Технический аудит · 2026-06-23

thuisbezorgd.nl

Сайт сервиса доставки еды Thuisbezorgd (Just Eat Takeaway)

Thuisbezorgd.nl — нидерландский сайт сервиса доставки еды (часть группы Just Eat Takeaway). Замер главной страницы: 70 обращений, 9 доменов. Стек почти целиком первичный: сторонних рекламных и аналитических трекеров не обнаружено — ни Google Analytics, ни пикселей соцсетей, ни рекламы, ни программатик-бирж. Google Tag Manager и первичный контейнер измерения Google Tag Gateway загружают библиотеки, но стороннего бикона не шлют. Это в пользу сайта. Но в чистом сеансе без согласия отрабатывает первичная поведенческая телеметрия: на собственный коллектор событий JET (realtime-events) уходят POST-события (на 3576 мс и 19067 мс), при том что на сайте есть собственный баннер согласия. Виджет отзывов Usabilla и live-chat поддержки при этом функциональны.

Хронология утечки

792 мс · первичный контейнер измерения

С собственного пути /gtgmeasurement/ загружается библиотека Google Tag Gateway (первичное измерение). Важно: стороннего измерительного бикона в этом сеансе она не отправляет.

2056 мс · защита от ботов

Отрабатывает защита от ботов Cloudflare (challenge-platform). Это мера безопасности, не трекинг.

2230 мс · сборщик тегов

Загружается Google Tag Manager. В этом сеансе он не разворачивает ни аналитики Google, ни рекламы, ни пикселей — контейнер загружен, сторонние теги не развёрнуты.

3576 мс · первичная телеметрия событий

На собственный коллектор событий JET (realtime-events) уходит POST с событиями. Это первичный сбор поведения, до согласия. Повторное обращение — на 19067 мс.

4562 мс · виджет отзывов

Загружаются скрипты виджета отзывов Usabilla. В этом сеансе виджет лишь подгружается; собственного бикона сбора не отправляет.

6540 мс · чат поддержки

Подключается виджет live-chat поддержки (Infinity/Infracom): загрузка конфигурации и установка websocket-соединения. Это функциональный сервис поддержки.

баннер согласия есть, сторонних трекеров нет, но первичная телеметрия отработала раньше

На сайте есть собственный баннер согласия. Сторонних рекламных и аналитических трекеров в замере нет, а GTM и Google Tag Gateway стороннего бикона не отправили — это сильные стороны. Но первичная поведенческая телеметрия JET к этому моменту уже отработала — до любого выбора пользователя.

Декларация против факта

✓ Аналитика и улучшение продукта (заявлены в политике) — заявлен

✓ Маркетинг и персонализация — за согласием (политика) — заявлен

+ Usabilla (виджет отзывов, в политике не назван) — не заявлен

Зафиксированные трекеры

Первичная télеметрия JET realtime-events (события до согласия)
Google Tag Manager и Google Tag Gateway (контейнеры загружены, сторонний бикон не отправлен)
Usabilla (виджет отзывов, скрипт загружен)
Live-chat Infinity/Infracom (функциональная поддержка)
Сторонних рекламных и аналитических трекеров не обнаружено

Зафиксированные нарушения

Art. 6(1)(a) GDPR — первичная поведенческая телеметрия работает до согласия

Сайт построен почти целиком на собственной инфраструктуре (Next.js, домены jet-external группы Just Eat Takeaway), и сторонний коммерческий слой здесь практически отсутствует: ни Google Analytics, ни пикселей соцсетей, ни рекламных сетей, ни программатик-бирж в замере нет. Google Tag Manager и первичный контейнер измерения Google Tag Gateway (/gtgmeasurement/) загружают свои библиотеки, но стороннего измерительного бикона в этом сеансе не отправляют. Это в пользу сайта. Однако в чистом сеансе без согласия отрабатывает первичная поведенческая телеметрия: на собственный коллектор событий JET (gateway-2.production.jet-external.com, realtime-events) уходят POST-обращения с событиями (на 3576 мс и 19067 мс). Это сбор поведения для аналитики и улучшения продукта — нетехническая цель, требующая согласия по Art. 6(1)(a) GDPR, и она происходит раньше выбора пользователя. На сайте при этом есть собственный баннер согласия. Точное содержание событий по очищенному HAR оценить нельзя — полезный груз удалён, — поэтому фиксируется само поведение: первичные событийные обращения до согласия. Сторонний коммерческий слой удержан правильно; этого же следует добиться и для собственной телеметрии.

Контекст

www.thuisbezorgd.nl — нидерландский сайт сервиса доставки еды Thuisbezorgd, входящего в международную группу Just Eat Takeaway. Контролёр данных — Takeaway.com Group B.V. (JET). Сайт коммерческий: поиск ресторанов, оформление и отслеживание заказов, личный кабинет.

Замер: 70 обращений к 9 доменам, главная страница, снят на чистом браузере без VPN и блокировщика. Принципиальная особенность — стек почти целиком первичный: основная масса обращений идёт на собственные домены сайта и инфраструктуру группы (jet-external). На сайте есть собственный баннер согласия.

Кто получает данные

Сторонних коммерческих получателей данных до согласия в этом сеансе нет.

