Технический аудит · 15.06.2026

tecnomat.it

Сеть строительных материалов и товаров для ремонта

Политика изменена — посмотреть, что именно · 2026-09-17 →

Tecnomat (сеть строительных материалов и товаров для ремонта, группа Adeo) — самый тяжёлый по слежке сайт серии: 539 обращений, 69 доменов. Согласие собрано на OneTrust, баннер на экране — но не нажат. И всё равно на первых секундах запускается полный рекламно-аналитический шторм: Google (GA4, Ads, DoubleClick), пиксель Meta с просмотром страницы, Criteo, Adobe Audience Manager, запись сессий Hotjar и десятки программатик-бирж. Google Consent Mode во всех обращениях сразу стоит «granted», состояния «denied» нет ни разу — то есть сайт по умолчанию считает согласие данным, не дожидаясь пользователя, вопреки тексту собственного баннера (без принятия — только технические инструменты). Вдобавок интерфейс согласия построен как тёмный паттерн: принять — один клик, отказаться — нет равноценной кнопки. И даже подробнейшая cookie-политика на ~60 получателей не покрывает всех, кто реально сработал.

Хронология обращений

226–839 мс · платформа согласия с авто-блокировкой

Загружается OneTrust, включая модуль авто-блокировки тегов, и отрисовывается баннер согласия. С этого момента баннер на экране, но решения пользователь не принимает.

234 мс · сторонний A/B-сервис

Ещё до отрисовки баннера подключается сторонний инструмент A/B-тестирования Convert. Сторонний домен получает обращение на первом контакте.

5800 мс и далее · рекламный шторм без согласия

Запускается весь рекламно-аналитический слой: Criteo, Hotjar, Google (Ads/DoubleClick/GA4), пиксель Meta с просмотром страницы, Adobe Audience Manager и десятки программатик-синков. Во всех обращениях Google сигнал согласия сразу «granted».

состояние «denied» отсутствует

Ни одного обращения с сигналом «согласие не дано» в замере нет — то есть переход «отказано → дано» после клика не происходил. Согласие выставлено в «дано» по умолчанию.

Декларация против факта

✓ Google — заявлен

✓ Meta / Facebook — заявлен

✓ Criteo — заявлен

✓ Adobe Audience Manager — заявлен

✓ PubMatic — заявлен

✓ Index Exchange — заявлен

✓ Adform — заявлен

✓ AppNexus / Xandr — заявлен

✓ ID5 — заявлен

✓ Smart AdServer — заявлен

✓ 360yield — заявлен

✓ 1RX — заявлен

✓ Neustar — заявлен

+ Hotjar — не заявлен

+ Taboola — не заявлен

+ Outbrain — не заявлен

+ Rubicon / Magnite — не заявлен

+ Microsoft Bing — не заявлен

+ TripleLift — не заявлен

+ Yieldlab — не заявлен

+ BidSwitch — не заявлен

+ Teads — не заявлен

+ Zemanta — не заявлен

+ vzbl.eu — не заявлен

Зафиксированные трекеры

Google
Meta / Facebook
Criteo
Adobe Audience Manager
Hotjar
Программатик-биржи (RTB)
OneTrust

