Технический аудит · 13.09.2026

sportland.ee

Сайт сети магазинов спортивных товаров

Сайт сети спортивных товаров Sportland — один замер главной, 496 запросов, 24 узла, плотный ритейл-стек. Собственный баннер cookie на месте и даёт отказ на первом экране, но платформы, гейтящей теги, нет — и рекламно-следящий стек отрабатывает до выбора. Пиксель TikTok не просто загружается, а активно отправляет события (с обогащением по IP), рекламный пиксель Bing срабатывает, Microsoft Clarity пишет сессию. Google-стек при этом запрет соблюдает (gcs=G100), но TikTok, Bing и Clarity режима согласия не знают. И три этих самых активных трекера в политике не названы вообще — при том что политика перечисляет соцсети как получателей.

Хронология обращений

+164…+206 мс · функциональное и A/B до баннера

static.sizebay.technology (подбор размера, +164 мс), widget.dixa.io (чат, +201 мс), dev.visualwebsiteoptimizer.com/j.php (VWO A/B, +206 мс). Всё до какого-либо выбора.

+3751…+4848 мс · рекламные пиксели до выбора

bat.bing.com/bat.js (Bing UET, +3751 мс), analytics.tiktok.com/events.js (TikTok пиксель, +3767 мс), www.clarity.ms/tag/uet (Clarity, +4560 мс), bat.bing.net/actionp (Bing action, +4593 мс), analytics-ipv6.tiktokw.us/enrich_ipv6 (TikTok обогащение по IP, +4848 мс).

+6914…+15787 мс · отправка событий и запись сессии

TikTok POST api/v2/pixel, pixel/act, pixel/inter — активная отправка событий; z.clarity.ms/collect — session recording (16 обращений); region1.google-analytics.com/g/collect — GA4 page_view с gcs=G100 (три счётчика).

Декларация против факта

✓ Контролёр — Sportland Eesti AS (рег. 10677712) — заявлен

✓ Политика конфиденциальности называет: Google, Facebook, Instagram, YouTube, Snapchat, Meta, VWO (vwo_uuid_v2) — заявлен

✓ На сайте — собственный баннер «Luba küpsised?» с тремя кнопками, отказ на первом экране — заявлен

✓ Надзорный орган — Andmekaitse Inspektsioon — заявлен

+ Рекламный пиксель TikTok (с активной отправкой событий и обогащением по IP) в политике не назван — не заявлен

+ Microsoft Clarity (запись сессии) в политике не назван — не заявлен

+ Bing / Microsoft UET (рекламный пиксель) в политике не назван — не заявлен

+ Рекламные пиксели и запись сессии срабатывают до выбора в баннере; платформы, гейтящей теги, нет — не заявлен

+ Sizebay, Dixa, New Relic в политике не названы — не заявлен

+ Exponea/Bloomreach (движок персонализации, отслеживает историю просмотров) подаётся с first-party поддомена и в политике не назван — не заявлен

Тайминги передачи

+206 мс dev.visualwebsiteoptimizer.com

VWO j.php; кука vwo_uuid_v2.

+3767 мс analytics.tiktok.com

events.js, sdkid CQTJ1DRC77U6D8VT25MG; далее POST-отправка событий.

+4560 мс www.clarity.ms

tag/uet 187208454; в политике не назван.

+4593 мс bat.bing.net

action; в политике не назван.

+4848 мс analytics-ipv6.tiktokw.us

enrich_ipv6 — TikTok.

+15787 мс region1.google-analytics.com

GA4 page_view, gcs=G100.

