Технический аудит · 20.06.2026

glovoapp.com

Платформа быстрой доставки еды, продуктов и товаров

Политика изменена — посмотреть, что именно · 2026-08-04 →

Glovoapp.com — платформа быстрой доставки еды, продуктов и товаров (группа Delivery Hero). Замер главной страницы: 133 обращения, 19 доменов. Стоит платформа сбора согласия Usercentrics, и рекламно-аналитический слой Google держится в режиме «согласие не дано» — это в пользу сайта. Но до согласия отрабатывают другие сервисы: маркетинговая платформа Braze отправляет данные, собственная продуктовая аналитика группы (Perseus) отправляет события, а антифрод Incognia снимает отпечаток устройства с привязкой к локации. То есть рекламная отдача Google отказ уважает, а маркетинговая автоматизация, аналитика и фингерпринтинг стартуют раньше выбора пользователя.

Хронология обращений

280 мс · платформа согласия Usercentrics

Загружается платформа сбора согласия Usercentrics. Механизм согласия предусмотрен.

1231 мс · фингерпринтинг устройства Incognia

Загружается сервис Incognia — снятие отпечатка устройства с привязкой к местоположению для защиты от мошенничества. До согласия.

2049 мс · маркетинговая платформа Braze

Маркетинговая платформа Braze отправляет данные на свои серверы. Это автоматизация рассылок и вовлечения — нетехническая цель, требующая согласия.

2067 мс · продуктовая аналитика Perseus

Собственная продуктовая аналитика группы (Perseus) отправляет события. До согласия.

3253 мс · первое обращение согласия

Платформа Usercentrics впервые обращается к своему сервису согласия — то есть всё перечисленное выше отработало раньше.

3396 мс · Google Analytics в режиме «нет согласия»

Google Analytics отправляет просмотр с сигналом «согласие не дано» — без cookie и персонализации. Эту часть Google соблюдает корректно.

4048 мс · Incognia отправляет сигналы устройства

Сервис Incognia отправляет собранные сигналы устройства и проверки соединения на свои серверы. До согласия.

Декларация против факта

+ Braze — не заявлен

+ Perseus (Delivery Hero) — не заявлен

+ Incognia — не заявлен

Зафиксированные трекеры

Braze (маркетинг)
Perseus (аналитика Delivery Hero)
Incognia (антифрод-фингерпринтинг)
Google Analytics 4 (denied)
Usercentrics

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR — маркетинговая платформа и аналитика срабатывают до согласия
На сайте стоит платформа сбора согласия Usercentrics, и часть стека настроена корректно: рекламно-аналитический слой Google работает в режиме «согласие не дано» — передаётся сигнал «denied», реклама неперсонализированная, cookie не выставляются. Но до того, как платформа согласия впервые обращается к своему сервису (около 3,3 секунды), уже отрабатывают нетехнические сервисы. Маркетинговая платформа Braze (автоматизация рассылок и вовлечения) отправляет данные на свои серверы. Собственная продуктовая аналитика группы — Perseus (Delivery Hero) — отправляет события. Параллельно работает Incognia — снятие отпечатка устройства с привязкой к местоположению для защиты от мошенничества: SDK загружается и отправляет собранные сигналы на свои серверы. Маркетинговая автоматизация и продуктовая аналитика — цели, требующие согласия, и здесь они отрабатывают раньше него. Антифрод-фингерпринтинг можно защищать законным интересом, но снятие отпечатка устройства до согласия по правилам ЕС остаётся спорным.
Art. 13 GDPR — фактические получатели в политике не названы
Политика описывает категории cookie в общих словах и не называет конкретных получателей: ни Braze, ни Perseus (Delivery Hero), ни Incognia в ней не упомянуты. Пользователь не может узнать из документа, что при заходе на сайт его устройство профилирует антифрод-сервис, а данные о визите уходят маркетинговой платформе и продуктовой аналитике.

Контекст

www.glovoapp.com — платформа быстрой доставки еды, продуктов и товаров (группа Delivery Hero). Контролёр данных — оператор Glovo. Сайт коммерческий: выбор ресторанов и магазинов, оформление и оплата заказов, личный кабинет.

Замер: 133 обращения к 19 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. Стоит платформа сбора согласия Usercentrics. Технический стек включает маркетинговую платформу, продуктовую аналитику и антифрод со снятием отпечатка устройства.

