toilaspa.ee

Тема: Жалоба на обработку персональных данных — toilaspa.ee

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом toilaspa.ee.

2. Обстоятельства
Я посетил сайт toilaspa.ee и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 08.10.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Сценарий CookieYes загружается на +0,9 с, но теги его не ждут, и запроса с решением посетителя в записи нет. На +2,4 с Google Ads AW-805168673 отправляет просмотр страницы с рекламным идентификатором, на +2,5 с пиксель Meta (226432978018098) отправляет PageView с адресом страницы, на +2,8 с Google Analytics 4 отправляет page_view с идентификатором клиента. Тот же идентификатор уходит на рекламные узлы Google stats.g.doubleclick.net и www.google.ee/ads/ga-audiences. На +2,1 с запрашивается реклама Google AdSense, затем подключается проверка рекламного трафика adtrafficquality.google. Режима согласия у тегов Google нет: параметр gcd не содержит ни одного заданного состояния, параметра gcs нет. Всё это повторяется на каждой из четырёх страниц, с одними и теми же идентификаторами.

2) В системе бронирования номеров Toila SPA (разработчик SALBOS) баннер гласит: «Kasutame küpsiseid teie sirvimiskogemuse parandamiseks ja liikluse analüüsimiseks. Klõpsates „Nõustun kõigiga“, nõustute küpsiste kasutamisega.» Кнопка одна — «Nõustun kõigiga». Отказаться нельзя ни на первом слое, ни где-либо ещё в баннере. Так же устроена русская версия: единственная кнопка «Я согласен со всеми».

3) Политика AS Toila Sanatoorium перечисляет четыре основания — согласие, договор, юридическую обязанность и законный интерес — одним списком и отдельно от этого перечисляет шесть целей, включая маркетинг, но не связывает ни одну цель ни с одним основанием. Какой именно законный интерес преследуется, не сказано.

4) Политика называет получателей категориями и по имени — только Maksekeskus AS и Montonio Finance OÜ. О cookie, веб-аналитике и рекламе в ней нет ни слова. Meta, Google Ads, Google Analytics и Google AdSense, которые в замере получают данные посетителя на каждой странице, не названы. О передаче данных за пределы ЕС политика не говорит ничего. Условия покупки при этом утверждают, что Toila SPA Hotell не раскрывает персональные данные клиента другим сторонам без его согласия.

5) Политика называет право на доступ, на информацию, на исправление и на отзыв согласия. Права на удаление, ограничение обработки, возражение и переносимость данных не упомянуты.

Полная техническая документация опубликована по адресу: https://gdpru.eu/en/audits/ee-toilaspa-ee/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy — Директива 2002/58/EC, ст. 5(3) (в связке с GDPR Art. 6(1)(a)) — пиксель Meta, Google Ads, Google Analytics и AdSense без согласия; GDPR Art. 4(11) / Art. 7(3) — в системе бронирования отказа нет; GDPR Art. 13(1)(c) — основания не связаны с целями; GDPR Art. 13(1)(e), 13(1)(f) / Art. 5(1)(a) — Meta и Google не названы, передача в США не описана; GDPR Art. 13(2)(b) — права перечислены не полностью

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Complaint regarding personal data processing — toilaspa.ee

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website toilaspa.ee.

2. Circumstances
I visited the website toilaspa.ee and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 8 October 2026 (open methodology, reproducible measurements) documents the following indications:

1) The CookieYes script loads at +0.9 s, but the tags do not wait for it, and there is no request carrying the visitor's decision in the capture. At +2.4 s Google Ads AW-805168673 sends a page view with an advertising identifier, at +2.5 s the Meta pixel (226432978018098) sends PageView with the page address, at +2.8 s Google Analytics 4 sends page_view with a client identifier. The same identifier goes to Google's advertising nodes stats.g.doubleclick.net and www.google.ee/ads/ga-audiences. At +2.1 s a Google AdSense ad is requested, followed by the adtrafficquality.google ad traffic check. Google's tags have no consent mode: the gcd parameter contains no set state, and there is no gcs parameter. All of this repeats on each of the four pages, with the same identifiers.

2) In the Toila SPA room booking system (developer SALBOS), the banner reads: 'Kasutame küpsiseid teie sirvimiskogemuse parandamiseks ja liikluse analüüsimiseks. Klõpsates „Nõustun kõigiga“, nõustute küpsiste kasutamisega.' There is one button — 'Nõustun kõigiga'. Refusing is impossible, neither on the first layer nor anywhere else in the banner. The Russian version is built the same way: a single button, 'Я согласен со всеми'.

3) The policy of AS Toila Sanatoorium lists four legal bases — consent, contract, legal obligation and legitimate interest — in a single list, and separately lists six purposes, including marketing, but links no purpose to any basis. Which legitimate interest is pursued is not stated.

4) The policy names recipients by category and, by name, only Maksekeskus AS and Montonio Finance OÜ. It says not a word about cookies, web analytics or advertising. Meta, Google Ads, Google Analytics and Google AdSense, which in the capture receive visitor data on every page, are not named. The policy says nothing about data transfers outside the EU. Meanwhile, the terms of purchase claim that Toila SPA Hotell does not disclose a customer's personal data to other parties without the customer's consent.

5) The policy names the rights of access, to information, to rectification and to withdraw consent. The rights to erasure, restriction of processing, objection and data portability are not mentioned.

