Технический аудит · 23.06.2026

intertoys.nl

Сайт сети магазинов игрушек Intertoys

Политика изменена — посмотреть, что именно · 2026-08-14 →

Intertoys.nl — сайт крупной нидерландской сети магазинов игрушек. Замер главной страницы: 248 обращений, 21 домен (среди них edge.microsoft.com — встроенный перевод браузера Edge, а не трекинг сайта). На сайте есть механизм согласия Cookiebot, и в этом сеансе пользователь согласие отклонил (Cookiebot фиксирует отказ на 15400 мс). Часть стека отказ уважает: серверный GA4 и Google Ads бьют в режиме «отказано» (gcs=G100, бескуковые пинги). Но платформа A/B-экспериментов VWO отправляет трекинговое обращение уже на 957 мс — до любого выбора, — а платформа персонализации Hello Retail собирает рекомендации до выбора (6271 мс) и просмотр страницы уже после отказа (16079 мс). A/B-эксперименты и поведенческая персонализация требуют согласия, и здесь они срабатывают до него и поверх отказа. Сайт — ритейлер детских товаров, что повышает чувствительность контекста.

Хронология обращений

922 мс · механизм согласия и персонализация

Загружаются механизм согласия Cookiebot (uc.js) и библиотека персонализации Hello Retail (helloretail.js). Механизм согласия предусмотрен — значит то, что отрабатывает раньше выбора, происходит до согласия.

957 мс · A/B-эксперименты VWO

Платформа A/B-экспериментов VWO (dev.visualwebsiteoptimizer.com) отправляет трекинговое обращение j.php с адресом страницы. Это поведенческое разделение пользователей на варианты, и оно отрабатывает до согласия.

6271 мс · рекомендации Hello Retail

Платформа персонализации Hello Retail отправляет запрос рекомендаций (serve/recoms). Это поведенческая персонализация, до согласия.

11688 мс · серверный GA4 в режиме отказа

На серверный эндпойнт ssgtm.intertoys.nl/g/collect уходит измерение GA4 с сигналом gcs=G100 — обе категории отказаны. Это ограниченный бескуковый пинг, уважающий отказ.

отказ зафиксирован на 15400 мс; Hello Retail продолжает собирать поведение после отказа

Cookiebot фиксирует отказ (logconsent.ashx?action=decline) на 15400 мс. После этого Hello Retail отправляет просмотр страницы (serve/collect/pageview на 16079 мс), а серверный GA4 продолжает слать события в режиме отказа (20655 и 28594 мс, gcs=G100) и Google Ads — бескуковый page_view (15663 мс, gcs=G100). GA4 и Google Ads отказ уважают; Hello Retail — нет, а VWO отработал ещё до выбора.

Декларация против факта

✓ Явное согласие, где требуется (политика) — заявлен

✓ Персонализированная реклама и маркетинг — за согласием (политика) — заявлен

✓ Klarna (оплата), Trusted Shops (отзывы) — описаны — заявлен

+ VWO (A/B-эксперименты, в основной политике не назван) — не заявлен

+ Hello Retail (персонализация, в основной политике не названа) — не заявлен

Зафиксированные трекеры

VWO — A/B-эксперименты (j.php, до согласия)
Hello Retail — персонализация/рекомендации (до согласия и pageview после отказа)
Серверный GA4 и Google Ads (режим согласия «отказано», gcs=G100 — отказ уважают)
Cookiebot (механизм согласия; в сеансе зафиксирован отказ)
Flowbox, eTrusted/Trusted Shops, Omnidesk, Klarna — соц-коммерс, отзывы, чат, оплата

