myfitness.ee

Тема: Жалоба на обработку персональных данных — myfitness.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом myfitness.ee.

2. Обстоятельства
Я посетил сайт myfitness.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 24.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Декларация cookie платформы Cookiebot (обновлена 14.09.2026) относит к категории «Vajalik» (необходимые) cookie Google test_cookie, AEC, CONSENT (срок хранения 20 лет), NID и SOCS и тут же указывает, что часть данных этого поставщика предназначена для персонализации и измерения эффективности рекламы и что поставщик может использовать адреса IP для измерения и персонализации рекламы. Страница cookie сайта также относит к необходимым test_cookie домена doubleclick.net и NID. Необходимые cookie устанавливаются без согласия и не могут быть отклонены, поэтому такая классификация выводит рекламные cookie Google из-под действия отказа. В записи обращений к Google нет, но механизм согласия настроен так, что при их появлении отказ пользователя на эти cookie не распространялся бы.

2) AI-чат-бот Chatbase загружается на +5184 мс — до какого-либо выбора — и далее на каждой из шести страниц после зафиксированного отказа (consent.cookiebot.com/logconsent.ashx?action=decline на +323061 мс). Скрипт исполняется через загрузчик Cookiebot (uc.js), то есть платформа согласия его не блокирует. Декларация Cookiebot относит Chatbase к «неклассифицированным» с идентификатором chatbase_anon_id и статусом «Ootel» (на рассмотрении). Пользователь чат не открывал; загрузка стороннего сервиса с идентификатором посетителя не является строго необходимой для услуги, которую он запросил.

3) Политика конфиденциальности MyFitness AS не содержит раздела о cookie, называет получателей только категориями и заявляет: «мы не храним и не передаём ваши личные данные за пределы Европейской экономической зоны или в страны, в отношении которых не принято решение о достаточности защиты». Декларация cookie того же сайта при этом сообщает, что данные Google Analytics сохраняются на серверах Google в США. Chatbase не назван ни в политике, ни на странице cookie сайта; декларация Cookiebot и страница cookie сайта расходятся по составу необходимых cookie (на странице сайта — New Relic, reCAPTCHA, Vimeo; в декларации — их нет).

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-myfitness-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3); GDPR Art. 4(11), Art. 7 — классификация рекламных cookie как необходимых; ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — внешний чат-бот после отказа; GDPR Art. 5(1)(a), Art. 13(1)(e), (f) — прозрачность: противоречия в документах

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — myfitness.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website myfitness.ee.

2. Circumstances
I visited the website myfitness.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 24 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The Cookiebot cookie declaration (updated 14.09.2026) assigns the Google cookies test_cookie, AEC, CONSENT (retention period 20 years), NID and SOCS to the 'Vajalik' (necessary) category, and in the same place states that part of the data collected by this provider is intended for personalisation and measuring advertising effectiveness, and that the provider may use IP addresses to measure and personalise advertising. The site's cookie page likewise assigns test_cookie from the doubleclick.net domain and NID to the necessary category. Necessary cookies are set without consent and cannot be refused, so this classification takes Google's advertising cookies outside the scope of a refusal. There are no requests to Google in the recording, but the consent mechanism is configured such that, if they appeared, the user's refusal would not extend to these cookies.

2) The Chatbase AI chatbot loads at +5184 ms — before any choice — and then on each of the six pages after the recorded refusal (consent.cookiebot.com/logconsent.ashx?action=decline at +323061 ms). The script is executed through the Cookiebot loader (uc.js), meaning the consent platform does not block it. The Cookiebot declaration lists Chatbase as 'unclassified' with the identifier chatbase_anon_id and the status 'Ootel' (pending). The user did not open the chat; loading a third-party service with a visitor identifier is not strictly necessary for a service the user requested.

3) The MyFitness AS privacy policy has no cookie section, names recipients only by category and states: 'we do not store or transfer your personal data outside the European Economic Area or to countries for which no adequacy decision has been adopted'. The same site's cookie declaration, meanwhile, states that Google Analytics data is stored on Google servers in the USA. Chatbase is named neither in the policy nor on the site's cookie page; the Cookiebot declaration and the site's cookie page differ in the set of necessary cookies (the site page lists New Relic, reCAPTCHA and Vimeo; the declaration does not).

Full technical documentation is published at: https://gdpru.eu/audits/ee-myfitness-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3); GDPR Art. 4(11), Art. 7 — advertising cookies classified as necessary; ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — an external chatbot after refusal; GDPR Art. 5(1)(a), Art. 13(1)(e), (f) — transparency: contradictions between documents

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil myfitness.ee.

2. Asjaolud
Külastasin veebisaiti myfitness.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 24.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Cookieboti platvormi küpsiste deklaratsioon (uuendatud 14.09.2026) liigitab kategooriasse „Vajalik“ Google'i küpsised test_cookie, AEC, CONSENT (säilitusaeg 20 aastat), NID ja SOCS ning märgib samas, et osa selle teenusepakkuja andmetest on mõeldud reklaami isikupärastamiseks ja tõhususe mõõtmiseks ning et teenusepakkuja võib kasutada IP-aadresse reklaami mõõtmiseks ja isikupärastamiseks. Ka saidi küpsiste leht liigitab vajalikeks domeeni doubleclick.net test_cookie ja NID. Vajalikud küpsised paigaldatakse ilma nõusolekuta ja neist ei saa keelduda, mistõttu selline liigitus jätab Google'i reklaamiküpsised keeldumise mõjualast välja. Salvestises päringuid Google'ile ei ole, kuid nõusolekumehhanism on seadistatud nii, et nende ilmumisel kasutaja keeldumine neile küpsistele ei laieneks.

2) Tehisintellektil põhinev vestlusrobot Chatbase laaditakse +5184 ms juures — enne mis tahes valikut — ja seejärel kõigil kuuel lehel pärast registreeritud keeldumist (consent.cookiebot.com/logconsent.ashx?action=decline +323061 ms juures). Skript käivitatakse Cookieboti laaduri (uc.js) kaudu, st nõusolekuplatvorm seda ei blokeeri. Cookieboti deklaratsioon liigitab Chatbase'i liigitamata küpsiste hulka identifikaatoriga chatbase_anon_id ja olekuga „Ootel“. Kasutaja vestlust ei avanud; kolmanda osapoole teenuse laadimine külastaja identifikaatoriga ei ole tema taotletud teenuse osutamiseks rangelt vajalik.

3) MyFitness AS-i privaatsuspoliitikas puudub küpsiseid käsitlev jaotis, vastuvõtjad on nimetatud üksnes kategooriate kaupa ning kinnitatakse, et isikuandmeid ei säilitata ega edastata väljapoole Euroopa Majanduspiirkonda ega riikidesse, mille kohta ei ole tehtud kaitse piisavuse otsust. Sama saidi küpsiste deklaratsioon teatab seejuures, et Google Analyticsi andmeid säilitatakse Google'i serverites USA-s. Chatbase'i ei nimetata ei poliitikas ega saidi küpsiste lehel; Cookieboti deklaratsioon ja saidi küpsiste leht erinevad vajalike küpsiste koosseisu poolest (saidi lehel on New Relic, reCAPTCHA ja Vimeo, deklaratsioonis neid ei ole).

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-myfitness-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsuse direktiiv 2002/58/EÜ art 5 lg 3; IKÜM art 4 p 11, art 7 — reklaamiküpsiste liigitamine vajalikeks; e-privaatsuse direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a) — väline vestlusrobot pärast keeldumist; IKÜM art 5 lg 1 p a, art 13 lg 1 p e, f — läbipaistvus: vastuolud dokumentides

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]