Технический аудит · 20.06.2026

ovs.it

Магазин одежды

Политика изменена — посмотреть, что именно · 2026-07-13 →

Ovs.it — сеть магазинов одежды. Замер главной страницы: 278 обращений, 24 домена. Стоит платформа сбора согласия OneTrust, но её чек согласия в этом сеансе фиксируется очень поздно — примерно на 25-й секунде. А до него уже отрабатывают профилирование и реклама: профилирующие сервисы Salesforce (персонализация и движок рекомендаций) запускаются на первой секунде, ремаркетинговый пиксель Blueknow — на пятой, а Google Analytics и собственная аналитическая прослойка сайта работают с аналитикой, разрешённой по умолчанию. При этом ремаркетинг Blueknow и сервис персонализации iGoDigital в политике даже не названы. То есть профилирование и догоняющая реклама включены задолго до согласия и частично не раскрыты.

Хронология обращений

705–719 мс · профилирование Salesforce

На первой секунде запускаются профилирующие сервисы Salesforce — сервис персонализации (iGoDigital) и движок рекомендаций Einstein (CQuotient). Это сбор поведения для персональных подборок, до согласия.

706 мс · платформа согласия OneTrust

Загружается платформа сбора согласия OneTrust. Механизм согласия предусмотрен — значит то, что отрабатывает раньше выбора, происходит до согласия.

3019–3024 мс · опросы и антифрод

Подключаются сервис опросов Usabilla и защита от мошенничества Opticks. Антифрод можно отнести к защитным функциям, опросный сервис — нет.

4708–4935 мс · аналитика по умолчанию

Google Analytics и собственная аналитическая прослойка сайта отправляют события с аналитикой, разрешённой по умолчанию. То есть аналитика включена без выбора пользователя.

5335 мс · ремаркетинговый пиксель Blueknow

Срабатывает ремаркетинговый пиксель Blueknow — инструмент догоняющей рекламы. Это рекламный ретаргетинг, и он отрабатывает за двадцать секунд до согласия.

Декларация против факта

✓ Salesforce Einstein (CQuotient) — заявлен

+ Blueknow (ремаркетинг) — не заявлен

+ Salesforce iGoDigital — не заявлен

Зафиксированные трекеры

Salesforce iGoDigital (профилирование)
Salesforce Einstein (CQuotient)
Blueknow (ремаркетинг)
Google Analytics 4
Usabilla (опросы)
Opticks (антифрод)

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR — профилирование и ремаркетинг срабатывают до согласия
На сайте стоит платформа сбора согласия OneTrust, но её чек согласия в этом сеансе фиксируется очень поздно — примерно на 25-й секунде. А до него отрабатывает профилирование и реклама. Уже на первой секунде запускаются профилирующие сервисы Salesforce — сервис персонализации и движок рекомендаций Einstein. К пятой секунде срабатывает ремаркетинговый пиксель Blueknow — то есть рекламный ретаргетинг, инструмент догоняющей рекламы. Google Analytics и собственная аналитическая прослойка сайта при этом запускаются с аналитикой, разрешённой по умолчанию. Сама политика сайта относит профилирующие cookie, которые отслеживают поведение для персонализации и таргетированной рекламы, к категории, требующей согласия. То есть профилирование и ремаркетинг, по собственному документу сайта требующие согласия, отрабатывают за два десятка секунд до того, как согласие зафиксировано.
Art. 13 GDPR — ремаркетинг Blueknow и персонализация iGoDigital в политике не названы
Из фактически работающих профилирующих и рекламных сервисов политика называет только движок рекомендаций Salesforce. Ремаркетинговый пиксель Blueknow и сервис персонализации iGoDigital в политике не упомянуты. То есть рекламный ретаргетинг и часть профилирования работают, но в перечне получателей не раскрыты — пользователь не может узнать из документа, что его данные уходят этим сервисам.

Контекст

www.ovs.it — сеть магазинов одежды, один из крупных итальянских ретейлеров одежды. Контролёр данных — оператор OVS. Сайт коммерческий: каталог, поиск, корзина, личный кабинет, обслуживание клиентов через чат.