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR и art. 11.7a Telecommunicatiewet — A/B-эксперименты и персонализация срабатывают до согласия и не уважают отказ
На сайте есть механизм согласия Cookiebot, и в этом сеансе пользователь согласие отклонил — Cookiebot логирует выбор как отказ (logconsent.ashx?action=decline на 15400 мс, при браузерном сигнале Do-Not-Track). Часть стека этот отказ уважает: серверный Google Analytics 4 (ssgtm.intertoys.nl/g/collect) и Google Ads (pagead2.googlesyndication.com/ccm/collect) отправляют обращения с сигналом согласия gcs=G100 — обе категории отказаны, то есть это ограниченные бескуковые пинги в режиме отказа. Но два средства отказ не уважают. Платформа A/B-экспериментов VWO (dev.visualwebsiteoptimizer.com) отправляет своё трекинговое обращение j.php уже на 957 мс — до какого-либо выбора и без привязки к согласию. Платформа персонализации Hello Retail отправляет рекомендации (serve/recoms на 6271 мс, до выбора), а затем — уже после зафиксированного отказа — собирает просмотр страницы (serve/collect/pageview на 16079 мс). A/B-эксперименты и поведенческая персонализация — нетехнические цели, требующие согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR. Собственная политика Intertoys требует явного согласия там, где оно необходимо, и относит персонализированную рекламу и маркетинг к обработке за согласием. Здесь же VWO срабатывает до выбора, а Hello Retail продолжает собирать поведение даже после отказа. Сайт — ритейлер детских товаров, что делает поведенческое профилирование в этом контексте особенно чувствительным.

Контекст

www.intertoys.nl — сайт Intertoys, крупной нидерландской сети магазинов игрушек (каталог, личный кабинет, оформление заказа). Контролёр данных — Intertoys. Сайт коммерческий и относится к детским товарам, что повышает чувствительность контекста, хотя покупатели — преимущественно взрослые.

Замер: 248 обращений к 21 домену, главная страница, снят на чистом браузере без VPN и блокировщика. На сайте есть механизм согласия Cookiebot, и в этом сеансе зафиксирован отказ. Обращения к edge.microsoft.com — это встроенный перевод страницы в браузере Edge, а не трекинг сайта.

Кто получает данные

Напрямую до согласия и поверх отказа: VWO (Visual Website Optimizer), Hello Retail.

VWO получает трекинговое обращение A/B-экспериментов (j.php) до согласия. Hello Retail получает запрос рекомендаций до согласия и просмотр страницы уже после отказа. Серверный GA4 (ssgtm.intertoys.nl) и Google Ads (pagead2.googlesyndication.com) при этом отправляют обращения в режиме согласия «отказано» (gcs=G100) — это бескуковые пинги, уважающие отказ. Из функционального — оплата Klarna, отзывы eTrusted/Trusted Shops, чат поддержки Omnidesk, соц-коммерс-галерея Flowbox.

Был ли баннер согласия

Да, на сайте есть механизм согласия Cookiebot, и в этом сеансе пользователь согласие отклонил: Cookiebot фиксирует выбор как отказ (logconsent.ashx?action=decline) на 15400 мс, при браузерном сигнале Do-Not-Track.

Узловой момент в том, что часть средств отказ не уважает. VWO отработал ещё до выбора (957 мс), а Hello Retail собрал рекомендации до выбора (6271 мс) и просмотр страницы уже после отказа (16079 мс). При этом GA4 и Google Ads отказ уважают — шлют бескуковые пинги с сигналом «отказано».

Что срабатывает до согласия и поверх отказа

До выбора пользователя и поверх отказа отрабатывает:

A/B-эксперименты VWO (957 мс) — трекинговое обращение, до выбора;
персонализация Hello Retail — рекомендации до выбора (6271 мс) и просмотр страницы после отказа (16079 мс);
серверный GA4 и Google Ads — в режиме «отказано» (gcs=G100), отказ уважают.

A/B-эксперименты и поведенческая персонализация — нетехнические цели, требующие согласия. Платёж Klarna, отзывы и чат претензий не вызывают — это функциональные сервисы. Серверный GA4 и Google Ads здесь не в претензии: они отрабатывают в ограниченном режиме отказа. Претензия — к VWO и Hello Retail: первый сработал до выбора, второй продолжает собирать поведение даже после отказа.

