Технический аудит · 01.09.2026

liveramp.com

Брокер данных LiveRamp

Сайт LiveRamp — компании, специализирующейся на разрешении идентичности и рекламном сопоставлении данных, — 1319 обращений, 33 узла, запись 4,5 минуты. На сайте установлена платформа управления согласием Ketch, но сервис персонализации Intellimize с привязкой к идентификатору пользователя стартует за три секунды до её загрузки, а Google Analytics отправляет данные с признаком gcs=G100 раньше, чем Ketch зафиксировал согласие. Политика называет Google Analytics и Google Ads, но Intellimize, Ketch и рекламный узел AdSense поимённо не раскрывает.

Хронология обращений

+0 мс · телеметрия браузера (не сайт)

В самом начале записи присутствует обращение к browser.events.data.msn.com — телеметрия браузера Microsoft Edge. К сайту liveramp.com отношения не имеет и в разбор его поведения не входит.

+3561…+3799 мс · загрузка сайта и первых сценариев

Открыта главная liveramp.com. Отдача через Cloudflare (server: cloudflare). Из разметки стартуют cdn.prod.website-files.com (сайт на Webflow), jsDelivr, и — сразу — сервис персонализации Intellimize (cdn.intellimize.co) и Google Tag Manager. Политика безопасности содержимого сведена к frame-ancestors 'self'; строгого транспорта и политики разрешений нет. Браузер отправлял заголовок DNT: 1.

+4255…+5209 мс · персонализация до согласия

Intellimize отправляет POST-обращения: api.intellimize.co/context-v2 и /prediction с идентификатором пользователя, затем log.intellimize.co/logger. Всего к сервису персонализации уходит более пятидесяти обращений за запись. Всё это — до загрузки платформы согласия.

+8042 мс · Google Analytics передаёт данные

region1.google-analytics.com/g/collect: ресурс G-JY5CK6C64V, идентификатор клиента, событие page_view, признак режима согласия gcs=G100. Обращение уходит на полторы секунды раньше, чем Ketch зафиксировал согласие обновлением. Далее в течение записи уходят события variation_viewed (персонализация), scroll и page_view с тем же признаком.

+8186 мс · рекламный конверсионный трекинг Google Ads

pagead2.googlesyndication.com/ccm/collect с идентификатором AW-874879263 — конверсионный трекинг рекламных кампаний Google Ads, 14 обращений за запись.

+35579…+247169 мс · навигация по разделам

Переходы по страницам our-platform, solutions (enterprise-identity, data-sellers), clean-rooms, partners и каталогу партнёров. На каждой странице Ketch проходит новый цикл, а Google Analytics и персонализация отправляют новые события с gcs=G100.

Декларация против факта

✓ Контролёр — LiveRamp; политика приватности сайта и маркетинга (Website And Marketing Privacy Policy) — заявлен

✓ Используются автоматические технологии (cookie, пиксель-теги, идентификаторы устройства), активируемые при посещении сайта — заявлен

✓ Названы Google Analytics (веб-аналитика) и Google Ads (цифровая реклама), а также LinkedIn, Twitter как каналы — заявлен

✓ Описаны разделы: выбор пользователя в отношении данных, раскрытие, международные передачи, безопасность, хранение, права — заявлен

+ Intellimize — персонализация и A/B-тестирование с идентификатором пользователя, не назван; стартует до платформы согласия — не заявлен

+ Ketch — платформа управления согласием, поимённо не названа — не заявлен

+ AdSense/DoubleClick (googlesyndication.com) — рекламный узел, не назван — не заявлен

+ Wistia, Sentry, RampedUp, PartnerFleet, Storylane, Finsweet — не названы — не заявлен

+ Отправка данных Google Analytics с gcs=G100 и персонализации Intellimize до фиксации согласия платформой Ketch — не заявлен

Тайминги передачи

+3568 мс cdn.intellimize.co

Сервис персонализации Intellimize.

+3799 мс www.googletagmanager.com

Google Tag Manager.

+4255 мс api.intellimize.co

Персонализация: context-v2, prediction с идентификатором пользователя.

+5733 мс geo.privacymanager.io

Ketch, загружается после персонализации и GTM.

+8042 мс region1.google-analytics.com

GA4 G-JY5CK6C64V, идентификатор клиента, page_view, gcs=G100.

+8186 мс pagead2.googlesyndication.com

Google Ads конверсии AW-874879263, 14 обращений.

