaarVoice (USA) — 6,659 requests. Adform, Appnexus (Xandr), and RTB House — three advertising brokers simultaneously collect unique IDs for targeted advertising. No transfer mechanisms are stated.

4) Product images load directly from 1a.lv's servers (a Latvian competitor) — meaning 1a.lv receives the IP address of every k-rauta.ee visitor.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-krauta-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — k-rauta.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi k-rauta.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) Cloudflare blokeeris automaatselt juurdepääsu saidile, kui kasutas VPN-i (õigustatud privaatsuse tööriist) - ilma põhjust esitamata. Automaatne lahendus, mis piirab juurdepääsu teenusele. Pärast VPN-i sulgemist sait laaditi.

2) Bitrec (hai). bitrec.com, Senukai soovitusmootor, 15 päringut, LupaSearch (Läti, salvestab iga otsingupäringu ja tootevaate, 201 taotlust) ei ole küpsiste poliitikas mainitud. BazaarVoice (6659 päringut) töötleb Eesti klientide andmeid Leedu installatsiooni Senukai (senukai-lt/krauta) kaudu – seletamatu.

3) BazaarVoice (USA) – 6659 taotlust Adform, Appnexus (Xandr), RTB House – kolm reklaamivahendajat koguvad samaaegselt sihitud reklaami jaoks unikaalseid ID-sid. Ülekandemehhanisme ei ole täpsustatud.

4) Kauba pildid laaditakse alla otse 1a.lv serveritest (Läti konkurent) - see tähendab, et 1a.lv saab iga k-rauta.ee külastaja IP-aadressi.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-krauta-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — k-rauta.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом k-rauta.ee.

2. Обстоятельства
Я посетил сайт k-rauta.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 19.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Cloudflare автоматически заблокировал доступ к сайту при использовании VPN (законного инструмента приватности) — без объяснения причин. Автоматизированное решение, ограничивающее доступ к услуге. После отключения VPN сайт загрузился.

2) Bitrec (shark.bitrec.com, рекомендательный движок Senukai, 15 запросов), LupaSearch (Латвия, записывает каждый поисковый запрос и просмотр товара, 201 запрос) не упомянуты в политике cookies. BazaarVoice (6659 запросов) обрабатывает данные эстонских покупателей через литовскую инсталляцию Senukai (senukai-lt/krauta) — не объяснено.

3) BazaarVoice (США) — 6659 запросов. Adform, Appnexus (Xandr), RTB House — три рекламных брокера одновременно собирают уникальные ID для таргетированной рекламы. Механизмы передачи не указаны.

4) Изображения товаров загружаются напрямую с серверов 1a.lv (латвийский конкурент) — то есть 1a.lv получает IP-адрес каждого посетителя k-rauta.ee.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-krauta-ee/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 22; GDPR Art. 13(1)(e); GDPR Art. 13(1)(f); GDPR Art. 5(1)(f)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — k-rauta.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website k-rauta.ee.

2. Circumstances
I visited the website k-rauta.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 19 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) Cloudflare automatically blocked access to the site when a VPN (a legitimate privacy tool) was used — with no explanation given. An automated decision restricting access to a service. After disabling the VPN, the site loaded.

2) Bitrec (shark.bitrec.com, Senukai's recommendation engine, 15 requests) and LupaSearch (Latvia, records every search query and product view, 201 requests) are not mentioned in the cookie policy. BazaarVoice (6,659 requests) processes Estonian shoppers' data via a Lithuanian Senukai installation (senukai-lt/krauta) — unexplained.

3) BazaarVoice (USA) — 6,659 requests. Adform, Appnexus (Xandr), and RTB House — three advertising brokers simultaneously collect unique IDs for targeted advertising. No transfer mechanisms are stated.

4) Product images load directly from 1a.lv's servers (a Latvian competitor) — meaning 1a.lv receives the IP address of every k-rauta.ee visitor.

Full technical documentation is published at: https://gdpru.eu/audits/ee-krauta-ee/

3. GDPR provisions I ask you to examine
GDPR Art. 22; GDPR Art. 13(1)(e); GDPR Art. 13(1)(f); GDPR Art. 5(1)(f)

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil k-rauta.ee.

2. Asjaolud
Külastasin veebisaiti k-rauta.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 19.05.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Cloudflare blokeeris automaatselt juurdepääsu saidile, kui kasutas VPN-i (õigustatud privaatsuse tööriist) - ilma põhjust esitamata. Automaatne lahendus, mis piirab juurdepääsu teenusele. Pärast VPN-i sulgemist sait laaditi.

2) Bitrec (hai). bitrec.com, Senukai soovitusmootor, 15 päringut, LupaSearch (Läti, salvestab iga otsingupäringu ja tootevaate, 201 taotlust) ei ole küpsiste poliitikas mainitud. BazaarVoice (6659 päringut) töötleb Eesti klientide andmeid Leedu installatsiooni Senukai (senukai-lt/krauta) kaudu – seletamatu.

3) BazaarVoice (USA) – 6659 taotlust Adform, Appnexus (Xandr), RTB House – kolm reklaamivahendajat koguvad samaaegselt sihitud reklaami jaoks unikaalseid ID-sid. Ülekandemehhanisme ei ole täpsustatud.

4) Kauba pildid laaditakse alla otse 1a.lv serveritest (Läti konkurent) - see tähendab, et 1a.lv saab iga k-rauta.ee külastaja IP-aadressi.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-krauta-ee/

3. Sätted, mille järgimist palun kontrollida
GDPR artikkel 22.; GDPR artikli 13 lõike 1 punkt e; GDPR artikli 13 lõike 1 punkt f; GDPR artikli 5 lõike 1 punkt f

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]