RU EN
www.
Технический аудит · 20.09.2026

tkmgrupp.ee

Корпоративный сайт розничного холдинга TKM Grupp в Эстонии
EE

Корпоративный сайт розничного холдинга TKM Grupp в Эстонии — одна запись, четыре навигации, 116 запросов, восемь узлов. На сайте работает платформа управления согласием Cookiebot в режиме предварительной блокировки, с равнозначной кнопкой отказа и выключенными по умолчанию категориями. При съёмке пользователь отказался (в записи — action=decline, на снимке экрана — все категории отклонены), и аналитика не сработала: тег Google загружается из разметки, но за всю запись не отправляет ни одного обращения с данными. Рекламы, социальных сетей и RTB в записи нет вовсе. Заявленная в cookie-таблице аналитика Google фактически не активирована. Браузер заголовок DNT не отправлял.

Хронология обращений

+0 мс · навигация
Открытие сайта. Приложение на WordPress (WPML), сервер Apache/ZoneOS. Защитных заголовков (строгий транспорт, политика безопасности содержимого, запрет вложения в кадр, политика реферера) на ответах домена в записи не наблюдается. Браузер заголовок DNT не отправлял.
+363…+656 мс · платформа согласия загружается первой
Из разметки грузятся платформа управления согласием Cookiebot (consent.cookiebot.com/uc.js на +363 мс) и её конфигурация. Баннер (снимки экрана) показывает вкладки Consent/Details/About, категории Preferences, Statistics и Marketing выключены по умолчанию, и три кнопки — «Deny» (отказать), «Allow selection», «Allow all». Одновременно из разметки грузится тег Google (gtag/js), но под блокировкой платформы согласия.
+4610 мс · зафиксирован отказ
consent.cookiebot.com/logconsent.ashx?action=decline — платформа фиксирует решение пользователя: отказ от всех необязательных категорий. На снимке экрана «Your current state» показывает Preferences, Statistics и Marketing как отклонённые.
вся запись · аналитика не сработала
За 116 запросов ни одного обращения к Google Analytics (/g/collect и /collect отсутствуют), Facebook, рекламным сетям или RTB. Тег Google (UA-15062025-18) загружен, но данных не передаёт — заблокирован платформой согласия до согласия, которого пользователь не дал.

Декларация против факта

✓ Контролёр — TKM Grupp AS, рег. код 10223439, Kaubamaja tn 1, Tallinn; специалист по защите данных dpo@tkmgrupp.ee; условия действуют с 01.07.2024 — заявлен
✓ Правовые основания обработки включают согласие, договор, правовое обязательство и законный интерес — заявлен
✓ Cookie-таблица (Cookiebot): необходимые — CookieConsent (Cookiebot), балансировка и сессии Nasdaq (AWSALB, JSESSIONID, incap_ses, visid_incap), plyr и wp-wpml_current_language (первая сторона) — заявлен
✓ Cookie-таблица (Cookiebot), категория статистики: Google Analytics (_ga, _ga_#, _gat) — сбор данных об устройстве и поведении посетителя — заявлен
✓ Cookie-таблица содержит категорию Marketing — заявлен
✓ Управление cookie через баннер Cookiebot; отказ доступен на первом экране — заявлен
+ Тег Google (UA-15062025-18) загружается из разметки, но под блокировкой платформы согласия и данных в записи не передаёт — не заявлен
+ Google Fonts и jQuery CDN — передача адреса IP посетителя Google при загрузке ресурсов; в документах поимённо не названы — не заявлен

Тайминги передачи

+363 мс consent.cookiebot.com

uc.js; категории статистики и маркетинга в баннере выключены по умолчанию.

+364 мс www.googletagmanager.com

gtag/js UA-15062025-18; за всю запись ни одного обращения /collect — заблокирован до согласия.

+459 мс fonts.googleapis.com

Шрифт DM Serif Display. Адрес IP посетителя виден Google.

