Технический аудит · 23.06.2026

jumbo.com

Сайт супермаркетов Jumbo

Политика изменена — посмотреть, что именно · 2026-09-08 →

Jumbo.com — сайт сети супермаркетов Jumbo. Замер главной страницы: 335 обращений, 16 доменов, но стек преимущественно первичный. Сторонних рекламных и аналитических трекеров не обнаружено — ни Google Analytics, ни пикселей соцсетей, ни рекламы, ни программатик-бирж; Google Tag Manager загружается, но коммерческих тегов не разворачивает. На сайте есть механизм согласия OneTrust, согласие фиксируется на 8127 мс. Это в пользу сайта. Но до согласия отрабатывает первичная аналитика: на собственный эндпойнт /api/pixel уходят серии POST-событий уже с 3648 мс — раньше, чем дорисовывается баннер, — и далее непрерывно. Первичный сбор поведения требует согласия, и здесь он срабатывает до него.

Хронология обращений

855–858 мс · сборщик тегов и мониторинг производительности

Загружаются Google Tag Manager (855 мс) и мониторинг производительности mPulse (go-mpulse.net, 858 мс). GTM коммерческих тегов не разворачивает, mPulse — технический RUM.

2258 мс · защита от ботов

Отрабатывает пиксель защиты от ботов Akamai (/akam/). Это мера безопасности, не трекинг.

3648 мс · первичный аналитический пиксель

На собственный эндпойнт www.jumbo.com/api/pixel уходит POST с событием. Это первичный сбор поведения, и он начинается раньше, чем дорисовывается баннер согласия (повторы непрерывно: 3896, 3901, 3989, 5596, 5878 мс и далее).

3610–5474 мс · загрузка механизма согласия

Загружается механизм согласия OneTrust (otSDKStub, баннер, vendorlist TCF) и определяется геолокация. Механизм предусмотрен — значит то, что отработало раньше, происходит до согласия.

согласие фиксируется на 8127 мс; аналитический пиксель отработал раньше и продолжает

Согласие фиксируется на 8127 мс (consentreceipts). Но первичный аналитический пиксель /api/pixel к этому моменту уже отработал (с 3648 мс) и продолжает слать события после. Сторонних рекламных и аналитических трекеров в замере нет.

Декларация против факта

✓ Реклама и персонализация — за согласием (политика) — заявлен

✓ Аналитика на агрегированном уровне / законный интерес (политика, гл. Cookies) — заявлен

Зафиксированные трекеры

Первичный аналитический пиксель Jumbo (/api/pixel, до согласия)
OneTrust (механизм согласия, TCF)
mPulse / Akamai (RUM и производительность — технический)
Google Tag Manager (контейнер загружен, теги не развёрнуты)
Mopinion (виджет отзывов)

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR и art. 11.7a Telecommunicatiewet — первичный аналитический пиксель работает до согласия
Сайт построен преимущественно на собственной инфраструктуре, и сторонний коммерческий слой здесь практически отсутствует: ни Google Analytics, ни пикселей соцсетей, ни рекламных сетей, ни программатик-бирж в замере нет. Google Tag Manager загружается, но коммерческих тегов не разворачивает. На сайте есть механизм согласия OneTrust, и согласие фиксируется на 8127 мс (обращение privacyportal-de.onetrust.com/request/v1/consentreceipts). Это в пользу сайта. Однако ещё до фиксации согласия отрабатывает первичная аналитика: на собственный эндпойнт www.jumbo.com/api/pixel уходят серии POST-обращений с событиями (с 3648 мс — то есть раньше, чем дорисовывается баннер согласия, — и далее непрерывно). Это первичный сбор поведения, нетехническая цель, требующая согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR. Собственная политика Jumbo относит рекламу и персонализацию к обработке за согласием. Здесь же аналитический пиксель отрабатывает раньше выбора пользователя. Содержание событий по очищенному HAR не оценивается — полезный груз удалён, — поэтому фиксируется само поведение: первичные событийные обращения до согласия. Мониторинг производительности (mPulse/Akamai), функциональный чат и виджет отзывов в претензию не входят.

