Технический аудит · 2026-06-23

intertoys.nl

Сайт сети магазинов игрушек Intertoys
NL

Intertoys.nl — сайт крупной нидерландской сети магазинов игрушек. Замер главной страницы: 248 обращений, 21 домен (среди них edge.microsoft.com — встроенный перевод браузера Edge, а не трекинг сайта). На сайте есть механизм согласия Cookiebot, и в этом сеансе пользователь согласие отклонил (Cookiebot фиксирует отказ на 15400 мс). Часть стека отказ уважает: серверный GA4 и Google Ads бьют в режиме «отказано» (gcs=G100, бескуковые пинги). Но платформа A/B-экспериментов VWO отправляет трекинговое обращение уже на 957 мс — до любого выбора, — а платформа персонализации Hello Retail собирает рекомендации до выбора (6271 мс) и просмотр страницы уже после отказа (16079 мс). A/B-эксперименты и поведенческая персонализация требуют согласия, и здесь они срабатывают до него и поверх отказа. Сайт — ритейлер детских товаров, что повышает чувствительность контекста.

Хронология утечки

922 мс · механизм согласия и персонализация
Загружаются механизм согласия Cookiebot (uc.js) и библиотека персонализации Hello Retail (helloretail.js). Механизм согласия предусмотрен — значит то, что отрабатывает раньше выбора, происходит до согласия.
957 мс · A/B-эксперименты VWO
Платформа A/B-экспериментов VWO (dev.visualwebsiteoptimizer.com) отправляет трекинговое обращение j.php с адресом страницы. Это поведенческое разделение пользователей на варианты, и оно отрабатывает до согласия.
6271 мс · рекомендации Hello Retail
Платформа персонализации Hello Retail отправляет запрос рекомендаций (serve/recoms). Это поведенческая персонализация, до согласия.
11688 мс · серверный GA4 в режиме отказа
На серверный эндпойнт ssgtm.intertoys.nl/g/collect уходит измерение GA4 с сигналом gcs=G100 — обе категории отказаны. Это ограниченный бескуковый пинг, уважающий отказ.
отказ зафиксирован на 15400 мс; Hello Retail продолжает собирать поведение после отказа
Cookiebot фиксирует отказ (logconsent.ashx?action=decline) на 15400 мс. После этого Hello Retail отправляет просмотр страницы (serve/collect/pageview на 16079 мс), а серверный GA4 продолжает слать события в режиме отказа (20655 и 28594 мс, gcs=G100) и Google Ads — бескуковый page_view (15663 мс, gcs=G100). GA4 и Google Ads отказ уважают; Hello Retail — нет, а VWO отработал ещё до выбора.

Декларация против факта

Явное согласие, где требуется (политика) — заявлен
Персонализированная реклама и маркетинг — за согласием (политика) — заявлен
Klarna (оплата), Trusted Shops (отзывы) — описаны — заявлен
+ VWO (A/B-эксперименты, в основной политике не назван) — не заявлен
+ Hello Retail (персонализация, в основной политике не названа) — не заявлен

Зафиксированные трекеры

Признаки несоответствия GDPR

Контекст

www.intertoys.nl — сайт Intertoys, крупной нидерландской сети магазинов игрушек (каталог, личный кабинет, оформление заказа). Контролёр данных — Intertoys. Сайт коммерческий и относится к детским товарам, что повышает чувствительность контекста, хотя покупатели — преимущественно взрослые.

Замер: 248 обращений к 21 домену, главная страница, снят на чистом браузере без VPN и блокировщика. На сайте есть механизм согласия Cookiebot, и в этом сеансе зафиксирован отказ. Обращения к edge.microsoft.com — это встроенный перевод страницы в браузере Edge, а не трекинг сайта.

Кто получает данные

Напрямую до согласия и поверх отказа: VWO (Visual Website Optimizer), Hello Retail.

VWO получает трекинговое обращение A/B-экспериментов (j.php) до согласия. Hello Retail получает запрос рекомендаций до согласия и просмотр страницы уже после отказа. Серверный GA4 (ssgtm.intertoys.nl) и Google Ads (pagead2.googlesyndication.com) при этом отправляют обращения в режиме согласия «отказано» (gcs=G100) — это бескуковые пинги, уважающие отказ. Из функционального — оплата Klarna, отзывы eTrusted/Trusted Shops, чат поддержки Omnidesk, соц-коммерс-галерея Flowbox.

Был ли баннер согласия

Да, на сайте есть механизм согласия Cookiebot, и в этом сеансе пользователь согласие отклонил: Cookiebot фиксирует выбор как отказ (logconsent.ashx?action=decline) на 15400 мс, при браузерном сигнале Do-Not-Track.

Узловой момент в том, что часть средств отказ не уважает. VWO отработал ещё до выбора (957 мс), а Hello Retail собрал рекомендации до выбора (6271 мс) и просмотр страницы уже после отказа (16079 мс). При этом GA4 и Google Ads отказ уважают — шлют бескуковые пинги с сигналом «отказано».

