Библиотека иконок Font Awesome — 140 обращений, 20 узлов, запись 52 секунды. Главная страница без согласия запускает аналитику Google, рекламную привязку DoubleClick и рекламную сеть BuySellAds: идентификатор клиента уходит в Google на третьей секунде, до любого выбора пользователя. Политика называет Google Analytics, Stripe и Help Scout, но рекламные технологии BuySellAds и DoubleClick, а также reCAPTCHA и сторонний шрифтовой сервис в ней не раскрыты. При этом политика прямо заявляет, что сайт не реагирует на сигнал Do Not Track, — а браузер при съёмке его отправлял.
Хронология обращений
Декларация против факта
Тайминги передачи
Google Tag Manager, загружает счётчик GA4.
Рекламная сеть BuySellAds, скрипт монетизации.
Платёжная система Stripe.
reCAPTCHA.
GA4 G-BPMS41FJD2, идентификатор клиента, page_view.
Рекламная привязка DoubleClick, тот же идентификатор клиента.
Сторонний шрифтовой сервис.
Чат поддержки Help Scout.
Зафиксированные трекеры
- Google Analytics 4 (G-BPMS41FJD2) через region1.google-analytics.com — идентификатор клиента, событие page_view уходит до согласия
- Google DoubleClick (stats.g.doubleclick.net) — рекламная привязка, получает тот же идентификатор клиента
- BuySellAds (m.servedby-buysellads.com) — рекламная сеть, скрипт монетизации, не раскрыта в политике
- Google Tag Manager (www.googletagmanager.com), reCAPTCHA (google.com, gstatic.com) — загрузчик тегов и проверка, не раскрыты
- Bunny Fonts (fonts.bunny.net) — сторонний шрифтовой сервис, не раскрыт
- Stripe (js.stripe.com, m.stripe.com, m.stripe.network), Help Scout (beacon-v2.helpscout.net) — платежи и поддержка, раскрыты в политике
Признаки несоответствия GDPR
- ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a))Механизма согласия на сайте нет: за 140 обращений не встречается ни одного обращения к платформе управления согласием, ни одного сценария с признаками баннера, ни одного заголовка Set-Cookie. Аналитика Google, рекламная привязка DoubleClick, рекламная сеть BuySellAds и reCAPTCHA стартуют из разметки главной страницы на +751…+753 мс, а первое обращение Google Analytics 4 с идентификатором клиента уходит на +3693 мс — всё до какого-либо выбора пользователя. Управление cookie политика выносит в ссылку в подвале и в настройки браузера, а отказ от Google Analytics предлагает только через браузерное расширение.
- GDPR Art. 13(1)(e) — раскрытие получателейПолитика называет Google Analytics, Stripe и Help Scout, но ряд получателей не раскрыт: рекламная сеть BuySellAds, рекламный узел DoubleClick, Google Tag Manager, reCAPTCHA и сторонний шрифтовой сервис Bunny Fonts в документе отсутствуют. При этом BuySellAds и DoubleClick — рекламные технологии, а политика отдельным пунктом утверждает, что сведения о пользователе не продаются и не передаются другим компаниям.
- GDPR Art. 21 — право на возражение (игнорирование Do Not Track)Политика прямо заявляет, что Font Awesome не реагирует на заголовок Do Not Track. При съёмке браузер отправлял заголовок DNT: 1, и это не повлияло ни на состав, ни на адресацию обращений: аналитика, рекламная привязка и рекламная сеть отработали в полном объёме. Сознательное игнорирование сигнала об отказе от отслеживания при отсутствии иного механизма согласия оставляет пользователя без действующего способа возразить против сбора.
- GDPR Art. 32 — меры безопасностиИз защитных заголовков сайт выставляет строгий транспорт с включением поддоменов и признаком предзагрузки, запрет вложения в кадр SAMEORIGIN, запрет угадывания типа содержимого и политику реферера, но политики безопасности содержимого нет и политики разрешений нет. На странице, загружающей рекламный и платёжный сторонний код, отсутствие политики безопасности содержимого означает, что перечень доверенных источников сценариев ничем не ограничен.
Контекст
fontawesome.com — сайт библиотеки иконок и шрифтов Font Awesome (контролёр — Fonticons, Inc.). Сайт отдаётся через Cloudflare (server: cloudflare). Помимо основного домена, собственную инфраструктуру составляют узлы доставки иконок: site-assets.fontawesome.com, e.fontawesome.com, ka-f.fontawesome.com, use.fortawesome.com.