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR — рекламно-аналитический слой работает без согласия, по умолчанию «granted»
В чистом сеансе баннер согласия OneTrust показан, но не нажат — выбор пользователь не делал. Несмотря на это, на первых же секундах запускается весь рекламно-аналитический слой: Google (GA4, Ads, DoubleClick), рекламный пиксель Meta с событием просмотра страницы, Criteo, Adobe Audience Manager и десятки программатик-бирж. Сигнал Google Consent Mode при этом во всех обращениях сразу «granted» (и для рекламы, и для аналитики) — ни одного обращения в состоянии «denied» в замере нет вовсе. Это означает, что сайт выставил согласие в положение «дано» по умолчанию, не дожидаясь решения пользователя. Записи о нажатии «принять» у OneTrust тоже нет. Тем самым обработка для рекламы и профилирования идёт без правового основания. Прямое противоречие: текст самого баннера обещает, что без принятия будут работать только технические инструменты, а собственная cookie-политика относит рекламные и аналитические cookie к тем, для которых согласие требуется.
Art. 4(11), 7(3) GDPR — тёмный паттерн в интерфейсе согласия
Согласие не является свободным и равноценным. На первом слое баннера видна яркая кнопка «Accetta tutti i cookie», но равнозначной кнопки «отклонить всё» рядом нет — только «Impostazioni cookie» и крестик. Во втором слое (центр предпочтений) есть «Позвольте всем», но снова нет простого однокликового «отклонить всё»: отказ требует ручного перещёлкивания категорий. Согласие даётся в один клик, отказ — в несколько действий. Эта асимметрия — типичный недопустимый паттерн дизайна по гайдлайнам EDPB о deceptive design и позиции Garante: отказаться должно быть так же легко, как согласиться.
Art. 13(1)(e) GDPR — часть фактических получателей не названа даже в подробной политике
Cookie-политика перечисляет около шестидесяти сторонних получателей — список очень длинный. Тем не менее ряд сервисов, реально сработавших в замере, в нём отсутствует: сторонняя запись сессий Hotjar, нативные рекламные сети Taboola и Outbrain, рекламные биржи Rubicon (Magnite), TripleLift, Yieldlab, BidSwitch, Teads, рекламная платформа Zemanta, конверсионное отслеживание Microsoft Bing и адтех-домен vzbl.eu. То есть даже исчерпывающая на вид простыня получателей не покрывает фактический набор — особенно показательно отсутствие Hotjar, ведущего запись поведения пользователя на странице.

Контекст

www.tecnomat.it — итальянский сайт сети Tecnomat (бывший Bricoman), крупной розницы строительных материалов и товаров для ремонта, входящей в группу Adeo (та же группа, что Leroy Merlin). Ответственный за обработку — Tecnomat / соответствующее юридическое лицо группы. Это коммерческий интернет-магазин с каталогом, выбором магазина, корзиной и оплатой.

Замер: 539 обращений к 69 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. Стоит платформа сбора согласия OneTrust с модулем авто-блокировки. Это самый тяжёлый по числу сторонних получателей сайт серии — полноценный программатик-рекламный стек.

Кто получает данные

Тут были замечены: Google, Meta / Facebook, Criteo, Adobe Audience Manager, Microsoft (Bing / Xandr), PubMatic, Index Exchange, Rubicon / Magnite, Taboola, Outbrain, Adform, Hotjar, ID5, TripleLift, Teads — и это не полный список, а наиболее заметные из десятков.

Слой делится на несколько ролей: веб-аналитика (GA4), рекламное профилирование и ретаргетинг (Criteo, Meta, Google Ads), сведение идентификаторов между площадками (Adobe Audience Manager, ID5, Neustar), программатик-биржи и RTB-синхронизации (PubMatic, Index Exchange, Rubicon, Adform, Xandr, Smart AdServer, 360yield, TripleLift, Yieldlab, BidSwitch и другие), нативная реклама (Taboola, Outbrain) и отдельно — сторонняя запись поведения пользователя на странице (Hotjar).

Был ли баннер согласия

Да — баннер OneTrust показан. Но в этом и суть: он не нажат, а рекламно-аналитический слой работает всё равно.

Доказательство — в сигналах самого сайта. Google Consent Mode в каждом обращении сразу передаёт состояние «granted» (согласие дано на рекламу и аналитику). При нормальной настройке до клика передавалось бы «denied», а после нажатия «принять» — переход в «granted». В замере состояния «denied» нет ни разу, и записи о нажатии «принять» у OneTrust тоже нет. Значит, сайт выставил согласие в «дано» по умолчанию, не дожидаясь решения пользователя.

