Технический аудит · 05.09.2026

amundi.com

Крупнейший в Европе распорядитель активами

Сайт Amundi — крупнейшей в Европе управляющей компании — 722 обращения, 15 узлов, запись почти 10 минут по нескольким поддоменам. Статистическая аналитика AT Internet / Piano отправляет устойчивый идентификатор посетителя уже на первой секунде, тогда как платформа управления согласием загружается лишь на 55-й секунде. Приложенные снимки экрана прямо фиксируют: при показанном баннере, где статистика не выбрана, аналитика уже шлёт обращение с идентификатором. Политика относит эти cookie к статистическим, то есть требующим согласия.

Хронология обращений

+510 мс · загрузка сайта

Запись начата на about.amundi.com. Из защитных заголовков выставлены строгий транспорт, запрет вложения в кадр DENY, запрет угадывания типа содержимого, политика реферера strict-origin-when-cross-origin и политика безопасности содержимого с ограничением источников. Политики разрешений нет. Браузер отправлял заголовок DNT: 1.

+852…+882 мс · аналитика и виджет шеринга из разметки

Из разметки стартуют tag.aticdn.net (загрузчик Piano Analytics / AT Internet) и static.addtoany.com (кнопки шеринга в соцсети). Оба инициированы самой страницей, до какого-либо выбора пользователя.

+1353 мс · передача идентификатора в аналитику

logs1241.xiti.com/event — обращение AT Internet с параметрами s (идентификатор сайта) и idclient (устойчивый идентификатор посетителя). Согласно политике, cookie XITI несёт уникальный идентификатор сроком тринадцать месяцев, а Amundi собирает адрес IP для определения города. Всего к узлам AT Internet за запись уходит шестнадцать обращений.

+146045 мс · запись сеанса

www.clarity.ms/tag/x8zmv0memz — Microsoft Clarity, запись сеанса и тепловые карты, на разделе globaldistributor. В политике этот сервис поимённо не назван.

+52613…+547839 мс · навигация по поддоменам

Сеанс охватывает несколько доменов Amundi: about.amundi.com, www.amundi.com (institutional, globaldistributor), research-center.amundi.com, int.media.amundi.com. На разделах institutional и globaldistributor показывается двухшаговое окно выбора профиля инвестора и cookie.

Декларация против факта

✓ Контролёр — Amundi Asset Management, SAS, RCS Paris 437 574 452, 91-93 boulevard Pasteur, 75015 Paris; регулятор — Autorité des Marchés Financiers (AMF), GP 04000036 — заявлен

✓ Специалист по защите данных — dpo@amundi.com; надзорный орган — CNIL (Франция) — заявлен

✓ Legal Notices описывают cookie подробно: строго необходимые, предпочтений, статистические (audience measurement) — заявлен

✓ XITI (AT Internet) назван как статистический инструмент: уникальный идентификатор сроком 13 месяцев, сбор адреса IP для определения города; приведена ссылка на opt-out — заявлен

✓ Согласие можно отозвать в любой момент через DPO — заявлен

+ Отправка статистического идентификатора idclient до загрузки платформы согласия и вопреки невыбранной категории «Statistic» в баннере — не заявлен

+ Microsoft Clarity — запись сеанса, поимённо не раскрыта — не заявлен

+ AddToAny — виджет шеринга с трекингом, не раскрыт — не заявлен

Тайминги передачи

+852 мс tag.aticdn.net

Загрузчик Piano Analytics / AT Internet.

+882 мс static.addtoany.com

Кнопки шеринга AddToAny, 54 обращения.

+1353 мс logs1241.xiti.com

AT Internet event, идентификатор посетителя idclient.

+55003 мс cdn.tagcommander.com

TagCommander, загружается на 55-й секунде.

+146045 мс www.clarity.ms

Microsoft Clarity, тег x8zmv0memz, не раскрыт в политике.

