piletilevi.ee

Контекст

piletilevi.ee — крупнейший в Эстонии сервис продажи билетов на концерты, театр, спорт и фестивали. Контролёр — AS Piletilevi PLG (рег. код 10568581, Maakri 23A, Таллинн), часть группы (латвийская bilesuserviss.lv — сестринская компания). Обработку описывают два документа: общая политика обработки данных (принципы, определения, права субъекта) и подробная куки-декларация на движке Cookiebot. Управление согласием — платформа Cookiebot.

Замер — одна запись с навигацией: главная страница, затем инфо-страница «о компании» из футера (/uldinfo/company/373/meistfooter). Сайт держится на собственной инфраструктуре: www.piletilevi.ee и собственная CMS cms-i.piletilevi.ee, плюс Web eID для входа по эстонской э-идентификации.

Кому уходят данные напрямую

Сторонних получателей в этом замере почти нет. Аналитика — Google Analytics 4 (бескуково, запрет соблюдён). Управление согласием — Cookiebot. Всё остальное — первая сторона: сайт и собственная CMS. Функционально — Web eID (вход по э-идентификации). Обращение к edge.microsoft.com/translate — это функция перевода браузера Edge, которым делался замер, а не компонент сайта.

Заявленное против фактического

Здесь заявленное и фактическое в основном сходятся — случай аккуратный.

Аналитика Google запрет соблюдает. Cookiebot настроен на режим согласия Google, и события GA4 (G-F42M76QVYK) — page_view, scroll — идут со статусом gcs=G100: оба хранилища запрещены, пинги бескуковые. Первое событие уходит на +7901 мс — уже после того, как Cookiebot загрузился и зафиксировал конфигурацию согласия (+1772…+2540 мс). Это корректная последовательность: платформа согласия отрабатывает раньше отправки аналитики.

Получатели раскрыты поимённо. Куки-декларация на движке Cookiebot — подробная: она называет Google, Facebook / Meta Platforms Inc., Microsoft, reCAPTCHA и bilesuserviss.lv, с категориями и сроками хранения. Это раскрытие на хорошем уровне. Примечательно, что Facebook / Meta в декларации назван, но в самом замере обращений к нему не наблюдалось — маркетинговые компоненты в этой сессии не сработали, что согласуется с запрещённым состоянием хранилищ.

Единственная оговорка — порядок загрузки контейнера. Контейнер GTM (GTM-MHMXH4) появляется на +1555 мс, тогда как сама платформа Cookiebot — на +1772 мс, то есть контейнер загружается на ~217 мс раньше. Сам по себе GTM — это оркестратор тегов, а не трекер; фактических трекинговых обращений до согласия он в этом замере не выпустил (первое событие GA ушло много позже, под gcs=G100). Поэтому речь идёт о мелкой неаккуратности порядка инициализации, а не о передаче данных до согласия. Чистое решение — грузить контейнер после платформы согласия.

Согласие: что доказано и что нет

Доказано: платформа согласия отрабатывает до аналитики. Cookiebot загружается на +1772…+2540 мс, первое событие GA — на +7901 мс.

Доказано: аналитика соблюдает запрет. Все обращения GA4 несут gcs=G100 и бескуковы.

Доказано: получатели названы в декларации. Куки-декларация Cookiebot перечисляет Google, Facebook/Meta, Microsoft, reCAPTCHA, bilesuserviss.lv поимённо.

Доказано: GTM грузится чуть раньше CMP. Контейнер — +1555 мс, Cookiebot — +1772 мс; но трекинговых обращений до согласия контейнер не выпустил.

Не установлено: решение о согласии в деталях. Cookiebot зафиксировал конфигурацию (consentconfig/set), но какой именно выбор сделан (принято/отклонено по категориям), из этой записи однозначно не читается; статус gcs=G100 указывает на запрещённое состояние хранилищ.

Не установлено однозначно: попольная раскладка gcd. Сигнал gcd в событиях присутствует, но точная раскладка полей надёжно не декодирована; вывод строится на gcs=G100 и порядке загрузки.

Границы наблюдения

Замер охватывает главную и одну инфо-страницу, фиксирует поведение браузера, не серверную обработку: как настроен контейнер GTM и что Google делает с полученными (запрещёнными к хранению) сигналами, браузерным замером не проверяется. Обращение к edge.microsoft.com отнесено к артефактам инструмента съёмки (перевод в браузере Edge), а не к трекингу сайта. Получатели, названные в куки-декларации, но не проявившиеся в замере (Facebook/Meta, Microsoft), отнесены к заявленному — их фактическая активность в этой сессии не наблюдалась.

Файл опубликован очищенным от личных данных (356 правок, самопроверка чистая); порядок загрузки, статус gcs=G100 и последовательность Cookiebot → аналитика проверяются по опубликованному файлу напрямую. UI и состав источников подтверждаются скриншотами панели источников — отдельный тип доказательства.

Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.

Вывод

Билетный сервис оставляет аккуратное впечатление. Платформа управления согласием Cookiebot на месте и отрабатывает до отправки аналитики; события GA4 идут со статусом gcs=G100 — оба хранилища запрещены, бескуково; куки-декларация подробная и называет получателей поимённо, включая Google, Facebook/Meta и Microsoft. Сторонних компонентов в замере почти нет — сайт держится на собственной инфраструктуре и своей CMS, а вход реализован через эстонскую э-идентификацию.

Единственное наблюдение — порядок инициализации: контейнер GTM грузится на ~217 мс раньше самой платформы согласия. Фактической передачи данных до согласия при этом не зафиксировано: контейнер сам по себе трекинговых обращений не выпустил, а аналитика ушла много позже и под запретом. Это мелкая неаккуратность, а не нарушение передачи данных, поэтому severity здесь — нулевой.

Устранение (необязательное, для чистоты): загружать контейнер GTM после инициализации платформы согласия, чтобы порядок «согласие → загрузка тегов» соблюдался строго и на уровне контейнера; в остальном текущая конфигурация — соблюдение запрета аналитикой и поимённое раскрытие получателей — может служить ориентиром.