Технический аудит · 29.05.2026

dkh.hu

Холодильный склад «Дунакеси» (Венгрия)

Холодильный склад «Дунакеси» (Dunakeszi Hűtőház Kft., dkh.hu) — 57 запросов, 10 доменов. Частная коммерческая компания, сайт-визитка на WordPress. Опубликованной политики конфиденциальности на сайте нет вовсе — только строка-уведомление с одной кнопкой «принять». До какого-либо согласия IP посетителя уходит в Google сразу через несколько сервисов: Google Analytics (устаревший Universal Analytics и GA4), встроенную карту Google Maps и Google Fonts. Все получатели нераскрыты.

Хронология обращений

+0 мс · загрузка сайта

Разметка, скрипты и изображения — с собственного домена (WordPress; хостинг Aruba, судя по заголовку server: aruba-proxy). Собственных cookie в замере не выставляется.

+4245…+4249 мс · Google Fonts и GTM до согласия

Google Fonts CSS (fonts.googleapis.com, шрифт Montserrat) и контейнер gtag.js / Google Tag Manager. IP посетителя и Referer уходят в Google (США).

+5058…+5204 мс · Google Analytics до согласия

Второй контейнер gtag.js, классический analytics.js и событие GA4 page_view на region1.google-analytics.com. Работают сразу два идентификатора: устаревший Universal Analytics (UA-9217572-10) и GA4 (G-949F1D20QC).

+4780…+6230 мс · Google Maps до согласия

Встроенная карта расположения: google.com/maps/embed, maps.gstatic.com и maps.googleapis.com (около 12 обращений — API карт, геометрия, поиск, статичное изображение). IP посетителя уходит в Google (США).

получатель — только Google

Все внешние обращения адресованы сервисам Google (Analytics, Maps, Fonts). Facebook, иных рекламных пикселей и записи сессий в замере нет.

Декларация против факта

✓ Уведомление о cookie — одна строка «продолжая пользоваться сайтом, мы считаем, что вы согласны» и единственная кнопка «Elfogadom» — заявлен

✓ Опубликованной политики конфиденциальности или cookie-политики на сайте на момент проверки нет; ссылок на «Adatvédelem» / «Süti tájékoztató» в навигации и подвале нет — заявлен

+ Google Analytics (Universal Analytics UA-9217572-10 и GA4 G-949F1D20QC) — сторонний получатель IP из США, до согласия, не назван — не заявлен

+ Google Maps (maps.googleapis.com, maps.gstatic.com, google.com/maps/embed) — сторонний получатель IP из США, до согласия, не назван — не заявлен

+ Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — сторонний получатель IP из США, до согласия, не назван — не заявлен

Тайминги передачи

+4245 мс fonts.googleapis.com

Google Fonts CSS (Montserrat). Google, США.

+4249 мс www.googletagmanager.com

gtag.js — контейнеры UA-9217572-10 и G-949F1D20QC. Google, США.

+4780 мс www.google.com

Google Maps embed. Google, США.

+5065 мс www.google-analytics.com

analytics.js (классический Universal Analytics). Google, США.

+5204 мс region1.google-analytics.com

GA4 /g/collect — событие page_view. Региональный эндпоинт ЕС.

+5768 мс maps.googleapis.com

API карт Google (×12: geometry, search, places, static). Google, США.

Зафиксированные трекеры

Google Analytics — два ресурса: Universal Analytics (UA-9217572-10, устаревший) и GA4 (G-949F1D20QC) — до согласия, в политике не назван
Google Maps (maps.googleapis.com, maps.gstatic.com, google.com/maps/embed) — до согласия, в политике не назван
Google Fonts (fonts.googleapis.com, fonts.gstatic.com — Montserrat) — до согласия, в политике не назван

Признаки несоответствия GDPR

GDPR Art. 13 + Art. 13(1)(e) + Chapter V — отсутствие раскрытия, получатели и трансграничная передача
На сайте нет опубликованной политики конфиденциальности или cookie-политики вообще — только строка-уведомление с единственной кнопкой «Elfogadom». При этом до какого-либо согласия загружаются Google Analytics в двух вариантах (устаревший Universal Analytics UA-9217572-10 и GA4 G-949F1D20QC, с событием page_view на region1.google-analytics.com), встроенная карта Google Maps (maps.googleapis.com ×12, maps.gstatic.com, google.com/maps/embed) и Google Fonts (Montserrat). Все они передают IP посетителя в Google (США). Ни один получатель не раскрыт, потому что раскрывать негде: транспарентной информации об обработке на сайте нет.
ePrivacy (венгерская имплементация) — недействительное согласие и трекеры до согласия
Единственный элемент согласия — уведомление «продолжая пользоваться сайтом, мы считаем, что вы согласны» с одной кнопкой «Elfogadom», без отклонения и без настроек. Google Analytics, Google Maps и Google Fonts срабатывают на +4245–6230 мс, до любого действия с уведомлением. Set-Cookie за весь сеанс ноль; действительного согласия нет, но передача IP в Google уже состоялась.