Зафиксированные трекеры

AT Internet / Piano Analytics (tag.aticdn.net, logs1241.xiti.com, logs1279.xiti.com, tftjngl.pa-cd.com) — статистическая аналитика, передаёт устойчивый идентификатор idclient с +1353 мс, до платформы согласия
Microsoft Clarity (www.clarity.ms, тег x8zmv0memz) — запись сеанса, стартует на +146 с
AddToAny (static.addtoany.com) — кнопки шеринга в соцсети с трекингом, 54 обращения, стартует на +882 мс
TagCommander / Commanders Act (cdn.tagcommander.com, manager.tagcommander.com) — платформа управления согласием, загружается только на +55 с

Признаки несоответствия GDPR

ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a))
Статистическая аналитика AT Internet / Piano отправляет событие с устойчивым идентификатором посетителя idclient уже на +1353 мс — тогда как платформа управления согласием TagCommander загружается только на +55003 мс. Кнопки шеринга AddToAny стартуют на +882 мс. То есть аналитика и социальный виджет отрабатывают на первой секунде, за десятки секунд до появления механизма согласия. Приложенные к материалам снимки экрана фиксируют это напрямую: при показанном баннере согласия, где категория «Statistic» не отмечена, инструмент Piano уже отправляет обращение event с параметром idclient. Собственная политика сайта относит cookie XITI к статистическим, то есть требующим выбора пользователя, а не к строго необходимым.
GDPR Art. 13(1)(e) — раскрытие получателей
Политика (Legal Notices) прямо называет XITI / AT Internet как статистический инструмент с уникальным идентификатором сроком 13 месяцев и сбором адреса IP для определения города. Но запись сеанса Microsoft Clarity и социальный виджет AddToAny в документе как получатели веб-данных поимённо не раскрыты; упоминание Microsoft в политике относится к настройкам cookie в браузере, а не к сервису записи сеанса Clarity.
GDPR Art. 32 — меры безопасности
Защитные заголовки на основном поддомене выставлены основательно: строгий транспорт, запрет вложения в кадр DENY, запрет угадывания типа содержимого, политика реферера и политика безопасности содержимого с ограничением источников. Из недостающего — политики разрешений нет. Замечание мягкое на фоне остального: заголовочная защита здесь заметно сильнее, чем у большинства коммерческих сайтов.

Контекст

amundi.com (замер на поддомене about.amundi.com) — сайт Amundi, крупнейшей в Европе управляющей компании (asset management). Контролёр — Amundi Asset Management, SAS, зарегистрированная по адресу 91-93 boulevard Pasteur, 75015 Paris, RCS Paris 437 574 452; деятельность лицензирована французским регулятором рынков Autorité des Marchés Financiers (AMF) под номером GP 04000036. Специалист по защите данных — dpo@amundi.com. Сайт отдаётся через инфраструктуру Amundi; часть ресурсов — через Brightcove (видео) и CDN.

Замер: 722 обращения, 15 узлов, длительность записи 581 секунда (около десяти минут), снят 5 сентября 2026 года. Сеанс охватывает несколько поддоменов Amundi: about.amundi.com, www.amundi.com (разделы institutional и globaldistributor), research-center.amundi.com, int.media.amundi.com. Помимо собственных узлов, страница обращается к статистической аналитике AT Internet / Piano (несколько узлов), кнопкам шеринга AddToAny, платформе согласия TagCommander и записи сеанса Microsoft Clarity.

Обработку описывают Legal Notices (Terms of Use) и политика конфиденциальности Amundi. К материалам приложены два снимка экрана, зафиксировавшие состояние баннера согласия и сетевых обращений в момент съёмки.

Кому уходят данные напрямую

AT Internet / Piano, AddToAny, Microsoft (Clarity).

Заявленное против фактического

Статистическая аналитика уходит до платформы согласия. Загрузчик AT Internet / Piano стартует из разметки на +852 мс, а обращение logs1241.xiti.com/event с устойчивым идентификатором посетителя idclient уходит на +1353 мс. Платформа управления согласием TagCommander при этом загружается только на +55003 мс — на 55-й секунде сеанса. То есть между стартом аналитики и появлением механизма согласия проходит почти минута. Приложенные снимки экрана показывают это прямо: при открытом баннере согласия, где категория «Statistic» не отмечена, в списке сетевых обращений уже присутствует event?...&idclient=..., отправленный инструментом Piano.