Это прямо противоречит двум собственным документам площадки. Текст баннера обещает: без принятия работают только технические инструменты. Cookie-политика относит рекламные и аналитические cookie к категориям, для которых согласие требуется. По факту и то, и другое игнорируется.

Тёмный паттерн согласия

Отдельная проблема — сам интерфейс выбора. На первом слое баннера ярко выделена кнопка «принять все cookie», но равноценной кнопки «отклонить все» рядом нет — только «настройки» и крестик. Во втором слое, в центре предпочтений, есть кнопка «позволить всем», но снова нет простого однокликового отказа: чтобы отказаться, нужно вручную перещёлкивать категории. Согласие — одно движение, отказ — несколько. Такая асимметрия признаётся недопустимым приёмом дизайна: отказаться должно быть так же легко, как согласиться.

Получатели сверх списка

Cookie-политика у сайта очень подробная — перечисляет около шестидесяти сторонних получателей. Но даже она не покрывает всех, кто реально сработал. В замере отметились, но в политике отсутствуют: сторонняя запись сессий Hotjar, нативные сети Taboola и Outbrain, рекламные биржи Rubicon (Magnite), TripleLift, Yieldlab, BidSwitch, Teads, платформа Zemanta, конверсионное отслеживание Microsoft Bing и адтех-домен vzbl.eu. Особенно показательно отсутствие Hotjar — инструмента, записывающего поведение пользователя на странице.

Отдельно стоит отметить, как до этой политики вообще добраться: страница отдаётся только после того, как сайт получает доступ к геолокации или выбору магазина. То есть обязательную информацию о трекерах прячут за дополнительным условием.

Вывод

Tecnomat — крайний полюс серии и её показательный антипример. Здесь не «несколько трекеров проскочили до баннера» — здесь рекламно-аналитический шторм из десятков получателей работает фактически без согласия: Google Consent Mode выставлен в «granted» по умолчанию, состояния «отказано» нет ни разу, нажатия «принять» не было, а баннер тем временем висит на экране и обещает обратное. Поверх этого — тёмный паттерн, где отказаться труднее, чем согласиться, и подробная политика, которая всё равно не называет всех реально работающих получателей, включая запись сессий Hotjar. Главное, что должен вынести читатель: наличие баннера, платформы согласия и многостраничной политики само по себе не значит ничего — проверяется только сетевым замером, и здесь он показывает, что согласие имитируется по умолчанию, отказ затруднён, а фактический список получателей шире заявленного..

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: it/tecnomat-it-2026-06-15.har

SHA-256: eb18200553dfba01837edf164373abaeace910d9fc2316a4ee6b6d39211765e9

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — tecnomat.it

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта tecnomat.it.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) В чистом сеансе баннер согласия OneTrust показан, но не нажат — выбор пользователь не делал. Несмотря на это, на первых же секундах запускается весь рекламно-аналитический слой: Google (GA4, Ads, DoubleClick), рекламный пиксель Meta с событием просмотра страницы, Criteo, Adobe Audience Manager и десятки программатик-бирж. Сигнал Google Consent Mode при этом во всех обращениях сразу «granted» (и для рекламы, и для аналитики) — ни одного обращения в состоянии «denied» в замере нет вовсе. Это означает, что сайт выставил согласие в положение «дано» по умолчанию, не дожидаясь решения пользователя. Записи о нажатии «принять» у OneTrust тоже нет. Тем самым обработка для рекламы и профилирования идёт без правового основания. Прямое противоречие: текст самого баннера обещает, что без принятия будут работать только технические инструменты, а собственная cookie-политика относит рекламные и аналитические cookie к тем, для которых согласие требуется.

2) Согласие не является свободным и равноценным. На первом слое баннера видна яркая кнопка «Accetta tutti i cookie», но равнозначной кнопки «отклонить всё» рядом нет — только «Impostazioni cookie» и крестик. Во втором слое (центр предпочтений) есть «Позвольте всем», но снова нет простого однокликового «отклонить всё»: отказ требует ручного перещёлкивания категорий. Согласие даётся в один клик, отказ — в несколько действий. Эта асимметрия — типичный недопустимый паттерн дизайна по гайдлайнам EDPB о deceptive design и позиции Garante: отказаться должно быть так же легко, как согласиться.

