wehkamp.nl

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — wehkamp.nl

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта wehkamp.nl.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Сайт построен преимущественно на собственной инфраструктуре, и сторонний коммерческий слой здесь удержан грамотно: ни Google Analytics, ни пикселей соцсетей, ни рекламных сетей, ни программатик-бирж в чистом сеансе нет. Google Tag Manager загружается, но коммерческих тегов не разворачивает — заявленная в политике Google Analytics в этом сеансе не сработала. Это в пользу сайта. Однако ещё до фиксации согласия отрабатывает первичная аналитика: на собственный эндпойнт /site/content-site/page-load уходит POST-обращение с событием загрузки страницы (на 1642 мс), тогда как обращение к механизму согласия /site/content-site/consent происходит лишь на 8310 мс. Это сбор поведения для аналитики магазина — и собственная политика Wehkamp прямо указывает (§7.1.2), что для анализа магазина требуется согласие. То есть площадка сама признаёт согласие основанием для аналитики, а первичный аналитический сбор отрабатывает раньше выбора пользователя. Дополнительно до согласия подгружается сторонний виджет отзывов Mopinion (скрипт и конфигурация, без бикона сбора). Содержание событий по очищенному HAR не оценивается — полезный груз удалён, — поэтому фиксируется само поведение: первичное аналитическое обращение до согласия.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/nl-wehkamp-nl/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — wehkamp.nl

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website wehkamp.nl.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) The site is built largely on its own infrastructure, and the third-party commercial layer is handled correctly here: the clean session contains no Google Analytics, no social media pixels, no advertising networks, and no programmatic exchanges. Google Tag Manager loads but deploys no commercial tags — the Google Analytics disclosed in the policy did not fire in this session. This works in the site's favor. However, before consent is recorded, primary analytics fires: a POST request with a page-load event goes to the site's own endpoint /site/content-site/page-load (at 1642 ms), whereas the request to the consent mechanism /site/content-site/consent only occurs at 8310 ms. This is behavioral data collection for store analytics — and Wehkamp's own policy explicitly states (§7.1.2) that consent is required for store analysis. In other words, the platform itself acknowledges consent as the legal basis for analytics, yet the primary analytics collection fires before the user's choice. Additionally, before consent, the third-party Mopinion reviews widget loads (script and configuration, without a collection beacon). The content of the events cannot be assessed from the sanitized HAR, since the payload has been stripped — so the behavior itself is what's recorded: a primary analytics request before consent.


2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/nl-wehkamp-nl/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]