laspa.ee

Тема: Жалоба на обработку персональных данных — laspa.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом laspa.ee.

2. Обстоятельства
Я посетил сайт laspa.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 06.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Платформа управления согласием CookieYes загружается первой из разметки страницы (+439 мс). Действующее согласие при этом отрицательное: статус согласия в пинге GA4 и в обращениях AdSense — gcs=G100 (оба хранилища запрещены). Несмотря на это, сторонние трекеры срабатывают и передают данные. Facebook / Meta Pixel (ID 1056232558212702) отправляет событие PageView на facebook.com/tr на +906 мс. Google AdSense передаёт событие page_view на рекламный аккаунт AW-299175511 на +788 мс. GA4 (G-5MBV570VB4) отправляет page_view на +747 мс. Аналитика Google соблюдает запрет хранилищ (пинги бескуковые), но пиксель Facebook и рекламные обращения AdSense фактическим состоянием согласия не обусловлены. Дополнительно на страницу загружается библиотека устаревшего счётчика Universal Analytics (analytics.js), обработка данных в котором прекращена в 2023 году.

2) Политика конфиденциальности LaSpa Group OÜ прямо заявляет: «Me ei edasta, müü ega avalikusta Teie andmeid kolmandatele osapooltele ilma Teie eelneva nõusolekuta» (мы не передаём, не продаём и не раскрываем ваши данные третьим лицам без вашего предварительного согласия). Единственным получателем в ней назван платёжный обработчик Maksekeskus AS. Фактически данные уходят в Meta через пиксель Facebook, в Google через AdSense и Google Analytics — без согласия и без упоминания этих получателей в политике. Получатели раскрыты лишь в автоматической декларации cookie CookieYes, где _fbp (Facebook) и _gcl_au (Google) отнесены к маркетинговым, а _ga описан как хранящий сведения «анонимно». Заявление политики об отсутствии передачи третьим лицам без согласия расходится с фактической передачей в Meta и Google при отклонённом согласии.

3) Сайт работает на Apache/ZoneOS и на основном документе не выставляет ни одного из ожидаемых защитных заголовков: отсутствуют Strict-Transport-Security (HSTS), Content-Security-Policy, Referrer-Policy, Permissions-Policy, X-Frame-Options и X-Content-Type-Options. Это происходит на сайте бронирования спа-отеля, где при оформлении заказа гость передаёт имя, адрес, телефон, электронную почту и платёжные данные. Для площадки, собирающей такой состав данных, отсутствие базового набора защитных заголовков — самостоятельный дефект безопасности обработки.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-laspa-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — трекинг при отклонённом согласии; GDPR Art. 5(1)(a) / Art. 13(1)(e) — прозрачность и получатели, противоречие с политикой; GDPR Art. 32 — безопасность обработки, слабые заголовки

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — laspa.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website laspa.ee.

2. Circumstances
I visited the website laspa.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 6 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The CookieYes consent management platform loads first from the page markup (+439 ms). The active consent is negative: the consent state in the GA4 ping and in the AdSense requests is gcs=G100 (both storages denied). Despite this, third-party trackers fire and transmit data. The Facebook / Meta Pixel (ID 1056232558212702) sends a PageView event to facebook.com/tr at +906 ms. Google AdSense transmits a page_view event to the ad account AW-299175511 at +788 ms. GA4 (G-5MBV570VB4) sends a page_view at +747 ms. Google analytics honours the storage denial (the pings are cookieless), but the Facebook pixel and the AdSense advertising requests are not conditioned on the actual consent state. Additionally, the library of the legacy Universal Analytics counter (analytics.js), whose data processing was shut down in 2023, loads on the page.

2) The LaSpa Group OÜ privacy policy states plainly: 'Me ei edasta, müü ega avalikusta Teie andmeid kolmandatele osapooltele ilma Teie eelneva nõusolekuta' (we do not transfer, sell or disclose your data to third parties without your prior consent). The only recipient named in it is the payment processor Maksekeskus AS. In fact data goes to Meta via the Facebook pixel, and to Google via AdSense and Google Analytics — without consent and without any mention of these recipients in the policy. The recipients are disclosed only in the automatic CookieYes cookie declaration, where _fbp (Facebook) and _gcl_au (Google) are assigned to marketing, and _ga is described as storing information 'anonymously'. The policy's statement that there is no transfer to third parties without consent diverges from the actual transfer to Meta and Google under a refused consent.