Замер: 140 обращений, 20 узлов, длительность записи 52,4 секунды, снят 16 августа 2026 года. Запись охватывает главную страницу. Помимо собственных узлов, страница обращается к сторонним получателям: Google (Tag Manager, Analytics 4, DoubleClick, reCAPTCHA), рекламная сеть BuySellAds, платёжная система Stripe, чат поддержки Help Scout, шрифтовой сервис Bunny Fonts, а также узел CloudFront.
Обработку описывает политика приватности Font Awesome, обновление 11 ноября 2024 года: разделы о сборе данных при посещении, о сети доставки, об учётных и платёжных данных, о выборе пользователя, о хранении и передаче, о соответствии GDPR и EU-U.S. Data Privacy Framework.
Кому уходят данные напрямую
Google (Analytics, DoubleClick, Tag Manager, reCAPTCHA), BuySellAds, Stripe, Help Scout, Bunny Fonts.
Заявленное против фактического
Политика называет часть получателей — но не рекламные технологии. Документ честен в одном: он прямо называет Google Analytics, Stripe как платёжную систему и Help Scout, а также приводит список прочих сервисов (AWS, Basecamp и другие). Но рекламный контур в политике отсутствует. Нет ни рекламной сети BuySellAds, чей скрипт монетизации грузится на +753 мс, ни рекламного узла DoubleClick, получающего идентификатор клиента, ни Google Tag Manager, ни reCAPTCHA, ни стороннего шрифтового сервиса Bunny Fonts.
Отдельного веса добавляет то, что политика в разделе о передаче данных прямо утверждает: сведения о пользователе не продаются и не передаются другим компаниям. BuySellAds и DoubleClick — именно рекламные технологии, и их присутствие этой формулировке противоречит.
Механизма согласия нет, а Do Not Track сознательно игнорируется. За 140 обращений не встретилось ни платформы управления согласием, ни сценария с признаками баннера. Аналитика Google, рекламная привязка DoubleClick, рекламная сеть BuySellAds и reCAPTCHA инициированы разметкой главной страницы на первых сотнях миллисекунд, а первое обращение Google Analytics 4 с идентификатором клиента уходит на +3693 мс — всё до какого-либо выбора пользователя. Более того, политика прямо заявляет, что сайт не реагирует на заголовок Do Not Track. При съёмке браузер отправлял DNT: 1, и это действительно не повлияло ни на состав, ни на адресацию обращений. Управление cookie политика выносит в ссылку в подвале и настройки браузера, а отказ от Google Analytics предлагает только через браузерное расширение — то есть перекладывает его на пользователя.
Идентификатор клиента уходит в рекламную привязку. Обращение GA4 несёт поле cid рядом с адресом и заголовком страницы; сразу следом тот же идентификатор уходит на stats.g.doubleclick.net — рекламный узел Google. Признак режима согласия gcd в обращении соответствует состоянию по умолчанию, но данные при этом всё равно отправляются.
Stripe собирает характеристики устройства заранее. Цепочка m.stripe.network и m.stripe.com — сбор характеристик устройства платёжной системой — инициирована ещё на главной странице, до какого-либо шага оплаты. Для сайта с подпиской присутствие Stripe оправданно на странице оплаты, но не на первой странице визита.
Защитные заголовки выставлены частично. Сайт выставляет строгий транспорт с включением поддоменов и признаком предзагрузки, запрет вложения в кадр SAMEORIGIN, запрет угадывания типа содержимого и политику реферера. Но политики безопасности содержимого нет и политики разрешений нет. На странице, загружающей рекламный и платёжный сторонний код, отсутствие политики безопасности содержимого означает, что перечень доверенных источников сценариев ничем не ограничен.
Согласие: что доказано и что нет
Доказано: механизма согласия на сайте нет. За 140 обращений не встречается ни одного обращения к платформе управления согласием и ни одного сценария с признаками баннера. Проверялись имена известных платформ и общие признаки в адресах и инициаторах, совпадений ноль.
Доказано: аналитика и реклама от выбора пользователя не зависят. Сценарии Google Tag Manager, счётчика GA4, DoubleClick, BuySellAds и reCAPTCHA инициированы разметкой главной страницы и выполняются при её разборе браузером, на +751…+3697 мс. Условия перед ними нет.
