Технический аудит · 05.06.2026

zone.ee

Крупнейший хостинг-провайдер Эстонии — домены, хостинг, серверы

Политика изменена — посмотреть, что именно · 2026-10-09 →

Крупнейший хостинг-провайдер Эстонии хранит данные тысяч клиентов — и запускает Matomo с записью сессий, Zendesk и Trustpilot до появления баннера согласия. GTM активируется за 105 мс до Cookiebot. Cookie Declaration подробна — политика конфиденциальности молчит о половине получателей.

Хронология обращений

+87 мс · до согласия

Trustpilot (widget.trustpilot.com) — виджет отзывов, данные в Дании/США.

+133 мс · до согласия

Matomo (a.zone.eu) — собственный сервер. Запускает HeatmapSessionRecording — запись тепловых карт и сессий.

+206 мс · до согласия

Zendesk (static.zdassets.com) — чат-виджет поддержки. Данные в США.

+566 мс · до согласия

zonehd.zendesk.com — frontendevents/pv — Zendesk фиксирует pageview до согласия.

+793 мс · до согласия

Google Tag Manager (GTM-K8W4S8) — загружается за 105 мс до Cookiebot.

+984 мс · после баннера

Google Analytics (G-L9GLKJNJW7) через GTM — gtag/destination загружается.

+1117 мс

Google Analytics collect — данные уходят в США.

Декларация против факта

✓ Google Analytics — в Cookie Declaration — заявлен

✓ Zendesk — в Cookie Declaration — заявлен

✓ Matomo — в Cookie Declaration (a.zone.eu) — заявлен

✓ Trustpilot — в Cookie Declaration — заявлен

✓ Facebook — в Cookie Declaration (не в HAR) — заявлен

✓ Hotjar — в Cookie Declaration (не в HAR) — заявлен

✓ LinkedIn — в Cookie Declaration (не в HAR) — заявлен

✓ YouTube — в Cookie Declaration (не в HAR) — заявлен

✓ CrazyEgg — в Cookie Declaration (не в HAR) — заявлен

✓ Google DoubleClick — в Cookie Declaration (не в HAR) — заявлен

+ Trustpilot — не упомянут в политике конфиденциальности — не заявлен

+ Matomo HeatmapSessionRecording — не упомянут в политике — не заявлен

+ Zendesk — не упомянут в политике конфиденциальности — не заявлен

Тайминги передачи

+87 мс widget.trustpilot.com

Trustpilot виджет, данные уходят до баннера

+133 мс a.zone.eu

Matomo + HeatmapSessionRecording

+206 мс static.zdassets.com

Zendesk чат-виджет, США

+566 мс zonehd.zendesk.com

Zendesk frontendevents pageview

+793 мс www.googletagmanager.com

GTM-K8W4S8, за 105 мс до Cookiebot

+898 мс Баннер согласия появился

+1117 мс region1.google-analytics.com

GA4 G-L9GLKJNJW7 collect

Зафиксированные трекеры

Google Tag Manager (GTM-K8W4S8)
Google Analytics (G-L9GLKJNJW7)
Matomo с записью сессий (a.zone.eu)
Zendesk (static.zdassets.com, zonehd.zendesk.com)
Trustpilot (widget.trustpilot.com)
Cookiebot (consent.cookiebot.com)

Признаки несоответствия GDPR

GDPR Art. 6(1), Art. 5(1)(a)
Trustpilot (+87 мс), Zendesk (+206 мс) и Matomo с записью сессий (+133 мс) запускаются до появления баннера Cookiebot (+898 мс). Google Tag Manager загружается на +793 мс — тоже до Cookiebot. GA collect уходит на +1117 мс.
GDPR Art. 7
Баннер Cookiebot появляется через 898 мс после старта сессии. К этому моменту Trustpilot, Zendesk, Matomo и GTM уже активированы. Реального механизма блокировки до согласия нет.
GDPR Art. 13(1)(e)
Политика конфиденциальности не упоминает Trustpilot, Matomo (a.zone.eu с HeatmapSessionRecording), Zendesk как получателей данных. Cookie Declaration декларирует их, но политика — нет.
GDPR Art. 13(1)(f), Chapter V
Zendesk (static.zdassets.com, zonehd.zendesk.com) — серверы в США. Trustpilot — Дания/США. Механизм передачи данных не указан в политике конфиденциальности.
GDPR Art. 5(1)(c)
Matomo запускает HeatmapSessionRecording — запись тепловых карт и сессий пользователей. Это выходит за рамки базовой аналитики посещаемости и требует отдельного правового основания.