Контекст

www.jumbo.com — сайт Jumbo, второй по величине сети супермаркетов Нидерландов (каталог, рецепты, программа лояльности, онлайн-заказ и доставка). Контролёр данных — Jumbo. Сайт коммерческий.

Замер: 335 обращений к 16 доменам, главная страница, снят на чистом браузере без VPN и блокировщика. Стек преимущественно первичный. На сайте есть механизм согласия OneTrust.

Кто получает данные

Сторонних коммерческих получателей данных до согласия в этом сеансе нет.

Первичная аналитика уходит на собственный эндпойнт www.jumbo.com/api/pixel. Google Tag Manager загружается, но коммерческих тегов не разворачивает. Сторонней аналитики Google, пикселей соцсетей, рекламных сетей и программатик-бирж в замере нет совсем. Из технического и функционального — мониторинг производительности mPulse/Akamai, защита от ботов Akamai, функциональный чат (Google chat-messenger SDK) и виджет отзывов Mopinion (загрузка).

Был ли баннер согласия

Да, на сайте есть механизм согласия OneTrust (через рамку IAB TCF): загрузочный скрипт стартует на 3610 мс, баннер дорисовывается к 5474 мс, согласие фиксируется на 8127 мс (consentreceipts).

Узловой момент в том, что первичная аналитика отработала раньше: пиксель /api/pixel пошёл сериями с 3648 мс — до того, как дорисовался баннер, — и продолжил после фиксации согласия.

Что срабатывает до согласия

До фиксации согласия отрабатывает:

первичный аналитический пиксель /api/pixel (с 3648 мс) — серии POST-событий;
сборщик тегов GTM (855 мс) — без развёртывания коммерческих тегов;
мониторинг производительности mPulse (858 мс) — технический;
защита от ботов Akamai (2258 мс) — охранная.

Сборщик тегов, мониторинг производительности и защита от ботов претензий не вызывают — это функциональные, технические и охранные цели, а GTM к тому же ничего стороннего не развернул. Претензия — к первичному аналитическому пикселю: это сбор поведения, и он отрабатывает до согласия.

Почему «первая сторона» — не индульгенция

Это важно для понимания. То, что Jumbo держит аналитику на собственной инфраструктуре и почти не привлекает сторонних трекеров, действительно лучше, чем россыпь чужих рекламных средств. Но юридически вопрос не в том, кому уходят данные, а на каком основании они собираются. Первичный аналитический пиксель — сбор поведения, требующий согласия, а на сайте есть механизм согласия OneTrust, фиксирующий выбор. Запуск пикселя раньше этого выбора — нестыковка с тем основанием, на которое опирается сам сайт. Содержание событий по очищенному HAR не оценивается — полезный груз удалён, — поэтому фиксируется само поведение: первичные событийные обращения до согласия.

Вывод

Jumbo.com — случай в целом сдержанной настройки с одной нестыковкой на уровне аналитики. В пользу сайта многое: сторонних рекламных и аналитических трекеров нет, GTM коммерческих тегов не разворачивает, мониторинг производительности и чат функциональны, есть механизм согласия OneTrust. Но первичный аналитический пиксель /api/pixel отправляет события до фиксации согласия, при том что собственная политика относит рекламу и персонализацию к обработке по согласию. Главное, что должен вынести читатель: отсутствие сторонних получателей не отменяет требования согласия — собственный аналитический пиксель следует перевести в режим ожидания согласия. Достаточно отложить эти событийные обращения до выбора пользователя.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: nl/jumbo-com-2026-06-23.har

