bricofer.it

Контекст

www.bricofer.it — сайт итальянской сети магазинов товаров для дома, сада и стройматериалов Bricofer Group. Платформа — Magento. Политика сгенерирована типовым конструктором, с аккуратным списком сервисов по категориям. В замере 384 обращения к 22 доменам. Ответственным за обработку данных политика верно указывает саму компанию. Замер, как и вся серия, снят на чистом браузере Edge без VPN и блокировщика.

Это коммерческий сайт с насыщенным рекламным стеком, и здесь, в отличие от банка из той же серии, согласие не работает совсем.

Был ли баннер согласия

Баннер есть — это система Iubenda, её заглушка загружается на +2444 мс. Но он чисто декоративный. Рекламные трекеры грузятся и отправляют данные одной волной вместе с ним и сразу после, никак от него не завися. Решение по согласию вообще фиксируется только на +24603 мс — почти через двадцать четыре секунды, когда весь основной сбор данных давно состоялся. То есть единственную свою задачу — задержать трекеры до выбора пользователя — баннер не выполняет.

Реклама работает с первых секунд

Здесь нет ни режима отказа, ни ожидания согласия — просто реальные события трекинга с первых секунд. Facebook отправляет событие просмотра, TikTok шлёт свои реальные вызовы, работают сразу две версии Google Analytics. И всё это — задолго до того, как пользователю дали хоть что-то выбрать. Поток событий Facebook и TikTok тянется до двадцать четвёртой секунды, и лишь в самом её конце фиксируется согласие. По сути сбор данных и согласие здесь существуют независимо друг от друга.

Facebook получил хешированный идентификатор посетителя

Самое существенное. Уже на +2293 мс в запросе к Facebook уходит хешированный идентификатор посетителя — техника, которую Meta называет Advanced Matching и которая служит для сопоставления посетителя сайта с его профилем в Facebook и Instagram. На торговом сайте, где у посетителя нередко есть аккаунт, это привязанный к конкретному человеку ключ, отправленный в рекламную систему Meta ещё до какого-либо согласия. Facebook в политике не упомянут вовсе.

Два самых заметных трекера — мимо политики

Показательно, что именно не попало в декларацию. Политика добросовестно перечисляет восемь сервисов, включая аналитику Google и даже инструмент записи сессий. Но два самых активных рекламных трекера — Meta и TikTok, — которые как раз и шлют идентификаторы в рекламные сети, в ней не названы ни словом. Туда же не попали сервис маркетинговой автоматизации, чат и виджет отзывов. То есть пробел в декларации приходится ровно на тех получателей, которые собирают о посетителе больше всего.

Google Analytics — половина уже мёртвая

Небольшая деталь для полноты. Из двух установленных счётчиков Google один — устаревшая версия Universal Analytics, которую Google отключил ещё в середине 2023 года: его запрос по-прежнему уходит и уносит IP, но данные уже не обрабатываются. Второй, GA4, рабочий. Лишнее свидетельство, что стек собирали слоями и давно не пересматривали.

Чего по замеру утверждать нельзя

Несколько честных оговорок. Хеш, отправленный в Facebook, необратим — по нему я не восстанавливаю исходный адрес и не утверждаю, чей именно это идентификатор; я фиксирую сам факт передачи привязанного к посетителю значения. Нажатия кнопки «принять» в замере не видно, так что момент на +24603 мс — это фиксация решения, а не обязательно сознательный клик живого человека; но для сбора данных это уже неважно, он состоялся раньше в любом случае. Инструмент записи сессий заявлен в политике, но в этом замере не сработал. Содержимое cookie в облегчённой выгрузке напрямую не видно; вывод о трекерах сделан по самим запросам и их параметрам.

Вывод

Это один из самых явных коммерческих случаев серии по части слежки до согласия. Рекламный стек — Facebook с хешированным идентификатором, TikTok, две версии Google Analytics — отправляет реальные события с идентификаторами с первых же секунд, за двадцать с лишним секунд до момента согласия, без всякого режима отказа. Баннер согласия при этом присутствует, но не задерживает ничего. А два самых активных трекера, Meta и TikTok, в политике даже не названы. Главное, что должен вынести читатель: здесь нет ни технического разделения «до и после согласия», ни честной декларации — данные посетителя, включая привязанный к нему ключ для Meta, уходят в рекламные сети сразу, а спрашивают будто бы потом и будто бы про другое.