Технический аудит · 15.06.2026

varle.lt

Интернет-магазин электроники

Интернет-магазин электроники Varlė, Литва — 166 запросов, 32 домена. Consent-менеджер Cookiebot загружается на +10 секунд, а реклама, аналитика и запись сессий стартуют на +3 секунды — до него. До согласия срабатывают GA4, Google Ads, Meta Pixel с серверным CAPI, Bing Ads, TikTok, Microsoft Clarity и Hotjar. Данные уходят получателям в США.

Хронология обращений

+490 мс · шрифты и библиотеки

fonts.gstatic.com (Google Fonts) и cdnjs.cloudflare.com.

+3035 мс · Google Tag Manager

www.googletagmanager.com — контейнер тегов запущен.

+3301–3327 мс · Meta, Bing, CAPI

connect.facebook.net (Meta Pixel), bat.bing.com (Bing Ads) и capig.datah04.com (серверный Conversions API) — реклама и серверное отслеживание.

+3457–3827 мс · GA4, DoubleClick, Clarity

region1.analytics.google.com (GA4 page_view), stats.g.doubleclick.net, www.facebook.com/tr (Meta PageView), www.clarity.ms (запись сессий).

+10333–13841 мс · TikTok, Omnisend, Octocom

analytics.tiktok.com (TikTok Pixel), omnisnippet1.com и forms.soundestlink.com (Omnisend), chat.octocom.ai (AI-чат).

Декларация против факта

✓ Политика конфиденциальности в комплекте не предоставлена — заявлен

✓ Consent-менеджер Cookiebot присутствует, но загружается слишком поздно — заявлен

+ GA4, Google Ads, DoubleClick, Meta Pixel + серверный CAPI, Bing Ads, TikTok, Clarity, Hotjar, Omnisend, Octocom — до согласия — не заявлен

Тайминги передачи

+3325 мс capig.datah04.com

Серверный Conversions API (Meta/TikTok). Обходит блокировку на клиенте.

+3457 мс region1.analytics.google.com

GA4 page_view (G-R9Y1176PTY). Google, США.

+3803 мс www.facebook.com

Meta Pixel PageView (474000569742910). США.

+3827 мс www.clarity.ms

Microsoft Clarity — запись сессий. США.

+10322 мс Баннер согласия появился

Зафиксированные трекеры

Google Analytics 4 (G-R9Y1176PTY) + Google Ads + DoubleClick + GTM
Meta Pixel (474000569742910) + server-side CAPI (datah04.com)
Microsoft Bing Ads
TikTok Pixel
Microsoft Clarity + Hotjar (запись сессий)
Omnisend (email), Octocom (AI-чат)
Cookiebot (CMP) — грузится на +10 с, слишком поздно

Признаки несоответствия GDPR

ePrivacy (литовская имплементация) + GDPR Art. 6(1) — трекеры до согласия
Consent-менеджер Cookiebot загружается только на +10322 мс, тогда как рекламно-аналитический стек стартует уже на +3301 мс — до того, как CMP вообще загрузился. До согласия срабатывают: GA4 (G-R9Y1176PTY, событие page_view), Google Ads и DoubleClick, Meta Pixel (474000569742910, событие PageView) с дополнительным серверным каналом Conversions API через capig.datah04.com, Microsoft Bing Ads, Microsoft Clarity (запись сессий) и Hotjar. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Позднее (+10–13 с) добавляются TikTok Pixel, Omnisend и AI-чат Octocom.
GDPR Chapter V — трансграничная передача
До согласия данные (page_view, URL, идентификаторы) передаются получателям в США: Google, Meta (клиентский Pixel и серверный CAPI), Microsoft (Bing Ads и Clarity), TikTok. Серверный канал Conversions API (datah04.com) передаёт данные в обход блокировки на стороне браузера.
GDPR Art. 13(1)(e) — раскрытие получателей
Политика конфиденциальности в комплекте не предоставлена. Учитывая объём фактической обработки (не менее десяти сторонних сервисов), оценка раскрытия проводится по замеру; фактические получатели многочисленны и включают рекламные сети и сервисы записи сессий.

Контекст

varle.lt — сайт интернет-магазина электроники и бытовых товаров Varlė, одного из крупных литовских ритейлеров. Оператор — UAB «Varlė». Политика конфиденциальности в комплекте не предоставлена. Замер: 166 запросов, 32 домена, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — GA4, Google Ads, DoubleClick; Meta (США) — Pixel и серверный CAPI; Microsoft (США) — Bing Ads и Clarity; TikTok — Pixel.