Зафиксированные трекеры

TikTok (analytics.tiktok.com, analytics-ipv6.tiktokw.us, sdkid CQTJ1DRC77U6D8VT25MG) — рекламный пиксель; грузится на +3767 мс и активно ОТПРАВЛЯЕТ события — серия POST api/v2/pixel, pixel/act, pixel/inter, плюс enrich_ipv6 (обогащение по IP). До согласия, без сигнала режима согласия. В политике по имени НЕ назван
Microsoft Clarity (z.clarity.ms — 16, www.clarity.ms, scripts.clarity.ms, tag/uet 187208454) — session recording; шлёт /collect (16 обращений), запись поведения пользователя. До согласия. В политике по имени НЕ назван
Bing Ads / Microsoft UET (bat.bing.com, bat.bing.net, action 187208454) — рекламный пиксель Microsoft; bat.js и action срабатывают на +3751…+4593 мс, до согласия. В политике по имени НЕ назван
Google Analytics 4 (region1.google-analytics.com — G-FDVF4GCN6B, G-B4LSR15PHE; metrics.sportland.lv G-00000) — аналитика; события page_view идут со статусом gcs=G100 (оба хранилища запрещены). Запрет соблюдён
Visual Website Optimizer (dev.visualwebsiteoptimizer.com) — A/B-тестирование; грузится на +206 мс, до согласия. Кука vwo_uuid_v2 в политике упомянута
New Relic (bam.eu01.nr-data.net — 24, js-agent.newrelic.com) — мониторинг производительности. В политике не назван
Exponea / Bloomreach (metrics.sportland.ee/js/exponea.min.js — подаётся с first-party поддомена; персонализация через sportland.ee/graphql) — CDP и движок персонализации; скрипт грузится на +1082 мс, на +3018…+3031 мс выдаёт персонализированные блоки (bloomreach-homepage-personalized, recently-viewed, new-arrivals). Отслеживает историю просмотров. В политике по имени НЕ назван
Sizebay (static.sizebay.technology, vfr-v3-production.sizebay.technology) — подбор размера одежды; функциональный. В политике не назван
Dixa (widget.dixa.io, api.dixa.io) — чат поддержки; функциональный. В политике не назван
Google Tag Manager (www.googletagmanager.com) — контейнер тегов; Google Sign-In (accounts.google.com/gsi) — вход
Первая сторона и инфраструктура: sportland.ee, cdn.sanity.io (CMS), metrics.sportland.ee/.lv (своя аналитика), sportland.com/.lv (домены группы), Cloudflare

Признаки несоответствия GDPR

ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — рекламные пиксели и запись сессии до согласия
Политика конфиденциальности (Sportland Eesti AS, рег. 10677712) называет Google, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. Однако самые активные трекеры в замере — рекламный пиксель TikTok (с отправкой событий), Microsoft Clarity (запись сессии), Bing/Microsoft UET (рекламный пиксель) и Exponea/Bloomreach (CDP и движок персонализации) — в политике не упомянуты вовсе: ни по имени, ни через свои куки (_ttp, _clck, _uetsid, MUID). Exponea при этом подаётся с first-party поддомена metrics.sportland.ee, из-за чего выглядит как собственная инфраструктура, хотя это движок персонализации Bloomreach, отслеживающий историю просмотров. Также не названы Sizebay, Dixa, New Relic. То есть политика перечисляет соцсети как получателей, но реально работающие TikTok, Clarity, Bing и Bloomreach от посетителя скрыты.
GDPR Art. 13(1)(e) — нераскрытые получатели (TikTok, Microsoft Clarity, Bing)
Политика конфиденциальности (Sportland Eesti AS, рег. 10677712) называет Google, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. Однако три самых активных трекера в замере — рекламный пиксель TikTok (с отправкой событий), Microsoft Clarity (запись сессии) и Bing/Microsoft UET (рекламный пиксель) — в политике не упомянуты вовсе: ни по имени, ни через свои куки (_ttp, _clck, _uetsid, MUID). Также не названы Sizebay, Dixa, New Relic. То есть политика перечисляет соцсети как получателей, но реально работающие TikTok, Clarity и Bing от посетителя скрыты.

Контекст

sportland.ee — сайт Sportland Eesti AS (рег. код 10677712), сети магазинов спортивных товаров (одежда, обувь, инвентарь). Обработку описывает политика конфиденциальности; сайт на собственной платформе с CMS Sanity, отдаётся через Cloudflare.

Замер — одна запись главной страницы: 496 запросов, 24 узла. Стек для ритейла плотный: рекламные пиксели (TikTok, Bing), session recording (Clarity), A/B-тесты (VWO), подбор размера (Sizebay), чат (Dixa), мониторинг (New Relic) и три счётчика GA4.

Кому уходят данные напрямую

Рекламный пиксель TikTok (активно отправляет события, обогащение по IP), рекламный пиксель Bing, Microsoft Clarity (запись сессии), VWO (A/B) — все до выбора. Google Analytics — под запретом (gcs=G100). Функционально — Sizebay (размер), Dixa (чат), New Relic (мониторинг). Первая сторона — сайт, CMS Sanity, свои счётчики metrics.sportland.

