Сайт центра развлечений PROTO — три страницы, 262 запроса. Google Analytics и Google Ads работают в режиме запрета, и это сделано правильно. Но отказаться на первом экране баннера нельзя — только согласиться или уйти в настройки. Политика по-прежнему советует управлять cookie через браузер, называет статистику анонимной и не упоминает ни Google Ads, ни чат Askly, который с первой секунды держит постоянный идентификатор посетителя.
Хронология обращений
Декларация против факта
Тайминги передачи
Чат Askly с постоянным идентификатором посетителя.
websocket чата, повторяется на каждой странице.
page_view, gcs=G100.
AW-650736284, ответ 400.
Зафиксированные трекеры
- Google Analytics 4 (G-WTKBJ59H5K) через region1.google-analytics.com — все обращения с gcs=G100, идентификатор меняется между страницами. Запрет соблюдён
- Google Ads (AW-650736284) — конверсия «timer_45sek» через 45 секунд на странице; в режиме запрета, ответ 400. В политике не названа
- Google Tag Manager (GTM-PSBKDJX), pagead2.googlesyndication.com — служебные обращения тега Google
- Askly (chat.askly.me, sessions.chat.askly.me) — чат с постоянным идентификатором посетителя и соединением на каждой странице до выбора. В политике не назван
- Cloudflare Web Analytics (static.cloudflareinsights.com) — сценарий на каждой странице. В политике не назван
- Первая сторона: prototehas.ee
Признаки несоответствия GDPR
- GDPR Art. 4(11) / Art. 7(3) — отказ сложнее согласия, политика отсылает к настройкам браузераПервый слой баннера предлагает «Nõustun» и «Küpsiste seaded»; кнопки отказа нет. Чтобы отказаться, нужно открыть настройки и нажать «Keela kõik» — два нажатия против одного на согласие. Раздел о cookie в политике при этом описывает устаревшую модель: большинство браузеров принимают cookie автоматически, а кто не хочет — может настроить браузер или удалить cookie. Настройки браузера и бездействие согласием не являются, а отказ должен быть так же прост, как согласие.
- GDPR Art. 13(1)(e) / Art. 5(1)(a) — получатели не названы, статистика описана как анонимнаяПолитика называет по имени только Google Analytics и Mailchimp. В замере работают ещё Google Ads — тег AW-650736284 отправляет конверсию через 45 секунд пребывания на странице, — чат Askly с постоянным идентификатором посетителя на всех страницах до какого-либо выбора и Cloudflare Web Analytics. Ни один из них в политике не упомянут. Рекламные партнёры, чьи cookie, по тексту политики, хранятся до 540 дней, тоже не названы. Статистические cookie политика описывает как собирающие данные анонимно, хотя Google Analytics работает с идентификатором клиента.
Контекст
prototehas.ee — сайт PROTO Avastustehas, интерактивного центра развлечений в Таллинне. Ответственный обработчик — Proto OÜ (рег. код 14158153, Peetri tn 10, Таллинн). Замер — одна запись, три страницы: главная дважды и страница условий конфиденциальности. Всего 262 запроса.
Обработку описывает одна страница «Privaatsustingimused» — политика конфиденциальности вместе с разделом о cookie.
Кому уходят данные напрямую
Google — Analytics и Ads в режиме запрета, Tag Manager. Askly — чат. Cloudflare — веб-аналитика. Сторонние библиотеки: jQuery CDN, BootstrapCDN, Google Fonts.
Заявленное против фактического
Google настроен правильно: и Analytics, и Ads работают в режиме запрета, на каждой странице идентификатор новый, конверсии Google Ads отклоняются. Расхождения — в устройстве баннера и в политике.
Первое — отказаться сложнее, чем согласиться. На первом экране баннера — «Nõustun» и «Küpsiste seaded». Кнопка «Keela kõik» появляется только во втором слое. Политика же и вовсе описывает cookie так, как это было принято до GDPR: большинство браузеров принимают их автоматически, а кто против — может настроить браузер. Настройки браузера согласием не являются, а отказ должен даваться так же легко, как согласие.
Второе — политика не знает, что работает на сайте. По имени она называет Google Analytics и Mailchimp. В замере работают ещё Google Ads — тег отправляет конверсию, когда посетитель провёл на странице 45 секунд, — чат Askly и Cloudflare Web Analytics. Askly особенно заметен: он грузится до какого-либо выбора, получает постоянный идентификатор посетителя и открывает соединение на каждой странице. Политика упоминает рекламных партнёров с cookie сроком до 540 дней, но ни одного не называет. А статистические cookie называет анонимными, хотя Google Analytics работает с идентификатором.
Согласие: что доказано и что нет
Доказано: отказа на первом слое нет. Скриншот 1; «Keela kõik» — только на скриншоте 2.
Доказано: Google соблюдает запрет. Все обращения с gcs=G100, идентификаторы на разных страницах разные, конверсии Google Ads отклонены с ответом 400.