Замер: 278 обращений к 24 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. Стоит платформа сбора согласия OneTrust. Технический стек включает профилирование Salesforce, рекламный ретаргетинг и аналитику.

Кто получает данные

Тут были замечены: Salesforce, Blueknow, Google.

Salesforce представлен профилирующими сервисами — персонализацией и движком рекомендаций, а также инфраструктурой личного кабинета и чата поддержки. Blueknow — сервис рекламного ретаргетинга (догоняющей рекламы). Google — аналитикой. Дополнительно работают визуальная витрина LiveStory, сервис опросов Usabilla, защита от мошенничества Opticks и собственная аналитическая прослойка сайта.

Отдельно поясню про обращения к домену Microsoft Edge: они относятся к встроенной функции перевода страницы в самом браузере и трекингом сайта не являются — сайт за них не отвечает.

Был ли баннер согласия

Да, на сайте есть платформа сбора согласия OneTrust, но её чек согласия в этом сеансе фиксируется очень поздно — примерно на 25-й секунде. К этому моменту профилирование, ремаркетинг и аналитика уже отработали.

При этом сама политика сайта относит профилирующие cookie — те, что отслеживают поведение для персонализации и таргетированной рекламы, — к категории, требующей согласия. То есть площадка сама объявляет согласие обязательным для профилирования, а оно стартует на первой секунде.

Что срабатывает до согласия

До фиксации согласия отрабатывает:

профилирование Salesforce — персонализация и движок рекомендаций;
ремаркетинговый пиксель Blueknow — рекламный ретаргетинг;
Google Analytics и собственная аналитическая прослойка — с аналитикой, разрешённой по умолчанию;
сервис опросов Usabilla.

Профилирование и рекламный ретаргетинг — нетехнические цели, требующие согласия, что подтверждает и сама политика. Здесь они разворачиваются за двадцать с лишним секунд до согласия.

Расхождение с политикой и нераскрытые получатели

Два пункта. Во-первых, профилирование и ремаркетинг отрабатывают до согласия, тогда как политика относит профилирование к обработке по согласию. Во-вторых, из фактически работающих сервисов политика называет только движок рекомендаций Salesforce, а ремаркетинговый пиксель Blueknow и сервис персонализации iGoDigital не упомянуты. То есть рекламный ретаргетинг работает, но в перечне получателей не раскрыт.

Вывод

Ovs.it — типичный для крупного ретейла случай с двойным расхождением. Профилирование Salesforce и рекламный ретаргетинг Blueknow отрабатывают на первых секундах, аналитика включена по умолчанию, а чек согласия фиксируется лишь к 25-й секунде — то есть все эти сборы происходят задолго до согласия. При этом ремаркетинг и часть профилирования в политике даже не названы. Главное, что должен вынести читатель: когда сайт сам относит профилирование к обработке по согласию, запуск его и рекламного ретаргетинга на первой секунде противоречит собственному документу, а нераскрытый ремаркетинговый пиксель означает, что пользователь не может узнать о нём из политики. Достаточно перевести профилирование и ремаркетинг в режим ожидания согласия и дополнить перечень получателей фактически работающими сервисами."

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/ovs-it-2026-06-20.har

SHA-256: 869f74ed182f034e1e057a334a45068c64e8d13d91f5b23e3b55fb9deaacb00f

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — ovs.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта ovs.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте стоит платформа сбора согласия OneTrust, но её чек согласия в этом сеансе фиксируется очень поздно — примерно на 25-й секунде. А до него отрабатывает профилирование и реклама. Уже на первой секунде запускаются профилирующие сервисы Salesforce — сервис персонализации и движок рекомендаций Einstein. К пятой секунде срабатывает ремаркетинговый пиксель Blueknow — то есть рекламный ретаргетинг, инструмент догоняющей рекламы. Google Analytics и собственная аналитическая прослойка сайта при этом запускаются с аналитикой, разрешённой по умолчанию. Сама политика сайта относит профилирующие cookie, которые отслеживают поведение для персонализации и таргетированной рекламы, к категории, требующей согласия. То есть профилирование и ремаркетинг, по собственному документу сайта требующие согласия, отрабатывают за два десятка секунд до того, как согласие зафиксировано.