Заявленное против фактического

Расхождение здесь по двум точкам, обе значимы.

Баннер есть, но теги не гейтятся, и реклама срабатывает до выбора. На сайте собственный баннер «Luba küpsised?» с тремя кнопками, и отказ на первом экране есть («Nõustun vajalikuga») — это лучше уведомительных заглушек. Но платформы управления согласием, которая удерживала бы загрузку тегов до выбора, нет: баннер реализован собственным скриптом и теги не гейтит. В результате рекламно-следящий стек отрабатывает до какого-либо выбора. Рекламный пиксель TikTok (sdkid CQTJ1DRC77U6D8VT25MG) не просто загружается, а активно отправляет события — серия POST-обращений api/v2/pixel, pixel/act (action), pixel/inter (interaction), плюс enrich_ipv6 (обогащение по IP-адресу). Рекламный пиксель Bing/Microsoft UET (bat.js + action) срабатывает на +3751…+4593 мс. Microsoft Clarity ведёт session recording (16 обращений /collect). VWO грузится на +206 мс. Всё до выбора пользователя. Google-стек при этом запрет соблюдает — GA4 (три счётчика) идёт со статусом gcs=G100, — но TikTok, Bing и Clarity режима согласия Google не знают и работают напрямую. TikTok здесь особо значим: активная отправка событий с обогащением по IP в рекламную сеть китайской юрисдикции.

И отдельно — персонализация через first-party поддомен. Движок Exponea/Bloomreach (CDP) подаётся не со стороннего домена, а с собственного поддомена metrics.sportland.ee (exponea.min.js, +1082 мс) — поэтому в списке доменов он выглядит как своя инфраструктура. Но это платформа персонализации: на +3018…+3031 мс она через sportland.ee/graphql выдаёт персонализированные блоки главной — bloomreach-homepage-personalized, recently-viewed (недавно просмотренные), new-arrivals. Блок «недавно просмотренные» прямо означает, что история просмотров пользователя отслеживается и используется для персонализации — и всё это до выбора в баннере. Подача с first-party поддомена — распространённый приём, при котором сторонний движок выглядит как первая сторона и проходит мимо беглого взгляда на список доменов; в политике Bloomreach не назван.

И самые активные трекеры не раскрыты. Политика конфиденциальности называет Google, Facebook, Instagram, YouTube, Snapchat, Meta, VWO. Но три компонента, которые в замере работают активнее всего — рекламный пиксель TikTok (с отправкой событий), Microsoft Clarity (запись сессии) и Bing/Microsoft UET (рекламный пиксель), — в политике не упомянуты вовсе: ни по имени, ни через свои куки (_ttp, _clck, _uetsid, MUID). Также не названы Sizebay, Dixa, New Relic. Получается, политика перечисляет соцсети как получателей, а реально и активно работающие TikTok, Clarity и Bing от посетителя скрыты.

Согласие: что доказано и что нет

Доказано: рекламные пиксели и запись сессии срабатывают до выбора. VWO +206 мс, Bing +3751, TikTok +3767, Clarity +4560; платформы управления согласием в замере нет.

Доказано: TikTok активно отправляет события. Серия POST api/v2/pixel, pixel/act, pixel/inter и enrich_ipv6 — не только загрузка, но передача.

Доказано: Google-стек соблюдает запрет. Все обращения GA4 (три счётчика) несут gcs=G100.

Доказано: TikTok, Clarity, Bing не раскрыты. Поиск по политике не находит ни имён, ни их кук.

Доказано: баннер даёт отказ на первом экране. Скриншот фиксирует кнопку «Nõustun vajalikuga».

Не установлено: решение о согласии. В замере нет фиксации выбора; ключевой факт — что стек отработал до выбора.

Не доказано: содержимое событий TikTok и Clarity. Тела POST-обращений в опубликованном файле вычищены (осталась метка размера), поэтому что именно в событиях TikTok и записи Clarity — из файла не читается; вывод строится на факте активной отправки и записи до согласия.

