autotrack.nl

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — autotrack.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта autotrack.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте есть механизм согласия (AutoScout24 Privacy Manager), и устроен он во многом грамотно: режим согласия инициализируется в состоянии «по умолчанию отказано» (Consent Mode default), благодаря чему теги Google и Microsoft (UET) удерживаются в бескуковом режиме. Это в пользу сайта. Однако до какого-либо согласия успевает отработать целый рекламно-аналитический слой. Ещё до загрузки самого CMP, на 1762 мс, рекламный модуль DPG Media отправляет POST-обращение на свой эндпойнт. Далее поднимается программатик-стек DPG (Xandr и prebid header bidding) и происходит обращение к рекламной сети Opt Out Advertising (запрос показа объявления). Параллельно аналитика Snowplow отправляет просмотр страницы на сторонний коллектор DPG. Все эти обращения передают третьим лицам IP-адрес и контекст визита — то есть персональные данные — для рекламных и аналитических целей, и происходит это раньше выбора пользователя. Усугубляет картину то, что весь этот слой (DPG Media, Snowplow, Xandr, prebid, Opt Out Advertising) в отдаваемой сайтом политике конфиденциальности — а это групповое заявление AutoScout24 — не назван вовсе. То, что режим согласия по умолчанию «отказано», смягчает оценку, но не отменяет того, что аналитический просмотр и рекламные обращения к третьим лицам уходят до согласия.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-autotrack-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — autotrack.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website autotrack.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has a consent mechanism (AutoScout24 Privacy Manager), and in many respects it is set up correctly: consent mode initializes in a 'denied by default' state (Consent Mode default), which keeps the Google and Microsoft (UET) tags in cookieless mode. This works in the site's favor. However, an entire advertising/analytics layer manages to fire before any consent is given. Even before the CMP itself loads, at 1762 ms, the DPG Media advertising module sends a POST request to its own endpoint. The DPG programmatic stack (Xandr and prebid header bidding) then spins up, and a request goes out to the Opt Out Advertising ad network (an ad-serving request). In parallel, Snowplow analytics sends a pageview to a third-party DPG collector. All of these requests transmit the IP address and visit context — i.e., personal data — to third parties for advertising and analytics purposes, and this happens before the user's choice. Compounding the picture, this entire layer (DPG Media, Snowplow, Xandr, prebid, Opt Out Advertising) is not named at all in the privacy policy the site presents — a group-wide AutoScout24 statement. The fact that consent mode defaults to 'denied' mitigates the assessment somewhat, but does not eliminate the fact that analytics pageviews and advertising requests to third parties go out before consent.


2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-autotrack-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]