thuisbezorgd.nl

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — thuisbezorgd.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта thuisbezorgd.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Сайт построен почти целиком на собственной инфраструктуре (Next.js, домены jet-external группы Just Eat Takeaway), и сторонний коммерческий слой здесь практически отсутствует: ни Google Analytics, ни пикселей соцсетей, ни рекламных сетей, ни программатик-бирж в замере нет. Google Tag Manager и первичный контейнер измерения Google Tag Gateway (/gtgmeasurement/) загружают свои библиотеки, но стороннего измерительного бикона в этом сеансе не отправляют. Это в пользу сайта. Однако в чистом сеансе без согласия отрабатывает первичная поведенческая телеметрия: на собственный коллектор событий JET (gateway-2.production.jet-external.com, realtime-events) уходят POST-обращения с событиями (на 3576 мс и 19067 мс). Это сбор поведения для аналитики и улучшения продукта — нетехническая цель, требующая согласия по Art. 6(1)(a) GDPR, и она происходит раньше выбора пользователя. На сайте при этом есть собственный баннер согласия. Точное содержание событий по очищенному HAR оценить нельзя — полезный груз удалён, — поэтому фиксируется само поведение: первичные событийные обращения до согласия. Сторонний коммерческий слой удержан правильно; этого же следует добиться и для собственной телеметрии.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-thuisbezorgd-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — thuisbezorgd.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website thuisbezorgd.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site is built almost entirely on its own infrastructure (Next.js, jet-external domains of the Just Eat Takeaway group), and a third-party commercial layer is practically absent here: the scan contains no Google Analytics, no social media pixels, no advertising networks, and no programmatic exchanges. Google Tag Manager and the primary measurement container Google Tag Gateway (/gtgmeasurement/) load their libraries, but do not send a third-party measurement beacon in this session. This works in the site's favor. However, in a clean session without consent, primary behavioral telemetry fires: POST requests with events go out to JET's own event collector (gateway-2.production.jet-external.com, realtime-events) at 3576 ms and 19067 ms. This is behavioral data collection for analytics and product improvement — a non-technical purpose requiring consent under Art. 6(1)(a) GDPR, and it occurs before the user's choice. The site has its own consent banner. The exact content of the events cannot be assessed from the sanitized HAR, since the payload has been stripped — so the behavior itself is what's recorded: primary event requests before consent. The third-party commercial layer is held correctly; the same should be achieved for the in-house telemetry.


2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-thuisbezorgd-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]