Собственная политика классифицирует эти cookie как статистические. Legal Notices Amundi относят XITI / AT Internet к «cookie измерения аудитории (статистика)» — отдельной категории, которую баннер выносит на выбор пользователя. Политика прямо описывает: XITI генерирует cookie с уникальным идентификатором сроком тринадцать месяцев, а Amundi собирает адрес IP для определения города посетителя. Раз сам сайт признаёт эти cookie статистическими и предлагает по ним выбор, их срабатывание до и вопреки этому выбору — расхождение заявленного с фактическим.

Виджет шеринга работает независимо от согласия. AddToAny (static.addtoany.com) — кнопки публикации в соцсети с сопутствующим трекингом — загружается на +882 мс, 54 обращения за запись. Он стартует вместе с аналитикой, до платформы согласия, и в политике поимённо не раскрыт.

Запись сеанса не раскрыта. На разделе globaldistributor подключается Microsoft Clarity (www.clarity.ms, тег x8zmv0memz) — запись сеанса и тепловые карты. Упоминание Microsoft в политике относится к настройкам cookie в браузере, а не к сервису Clarity; как получатель данных записи сеанса он не назван.

Раскрытие аналитики — сильная сторона, но неполная. В отличие от многих, Amundi прямо называет в политике сам инструмент XITI / AT Internet, срок хранения идентификатора и факт сбора IP. Это честнее обычного. Но полнота нарушена дважды: не названы Clarity и AddToAny, и, главное, раскрытый статистический инструмент срабатывает до согласия, которое сам же сайт по нему предусматривает.

Защитные заголовки — заметно сильнее среднего. Основной поддомен выставляет строгий транспорт, запрет вложения в кадр DENY, запрет угадывания типа содержимого, политику реферера и политику безопасности содержимого с ограничением источников. Из недостающего — только политика разрешений. Это одна из наиболее защищённых заголовками записей в серии.

Согласие: что доказано и что нет

Доказано: статистическая аналитика передаёт идентификатор до платформы согласия. Обращение AT Internet logs1241.xiti.com/event с параметром idclient уходит на +1353 мс; платформа согласия TagCommander загружается на +55003 мс.

Доказано снимками экрана: обращение с идентификатором происходит при невыбранной статистике. Оба приложенных снимка фиксируют баннер согласия с неотмеченной категорией «Statistic» и одновременно — обращение event с параметром idclient в списке сетевых запросов.

Доказано: виджет шеринга и аналитика стартуют из разметки, до согласия. AddToAny (+882 мс) и загрузчик AT Internet (+852 мс) инициированы разметкой страницы.

Не доказано и не утверждается: состояние cookie на устройстве. Заголовки cookie и тела ответов из опубликованного файла удалены при очистке. Наличие идентификатора idclient подтверждается параметрами обращений, а не заголовками cookie; полное его значение в разборе не приводится.

Отдельно: браузер при съёмке отправлял заголовок DNT: 1. На состав и адресацию обращений это не повлияло.

Границы наблюдения

Замер охватывает несколько поддоменов и разделов сайта. Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне сервера, договорные отношения с получателями и настройки на их стороне браузерным замером не проверяются. Правовую оценку выносит компетентный орган — во Франции это CNIL.

Обращения к edge.microsoft.com относятся к телеметрии браузера Microsoft Edge, а не к сайту amundi.com, и в разбор поведения сайта не входят; они перечислены только для полноты записи.

Файл опубликован очищенным от личных данных: удалены заголовки cookie в запросах и тела ответов. Вывод о передаче идентификатора до согласия опирается на сетевой уровень — тайминги, адреса и параметры обращений AT Internet читаются по записи и совпадают с тем, что зафиксировано на снимках экрана.

