Технический аудит · 20.06.2026

chicco.it

Магазин товаров для детей и младенцев

Chicco.it — интернет-магазин товаров для детей и младенцев (группа Artsana). Замер главной страницы: 135 обращений, 20 доменов. Тематика делает случай особенно чувствительным: политика прямо упоминает сбор данных несовершеннолетних и предполагаемой даты рождения, то есть срока беременности, — а на сайте работает поведенческое профилирование. Стоит платформа согласия Cookiebot, но в первые три секунды, до любого решения, отрабатывают профилирование Salesforce (Interaction Studio и Einstein), реклама Google и трекинг Klarna. И отдельно серьёзно: в этом сеансе пользователь в итоге отказал в согласии, но профилирование Salesforce продолжило отправлять поведенческие события и после отказа, тогда как реклама Google после отказа замолчала. То есть отказ соблюли не все.

Хронология обращений

634–637 мс · профилирование стартует вместе с баннером

Одновременно с загрузкой платформы согласия Cookiebot стартуют профилирование Salesforce (beacon Interaction Studio), коммерческий профилировщик Einstein (CQuotient), трекинг Klarna и аналитика Cloudflare Insights. Это происходит до какого-либо выбора пользователя.

1636 мс · рекламная активность Google

Google получает обращение рекламной активности. Сигнал согласия показывает, что аналитика разрешена по умолчанию, а реклама нет, — то есть аналитическая часть уже включена без явного выбора.

2554–3250 мс · поведенческие события и рекомендации

Профилирование Salesforce отправляет поведенческие события на свои серверы, а Einstein запрашивает персональные товарные рекомендации. Всё это — до согласия.

63260 и 123264 мс · профилирование продолжается после отказа

Несмотря на отказ, профилирование Salesforce дважды отправляет поведенческие события уже после него. Реклама Google при этом замолчала — то есть отказ соблюли не все сервисы.

Декларация против факта

✓ Salesforce / Evergage — заявлен

✓ Klarna — заявлен

✓ Google — заявлен

+ Einstein / CQuotient — не заявлен

Зафиксированные трекеры

Salesforce Interaction Studio (Evergage)
Salesforce Einstein (CQuotient)
Google Ad Manager
Klarna
Cookiebot
Cloudflare Insights

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR — поведенческое профилирование и реклама срабатывают до согласия
На сайте стоит платформа сбора согласия Cookiebot, но в чистом сеансе целый ряд сервисов отрабатывает в первые три секунды, ещё до какого-либо решения пользователя. Поведенческое профилирование Salesforce (Interaction Studio, домены Evergage) отправляет свой beacon и начинает фиксировать события; коммерческий профилировщик Salesforce Einstein (CQuotient) загружается и запрашивает персональные рекомендации; платёжный сервис Klarna ведёт свой трекинг; Google запрашивает рекламную активность. Сигнал согласия Google в этот момент показывает, что аналитика разрешена по умолчанию, а реклама — нет, то есть аналитическая часть включена без явного выбора. Поведенческое профилирование для маркетинга по правилам ЕС требует предварительного согласия, а здесь оно разворачивается до него.
Art. 7(3) GDPR — после отказа профилирование Salesforce продолжается
В этом сеансе пользователь в итоге отказал в согласии — платформа Cookiebot зафиксировала отказ. Однако профилирование Salesforce (Interaction Studio) не остановилось: уже после отказа оно дважды отправило на свои серверы поведенческие события. То есть отказ был проигнорирован той частью стека, которая как раз и строит маркетинговый профиль. Это прямо противоречит и закону, который требует прекратить обработку при отзыве или отказе в согласии, и собственному обещанию политики, что согласие можно отозвать так же легко, как оно было дано. Для сравнения: рекламные обращения Google после отказа прекратились — то есть технически соблюсти отказ возможно, но профилирующий сервис этого не сделал.

Контекст

www.chicco.it — интернет-магазин и сайт бренда Chicco, товары для детей и младенцев (группа Artsana). Контролёр данных — Artsana. Аудитория — родители и будущие родители. Политика прямо указывает, что собираются в том числе данные несовершеннолетних и предполагаемая дата рождения (срок беременности), что делает тематику чувствительной.

Замер: 135 обращений к 20 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. Стоит платформа сбора согласия Cookiebot. Технический стек — коммерческая платформа Salesforce с поведенческим профилированием, реклама Google и платёжный трекинг Klarna.

