Технический аудит · 16.06.2026

praxis.nl

Сайт сети товаров для дома и ремонта

Политика изменена — посмотреть, что именно · 2026-09-02 →

Praxis.nl — сайт крупной сети товаров для дома и ремонта. Замер главной страницы: 141 обращение, 19 доменов. На сайте установлена платформа сбора согласия, а политика прямо обещает запрашивать согласие для трекинг-cookie. Но фактически до выбора пользователя платформа персонализации регистрирует визит и шлёт поведенческие события, сервис поиска отправляет данные о поведении, а рекламный пиксель Microsoft срабатывает с событиями действий. Согласие в этом сеансе фиксируется значительно позже — когда эти сервисы уже отработали. В пользу сайта то, что собственный тег Google держится в режиме «согласие не дано», но на персонализацию, поведенческий поиск и рекламу это не распространяется.

Хронология обращений

749 мс · сервис поведенческого поиска

Загружается сервис поиска и подбора товаров, который позже отправит данные о поведении.

751 мс · платформа согласия

Загружается платформа сбора согласия. Механизм согласия предусмотрен, и политика обещает спрашивать согласие для трекинга.

1018 мс · персонализация регистрирует визит

Платформа A/B-тестирования и персонализации регистрирует визит и запрашивает геолокацию. До согласия.

1824 мс · персонализация шлёт поведенческие события

Платформа персонализации отправляет поведенческие события о действиях пользователя. До согласия.

3015 мс · рекламный пиксель Microsoft

Рекламный пиксель Microsoft срабатывает и отправляет события действий. До согласия.

4761 мс · тег Google в режиме «нет согласия»

Собственный тег Google отправляет обращение с сигналом «согласие не дано». Эту часть сайт соблюдает корректно.

4959 мс · поведение поиска уходит сервису

Сервис поиска отправляет данные о поведении пользователя. До согласия.

Декларация против факта

✓ Google Analytics — заявлен

✓ YouTube — заявлен

+ Kameleoon — не заявлен

+ Constructor.io — не заявлен

+ Bing Ads (Microsoft) — не заявлен

Зафиксированные трекеры

Kameleoon (персонализация и события, до согласия)
Constructor.io (поведение поиска, до согласия)
Bing Ads (рекламный пиксель, до согласия)
Google-тег (в режиме «нет согласия»)

Признаки несоответствия GDPR

Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — персонализация, поведенческий поиск и рекламный пиксель срабатывают до согласия вопреки баннеру и собственному обещанию политики
На сайте установлена платформа сбора согласия, а политика прямо обещает, что для трекинг-cookie запрашивается согласие. Но фактически до того, как пользователь сделал выбор, отрабатывает целый набор нетехнических сервисов. Платформа A/B-тестирования и персонализации регистрирует визит, запрашивает геолокацию и отправляет поведенческие события о действиях пользователя. Сервис поиска и подбора товаров отправляет данные о поведении. Рекламный пиксель Microsoft срабатывает и отправляет события действий. Согласие в этом сеансе фиксируется значительно позже — когда перечисленные сервисы уже отработали. То есть и баннер, и обещание политики на практике не удерживают трекеры. Все эти сервисы — персонализация, поведенческий поиск и реклама — нетехнические цели, требующие согласия. Отдельно отметим в пользу сайта, что собственный тег Google держится в режиме «согласие не дано», но на остальные сервисы это не распространяется.
Art. 13 GDPR — платформа персонализации, сервис поведенческого поиска и рекламный пиксель в основной политике не названы
Основная политика называет аналитику Google и видеоплатформу, но платформа A/B-тестирования и персонализации, сервис поведенческого поиска и рекламный пиксель Microsoft в ней не упомянуты — перечень вынесен в отдельный документ. То есть три сервиса, которые отправляют данные до согласия, в основном тексте политики, описывающем обработку, не раскрыты.

Контекст

www.praxis.nl — сайт крупной нидерландской сети товаров для дома, ремонта и сада. Контролёр данных — Praxis. Сайт коммерческий, интернет-магазин с поиском, подбором и личным кабинетом.

