RU EN
www.
Технический аудит · 23.06.2026

amazon.nl

Сайт маркетплейса Amazon
NL

Amazon.nl — нидерландский сайт маркетплейса Amazon. Замер главной страницы: 153 обращения, 6 доменов — все в инфраструктуре Amazon, замкнутая экосистема. На сайте есть собственный механизм согласия (баннер privacyprefs, загружается на 2035 мс, выбор фиксируется на 8352 мс). Но рекламно-аналитический слой отрабатывает раньше: первичный clickstream-пиксель fls-eu.amazon.nl бьёт уже на 197 мс — ещё до загрузки самого баннера, — первичная телеметрия unagi.amazon.nl шлёт поведенческие события (клик-стрим-аналитика) с 2792 мс, а рекламная система Amazon aax-eu.amazon-adsystem.com получает обращение по рекламному слоту на 4502 мс с пометкой об отсутствии отказа от рекламы по интересам. Это нетехнические цели, требующие согласия, и здесь они срабатывают до него.

Хронология обращений

197 мс · первичный clickstream — до баннера
Первичный пиксель fls-eu.amazon.nl отправляет данные (clickstream с идентификатором сеанса и uedata). Это происходит раньше, чем загрузится сам баннер согласия, и повторяется многократно.
2035 мс · загрузка баннера согласия
Загружается собственный баннер согласия Amazon (privacyprefs/retail/v3/banner). Механизм предусмотрен — значит то, что отработало раньше, происходит до согласия.
2792 мс · первичная телеметрия
Телеметрия unagi.amazon.nl отправляет поведенческие события (com.amazon.csm.csa — клик-стрим-аналитика, nexusclient). Это сбор поведения, до согласия.
4502 мс · рекламная система Amazon
Рекламная система Amazon aax-eu.amazon-adsystem.com получает обращение по рекламному слоту (slot=navFooter) с пометкой old_oo=0 — отказ от рекламы по интересам не выставлен. Это рекламная цель, до согласия.
выбор фиксируется на 8352 мс; clickstream, телеметрия и реклама отработали раньше
Баннер согласия присутствует, выбор фиксируется на 8352 мс (POST privacyprefs). Но первичный clickstream (с 197 мс), телеметрия (с 2792 мс) и рекламная система Amazon (4502 мс) к этому моменту уже отработали — до согласия, а первый пиксель ушёл ещё до отрисовки баннера.

Декларация против факта

✓ Согласие для ряда целей (privacy notice) — заявлен
✓ Cookies notice и Interest-based ads notice (отдельные документы) — заявлен

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

www.amazon.nl — нидерландский сайт Amazon, одного из крупнейших мировых маркетплейсов (каталог, поиск, рекомендации, реклама товаров, Prime, личный кабинет). Контролёр данных — Amazon Europe. Сайт коммерческий.

Замер: 153 обращения к 6 доменам, главная страница, снят на чистом браузере без VPN и блокировщика. Принципиальная особенность — все домены в инфраструктуре Amazon: сайт работает как замкнутая экосистема. На сайте есть собственный механизм согласия (баннер privacyprefs).

Кто получает данные

Напрямую до согласия: рекламная система Amazon (amazon-adsystem.com).

Большая часть сбора остаётся внутри инфраструктуры Amazon: первичный clickstream-пиксель fls-eu.amazon.nl и телеметрия unagi.amazon.nl (поведенческие события клик-стрим-аналитики) собирают данные на доменах Amazon. Отдельно — рекламная система Amazon aax-eu.amazon-adsystem.com, которая получает обращение по рекламному слоту. Сторонних рекламных сетей, аналитики Google, пикселей соцсетей и программатик-бирж вне Amazon в замере нет.

Был ли баннер согласия

Да, на сайте есть собственный механизм согласия — баннер privacyprefs (загрузка на 2035 мс, выбор фиксируется на 8352 мс).

Узловой момент в том, что рекламно-аналитический слой отработал раньше: первичный clickstream-пиксель fls ушёл на 197 мс — ещё до загрузки самого баннера, — телеметрия unagi пошла с 2792 мс, а рекламная система Amazon отработала на 4502 мс. Всё это до фиксации согласия.

Что срабатывает до согласия

До выбора пользователя отрабатывает:

  • первичный clickstream-пиксель fls (с 197 мс) — ещё до загрузки баннера;
  • первичная телеметрия unagi (с 2792 мс) — поведенческие события клик-стрим-аналитики;
  • рекламная система Amazon aax (4502 мс) — обращение по рекламному слоту;
  • первичные метрики Prime и uedata — сбор поведения и производительности.