Зафиксированные трекеры

Intellimize (cdn.intellimize.co, api.intellimize.co, log.intellimize.co, 117645514.intellimizeio.com) — персонализация и A/B-тестирование с привязкой к идентификатору пользователя, стартует на +3568 мс, до платформы согласия, 51+ обращение
Google Analytics 4 (region1.google-analytics.com, G-JY5CK6C64V) — идентификатор клиента, page_view, scroll, variation_viewed; отправляет с признаком gcs=G100 с +8042 мс
Google Ads конверсии (pagead2.googlesyndication.com/ccm/collect, AW-874879263) — рекламный конверсионный трекинг, 14 обращений
Google Tag Manager (www.googletagmanager.com) — загрузчик тегов, стартует на +3799 мс
Ketch (eu.ketchcdn.com, cdn.ketchjs.com, geo.privacymanager.io) — платформа управления согласием, загружается на +5733 мс, после части трекеров
Wistia (fast.wistia.com, distillery.wistia.com, litix.io и др.), Sentry, RampedUp, PartnerFleet, Storylane, Finsweet — видео, мониторинг, виджеты

Признаки несоответствия GDPR

ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a))
На сайте установлена платформа управления согласием Ketch, но персонализация и аналитика стартуют до неё и помимо неё. Сервис персонализации Intellimize отправляет POST-обращения (context-v2, prediction, logger) с привязкой к идентификатору пользователя начиная с +3568…+5209 мс — то есть за одну-три секунды до того, как Ketch вообще загрузился (+6676 мс) и запросил состояние согласия (+9146 мс). Google Analytics 4 отправляет page_view с идентификатором клиента и признаком режима согласия gcs=G100 на +8042 мс — раньше, чем Ketch зафиксировал согласие обновлением на +9649 мс. Рекламный конверсионный трекинг Google Ads уходит на +8186 мс.
GDPR Art. 13(1)(e) — раскрытие получателей
Политика приватности называет Google Analytics и Google Ads, но ряд фактических получателей веб-данных не раскрыт: сервис персонализации Intellimize, платформа согласия Ketch, рекламный узел AdSense/DoubleClick и видеоплатформа Wistia в документе поимённо отсутствуют. Intellimize при этом получает идентификатор пользователя и данные о его поведении для персонализации — обработку, которую политика не описывает.
GDPR Art. 32 — меры безопасности
Защитные заголовки выставлены частично: политика безопасности содержимого сведена к frame-ancestors 'self' и источники сценариев не ограничивает, строгого транспорта нет, политики разрешений нет. Выставлены запрет вложения в кадр SAMEORIGIN, запрет угадывания типа содержимого и политика реферера. Для сайта, загружающего персонализацию, рекламный и аналитический сторонний код, отсутствие полноценной политики безопасности содержимого означает, что перечень доверенных источников сценариев практически не ограничен.

Контекст

liveramp.com — сайт компании LiveRamp, одного из крупнейших поставщиков услуг разрешения идентичности (identity resolution) и рекламного сопоставления данных: онбординг данных, построение графа идентичности, «чистые комнаты» данных, каталог партнёров-поставщиков данных. Контролёр — LiveRamp. Сайт построен на Webflow (cdn.prod.website-files.com) и отдаётся через Cloudflare (server: cloudflare).

Замер: 1319 обращений, 33 узла, длительность записи 261 секунда (около четырёх с половиной минут), снят 1 сентября 2026 года. Помимо собственных доменов, страница обращается к большому набору сторонних получателей: сервис персонализации Intellimize (несколько узлов), Google (Analytics, Tag Manager, Ads конверсии), платформа согласия Ketch, видеоплатформа Wistia (несколько узлов), мониторинг Sentry, виджеты RampedUp, PartnerFleet, Storylane, Finsweet. Сеанс проходит по главной, разделам платформы и решений, «чистым комнатам» и каталогу партнёров.

Обработку описывает политика приватности сайта и маркетинга LiveRamp (Website And Marketing Privacy Policy).

Кому уходят данные напрямую

Intellimize, Google (Analytics, Tag Manager, Ads), Ketch, Wistia, Sentry.