Идентификация сервисов опирается на домены и схему адресов: AT Internet / Piano — по aticdn.net, xiti.com, pa-cd.com и пути event с параметром idclient; TagCommander — по tagcommander.com; Microsoft Clarity — по clarity.ms; AddToAny — по addtoany.com; провайдер отдачи и защита — по заголовкам ответов основного поддомена.

Вывод

Сайт крупнейшей в Европе управляющей компании Amundi отправляет статистическую аналитику AT Internet / Piano с устойчивым идентификатором посетителя уже на первой секунде визита, тогда как платформа управления согласием TagCommander загружается лишь на 55-й секунде. Приложенные снимки экрана фиксируют это напрямую: при показанном баннере согласия с невыбранной категорией «Statistic» инструмент Piano уже отправляет обращение с идентификатором. Собственная политика Amundi относит эти cookie к статистическим, то есть предусматривает по ним выбор пользователя, — и это делает расхождение заявленного с фактическим отчётливым. Виджет шеринга AddToAny и запись сеанса Microsoft Clarity работают в том же сеансе, причём последняя в политике не раскрыта.

При этом Amundi честнее многих в раскрытии: политика прямо называет XITI / AT Internet, срок хранения идентификатора и сбор адреса IP, а защитные заголовки на основном поддомене заметно сильнее среднего. Проблема не в сокрытии инструмента, а в том, что раскрытая статистическая аналитика срабатывает до согласия, которое сам сайт по ней предусматривает.

Устранение: поставить загрузку статистической аналитики AT Internet / Piano, записи сеанса Microsoft Clarity и виджета шеринга AddToAny в зависимость от выбора пользователя в платформе согласия TagCommander, чтобы до подтверждения категории «Statistic» идентификатор idclient не отправлялся; назвать в политике запись сеанса Microsoft Clarity и виджет AddToAny как получателей веб-данных с указанием целей; добавить политику разрешений к уже выставленному набору защитных заголовков.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: global/amundi-com-2026-09-05.har

SHA-256: eda49d87f81a2fedf129c39667c847f97b06383ec5021cd00f89f9133cf7a237

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — amundi.com

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта amundi.com.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Статистическая аналитика AT Internet / Piano отправляет событие с устойчивым идентификатором посетителя idclient уже на +1353 мс — тогда как платформа управления согласием TagCommander загружается только на +55003 мс. Кнопки шеринга AddToAny стартуют на +882 мс. То есть аналитика и социальный виджет отрабатывают на первой секунде, за десятки секунд до появления механизма согласия. Приложенные к материалам снимки экрана фиксируют это напрямую: при показанном баннере согласия, где категория «Statistic» не отмечена, инструмент Piano уже отправляет обращение event с параметром idclient. Собственная политика сайта относит cookie XITI к статистическим, то есть требующим выбора пользователя, а не к строго необходимым.

2) Политика (Legal Notices) прямо называет XITI / AT Internet как статистический инструмент с уникальным идентификатором сроком 13 месяцев и сбором адреса IP для определения города. Но запись сеанса Microsoft Clarity и социальный виджет AddToAny в документе как получатели веб-данных поимённо не раскрыты; упоминание Microsoft в политике относится к настройкам cookie в браузере, а не к сервису записи сеанса Clarity.

3) Защитные заголовки на основном поддомене выставлены основательно: строгий транспорт, запрет вложения в кадр DENY, запрет угадывания типа содержимого, политика реферера и политика безопасности содержимого с ограничением источников. Из недостающего — политики разрешений нет. Замечание мягкое на фоне остального: заголовочная защита здесь заметно сильнее, чем у большинства коммерческих сайтов.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/global-amundi-com/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — amundi.com

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website amundi.com.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The AT Internet / Piano statistical analytics sends an event with the persistent visitor identifier idclient as early as +1353 ms — whereas the TagCommander consent-management platform loads only at +55003 ms. The AddToAny share buttons start at +882 ms. That is, the analytics and the social widget run in the first second, tens of seconds before the consent mechanism appears. The site's own policy classifies the XITI cookies as statistical, that is, requiring the user's choice, rather than as strictly necessary.

