Технический аудит · 15.06.2026

federcostruzioni.it

Федерация строительной отрасли Италии

Сайт Federcostruzioni — федерации отраслевых ассоциаций строительного сектора Италии (WordPress). 130 запросов, 8 доменов. Политика категорично исключает любые методы трекинга кроме сессионных cookie — но на главной активны виджет соцсетей AddToAny, обычный YouTube и Google Fonts, передающие IP в США.

Хронология обращений

+0–186 мс · WordPress и виджеты

Сайт на WordPress. В общем потоке подключаются плагин согласия (Cookie Law Info / CookieYes) и виджет соцсетей AddToAny — практически одновременно.

+565–569 мс · AddToAny разворачивается

Подгружается основной код AddToAny и его служебный фрейм соцсетей.

+741–847 мс · обычный YouTube

Плагин ленты YouTube подключает инфраструктуру www.youtube.com (обычный, не приватный режим), превью видео с i.ytimg.com и аватар канала. Уже это передаёт IP посетителя в Google. Ни одного Set-Cookie за весь сеанс.

Декларация против факта

+ AddToAny — не заявлен

+ YouTube (обычный режим) — не заявлен

+ Google Fonts — не заявлен

Зафиксированные трекеры

AddToAny (static.addtoany.com) — виджет соцсетей с трекингом
YouTube в обычном режиме (www.youtube.com, i.ytimg.com) — передаёт IP в Google, США
Google Fonts (fonts.googleapis.com, fonts.gstatic.com) — передают IP в Google, США
Font Awesome с BootstrapCDN

Признаки несоответствия GDPR

Art. 5(1)(a) и Art. 13(1)(e) GDPR — категоричное «трекинга нет» против факта
Политика прямо и без оговорок заявляет: cookie для профилирования не используются и никакие другие методы трекинга не применяются — только строго необходимые сессионные cookie. Это прямо опровергается замером: на главной странице активны виджет соцсетей AddToAny, встроенные видео YouTube в обычном режиме и шрифты Google Fonts. Все они обращаются к серверам третьих сторон, передавая IP-адрес посетителя. Это не пробел в перечне, а противоречие самому утверждению документа.
Art. 13(1)(f) GDPR — передача IP в США без раскрытия
Обычный режим встраивания YouTube и шрифты Google передают IP посетителя в Google (США), AddToAny — также американский сервис. Раздела о передаче данных за пределы ЕС в политике нет. Плагин согласия на сайте установлен, но ни один из этих сервисов он не задерживает — они грузятся независимо от него.

Контекст

www.federcostruzioni.it — сайт Federcostruzioni, федерации отраслевых ассоциаций строительного сектора Италии, объединяющей крупные отраслевые объединения. Сделан на WordPress. В замере 130 обращений к восьми доменам. Ответственным за обработку данных верно указана сама федерация, и политика, в отличие от некоторых сайтов серии, опирается на действующий регламент. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Случай интересен не объёмом слежки — он скромный, — а тем, что документ здесь не умалчивает, а прямо утверждает обратное реальности.

Кто получает данные

Тут были замечены: AddToAny, Google.

Был ли баннер согласия

Плагин согласия на сайте установлен — его код загружается в начале визита. Но задачи своей он не выполняет: виджет соцсетей, шрифты Google и встроенные видео грузятся независимо от него, не дожидаясь никакого выбора пользователя. То есть баннер присутствует формально, а трекеры от него не зависят.

Категоричное «трекинга нет» — против факта

Здесь главное. Большинство сайтов серии грешат умолчанием — не называют используемые инструменты. Этот идёт дальше и заявляет прямо: профилирующих cookie нет, и никакие другие методы трекинга не используются, только строго необходимые сессионные cookie. Замер опровергает это сразу в трёх местах. На главной странице работает виджет соцсетей AddToAny, который по своей природе собирает данные о посетителях. Встроены видео YouTube. Подгружаются шрифты Google. Все три обращаются к чужим серверам и передают им IP-адрес посетителя. Это не пробел в списке — это противоречие самому тексту, который уверяет, что ничего подобного нет.

Куда уходят данные — в Google, США

Из трёх сторонних сервисов два — это Google: встроенный YouTube и шрифты. Причём видео подключено в обычном режиме, а не в приватном, поэтому уже сама загрузка плеера обращается к Google и уводит IP в США. Шрифты — та же история: часть из них сайт держит у себя, но часть всё равно тянет с серверов Google. AddToAny — тоже американский сервис. Раздела о передаче данных за пределы ЕС в политике нет вовсе. Чинится всё это стандартно: приватный режим для видео и перенос шрифтов на свой сервер, тем более что часть из них там уже лежит.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Сбор данных виджетом AddToAny — это его известная бизнес-модель, а не вывод из самого замера; в замере я вижу факт его загрузки и обращений к его серверам. У встроенного видео более тяжёлые обращения к Google происходят при запуске, но и загрузка плеера в обычном режиме уже передаёт IP. Содержимое cookie в облегчённой выгрузке напрямую не видно. Замер охватывает главную страницу.