+510 мс www.nasdaqbaltic.com

market/ir.php — котировки акций для раздела отношений с инвесторами.

+4610 мс consent.cookiebot.com

logconsent.ashx?action=decline — отказ от всех необязательных категорий.

Зафиксированные трекеры

Контекст

tkmgrupp.ee — корпоративный сайт розничного холдинга TKM Grupp AS (Tallinna Kaubamaja Grupp; регистрационный код 10223439, Kaubamaja tn 1, Tallinn), объединяющего сети Kaubamaja, Selver, Delice, ILU, L’Occitane и другие. TKM Grupp — публичная компания, котирующаяся на Nasdaq Baltic. Специалист по защите данных — dpo@tkmgrupp.ee. Сайт построен на WordPress (мультиязычность WPML), сервер Apache/ZoneOS.

Обработку описывают два документа: условия обработки персональных данных (Isikuandmete töötlemise tingimused, действуют с 1 июля 2024 года) и cookie-документ (автоматически генерируемая таблица Cookiebot). К материалам приложены снимок сайта в PDF и два снимка экрана: баннер согласия и состояние согласия после отказа.

Замер состоит из одной записи, четыре навигации: главная, раздел новостей и страница пресс-релиза. Сто шестнадцать запросов, восемь узлов. Запись сделана 20 сентября 2026 года.

Кому уходят данные напрямую

Cookiebot (платформа согласия), Google (Fonts, jQuery CDN), Nasdaq Baltic (виджет котировок). Аналитики, рекламы, социальных сетей или RTB в записи нет.

Заявленное против фактического

Cookie-документ (таблица Cookiebot) заявляет в категории статистики Google Analytics (_ga, _ga_#, _gat) и содержит категорию Marketing; вводный текст — стандартный шаблон Cookiebot про «персонализацию рекламы и обмен с рекламными и аналитическими партнёрами». Условия обработки данных называют контролёра и правовые основания, включая согласие.

Замер даёт расхождение в благоприятную сторону: фактического меньше, чем допускает конфигурация.

Платформа согласия работает в режиме предварительной блокировки. Cookiebot грузится на +363 мс (инициирован разметкой страницы). Баннер, как видно на снимках, предлагает три кнопки — «Deny», «Allow selection», «Allow all», то есть отказ доступен наравне с согласием на первом экране; категории Preferences, Statistics и Marketing выключены по умолчанию. Тег Google (gtag/js, идентификатор UA-15062025-18) загружается из разметки на +364 мс, но под блокировкой платформы согласия.

Пользователь отказался, и аналитика не сработала. На +4610 мс проходит обращение consent.cookiebot.com/logconsent.ashx?action=decline — платформа фиксирует отказ от всех необязательных категорий. Это подтверждается снимком экрана «Your current state», где Preferences, Statistics и Marketing показаны отклонёнными. Как следствие, за все 116 запросов не возникает ни одного обращения к Google Analytics (/g/collect и /collect отсутствуют), Facebook, рекламным сетям или RTB. Тег Google загружен, но данных не передаёт.

Фактические сторонние получатели — функциональные. Cookiebot — сама платформа согласия. Google Fonts (fonts.gstatic.com) — шрифт DM Serif Display, при загрузке которого адрес IP посетителя виден Google. jQuery CDN (ajax.googleapis.com) — библиотека jQuery 3.7.0, также с видимостью адреса IP для Google. Nasdaq Baltic (www.nasdaqbaltic.com/market/ir.php) — виджет котировок акций для раздела отношений с инвесторами, что уместно для публичной компании.

Согласие: что доказано и что нет

Доказано: платформа управления согласием работает в режиме предварительной блокировки. Cookiebot грузится первым, категории статистики и маркетинга выключены по умолчанию (снимки экрана), а тег Google держится под блокировкой.