2) Из фактически работающих профилирующих и рекламных сервисов политика называет только движок рекомендаций Salesforce. Ремаркетинговый пиксель Blueknow и сервис персонализации iGoDigital в политике не упомянуты. То есть рекламный ретаргетинг и часть профилирования работают, но в перечне получателей не раскрыты — пользователь не может узнать из документа, что его данные уходят этим сервисам.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-ovs-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — ovs.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website ovs.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has a OneTrust consent-collection platform, but its consent check in this session is recorded very late — at around the 25th second. And before it, profiling and advertising fire. Already in the first second Salesforce's profiling services launch — the personalisation service and the Einstein recommendation engine. By the fifth second the Blueknow remarketing pixel fires — that is, advertising retargeting, a follow-up-advertising tool. Google Analytics and the site's own analytics layer, meanwhile, launch with analytics allowed by default. The site's own policy classes the profiling cookies, which track behaviour for personalisation and targeted advertising, in the category requiring consent. That is, the profiling and remarketing, which by the site's own document require consent, fire two dozen seconds before consent is recorded.

2) Of the actually working profiling and advertising services, the policy names only the Salesforce recommendation engine. The Blueknow remarketing pixel and the iGoDigital personalisation service are not mentioned in the policy. That is, advertising retargeting and part of the profiling work, but are not disclosed in the list of recipients — the user cannot learn from the document that their data goes to these services.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-ovs-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — ovs.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом ovs.it.

2. Обстоятельства
Я посетил сайт ovs.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 20.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте стоит платформа сбора согласия OneTrust, но её чек согласия в этом сеансе фиксируется очень поздно — примерно на 25-й секунде. А до него отрабатывает профилирование и реклама. Уже на первой секунде запускаются профилирующие сервисы Salesforce — сервис персонализации и движок рекомендаций Einstein. К пятой секунде срабатывает ремаркетинговый пиксель Blueknow — то есть рекламный ретаргетинг, инструмент догоняющей рекламы. Google Analytics и собственная аналитическая прослойка сайта при этом запускаются с аналитикой, разрешённой по умолчанию. Сама политика сайта относит профилирующие cookie, которые отслеживают поведение для персонализации и таргетированной рекламы, к категории, требующей согласия. То есть профилирование и ремаркетинг, по собственному документу сайта требующие согласия, отрабатывают за два десятка секунд до того, как согласие зафиксировано.

2) Из фактически работающих профилирующих и рекламных сервисов политика называет только движок рекомендаций Salesforce. Ремаркетинговый пиксель Blueknow и сервис персонализации iGoDigital в политике не упомянуты. То есть рекламный ретаргетинг и часть профилирования работают, но в перечне получателей не раскрыты — пользователь не может узнать из документа, что его данные уходят этим сервисам.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-ovs-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR — профилирование и ремаркетинг срабатывают до согласия; Art. 13 GDPR — ремаркетинг Blueknow и персонализация iGoDigital в политике не названы

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — ovs.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website ovs.it.

2. Circumstances
I visited the website ovs.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 20 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has a OneTrust consent-collection platform, but its consent check in this session is recorded very late — at around the 25th second. And before it, profiling and advertising fire. Already in the first second Salesforce's profiling services launch — the personalisation service and the Einstein recommendation engine. By the fifth second the Blueknow remarketing pixel fires — that is, advertising retargeting, a follow-up-advertising tool. Google Analytics and the site's own analytics layer, meanwhile, launch with analytics allowed by default. The site's own policy classes the profiling cookies, which track behaviour for personalisation and targeted advertising, in the category requiring consent. That is, the profiling and remarketing, which by the site's own document require consent, fire two dozen seconds before consent is recorded.

2) Of the actually working profiling and advertising services, the policy names only the Salesforce recommendation engine. The Blueknow remarketing pixel and the iGoDigital personalisation service are not mentioned in the policy. That is, advertising retargeting and part of the profiling work, but are not disclosed in the list of recipients — the user cannot learn from the document that their data goes to these services.

Full technical documentation is published at: https://gdpru.eu/audits/it-ovs-it/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR — profiling and remarketing fire before consent; Art. 13 GDPR — the Blueknow remarketing and iGoDigital personalisation are not named in the policy

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]