Границы наблюдения

Замер охватывает главную страницу и фиксирует поведение браузера, не серверную обработку: что TikTok, Microsoft и Bing делают с полученными данными и как они связаны, браузерным замером не проверяется. Установлено: рекламные пиксели и session recording срабатывают до выбора и не раскрыты в политике. Тела обращений TikTok/Clarity вычищены при очистке (осталась метка размера), поэтому содержание событий и записи не приводится. Sizebay, Dixa, New Relic отнесены к функциональной части (размер, чат, мониторинг), но и они в политике не названы. Домены группы (sportland.com/.lv, metrics.sportland.lv) отнесены к инфраструктуре Sportland.

Файл опубликован очищенным от личных данных (621 правка, самопроверка чистая); срабатывание TikTok/Bing/Clarity до выбора, активная POST-отправка событий TikTok, статус gcs=G100 у GA4 и отсутствие TikTok/Clarity/Bing в тексте политики проверяются по опубликованному файлу и скриншотам напрямую. Баннер и его кнопки — со скриншотов (живой UI).

Правовую оценку выносит компетентный орган — Andmekaitse Inspektsioon.

Вывод

Сеть спортивных товаров держит собственный баннер cookie, который на первом экране даёт отказ («Nõustun vajalikuga») — это лучше заглушек. Но платформы, которая удерживала бы теги до выбора, нет, и рекламно-следящий стек отрабатывает раньше любого решения. Рекламный пиксель TikTok не просто загружается, а активно отправляет события с обогащением по IP; рекламный пиксель Bing срабатывает; Microsoft Clarity пишет сессию. Google-стек при этом запрет соблюдает (gcs=G100) — но TikTok, Bing и Clarity режима согласия не знают и работают напрямую.

Отдельно и не менее важно: три самых активных трекера — TikTok, Clarity, Bing — в политике не названы вообще, тогда как политика перечисляет соцсети как получателей. То есть посетитель, читающий политику, не узнаёт, что рекламный пиксель TikTok отправляет его действия с обогащением по IP, а Microsoft Clarity записывает его сессию.

Устранение: обусловить загрузку и срабатывание TikTok, Bing и Microsoft Clarity фактическим согласием, чтобы до выбора они не грузились и не отправляли события; ввести платформу управления согласием, удерживающую теги до решения (текущий баннер выбор предлагает, но загрузку не гейтит); назвать в политике TikTok, Microsoft Clarity, Bing (а также Sizebay, Dixa, New Relic) как получателей с указанием цели; для TikTok — учесть чувствительность передачи в рекламную сеть соответствующей юрисдикции; сохранить корректный режим согласия Google-стека и распространить принцип гейтинга на весь рекламный стек.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/sportland-ee-2026-09-13.har

SHA-256: 41fa67d8d3f21520a54eda83da850a28de2b91d91329661708d1f556b4c97b02

Скриншот

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — sportland.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта sportland.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика конфиденциальности (Sportland Eesti AS, рег. 10677712) называет Google, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. Однако самые активные трекеры в замере — рекламный пиксель TikTok (с отправкой событий), Microsoft Clarity (запись сессии), Bing/Microsoft UET (рекламный пиксель) и Exponea/Bloomreach (CDP и движок персонализации) — в политике не упомянуты вовсе: ни по имени, ни через свои куки (_ttp, _clck, _uetsid, MUID). Exponea при этом подаётся с first-party поддомена metrics.sportland.ee, из-за чего выглядит как собственная инфраструктура, хотя это движок персонализации Bloomreach, отслеживающий историю просмотров. Также не названы Sizebay, Dixa, New Relic. То есть политика перечисляет соцсети как получателей, но реально работающие TikTok, Clarity, Bing и Bloomreach от посетителя скрыты.

