Технический аудит · 14.04.2026

palantir.com

Американский разработчик платформ анализа данных Palantir Technologies

Корпоративный сайт Palantir Technologies, запись 14 апреля 2026 года: 140 запросов, шесть узлов, 43 обращения наружу за 87,5 секунды. Баннер согласия отрисован, выбор не сделан, ни одной cookie — и в этом состоянии Google получает адрес IP, строку браузера, платформу, клиентские подсказки, языковую настройку и поведенческие сигналы проверки reCAPTCHA. Ни Google, ни OneTrust, ни Adobe Marketo в заявлении о приватности не названы.

Хронология обращений

+0…64,7 с · тишина

Страница открыта, идёт просмотр. Отдача с www.palantir.com через Fastly и Amazon S3, приложение на Next.js. За первую минуту записи не уходит ни одного обращения — счётчиков с фоновыми событиями вовлечённости на странице нет. Браузер отправлял заголовок DNT: 1.

+72,2 с · Google загружается без согласия

www.google.com/recaptcha/api.js?onload=onloadcallback&render=explicit. Инициатор — componentDidMount из чанка приложения, referer https://www.palantir.com/. Одновременно дважды не разрешается имя 120-gkj-051.mktoweb.com — сценарий форм Adobe Marketo не выполняется.

+72,6…+74,9 с · локализация и оформление

www.gstatic.com/recaptcha/releases/…/recaptcha__ru.js — русская версия виджета. Рамка проверки anchor с параметрами hl=ru, type=image, size=normal. Шрифт Roboto для интерфейса подтягивается с fonts.gstatic.com самим фреймом Google, referer https://www.google.com/.

+76,4 с · баннер поднимается заново

Повторный запрос оформления OneTrust, referer уже privacy-and-security. Баннер отрисовывается на следующем разделе — согласуется с отсутствием сохранённого выбора.

+78,7…+87,5 с · передача поведенческих сигналов

bframe с заданием проверки, затем POST-обращения reload, userverify и clr на серверы Google. Запись обрывается сразу после завершения проверки.

Декларация против факта

✓ Технические данные: адрес IP, операционная система, сведения о браузере, строка агента, идентификаторы вида cookie, идентификатор мобильного устройства, данные Wi-Fi, взаимодействия с сайтами — заявлен

✓ Анализ активности на сайтах — на основании законного интереса — заявлен

✓ Целевая реклама через сторонние платформы — на основании законного интереса — заявлен

✓ Раскрытие псевдонимизированных данных рекламным сетям — заявлено в разделе о cookie — заявлен

✓ Категории получателей: аффилированные лица, поставщики услуг, третьи стороны, партнёры — заявлен

✓ Stripe — назван поимённо как независимый обработчик платежей — заявлен

✓ LinkedIn — назван как пример платформы при активации плагина социальной сети — заявлен

✓ Передача за пределы ЕЭЗ, Великобритании и Швейцарии — по стандартным договорным условиям — заявлен

+ Google — reCAPTCHA (www.google.com, www.gstatic.com, fonts.gstatic.com) — не заявлен

+ OneTrust — платформа согласия (cdn.cookielaw.org) — не заявлен

+ Adobe Marketo — сценарий форм (120-gkj-051.mktoweb.com, не загрузился) — не заявлен

Тайминги передачи

+66,4 с cdn.cookielaw.org

Оформление OneTrust, запрошено otBannerSdk.js 202603.1.0.

+72,2 с www.google.com

recaptcha/api.js, инициатор componentDidMount из чанка приложения.

+72,2 с 120-gkj-051.mktoweb.com

Сценарий форм Adobe Marketo, ошибка разрешения имени, две попытки.

+72,6 с www.gstatic.com

recaptcha__ru.js — локализация. 16 обращений за ресурсами виджета.

+74,9 с fonts.gstatic.com

Roboto для интерфейса проверки, 10 обращений, referer google.com.

+87,2 с www.google.com

userverify и clr — завершение цикла, поведенческие сигналы.

