kv.ee

Тема: Жалоба на обработку персональных данных — kv.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом kv.ee.

2. Обстоятельства
Я посетил сайт kv.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 06.09.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) На портале установлены платформа управления согласием OneTrust и режим согласия Google, по умолчанию запрещающий хранилища. Тем не менее сторонние рекламные обращения уходят раньше, чем появляется баннер. Пиксель Adform (track.adform.net, bn=90091642, 1x1inv=1) срабатывает на +821 мс и получает ответ-gif на +960 мс; рекламный креатив Google DoubleClick (s0.2mdn.net) загружается на +866 мс. Сам скрипт CMP (cdn.cookielaw.org) подтягивается только на +1718 мс — то есть после того, как рекламные обращения уже состоялись. За весь сеанс (10 страниц, 1469 запросов) согласие не давалось: в событиях OneTrust зафиксированы лишь «Preference Center Opened From Banner» и «Preferences Close Button», выбора Accept/Reject нет, а статус согласия во всех 46 пингах аналитики остаётся gcs=G100. Обращение Adform при этом несёт незаполненные макросы gdpr=${GDPR} и gdpr_consent=${GDPR_CONSENT_50}: платформа существует, но этот рекламный маяк ею не обусловлен и уходит безусловно при разборе страницы.

2) Обязывающие условия защиты данных AllePal в разделе «Isikuandmete edastamine ja volitatud töötlejad» прямо заявляют: «Me ei edasta isikuandmeid kolmandatele isikutele» (данные третьим лицам не передаются, кроме случаев наличия законного основания) и «me ei edasta isikuandmeid Euroopa Liidust väljapoole» (за пределы ЕС данные не передаются). Формулировка подтверждена на живом сайте (kv.ee/info/151). Фактически GA4 и DoubleClick передают адрес IP и данные о просмотре в Google — получателю в США. Ни Google, ни Adform, ни OneTrust в самих условиях не названы; перечень обработчиков сведён к категориям («бухгалтерия, ИТ-решения и прочие»). Одновременно собственная декларация cookie того же оператора (страница «Küpsised») и баннер IAB TCF раскрывают обмен данными с 240–264 рекламными партнёрами и поимённо называют Google, Adform, DoubleClick, Facebook. Два документа оператора противоречат друг другу: один отрицает передачу третьим лицам и за пределы ЕС, другой описывает рекламный стек на 240 с лишним партнёров.

3) В сводной таблице условий строка «Veebilehe kasutamise võimaldamine (kuulutuste vaatamine, brausimine) — Küpsised» отнесена к основанию IKÜM artikkel 6 (1) (b) — исполнение договора. Согласие (6(1)(a)) в документе привязано лишь к рассылкам. При этом платформа согласия OneTrust трактует рекламные (Sihipärased) и статистические (Jõudlusküpsised) cookie как основанные на согласии. Помещение аналитических и рекламных cookie под «договорную необходимость» расходится и с фактической архитектурой сайта, и с собственной панелью согласия.

Полная техническая документация опубликована по адресу: https://gdpru.eu/en/audits/ee-kv-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — трекинг до согласия; GDPR Art. 5(1)(a) / Art. 13(1)(e) — прозрачность и получатели, противоречие внутри документов оператора; GDPR Art. 6(1)(b) — обоснование cookie исполнением договора

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — kv.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website kv.ee.

2. Circumstances
I visited the website kv.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 6 September 2026 (open methodology, reproducible measurements) documents the following indications:

1) The portal has the OneTrust consent management platform and Google Consent Mode installed, defaulting to denied storage. Nevertheless, third-party advertising requests go out before the banner appears. The Adform pixel (track.adform.net, bn=90091642, 1x1inv=1) fires at +821 ms and receives a gif response at +960 ms; the Google DoubleClick ad creative (s0.2mdn.net) loads at +866 ms. The CMP script itself (cdn.cookielaw.org) is not fetched until +1718 ms — that is, after the advertising requests have already taken place. Across the entire session (10 pages, 1469 requests) consent was never given: the OneTrust events record only 'Preference Center Opened From Banner' and 'Preferences Close Button', there is no Accept/Reject choice, and the consent state across all 46 analytics pings stays gcs=G100. The Adform request meanwhile carries unpopulated consent macros gdpr=${GDPR} and gdpr_consent=${GDPR_CONSENT_50}: the platform exists, but this advertising beacon is not conditioned on it and fires unconditionally as the page is parsed.

2) The binding AllePal data-protection terms, in the section 'Isikuandmete edastamine ja volitatud töötlejad', state plainly: 'Me ei edasta isikuandmeid kolmandatele isikutele' (we do not transfer personal data to third parties, except where a legal basis exists) and 'me ei edasta isikuandmeid Euroopa Liidust väljapoole' (we do not transfer data outside the European Union). The wording is confirmed on the live site (kv.ee/info/151). In fact GA4 and DoubleClick transmit the IP address and browsing data to Google — a recipient in the United States. Neither Google, nor Adform, nor OneTrust is named in the terms themselves; the list of processors is reduced to categories ('accounting, IT solutions and others'). At the same time the same operator's own cookie declaration (the 'Küpsised' page) and the IAB TCF banner disclose data-sharing with 240–264 advertising partners and name Google, Adform, DoubleClick and Facebook explicitly. The operator's two documents contradict each other: one denies transfers to third parties and outside the EU, the other describes an advertising stack of more than 240 partners.