Почему это несоответствие

Это важно для понимания. Сама архитектура показывает, что гейтинг по согласию здесь возможен и частично работает: GA4 и Google Ads честно переходят в режим «отказано» по сигналу Cookiebot. Но VWO и Hello Retail к этому сигналу не привязаны: VWO запускает эксперимент раньше любого выбора, а Hello Retail собирает просмотр страницы уже после того, как пользователь отказался. Собственная политика Intertoys требует явного согласия там, где оно необходимо, и относит персонализированную рекламу и маркетинг к обработке за согласием. Поведенческое профилирование до согласия и поверх отказа противоречит и правилу, и собственному документу — тем более на сайте детских товаров.

Вывод

Intertoys.nl — случай, когда механизм согласия есть и частью стека соблюдается, но два поведенческих средства его обходят. В пользу сайта то, что серверный GA4 и Google Ads уважают отказ и шлют лишь бескуковые пинги. Но платформа A/B-экспериментов VWO срабатывает ещё до выбора, а платформа персонализации Hello Retail собирает поведение до согласия и продолжает после отказа. Главное, что должен вынести читатель: если сайт уже умеет переводить часть средств в режим отказа по сигналу согласия, то и A/B-эксперименты, и персонализацию следует привязать к тому же сигналу — чтобы они не срабатывали до выбора и тем более не игнорировали отказ. Достаточно подключить VWO и Hello Retail к механизму согласия так же, как это сделано для GA4 и Google Ads.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: nl/intertoys-nl-2026-06-23.har

SHA-256: bad8c543d8c94a8d1d53061f72c7f6e57e57d505566526400500c02e1a486932

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — intertoys.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта intertoys.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте есть механизм согласия Cookiebot, и в этом сеансе пользователь согласие отклонил — Cookiebot логирует выбор как отказ (logconsent.ashx?action=decline на 15400 мс, при браузерном сигнале Do-Not-Track). Часть стека этот отказ уважает: серверный Google Analytics 4 (ssgtm.intertoys.nl/g/collect) и Google Ads (pagead2.googlesyndication.com/ccm/collect) отправляют обращения с сигналом согласия gcs=G100 — обе категории отказаны, то есть это ограниченные бескуковые пинги в режиме отказа. Но два средства отказ не уважают. Платформа A/B-экспериментов VWO (dev.visualwebsiteoptimizer.com) отправляет своё трекинговое обращение j.php уже на 957 мс — до какого-либо выбора и без привязки к согласию. Платформа персонализации Hello Retail отправляет рекомендации (serve/recoms на 6271 мс, до выбора), а затем — уже после зафиксированного отказа — собирает просмотр страницы (serve/collect/pageview на 16079 мс). A/B-эксперименты и поведенческая персонализация — нетехнические цели, требующие согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR. Собственная политика Intertoys требует явного согласия там, где оно необходимо, и относит персонализированную рекламу и маркетинг к обработке за согласием. Здесь же VWO срабатывает до выбора, а Hello Retail продолжает собирать поведение даже после отказа. Сайт — ритейлер детских товаров, что делает поведенческое профилирование в этом контексте особенно чувствительным.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-intertoys-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — intertoys.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website intertoys.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has the Cookiebot consent mechanism, and in this session the user declined consent — Cookiebot logs the choice as a refusal (logconsent.ashx?action=decline at 15400 ms, alongside a browser Do-Not-Track signal). Part of the stack respects this refusal: server-side Google Analytics 4 (ssgtm.intertoys.nl/g/collect) and Google Ads (pagead2.googlesyndication.com/ccm/collect) send requests with a consent signal of gcs=G100 — both categories denied, meaning these are limited, cookieless pings in a refused state. But two tools do not respect the refusal. The VWO A/B-testing platform (dev.visualwebsiteoptimizer.com) sends its own tracking request j.php as early as 957 ms — before any choice and unconnected to consent. The Hello Retail personalization platform sends recommendations (serve/recoms at 6271 ms, before the choice), and then — after the refusal has already been recorded — collects a pageview (serve/collect/pageview at 16079 ms). A/B experiments and behavioral personalization are non-technical purposes requiring consent under art. 11.7a Telecommunicatiewet and Art. 6(1)(a) GDPR. Intertoys' own policy requires explicit consent where needed, and classifies personalized advertising and marketing as consent-based processing. Here, however, VWO fires before the choice, and Hello Retail continues collecting behavior even after refusal. The site is a children's-goods retailer, which makes behavioral profiling in this context particularly sensitive.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-intertoys-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — intertoys.nl

