Технический аудит · 02.07.2026

inserm.fr

Национальный институт здоровья и медицинских исследований Франции

Национальный институт здоровья и медицинских исследований Франции — 72 запроса, 5 доменов. Сторонний сервис WonderPush (push-уведомления с аналитикой) загружает SDK и отправляет событие в свой измерительный API до согласия, хотя политика сама требует согласия на интеграцию сторонних сервисов. WonderPush в политике не назван. Контент дополнительно раздаётся через BunnyCDN (Bunny.net, ЕС).

Хронология обращений

+0 мс · загрузка портала

Контент с www.inserm.fr и собственного cdn.inserm.fr.

+133 мс · CDN контента

inserm.b-cdn.net — BunnyCDN (Bunny.net, ЕС) раздаёт собственные ресурсы Inserm (wp-content). CDN, не трекер.

+136 мс · загрузчик WonderPush

cdn.by.wonderpush.com/sdk/1.1/wonderpush-loader.min.js — загрузчик стороннего сервиса push-уведомлений.

+3854–3989 мс · полный SDK и ключи

wonderpush.min.js и config/webkeys — инициализация SDK WonderPush.

+4133 мс · событие без согласия

measurements-api.wonderpush.com/v1/events — POST-событие в измерительный API WonderPush, до согласия.

Декларация против факта

✓ Cookies для аудиторного измерения (без согласия) и обобщённо «services tiers (vidéos, etc.)» — заявлен

✓ Интеграция сторонних сервисов — требует согласия («autorisation») — заявлен

✓ Конкретный аудиторный инструмент и сторонние получатели не названы — заявлен

+ WonderPush (cdn.by.wonderpush.com, measurements-api.wonderpush.com) — сторонний сервис, в политике не назван; событие уходит до согласия — не заявлен

+ BunnyCDN (inserm.b-cdn.net) — CDN контента (Bunny.net, ЕС), в политике не назван (наблюдение) — не заявлен

Тайминги передачи

+136 мс cdn.by.wonderpush.com

WonderPush loader. Сторонний сервис push-уведомлений.

+4133 мс measurements-api.wonderpush.com

POST /v1/events — событие в измерительный API WonderPush.

Зафиксированные трекеры

WonderPush (cdn.by.wonderpush.com, measurements-api.wonderpush.com)
BunnyCDN (inserm.b-cdn.net) — CDN контента

Признаки несоответствия GDPR

GDPR Art. 13(1)(e) — раскрытие получателей
В замере работает сторонний сервис WonderPush (push-уведомления с аналитикой): загружается SDK с cdn.by.wonderpush.com, затем на +4133 мс уходит POST measurements-api.wonderpush.com/v1/events. Ни WonderPush, ни push-уведомления, ни этот получатель данных в политике не упомянуты. Политика перечисляет обобщённо «services tiers (vidéos, etc.)», но фактический сторонний сервис не назван.
Art. 82 Loi Informatique et Libertés (ePrivacy) + собственное правило политики
Политика прямо указывает, что интеграция сторонних сервисов требует согласия («Intégration de services tiers» — autorisation). При этом WonderPush отправляет событие в свой measurements-api до какого-либо согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. Сторонний сервис срабатывает раньше согласия, которого требует сама политика; push-уведомления к освобождённому от согласия аудиторному измерению не относятся.

Контекст

inserm.fr — официальный сайт Национального института здоровья и медицинских исследований Франции (Inserm), государственного научного учреждения в сфере биомедицины. Ответственный за обработку — Inserm. Политика конфиденциальности короткая (около 4 900 символов). Замер: 72 запроса, 5 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

WonderPush (measurements-api.wonderpush.com, POST-событие /v1/events) — до согласия.

Заявленное против фактического

Политика описывает использование cookie обобщённо: измерение аудитории, улучшение сайта и интеграция сторонних сервисов («services tiers (vidéos, etc.)»). При этом она проводит важное разграничение по правовому основанию: аудиторное измерение — без необходимости согласия, а интеграция сторонних сервисов — с согласия («autorisation»). Конкретные инструменты и сторонние получатели в политике не названы.

Замер показывает работу стороннего сервиса, который под это разграничение не подпадает. WonderPush — сервис push-уведомлений с собственной аналитикой. Его загрузчик приходит на +136 мс, полный SDK и ключи — на +3854–3989 мс, а на +4133 мс уходит POST-запрос measurements-api.wonderpush.com/v1/events — событие в измерительный API сервиса. Всё это происходит при состоянии без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. WonderPush — сторонний сервис, а не освобождённое от согласия аудиторное измерение; по собственному правилу политики он требует согласия, но срабатывает раньше него. Ни WonderPush, ни push-уведомления в политике не упомянуты.

Отдельно: часть контента Inserm раздаётся через inserm.b-cdn.net — это сеть доставки BunnyCDN (компания Bunny.net, ЕС). Это раздача собственных ресурсов через CDN, а не сторонний трекер; получатель находится в ЕС. В политике CDN не назван — отмечается как наблюдение о полноте, не как нарушение.