Вывод

Объём слежки тут небольшой, но проблема не в нём, а в категоричности документа. Политика прямо утверждает, что никаких методов трекинга, кроме сессионных cookie, не используется, — а сама же главная страница опровергает это трижды: виджет соцсетей, обычный YouTube и шрифты Google, все тихо обращаются к чужим серверам, по большей части к Google в США, и установленный плагин согласия не задерживает ни один из них. Главное, что должен вынести читатель: одно дело — забыть упомянуть инструмент, и совсем другое — прямо написать «у нас этого нет», когда оно есть; здесь именно второй случай, и исправляется он в пару технических движений.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/federcostruzioni-it-2026-06-15.har

SHA-256: dc478acb00b4abf485aedd4bf779a77114e67b31e6a829d2ce1ad1ff22b5e9e9

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — federcostruzioni.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта federcostruzioni.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика прямо и без оговорок заявляет: cookie для профилирования не используются и никакие другие методы трекинга не применяются — только строго необходимые сессионные cookie. Это прямо опровергается замером: на главной странице активны виджет соцсетей AddToAny, встроенные видео YouTube в обычном режиме и шрифты Google Fonts. Все они обращаются к серверам третьих сторон, передавая IP-адрес посетителя. Это не пробел в перечне, а противоречие самому утверждению документа.

2) Обычный режим встраивания YouTube и шрифты Google передают IP посетителя в Google (США), AddToAny — также американский сервис. Раздела о передаче данных за пределы ЕС в политике нет. Плагин согласия на сайте установлен, но ни один из этих сервисов он не задерживает — они грузятся независимо от него.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-federcostruzioni-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — federcostruzioni.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website federcostruzioni.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The policy explicitly and without reservation states: no profiling cookies are used and no other tracking methods are applied — only strictly necessary session cookies. This is directly refuted by the capture: on the home page the AddToAny social-network widget, embedded YouTube videos in regular mode and Google Fonts are active. All of them reach out to third-party servers, transmitting the visitor's IP address. This is not a gap in the list, but a contradiction of the document's very assertion.

2) The regular embedding mode of YouTube and the Google fonts transmit the visitor's IP to Google (USA); AddToAny is also an American service. There is no section on the transfer of data outside the EU in the policy. The consent plugin is installed on the site, but it holds back none of these services — they load independently of it.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-federcostruzioni-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — federcostruzioni.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом federcostruzioni.it.

2. Обстоятельства
Я посетил сайт federcostruzioni.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика прямо и без оговорок заявляет: cookie для профилирования не используются и никакие другие методы трекинга не применяются — только строго необходимые сессионные cookie. Это прямо опровергается замером: на главной странице активны виджет соцсетей AddToAny, встроенные видео YouTube в обычном режиме и шрифты Google Fonts. Все они обращаются к серверам третьих сторон, передавая IP-адрес посетителя. Это не пробел в перечне, а противоречие самому утверждению документа.

2) Обычный режим встраивания YouTube и шрифты Google передают IP посетителя в Google (США), AddToAny — также американский сервис. Раздела о передаче данных за пределы ЕС в политике нет. Плагин согласия на сайте установлен, но ни один из этих сервисов он не задерживает — они грузятся независимо от него.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-federcostruzioni-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 5(1)(a) и Art. 13(1)(e) GDPR — категоричное «трекинга нет» против факта; Art. 13(1)(f) GDPR — передача IP в США без раскрытия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — federcostruzioni.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website federcostruzioni.it.

2. Circumstances
I visited the website federcostruzioni.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The policy explicitly and without reservation states: no profiling cookies are used and no other tracking methods are applied — only strictly necessary session cookies. This is directly refuted by the capture: on the home page the AddToAny social-network widget, embedded YouTube videos in regular mode and Google Fonts are active. All of them reach out to third-party servers, transmitting the visitor's IP address. This is not a gap in the list, but a contradiction of the document's very assertion.

2) The regular embedding mode of YouTube and the Google fonts transmit the visitor's IP to Google (USA); AddToAny is also an American service. There is no section on the transfer of data outside the EU in the policy. The consent plugin is installed on the site, but it holds back none of these services — they load independently of it.

Full technical documentation is published at: https://gdpru.eu/audits/it-federcostruzioni-it/

3. GDPR provisions I ask you to examine
Art. 5(1)(a) and Art. 13(1)(e) GDPR — a categorical «no tracking» against the fact; Art. 13(1)(f) GDPR — transmission of the IP to the USA without disclosure

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]