Зафиксированные трекеры

Google reCAPTCHA (www.google.com, www.gstatic.com)
OneTrust (cdn.cookielaw.org)

Признаки несоответствия GDPR

ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a))
Баннер согласия OneTrust отрисован на +66,4 с, выбор не сделан и не сохранён: за всю запись не выставлено ни одной cookie. В этом состоянии сайт на +72,2 с загружает www.google.com/recaptcha/api.js и проходит полный цикл проверки — anchor, webworker, bframe, reload, userverify, clr. Инициатор — componentDidMount из чанка приложения: виджет монтируется вместе с компонентом страницы, а не по нажатию кнопки отправки формы.
GDPR Art. 13(1)(e) — раскрытие получателей
Google, OneTrust и Adobe Marketo получают или должны получать данные посетителя, но в заявлении о приватности (редакция февраля 2026 года) не названы. Поимённо там значатся только Stripe как независимый обработчик платежей и LinkedIn как пример платформы при активации плагина социальной сети.
GDPR Art. 5(1)(c) — минимизация
Обращения к reCAPTCHA несут параметр hl=ru, с серверов Google загружается локализованный файл recaptcha__ru.js. Помимо адреса IP, строки браузера, платформы и клиентских подсказок Google получает языковую настройку интерфейса посетителя, для защиты формы не требующуюся.

Контекст

palantir.com — корпоративный сайт Palantir Technologies Inc., американской компании, разрабатывающей платформы интеграции и анализа данных для государственных и коммерческих заказчиков. Ответственный за обработку зависит от места взаимодействия: головная компания в США, для Европейского союза — Palantir Technologies GmbH во Франкфурте-на-Майне, для Великобритании — Palantir Technologies UK, Ltd. Контакт специалиста по защите данных — privacy@palantir.com. Приложение построено на Next.js, содержимое отдаётся через Fastly и Amazon S3.

Запись сделана 14 апреля 2026 года: 140 запросов, шесть узлов, 43 обращения наружу, 87,5 секунды. Сеанс охватывал главную страницу, переход в раздел о приватности и безопасности и работу с формой обратной связи.

Обработку описывают заявление о приватности и безопасности и отдельное заявление о cookie. На дату записи действовала редакция февраля 2026 года.

Кому уходили данные напрямую

Google и OneTrust. Сценарий форм Adobe Marketo запрашивался дважды, но имя узла не разрешилось, и сценарий не выполнился.

Что произошло

Ключевая последовательность занимает шесть секунд.

На +66,4 с сценарий otBannerSdk.js версии 202603.1.0 запрашивает оформление баннера OneTrust. Это означает, что интерфейс согласия был отрисован — платформа не просто присутствовала на странице, она показывала пользователю выбор. При этом cookie сохранения выбора не появляется: за все 140 ответов записи нет ни одного заголовка Set-Cookie, ни одной cookie в запросах, и поиск по именам cookie OneTrust по всему файлу даёт ноль вхождений. Выбор не сделан.

На +72,2 с, при активном баннере и без какого-либо решения пользователя, сайт загружает www.google.com/recaptcha/api.js. Инициатор читается в записи прямо: componentDidMount из чанка приложения, referer — главная страница. Виджет монтируется вместе с компонентом, а не по нажатию кнопки отправки формы. Дальше идёт полный цикл: локализованный файл recaptcha__ru.js с серверов Google, рамка проверки anchor с параметрами hl=ru, type=image, size=normal, рабочий поток webworker, задание bframe, и три POST-обращения — reload, userverify, clr.

Что получал Google в этой последовательности: адрес IP, строку браузера, платформу Windows, разрядность и архитектуру системы, перечень версий браузера, языковую настройку интерфейса и поведенческие сигналы прохождения проверки. Языковая настройка передавалась дважды — параметром hl в адресах и выбором локализованного файла виджета. Для защиты формы от автоматических обращений эта деталь не требуется.

На +76,4 с оформление OneTrust запрашивается повторно, уже с referer раздела о приватности и безопасности: баннер поднимается заново на следующей странице, что согласуется с отсутствием сохранённого выбора.