2) The policy (Legal Notices) names XITI / AT Internet directly as a statistical tool with a unique identifier valid for 13 months and the collection of the IP address to determine the city. But the Microsoft Clarity session recording and the AddToAny social widget are not disclosed in the document by name as recipients of web data; the mention of Microsoft in the policy relates to cookie settings in the browser, not to the Clarity session-recording service.

3) The security headers on the main subdomain are set solidly: strict transport, the frame-embedding ban DENY, the content-type-sniffing ban, a referrer policy and a content-security-policy restricting sources. Of what is missing — there is no permissions policy. The remark is mild against the rest: the header-level protection here is noticeably stronger than on most commercial sites.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/global-amundi-com/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: CNIL — Национальная комиссия по информатике и свободам — cnil.fr

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — amundi.com

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом amundi.com.

2. Обстоятельства
Я посетил сайт amundi.com и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 05.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Статистическая аналитика AT Internet / Piano отправляет событие с устойчивым идентификатором посетителя idclient уже на +1353 мс — тогда как платформа управления согласием TagCommander загружается только на +55003 мс. Кнопки шеринга AddToAny стартуют на +882 мс. То есть аналитика и социальный виджет отрабатывают на первой секунде, за десятки секунд до появления механизма согласия. Приложенные к материалам снимки экрана фиксируют это напрямую: при показанном баннере согласия, где категория «Statistic» не отмечена, инструмент Piano уже отправляет обращение event с параметром idclient. Собственная политика сайта относит cookie XITI к статистическим, то есть требующим выбора пользователя, а не к строго необходимым.

2) Политика (Legal Notices) прямо называет XITI / AT Internet как статистический инструмент с уникальным идентификатором сроком 13 месяцев и сбором адреса IP для определения города. Но запись сеанса Microsoft Clarity и социальный виджет AddToAny в документе как получатели веб-данных поимённо не раскрыты; упоминание Microsoft в политике относится к настройкам cookie в браузере, а не к сервису записи сеанса Clarity.

3) Защитные заголовки на основном поддомене выставлены основательно: строгий транспорт, запрет вложения в кадр DENY, запрет угадывания типа содержимого, политика реферера и политика безопасности содержимого с ограничением источников. Из недостающего — политики разрешений нет. Замечание мягкое на фоне остального: заголовочная защита здесь заметно сильнее, чем у большинства коммерческих сайтов.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/global-amundi-com/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 32 — меры безопасности

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — amundi.com

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website amundi.com.

2. Circumstances
I visited the website amundi.com and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 5 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The AT Internet / Piano statistical analytics sends an event with the persistent visitor identifier idclient as early as +1353 ms — whereas the TagCommander consent-management platform loads only at +55003 ms. The AddToAny share buttons start at +882 ms. That is, the analytics and the social widget run in the first second, tens of seconds before the consent mechanism appears. The site's own policy classifies the XITI cookies as statistical, that is, requiring the user's choice, rather than as strictly necessary.

2) The policy (Legal Notices) names XITI / AT Internet directly as a statistical tool with a unique identifier valid for 13 months and the collection of the IP address to determine the city. But the Microsoft Clarity session recording and the AddToAny social widget are not disclosed in the document by name as recipients of web data; the mention of Microsoft in the policy relates to cookie settings in the browser, not to the Clarity session-recording service.

3) The security headers on the main subdomain are set solidly: strict transport, the frame-embedding ban DENY, the content-type-sniffing ban, a referrer policy and a content-security-policy restricting sources. Of what is missing — there is no permissions policy. The remark is mild against the rest: the header-level protection here is noticeably stronger than on most commercial sites.

Full technical documentation is published at: https://gdpru.eu/audits/global-amundi-com/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 32 — security measures

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]