Кто получает данные

Тут были замечены: Salesforce, Google, Klarna.

Salesforce представлен двумя профилирующими сервисами: Interaction Studio (домены Evergage) строит поведенческий профиль пользователя, а Einstein (CQuotient) выдаёт персональные товарные рекомендации на основе поведения. Google получает рекламную активность. Klarna — платёжный сервис рассрочки — ведёт собственный трекинг. Дополнительно работают аналитика Cloudflare Insights и тег-сервис на собственном поддомене.

Был ли баннер согласия

Да, на сайте есть платформа сбора согласия Cookiebot. В этом сеансе пользователь в итоге сделал выбор — отказал в согласии. Но к моменту отказа профилирование и реклама уже отработали, а часть из них продолжила работу и после.

Что срабатывает до согласия

В первые три секунды, до любого решения, отрабатывают:

поведенческое профилирование Salesforce (Interaction Studio) — beacon и события;
коммерческий профилировщик Salesforce Einstein — рекомендации на основе поведения;
рекламная активность Google;
трекинг платёжного сервиса Klarna;
аналитика Cloudflare Insights.

Поведенческое профилирование для маркетинга — нетехническая цель, требующая предварительного согласия. Здесь оно разворачивается до него.

Отказ соблюли не все

Это узловой и самый серьёзный пункт. В сеансе пользователь отказал в согласии. После этого рекламные обращения Google прекратились — то есть технически отказ исполнить возможно. Но профилирование Salesforce продолжило отправлять поведенческие события и после отказа — дважды, спустя десятки секунд. То есть тот самый сервис, который строит маркетинговый профиль, отказ проигнорировал. Это противоречит и требованию закона прекратить обработку при отказе, и обещанию политики, что согласие отзывается так же легко, как даётся.

Чувствительный контекст

Отдельно стоит подчеркнуть тематику. Политика прямо называет сбор данных несовершеннолетних и предполагаемой даты рождения — то есть срока беременности. Поведенческое профилирование, которое здесь работает до согласия и продолжается после отказа, действует в контексте, связанном с беременностью и маленькими детьми. Это одна из самых чувствительных областей для маркетингового таргетинга, и требования к основанию обработки здесь особенно строги.

Вывод

Chicco.it — серьёзный коммерческий случай, и серьёзность усиливается тематикой. Платформа согласия на сайте есть, но поведенческое профилирование Salesforce, реклама Google и трекинг Klarna отрабатывают до согласия, а после прямого отказа профилирование Salesforce не останавливается — продолжает слать поведенческие события, тогда как реклама Google отказ соблюла. Главное, что должен вынести читатель: отказ в согласии должен останавливать обработку, и здесь видно, что соблюсти его технически возможно — Google это сделал, — но профилирующий сервис продолжил работу. На сайте, где собирают срок беременности и данные о детях, это расхождение между обещанным отзывом и реальным поведением профилировщика особенно весомо."

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/chicco-it-2026-06-20.har

SHA-256: 93ef59451c691464517b687fbab87e27a40fdd2181603db54d40ca0ddbc982f4

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — chicco.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта chicco.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте стоит платформа сбора согласия Cookiebot, но в чистом сеансе целый ряд сервисов отрабатывает в первые три секунды, ещё до какого-либо решения пользователя. Поведенческое профилирование Salesforce (Interaction Studio, домены Evergage) отправляет свой beacon и начинает фиксировать события; коммерческий профилировщик Salesforce Einstein (CQuotient) загружается и запрашивает персональные рекомендации; платёжный сервис Klarna ведёт свой трекинг; Google запрашивает рекламную активность. Сигнал согласия Google в этот момент показывает, что аналитика разрешена по умолчанию, а реклама — нет, то есть аналитическая часть включена без явного выбора. Поведенческое профилирование для маркетинга по правилам ЕС требует предварительного согласия, а здесь оно разворачивается до него.

