soov.ee

Тема: Жалоба на обработку персональных данных — soov.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом soov.ee.

2. Обстоятельства
Я посетил сайт soov.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 30.08.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Платформа управления согласием на сайте есть — Google Funding Choices, интерфейс баннера запрашивается на +1462 мс, — но рекламная и статистическая инфраструктура разворачивается вокруг него и частично раньше, до какого-либо согласия. Контейнер Google Tag Manager стартует на +439 мс, медиатор монетизации Setupad (stpd.cloud, core.dimatter.ai) — на +285 мс, SDK Facebook — на +794 мс, библиотека рекламных слотов Google (securepubads) — на +938 мс. Первое обращение синхронизации RTB (gum.criteo.com) уходит на +1445 мс — за 17 мс до появления баннера, — и в этот же момент идут обращения к 33across, Lotame (crwdcntrl), ID5 и Hadron. Google Analytics 4 отправляет page_view на +2912 мс без сигнала режима согласия (gcs отсутствует). Согласие, если оно и собирается, следует за началом передач, а не предшествует ему.

2) Условия приватности прямо описывают cookie персональной рекламы (в том числе tracking-cookie) как не включённые автоматически: пункт 11.7.2(d) устанавливает, что посетитель даёт на них согласие, а пункт 11.7.1 — что обработчики запрашивают согласие на использование рекламных cookie. Фактически рекламный контур — медиатор Setupad, библиотека слотов Google, десятки RTB-бирж и синхронизация идентификаторов — активируется автоматически при открытии страницы, до взаимодействия с баннером. Кроме того, часть обращений RTB несёт признак gdpr=0, то есть партнёрам сообщается, что режим GDPR не применяется (204 обращения), тогда как в остальных обращениях передаётся строка согласия TCF с gdpr=1 (свыше 2800 обращений). Внутри одного сеанса сайт одновременно сигнализирует и применимость, и неприменимость GDPR.

3) В записи присутствует свыше 200 сторонних рекламных и идентификационных узлов. Условия приватности описывают категории cookie и называют поимённо лишь Facebook (пункт 11.8); выгрузка баннера согласия заявляет 238 партнёров и приводит их список (VDX.tv, Index Exchange, Quantcast, Sovrn, RTB House, The Trade Desk, Yahoo, Triple Lift, Ogury, Xandr, Equativ, Adform, Magnite, OpenX, 33Across и другие). Однако сам факт, что эти получатели активируются до согласия, расходится с назначением списка как перечня партнёров, обрабатывающих данные после согласия. Google Analytics, Google Ad Manager и медиатор Setupad как получатели веб-данных в условиях приватности поимённо не названы.

4) Условия приватности признают передачу данных в США применительно к Facebook и ссылаются на решение Суда ЕС Schrems II. Фактический состав получателей шире: обращения адресуются рекламным и идентификационным узлам в юрисдикциях за пределами ЕЭЗ (The Trade Desk, Yahoo, PubMatic, OpenX, 33Across, Criteo и другие). Правовое основание трансграничной передачи в отношении всего рекламного контура и передаваемых ему идентификаторов в документе в явном виде не приведено; шрифты дополнительно подгружаются с серверов Google (Google Fonts).

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-soov-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 5(1)(a) — прозрачность: заявленное расходится с фактическим; GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 44 — передача в третью страну

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — soov.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website soov.ee.

2. Circumstances
I visited the website soov.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 30 August 2026 (open methodology, reproducible measurements) documents the following indications:

1) A consent management platform is present — Google Funding Choices, with the banner interface requested at +1462 ms — but the advertising and analytics infrastructure deploys around it and partly before it, ahead of any consent. The Google Tag Manager container starts at +439 ms, the Setupad monetisation mediator (stpd.cloud, core.dimatter.ai) at +285 ms, the Facebook SDK at +794 ms, and the Google ad slot library (securepubads) at +938 ms. The first RTB sync request (gum.criteo.com) fires at +1445 ms — 17 ms before the banner appears — with simultaneous requests to 33Across, Lotame (crwdcntrl), ID5, and Hadron. Google Analytics 4 sends page_view at +2912 ms with no consent mode signal (gcs absent). Consent, if collected at all, follows the start of transmissions rather than preceding them.

2) The privacy terms explicitly describe personalised advertising cookies (including tracking cookies) as not enabled automatically: clause 11.7.2(d) states that visitors give consent for them, and clause 11.7.1 states that processors request consent for advertising cookies. In practice, the advertising layer — the Setupad mediator, the Google slot library, dozens of RTB exchanges, and identifier syncing — activates automatically on page load, before any interaction with the banner. Additionally, some RTB requests carry the flag gdpr=0, signalling to partners that GDPR mode does not apply (204 requests), while other requests carry a TCF consent string with gdpr=1 (over 2,800 requests). Within a single session the site simultaneously signals both the applicability and the non-applicability of GDPR.