Контекст

Zone Media OÜ — крупнейший хостинг-провайдер Эстонии: домены, веб-хостинг, виртуальные серверы, облачные решения. Хранит данные тысяч эстонских компаний и частных клиентов — в том числе данные сайтов, баз данных, электронной почты. Как инфраструктурная компания обрабатывает чувствительные данные как вольный, так и уполномоченный обработчик. HAR: 51 запрос, 10 доменов.

Два документа — разный уровень детализации

У Zone есть два документа: политика конфиденциальности и Cookie Declaration (Cookiebot). Cookie Declaration подробна и актуальна — последнее обновление 03.06.2026. Декларирует Google Analytics, Zendesk, Matomo, Trustpilot, Facebook Pixel, Hotjar, LinkedIn, YouTube, CrazyEgg, Google DoubleClick — 10 категорий получателей. Политика конфиденциальности написана в общих чертах: упоминает cookies и «технологии слежения» без перечисления конкретных получателей. По Art. 13(1)(e) GDPR именно политика конфиденциальности должна содержать информацию о получателях — Cookie Declaration её не заменяет.

Трекеры до согласия

Cookiebot появляется на +898 мс. К этому моменту уже активированы четыре внешних сервиса:

Trustpilot (+87 мс) — виджет отзывов загружается первым, за 811 мс до баннера.

Matomo (+133 мс, a.zone.eu) — собственный сервер Zone, что само по себе плюс. Но одновременно запускается HeatmapSessionRecording — плагин записи тепловых карт и сессий пользователей. Это не базовая аналитика: система фиксирует каждое движение мыши и клик на странице до согласия.

Zendesk (+206 мс, static.zdassets.com) — чат-виджет поддержки, серверы в США. На +566 мс zonehd.zendesk.com отправляет frontendevents/pv — pageview событие — тоже до баннера.

Google Tag Manager (+793 мс, GTM-K8W4S8) — загружается за 105 мс до Cookiebot. После появления баннера через GTM активируется Google Analytics (G-L9GLKJNJW7), collect уходит на +1117 мс.

Cookie Declaration декларирует Facebook Pixel, Hotjar, LinkedIn, YouTube, CrazyEgg, Google DoubleClick. Ни один из них не появился в HAR этой сессии. Возможно активируются на других страницах или после согласия — но декларирование сервисов которые не наблюдались заслуживает отдельной проверки.

Контекст чувствительности

Zone — хостинг-провайдер. Клиенты доверяют ему не просто email, а серверную инфраструктуру своих бизнесов. Стандарт соответствия для компании, которая продаёт доверие как продукт, должен быть выше среднего. Запись сессий через HeatmapSessionRecording до согласия на сайте хостинг-провайдера — это не технически сложная проблема. Это вопрос приоритетов.

Вывод

Cookie Declaration Zone актуальна и подробна — это редкость в серии. Но подробная декларация не компенсирует запуск трекеров до согласия. Matomo с записью сессий, Zendesk и Trustpilot активируются за сотни миллисекунд до появления баннера. GTM — за 105 мс до Cookiebot. Политика конфиденциальности не называет ни одного из этих получателей. Разрыв между тем что задекларировано и тем что происходит до согласия — основная проблема.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: ee/zone-ee-2026-06-05.har

SHA-256: b8d09f22f1d11ce0bdb9db15cc0535e6fe3ff902df1213a8b7273199fad74988

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — zone.ee

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта zone.ee.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Trustpilot (+87 мс), Zendesk (+206 мс) и Matomo с записью сессий (+133 мс) запускаются до появления баннера Cookiebot (+898 мс). Google Tag Manager загружается на +793 мс — тоже до Cookiebot. GA collect уходит на +1117 мс.

2) Баннер Cookiebot появляется через 898 мс после старта сессии. К этому моменту Trustpilot, Zendesk, Matomo и GTM уже активированы. Реального механизма блокировки до согласия нет.

3) Политика конфиденциальности не упоминает Trustpilot, Matomo (a.zone.eu с HeatmapSessionRecording), Zendesk как получателей данных. Cookie Declaration декларирует их, но политика — нет.

4) Zendesk (static.zdassets.com, zonehd.zendesk.com) — серверы в США. Trustpilot — Дания/США. Механизм передачи данных не указан в политике конфиденциальности.