Заявленное против фактического

Платформа согласия загружается позже трекеров — и это ядро расхождения. На сайте установлена Ketch (eu.ketchcdn.com, cdn.ketchjs.com, geo.privacymanager.io) — полноценная платформа управления согласием. Но по хронологии она загружается на +5733 мс, запрашивает состояние согласия на +9146 мс и обновляет его на +9649 мс, тогда как сервис персонализации Intellimize отправляет обращения с идентификатором пользователя уже с +3568…+5209 мс, а Google Tag Manager стартует на +3799 мс. То есть персонализация и загрузчик тегов отрабатывают до того, как платформа согласия вообще появилась в сеансе.

Google Analytics уходит с признаком согласия раньше, чем согласие зафиксировано. Первое обращение Google Analytics 4 с идентификатором клиента и событием page_view уходит на +8042 мс с признаком gcs=G100 — «согласие предоставлено». Но обновление состояния согласия у Ketch происходит только на +9649 мс, на полторы секунды позже. Признак G100 при этом выставлен во всех обращениях аналитики за запись, включая события персонализации variation_viewed и scroll.

Персонализация с привязкой к пользователю не раскрыта. Intellimize — сервис персонализации и A/B-тестирования — отправляет POST на api.intellimize.co/context-v2 и /prediction, неся идентификатор пользователя, и ведёт журнал на log.intellimize.co/logger; всего более пятидесяти обращений за запись. Это адресная обработка поведения посетителя, и в политике приватности она не описана: ни Intellimize по имени, ни персонализация как деятельность в документе не фигурируют.

Часть получателей названа, часть — нет. Политика прямо называет Google Analytics как веб-аналитику и Google Ads как рекламную платформу — это раскрыто. Но Intellimize, сама платформа согласия Ketch, рекламный узел pagead2.googlesyndication.com (AdSense/DoubleClick) и видеоплатформа Wistia в документе поимённо отсутствуют. Для компании, чей бизнес — сопоставление и разрешение идентичности, неполнота раскрытия собственных веб-получателей особенно заметна.

Защитные заголовки выставлены частично. Сайт выставляет запрет вложения в кадр SAMEORIGIN, запрет угадывания типа содержимого и политику реферера strict-origin-when-cross-origin. Но политика безопасности содержимого сведена к frame-ancestors 'self' и источники сценариев не ограничивает, строгого транспорта нет, политики разрешений нет.

Согласие: что доказано и что нет

Доказано: персонализация и загрузчик тегов стартуют до платформы согласия. Intellimize (cdn.intellimize.co +3568 мс, api.intellimize.co +4255 мс) и Google Tag Manager (+3799 мс) инициированы разметкой и предшествуют загрузке Ketch (+5733 мс) и запросу состояния согласия (+9146 мс).

Доказано: Google Analytics отправляет данные с признаком согласия раньше его фиксации. Обращение GA4 с gcs=G100 уходит на +8042 мс, обновление согласия у Ketch — на +9649 мс.

Доказано: Intellimize получает идентификатор пользователя. POST-обращения к api.intellimize.co несут поле идентификатора пользователя (в опубликованном файле его значение вырезано при очистке).

Не доказано и не устанавливается однозначно: происхождение признака gcs=G100. Признак мог быть выставлен как значением по умолчанию в настройке режима согласия, так и сохранённым выбором из более раннего визита. Тела ответов и заголовки cookie из опубликованного файла удалены при очистке, поэтому источник признака по записи не восстанавливается. Фиксируется наблюдаемое: аналитика и персонализация отправляют данные до того, как платформа согласия в этом сеансе зафиксировала выбор.

Не доказано и не утверждается: состояние cookie на устройстве. Заголовки cookie и тела ответов из опубликованного файла удалены при очистке. Полный идентификатор пользователя в разборе не приводится.

Отдельно: браузер при съёмке отправлял заголовок DNT: 1. На состав и адресацию обращений это не повлияло.

Границы наблюдения

Замер охватывает несколько страниц сайта, включая каталог партнёров. Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов: обработка на стороне сервера, договорные отношения с получателями и настройки на их стороне браузерным замером не проверяются.

Обращение к browser.events.data.msn.com относится к телеметрии браузера Microsoft Edge, а не к сайту liveramp.com, и в разбор поведения сайта не входит; оно перечислено только для полноты записи. Видеоплатформа Wistia и её вспомогательные узлы (включая litix.io — видео-аналитику Mux) обслуживают встроенные видео; их присутствие функционально, но как получатели веб-данных они также в политике не названы.

Файл опубликован очищенным от личных данных: удалены заголовки cookie в запросах и тела ответов, значение идентификатора пользователя в обращениях Intellimize вырезано. Вывод о старте персонализации и аналитики до фиксации согласия опирается на сетевой уровень — тайминги, адреса и инициаторы обращений читаются по записи, и обращения Intellimize и Google Analytics предшествуют циклу согласия Ketch.