Доказано: идентификатор клиента уходит в Google и в рекламную привязку. Поле cid стоит в обращениях GA4 и повторяется в обращении к DoubleClick.
Доказано: сигнал Do Not Track проигнорирован. Браузер отправлял DNT: 1, политика прямо признаёт, что сайт на этот заголовок не реагирует, и состав обращений это подтверждает.
Не доказано и не утверждается: состояние cookie на устройстве. Заголовки cookie и тела ответов из опубликованного файла удалены при очистке. Все выводы держатся на адресах, инициаторах, кодах ответов и составе обращений.
Границы наблюдения
Замер охватывает главную страницу сайта. Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне сервера, договорные отношения с получателями и настройки на их стороне браузерным замером не проверяются.
Узлы доставки иконок site-assets.fontawesome.com, e.fontawesome.com, ka-f.fontawesome.com, use.fortawesome.com и img.fortawesome.com относятся к собственной инфраструктуре Font Awesome и как сторонние получатели не рассматриваются. Присутствие Stripe оправдано функцией оплаты подписки, но зафиксировано, что сбор характеристик устройства запускается уже на первой странице.
Файл опубликован очищенным от личных данных: удалены заголовки cookie в запросах и тела ответов. Вывод об отсутствии механизма согласия строится на отсутствии обращений к платформам согласия и сценариев с их признаками. Полный идентификатор клиента в разборе не приводится.
Идентификация сервисов опирается на домены и схему адресов: Google Analytics 4 — по analytics.google.com/g/collect и ресурсу G-BPMS41FJD2; DoubleClick — по stats.g.doubleclick.net; Google Tag Manager — по googletagmanager.com; reCAPTCHA — по google.com/recaptcha и gstatic.com; BuySellAds — по servedby-buysellads.com и файлу monetization.js; Stripe — по stripe.com и stripe.network; Help Scout — по helpscout.net; шрифты — по fonts.bunny.net; провайдер отдачи — по заголовку server: cloudflare.
Вывод
Сайт библиотеки иконок Font Awesome на главной странице без согласия запускает полный набор аналитики и рекламы: Google Analytics с идентификатором клиента, рекламную привязку DoubleClick, получающую тот же идентификатор, и рекламную сеть BuySellAds. Политика приватности называет Google Analytics, Stripe и Help Scout, но рекламные технологии BuySellAds и DoubleClick, а также Google Tag Manager, reCAPTCHA и сторонний шрифтовой сервис Bunny Fonts в ней не раскрыты — при том, что документ отдельным пунктом утверждает, что сведения о пользователе не передаются другим компаниям.
Механизма согласия на сайте нет, а политика прямо заявляет, что сайт не реагирует на сигнал Do Not Track. Браузер при съёмке этот сигнал отправлял, и он был проигнорирован: аналитика, рекламная привязка и рекламная сеть отработали в полном объёме. Отказ от отслеживания политика перекладывает на пользователя — через настройки браузера и браузерное расширение. Из защитных заголовков отсутствуют политика безопасности содержимого и политика разрешений.
Устранение: не запускать аналитику, рекламную привязку и рекламную сеть до получения согласия — ввести механизм согласия, действительно управляющий их загрузкой, с возможностью отказа до запуска; назвать в политике всех получателей веб-данных поимённо, включая BuySellAds, DoubleClick, Google Tag Manager, reCAPTCHA и Bunny Fonts, с указанием передаваемых полей и целей; привести пункт о непередаче сведений другим компаниям в соответствие с фактическим присутствием рекламных технологий; начать реагировать на заголовок Do Not Track либо предоставить равноценный механизм возражения на самом сайте; выставить политику безопасности содержимого и политику разрешений.
Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.
f1fafd687ce1c3ed4d2ef8fc6fdc0cc136b02f4e40ceaa7eb8293bb7b4da7240Хотите получить ответ от компании по этому разбору? → Открыть инструмент
Впишите один раз — подставится во все письма ниже:
Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).
Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — fontawesome.com Кому: [укажите адрес компании — DPO / поддержка / юридический отдел] От: [Ваше имя], [контактный email] Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта fontawesome.com. 1. Категории данных и цели обработки (ст. 15(1)(a)-(c)) На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки: 1) Механизма согласия на сайте нет: за 140 обращений не встречается ни одного обращения к платформе управления согласием, ни одного сценария с признаками баннера, ни одного заголовка Set-Cookie. Аналитика Google, рекламная привязка DoubleClick, рекламная сеть BuySellAds и reCAPTCHA стартуют из разметки главной страницы на +751…+753 мс, а первое обращение Google Analytics 4 с идентификатором клиента уходит на +3693 мс — всё до какого-либо выбора пользователя. Управление cookie политика выносит в ссылку в подвале и в настройки браузера, а отказ от Google Analytics предлагает только через браузерное расширение. 2) Политика называет Google Analytics, Stripe и Help Scout, но ряд получателей не раскрыт: рекламная сеть BuySellAds, рекламный узел DoubleClick, Google Tag Manager, reCAPTCHA и сторонний шрифтовой сервис Bunny Fonts в документе отсутствуют. При этом BuySellAds и DoubleClick — рекламные технологии, а политика отдельным пунктом утверждает, что сведения о пользователе не продаются и не передаются другим компаниям. 3) Политика прямо заявляет, что Font Awesome не реагирует на заголовок Do Not Track. При съёмке браузер отправлял заголовок DNT: 1, и это не повлияло ни на состав, ни на адресацию обращений: аналитика, рекламная привязка и рекламная сеть отработали в полном объёме. Сознательное игнорирование сигнала об отказе от отслеживания при отсутствии иного механизма согласия оставляет пользователя без действующего способа возразить против сбора. 4) Из защитных заголовков сайт выставляет строгий транспорт с включением поддоменов и признаком предзагрузки, запрет вложения в кадр SAMEORIGIN, запрет угадывания типа содержимого и политику реферера, но политики безопасности содержимого нет и политики разрешений нет. На странице, загружающей рекламный и платёжный сторонний код, отсутствие политики безопасности содержимого означает, что перечень доверенных источников сценариев ничем не ограничен. 2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46) Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/global-fontawesome-com/ 3. Автоматизированная обработка и профилирование (ст. 15(1)(h)) Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Data access request (GDPR Art. 15) — fontawesome.com To: [insert the company's address — DPO / support / legal department] From: [Your name], [contact email] I request access to my personal data processed in connection with the website fontawesome.com. 1. Categories of data and purposes of processing (Art. 15(1)(a)-(c)) Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing: 1) There is no consent mechanism on the site: across 140 requests there is not a single request to a consent-management platform, not a single script bearing the marks of a banner, not a single Set-Cookie header. Google analytics, the DoubleClick advertising linkage, the BuySellAds advertising network and reCAPTCHA start from the home page markup at +751…+753 ms, and the first Google Analytics 4 request with the client identifier goes out at +3693 ms — all before any user choice. The policy relegates cookie management to a footer link and to browser settings, and offers opt-out from Google Analytics only via a browser extension. 2) The policy names Google Analytics, Stripe and Help Scout, but a number of recipients are not disclosed: the advertising network BuySellAds, the advertising node DoubleClick, Google Tag Manager, reCAPTCHA and the third-party font service Bunny Fonts are absent from the document. Meanwhile BuySellAds and DoubleClick are advertising technologies, and the policy states in a separate clause that information about the user is not sold or given to other companies. 3) The policy states outright that Font Awesome does not respond to the Do Not Track header. During capture the browser was sending the DNT: 1 header, and this affected neither the composition nor the addressing of the requests: analytics, the advertising linkage and the advertising network operated in full. Deliberately ignoring the opt-out-of-tracking signal, in the absence of any other consent mechanism, leaves the user without a working way to object to the collection. 4) Of the security headers the site sets strict transport with subdomain inclusion and the preload marker, the frame-embedding ban SAMEORIGIN, the content-type-sniffing ban and a referrer policy, but there is no content-security-policy and no permissions policy. On a page loading advertising and payment third-party code, the absence of a content-security-policy means that the list of trusted script sources is in no way restricted. 2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46) I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/global-fontawesome-com/ 3. Automated processing and profiling (Art. 15(1)(h)) Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved. Sincerely, [Your name] [contact email] [Country] [Date]
RIA DigiDoc — телефон · Smart-ID / Mobile-ID
Куда подавать: Юрисдикция определяется по статье 3(2) GDPR —
Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)