Кто получает данные

Тут были замечены: Braze, Delivery Hero (Perseus), Incognia, Google.

Braze — маркетинговая платформа автоматизации рассылок и вовлечения, получает данные о пользователе. Perseus — собственная продуктовая аналитика группы Delivery Hero. Incognia — сервис снятия отпечатка устройства с привязкой к местоположению для защиты от мошенничества; его SDK грузится с одного домена, а собранные сигналы уходят на его же серверный домен. Дополнительно работает аналитика Google. Медиа-домен группы в этом замере раздаёт изображения и трекингом не является.

Был ли баннер согласия

Да, на сайте есть платформа сбора согласия Usercentrics. И здесь стоит отметить положительное: рекламно-аналитический слой Google держится в режиме «согласие не дано» — сигнал передаёт состояние «denied», реклама неперсонализированная, cookie не выставляются.

Но другие сервисы отрабатывают раньше согласия: маркетинговая платформа, продуктовая аналитика и антифрод отправляют данные ещё до первого обращения платформы согласия.

Что срабатывает до согласия

До согласия отрабатывает:

маркетинговая платформа Braze — отправка данных;
продуктовая аналитика Perseus — отправка событий;
сервис фингерпринтинга Incognia — снятие отпечатка устройства и отправка сигналов на свои серверы.

Маркетинговая автоматизация и продуктовая аналитика — нетехнические цели, требующие согласия. Антифрод-фингерпринтинг можно защищать законным интересом, но снятие отпечатка устройства до согласия по правилам ЕС остаётся спорным.

Что в пользу сайта

Стоит отметить положительное. Рекламно-аналитический слой Google устроен правильно: при отсутствии согласия реклама неперсонализированная, признак «нет согласия» передаётся, cookie не выставляются. Сторонней рекламной программатик-биржи и пикселей соцсетей в замере нет. То есть проблема не в рекламном сливе по множеству сетей, а в том, что маркетинговая платформа, аналитика и фингерпринтинг включаются раньше выбора пользователя.

За сеанс сайт не выставил ни одной cookie через заголовки ответа. Наивный вывод «cookie нет — значит, чисто» здесь был бы ошибкой: маркетинговая платформа, аналитика и антифрод отправляют данные на свои серверы и без cookie-механизма. Отсутствие cookie не равно отсутствию передачи данных.

Вывод

Glovoapp.com — умеренный случай со смешанной картиной. Рекламная отдача Google настроена на соблюдение согласия, сторонних рекламных бирж и пикселей соцсетей нет — это выгодно отличает сайт. Но маркетинговая платформа Braze и продуктовая аналитика отправляют данные до согласия, а параллельно работает антифрод со снятием отпечатка устройства. Главное, что должен вынести читатель: соблюдение согласия рекламной отдачей Google не закрывает вопрос, если рядом маркетинговая автоматизация и аналитика включаются раньше выбора, а отпечаток устройства снимается ещё до него. Достаточно перевести маркетинг и аналитику в режим ожидания согласия — так же, как это уже сделано для рекламной отдачи.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/glovoapp-com-2026-06-20.har

SHA-256: aac507de2adf98518b25d6521a13cf82839fe9010d0beaba08b06e5c1ab9a94e

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — glovoapp.com

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта glovoapp.com.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте стоит платформа сбора согласия Usercentrics, и часть стека настроена корректно: рекламно-аналитический слой Google работает в режиме «согласие не дано» — передаётся сигнал «denied», реклама неперсонализированная, cookie не выставляются. Но до того, как платформа согласия впервые обращается к своему сервису (около 3,3 секунды), уже отрабатывают нетехнические сервисы. Маркетинговая платформа Braze (автоматизация рассылок и вовлечения) отправляет данные на свои серверы. Собственная продуктовая аналитика группы — Perseus (Delivery Hero) — отправляет события. Параллельно работает Incognia — снятие отпечатка устройства с привязкой к местоположению для защиты от мошенничества: SDK загружается и отправляет собранные сигналы на свои серверы. Маркетинговая автоматизация и продуктовая аналитика — цели, требующие согласия, и здесь они отрабатывают раньше него. Антифрод-фингерпринтинг можно защищать законным интересом, но снятие отпечатка устройства до согласия по правилам ЕС остаётся спорным.