Full technical documentation is published at: https://gdpru.eu/en/audits/ee-toilaspa-ee/

3. GDPR provisions I ask you to examine
ePrivacy — Directive 2002/58/EC, Art. 5(3) (in conjunction with GDPR Art. 6(1)(a)) — Meta pixel, Google Ads, Google Analytics and AdSense without consent; GDPR Art. 4(11) / Art. 7(3) — no refusal in the booking system; GDPR Art. 13(1)(c) — legal bases not linked to purposes; GDPR Art. 13(1)(e), 13(1)(f) / Art. 5(1)(a) — Meta and Google not named, transfers to the US not described; GDPR Art. 13(2)(b) — rights listed incompletely

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]

1. Kaebuse ese
Esitan kaebuse seoses minu isikuandmete töötlemisega veebisaidil toilaspa.ee.

2. Asjaolud
Külastasin veebisaiti toilaspa.ee ja tuvastasin märke sellest, et minu isikuandmete töötlemine ei vasta isikuandmete kaitse üldmääruse (IKÜM) nõuetele. Tehniline analüüs, mis on avaldatud aadressil gdpru.eu 08.10.2026 (avatud metoodika, korratavad mõõtmised), dokumenteerib järgmist:

1) CookieYesi skript laaditakse +0,9 s juures, kuid sildid seda ei oota ning külastaja otsusega päringut salvestuses ei ole. +2,4 s juures saadab Google Ads AW-805168673 lehevaatamise koos reklaamiidentifikaatoriga, +2,5 s juures saadab Meta piksel (226432978018098) sündmuse PageView koos lehe aadressiga, +2,8 s juures saadab Google Analytics 4 page_view sündmuse koos kliendiidentifikaatoriga. Sama identifikaator saadetakse Google'i reklaamisõlmedele stats.g.doubleclick.net ja www.google.ee/ads/ga-audiences. +2,1 s juures küsitakse Google AdSense'i reklaami ning seejärel lülitub sisse reklaamiliikluse kontroll adtrafficquality.google. Google'i siltidel puudub nõusolekurežiim: parameeter gcd ei sisalda ühtegi määratud olekut ja parameeter gcs puudub. Kõik see kordub kõigil neljal lehel samade identifikaatoritega.

2) Toila SPA toabroneerimissüsteemis (arendaja SALBOS) ütleb bänner: „Kasutame küpsiseid teie sirvimiskogemuse parandamiseks ja liikluse analüüsimiseks. Klõpsates „Nõustun kõigiga“, nõustute küpsiste kasutamisega.“ Nuppe on üks – „Nõustun kõigiga“. Keelduda ei saa ei esimesel kihil ega mujal bänneris. Samamoodi on üles ehitatud venekeelne versioon: ainus nupp „Я согласен со всеми“.

3) AS Toila Sanatoorium'i privaatsuspoliitika loetleb neli alust – nõusolek, leping, juriidiline kohustus ja õigustatud huvi – ühes loetelus ning eraldi kuus eesmärki, sh turundus, kuid ei seo ühtegi eesmärki ühegi alusega. Millist õigustatud huvi järgitakse, ei ole öeldud.

4) Poliitika nimetab vastuvõtjaid kategooriatena ja nimeliselt ainult Maksekeskus AS-i ja Montonio Finance OÜ-d. Küpsistest, veebianalüütikast ja reklaamist ei ole selles sõnagi. Metat, Google Adsi, Google Analyticsit ja Google AdSense'i, kes mõõtmise käigus saavad igal lehel külastaja andmeid, ei nimetata. Andmete edastamisest väljapoole ELi poliitika ei räägi. Samal ajal väidavad ostutingimused, et Toila SPA Hotell ei avalikusta kliendi isikuandmeid teistele osapooltele ilma Kliendi nõusolekuta.

5) Poliitika nimetab õigust tutvuda andmetega, saada teavet, parandada andmeid ja võtta nõusolek tagasi. Õigust andmete kustutamisele, töötlemise piiramisele, vastuväidete esitamisele ja andmete ülekandmisele ei mainita.

Täielik tehniline dokumentatsioon on avaldatud aadressil: https://gdpru.eu/en/audits/ee-toilaspa-ee/

3. Sätted, mille järgimist palun kontrollida
Eraelu puutumatust ja elektroonilist sidet käsitlev direktiiv 2002/58/EÜ art 5 lg 3 (koostoimes IKÜM art 6 lg 1 p-ga a) — Meta piksel, Google Ads, Google Analytics ja AdSense ilma nõusolekuta; IKÜM art 4 p 11 / art 7 lg 3 — broneerimissüsteemis puudub keeldumine; IKÜM art 13 lg 1 p c — alused ei ole seotud eesmärkidega; IKÜM art 13 lg 1 p e, f / art 5 lg 1 p a — Meta ja Google on nimetamata, edastamine USAsse on kirjeldamata; IKÜM art 13 lg 2 p b — õigused on loetletud mittetäielikult

4. Nõue
Palun kontrollida kirjeldatud asjaolusid ja mittevastavuse kinnitamisel kohaldada IKÜM artikli 58 lõikes 2 ette nähtud meetmeid.

5. Lisad
Täielik tõendusmaterjal — HAR-fail, kontrollsumma SHA-256 ning veebisaidi privaatsuspoliitika tsitaat, mis dokumenteerib nimetatud vastuolu — on avaldatud ja kontrollitav punktis 2 viidatud lingil.

Lugupidamisega,

[Teie nimi]
[kontakt-e-post]
[Riik]


[Kuupäev]