2) Политика конфиденциальности (Sportland Eesti AS, рег. 10677712) называет Google, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. Однако три самых активных трекера в замере — рекламный пиксель TikTok (с отправкой событий), Microsoft Clarity (запись сессии) и Bing/Microsoft UET (рекламный пиксель) — в политике не упомянуты вовсе: ни по имени, ни через свои куки (_ttp, _clck, _uetsid, MUID). Также не названы Sizebay, Dixa, New Relic. То есть политика перечисляет соцсети как получателей, но реально работающие TikTok, Clarity и Bing от посетителя скрыты.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-sportland-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — sportland.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website sportland.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The privacy policy (Sportland Eesti AS, reg. 10677712) names Google, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. However, the most active trackers in the capture — the TikTok advertising pixel (sending events), Microsoft Clarity (session recording), Bing/Microsoft UET (advertising pixel) and Exponea/Bloomreach (CDP and personalisation engine) — are not mentioned in the policy at all: neither by name, nor via their cookies (_ttp, _clck, _uetsid, MUID). Exponea is moreover served from the first-party subdomain metrics.sportland.ee, which makes it look like in-house infrastructure, although it is the Bloomreach personalisation engine, tracking browsing history. Sizebay, Dixa and New Relic are also not named. That is, the policy lists social networks as recipients, but the TikTok, Clarity, Bing and Bloomreach that are actually working are hidden from the visitor.

2) The privacy policy (Sportland Eesti AS, reg. 10677712) names Google, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. However, the three most active trackers in the capture — the TikTok advertising pixel (sending events), Microsoft Clarity (session recording) and Bing/Microsoft UET (advertising pixel) — are not mentioned in the policy at all: neither by name, nor via their cookies (_ttp, _clck, _uetsid, MUID). Sizebay, Dixa and New Relic are also not named. That is, the policy lists social networks as recipients, but the TikTok, Clarity and Bing that are actually working are hidden from the visitor.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-sportland-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — sportland.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi sportland.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) Privaatsuspoliitika (Sportland Eesti AS, reg. 10677712) viitab Google’ile, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. Mõõtmise kõige aktiivsemaid jälgijaid – TikToki reklaamipikslit (sündmuste saatmisega), Microsoft Clarityt (salvestamise seansid), Bing/Microsoft UET (ad piksel) ja Exponea/Bloomreach (CDP ja isikupärastamise mootor) – ei mainita poliitikas üldse: ei nime ega nende küpsiste kaudu (tp, clck, uetsid, MUID). Exponea pärineb esimese osapoole alamdomeeni mõõdikutest. sportland.ee, mis muudab selle oma infrastruktuuriks, kuigi see on Bloomreachi isikupärastamise mootor, mis jälgib sirvimisajalugu. Samuti pole nimesid Sizebay, Dixa, New Relic. See tähendab, et poliitika loetleb saajana sotsiaalseid võrgustikke, kuid tõeliselt töötavad TikTok, Clarity, Bing ja Bloomreach on külastaja eest peidetud.

2) Privaatsuspoliitika (Sportland Eesti AS, reg. 10677712) viitab Google’ile, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. Kuid kolm kõige aktiivsemat jälgijat arvestis – TikToki reklaamipiksel (saatmissündmused), Microsoft Clarity (seansisalvestus) ja Bing/Microsoft UET (reklaamipiksel) – ei ole poliitikas üldse mainitud: ei nime ega nende küpsiste kaudu (ttp, clck, uetsid, MUID). Samuti pole nimesid Sizebay, Dixa, New Relic. See tähendab, et poliitika loetleb saajana sotsiaalseid võrgustikke, kuid külastaja tõeliselt töötavad TikToki, Selgus ja Bing on peidetud.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-sportland-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — sportland.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом sportland.ee.

2. Обстоятельства
Я посетил сайт sportland.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 13.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика конфиденциальности (Sportland Eesti AS, рег. 10677712) называет Google, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. Однако самые активные трекеры в замере — рекламный пиксель TikTok (с отправкой событий), Microsoft Clarity (запись сессии), Bing/Microsoft UET (рекламный пиксель) и Exponea/Bloomreach (CDP и движок персонализации) — в политике не упомянуты вовсе: ни по имени, ни через свои куки (_ttp, _clck, _uetsid, MUID). Exponea при этом подаётся с first-party поддомена metrics.sportland.ee, из-за чего выглядит как собственная инфраструктура, хотя это движок персонализации Bloomreach, отслеживающий историю просмотров. Также не названы Sizebay, Dixa, New Relic. То есть политика перечисляет соцсети как получателей, но реально работающие TikTok, Clarity, Bing и Bloomreach от посетителя скрыты.