Доказано: пользователь отказался. Обращение logconsent.ashx?action=decline в записи и состояние «Your current state» на снимке экрана согласованно показывают отказ от всех необязательных категорий.

Доказано: аналитика и реклама не сработали. За 116 запросов нет ни одного обращения к Google Analytics, Facebook, рекламным сетям или RTB; тег Google данных не передаёт.

Не доказано и не требуется: поведение при согласии. Что произошло бы при нажатии «Allow all», по этой записи не устанавливается: пользователь отказался, и наблюдаемое поведение соответствует отказу. Заявленная в конфигурации аналитика Google в этой записи не активирована.

Отдельно: браузер заголовок DNT в этой записи не отправлял.

Границы наблюдения

Замер охватывает четыре страницы сайта. Наблюдение фиксирует поведение браузера, а не внутреннюю сторону сервисов: серверная обработка и договорные отношения с получателями браузерным замером не проверяются. Правовую оценку выносит компетентный орган — в Эстонии это Andmekaitse Inspektsioon.

Файл опубликован очищенным по «постному» профилю: удалены значения cookie в запросах, вырезаны заголовки Cookie и Set-Cookie; реестр очистки фиксирует 65 редакций и контрольную сумму. Тела ответов большей частью сохранены, но тело скрипта тега Google (gtag/js) заменено заглушкой; вывод об отсутствии передач в аналитику опирается на отсутствие соответствующих сетевых обращений, а не на разбор содержимого скрипта. Решение согласия читается по параметру action=decline обращения logconsent. На ответах самого домена защитных заголовков не наблюдается.

Идентификация сервисов опирается на домены и схему адресов: платформа согласия — по cookiebot.com и идентификатору 9a714a82-05e6-4737-915b-b14407ba723e; тег Google — по googletagmanager.com/gtag/js и идентификатору UA-15062025-18; шрифты и jQuery — по fonts.googleapis.com, fonts.gstatic.com, ajax.googleapis.com; виджет котировок — по nasdaqbaltic.com. Отсутствие аналитики и рекламы установлено по отсутствию обращений /collect и к соответствующим узлам.

Вывод

Корпоративный сайт розничного холдинга TKM Grupp при просмотре не передаёт данные ни в аналитику, ни в рекламу. На сайте работает платформа управления согласием Cookiebot в режиме предварительной блокировки, с равнозначной кнопкой отказа на первом экране и выключенными по умолчанию категориями. При съёмке пользователь отказался — и это согласованно подтверждается записью (action=decline) и снимком экрана (все необязательные категории отклонены), — вследствие чего тег Google, загруженный из разметки, за всю запись не отправил ни одного обращения с данными. Cookie-таблица заявляет в категории статистики Google Analytics, то есть заявленное шире фактического, а не наоборот. Как мягкую оговорку можно отметить, что тег Google, шрифты и библиотека jQuery загружаются из разметки (шрифтам и CDN виден адрес IP посетителя), а на самом домене не выставлены защитные заголовки; передач в аналитику или рекламу, которые эти меры защищали бы, в записи при этом нет.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: ee/tkmgrupp-ee-2026-09-20.har
SHA-256: 41968b9705910275e1607954cd7ac0d0834492292a6a566af6f953b8ecdbb3eb
Скриншот
Скриншот интерфейса
Баннер Cookiebot: категории Statistics и Marketing выключены по умолчанию, кнопка «Deny» (отказать) на первом экране наравне с «Allow all» · 20.09.2026
Скриншот интерфейса
Состояние согласия: Preferences, Statistics и Marketing отклонены (пользователь нажал «Deny»); совпадает с action=decline в сетевой записи · 20.09.2026
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — tkmgrupp.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта tkmgrupp.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
Прошу предоставить информацию по всем категориям, целям и получателям обработки моих данных на этом сайте — независимо от того, выявлены ли на сегодняшний день какие-либо несоответствия.

2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-tkmgrupp-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]