Три обстоятельства усиливают наблюдение. Первое — раздел, на котором всё происходит: посетитель открывает страницу о приватности и безопасности, и именно там сайт отдаёт его данные Google. Второе — заявление о приватности в действовавшей редакции называет поимённо ровно два внешних имени, Stripe и LinkedIn; Google в тексте не встречается ни разу, как не встречаются OneTrust и Adobe Marketo. Третье — браузер отправлял заголовок DNT: 1, на состав передач это не повлияло.

Отдельно о шрифте. Начертания Roboto подтягивались с fonts.gstatic.com, но referer этих запросов — https://www.google.com/, а признак источника — межсайтовый. То есть шрифт запрашивал сам фрейм reCAPTCHA, а не разметка Palantir; собственные шрифты сайта, семейство Alliance, лежали на своём домене. Это не отдельное встраивание Google Fonts, а часть виджета, и учитывать её следует именно так.

Согласие: что доказано и что нет

Доказано: баннер был показан, а выбор — не сделан. Оформление OneTrust запрошено сценарием баннера дважды, с разных разделов. Cookie сохранения выбора не появилась ни одна; массивы cookie присутствуют у всех записей и все пустые, что и есть штатная запись отсутствия.

Доказано: Google получал данные в состоянии «согласия нет». Порядок обращений и инициатор читаются по записи и не зависят от того, нажимал ли кто-нибудь кнопку в баннере: даже согласие в момент показа не изменило бы того, что виджет монтируется вместе с компонентом.

Границы наблюдения

Запись начинается не с загрузки главного документа: первое обращение — за значком сайта. Поэтому поведение сайта в момент самого первого контакта — что грузится до появления баннера и в каком порядке — по этому замеру не проверяется. Выводы ограничены записанным отрезком.

Наблюдение фиксирует поведение браузера, не внутреннюю кухню сервисов. Обработка на стороне сервера, передача данных по серверным каналам и договорные отношения с получателями браузерным замером не проверяются.

Опубликованный файл очищен для публикации: вычищены тела 105 ответов (содержимое страниц и сценариев) и тела трёх запросов к reCAPTCHA. Адреса, заголовки, время и инициаторы обращений сохранены полностью. Ни один вывод не опирается на удалённое.

Заголовок политики безопасности содержимого (2584 символа) разрешает загрузку Google Analytics, диспетчера тегов, DoubleClick, Google Ads, LinkedIn, AppNexus, Heap Analytics, Adobe Marketo, OneTrust и других сервисов. Это опись возможного, а не наблюдавшегося: в записи сработали только reCAPTCHA и OneTrust.

Идентификация сервисов опирается на домены, схему адресов, заголовки и инициаторов: Google — по google.com/recaptcha, gstatic.com и fonts.gstatic.com, OneTrust — по cookielaw.org и имени сценария в цепочке инициаторов, Adobe Marketo — по mktoweb.com.

Вывод

Сайт компании, чей основной продукт — связывание разрозненных данных в единую картину, отдавал Google данные каждого посетителя раздела о приватности и безопасности: адрес IP, характеристики устройства, языковую настройку и поведенческие сигналы. Происходило это при отрисованном баннере согласия и полном отсутствии выбора пользователя, а Google как получатель не был назван ни в одном разделе заявления о приватности — поимённо там значились только обработчик платежей и социальная платформа.

Результаты повторной проверки — по ссылке вверху страницы.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: us/palantir-com-2026-04-14.har

SHA-256: 8bbf13543bab479cf3a24090c886d83f2125703bae195f0721de7063a374d7f9

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — palantir.com

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта palantir.com.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Баннер согласия OneTrust отрисован на +66,4 с, выбор не сделан и не сохранён: за всю запись не выставлено ни одной cookie. В этом состоянии сайт на +72,2 с загружает www.google.com/recaptcha/api.js и проходит полный цикл проверки — anchor, webworker, bframe, reload, userverify, clr. Инициатор — componentDidMount из чанка приложения: виджет монтируется вместе с компонентом страницы, а не по нажатию кнопки отправки формы.

2) Google, OneTrust и Adobe Marketo получают или должны получать данные посетителя, но в заявлении о приватности (редакция февраля 2026 года) не названы. Поимённо там значатся только Stripe как независимый обработчик платежей и LinkedIn как пример платформы при активации плагина социальной сети.