5) Matomo запускает HeatmapSessionRecording — запись тепловых карт и сессий пользователей. Это выходит за рамки базовой аналитики посещаемости и требует отдельного правового основания.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/ee-zone-ee/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — zone.ee

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website zone.ee.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) Trustpilot (+87 ms), Zendesk (+206 ms), and Matomo with session recording (+133 ms) launch before the Cookiebot banner appears (+898 ms). Google Tag Manager loads at +793 ms — also before Cookiebot. The GA collect call goes out at +1117 ms.

2) The Cookiebot banner appears 898 ms after the session begins. By this point, Trustpilot, Zendesk, Matomo, and GTM are already active. There is no genuine mechanism blocking these prior to consent.

3) The privacy policy does not mention Trustpilot, Matomo (a.zone.eu with HeatmapSessionRecording), or Zendesk as data recipients. The Cookie Declaration discloses them; the privacy policy does not.

4) Zendesk (static.zdassets.com, zonehd.zendesk.com) — servers located in the USA. Trustpilot — Denmark/USA. No data-transfer mechanism is specified in the privacy policy.

5) Matomo runs HeatmapSessionRecording — recording heatmaps and user sessions. This goes beyond basic traffic analytics and requires a separate legal basis.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/ee-zone-ee/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Teema: Isikuandmetele juurdepääsu taotlus (IKÜM art 15) — zone.ee

Kellele: [märkige ettevõtte aadress — DPO / tugi / juriidiline osakond]
Kellelt: [Teie nimi], [kontakt-e-post]

Palun anda mulle juurdepääs minu isikuandmetele, mida töödeldakse seoses veebisaidi zone.ee kasutamisega.

1. Andmekategooriad ja töötlemise eesmärgid (IKÜM art 15(1)(a)-(c))
Sõltumatu tehnilise analüüsi põhjal palun kinnitada ja üksikasjalikult avaldada järgmised töötlemiskategooriad:

1) Trustpilot (+87 ms), Zendesk (+206 ms) ja Matomo seansisalvestusega (+133 ms) käivitatakse enne Cookiebot bänneri (+898 ms) ilmumist. Google Tag Manager laadib alla +793 ms, ka enne Cookieboti. GA kogumine läheb +1117 ms-le.

2) Bänner ilmub 898 ms pärast seansi algust. Trustpilot, Zendesk, Matomo ja GTM on juba aktiveeritud. Puudub reaalne mehhanism blokeerimiseks enne nõusoleku saamist.

3) Privaatsuspoliitikas ei mainita andmete saajatena Trustpilot’i, Matomo’t (a. zone.eu with HeatmapSessionRecording), Zendeskit. Küpsiste deklaratsioon deklareerib neid, kuid poliitika seda ei tee.

4) Zendesk (static. zdassets.com, zonehd. zendesk.com) on serverid Ameerika Ühendriikides. Trustpilot - Taani/USA. Andmete edastamise mehhanism ei ole privaatsuspoliitikas täpsustatud.

5) Matomo käivitab HeatmapSessionRecording - salvestab soojuskaarte ja kasutajaseansse. See läheb kaugemale põhiosalejate analüüsist ja nõuab eraldi õiguslikku alust.


2. Vastuvõtjad, säilitustähtajad ja edastamine väljapoole EMP-d (IKÜM art 15(1)(c)-(d), 46)
Palun samuti esitada täielik loetelu kolmandatest isikutest vastuvõtjatest, iga kategooria puhul kohaldatavad säilitustähtajad ning andmete EMP-välisele edastamisele kohaldatav õiguslik alus, kui selline edastamine toimub. Täielik tehniline analüüs koos tõenditega (salvestatud võrgulogi, SHA-256 kontrollsumma) on avaldatud aadressil: https://gdpru.eu/audits/ee-zone-ee/

3. Automatiseeritud töötlemine ja profiilianalüüs (IKÜM art 15(1)(h))
Palun teatada, kas minu suhtes kohaldatakse automatiseeritud otsuste tegemist või profiilianalüüsi, ning kui jah, siis avaldada selle loogika.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AKI — Эстонский надзорный орган по защите данных — напишите на info@aki.ee

Важно: AKI рассматривает обращения только на эстонском языке. Переведите письмо перед отправкой.

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — zone.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом zone.ee.