Тайминг относительно согласия

Загрузчик WonderPush срабатывает практически сразу (+136 мс), а передающее данные событие — на +4133 мс. На всём протяжении сеанса согласие не запрашивалось и не давалось (Set-Cookie ноль). Таким образом сторонний сервис инициализируется и отправляет событие до выбора пользователя.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Точный состав полезной нагрузки события /v1/events из облегчённого дампа детально не восстанавливается; фиксируется факт POST-запроса к измерительному API стороннего сервиса до согласия. WonderPush — французская компания; вопрос географии его серверной обработки по замеру не устанавливается и в основание нарушения не кладётся. BunnyCDN отнесён к раздаче собственного контента, получатель в ЕС. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Inserm в политике сам разграничивает: аудиторное измерение — без согласия, а сторонние сервисы — с согласия. Замер показывает, что сторонний сервис WonderPush (push-уведомления с аналитикой) инициализируется и отправляет событие в свой измерительный API до какого-либо согласия, а в самой политике он не назван вовсе. Это расходится и с требованием о раскрытии получателей, и с собственным правилом сайта о согласии на сторонние сервисы. Дополнительно контент раздаётся через CDN Bunny.net, также не названный, но с получателем в ЕС — это вопрос полноты, а не нарушение. Устранение: назвать WonderPush и цель его использования в политике, включить его в механизм согласия и не инициализировать его SDK до выбора пользователя; для полноты — упомянуть используемый CDN.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: fr/inserm-fr-2026-07-02.har

SHA-256: de0856b63c6cad1252ff6b50b2c51952a5c883d467a3d3cdd00b023e87f40c9d

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — inserm.fr

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта inserm.fr.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) В замере работает сторонний сервис WonderPush (push-уведомления с аналитикой): загружается SDK с cdn.by.wonderpush.com, затем на +4133 мс уходит POST measurements-api.wonderpush.com/v1/events. Ни WonderPush, ни push-уведомления, ни этот получатель данных в политике не упомянуты. Политика перечисляет обобщённо «services tiers (vidéos, etc.)», но фактический сторонний сервис не назван.

2) Политика прямо указывает, что интеграция сторонних сервисов требует согласия («Intégration de services tiers» — autorisation). При этом WonderPush отправляет событие в свой measurements-api до какого-либо согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. Сторонний сервис срабатывает раньше согласия, которого требует сама политика; push-уведомления к освобождённому от согласия аудиторному измерению не относятся.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/fr-inserm-fr/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — inserm.fr

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website inserm.fr.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The measurement shows the third-party service WonderPush (push notifications with analytics) at work: the SDK loads from cdn.by.wonderpush.com, and at +4133 ms a POST fires to measurements-api.wonderpush.com/v1/events. Neither WonderPush, nor push notifications, nor this data recipient is mentioned in the policy. The policy lists 'services tiers (vidéos, etc.)' in general terms, but the actual third-party service is not named.

2) The policy states directly that integrating third-party services requires consent ('Intégration de services tiers' — autorisation). Yet WonderPush sends an event to its measurements-api before any consent: not a single cookie is set for the entire session, and no user choice has been made. The third-party service fires before the very consent the policy itself requires; push notifications do not fall under the consent-exempt category of audience measurement.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/fr-inserm-fr/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: CNIL — Национальная комиссия по информатике и свободам — cnil.fr

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — inserm.fr

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом inserm.fr.

2. Обстоятельства
Я посетил сайт inserm.fr и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 02.07.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) В замере работает сторонний сервис WonderPush (push-уведомления с аналитикой): загружается SDK с cdn.by.wonderpush.com, затем на +4133 мс уходит POST measurements-api.wonderpush.com/v1/events. Ни WonderPush, ни push-уведомления, ни этот получатель данных в политике не упомянуты. Политика перечисляет обобщённо «services tiers (vidéos, etc.)», но фактический сторонний сервис не назван.

2) Политика прямо указывает, что интеграция сторонних сервисов требует согласия («Intégration de services tiers» — autorisation). При этом WonderPush отправляет событие в свой measurements-api до какого-либо согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. Сторонний сервис срабатывает раньше согласия, которого требует сама политика; push-уведомления к освобождённому от согласия аудиторному измерению не относятся.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/fr-inserm-fr/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13(1)(e) — раскрытие получателей; Art. 82 Loi Informatique et Libertés (ePrivacy) + собственное правило политики

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — inserm.fr

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website inserm.fr.

2. Circumstances
I visited the website inserm.fr and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 2 July 2026 (open methodology, reproducible measurements) documents the following indications:

1) The measurement shows the third-party service WonderPush (push notifications with analytics) at work: the SDK loads from cdn.by.wonderpush.com, and at +4133 ms a POST fires to measurements-api.wonderpush.com/v1/events. Neither WonderPush, nor push notifications, nor this data recipient is mentioned in the policy. The policy lists 'services tiers (vidéos, etc.)' in general terms, but the actual third-party service is not named.

2) The policy states directly that integrating third-party services requires consent ('Intégration de services tiers' — autorisation). Yet WonderPush sends an event to its measurements-api before any consent: not a single cookie is set for the entire session, and no user choice has been made. The third-party service fires before the very consent the policy itself requires; push notifications do not fall under the consent-exempt category of audience measurement.

Full technical documentation is published at: https://gdpru.eu/audits/fr-inserm-fr/

3. GDPR provisions I ask you to examine
GDPR Art. 13(1)(e) — disclosure of recipients; Art. 82 Loi Informatique et Libertés (ePrivacy) + the policy's own rule

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]