Замер: 141 обращение к 19 доменам, главная страница, снят на чистом браузере Edge без VPN и блокировщика. Установлена платформа сбора согласия. Технический стек насыщен сервисами персонализации, поиска и рекламы.

Кто получает данные

Тут были замечены: платформа A/B-тестирования и персонализации, сервис поведенческого поиска, рекламный пиксель Microsoft.

Платформа персонализации регистрирует визит и отправляет поведенческие события. Сервис поиска отправляет данные о поведении. Рекламный пиксель Microsoft передаёт события действий. Принципиальный момент в том, что все они срабатывают до согласия.

Был ли баннер согласия

Да, на сайте установлена платформа сбора согласия, и политика прямо обещает запрашивать согласие для трекинг-cookie. Но фактически согласие в этом сеансе фиксируется значительно позже момента, когда персонализация, поведенческий поиск и рекламный пиксель уже отработали. То есть и баннер, и обещание политики на практике не удерживают эти сервисы.

В пользу сайта стоит отметить, что собственный тег Google держится в режиме «согласие не дано» — эту часть сайт соблюдает корректно.

Что срабатывает до согласия

До согласия отрабатывает:

платформа персонализации — регистрация визита, геолокация и поведенческие события;
сервис поиска — отправка данных о поведении;
рекламный пиксель Microsoft — события действий.

Все эти сервисы — нетехнические цели, требующие согласия. На фоне корректно настроенного режима «нет согласия» для тега Google остальные сервисы отрабатывают раньше выбора, что и указывает на несоблюдение.

Нераскрытые получатели

Отдельный пункт. Основная политика называет аналитику Google и видеоплатформу, но платформа персонализации, сервис поведенческого поиска и рекламный пиксель Microsoft в ней не упомянуты — перечень вынесен в отдельный документ. То есть три сервиса, отправляющие данные до согласия, в основном тексте политики не раскрыты.

Вывод

Praxis.nl — случай, когда механизм согласия есть и политика обещает правильное поведение, но на практике это не выполняется. Платформа персонализации, сервис поведенческого поиска и рекламный пиксель Microsoft отправляют данные раньше выбора пользователя, хотя политика прямо обещает спрашивать согласие для трекинга. Корректно настроен только режим «нет согласия» для тега Google. Главное, что должен вынести читатель: наличие баннера и правильная формулировка в политике ничего не стоят, если персонализация, поведенческий поиск и реклама фактически срабатывают до согласия. Достаточно перевести эти сервисы в режим ожидания согласия — так же, как это уже сделано для тега Google."

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: nl/praxis-nl-2026-06-16.har

SHA-256: e633f9fdb9c4f19d401215ad579539e6b6256f4efe0dadade7ed51442b3bed3d

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — praxis.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта praxis.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) На сайте установлена платформа сбора согласия, а политика прямо обещает, что для трекинг-cookie запрашивается согласие. Но фактически до того, как пользователь сделал выбор, отрабатывает целый набор нетехнических сервисов. Платформа A/B-тестирования и персонализации регистрирует визит, запрашивает геолокацию и отправляет поведенческие события о действиях пользователя. Сервис поиска и подбора товаров отправляет данные о поведении. Рекламный пиксель Microsoft срабатывает и отправляет события действий. Согласие в этом сеансе фиксируется значительно позже — когда перечисленные сервисы уже отработали. То есть и баннер, и обещание политики на практике не удерживают трекеры. Все эти сервисы — персонализация, поведенческий поиск и реклама — нетехнические цели, требующие согласия. Отдельно отметим в пользу сайта, что собственный тег Google держится в режиме «согласие не дано», но на остальные сервисы это не распространяется.

2) Основная политика называет аналитику Google и видеоплатформу, но платформа A/B-тестирования и персонализации, сервис поведенческого поиска и рекламный пиксель Microsoft в ней не упомянуты — перечень вынесен в отдельный документ. То есть три сервиса, которые отправляют данные до согласия, в основном тексте политики, описывающем обработку, не раскрыты.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-praxis-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — praxis.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website praxis.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site has a consent-collection platform installed, and the policy explicitly promises that consent is requested for tracking cookies. But in practice, before the user makes a choice, a whole set of non-technical services fires. The A/B-testing and personalization platform registers the visit, requests geolocation, and sends behavioral events about the user's actions. The product-search and recommendation service sends behavioral data. The Microsoft advertising pixel fires and sends action events. Consent in this session is recorded significantly later — after the listed services have already fired. In other words, neither the banner nor the policy's promise actually holds the trackers back in practice. All of these services — personalization, behavioral search, and advertising — are non-technical purposes requiring consent. It's worth separately noting, in the site's favor, that the site's own Google tag stays in 'consent not given' mode, but this does not extend to the other services.