2) Политика конфиденциальности (Sportland Eesti AS, рег. 10677712) называет Google, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. Однако три самых активных трекера в замере — рекламный пиксель TikTok (с отправкой событий), Microsoft Clarity (запись сессии) и Bing/Microsoft UET (рекламный пиксель) — в политике не упомянуты вовсе: ни по имени, ни через свои куки (_ttp, _clck, _uetsid, MUID). Также не названы Sizebay, Dixa, New Relic. То есть политика перечисляет соцсети как получателей, но реально работающие TikTok, Clarity и Bing от посетителя скрыты.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-sportland-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — рекламные пиксели и запись сессии до согласия; GDPR Art. 13(1)(e) — нераскрытые получатели (TikTok, Microsoft Clarity, Bing)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — sportland.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website sportland.ee.

2. Circumstances
I visited the website sportland.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 13 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The privacy policy (Sportland Eesti AS, reg. 10677712) names Google, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. However, the most active trackers in the capture — the TikTok advertising pixel (sending events), Microsoft Clarity (session recording), Bing/Microsoft UET (advertising pixel) and Exponea/Bloomreach (CDP and personalisation engine) — are not mentioned in the policy at all: neither by name, nor via their cookies (_ttp, _clck, _uetsid, MUID). Exponea is moreover served from the first-party subdomain metrics.sportland.ee, which makes it look like in-house infrastructure, although it is the Bloomreach personalisation engine, tracking browsing history. Sizebay, Dixa and New Relic are also not named. That is, the policy lists social networks as recipients, but the TikTok, Clarity, Bing and Bloomreach that are actually working are hidden from the visitor.

2) The privacy policy (Sportland Eesti AS, reg. 10677712) names Google, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. However, the three most active trackers in the capture — the TikTok advertising pixel (sending events), Microsoft Clarity (session recording) and Bing/Microsoft UET (advertising pixel) — are not mentioned in the policy at all: neither by name, nor via their cookies (_ttp, _clck, _uetsid, MUID). Sizebay, Dixa and New Relic are also not named. That is, the policy lists social networks as recipients, but the TikTok, Clarity and Bing that are actually working are hidden from the visitor.

Full technical documentation is published at: https://gdpru.eu/audits/ee-sportland-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — advertising pixels and session recording before consent; GDPR Art. 13(1)(e) — undisclosed recipients (TikTok, Microsoft Clarity, Bing)

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil sportland.ee.

2. Asjaolud
Külastasin veebisaiti sportland.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 13.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Privaatsuspoliitika (Sportland Eesti AS, reg. 10677712) viitab Google’ile, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. Mõõtmise kõige aktiivsemaid jälgijaid – TikToki reklaamipikslit (sündmuste saatmisega), Microsoft Clarityt (salvestamise seansid), Bing/Microsoft UET (ad piksel) ja Exponea/Bloomreach (CDP ja isikupärastamise mootor) – ei mainita poliitikas üldse: ei nime ega nende küpsiste kaudu (tp, clck, uetsid, MUID). Exponea pärineb esimese osapoole alamdomeeni mõõdikutest. sportland.ee, mis muudab selle oma infrastruktuuriks, kuigi see on Bloomreachi isikupärastamise mootor, mis jälgib sirvimisajalugu. Samuti pole nimesid Sizebay, Dixa, New Relic. See tähendab, et poliitika loetleb saajana sotsiaalseid võrgustikke, kuid tõeliselt töötavad TikTok, Clarity, Bing ja Bloomreach on külastaja eest peidetud.

2) Privaatsuspoliitika (Sportland Eesti AS, reg. 10677712) viitab Google’ile, Facebook/Instagram/YouTube/Snapchat, Meta, VWO. Kuid kolm kõige aktiivsemat jälgijat arvestis – TikToki reklaamipiksel (saatmissündmused), Microsoft Clarity (seansisalvestus) ja Bing/Microsoft UET (reklaamipiksel) – ei ole poliitikas üldse mainitud: ei nime ega nende küpsiste kaudu (ttp, clck, uetsid, MUID). Samuti pole nimesid Sizebay, Dixa, New Relic. See tähendab, et poliitika loetleb saajana sotsiaalseid võrgustikke, kuid külastaja tõeliselt töötavad TikToki, Selgus ja Bing on peidetud.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-sportland-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a) – reklaamipikslid ja seansisalvestus enne nõusoleku saamist; GDPR art 13(1)(e) Avaldamata saajad (TikTok, Microsoft Clarity, Bing)

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]