snabb.xyz

Тема: Жалоба на обработку персональных данных — snabb.xyz

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом snabb.xyz.

2. Обстоятельства
Я посетил сайт snabb.xyz и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 27.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Механизма согласия на сайте нет. На первом экране главной баннера нет. За 420 запросов нет ни одного обращения к платформе управления согласием и ни одного заголовка Set-Cookie. Режим согласия Google не настроен: параметр gcd во всех обращениях не содержит ни одного заданного состояния согласия. При этом Google Analytics 4 (G-KD6CRDCHX6) грузится на +342 мс. Идентификатор клиента создаётся при первом же открытии — через две секунды после входа, с признаками первого визита. На +1739 мс уходит page_view. Одновременно, на +1740 и +1743 мс, тот же идентификатор уходит на рекламные узлы Google stats.g.doubleclick.net и www.google.ee/ads/ga-audiences. Передача повторяется на всех четырёх просмотренных страницах, включая события прокрутки. Сама политика называет согласие одним из оснований для cookie и веб-аналитики.

2) В таблице пункта 3.1 для строки «cookie, веб-аналитика и улучшение пользовательского опыта» указаны сразу два основания — согласие (ст. 6(1)(a)) и законный интерес (ст. 6(1)(f)). Какое из них к какой части обработки относится, не сказано. Посетитель не может понять, спрашивают ли его согласие или обработка идёт без него; фактически согласие не запрашивается вовсе. Способ отзыва согласия в пункте 3.3 описан только для прямого маркетинга — через контакт или ссылку отказа от рассылки; для cookie такого инструмента нет. Кроме того, цель описана как аналитика и улучшение сайта, а обращения уходят и на рекламные узлы Google — stats.g.doubleclick.net и www.google.ee/ads/ga-audiences. О передаче в рекламную инфраструктуру Google политика не сообщает. Флаг npa=1 в этих обращениях помечает запрет персонализации рекламы, но сам факт передачи идентификатора на рекламные узлы от этого не исчезает.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-snabb-xyz/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — аналитика Google до какого-либо согласия; GDPR Art. 13(1)(c) / Art. 5(1)(a) — неопределённое основание и неполно описанная цель обработки веб-данных

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — snabb.xyz

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website snabb.xyz.

2. Circumstances
I visited the website snabb.xyz and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 27 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has no consent mechanism. There is no banner on the homepage's first screen. Across 420 requests, there is not a single request to a consent-management platform and not a single Set-Cookie header. Google consent mode is not configured: the gcd parameter in every request carries no set consent state. Meanwhile, Google Analytics 4 (G-KD6CRDCHX6) loads at +342 ms. The client identifier is created on the very first visit — two seconds after entry, with first-visit markers. At +1739 ms, a page_view fires. Simultaneously, at +1740 and +1743 ms, the same identifier goes to Google's advertising endpoints stats.g.doubleclick.net and www.google.ee/ads/ga-audiences. The transmission repeats on all four pages viewed, including scroll events. The policy itself names consent as one of the legal bases for cookies and web analytics.

2) The table in section 3.1 lists two legal bases at once for the row 'cookies, web analytics and user-experience improvement' — consent (Art. 6(1)(a)) and legitimate interest (Art. 6(1)(f)). It does not say which basis applies to which part of the processing. A visitor cannot tell whether their consent is being sought or whether processing happens without it; in fact, consent is not requested at all. Section 3.3 describes withdrawal of consent only for direct marketing — via the contact address or an unsubscribe link; no such tool exists for cookies. Furthermore, the purpose is described as analytics and site improvement, yet requests also go to Google's advertising endpoints — stats.g.doubleclick.net and www.google.ee/ads/ga-audiences. The policy says nothing about transmission to Google's advertising infrastructure. The npa=1 flag in these requests marks ad personalization as disallowed, but that does not undo the fact that the identifier is transmitted to advertising endpoints.

Full technical documentation is published at: https://gdpru.eu/audits/ee-snabb-xyz/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — Google analytics before any consent; GDPR Art. 13(1)(c) / Art. 5(1)(a) — an indeterminate legal basis and an incompletely described purpose for processing web data

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil snabb.xyz.

2. Asjaolud
Külastasin veebisaiti snabb.xyz ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 27.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Veebilehel puudub nõusoleku mehhanism. Avalehe esimesel vaatel küpsisebännerit ei ole. 420 päringu hulgas ei ole ühtegi pöördumist nõusolekuhaldusplatvormi poole ega ühtegi Set-Cookie päist. Google'i nõusolekurežiim ei ole seadistatud: parameeter gcd ei sisalda üheski päringus ühtegi määratud nõusolekuolekut. Samal ajal laaditakse Google Analytics 4 (G-KD6CRDCHX6) +342 ms juures. Kliendi identifikaator luuakse kohe esimesel avamisel – kaks sekundit pärast lehele sisenemist, esmakülastuse tunnustega. +1739 ms juures saadetakse sündmus page_view. Samaaegselt, +1740 ja +1743 ms juures, saadetakse sama identifikaator Google'i reklaamiserveritele stats.g.doubleclick.net ja www.google.ee/ads/ga-audiences. Edastamine kordub kõigil neljal vaadatud lehel, sh kerimissündmustega. Privaatsuspõhimõtted ise nimetavad küpsiste ja veebianalüütika ühe õigusliku alusena nõusolekut.

2) Punkti 3.1 tabelis on real „Küpsised, veebianalüütika ja kasutajakogemuse parandamine“ märgitud korraga kaks õiguslikku alust – nõusolek (art 6 lg 1 p a) ja õigustatud huvi (art 6 lg 1 p f). Millise töötlemise osa suhtes kumba kohaldatakse, ei ole täpsustatud. Külastaja ei saa aru, kas temalt küsitakse nõusolekut või toimub töötlemine ilma selleta; tegelikkuses nõusolekut ei küsita üldse. Punkt 3.3 kirjeldab nõusoleku tagasivõtmise viisi üksnes otseturunduse puhul – kontaktaadressi või loobumislingi kaudu; küpsiste jaoks selline vahend puudub. Lisaks on eesmärk kirjeldatud kui analüütika ja veebilehe parandamine, kuid päringud saadetakse ka Google'i reklaamiserveritele stats.g.doubleclick.net ja www.google.ee/ads/ga-audiences. Andmete edastamisest Google'i reklaamitaristusse privaatsuspõhimõtted ei teavita. Nendes päringutes olev tunnus npa=1 märgib, et reklaami isikupärastamine ei ole lubatud, kuid identifikaatori edastamise fakt reklaamiserveritele sellest ei kao.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-snabb-xyz/

3. Sätted, mille järgimist palun kontrollida
Eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a) — Google'i analüütika enne mis tahes nõusolekut; IKÜM art 13 lg 1 p c / art 5 lg 1 p a — veebiandmete töötlemise ebamäärane õiguslik alus ja puudulikult kirjeldatud eesmärk

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]