kristiinekeskus.ee

Тема: Жалоба на обработку персональных данных — kristiinekeskus.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом kristiinekeskus.ee.

2. Обстоятельства
Я посетил сайт kristiinekeskus.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 20.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Платформа управления согласием на сайте есть — Cookiebot, её скрипт uc.js грузится на +481 мс, а в баннере категории «Предпочтения», «Статистика» и «Маркетинг» по умолчанию выключены. Однако платформа не блокирует теги до согласия: Facebook Pixel (fbevents.js) грузится на +469 мс и отправляет событие PageView на +1364 мс, а Plausible Analytics отправляет /api/event уже на +730 мс. Фиксация решения согласия (Cookiebot logconsent.ashx) происходит только на +21470 мс — то есть и рекламный пиксель, и аналитика передали данные примерно за двадцать секунд до того, как согласие вообще было зафиксировано. Facebook Pixel инициируется контейнером Google Tag Manager, минуя предварительную блокировку платформы согласия.

2) Баннер Cookiebot показывает категории «Статистика» и «Маркетинг» выключенными по умолчанию, что означает: соответствующие cookie и теги не должны устанавливаться и срабатывать до согласия. Фактически аналитика Plausible (категория статистики) и Facebook Pixel (категория маркетинга) передают данные при загрузке страницы, до какого-либо выбора пользователя и до фиксации согласия. Поведение сайта противоречит состоянию, которое показывает его собственный баннер согласия.

3) Уведомление о защите данных EfTEN Kristiine OÜ описывает категории получателей (поставщики услуг: серверы, почта, маркетинг, аналитика) и упоминает социальные сети (Facebook, LinkedIn, Instagram) как источник данных, но не называет поимённо фактических получателей веб-данных: Facebook Pixel (идентификатор 773150295616793), Plausible Analytics, Google Tag Manager и Sentry как получатели в документе не названы.

4) Facebook Pixel (773150295616793) отправляет события на www.facebook.com/tr, что влечёт передачу данных Meta Platforms и адреса IP посетителя за пределы ЕЭЗ; мониторинг ошибок Sentry отправляется на узел в США (o227862.ingest.us.sentry.io); шрифты подгружаются с серверов Google. Уведомление о защите данных описывает трансграничную передачу в общем виде со ссылкой на решение о достаточности защиты и типовые договорные условия, но применительно к этим конкретным получателям правовое основание не раскрыто.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-kristiinekeskus-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 5(1)(a) — прозрачность: заявленное расходится с фактическим; GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 44 — передача в третью страну

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — kristiinekeskus.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website kristiinekeskus.ee.

2. Circumstances
I visited the website kristiinekeskus.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 20 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) A consent-management platform is present on the site — Cookiebot, its uc.js script loads at +481 ms, and in the banner the 'Preferences', 'Statistics' and 'Marketing' categories are switched off by default. However, the platform does not block tags before consent: the Facebook Pixel (fbevents.js) loads at +469 ms and sends a PageView event at +1364 ms, and Plausible Analytics sends /api/event as early as +730 ms. The recording of the consent decision (Cookiebot logconsent.ashx) occurs only at +21470 ms — that is, both the advertising pixel and the analytics transmitted data roughly twenty seconds before consent was even recorded. The Facebook Pixel is initiated by the Google Tag Manager container, bypassing the consent platform's prior blocking.

2) The Cookiebot banner shows the 'Statistics' and 'Marketing' categories switched off by default, which means the corresponding cookies and tags should not be set or fire before consent. In fact Plausible analytics (the statistics category) and the Facebook Pixel (the marketing category) transmit data on page load, before any user choice and before consent is recorded. The site's behaviour contradicts the state shown by its own consent banner.

3) The EfTEN Kristiine OÜ data-protection notice describes categories of recipients (service providers: servers, mail, marketing, analytics) and mentions social networks (Facebook, LinkedIn, Instagram) as a source of data, but does not name by name the actual recipients of web data: the Facebook Pixel (identifier 773150295616793), Plausible Analytics, Google Tag Manager and Sentry are not named as recipients in the document.

4) The Facebook Pixel (773150295616793) sends events to www.facebook.com/tr, which entails the transmission of data to Meta Platforms and of the visitor's IP address outside the EEA; Sentry error monitoring is sent to a node in the US (o227862.ingest.us.sentry.io); fonts are loaded from Google servers. The data-protection notice describes cross-border transfer in general terms with a reference to an adequacy decision and standard contractual clauses, but as regards these specific recipients the legal basis is not disclosed.

Full technical documentation is published at: https://gdpru.eu/audits/ee-kristiinekeskus-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 5(1)(a) — transparency: the declared diverges from the actual; GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 44 — transfer to a third country

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil kristiinekeskus.ee.

2. Asjaolud
Külastasin veebisaiti kristiinekeskus.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 20.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Nõusoleku haldamise platvorm saidil on - Cookiebot, selle skript uc.js on laaditud +481 ms-le ja bännerikategoorias "Preferences", "Statistika" ja "Marketing" on vaikimisi välja lülitatud. Kuid platvorm ei blokeeri silte enne nõusoleku andmist: Facebook Pixel (fbevents.js) laadib +469 ms-le ja saadab PageView sündmuse +1364 ms-le ning Usutav Analytics saadab /api/sündmuse juba +730 ms-le. Nõusoleku otsuse (Cookiebot logconsent.ashx) fikseerimine toimub ainult +21470 ms - see tähendab, et nii reklaamipiksel kui ka analüütika edastasid andmed umbes kakskümmend sekundit enne nõusoleku üldse salvestamist. Facebook Pixeli käivitab Google Tag Manageri konteiner, mis möödub nõusoleku platvormist enne blokeerimist.

2) Küpsiseroboti bänneril on vaikimisi välja lülitatud kategooriad „Statistika” ja „Turundus”, mis tähendab, et vastavaid küpsiseid ja silte ei tohiks enne nõusoleku andmist seadistada ega käivitada. Tegelikult edastavad usutav analüütika (statistika kategooria) ja Facebook Pixel (turunduskategooria) andmeid, kui leht laadib, enne kasutaja valikut ja enne nõusoleku kinnitamist. Saidi käitumine on vastuolus riigiga, mida näitab tema enda nõusoleku bänner.

3) EfTENi andmekaitseteatis Kristiine OÜ kirjeldab vastuvõtjate kategooriaid (teenusepakkujad: serverid, post, turundus, analüütika) ning mainib andmeallikana suhtlusvõrgustikke (Facebook, LinkedIn, Instagram), kuid ei nimeta veebiandmete tegelikke saajaid: Facebook Pixel (identifikaator 773150295616793), Usutav Analytics, Google Tag Manager ja Sentry dokumendi saajatena ei nimeta.

4) Facebook Pixel (773150295616793) saadab sündmused www.facebook.com/tr-le, mis hõlmab Meta platvormide andmete ja külastajate IP-aadresside edastamist väljaspool EMP-d; Sentry vigade jälgimine saadetakse Ameerika Ühendriikide hostile (o227862.ingest.us.sentry.io); fonte laaditakse alla Google'i serveritest. Andmekaitseteatises kirjeldatakse piiriülest edastamist üldiselt, viidates kaitse piisavuse otsusele ja lepingu tüüptingimustele, kuid nende konkreetsete vastuvõtjate õiguslikku alust ei avalikustata.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-kristiinekeskus-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR art 5(1)(a) Läbipaistvus: väide on vastuolus tegeliku; GDPR – artikli 13 lõike 1 punkt e – vastuvõtjate avalikustamine; GDPR artikkel 44 – Andmete edastamine kolmandasse riiki

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]