SHA-256: bc711f3be2b5724e8c0cb2a67f9fb5d832fa9c65625e2cf009aa96d56a42bc22

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — jumbo.com

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта jumbo.com.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Сайт построен преимущественно на собственной инфраструктуре, и сторонний коммерческий слой здесь практически отсутствует: ни Google Analytics, ни пикселей соцсетей, ни рекламных сетей, ни программатик-бирж в замере нет. Google Tag Manager загружается, но коммерческих тегов не разворачивает. На сайте есть механизм согласия OneTrust, и согласие фиксируется на 8127 мс (обращение privacyportal-de.onetrust.com/request/v1/consentreceipts). Это в пользу сайта. Однако ещё до фиксации согласия отрабатывает первичная аналитика: на собственный эндпойнт www.jumbo.com/api/pixel уходят серии POST-обращений с событиями (с 3648 мс — то есть раньше, чем дорисовывается баннер согласия, — и далее непрерывно). Это первичный сбор поведения, нетехническая цель, требующая согласия по art. 11.7a Telecommunicatiewet и Art. 6(1)(a) GDPR. Собственная политика Jumbo относит рекламу и персонализацию к обработке за согласием. Здесь же аналитический пиксель отрабатывает раньше выбора пользователя. Содержание событий по очищенному HAR не оценивается — полезный груз удалён, — поэтому фиксируется само поведение: первичные событийные обращения до согласия. Мониторинг производительности (mPulse/Akamai), функциональный чат и виджет отзывов в претензию не входят.

2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-jumbo-com/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Data access request (GDPR Art. 15) — jumbo.com

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website jumbo.com.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site is built largely on its own infrastructure, and a third-party commercial layer is practically absent: the scan contains no Google Analytics, no social media pixels, no advertising networks, and no programmatic exchanges. Google Tag Manager loads but does not deploy any commercial tags. The site has the OneTrust consent mechanism, and consent is recorded at 8127 ms (a request to privacyportal-de.onetrust.com/request/v1/consentreceipts). This works in the site's favor. However, before consent is recorded, primary analytics fires: a series of POST requests with events goes out to the site's own endpoint www.jumbo.com/api/pixel (from 3648 ms — that is, before the consent banner even finishes rendering — and continuing thereafter without interruption). This is primary behavioral data collection, a non-technical purpose requiring consent under art. 11.7a Telecommunicatiewet and Art. 6(1)(a) GDPR. Jumbo's own policy classifies advertising and personalization as consent-based processing. Here, however, the analytics pixel fires before the user's choice. The content of the events cannot be assessed from the sanitized HAR, since the payload has been stripped — so the behavior itself is what's recorded: primary event requests before consent. Performance monitoring (mPulse/Akamai), functional chat, and the reviews widget are not part of the concern.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-jumbo-com/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — jumbo.com

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом jumbo.com.

2. Обстоятельства
Я посетил сайт jumbo.com и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 23.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-jumbo-com/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и art. 11.7a Telecommunicatiewet — первичный аналитический пиксель работает до согласия

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — jumbo.com

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website jumbo.com.

2. Circumstances
I visited the website jumbo.com and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 23 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site is built largely on its own infrastructure, and a third-party commercial layer is practically absent: the scan contains no Google Analytics, no social media pixels, no advertising networks, and no programmatic exchanges. Google Tag Manager loads but does not deploy any commercial tags. The site has the OneTrust consent mechanism, and consent is recorded at 8127 ms (a request to privacyportal-de.onetrust.com/request/v1/consentreceipts). This works in the site's favor. However, before consent is recorded, primary analytics fires: a series of POST requests with events goes out to the site's own endpoint www.jumbo.com/api/pixel (from 3648 ms — that is, before the consent banner even finishes rendering — and continuing thereafter without interruption). This is primary behavioral data collection, a non-technical purpose requiring consent under art. 11.7a Telecommunicatiewet and Art. 6(1)(a) GDPR. Jumbo's own policy classifies advertising and personalization as consent-based processing. Here, however, the analytics pixel fires before the user's choice. The content of the events cannot be assessed from the sanitized HAR, since the payload has been stripped — so the behavior itself is what's recorded: primary event requests before consent. Performance monitoring (mPulse/Akamai), functional chat, and the reviews widget are not part of the concern.

Full technical documentation is published at: https://gdpru.eu/audits/nl-jumbo-com/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR and art. 11.7a Telecommunicatiewet — the primary analytics pixel runs before consent

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]