Заявленное против фактического

Политика конфиденциальности в рамках аудита не предоставлена, поэтому оценка проводится по замеру. Ключевой факт — порядок загрузки consent-менеджера относительно трекеров.

Cookiebot, механизм согласия, загружается только на +10322 мс. К этому моменту рекламно-аналитический стек уже отработал: на +3035 мс запускается Google Tag Manager, на +3301–3327 мс — Meta Pixel, Microsoft Bing Ads и серверный канал Conversions API через capig.datah04.com, на +3457 мс GA4 (идентификатор G-R9Y1176PTY) отправляет событие page_view, на +3803 мс Meta Pixel (474000569742910) — событие PageView, а на +3827 мс начинает работу Microsoft Clarity, записывающий поведение пользователя. Позднее, на +10–13 с, добавляются Hotjar, TikTok Pixel, сервис email-маркетинга Omnisend и AI-чат Octocom. Всё это при состоянии без согласия: за весь сеанс не выставлено ни одной cookie, выбор пользователем не сделан.

Особого внимания заслуживает серверный канал Conversions API (datah04.com): он передаёт данные о посетителе на сервер, минуя браузерные механизмы блокировки, что делает такую передачу особенно устойчивой к отказу от согласия. Consent-менеджер на сайте есть, но из-за позднего запуска он фактически не удерживает ни один из перечисленных сервисов.

Тайминг относительно согласия

Трекеры стартуют с +3035 мс, consent-менеджер Cookiebot — только с +10322 мс, то есть на семь секунд позже. Порядок загрузки исключает возможность согласия до срабатывания рекламы и аналитики; фактически согласие в сеансе не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает главную страницу. Идентификаторы посетителя не публикуются; идентификаторы аккаунтов сервисов относятся к настройкам сайта. Политика не предоставлена, поэтому раскрытие получателей в тексте не проверялось; вывод о нарушении опирается на срабатывание трекеров до согласия. Получатели могут использовать edge-узлы в ЕС, поэтому вывод сделан об их принадлежности (компании США). Обработка на стороне сервера, помимо явно наблюдаемого канала CAPI, в браузерном замере не видна.

Вывод

Интернет-магазин Varlė до согласия запускает обширный коммерческий стек — GA4, Google Ads и DoubleClick, Meta Pixel с дополнительным серверным Conversions API, Bing Ads, TikTok Pixel, а также сервисы записи сессий Microsoft Clarity и Hotjar. Consent-менеджер Cookiebot на сайте присутствует, но загружается на семь секунд позже старта трекеров и их не удерживает; серверный канал CAPI дополнительно передаёт данные в обход браузерной блокировки. Срабатывание рекламы, аналитики и записи сессий до согласия и передача данных получателям в США указывают на несоблюдение требований о предварительном согласии и о трансграничной передаче. Устранение: перенастроить Cookiebot так, чтобы он загружался первым и действительно блокировал все нетехнические сервисы до согласия; отключить серверный CAPI до получения согласия; исключить срабатывание рекламных пикселей и записи сессий до выбора пользователя; опубликовать полную cookie-политику с перечнем получателей.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: lt/varle-lt-2026-06-15.har

SHA-256: 8fb0005b71fb38cc9de526ede7abedf59adf17932b42bfbc5b582e43dda3340b

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — varle.lt

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта varle.lt.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Consent-менеджер Cookiebot загружается только на +10322 мс, тогда как рекламно-аналитический стек стартует уже на +3301 мс — до того, как CMP вообще загрузился. До согласия срабатывают: GA4 (G-R9Y1176PTY, событие page_view), Google Ads и DoubleClick, Meta Pixel (474000569742910, событие PageView) с дополнительным серверным каналом Conversions API через capig.datah04.com, Microsoft Bing Ads, Microsoft Clarity (запись сессий) и Hotjar. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Позднее (+10–13 с) добавляются TikTok Pixel, Omnisend и AI-чат Octocom.

2) До согласия данные (page_view, URL, идентификаторы) передаются получателям в США: Google, Meta (клиентский Pixel и серверный CAPI), Microsoft (Bing Ads и Clarity), TikTok. Серверный канал Conversions API (datah04.com) передаёт данные в обход блокировки на стороне браузера.