3) Обращения к reCAPTCHA несут параметр hl=ru, с серверов Google загружается локализованный файл recaptcha__ru.js. Помимо адреса IP, строки браузера, платформы и клиентских подсказок Google получает языковую настройку интерфейса посетителя, для защиты формы не требующуюся.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/us-palantir-com/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — palantir.com

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website palantir.com.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) Баннер согласия OneTrust отрисован на +66,4 с, выбор не сделан и не сохранён: за всю запись не выставлено ни одной cookie. В этом состоянии сайт на +72,2 с загружает www.google.com/recaptcha/api.js и проходит полный цикл проверки — anchor, webworker, bframe, reload, userverify, clr. Инициатор — componentDidMount из чанка приложения: виджет монтируется вместе с компонентом страницы, а не по нажатию кнопки отправки формы.

2) Google, OneTrust и Adobe Marketo получают или должны получать данные посетителя, но в заявлении о приватности (редакция февраля 2026 года) не названы. Поимённо там значатся только Stripe как независимый обработчик платежей и LinkedIn как пример платформы при активации плагина социальной сети.

3) Обращения к reCAPTCHA несут параметр hl=ru, с серверов Google загружается локализованный файл recaptcha__ru.js. Помимо адреса IP, строки браузера, платформы и клиентских подсказок Google получает языковую настройку интерфейса посетителя, для защиты формы не требующуюся.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/us-palantir-com/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Тема: Жалоба на обработку персональных данных — palantir.com

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом palantir.com.

2. Обстоятельства
Я посетил сайт palantir.com и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 14.04.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Баннер согласия OneTrust отрисован на +66,4 с, выбор не сделан и не сохранён: за всю запись не выставлено ни одной cookie. В этом состоянии сайт на +72,2 с загружает www.google.com/recaptcha/api.js и проходит полный цикл проверки — anchor, webworker, bframe, reload, userverify, clr. Инициатор — componentDidMount из чанка приложения: виджет монтируется вместе с компонентом страницы, а не по нажатию кнопки отправки формы.

2) Google, OneTrust и Adobe Marketo получают или должны получать данные посетителя, но в заявлении о приватности (редакция февраля 2026 года) не названы. Поимённо там значатся только Stripe как независимый обработчик платежей и LinkedIn как пример платформы при активации плагина социальной сети.

3) Обращения к reCAPTCHA несут параметр hl=ru, с серверов Google загружается локализованный файл recaptcha__ru.js. Помимо адреса IP, строки браузера, платформы и клиентских подсказок Google получает языковую настройку интерфейса посетителя, для защиты формы не требующуюся.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/us-palantir-com/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 5(1)(c) — минимизация

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — palantir.com

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website palantir.com.

2. Circumstances
I visited the website palantir.com and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 14 April 2026 (open methodology, reproducible measurements) documents the following indications:

1) Баннер согласия OneTrust отрисован на +66,4 с, выбор не сделан и не сохранён: за всю запись не выставлено ни одной cookie. В этом состоянии сайт на +72,2 с загружает www.google.com/recaptcha/api.js и проходит полный цикл проверки — anchor, webworker, bframe, reload, userverify, clr. Инициатор — componentDidMount из чанка приложения: виджет монтируется вместе с компонентом страницы, а не по нажатию кнопки отправки формы.

2) Google, OneTrust и Adobe Marketo получают или должны получать данные посетителя, но в заявлении о приватности (редакция февраля 2026 года) не названы. Поимённо там значатся только Stripe как независимый обработчик платежей и LinkedIn как пример платформы при активации плагина социальной сети.

3) Обращения к reCAPTCHA несут параметр hl=ru, с серверов Google загружается локализованный файл recaptcha__ru.js. Помимо адреса IP, строки браузера, платформы и клиентских подсказок Google получает языковую настройку интерфейса посетителя, для защиты формы не требующуюся.

Full technical documentation is published at: https://gdpru.eu/audits/us-palantir-com/

3. GDPR provisions I ask you to examine
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)); GDPR Art. 13(1)(e) — раскрытие получателей; GDPR Art. 5(1)(c) — минимизация

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]