3) Cookie-политика перечисляет около шестидесяти сторонних получателей — список очень длинный. Тем не менее ряд сервисов, реально сработавших в замере, в нём отсутствует: сторонняя запись сессий Hotjar, нативные рекламные сети Taboola и Outbrain, рекламные биржи Rubicon (Magnite), TripleLift, Yieldlab, BidSwitch, Teads, рекламная платформа Zemanta, конверсионное отслеживание Microsoft Bing и адтех-домен vzbl.eu. То есть даже исчерпывающая на вид простыня получателей не покрывает фактический набор — особенно показательно отсутствие Hotjar, ведущего запись поведения пользователя на странице.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/it-tecnomat-it/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — tecnomat.it

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website tecnomat.it.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) In a clean session the OneTrust consent banner is shown but not pressed — the user made no choice. Despite this, in the very first seconds the whole advertising-and-analytics layer launches: Google (GA4, Ads, DoubleClick), the Meta advertising pixel with a page-view event, Criteo, Adobe Audience Manager and dozens of programmatic exchanges. The Google Consent Mode signal, meanwhile, is immediately «granted» in all requests (both for advertising and for analytics) — there is not a single request in the «denied» state in the capture at all. This means the site set consent to the «given» position by default, without waiting for the user's decision. There is no OneTrust record of an «accept» press either. Thereby processing for advertising and profiling goes on without a legal basis. A direct contradiction: the banner's own text promises that without acceptance only technical tools will work, while the own cookie policy classes advertising and analytics cookies as those requiring consent.

2) Consent is not free and equal. On the banner's first layer a bright «Accetta tutti i cookie» button is visible, but there is no equivalent «reject all» button next to it — only «Impostazioni cookie» and an X. On the second layer (the preference centre) there is an «Allow all», but again no simple one-click «reject all»: refusal requires manually toggling the categories. Consent is given in one click, refusal in several actions. This asymmetry is a typical impermissible design pattern under the EDPB's guidelines on deceptive design and Garante's position: refusing should be as easy as consenting.

3) The cookie policy lists about sixty third-party recipients — a very long list. Nevertheless, a number of services that actually fired in the capture are absent from it: the third-party Hotjar session recording, the Taboola and Outbrain native advertising networks, the Rubicon (Magnite), TripleLift, Yieldlab, BidSwitch, Teads advertising exchanges, the Zemanta advertising platform, the Microsoft Bing conversion tracking and the adtech domain vzbl.eu. That is, even a seemingly exhaustive sheet of recipients does not cover the actual set — especially telling is the absence of Hotjar, which records the user's behaviour on the page.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/it-tecnomat-it/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Garante — Итальянский гарант защиты данных — garanteprivacy.it

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — tecnomat.it

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом tecnomat.it.

2. Обстоятельства
Я посетил сайт tecnomat.it и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) В чистом сеансе баннер согласия OneTrust показан, но не нажат — выбор пользователь не делал. Несмотря на это, на первых же секундах запускается весь рекламно-аналитический слой: Google (GA4, Ads, DoubleClick), рекламный пиксель Meta с событием просмотра страницы, Criteo, Adobe Audience Manager и десятки программатик-бирж. Сигнал Google Consent Mode при этом во всех обращениях сразу «granted» (и для рекламы, и для аналитики) — ни одного обращения в состоянии «denied» в замере нет вовсе. Это означает, что сайт выставил согласие в положение «дано» по умолчанию, не дожидаясь решения пользователя. Записи о нажатии «принять» у OneTrust тоже нет. Тем самым обработка для рекламы и профилирования идёт без правового основания. Прямое противоречие: текст самого баннера обещает, что без принятия будут работать только технические инструменты, а собственная cookie-политика относит рекламные и аналитические cookie к тем, для которых согласие требуется.

