mybee.ee

Тема: Жалоба на обработку персональных данных — mybee.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом mybee.ee.

2. Обстоятельства
Я посетил сайт mybee.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Баннер Cookiebot предлагает «Keeldu» на первом экране, и Google его слушается: все обращения идут с gcs=G100. Остальные рекламные сервисы — нет. На +2,9 с рекламная платформа Eskimi открывает сеанс отслеживания (трекер 36684) с адресом страницы. На +3,4 с пиксель Meta (997635436272572) отправляет первое событие. Одновременно событие уходит на серверный шлюз Meta Conversions API, размещённый в Amazon Web Services в регионе us-east-1, то есть в США. До решения посетителя пиксель Meta успевает отправить 16 событий. Собственная декларация Cookiebot относит _fbp к маркетинговым cookie.

2) На +149,1 с посетитель нажимает «Keeldu», и Cookiebot записывает отказ (action=decline). Google переключается на запрет, обновлённый решением посетителя. Пиксель Meta отказа не замечает: до конца записи он отправляет ещё 15 событий. На +155,3 с событие снова уходит на серверный шлюз Conversions API в AWS. Серверный канал особенно важен: он передаёт события Meta в обход браузера, и блокировщик на стороне посетителя его не остановит.

3) Политика конфиденциальности MyBee Estonia OÜ перечисляет получателей по разделам — группу Modus Mobility, CityBee Solutions, Twilio Sendgrid и других — и из передач в США называет только Sendgrid. Meta, Eskimi и серверный шлюз Conversions API в AWS в США в политике не упомянуты. Meta и домен eskimi.com встречаются лишь в декларации cookie Cookiebot. О серверной передаче событий в США посетитель узнать не может ниоткуда.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-mybee-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — пиксель Meta, шлюз Conversions API и Eskimi до выбора; ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — пиксель Meta и шлюз Conversions API после отказа; GDPR Art. 13(1)(e), 13(1)(f) / Art. 5(1)(a) — Meta, Eskimi и шлюз в США не названы в политике

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — mybee.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website mybee.ee.

2. Circumstances
I visited the website mybee.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 29 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The Cookiebot banner offers 'Keeldu' on the first screen, and Google obeys it: every request carries gcs=G100. The other advertising services do not. At +2.9 s, the Eskimi advertising platform opens a tracking session (tracker 36684) with the page address. At +3.4 s, the Meta pixel (997635436272572) sends its first event. At the same time, an event goes to a server-side Meta Conversions API gateway hosted on Amazon Web Services in the us-east-1 region, i.e. in the United States. Before the visitor decides, the Meta pixel manages to send 16 events. Cookiebot's own declaration classifies _fbp as a marketing cookie.

2) At +149.1 s, the visitor presses 'Keeldu', and Cookiebot records the refusal (action=decline). Google switches to a denial updated by the visitor's decision. The Meta pixel does not notice the refusal: by the end of the capture, it sends 15 more events. At +155.3 s, an event again goes to the Conversions API gateway on AWS. The server-side channel is especially significant: it transmits Meta events bypassing the browser, and a blocker on the visitor's side cannot stop it.

3) MyBee Estonia OÜ's privacy policy lists recipients by section — the Modus Mobility group, CityBee Solutions, Twilio Sendgrid, and others — and, among transfers to the US, names only Sendgrid. Meta, Eskimi, and the server-side Conversions API gateway on AWS in the US are not mentioned in the policy. Meta and the eskimi.com domain appear only in the Cookiebot cookie declaration. The visitor has no way of learning about the server-side transmission of events to the US.

Full technical documentation is published at: https://gdpru.eu/audits/ee-mybee-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — the Meta pixel, the Conversions API gateway, and Eskimi before any choice; ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — the Meta pixel and the Conversions API gateway after refusal; GDPR Art. 13(1)(e), 13(1)(f) / Art. 5(1)(a) — Meta, Eskimi, and the US gateway are not named in the policy

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil mybee.ee.

2. Asjaolud
Külastasin veebisaiti mybee.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 29.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Cookiebot'i bänner pakub esimesel ekraanil nuppu „Keeldu“ ja Google arvestab sellega: kõik päringud saadetakse väärtusega gcs=G100. Ülejäänud reklaamiteenused aga mitte. +2,9 s juures avab reklaamiplatvorm Eskimi jälgimisseansi (jälgija 36684) koos lehe aadressiga. +3,4 s juures saadab Meta piksel (997635436272572) esimese sündmuse. Samal ajal saadetakse sündmus Meta Conversions API serveripoolsesse lüüsi, mis asub Amazon Web Servicesis piirkonnas us-east-1 ehk Ameerika Ühendriikides. Enne külastaja otsust jõuab Meta piksel saata 16 sündmust. Cookiebot'i enda deklaratsioon liigitab _fbp turundusküpsiste hulka.

2) +149,1 s juures vajutab külastaja „Keeldu“ ja Cookiebot salvestab keeldumise (action=decline). Google lülitub külastaja otsusega uuendatud keelule. Meta piksel keeldumist ei märka: salvestuse lõpuni saadab see veel 15 sündmust. +155,3 s juures saadetakse sündmus taas AWS-i Conversions API serveripoolsesse lüüsi. Serveripoolne kanal on eriti oluline: see edastab Meta sündmused brauserist mööda ja külastaja poolne blokeerija seda ei peata.

3) MyBee Estonia OÜ privaatsuspoliitika loetleb vastuvõtjad jaotiste kaupa – Modus Mobility kontsern, CityBee Solutions, Twilio Sendgrid ja teised – ning nimetab USA-sse edastamise puhul üksnes Sendgridi. Metat, Eskimit ja AWS-i Conversions API serveripoolset lüüsi USA-s privaatsuspoliitikas ei mainita. Meta ja domeen eskimi.com esinevad üksnes Cookiebot'i küpsiste deklaratsioonis. Sündmuste serveripoolsest edastamisest USA-sse ei saa külastaja kusagilt teada.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-mybee-ee/

3. Sätted, mille järgimist palun kontrollida
Eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a) — Meta piksel, Conversions API lüüs ja Eskimi enne valikut; Eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a) — Meta piksel ja Conversions API lüüs pärast keeldumist; IKÜM art 13 lg 1 p e ja f / art 5 lg 1 p a — Meta, Eskimi ja USA-s asuv lüüs ei ole privaatsuspoliitikas nimetatud

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]