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом intertoys.nl.

2. Обстоятельства
Я посетил сайт intertoys.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 23.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте есть механизм согласия Cookiebot, и в этом сеансе пользователь согласие отклонил — Cookiebot логирует выбор как отказ (logconsent.ashx?action=decline на 15400 мс, при браузерном сигнале Do-Not-Track). Часть стека этот отказ уважает: серверный Google Analytics 4 (ssgtm.intertoys.nl/g/collect) и Google Ads (pagead2.googlesyndication.com/ccm/collect) отправляют обращения с сигналом согласия gcs=G100 — обе категории отказаны, то есть это ограниченные бескуковые пинги в режиме отказа. Но два средства отказ не уважают. Платформа A/B-экспериментов VWO (dev.visualwebsiteoptimizer.com) отправляет своё трекинговое обращение j.php уже на 957 мс — до какого-либо выбора и без привязки к согласию. Платформа персонализации Hello Retail отправляет рекомендации (serve/recoms на 6271 мс, до выбора), а затем — уже после зафиксированного отказа — собирает просмотр страницы (serve/collect/pageview на 16079 мс). A/B-эксперименты и поведенческая персонализация — нетехнические цели, требующие согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR. Собственная политика Intertoys требует явного согласия там, где оно необходимо, и относит персонализированную рекламу и маркетинг к обработке за согласием. Здесь же VWO срабатывает до выбора, а Hello Retail продолжает собирать поведение даже после отказа. Сайт — ритейлер детских товаров, что делает поведенческое профилирование в этом контексте особенно чувствительным.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-intertoys-nl/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и art. 11.7a Telecommunicatiewet — A/B-эксперименты и персонализация срабатывают до согласия и не уважают отказ

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — intertoys.nl

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website intertoys.nl.

2. Circumstances
I visited the website intertoys.nl and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 23 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has the Cookiebot consent mechanism, and in this session the user declined consent — Cookiebot logs the choice as a refusal (logconsent.ashx?action=decline at 15400 ms, alongside a browser Do-Not-Track signal). Part of the stack respects this refusal: server-side Google Analytics 4 (ssgtm.intertoys.nl/g/collect) and Google Ads (pagead2.googlesyndication.com/ccm/collect) send requests with a consent signal of gcs=G100 — both categories denied, meaning these are limited, cookieless pings in a refused state. But two tools do not respect the refusal. The VWO A/B-testing platform (dev.visualwebsiteoptimizer.com) sends its own tracking request j.php as early as 957 ms — before any choice and unconnected to consent. The Hello Retail personalization platform sends recommendations (serve/recoms at 6271 ms, before the choice), and then — after the refusal has already been recorded — collects a pageview (serve/collect/pageview at 16079 ms). A/B experiments and behavioral personalization are non-technical purposes requiring consent under art. 11.7a Telecommunicatiewet and Art. 6(1)(a) GDPR. Intertoys' own policy requires explicit consent where needed, and classifies personalized advertising and marketing as consent-based processing. Here, however, VWO fires before the choice, and Hello Retail continues collecting behavior even after refusal. The site is a children's-goods retailer, which makes behavioral profiling in this context particularly sensitive.

Full technical documentation is published at: https://gdpru.eu/audits/nl-intertoys-nl/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR and art. 11.7a Telecommunicatiewet — A/B experiments and personalization fire before consent and do not respect refusal

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]