selver.ee

Тема: Жалоба на обработку персональных данных — selver.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом selver.ee.

2. Обстоятельства
Я посетил сайт selver.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 23.08.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте установлена платформа управления согласием Cookiebot (uc.js загружается на +240 мс), но трекеры записи сеанса, аналитика и рекламные пинги стартуют до фиксации выбора пользователя. Hotjar запрашивается на +444 мс, Google Tag Manager на +442 мс, Microsoft Clarity на +1687 мс с отправкой POST /collect на +2338 мс, Upscope на +1795 мс, а Google Analytics 4 отправляет page_view с идентификатором клиента и признаком режима согласия gcs=G100 на +2019 мс — то есть с состоянием «согласие предоставлено» ещё до того, как выбор в баннере зафиксирован в записи. Запись сеанса (Clarity, Hotjar) и совместный просмотр экрана (Upscope) относятся к категории, требующей явного предварительного согласия.

2) Условия защиты данных описывают использование cookie и согласие в общих словах и отсылают к настройкам cookie на сайте, но поимённо не называют получателей веб-данных. Microsoft Clarity, Hotjar, Upscope, Google Analytics, Klevu и New Relic в политике отсутствуют. Приложенный список уполномоченных обработчиков перечисляет юридических подрядчиков (Vaimo, Telia, Microsoft Corporation), что косвенно покрывает Microsoft, но конкретные веб-сервисы записи сеанса и аналитики как получатели данных не раскрыты.

3) Из защитных заголовков сайт выставляет только строгий транспорт с включением поддоменов и запрет вложения в кадр SAMEORIGIN. Политики безопасности содержимого нет, политики реферера нет, политики разрешений нет. На странице магазина, загружающей запись сеанса, платёжные и аналитические сторонние сценарии, отсутствие политики безопасности содержимого означает, что перечень доверенных источников сценариев ничем не ограничен.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-selver-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 32 — меры безопасности

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — selver.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website selver.ee.

2. Circumstances
I visited the website selver.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 23 August 2026 (open methodology, reproducible measurements) documents the following indications:

1) The consent-management platform Cookiebot is installed on the site (uc.js loads at +240 ms), but the session-recording trackers, analytics and advertising pings start before the user's choice is recorded. Hotjar is requested at +444 ms, Google Tag Manager at +442 ms, Microsoft Clarity at +1687 ms with a POST /collect at +2338 ms, Upscope at +1795 ms, and Google Analytics 4 sends a page_view with the client identifier and the consent-mode marker gcs=G100 at +2019 ms — that is, with a 'consent granted' state before the choice in the banner is recorded. Session recording (Clarity, Hotjar) and screen co-browsing (Upscope) fall into a category requiring explicit prior consent.

2) The data-protection terms describe the use of cookies and consent in general terms and refer to the cookie settings on the site, but do not name the recipients of web data individually. Microsoft Clarity, Hotjar, Upscope, Google Analytics, Klevu and New Relic are absent from the policy. The attached list of authorised processors names legal contractors (Vaimo, Telia, Microsoft Corporation), which indirectly covers Microsoft, but the specific session-recording and analytics web services are not disclosed as data recipients.

3) Of the security headers the site sets only strict transport with subdomain inclusion and the frame-embedding ban SAMEORIGIN. There is no content-security-policy, no referrer policy, no permissions policy. On a shop page loading session-recording, payment and analytics third-party scripts, the absence of a content-security-policy means that the list of trusted script sources is in no way restricted.

Full technical documentation is published at: https://gdpru.eu/audits/ee-selver-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 32 — security measures

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil selver.ee.

2. Asjaolud
Külastasin veebisaiti selver.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 23.08.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Saidil on nõusoleku haldamise platvorm Cookiebot (uc.js on laaditud +240 ms-le), kuid seansi salvestamise jälgimisseadmed, analüüsi- ja reklaamipingid algavad enne, kui kasutaja valik on fikseeritud. Hotjarile tehakse päring +444 ms, Google Tag Manager +442 ms, Microsoft Clarity +1687 ms koos POST/kollektsiooniga, mis on saadetud +2338 ms-le, Upscope +1795 ms-le ja Google Analytics 4 saadab lehevaate kliendi ID-ga ja G100 nõusoleku režiimiga +2019 ms-l – see tähendab, et „nõusolek on antud juba enne valiku salvestamist bänneris. Seansi salvestamine (Clarity, Hotjar) ja jagatud ekraani vaatamine (Upscope) on kategooriad, mis nõuavad selgesõnalist eelnevat nõusolekut.

2) Andmekaitsetingimused kirjeldavad küpsiste kasutamist ja nõusolekut üldiselt ning viitavad küpsiste seadetele saidil, kuid ei nimeta veebiandmete vastuvõtjaid. Poliitikast puuduvad Microsoft Clarity, Hotjar, Upscope, Google Analytics, Klevu ja New Relic. Lisatud volitatud töötlejate loetelus on loetletud juriidilised töövõtjad (Vaimo, Telia, Microsoft Corporation), mis kaudselt hõlmavad Microsofti, kuid konkreetseid veebipõhiseid seansisalvestus- ja analüüsiteenuseid andmete saajatena ei avaldata.

3) Kaitserubriikidest kuvatakse saidil ainult ranget transporti koos alamdomeenide lisamisega ja SAMEORIGINi raamile kinnitamise keeluga. Puudub sisu turvalisuse poliitika, ei viitaja poliitika, ei luba poliitika. Kaupluse lehel, mis laadib alla seansi salvestamise, maksmise ja analüüsi kolmanda osapoole skripte, tähendab sisuturbepoliitika puudumine, et usaldusväärsete skriptiallikate loend on piiramatu.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-selver-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR – artikli 13 lõike 1 punkt e – vastuvõtjate avalikustamine; GDPR artikkel 32 – Turvameetmed

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]