Данные в основном остаются внутри собственной инфраструктуры: первичная телеметрия событий уходит на собственный коллектор JET (realtime-events на gateway-2.production.jet-external.com). Google Tag Manager и первичный контейнер измерения Google Tag Gateway (/gtgmeasurement/) загружают библиотеки, но стороннего измерительного бикона не отправляют. Сторонней аналитики Google, пикселей соцсетей, рекламных сетей и программатик-бирж в замере нет совсем. Из функционального — виджет отзывов Usabilla (только загрузка скрипта), live-chat поддержки (Infinity/Infracom, websocket-соединение) и защита от ботов Cloudflare.

Был ли баннер согласия

Да, на сайте есть собственный баннер согласия (компонент cookie-banner в составе приложения). Сторонний коммерческий слой удержан: рекламных и аналитических трекеров в замере нет, а GTM и Google Tag Gateway стороннего бикона не отправили.

Узловой момент в том, что первичная поведенческая телеметрия отработала раньше: события на коллектор JET (realtime-events) ушли на 3576 мс и 19067 мс — до согласия.

Что срабатывает до согласия

До выбора пользователя отрабатывает:

первичная телеметрия событий JET (realtime-events) — POST-события с 3576 мс;
сборщик тегов GTM и первичный контейнер измерения Google Tag Gateway — загружаются, но стороннего бикона не шлют;
виджет отзывов Usabilla — загрузка скрипта (4562 мс);
защита от ботов Cloudflare (2056 мс) — техническая;
live-chat поддержки Infinity/Infracom (6540 мс) — функциональный.

Защита от ботов и чат поддержки претензий не вызывают — это охранная и функциональная цели. Сборщик тегов и контейнер измерения без согласия ничего стороннего не развернули — это в пользу сайта. Претензия — к первичной поведенческой телеметрии: это сбор поведения, и он отрабатывает до согласия.

Почему «первая сторона» — не индульгенция

Это важно для понимания. То, что Thuisbezorgd почти не привлекает сторонних трекеров и держит измерение на собственной инфраструктуре, действительно лучше, чем россыпь чужих рекламных средств. Но юридически вопрос не в том, кому уходят данные, а на каком основании они собираются. Первичная поведенческая телеметрия для аналитики и улучшения продукта — цель, требующая согласия, и собственная политика JET относит аналитику к обработке персональных данных. Запуск этого сбора до согласия — узкая, но реальная нестыковка с тем, что сайт сам предлагает механизм согласия. Содержание событий по очищенному HAR не оценивается — полезный груз удалён, — поэтому фиксируется само поведение: первичные событийные обращения до согласия.

Вывод

Thuisbezorgd.nl — почти образцовый по сдержанности случай: сторонних рекламных и аналитических трекеров нет совсем, GTM и Google Tag Gateway не разворачивают стороннего измерения, чат и виджет отзывов функциональны. Это выгодно отличает сайт. Единственная нестыковка — первичная поведенческая телеметрия JET (realtime-events), которая отправляет события до согласия, при том что на сайте есть собственный баннер. Главное, что должен вынести читатель: отсутствие сторонних получателей не отменяет требования согласия — собственную аналитическую телеметрию следует перевести в режим ожидания согласия так же, как удержан сторонний слой. Достаточно отложить эти событийные обращения до выбора пользователя.

Доказательство

Оригинал (разбор)

HAR-файл: nl/thuisbezorgd-nl-2026-06-23.har

SHA-256: 48bac52c863c0bdec458aacc7d4a0037d0cad1d56241845a107332c98e249671

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Готовое письмо для подачи жалобы

Куда подавать: AP — Голландский орган по защите данных — autoriteitpersoonsgegevens.nl

Кому: AP — Голландский орган по защите данных
От: [Ваше имя], [контактный email]

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом thuisbezorgd.nl.

2. Обстоятельства
Я посетил сайт thuisbezorgd.nl и обнаружил, что мои персональные данные обрабатывались с нарушением требований GDPR. Технический разбор, опубликованный на gdpru.eu 23.06.2026 (открытая методология, воспроизводимые измерения), документирует следующее:

1) Сайт построен почти целиком на собственной инфраструктуре (Next.js, домены jet-external группы Just Eat Takeaway), и сторонний коммерческий слой здесь практически отсутствует: ни Google Analytics, ни пикселей соцсетей, ни рекламных сетей, ни программатик-бирж в замере нет. Google Tag Manager и первичный контейнер измерения Google Tag Gateway (/gtgmeasurement/) загружают свои библиотеки, но стороннего измерительного бикона в этом сеансе не отправляют. Это в пользу сайта. Однако в чистом сеансе без согласия отрабатывает первичная поведенческая телеметрия: на собственный коллектор событий JET (gateway-2.production.jet-external.com, realtime-events) уходят POST-обращения с событиями (на 3576 мс и 19067 мс). Это сбор поведения для аналитики и улучшения продукта — нетехническая цель, требующая согласия по Art. 6(1)(a) GDPR, и она происходит раньше выбора пользователя. На сайте при этом есть собственный баннер согласия. Точное содержание событий по очищенному HAR оценить нельзя — полезный груз удалён, — поэтому фиксируется само поведение: первичные событийные обращения до согласия. Сторонний коммерческий слой удержан правильно; этого же следует добиться и для собственной телеметрии.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/thuisbezorgd-nl/

3. Нарушенные положения
Art. 6(1)(a) GDPR — первичная поведенческая телеметрия работает до согласия

4. Требование
Прошу провести проверку указанных нарушений и принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256
и цитата из политики конфиденциальности сайта, документирующая
указанное противоречие — опубликована и проверяема по ссылке
в пункте 2 выше.

[Дата] [Подпись/имя]