Идентификация сервисов опирается на домены и схему адресов: Intellimize — по intellimize.co, intellimizeio.com и путям context-v2, prediction, logger; Google Analytics 4 — по google-analytics.com/g/collect и ресурсу G-JY5CK6C64V; Google Ads — по googlesyndication.com/ccm/collect и идентификатору AW-874879263; Google Tag Manager — по googletagmanager.com; Ketch — по ketchcdn.com, ketchjs.com, privacymanager.io; Wistia — по wistia.com; провайдер отдачи — по заголовку server: cloudflare.

Вывод

Сайт LiveRamp — компании, чей бизнес построен на разрешении идентичности и сопоставлении данных, — установил платформу управления согласием Ketch, но фактическую загрузку персонализации и аналитики к ней не привязал. Сервис персонализации Intellimize отправляет обращения с идентификатором пользователя за три секунды до того, как Ketch загрузился, а Google Analytics передаёт данные с признаком предоставленного согласия gcs=G100 на полторы секунды раньше, чем платформа согласия зафиксировала выбор. Рекламный конверсионный трекинг Google Ads работает в том же сеансе.

Политика приватности называет Google Analytics и Google Ads, но персонализацию Intellimize, платформу согласия Ketch, рекламный узел AdSense и видеоплатформу Wistia поимённо не раскрывает; персонализация с привязкой к идентификатору пользователя как обработка в документе не описана. Из защитных заголовков отсутствуют полноценная политика безопасности содержимого, строгий транспорт и политика разрешений.

Устранение: поставить загрузку персонализации Intellimize, Google Analytics и рекламного трекинга в зависимость от результата платформы согласия Ketch, чтобы до фиксации выбора пользователя данные, включая идентификатор пользователя и признак gcs=G100, не отправлялись; назвать в политике приватности всех фактических получателей веб-данных поимённо — Intellimize, Ketch, AdSense/DoubleClick, Wistia — с указанием передаваемых полей и целей, отдельно описав персонализацию; выставить полноценную политику безопасности содержимого с перечнем доверенных источников, строгий транспорт и политику разрешений.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: global/liveramp-com-2026-09-01.har

SHA-256: 73d4774d2076cb0edf7d7065d4dab74a115248b34b53a70cff5b1edbee0a1446

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — liveramp.com

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта liveramp.com.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте установлена платформа управления согласием Ketch, но персонализация и аналитика стартуют до неё и помимо неё. Сервис персонализации Intellimize отправляет POST-обращения (context-v2, prediction, logger) с привязкой к идентификатору пользователя начиная с +3568…+5209 мс — то есть за одну-три секунды до того, как Ketch вообще загрузился (+6676 мс) и запросил состояние согласия (+9146 мс). Google Analytics 4 отправляет page_view с идентификатором клиента и признаком режима согласия gcs=G100 на +8042 мс — раньше, чем Ketch зафиксировал согласие обновлением на +9649 мс. Рекламный конверсионный трекинг Google Ads уходит на +8186 мс.

2) Политика приватности называет Google Analytics и Google Ads, но ряд фактических получателей веб-данных не раскрыт: сервис персонализации Intellimize, платформа согласия Ketch, рекламный узел AdSense/DoubleClick и видеоплатформа Wistia в документе поимённо отсутствуют. Intellimize при этом получает идентификатор пользователя и данные о его поведении для персонализации — обработку, которую политика не описывает.

3) Защитные заголовки выставлены частично: политика безопасности содержимого сведена к frame-ancestors 'self' и источники сценариев не ограничивает, строгого транспорта нет, политики разрешений нет. Выставлены запрет вложения в кадр SAMEORIGIN, запрет угадывания типа содержимого и политика реферера. Для сайта, загружающего персонализацию, рекламный и аналитический сторонний код, отсутствие полноценной политики безопасности содержимого означает, что перечень доверенных источников сценариев практически не ограничен.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/global-liveramp-com/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — liveramp.com

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website liveramp.com.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The consent-management platform Ketch is installed on the site, but the personalisation and analytics start before it and irrespective of it. The personalisation service Intellimize sends POST requests (context-v2, prediction, logger) tied to a user identifier starting at +3568…+5209 ms — that is, one to three seconds before Ketch even loaded (+6676 ms) and requested the consent state (+9146 ms). Google Analytics 4 sends a page_view with the client identifier and the consent-mode marker gcs=G100 at +8042 ms — earlier than Ketch recorded consent with an update at +9649 ms. The Google Ads conversion tracking goes out at +8186 ms.