Clickstream, поведенческая телеметрия и рекламная система — нетехнические цели, требующие согласия. Особенно показателен первый пиксель fls: он уходит раньше, чем вообще загружается баннер согласия.

Почему «всё внутри Amazon» — не индульгенция

Это важно для понимания. То, что данные остаются в инфраструктуре Amazon и не растекаются по сторонним рекламным сетям, действительно лучше, чем россыпь чужих трекеров. Но юридически вопрос не в том, кому уходят данные, а на каком основании они собираются. Поведенческий clickstream и телеметрия — аналитика, требующая согласия; обращение к рекламной системе Amazon — рекламная цель, к тому же на отдельный рекламный домен. Собственный механизм согласия на сайте есть, то есть площадка признаёт согласие основанием, а сборы отрабатывают до него — и первый из них раньше, чем загружается сам баннер.

Вывод

Amazon.nl — замкнутая экосистема, где почти всё остаётся внутри инфраструктуры Amazon, и это выгодно отличает сайт от площадок с россыпью сторонних трекеров. Но первичный clickstream-пиксель, поведенческая телеметрия и рекламная система Amazon отрабатывают до согласия — причём clickstream уходит ещё до отрисовки баннера, а рекламный вызов содержит пометку об отсутствии отказа от рекламы по интересам. Главное, что должен вынести читатель: отсутствие сторонних получателей не отменяет требования согласия — собственный clickstream, телеметрию и рекламную систему следует перевести в режим ожидания согласия так же, как этого требует собственный баннер сайта. Достаточно отложить эти обращения до выбора пользователя.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)
HAR-файл: nl/amazon-nl-2026-06-23.har
SHA-256: cded6ab180dbb9fa9b5e99a7a7262172179bc30d7fd7d06690743e23d5483fc6
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — amazon.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта amazon.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Сайт работает как замкнутая экосистема Amazon, и на нём есть собственный механизм согласия — баннер privacyprefs (загружается на 2035 мс, выбор фиксируется на 8352 мс). Но рекламно-аналитический слой отрабатывает раньше. Первичный clickstream-пиксель fls-eu.amazon.nl отправляет данные уже на 197 мс — то есть ещё до того, как загрузится сам баннер согласия, — и повторяется многократно. Первичная телеметрия unagi.amazon.nl отправляет поведенческие события (com.amazon.csm.csa — клик-стрим-аналитика, nexusclient) с 2792 мс. А на 4502 мс рекламная система Amazon aax-eu.amazon-adsystem.com получает обращение по рекламному слоту (slot=navFooter) с пометкой old_oo=0, означающей, что отказ от рекламы по интересам не выставлен. Clickstream, поведенческая телеметрия и рекламная система — нетехнические цели, требующие согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR, и здесь все три отрабатывают раньше выбора пользователя, причём первый пиксель уходит ещё до отрисовки баннера. То, что почти всё остаётся внутри инфраструктуры Amazon, не освобождает от согласия, а рекламный вызов к тому же уходит на отдельный рекламный домен Amazon.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-amazon-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — amazon.nl

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом amazon.nl.

2. Обстоятельства
Я посетил сайт amazon.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 23.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Сайт работает как замкнутая экосистема Amazon, и на нём есть собственный механизм согласия — баннер privacyprefs (загружается на 2035 мс, выбор фиксируется на 8352 мс). Но рекламно-аналитический слой отрабатывает раньше. Первичный clickstream-пиксель fls-eu.amazon.nl отправляет данные уже на 197 мс — то есть ещё до того, как загрузится сам баннер согласия, — и повторяется многократно. Первичная телеметрия unagi.amazon.nl отправляет поведенческие события (com.amazon.csm.csa — клик-стрим-аналитика, nexusclient) с 2792 мс. А на 4502 мс рекламная система Amazon aax-eu.amazon-adsystem.com получает обращение по рекламному слоту (slot=navFooter) с пометкой old_oo=0, означающей, что отказ от рекламы по интересам не выставлен. Clickstream, поведенческая телеметрия и рекламная система — нетехнические цели, требующие согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR, и здесь все три отрабатывают раньше выбора пользователя, причём первый пиксель уходит ещё до отрисовки баннера. То, что почти всё остаётся внутри инфраструктуры Amazon, не освобождает от согласия, а рекламный вызов к тому же уходит на отдельный рекламный домен Amazon.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-amazon-nl/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и art. 11.7a Telecommunicatiewet — первичный clickstream, телеметрия и рекламная система срабатывают до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]