Доказано: Askly работает до выбора с постоянным идентификатором. Один и тот же идентификатор посетителя на всех страницах замера.
Доказано: Google Ads, Askly и Cloudflare не названы в политике. Поиск по сохранённой странице.
Не установлено: решение в баннере. Решение в записи не принималось.
Границы наблюдения
Замер охватывает главную и страницу условий конфиденциальности. Бронирование билетов не проверялось. Наблюдение фиксирует поведение браузера, а не серверную обработку. Файл опубликован очищенным: удалены заголовки Cookie и тела сценариев.
Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon, который назван в самой политике.
Вывод
Технически Google у PROTO настроен добросовестно. Но баннер не даёт отказаться на первом экране, а политика живёт во времена, когда cookie отключали в браузере. Из работающих на сайте сервисов она называет не все: Google Ads, чат Askly с постоянным идентификатором и Cloudflare посетителю неизвестны.
Устранение: добавить кнопку «Keela kõik» на первый слой баннера; переписать раздел о cookie, убрав отсылку к настройкам браузера как способу отказа; назвать в политике Google Ads, Askly, Cloudflare и рекламных партнёров; убрать утверждение об анонимности статистических cookie.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
1a7ee0c3fc99a36da5de9c3e347c6737dd6ddaa15f88f51c397b8d9732b8d8b3
Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — prototehas.ee Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта prototehas.ee. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Первый слой баннера предлагает «Nõustun» и «Küpsiste seaded»; кнопки отказа нет. Чтобы отказаться, нужно открыть настройки и нажать «Keela kõik» — два нажатия против одного на согласие. Раздел о cookie в политике при этом описывает устаревшую модель: большинство браузеров принимают cookie автоматически, а кто не хочет — может настроить браузер или удалить cookie. Настройки браузера и бездействие согласием не являются, а отказ должен быть так же прост, как согласие. 2) Политика называет по имени только Google Analytics и Mailchimp. В замере работают ещё Google Ads — тег AW-650736284 отправляет конверсию через 45 секунд пребывания на странице, — чат Askly с постоянным идентификатором посетителя на всех страницах до какого-либо выбора и Cloudflare Web Analytics. Ни один из них в политике не упомянут. Рекламные партнёры, чьи cookie, по тексту политики, хранятся до 540 дней, тоже не названы. Статистические cookie политика описывает как собирающие данные анонимно, хотя Google Analytics работает с идентификатором клиента. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-prototehas-ee/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — prototehas.ee To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website prototehas.ee. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) The banner's first layer offers 'Nõustun' and 'Küpsiste seaded'; there is no refuse button. To refuse, one must open the settings and press 'Keela kõik' — two clicks versus one for consent. The cookie section of the policy, meanwhile, describes an outdated model: most browsers accept cookies automatically, and anyone who does not want them can configure their browser or delete the cookies. Browser settings and inaction do not constitute consent, and refusing must be as easy as consenting. 2) The policy names only Google Analytics and Mailchimp. The capture also shows Google Ads — the AW-650736284 tag sends a conversion after 45 seconds on a page — the Askly chat with a persistent visitor identifier on every page before any choice, and Cloudflare Web Analytics. None of them is mentioned in the policy. The advertising partners whose cookies, according to the policy text, are kept for up to 540 days are not named either. The policy describes statistics cookies as collecting data anonymously, although Google Analytics runs with a client identifier. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-prototehas-ee/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — prototehas.ee Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond] Kellelt: [Teie nimi], [kontakt-e-post] Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi prototehas.ee kasutamisega. 1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c)) Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad: 1) Bänneri esimene kiht pakub „Nõustun“ ja „Küpsiste seaded“; keeldumisnuppu ei ole. Keeldumiseks tuleb avada seaded ja vajutada „Keela kõik“ – kaks vajutust ühe nõusolekuvajutuse vastu. Privaatsustingimuste küpsiste peatükk kirjeldab seejuures aegunud mudelit: enamik brausereid lubab küpsiseid automaatselt ning kes seda ei soovi, võib brauseri seadistada või küpsised kustutada. Brauseri seaded ja tegevusetus ei ole nõusolek ning keeldumine peab olema sama lihtne kui nõusoleku andmine. 2) Privaatsustingimused nimetavad nimeliselt üksnes Google Analyticsi ja Mailchimpi. Mõõtmise käigus töötavad veel Google Ads – silt AW-650736284 saadab konversiooni 45-sekundilise lehel viibimise järel –, Askly vestlus külastaja püsiva identifikaatoriga kõigil lehtedel enne mis tahes valikut ning Cloudflare Web Analytics. Ühtegi neist tingimustes ei mainita. Samuti on nimetamata reklaamipartnerid, kelle küpsiseid säilitatakse tingimuste järgi kuni 540 päeva. Statistikaküpsiseid kirjeldatakse kui anonüümselt andmeid koguvaid, kuigi Google Analytics töötab kliendi identifikaatoriga. 2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46) Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-prototehas-ee/ 3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h)) Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee
Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — prototehas.ee 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом prototehas.ee. 2. Обстоятельства Я посетил сайт prototehas.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 28.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Первый слой баннера предлагает «Nõustun» и «Küpsiste seaded»; кнопки отказа нет. Чтобы отказаться, нужно открыть настройки и нажать «Keela kõik» — два нажатия против одного на согласие. Раздел о cookie в политике при этом описывает устаревшую модель: большинство браузеров принимают cookie автоматически, а кто не хочет — может настроить браузер или удалить cookie. Настройки браузера и бездействие согласием не являются, а отказ должен быть так же прост, как согласие. 2) Политика называет по имени только Google Analytics и Mailchimp. В замере работают ещё Google Ads — тег AW-650736284 отправляет конверсию через 45 секунд пребывания на странице, — чат Askly с постоянным идентификатором посетителя на всех страницах до какого-либо выбора и Cloudflare Web Analytics. Ни один из них в политике не упомянут. Рекламные партнёры, чьи cookie, по тексту политики, хранятся до 540 дней, тоже не названы. Статистические cookie политика описывает как собирающие данные анонимно, хотя Google Analytics работает с идентификатором клиента. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-prototehas-ee/ 3. Положения GDPR, соблюдение которых прошу проверить GDPR Art. 4(11) / Art. 7(3) — отказ сложнее согласия, политика отсылает к настройкам браузера; GDPR Art. 13(1)(e) / Art. 5(1)(a) — получатели не названы, статистика описана как анонимная 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — prototehas.ee 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website prototehas.ee. 2. Circumstances I visited the website prototehas.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 28 September 2026 (open methodology, reproducible measurements) documents the following indications: 1) The banner's first layer offers 'Nõustun' and 'Küpsiste seaded'; there is no refuse button. To refuse, one must open the settings and press 'Keela kõik' — two clicks versus one for consent. The cookie section of the policy, meanwhile, describes an outdated model: most browsers accept cookies automatically, and anyone who does not want them can configure their browser or delete the cookies. Browser settings and inaction do not constitute consent, and refusing must be as easy as consenting. 2) The policy names only Google Analytics and Mailchimp. The capture also shows Google Ads — the AW-650736284 tag sends a conversion after 45 seconds on a page — the Askly chat with a persistent visitor identifier on every page before any choice, and Cloudflare Web Analytics. None of them is mentioned in the policy. The advertising partners whose cookies, according to the policy text, are kept for up to 540 days are not named either. The policy describes statistics cookies as collecting data anonymously, although Google Analytics runs with a client identifier. Full technical documentation is published at: https://gdpru.eu/audits/ee-prototehas-ee/ 3. GDPR provisions I ask you to examine GDPR Art. 4(11) / Art. 7(3) — refusing is harder than consenting, and the policy points to browser settings; GDPR Art. 13(1)(e) / Art. 5(1)(a) — recipients not named, statistics described as anonymous 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]
1. Kaebuse ese Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil prototehas.ee. 2. Asjaolud Külastasin veebisaiti prototehas.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 28.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist: 1) Bänneri esimene kiht pakub „Nõustun“ ja „Küpsiste seaded“; keeldumisnuppu ei ole. Keeldumiseks tuleb avada seaded ja vajutada „Keela kõik“ – kaks vajutust ühe nõusolekuvajutuse vastu. Privaatsustingimuste küpsiste peatükk kirjeldab seejuures aegunud mudelit: enamik brausereid lubab küpsiseid automaatselt ning kes seda ei soovi, võib brauseri seadistada või küpsised kustutada. Brauseri seaded ja tegevusetus ei ole nõusolek ning keeldumine peab olema sama lihtne kui nõusoleku andmine. 2) Privaatsustingimused nimetavad nimeliselt üksnes Google Analyticsi ja Mailchimpi. Mõõtmise käigus töötavad veel Google Ads – silt AW-650736284 saadab konversiooni 45-sekundilise lehel viibimise järel –, Askly vestlus külastaja püsiva identifikaatoriga kõigil lehtedel enne mis tahes valikut ning Cloudflare Web Analytics. Ühtegi neist tingimustes ei mainita. Samuti on nimetamata reklaamipartnerid, kelle küpsiseid säilitatakse tingimuste järgi kuni 540 päeva. Statistikaküpsiseid kirjeldatakse kui anonüümselt andmeid koguvaid, kuigi Google Analytics töötab kliendi identifikaatoriga. Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-prototehas-ee/ 3. Sätted, mille järgimist palun kontrollida IKÜM art 4 p 11 / art 7 lg 3 — keeldumine on keerulisem kui nõusolek, privaatsustingimused viitavad brauseri seadetele; IKÜM art 13 lg 1 p e / art 5 lg 1 p a — vastuvõtjad on nimetamata, statistikat kirjeldatakse anonüümsena 4. Nõue Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid. 5. Lisad Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil. Lugupidamisega, [Teie nimi] [kontakt-e-post] [Riik] [Kuupäev]