Тема: Жалоба на обработку персональных данных — fontawesome.com 1. Предмет жалобы Я подаю жалобу в отношении обработки моих персональных данных сайтом fontawesome.com. 2. Обстоятельства Я посетил сайт fontawesome.com и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.08.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки: 1) Механизма согласия на сайте нет: за 140 обращений не встречается ни одного обращения к платформе управления согласием, ни одного сценария с признаками баннера, ни одного заголовка Set-Cookie. Аналитика Google, рекламная привязка DoubleClick, рекламная сеть BuySellAds и reCAPTCHA стартуют из разметки главной страницы на +751…+753 мс, а первое обращение Google Analytics 4 с идентификатором клиента уходит на +3693 мс — всё до какого-либо выбора пользователя. Управление cookie политика выносит в ссылку в подвале и в настройки браузера, а отказ от Google Analytics предлагает только через браузерное расширение. 2) Политика называет Google Analytics, Stripe и Help Scout, но ряд получателей не раскрыт: рекламная сеть BuySellAds, рекламный узел DoubleClick, Google Tag Manager, reCAPTCHA и сторонний шрифтовой сервис Bunny Fonts в документе отсутствуют. При этом BuySellAds и DoubleClick — рекламные технологии, а политика отдельным пунктом утверждает, что сведения о пользователе не продаются и не передаются другим компаниям. 3) Политика прямо заявляет, что Font Awesome не реагирует на заголовок Do Not Track. При съёмке браузер отправлял заголовок DNT: 1, и это не повлияло ни на состав, ни на адресацию обращений: аналитика, рекламная привязка и рекламная сеть отработали в полном объёме. Сознательное игнорирование сигнала об отказе от отслеживания при отсутствии иного механизма согласия оставляет пользователя без действующего способа возразить против сбора. 4) Из защитных заголовков сайт выставляет строгий транспорт с включением поддоменов и признаком предзагрузки, запрет вложения в кадр SAMEORIGIN, запрет угадывания типа содержимого и политику реферера, но политики безопасности содержимого нет и политики разрешений нет. На странице, загружающей рекламный и платёжный сторонний код, отсутствие политики безопасности содержимого означает, что перечень доверенных источников сценариев ничем не ограничен. Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/global-fontawesome-com/ 3. Положения GDPR, соблюдение которых прошу проверить ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 21 — право на возражение (игнорирование Do Not Track); GDPR Art. 32 — меры безопасности 4. Требование Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR. 5. Приложения Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше. С уважением, [Ваше имя] [контактный email] [Страна] [Дата]
Subject: Complaint regarding personal data processing — fontawesome.com 1. Subject of the complaint I am filing a complaint regarding the processing of my personal data by the website fontawesome.com. 2. Circumstances I visited the website fontawesome.com and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 August 2026 (open methodology, reproducible measurements) documents the following indications: 1) There is no consent mechanism on the site: across 140 requests there is not a single request to a consent-management platform, not a single script bearing the marks of a banner, not a single Set-Cookie header. Google analytics, the DoubleClick advertising linkage, the BuySellAds advertising network and reCAPTCHA start from the home page markup at +751…+753 ms, and the first Google Analytics 4 request with the client identifier goes out at +3693 ms — all before any user choice. The policy relegates cookie management to a footer link and to browser settings, and offers opt-out from Google Analytics only via a browser extension. 2) The policy names Google Analytics, Stripe and Help Scout, but a number of recipients are not disclosed: the advertising network BuySellAds, the advertising node DoubleClick, Google Tag Manager, reCAPTCHA and the third-party font service Bunny Fonts are absent from the document. Meanwhile BuySellAds and DoubleClick are advertising technologies, and the policy states in a separate clause that information about the user is not sold or given to other companies. 3) The policy states outright that Font Awesome does not respond to the Do Not Track header. During capture the browser was sending the DNT: 1 header, and this affected neither the composition nor the addressing of the requests: analytics, the advertising linkage and the advertising network operated in full. Deliberately ignoring the opt-out-of-tracking signal, in the absence of any other consent mechanism, leaves the user without a working way to object to the collection. 4) Of the security headers the site sets strict transport with subdomain inclusion and the preload marker, the frame-embedding ban SAMEORIGIN, the content-type-sniffing ban and a referrer policy, but there is no content-security-policy and no permissions policy. On a page loading advertising and payment third-party code, the absence of a content-security-policy means that the list of trusted script sources is in no way restricted. Full technical documentation is published at: https://gdpru.eu/audits/global-fontawesome-com/ 3. GDPR provisions I ask you to examine ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 21 — right to object (ignoring Do Not Track); GDPR Art. 32 — security measures 4. Request I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR. 5. Attachments The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above. Sincerely, [Your name] [contact email] [Country] [Date]