iki.lt

Контекст

iki.lt — сайт сети супермаркетов IKI, одного из крупнейших ритейлеров Литвы. Оператор — IKI (Palink UAB). Предоставлена общая политика конфиденциальности (около 32 000 символов), посвящённая обработке данных клиентов; описание cookie в ней минимально. Замер: 197 запросов, 12 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — GA4, Google Ads и Campaign Manager; Meta (США) — Facebook SDK/Pixel; Exponea/Bloomreach — платформа клиентских данных.

Заявленное против фактического

Предоставленная политика построена на согласии (термин sutikimas встречается 21 раз) и посвящена обработке данных клиентов; конкретные инструменты измерения и рекламы в ней по имени не названы, а описание cookie минимально — перечень трекеров вынесен в отдельный consent-механизм OneTrust.

Замер показывает, что consent-механизм присутствует, но не удерживает трекеры. OneTrust загружается штатно — otSDKStub.js на +757 мс, баннер otBannerSdk.js на +1588 мс, конфигурация согласия. Тем не менее сторонние сервисы срабатывают независимо от него и до какого-либо выбора. На +1458 мс загружается платформа клиентских данных Exponea/Bloomreach Engagement, на +2040 мс — Meta/Facebook SDK, на +3488–3515 мс — Google Analytics 4 (идентификатор G-QYC21FRZS1) с событиями first_visit, session_start и page_view, а на +3571–3578 мс — Google Ads (AW-693009689) и Campaign Manager/DoubleClick (DC-12036474) с событиями page_view и Floodlight-активностью. Дополнительно работают Cloudflare Web Analytics и шрифты Adobe Typekit. Состояние сеанса при этом — без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан. Таким образом реклама, аналитика и платформа клиентских данных передают данные в Google (США), Meta (США) и Exponea до согласия, а в предоставленной политике эти сервисы не названы.

Тайминг относительно согласия

OneTrust загружается на +757–1588 мс, но параллельно и после него, вплоть до +3578 мс, срабатывают Exponea, Meta, GA4 и Google Ads. Согласие в сеансе не давалось (Set-Cookie ноль) — трекеры не дожидаются выбора.

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификатор клиента GA4 в публикации полностью не приводится. Отдельная cookie-политика, управляемая OneTrust, может содержать перечень этих сервисов; предметом расхождения является их срабатывание до согласия и отсутствие в предоставленной общей политике. Получатели могут использовать edge-узлы в ЕС, поэтому вывод сделан об их принадлежности. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сеть супермаркетов IKI имеет consent-менеджер OneTrust, но он не удерживает трекеры: до согласия срабатывают Google Analytics, Google Ads и Campaign Manager, Meta Pixel и платформа клиентских данных Exponea, передавая данные в Google и Meta (США). Наличие загружающегося, но не блокирующего consent-менеджера — та же картина, что отличает несоответствующую конфигурацию от корректной, где стек удерживается до выбора. Срабатывание рекламы и аналитики до согласия, передача данных получателям в США и отсутствие раскрытия сервисов в предоставленной политике составляют нарушение требований о согласии, о раскрытии получателей и о трансграничной передаче. Устранение: настроить OneTrust на действительную блокировку всех нетехнических сервисов до согласия, исключить срабатывание GA4, Google Ads, Meta и Exponea до выбора и раскрыть используемые сервисы в политике.