2. Обстоятельства
Я посетил сайт zone.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 05.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Trustpilot (+87 мс), Zendesk (+206 мс) и Matomo с записью сессий (+133 мс) запускаются до появления баннера Cookiebot (+898 мс). Google Tag Manager загружается на +793 мс — тоже до Cookiebot. GA collect уходит на +1117 мс.

2) Баннер Cookiebot появляется через 898 мс после старта сессии. К этому моменту Trustpilot, Zendesk, Matomo и GTM уже активированы. Реального механизма блокировки до согласия нет.

3) Политика конфиденциальности не упоминает Trustpilot, Matomo (a.zone.eu с HeatmapSessionRecording), Zendesk как получателей данных. Cookie Declaration декларирует их, но политика — нет.

4) Zendesk (static.zdassets.com, zonehd.zendesk.com) — серверы в США. Trustpilot — Дания/США. Механизм передачи данных не указан в политике конфиденциальности.

5) Matomo запускает HeatmapSessionRecording — запись тепловых карт и сессий пользователей. Это выходит за рамки базовой аналитики посещаемости и требует отдельного правового основания.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/ee-zone-ee/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 7; GDPR Art. 13(1)(e); GDPR Art. 13(1)(f), Chapter V; GDPR Art. 5(1)(c)

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — zone.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website zone.ee.

2. Circumstances
I visited the website zone.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 5 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) Trustpilot (+87 ms), Zendesk (+206 ms), and Matomo with session recording (+133 ms) launch before the Cookiebot banner appears (+898 ms). Google Tag Manager loads at +793 ms — also before Cookiebot. The GA collect call goes out at +1117 ms.

2) The Cookiebot banner appears 898 ms after the session begins. By this point, Trustpilot, Zendesk, Matomo, and GTM are already active. There is no genuine mechanism blocking these prior to consent.

3) The privacy policy does not mention Trustpilot, Matomo (a.zone.eu with HeatmapSessionRecording), or Zendesk as data recipients. The Cookie Declaration discloses them; the privacy policy does not.

4) Zendesk (static.zdassets.com, zonehd.zendesk.com) — servers located in the USA. Trustpilot — Denmark/USA. No data-transfer mechanism is specified in the privacy policy.

5) Matomo runs HeatmapSessionRecording — recording heatmaps and user sessions. This goes beyond basic traffic analytics and requires a separate legal basis.

Full technical documentation is published at: https://gdpru.eu/audits/ee-zone-ee/

3. GDPR provisions I ask you to examine
GDPR Art. 6(1), Art. 5(1)(a); GDPR Art. 7; GDPR Art. 13(1)(e); GDPR Art. 13(1)(f), Chapter V; GDPR Art. 5(1)(c)

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil zone.ee.

2. Asjaolud
Külastasin veebisaiti zone.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 05.06.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Trustpilot (+87 ms), Zendesk (+206 ms) ja Matomo seansisalvestusega (+133 ms) käivitatakse enne Cookiebot bänneri (+898 ms) ilmumist. Google Tag Manager laadib alla +793 ms, ka enne Cookieboti. GA kogumine läheb +1117 ms-le.

2) Bänner ilmub 898 ms pärast seansi algust. Trustpilot, Zendesk, Matomo ja GTM on juba aktiveeritud. Puudub reaalne mehhanism blokeerimiseks enne nõusoleku saamist.

3) Privaatsuspoliitikas ei mainita andmete saajatena Trustpilot’i, Matomo’t (a. zone.eu with HeatmapSessionRecording), Zendeskit. Küpsiste deklaratsioon deklareerib neid, kuid poliitika seda ei tee.

4) Zendesk (static. zdassets.com, zonehd. zendesk.com) on serverid Ameerika Ühendriikides. Trustpilot - Taani/USA. Andmete edastamise mehhanism ei ole privaatsuspoliitikas täpsustatud.

5) Matomo käivitab HeatmapSessionRecording - salvestab soojuskaarte ja kasutajaseansse. See läheb kaugemale põhiosalejate analüüsist ja nõuab eraldi õiguslikku alust.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/audits/ee-zone-ee/

3. Sätted, mille järgimist palun kontrollida
GDPR artikli 6 lõige 1, artikli 5 lõike 1 punkt a; GDPR artikkel 7; GDPR artikli 13 lõike 1 punkt e; GDPR artikli 13 lõike 1 punkt f, V peatükk; GDPR artikli 5 lõike 1 punkt c

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]