3) The site runs on Apache/ZoneOS and, on the main document, sets none of the expected protective headers: Strict-Transport-Security (HSTS), Content-Security-Policy, Referrer-Policy, Permissions-Policy, X-Frame-Options and X-Content-Type-Options are all absent. This on a spa-hotel booking site where, on placing an order, the guest submits name, address, phone, email and payment data. For a platform collecting this composition of data, the absence of a basic set of protective headers is a standalone security-of-processing defect.

Full technical documentation is published at: https://gdpru.eu/audits/ee-laspa-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — tracking under a refused consent; GDPR Art. 5(1)(a) / Art. 13(1)(e) — transparency and recipients, a contradiction with the policy; GDPR Art. 32 — security of processing, weak headers

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil laspa.ee.

2. Asjaolud
Külastasin veebisaiti laspa.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 06.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Nõusoleku haldamise platvorm CookieYes laaditakse lehe markupi (+439 ms) esimeseks. Praegune nõusolek on negatiivne: nõusoleku staatus ping GA4 ja AdSense'i kaebustes on gcs=G100 (mõlemad hoidlad on keelatud). Sellest hoolimata käivitavad ja edastavad kolmanda osapoole jälgijad andmeid. Facebook/Meta Pixel (ID 1056232558212702) saadab PageView sündmuse facebook.com/tr-le aadressil +906 ms. Google AdSense edastab lehevaate sündmuse AW-299175511 reklaamikontole +788 ms. GA4 (G-5MBV570VB4) saadab lehevaate aadressile +747 ms. Google Analytics järgib salvestamise keeldu (küpsisteta pingid), kuid Facebooki piksli ja AdSense'i reklaamid ei ole seotud tegeliku nõusolekuga. Lisaks laaditakse lehele alla vananenud Universal Analyticsi loenduri (analytics.js) raamatukogu, mille andmetöötlus lõpetati 2023. aastal.

2) LaSpa Group OÜ privaatsuspoliitikas on selgesõnaliselt sätestatud: „Me ei edasta, müü ega müü Teie andmeid kolmandatele osapooltele ilma Teie eelneva nõusolekuta (me ei edasta, müü ega avalda teie andmeid kolmandatele isikutele ilma teie eelneva nõusolekuta). Ainsaks makse saajaks on Maksekeskus AS. Tegelikult lähevad andmed Metasse Facebooki piksli kaudu, Google'isse AdSense'i ja Google Analyticsi kaudu - ilma nõusolekuta ja neid saajaid poliitikas mainimata. Saajad avaldatakse ainult automaatses CookieYes'i deklaratsioonis, kus fbp (Facebook) ja gcl au (Google) on liigitatud turunduseks ja ga on kirjeldatud kui teabe salvestamist "anonüümselt". Poliitika avaldus, et ilma nõusolekuta ei edastata kolmandatele isikutele, on vastuolus tegeliku edastamisega Metale ja Google'ile tagasilükatud nõusolekuga.

3) Sait töötab Apache/ZoneOS-il ja ei kuva põhidokumendis ühtegi eeldatavat turvapäist: puuduvad range transpordi-turvalisus (HSTS), sisu-turvalisus-poliitika, suunamispoliitika, load-poliitika, X-raami valikud ja X-sisu tüübi valikud. See juhtub spaahotelli broneeringu saidil, kus külastaja edastab tellimuse esitamisel nime, aadressi, telefoni, e-posti ja makseandmed. Saidi puhul, mis selliseid andmeid kogub, on turvapäiste põhikomplekti puudumine töötlemise turvalisuse sõltumatu puudus.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-laspa-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus - direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a) - jälgimine tagasilükatud nõusolekuga; GDPR artikli 5 lõike 1 punkt a / artikli 13 lõike 1 punkt e – läbipaistvus ja saajad, poliitika vastuolud; GDPR artikkel 32 – töötlemisturvalisus, nõrgad rubriigid

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]