3) Политика конфиденциальности в комплекте не предоставлена. Учитывая объём фактической обработки (не менее десяти сторонних сервисов), оценка раскрытия проводится по замеру; фактические получатели многочисленны и включают рекламные сети и сервисы записи сессий.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/lt-varle-lt/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — varle.lt

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website varle.lt.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The Cookiebot consent manager only loads at +10322 ms, whereas the advertising/analytics stack already starts at +3301 ms — before the CMP has even loaded. Before consent, the following fire: GA4 (G-R9Y1176PTY, page_view event), Google Ads and DoubleClick, the Meta Pixel (474000569742910, PageView event) with an additional server-side Conversions API channel via capig.datah04.com, Microsoft Bing Ads, Microsoft Clarity (session recording), and Hotjar. Zero Set-Cookie headers for the entire session, and no user choice was made. TikTok Pixel, Omnisend, and the Octocom AI chat are added later (+10–13 s).

2) Before consent, data (page_view, URL, identifiers) is transmitted to recipients in the US: Google, Meta (client-side Pixel and server-side CAPI), Microsoft (Bing Ads and Clarity), TikTok. The server-side Conversions API channel (datah04.com) transmits data bypassing browser-side blocking.

3) A privacy policy was not provided as part of the package. Given the volume of actual processing (at least ten third-party services), the disclosure assessment is based on the scan; the actual recipients are numerous and include advertising networks and session-recording services.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/lt-varle-lt/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: ADA — Государственная инспекция защиты данных Литвы — ada.lt

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — varle.lt

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом varle.lt.

2. Обстоятельства
Я посетил сайт varle.lt и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 15.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Consent-менеджер Cookiebot загружается только на +10322 мс, тогда как рекламно-аналитический стек стартует уже на +3301 мс — до того, как CMP вообще загрузился. До согласия срабатывают: GA4 (G-R9Y1176PTY, событие page_view), Google Ads и DoubleClick, Meta Pixel (474000569742910, событие PageView) с дополнительным серверным каналом Conversions API через capig.datah04.com, Microsoft Bing Ads, Microsoft Clarity (запись сессий) и Hotjar. Set-Cookie за весь сеанс ноль, выбор пользователем не сделан. Позднее (+10–13 с) добавляются TikTok Pixel, Omnisend и AI-чат Octocom.

2) До согласия данные (page_view, URL, идентификаторы) передаются получателям в США: Google, Meta (клиентский Pixel и серверный CAPI), Microsoft (Bing Ads и Clarity), TikTok. Серверный канал Conversions API (datah04.com) передаёт данные в обход блокировки на стороне браузера.

3) Политика конфиденциальности в комплекте не предоставлена. Учитывая объём фактической обработки (не менее десяти сторонних сервисов), оценка раскрытия проводится по замеру; фактические получатели многочисленны и включают рекламные сети и сервисы записи сессий.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/lt-varle-lt/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (литовская имплементация) + GDPR Art. 6(1) — трекеры до согласия; GDPR Chapter V — трансграничная передача; GDPR Art. 13(1)(e) — раскрытие получателей

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — varle.lt

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website varle.lt.

2. Circumstances
I visited the website varle.lt and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 15 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The Cookiebot consent manager only loads at +10322 ms, whereas the advertising/analytics stack already starts at +3301 ms — before the CMP has even loaded. Before consent, the following fire: GA4 (G-R9Y1176PTY, page_view event), Google Ads and DoubleClick, the Meta Pixel (474000569742910, PageView event) with an additional server-side Conversions API channel via capig.datah04.com, Microsoft Bing Ads, Microsoft Clarity (session recording), and Hotjar. Zero Set-Cookie headers for the entire session, and no user choice was made. TikTok Pixel, Omnisend, and the Octocom AI chat are added later (+10–13 s).

2) Before consent, data (page_view, URL, identifiers) is transmitted to recipients in the US: Google, Meta (client-side Pixel and server-side CAPI), Microsoft (Bing Ads and Clarity), TikTok. The server-side Conversions API channel (datah04.com) transmits data bypassing browser-side blocking.

3) A privacy policy was not provided as part of the package. Given the volume of actual processing (at least ten third-party services), the disclosure assessment is based on the scan; the actual recipients are numerous and include advertising networks and session-recording services.

Full technical documentation is published at: https://gdpru.eu/audits/lt-varle-lt/

3. GDPR provisions I ask you to examine
ePrivacy (Lithuanian implementation) + GDPR Art. 6(1) — trackers before consent; GDPR Chapter V — cross-border transfer; GDPR Art. 13(1)(e) — disclosure of recipients

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]