2) Согласие не является свободным и равноценным. На первом слое баннера видна яркая кнопка «Accetta tutti i cookie», но равнозначной кнопки «отклонить всё» рядом нет — только «Impostazioni cookie» и крестик. Во втором слое (центр предпочтений) есть «Позвольте всем», но снова нет простого однокликового «отклонить всё»: отказ требует ручного перещёлкивания категорий. Согласие даётся в один клик, отказ — в несколько действий. Эта асимметрия — типичный недопустимый паттерн дизайна по гайдлайнам EDPB о deceptive design и позиции Garante: отказаться должно быть так же легко, как согласиться.

3) Cookie-политика перечисляет около шестидесяти сторонних получателей — список очень длинный. Тем не менее ряд сервисов, реально сработавших в замере, в нём отсутствует: сторонняя запись сессий Hotjar, нативные рекламные сети Taboola и Outbrain, рекламные биржи Rubicon (Magnite), TripleLift, Yieldlab, BidSwitch, Teads, рекламная платформа Zemanta, конверсионное отслеживание Microsoft Bing и адтех-домен vzbl.eu. То есть даже исчерпывающая на вид простыня получателей не покрывает фактический набор — особенно показательно отсутствие Hotjar, ведущего запись поведения пользователя на странице.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/it-tecnomat-it/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR — рекламно-аналитический слой работает без согласия, по умолчанию «granted»; Art. 4(11), 7(3) GDPR — тёмный паттерн в интерфейсе согласия; Art. 13(1)(e) GDPR — часть фактических получателей не названа даже в подробной политике

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — tecnomat.it

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website tecnomat.it.

2. Circumstances
I visited the website tecnomat.it and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) In a clean session the OneTrust consent banner is shown but not pressed — the user made no choice. Despite this, in the very first seconds the whole advertising-and-analytics layer launches: Google (GA4, Ads, DoubleClick), the Meta advertising pixel with a page-view event, Criteo, Adobe Audience Manager and dozens of programmatic exchanges. The Google Consent Mode signal, meanwhile, is immediately «granted» in all requests (both for advertising and for analytics) — there is not a single request in the «denied» state in the capture at all. This means the site set consent to the «given» position by default, without waiting for the user's decision. There is no OneTrust record of an «accept» press either. Thereby processing for advertising and profiling goes on without a legal basis. A direct contradiction: the banner's own text promises that without acceptance only technical tools will work, while the own cookie policy classes advertising and analytics cookies as those requiring consent.

2) Consent is not free and equal. On the banner's first layer a bright «Accetta tutti i cookie» button is visible, but there is no equivalent «reject all» button next to it — only «Impostazioni cookie» and an X. On the second layer (the preference centre) there is an «Allow all», but again no simple one-click «reject all»: refusal requires manually toggling the categories. Consent is given in one click, refusal in several actions. This asymmetry is a typical impermissible design pattern under the EDPB's guidelines on deceptive design and Garante's position: refusing should be as easy as consenting.

3) The cookie policy lists about sixty third-party recipients — a very long list. Nevertheless, a number of services that actually fired in the capture are absent from it: the third-party Hotjar session recording, the Taboola and Outbrain native advertising networks, the Rubicon (Magnite), TripleLift, Yieldlab, BidSwitch, Teads advertising exchanges, the Zemanta advertising platform, the Microsoft Bing conversion tracking and the adtech domain vzbl.eu. That is, even a seemingly exhaustive sheet of recipients does not cover the actual set — especially telling is the absence of Hotjar, which records the user's behaviour on the page.

Full technical documentation is published at: https://gdpru.eu/audits/it-tecnomat-it/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR — the advertising-and-analytics layer works without consent, «granted» by default; Art. 4(11), 7(3) GDPR — a dark pattern in the consent interface; Art. 13(1)(e) GDPR — some actual recipients are not named even in the detailed policy

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]