3) The recording contains over 200 third-party advertising and identifier nodes. The privacy terms describe categories of cookies and name only Facebook explicitly (clause 11.8); the consent banner export declares 238 partners and lists them (VDX.tv, Index Exchange, Quantcast, Sovrn, RTB House, The Trade Desk, Yahoo, Triple Lift, Ogury, Xandr, Equativ, Adform, Magnite, OpenX, 33Across, and others). However, the fact that these recipients activate before consent contradicts the purpose of that list as an enumeration of partners that process data after consent. Google Analytics, Google Ad Manager, and the Setupad mediator are not named as recipients of web data in the privacy terms themselves.

4) The privacy terms acknowledge data transfers to the USA in relation to Facebook and reference the CJEU Schrems II ruling. The actual recipient set is broader: requests are addressed to advertising and identifier nodes in jurisdictions outside the EEA (The Trade Desk, Yahoo, PubMatic, OpenX, 33Across, Criteo, and others). The legal basis for cross-border transfer in respect of the entire advertising layer and the identifiers transmitted to it is not stated explicitly in the document; fonts are additionally loaded from Google servers (Google Fonts).

Full technical documentation is published at: https://gdpru.eu/audits/ee-soov-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 5(1)(a) — transparency: declared practice diverges from actual practice; GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 44 — transfer to a third country

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil soov.ee.

2. Asjaolud
Külastasin veebisaiti soov.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 30.08.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Nõusoleku haldamise platvorm saidil on - Google Funding Choices, bänneri liides on nõutud +1462 ms - kuid reklaami ja statistika infrastruktuur on kasutusele võetud selle ümber ja osaliselt varem, enne mis tahes nõusolekut. Google Tag Manager konteiner algab +439 ms, Setupad monetization mediator (stpd.cloud, core.dimatter.ai) - +285 ms, Facebook SDK - +794 ms, Google'i reklaami pesade raamatukogu (securepubads) - +938 ms. Esimene RTB sünkroonimiskõne (gum. criteo.com) läheb +1445 ms-le – Hadronti ilmumiseks ja pöördumise hetk on 33.. Google Analytics 4 saadab lehevaate +2912 ms-le ilma nõusoleku režiimi signaalita (gcs puudub). Nõusolek, kui seda kogutakse, järgneb edastamise algusele, mitte sellele eelnevale.

2) Privaatsustingimused kirjeldavad personaalseid reklaamiküpsiseid (sh jälgimisküpsiseid), mis ei ole automaatselt lubatud: punkti 11.7.2 alapunktis d on sätestatud, et külastaja on nendega nõus ja punkti 11.7.1 kohaselt taotlevad volitatud töötlejad nõusolekut reklaamiküpsiste kasutamiseks. Tegelikult aktiveeritakse reklaamiahel – Setupadi vahendaja, Google'i teenindusaegade teek, kümned RTB vahetused ja ID sünkroniseerimine – automaatselt lehe avamisel, enne kui bänneriga suheldakse. Lisaks on mõnedel RTB taotlustel märge gdpr=0, see tähendab, et partnereid teavitatakse, et GDPR-i korda ei kohaldata (204 taotlust), samas kui teistes rakendustes edastatakse TCF-i nõusoleku string gdpr=1 (üle 2800 taotluse). Ühe seansi jooksul annab veebisait märku GDPR-i kohaldamisest ja mittekohaldatavusest.

3) Salvestus sisaldab üle 200 kolmanda osapoole reklaami- ja identifitseerimissõlme. Privaatsustingimused kirjeldavad küpsiste kategooriaid ja neid nimetatakse ainult Facebook (punkt 11.8); nõusoleku bänneri üleslaadimine deklareerib 238 partnerit ja loetleb neid (VDX.tv, Index Exchange, Quantcast, Sovrn, RTB House, The Trade Desk, Yahoo, Triple Lift, Ogury, Xandr, Equativ, Adform, Magnite, OpenX, 33Across jt). Ainuüksi asjaolu, et need vastuvõtjad aktiveeritakse enne nõusoleku saamist, on vastuolus nimekirja määramisega partnerite nimekirjana, kes töötlevad andmeid pärast nõusoleku saamist. Google Analyticsit, Google Ad Manageri ja Setupadi vahendajat ei nimetata veebiandmete saajateks privaatsuse mõttes.

4) Privaatsustingimused tunnustavad andmete edastamist Ameerika Ühendriikidele seoses Facebookiga ja viitavad Euroopa Liidu Kohtu otsusele Schrems II. Vastuvõtjate tegelik koosseis on laiem: kaebused on suunatud reklaami- ja identifitseerimiskeskustele väljaspool EMPd asuvates jurisdiktsioonides (The Trade Desk, Yahoo, PubMatic, OpenX, 33Across, Criteo jt). Piiriülese edastamise õiguslik alus seoses kogu reklaamiringiga ja sellele edastatud identifikaatoritega ei ole dokumendis selgesõnaliselt sätestatud; fondid laaditakse alla ka Google'i serveritest (Google Fonts).

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-soov-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a); GDPR art 5(1)(a) Läbipaistvus: väide on vastuolus tegeliku; GDPR – artikli 13 lõike 1 punkt e – vastuvõtjate avalikustamine; GDPR artikkel 44 – Andmete edastamine kolmandasse riiki

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]