2) Политика описывает категории cookie в общих словах и не называет конкретных получателей: ни Braze, ни Perseus (Delivery Hero), ни Incognia в ней не упомянуты. Пользователь не может узнать из документа, что при заходе на сайт его устройство профилирует антифрод-сервис, а данные о визите уходят маркетинговой платформе и продуктовой аналитике.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-glovoapp-com/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — glovoapp.com

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website glovoapp.com.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has a Usercentrics consent-collection platform, and part of the stack is configured correctly: Google's advertising-and-analytics layer works in «consent not given» mode — a «denied» signal is transmitted, the advertising is non-personalised, cookies are not set. But before the consent platform first reaches out to its service (around 3.3 seconds), non-technical services already fire. The Braze marketing platform (mailing and engagement automation) sends data to its servers. The group's own product analytics — Perseus (Delivery Hero) — sends events. In parallel, Incognia works — device fingerprinting tied to location for fraud protection: the SDK loads and sends the collected signals to its servers. Marketing automation and product analytics are purposes requiring consent, and here they fire before it. Anti-fraud fingerprinting can be defended by legitimate interest, but device fingerprinting before consent remains disputed under EU rules.

2) The policy describes the cookie categories in general terms and does not name specific recipients: neither Braze, nor Perseus (Delivery Hero), nor Incognia is mentioned in it. The user cannot learn from the document that on entering the site their device is profiled by an anti-fraud service, and the data about the visit goes to a marketing platform and product analytics.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-glovoapp-com/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — glovoapp.com

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом glovoapp.com.

2. Обстоятельства
Я посетил сайт glovoapp.com и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 20.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте стоит платформа сбора согласия Usercentrics, и часть стека настроена корректно: рекламно-аналитический слой Google работает в режиме «согласие не дано» — передаётся сигнал «denied», реклама неперсонализированная, cookie не выставляются. Но до того, как платформа согласия впервые обращается к своему сервису (около 3,3 секунды), уже отрабатывают нетехнические сервисы. Маркетинговая платформа Braze (автоматизация рассылок и вовлечения) отправляет данные на свои серверы. Собственная продуктовая аналитика группы — Perseus (Delivery Hero) — отправляет события. Параллельно работает Incognia — снятие отпечатка устройства с привязкой к местоположению для защиты от мошенничества: SDK загружается и отправляет собранные сигналы на свои серверы. Маркетинговая автоматизация и продуктовая аналитика — цели, требующие согласия, и здесь они отрабатывают раньше него. Антифрод-фингерпринтинг можно защищать законным интересом, но снятие отпечатка устройства до согласия по правилам ЕС остаётся спорным.

2) Политика описывает категории cookie в общих словах и не называет конкретных получателей: ни Braze, ни Perseus (Delivery Hero), ни Incognia в ней не упомянуты. Пользователь не может узнать из документа, что при заходе на сайт его устройство профилирует антифрод-сервис, а данные о визите уходят маркетинговой платформе и продуктовой аналитике.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-glovoapp-com/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR — маркетинговая платформа и аналитика срабатывают до согласия; Art. 13 GDPR — фактические получатели в политике не названы

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — glovoapp.com

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website glovoapp.com.

2. Circumstances
I visited the website glovoapp.com and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 20 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has a Usercentrics consent-collection platform, and part of the stack is configured correctly: Google's advertising-and-analytics layer works in «consent not given» mode — a «denied» signal is transmitted, the advertising is non-personalised, cookies are not set. But before the consent platform first reaches out to its service (around 3.3 seconds), non-technical services already fire. The Braze marketing platform (mailing and engagement automation) sends data to its servers. The group's own product analytics — Perseus (Delivery Hero) — sends events. In parallel, Incognia works — device fingerprinting tied to location for fraud protection: the SDK loads and sends the collected signals to its servers. Marketing automation and product analytics are purposes requiring consent, and here they fire before it. Anti-fraud fingerprinting can be defended by legitimate interest, but device fingerprinting before consent remains disputed under EU rules.

2) The policy describes the cookie categories in general terms and does not name specific recipients: neither Braze, nor Perseus (Delivery Hero), nor Incognia is mentioned in it. The user cannot learn from the document that on entering the site their device is profiled by an anti-fraud service, and the data about the visit goes to a marketing platform and product analytics.

Full technical documentation is published at: https://gdpru.eu/audits/it-glovoapp-com/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR — the marketing platform and analytics fire before consent; Art. 13 GDPR — the actual recipients are not named in the policy

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]