Контекст

dkh.hu — сайт компании Dunakeszi Hűtőház Kft. (холодильный склад «Дунакеси»), частного коммерческого предприятия, оказывающего услуги низкотемпературного хранения, заморозки и связанной логистики для пищевой отрасли. Ответственный за обработку — Dunakeszi Hűtőház Kft. Сайт представляет собой визитку на WordPress (разделы «О нас», «Услуги», «Галерея», «Контакты» и карта проезда); хостинг, судя по заголовку server, — Aruba. Замер: 57 запросов, 10 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя сразу через несколько сервисов: Google Analytics (Universal Analytics и GA4), встроенную карту Google Maps и Google Fonts. Иных сторонних получателей в замере нет.

Заявленное против фактического

Особенность этого случая в том, что заявлять фактически нечего. На сайте нет опубликованной политики конфиденциальности или cookie-политики: в навигации и подвале нет ни ссылки «Adatvédelem», ни «Süti tájékoztató», ни «Adatkezelési tájékoztató». Единственный элемент, относящийся к приватности, — строка внизу страницы, сообщающая, что продолжением использования сайта посетитель выражает согласие, с единственной кнопкой «Elfogadom». Ни отклонения, ни настроек, ни описания используемых сервисов.

Замер показывает, что при этом сайт активно обращается к Google. До какого-либо действия посетителя загружаются Google Fonts (шрифт Montserrat), два контейнера Google Tag Manager и Google Analytics сразу в двух вариантах: устаревший Universal Analytics (идентификатор UA-9217572-10, классический analytics.js) и современный GA4 (G-949F1D20QC), который отправляет событие page_view на region1.google-analytics.com. Помимо аналитики, на странице контактов встроена карта Google Maps — около двенадцати обращений к maps.googleapis.com плюс maps.gstatic.com и google.com/maps/embed. Все эти обращения передают IP посетителя в Google (США).

Таким образом, расхождение здесь предельное: сайт не раскрывает ни одного получателя, потому что раскрывать негде — транспарентной информации об обработке на сайте нет вовсе, а единственный механизм согласия недействителен. При этом фактически данные посетителя уходят в Google при каждом заходе.

Тайминг относительно согласия

Внешние обращения идут на +4245–6230 мс. Тайминг поздний (страница отрабатывает несколько секунд), но принципиально это ничего не меняет: все обращения происходят до любого действия с уведомлением о cookie, а само уведомление их не удерживает. Действительного согласия в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Идентификатор UA-9217572-10 относится к Universal Analytics, обработку в котором Google прекратил; контейнер и analytics.js при этом всё ещё загружаются, поэтому по замеру нельзя утверждать, что данные в UA по-прежнему обрабатываются на стороне Google, — но сам факт передачи IP в Google при загрузке этих ресурсов состоялся. GA4 обращается к региональному эндпоинту ЕС (region1) и отправляет page_view. Встроенная карта Google Maps передаёт в Google IP посетителя и факт просмотра точки; ключ карты принадлежит сайту. Google может использовать edge-узлы в ЕС, поэтому вывод сделан о принадлежности получателя (Google, США), а не о физическом месте узла. Заголовок server: aruba-proxy указывает на хостинг Aruba (ЕС). На момент проверки политики на сайте не обнаружено; если она размещена где-то без ссылки с сайта, в замере и на страницах она не видна. Серверная обработка в браузерном замере не видна.

Вывод

Сайт коммерческого холодильного склада «Дунакеси» до какого-либо действительного согласия передаёт IP посетителя в Google сразу через несколько сервисов: Google Analytics (причём в двух вариантах — устаревший Universal Analytics и GA4), встроенную карту Google Maps и Google Fonts. При этом опубликованной политики конфиденциальности на сайте нет вовсе, а единственный механизм согласия — строка «продолжая пользоваться сайтом, мы считаем, что вы согласны» с одной кнопкой «принять» — под GDPR недействителен, поскольку не даёт ни свободного, ни недвусмысленного выбора и не раскрывает получателей. Передача IP посетителя стороннему получателю в США по умолчанию, при каждом заходе, без раскрытия и вне действительного механизма согласия, указывает на несоблюдение требований о прозрачности, о раскрытии получателей и о трансграничной передаче. Устранение потребует базовой работы: опубликовать политику конфиденциальности с перечнем сервисов Google, поставить нормальный баннер согласия с равноценным отклонением, разместить шрифты локально, а Google Analytics и карту подключать только после согласия; заодно стоит убрать устаревший идентификатор Universal Analytics.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: hu/dkh-hu-2026-05-29.har

SHA-256: 5a7de4239c48b39e6451deb068eab55229bc378eb122395db96ef8af230eb817

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — dkh.hu

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта dkh.hu.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте нет опубликованной политики конфиденциальности или cookie-политики вообще — только строка-уведомление с единственной кнопкой «Elfogadom». При этом до какого-либо согласия загружаются Google Analytics в двух вариантах (устаревший Universal Analytics UA-9217572-10 и GA4 G-949F1D20QC, с событием page_view на region1.google-analytics.com), встроенная карта Google Maps (maps.googleapis.com ×12, maps.gstatic.com, google.com/maps/embed) и Google Fonts (Montserrat). Все они передают IP посетителя в Google (США). Ни один получатель не раскрыт, потому что раскрывать негде: транспарентной информации об обработке на сайте нет.