2) The main policy names Google Analytics and the video platform, but the A/B-testing and personalization platform, the behavioral search service, and the Microsoft advertising pixel are not mentioned in it — the list is relegated to a separate document. In other words, three services that transmit data before consent are not disclosed in the main body of the policy describing the processing.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-praxis-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — praxis.nl

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом praxis.nl.

2. Обстоятельства
Я посетил сайт praxis.nl и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 16.06.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На сайте установлена платформа сбора согласия, а политика прямо обещает, что для трекинг-cookie запрашивается согласие. Но фактически до того, как пользователь сделал выбор, отрабатывает целый набор нетехнических сервисов. Платформа A/B-тестирования и персонализации регистрирует визит, запрашивает геолокацию и отправляет поведенческие события о действиях пользователя. Сервис поиска и подбора товаров отправляет данные о поведении. Рекламный пиксель Microsoft срабатывает и отправляет события действий. Согласие в этом сеансе фиксируется значительно позже — когда перечисленные сервисы уже отработали. То есть и баннер, и обещание политики на практике не удерживают трекеры. Все эти сервисы — персонализация, поведенческий поиск и реклама — нетехнические цели, требующие согласия. Отдельно отметим в пользу сайта, что собственный тег Google держится в режиме «согласие не дано», но на остальные сервисы это не распространяется.

2) Основная политика называет аналитику Google и видеоплатформу, но платформа A/B-тестирования и персонализации, сервис поведенческого поиска и рекламный пиксель Microsoft в ней не упомянуты — перечень вынесен в отдельный документ. То есть три сервиса, которые отправляют данные до согласия, в основном тексте политики, описывающем обработку, не раскрыты.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/nl-praxis-nl/

3. Положения GDPR, соблюдение которых прошу проверить
Art. 6(1)(a) GDPR и ст. 11.7a Telecommunicatiewet — персонализация, поведенческий поиск и рекламный пиксель срабатывают до согласия вопреки баннеру и собственному обещанию политики; Art. 13 GDPR — платформа персонализации, сервис поведенческого поиска и рекламный пиксель в основной политике не названы

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — praxis.nl

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website praxis.nl.

2. Circumstances
I visited the website praxis.nl and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 16 June 2026 (open methodology, reproducible measurements) documents the following indications:

1) The site has a consent-collection platform installed, and the policy explicitly promises that consent is requested for tracking cookies. But in practice, before the user makes a choice, a whole set of non-technical services fires. The A/B-testing and personalization platform registers the visit, requests geolocation, and sends behavioral events about the user's actions. The product-search and recommendation service sends behavioral data. The Microsoft advertising pixel fires and sends action events. Consent in this session is recorded significantly later — after the listed services have already fired. In other words, neither the banner nor the policy's promise actually holds the trackers back in practice. All of these services — personalization, behavioral search, and advertising — are non-technical purposes requiring consent. It's worth separately noting, in the site's favor, that the site's own Google tag stays in 'consent not given' mode, but this does not extend to the other services.

2) The main policy names Google Analytics and the video platform, but the A/B-testing and personalization platform, the behavioral search service, and the Microsoft advertising pixel are not mentioned in it — the list is relegated to a separate document. In other words, three services that transmit data before consent are not disclosed in the main body of the policy describing the processing.

Full technical documentation is published at: https://gdpru.eu/audits/nl-praxis-nl/

3. GDPR provisions I ask you to examine
Art. 6(1)(a) GDPR and art. 11.7a Telecommunicatiewet — personalization, behavioral search, and the advertising pixel fire before consent, contrary to the banner and the policy's own promise; Art. 13 GDPR — the personalization platform, the behavioral search service, and the advertising pixel are not named in the main policy

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]