2) В этом сеансе пользователь в итоге отказал в согласии — платформа Cookiebot зафиксировала отказ. Однако профилирование Salesforce (Interaction Studio) не остановилось: уже после отказа оно дважды отправило на свои серверы поведенческие события. То есть отказ был проигнорирован той частью стека, которая как раз и строит маркетинговый профиль. Это прямо противоречит и закону, который требует прекратить обработку при отзыве или отказе в согласии, и собственному обещанию политики, что согласие можно отозвать так же легко, как оно было дано. Для сравнения: рекламные обращения Google после отказа прекратились — то есть технически соблюсти отказ возможно, но профилирующий сервис этого не сделал.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-chicco-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — chicco.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website chicco.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has the Cookiebot consent-collection platform, but in a clean session a whole range of services fires in the first three seconds, before any user decision. Salesforce behavioural profiling (Interaction Studio, the Evergage domains) sends its beacon and begins recording events; the Salesforce Einstein commercial profiler (CQuotient) loads and requests personalised recommendations; the Klarna payment service runs its own tracking; Google requests advertising activity. Google's consent signal at this moment shows that analytics is allowed by default while advertising is not — that is, the analytics part is on without an explicit choice. Behavioural profiling for marketing under EU rules requires prior consent, and here it unfolds before it.

2) In this session the user ultimately refused consent — the Cookiebot platform recorded the refusal. However, the Salesforce profiling (Interaction Studio) did not stop: already after the refusal it twice sent behavioural events to its servers. That is, the refusal was ignored by the very part of the stack that builds the marketing profile. This directly contradicts both the law, which requires processing to cease upon withdrawal or refusal of consent, and the policy's own promise that consent can be withdrawn as easily as it was given. For comparison: Google's advertising requests ceased after the refusal — that is, it is technically possible to honour a refusal, but the profiling service did not do so.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-chicco-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — chicco.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом chicco.it.

2. Обстоятельства
Я посетил сайт chicco.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 20.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте стоит платформа сбора согласия Cookiebot, но в чистом сеансе целый ряд сервисов отрабатывает в первые три секунды, ещё до какого-либо решения пользователя. Поведенческое профилирование Salesforce (Interaction Studio, домены Evergage) отправляет свой beacon и начинает фиксировать события; коммерческий профилировщик Salesforce Einstein (CQuotient) загружается и запрашивает персональные рекомендации; платёжный сервис Klarna ведёт свой трекинг; Google запрашивает рекламную активность. Сигнал согласия Google в этот момент показывает, что аналитика разрешена по умолчанию, а реклама — нет, то есть аналитическая часть включена без явного выбора. Поведенческое профилирование для маркетинга по правилам ЕС требует предварительного согласия, а здесь оно разворачивается до него.

2) В этом сеансе пользователь в итоге отказал в согласии — платформа Cookiebot зафиксировала отказ. Однако профилирование Salesforce (Interaction Studio) не остановилось: уже после отказа оно дважды отправило на свои серверы поведенческие события. То есть отказ был проигнорирован той частью стека, которая как раз и строит маркетинговый профиль. Это прямо противоречит и закону, который требует прекратить обработку при отзыве или отказе в согласии, и собственному обещанию политики, что согласие можно отозвать так же легко, как оно было дано. Для сравнения: рекламные обращения Google после отказа прекратились — то есть технически соблюсти отказ возможно, но профилирующий сервис этого не сделал.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-chicco-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR — поведенческое профилирование и реклама срабатывают до согласия; Art. 7(3) GDPR — после отказа профилирование Salesforce продолжается

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — chicco.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website chicco.it.

2. Circumstances
I visited the website chicco.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 20 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has the Cookiebot consent-collection platform, but in a clean session a whole range of services fires in the first three seconds, before any user decision. Salesforce behavioural profiling (Interaction Studio, the Evergage domains) sends its beacon and begins recording events; the Salesforce Einstein commercial profiler (CQuotient) loads and requests personalised recommendations; the Klarna payment service runs its own tracking; Google requests advertising activity. Google's consent signal at this moment shows that analytics is allowed by default while advertising is not — that is, the analytics part is on without an explicit choice. Behavioural profiling for marketing under EU rules requires prior consent, and here it unfolds before it.

2) In this session the user ultimately refused consent — the Cookiebot platform recorded the refusal. However, the Salesforce profiling (Interaction Studio) did not stop: already after the refusal it twice sent behavioural events to its servers. That is, the refusal was ignored by the very part of the stack that builds the marketing profile. This directly contradicts both the law, which requires processing to cease upon withdrawal or refusal of consent, and the policy's own promise that consent can be withdrawn as easily as it was given. For comparison: Google's advertising requests ceased after the refusal — that is, it is technically possible to honour a refusal, but the profiling service did not do so.

Full technical documentation is published at: https://gdpru.eu/audits/it-chicco-it/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR — behavioural profiling and advertising fire before consent; Art. 7(3) GDPR — after refusal, Salesforce profiling continues

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]