smsraha.ee

Тема: Жалоба на обработку персональных данных — smsraha.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом smsraha.ee.

2. Обстоятельства
Я посетил сайт smsraha.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.08.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте потребительских займов нет механизма получения согласия: за 428 обращений не встречается ни одного обращения к платформе управления согласием, ни одного сценария с признаками баннера, ни одного заголовка Set-Cookie. При этом Google Tag Manager стартует на +983 мс, конверсионный трекинг Google Ads (AW-1020561179) на +1603 мс, а Google Analytics 4 отправляет page_view с идентификатором клиента и признаком режима согласия gcs=G100 на +1614 мс — то есть с состоянием «согласие предоставлено» без какого-либо выбора пользователя. Cookie-политика прямо заявляет, что маркетинговая обработка ведётся «с вашего согласия», но фактического механизма его получения на сайте нет.

2) Сервис относится к потребительскому кредитованию — сфере с повышенной чувствительностью данных и уязвимой аудиторией. Конверсионный трекинг Google Ads передаёт в рекламную инфраструктуру Google факт визита на страницы оформления займа (/sms-laen, /ru/sms-kredit) до какого-либо согласия. Передача сведений о намерении взять заём рекламной платформе без действительного согласия несоразмерна и не соответствует заявленному в политике условию «с вашего согласия».

3) Из защитных заголовков сайт выставляет строгий транспорт, запрет вложения в кадр SAMEORIGIN и политику реферера no-referrer, но политики безопасности содержимого нет и политики разрешений нет. Для сайта, обрабатывающего заявки на кредит и загружающего сторонний рекламный и аналитический код, отсутствие политики безопасности содержимого означает, что перечень доверенных источников сценариев ничем не ограничен.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-smsraha-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 5(1)(a), 6, 7 — законность и согласие для рекламного трекинга на финансовом сервисе; GDPR Art. 32 — меры безопасности

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — smsraha.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website smsraha.ee.

2. Circumstances
I visited the website smsraha.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 29 August 2026 (open methodology, reproducible measurements) documents the following indications:

1) There is no consent-obtaining mechanism on the consumer-loan site: across 428 requests there is not a single request to a consent-management platform, not a single script bearing the marks of a banner, not a single Set-Cookie header. Meanwhile Google Tag Manager starts at +983 ms, the Google Ads conversion tracking (AW-1020561179) at +1603 ms, and Google Analytics 4 sends a page_view with the client identifier and the consent-mode marker gcs=G100 at +1614 ms — that is, with a 'consent granted' state without any user choice. The cookie policy states outright that marketing processing is carried out 'with your consent', but there is no actual mechanism for obtaining it on the site.

2) The service belongs to consumer lending — an area with heightened data sensitivity and a vulnerable audience. The Google Ads conversion tracking transmits to Google's advertising infrastructure the fact of a visit to the loan-application pages (/sms-laen, /ru/sms-kredit) before any consent. Transmitting information about the intention to take out a loan to an advertising platform without valid consent is disproportionate and does not match the policy's declared condition of 'with your consent'.

3) Of the security headers the site sets strict transport, the frame-embedding ban SAMEORIGIN and the referrer policy no-referrer, but there is no content-security-policy and no permissions policy. For a site processing loan applications and loading third-party advertising and analytics code, the absence of a content-security-policy means that the list of trusted script sources is in no way restricted.

Full technical documentation is published at: https://gdpru.eu/audits/ee-smsraha-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 5(1)(a), 6, 7 — lawfulness and consent for advertising tracking on a financial service; GDPR Art. 32 — security measures

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil smsraha.ee.

2. Asjaolud
Külastasin veebisaiti smsraha.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 29.08.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Tarbijalaenu saidil nõusoleku saamise mehhanism puudub: 428 taotluse puhul puudub juurdepääs nõusoleku haldamise platvormile, puudub bännerimärkidega stsenaarium, Set-Cookie päis puudub. Samal ajal alustab Google Tag Manager +983 ms-st, Google Adsi (AW-1020561179) konversioonide jälgimisest +1603 ms-s ja Google Analytics 4 saadab lehevaate kliendi ID-ga ja märgiga gcs=G100 nõusoleku režiimist +1614 ms-s - see tähendab, et nõusolekuga on antud ilma kasutaja valikuta. Küpsiste poliitikas on selgesõnaliselt sätestatud, et turundustöötlemine toimub „teie nõusolekul, kuid selle saamiseks veebisaidil puudub tegelik mehhanism.

2) Teenus viitab tarbijalaenudele, suure andmetundlikkusega ja haavatavale sihtrühmale. Google Adsi konversioonide jälgimine edastab Google'i reklaamitaristule laenu registreerimislehtede (/sms-laen, /en/sms-kredit) külastamise enne mis tahes nõusolekut. Teabe edastamine laenu võtmise kavatsuse kohta reklaamiplatvormile ilma kehtiva nõusolekuta on ebaproportsionaalne ja ei vasta poliitikas sätestatud tingimusele „teie nõusolekul.

3) Kaitsvatest rubriikidest kuvab sait ranget transporti, raami SAMEORIGIN külge kinnitamise keeldu ja suunaja poliitikat, kuid puudub sisu turvalisuse poliitika ja lubade poliitika. Saidi puhul, mis töötleb krediidirakendusi ja laadib alla kolmanda osapoole reklaami ja analüütilist koodi, tähendab sisuturbepoliitika puudumine, et usaldusväärsete skriptiallikate nimekiri on piiramatu.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-smsraha-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR artikli 5 lõike 1 punkt a, artiklid 6 ja 7 – õiguspärasus ja nõusolek reklaami jälgimiseks finantsteenuses; GDPR artikkel 32 – Turvameetmed

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]