wolt.com

Тема: Жалоба на обработку персональных данных — wolt.com

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом wolt.com.

2. Обстоятельства
Я посетил сайт wolt.com и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 27.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На +68 с посетитель нажал «Используйте только необходимые»: сайт записал действие Decline, а сохранённое состояние согласия (enrolled: false) дальше передаётся между поддоменами. После этого собственная телеметрия Wolt на gatekeeper.wolt.com шесть раз отправляет пакеты событий — начало и конец сеанса, просмотры страниц с их адресами. В каждом пакете есть отпечаток браузера browser_fingerprint, идентификатор устройства device_id, пользовательский идентификатор wolt_uid, модель устройства и язык. Отпечаток один и тот же на explore.wolt.com и life.wolt.com, то есть посетитель узнаётся на разных поддоменах и после отказа. Одновременно сервис Avo Inspector получает описания тех же событий с идентификаторами сеанса. Собственный баннер Wolt описывает категорию «Аналитика» как технологии, позволяющие понять, как используются платформы. Именно её посетитель отклонил. Туда же после отказа уходит постоянный идентификатор посетителя в систему экспериментов DoorDash — тот же visitor_id, который был отправлен до какого-либо выбора.

2) Баннер предлагает аналитику как отдельную категорию, выключенную по умолчанию, то есть на основании согласия. Политика конфиденциальности относит анализ использования сервисов к законному интересу, а о снятии отпечатка браузера не говорит вовсе — только о «псевдонимизированных идентификаторах». Посетитель, отказавшийся от аналитики в баннере, не может узнать из политики, что его отказ собственную телеметрию Wolt не останавливает. Таблица поставщиков в политике перечисляет 24 сервиса — от Google Analytics до Reddit Pixel. Но в ней нет ни Avo, который в замере получает данные о событиях, ни Datadog, чей сценарий грузится на страницах explore и life.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-wolt-com/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — телеметрия с отпечатком браузера после отказа; GDPR Art. 13(1)(c), 13(1)(e) / Art. 5(1)(a) — политика и баннер описывают аналитику по-разному, часть получателей не названа

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — wolt.com

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website wolt.com.

2. Circumstances
I visited the website wolt.com and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 27 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) At +68 s, the visitor clicked 'Use only necessary': the site recorded a Decline action, and the saved consent state (enrolled: false) is then passed between subdomains. After that, Wolt's own telemetry on gatekeeper.wolt.com sends event packets six times — session start and end, page views with their addresses. Every packet contains a browser fingerprint (browser_fingerprint), a device identifier (device_id), a user identifier (wolt_uid), the device model, and the language. The fingerprint is identical on explore.wolt.com and life.wolt.com, meaning the visitor is recognised across subdomains even after refusal. At the same time, the Avo Inspector service receives descriptions of the same events along with session identifiers. Wolt's own banner describes the 'Analytics' category as technologies that help understand how the platforms are used. That is exactly what the visitor declined. After refusal, the visitor's persistent identifier is also sent to DoorDash's experimentation system — the same visitor_id that was sent before any choice was made.

2) The banner offers analytics as a separate category, switched off by default, i.e. based on consent. The privacy policy classifies analysis of service usage as a legitimate interest and says nothing at all about browser fingerprinting — only about 'pseudonymized identifiers'. A visitor who declined analytics in the banner cannot learn from the policy that their refusal does not stop Wolt's own telemetry. The vendor table in the policy lists 24 services, from Google Analytics to Reddit Pixel. But it includes neither Avo, which receives event data in the capture, nor Datadog, whose script loads on the explore and life pages.

Full technical documentation is published at: https://gdpru.eu/audits/ee-wolt-com/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — telemetry with a browser fingerprint after refusal; GDPR Art. 13(1)(c), 13(1)(e) / Art. 5(1)(a) — the policy and the banner describe analytics differently, and some recipients are not named

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil wolt.com.

2. Asjaolud
Külastasin veebisaiti wolt.com ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 27.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) +68 s juures vajutas külastaja „Kasuta ainult vajalikke“: veebileht salvestas toimingu Decline ning salvestatud nõusoleku olek (enrolled: false) edastatakse edasi alamdomeenide vahel. Pärast seda saadab Wolti enda telemeetria aadressile gatekeeper.wolt.com kuus korda sündmuste pakette – seansi algus ja lõpp, lehevaatamised koos lehtede aadressidega. Igas paketis on brauseri sõrmejälg browser_fingerprint, seadme identifikaator device_id, kasutaja identifikaator wolt_uid, seadme mudel ja keel. Sõrmejälg on sama nii explore.wolt.com-is kui ka life.wolt.com-is, st külastaja tuvastatakse eri alamdomeenidel ka pärast keeldumist. Samal ajal saab teenus Avo Inspector samade sündmuste kirjeldused koos seansi identifikaatoritega. Wolti enda bänner kirjeldab kategooriat „Analüütika“ kui tehnoloogiaid, mis aitavad mõista, kuidas platvorme kasutatakse. Just sellest keeldus külastaja. Pärast keeldumist saadetakse ka DoorDashi eksperimendisüsteemi külastaja püsiv identifikaator – sama visitor_id, mis saadeti enne mis tahes valikut.

2) Bänner pakub analüütikat eraldi kategooriana, mis on vaikimisi välja lülitatud, st nõusoleku alusel. Privaatsusteade liigitab teenuste kasutamise analüüsi õigustatud huvi alla ega räägi brauseri sõrmejälje võtmisest üldse – üksnes „pseudonüümitud identifikaatoritest“. Bänneris analüütikast keeldunud külastaja ei saa privaatsusteatest teada, et tema keeldumine Wolti enda telemeetriat ei peata. Privaatsusteate teenusepakkujate tabel loetleb 24 teenust – Google Analyticsist Reddit Pixelini. Kuid selles ei ole ei Avot, kes mõõtmise käigus saab andmeid sündmuste kohta, ega Datadogi, mille skript laaditakse explore ja life lehtedel.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-wolt-com/

3. Sätted, mille järgimist palun kontrollida
Eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a) — telemeetria koos brauseri sõrmejäljega pärast keeldumist; IKÜM art 13 lg 1 p c ja e / art 5 lg 1 p a — privaatsusteade ja bänner kirjeldavad analüütikat erinevalt, osa vastuvõtjaid on nimetamata

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]