3) In the terms' summary table, the row 'Veebilehe kasutamise võimaldamine (kuulutuste vaatamine, brausimine) — Küpsised' is assigned to the basis IKÜM artikkel 6 (1) (b) — performance of a contract. Consent (6(1)(a)) in the document is tied only to newsletters. Meanwhile the OneTrust consent platform treats advertising (Sihipärased) and statistics (Jõudlusküpsised) cookies as consent-based. Placing analytics and advertising cookies under 'contractual necessity' diverges both from the site's actual architecture and from the operator's own consent panel.

Full technical documentation is published at: https://gdpru.eu/en/audits/ee-kv-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — tracking before consent; GDPR Art. 5(1)(a) / Art. 13(1)(e) — transparency and recipients, a contradiction within the operator's own documents; GDPR Art. 6(1)(b) — basing cookies on performance of a contract

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil kv.ee.

2. Asjaolud
Külastasin veebisaiti kv.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 06.09.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) Portaalis on OneTrusti nõusoleku haldamise platvorm ja Google'i nõusoleku režiim, mis vaikimisi keelab salvestamise. Kolmandate osapoolte reklaamikaebused lahkuvad aga enne bänneri ilmumist. Adformi piksel (rada adform.net, bn=90091642, 1x1inv=1) käivitub +821 ms-s ja saab vastuse-gifi +960 ms-s; Google DoubleClicki reklaamiloov (s0. 2mdn.net) on laaditud +866 ms-s. CMP skript ise (cdn. cookielaw.org) tõmmatakse üles ainult +1718 ms - see tähendab pärast seda, kui aadress on juba toimunud. Kogu seansi jaoks (10 lehekülge, 1469 taotlust) ei antud nõusolekut: OneTrusti sündmustes registreeriti ainult «Preference Center Opened From Banner» ja «Preferences Close Button», aktsepteerimise / tagasilükkamise valikut ei ole ja nõusoleku staatus kõigis 46 analüüsi pingis jääb gcs=G100. Samal ajal kannab Adformi aadress täitmata makrosid gdpr=${GDPR} ja gdpr consent=${GDPR CONSENT 50}: platvorm on olemas, kuid see reklaamimajakas ei ole põhjustatud sellest ja kaob lehe parsimisel tingimusteta.

2) AllePal’i siduvad andmekaitsetingimused jaotises «Isikuandmete edastamine ja volitatud töötlejad» sätestavad selgesõnaliselt: «Me ei edasta isikuandmeid kolmandatele isikutele» (andmeid ei edastata kolmandatele isikutele, kui selleks puudub õiguslik alus) ja «me ei edasta isikuandmeid Euroopa Liidust väljapoole» (andmeid ei edastata väljapoole ELi). Sõnastus on kinnitatud otse veebisaidil (kv.ee/info/151). Tegelikult edastavad GA4 ja DoubleClick IP-aadressi ja sirvivad andmeid USA-s asuvale vastuvõtjale. Google'it, Adformi ega OneTrusti ei nimetata terminites ise; protsessorite loend on vähendatud kategooriatesse („raamatupidamine, IT-lahendused jne). Samal ajal avalikustavad operaatori enda küpsisedeklaratsioon («Küpsised» lehekülg) ja IAB TCF bänner andmevahetuse 240-264 reklaamipartneriga ning nende nimed on Google, Adform, DoubleClick, Facebook. Kaks dokumenti on omavahel vastuolus: üks eitab üleandmist kolmandatele isikutele ja väljaspool ELi, teine kirjeldab enam kui 240 partneri reklaami.

3) Tingimuste koondtabelis viidatakse reale "Veebilehe kasutamise soodustamine (kuulutuste vaatamine, brausimine) - Küpsised" IKÜMi artikli 6 lõike 1 punkti b alusel - lepingu täitmine. Dokumendis olev nõusolek (6(1)(a)) on seotud ainult uudiskirjadega. Nõusolekuplatvorm OneTrust käsitleb reklaami (Sihimoodid) ja statistilisi (Jõudlusküpsised) küpsiseid nõusolekupõhistena. Analüütiliste ja reklaamiküpsiste paigutamine "lepingulise vajaduse" alla erineb nii saidi tegelikust arhitektuurist kui ka selle enda nõusoleku paneelist.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/en/audits/ee-kv-ee/

3. Sätted, mille järgimist palun kontrollida
e-privaatsus – direktiiv 2002/58/EÜ, artikli 5 lõige 3 (koosmõjus GDPRi artikli 6 lõike 1 punktiga a) – jälgimine enne nõusoleku saamist; GDPR artikli 5 lõike 1 punkt a/artikli 13 lõike 1 punkt e – läbipaistvus ja saajad, vastuolud operaatori dokumentides; GDPR artikli 6 lõike 1 punkt b – küpsiste põhjendamine lepingu täitmisega

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]