2) The privacy policy names Google Analytics and Google Ads, but a number of the actual recipients of web data are not disclosed: the personalisation service Intellimize, the consent platform Ketch, the advertising node AdSense/DoubleClick and the video platform Wistia are absent from the document by name. Intellimize meanwhile receives a user identifier and data about the user's behaviour for personalisation — processing that the policy does not describe.

3) The security headers are set in part: the content-security-policy is reduced to frame-ancestors 'self' and does not restrict script sources, there is no strict transport, no permissions policy. The frame-embedding ban SAMEORIGIN, the content-type-sniffing ban and a referrer policy are set. For a site loading personalisation, advertising and analytics third-party code, the absence of a full content-security-policy means that the list of trusted script sources is practically unrestricted.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/global-liveramp-com/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Юрисдикция определяется по статье 3(2) GDPR —

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — liveramp.com

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом liveramp.com.

2. Обстоятельства
Я посетил сайт liveramp.com и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 01.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте установлена платформа управления согласием Ketch, но персонализация и аналитика стартуют до неё и помимо неё. Сервис персонализации Intellimize отправляет POST-обращения (context-v2, prediction, logger) с привязкой к идентификатору пользователя начиная с +3568…+5209 мс — то есть за одну-три секунды до того, как Ketch вообще загрузился (+6676 мс) и запросил состояние согласия (+9146 мс). Google Analytics 4 отправляет page_view с идентификатором клиента и признаком режима согласия gcs=G100 на +8042 мс — раньше, чем Ketch зафиксировал согласие обновлением на +9649 мс. Рекламный конверсионный трекинг Google Ads уходит на +8186 мс.

2) Политика приватности называет Google Analytics и Google Ads, но ряд фактических получателей веб-данных не раскрыт: сервис персонализации Intellimize, платформа согласия Ketch, рекламный узел AdSense/DoubleClick и видеоплатформа Wistia в документе поимённо отсутствуют. Intellimize при этом получает идентификатор пользователя и данные о его поведении для персонализации — обработку, которую политика не описывает.

3) Защитные заголовки выставлены частично: политика безопасности содержимого сведена к frame-ancestors 'self' и источники сценариев не ограничивает, строгого транспорта нет, политики разрешений нет. Выставлены запрет вложения в кадр SAMEORIGIN, запрет угадывания типа содержимого и политика реферера. Для сайта, загружающего персонализацию, рекламный и аналитический сторонний код, отсутствие полноценной политики безопасности содержимого означает, что перечень доверенных источников сценариев практически не ограничен.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/global-liveramp-com/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 32 — меры безопасности

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — liveramp.com

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website liveramp.com.

2. Circumstances
I visited the website liveramp.com and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 1 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The consent-management platform Ketch is installed on the site, but the personalisation and analytics start before it and irrespective of it. The personalisation service Intellimize sends POST requests (context-v2, prediction, logger) tied to a user identifier starting at +3568…+5209 ms — that is, one to three seconds before Ketch even loaded (+6676 ms) and requested the consent state (+9146 ms). Google Analytics 4 sends a page_view with the client identifier and the consent-mode marker gcs=G100 at +8042 ms — earlier than Ketch recorded consent with an update at +9649 ms. The Google Ads conversion tracking goes out at +8186 ms.

2) The privacy policy names Google Analytics and Google Ads, but a number of the actual recipients of web data are not disclosed: the personalisation service Intellimize, the consent platform Ketch, the advertising node AdSense/DoubleClick and the video platform Wistia are absent from the document by name. Intellimize meanwhile receives a user identifier and data about the user's behaviour for personalisation — processing that the policy does not describe.

3) The security headers are set in part: the content-security-policy is reduced to frame-ancestors 'self' and does not restrict script sources, there is no strict transport, no permissions policy. The frame-embedding ban SAMEORIGIN, the content-type-sniffing ban and a referrer policy are set. For a site loading personalisation, advertising and analytics third-party code, the absence of a full content-security-policy means that the list of trusted script sources is practically unrestricted.

Full technical documentation is published at: https://gdpru.eu/audits/global-liveramp-com/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — disclosure of recipients; GDPR Art. 32 — security measures

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]