2) Единственный элемент согласия — уведомление «продолжая пользоваться сайтом, мы считаем, что вы согласны» с одной кнопкой «Elfogadom», без отклонения и без настроек. Google Analytics, Google Maps и Google Fonts срабатывают на +4245–6230 мс, до любого действия с уведомлением. Set-Cookie за весь сеанс ноль; действительного согласия нет, но передача IP в Google уже состоялась.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/hu-dkh-hu/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — dkh.hu

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website dkh.hu.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has no published privacy policy or cookie policy of any kind — only a notice bar with a single 'Elfogadom' button. Meanwhile, prior to any consent, Google Analytics loads in two variants (the deprecated Universal Analytics UA-9217572-10 and GA4 G-949F1D20QC, with a page_view event to region1.google-analytics.com), an embedded Google Maps map (maps.googleapis.com ×12, maps.gstatic.com, google.com/maps/embed), and Google Fonts (Montserrat). All of these transmit the visitor's IP address to Google (USA). No recipient is disclosed, because there is nowhere for such disclosure to appear: the site contains no transparency information regarding processing whatsoever.

2) The sole consent element is a notice stating 'by continuing to use the site, we consider that you consent,' with a single 'Elfogadom' button, with no rejection option and no settings. Google Analytics, Google Maps, and Google Fonts fire at +4245–6230 ms, prior to any interaction with the notice. Set-Cookie across the entire session is zero; there is no valid consent, yet the transfer of the IP address to Google has already taken place.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/hu-dkh-hu/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: NAIH — Венгерский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — dkh.hu

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом dkh.hu.

2. Обстоятельства
Я посетил сайт dkh.hu и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 29.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте нет опубликованной политики конфиденциальности или cookie-политики вообще — только строка-уведомление с единственной кнопкой «Elfogadom». При этом до какого-либо согласия загружаются Google Analytics в двух вариантах (устаревший Universal Analytics UA-9217572-10 и GA4 G-949F1D20QC, с событием page_view на region1.google-analytics.com), встроенная карта Google Maps (maps.googleapis.com ×12, maps.gstatic.com, google.com/maps/embed) и Google Fonts (Montserrat). Все они передают IP посетителя в Google (США). Ни один получатель не раскрыт, потому что раскрывать негде: транспарентной информации об обработке на сайте нет.

2) Единственный элемент согласия — уведомление «продолжая пользоваться сайтом, мы считаем, что вы согласны» с одной кнопкой «Elfogadom», без отклонения и без настроек. Google Analytics, Google Maps и Google Fonts срабатывают на +4245–6230 мс, до любого действия с уведомлением. Set-Cookie за весь сеанс ноль; действительного согласия нет, но передача IP в Google уже состоялась.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/hu-dkh-hu/

3. Положения GDPR, соблюдение которых прошу проверить
GDPR Art. 13 + Art. 13(1)(e) + Chapter V — отсутствие раскрытия, получатели и трансграничная передача; ePrivacy (венгерская имплементация) — недействительное согласие и трекеры до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — dkh.hu

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website dkh.hu.

2. Circumstances
I visited the website dkh.hu and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 29 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has no published privacy policy or cookie policy of any kind — only a notice bar with a single 'Elfogadom' button. Meanwhile, prior to any consent, Google Analytics loads in two variants (the deprecated Universal Analytics UA-9217572-10 and GA4 G-949F1D20QC, with a page_view event to region1.google-analytics.com), an embedded Google Maps map (maps.googleapis.com ×12, maps.gstatic.com, google.com/maps/embed), and Google Fonts (Montserrat). All of these transmit the visitor's IP address to Google (USA). No recipient is disclosed, because there is nowhere for such disclosure to appear: the site contains no transparency information regarding processing whatsoever.

2) The sole consent element is a notice stating 'by continuing to use the site, we consider that you consent,' with a single 'Elfogadom' button, with no rejection option and no settings. Google Analytics, Google Maps, and Google Fonts fire at +4245–6230 ms, prior to any interaction with the notice. Set-Cookie across the entire session is zero; there is no valid consent, yet the transfer of the IP address to Google has already taken place.

Full technical documentation is published at: https://gdpru.eu/audits/hu-dkh-hu/

3. GDPR provisions I ask you to examine
GDPR Art. 13 + Art. 13(1)(e) + Chapter V — absence of disclosure, recipients, and cross-border transfer; ePrivacy (Hungarian implementation) — invalid consent and trackers prior to consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]