Что срабатывает до согласия и поверх отказа

До выбора пользователя и поверх отказа отрабатывает:

  • A/B-эксперименты VWO (957 мс) — трекинговое обращение, до выбора;
  • персонализация Hello Retail — рекомендации до выбора (6271 мс) и просмотр страницы после отказа (16079 мс);
  • серверный GA4 и Google Ads — в режиме «отказано» (gcs=G100), отказ уважают.

A/B-эксперименты и поведенческая персонализация — нетехнические цели, требующие согласия. Платёж Klarna, отзывы и чат претензий не вызывают — это функциональные сервисы. Серверный GA4 и Google Ads здесь не в претензии: они отрабатывают в ограниченном режиме отказа. Претензия — к VWO и Hello Retail: первый сработал до выбора, второй продолжает собирать поведение даже после отказа.

Почему это нарушение

Это важно для понимания. Сама архитектура показывает, что гейтинг по согласию здесь возможен и частично работает: GA4 и Google Ads честно переходят в режим «отказано» по сигналу Cookiebot. Но VWO и Hello Retail к этому сигналу не привязаны: VWO запускает эксперимент раньше любого выбора, а Hello Retail собирает просмотр страницы уже после того, как пользователь отказался. Собственная политика Intertoys требует явного согласия там, где оно необходимо, и относит персонализированную рекламу и маркетинг к обработке за согласием. Поведенческое профилирование до согласия и поверх отказа противоречит и правилу, и собственному документу — тем более на сайте детских товаров.

Вывод

Intertoys.nl — случай, когда механизм согласия есть и частью стека соблюдается, но два поведенческих средства его обходят. В пользу сайта то, что серверный GA4 и Google Ads уважают отказ и шлют лишь бескуковые пинги. Но платформа A/B-экспериментов VWO срабатывает ещё до выбора, а платформа персонализации Hello Retail собирает поведение до согласия и продолжает после отказа. Главное, что должен вынести читатель: если сайт уже умеет переводить часть средств в режим отказа по сигналу согласия, то и A/B-эксперименты, и персонализацию следует привязать к тому же сигналу — чтобы они не срабатывали до выбора и тем более не игнорировали отказ. Достаточно подключить VWO и Hello Retail к механизму согласия так же, как это сделано для GA4 и Google Ads.

Доказательство
Оригинал (разбор)
HAR-файл: nl/intertoys-nl-2026-06-23.har
SHA-256: bad8c543d8c94a8d1d53061f72c7f6e57e57d505566526400500c02e1a486932
Контрольный снимок
Ждём изменений
HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.
ВАЖНО: прежде чем подавать жалобу регулятору — сначала обратитесь напрямую в компанию и дайте 30 дней на ответ. Без этого шага регулятор может отклонить жалобу. Подробности и шаблон письма компании — в разделе Методология.
Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данныхautoriteitpersoonsgegevens.nl

Кому: AP — Голландский орган по защите данных
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом intertoys.nl.

2. Обстоятельства
Я посетил сайт intertoys.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 23.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте есть механизм согласия Cookiebot, и в этом сеансе пользователь согласие отклонил — Cookiebot логирует выбор как отказ (logconsent.ashx?action=decline на 15400 мс, при браузерном сигнале Do-Not-Track). Часть стека этот отказ уважает: серверный Google Analytics 4 (ssgtm.intertoys.nl/g/collect) и Google Ads (pagead2.googlesyndication.com/ccm/collect) отправляют обращения с сигналом согласия gcs=G100 — обе категории отказаны, то есть это ограниченные бескуковые пинги в режиме отказа. Но два средства отказ не уважают. Платформа A/B-экспериментов VWO (dev.visualwebsiteoptimizer.com) отправляет своё трекинговое обращение j.php уже на 957 мс — до какого-либо выбора и без привязки к согласию. Платформа персонализации Hello Retail отправляет рекомендации (serve/recoms на 6271 мс, до выбора), а затем — уже после зафиксированного отказа — собирает просмотр страницы (serve/collect/pageview на 16079 мс). A/B-эксперименты и поведенческая персонализация — нетехнические цели, требующие согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR. Собственная политика Intertoys требует явного согласия там, где оно необходимо, и относит персонализированную рекламу и маркетинг к обработке за согласием. Здесь же VWO срабатывает до выбора, а Hello Retail продолжает собирать поведение даже после отказа. Сайт — ритейлер детских товаров, что делает поведенческое профилирование в этом контексте особенно чувствительным.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-intertoys-nl/

3. Нарушенные положения
Art. 6(1)(a) GDPR и art. 11.7a Telecommunicatiewet — A/B-эксперименты и персонализация срабатывают до согласия и не уважают отказ

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата]                                    [Подпись/имя]