HORECA
Рестораны и отели: меню по QR-коду грузит больше третьих сторон, чем сам сайт
В HoReCa данные собираются через брони, гостевой wifi и формы обратной связи, уходящие прямо на личную почту. У большинства сайтов нет даже политики конфиденциальности.
Что мы видим в HoReCa
Бронь через форму, без всего остального
Имя, телефон, дата и число гостей. Это полноценная обработка с договорным основанием, которой нужно информирование — не сложное, но какое-то.
Меню по QR-коду, размещённое у третьей стороны
Сканирование кода открывает домен, который вам не принадлежит, со своими cookie и своими пикселями. Гость думает, что это сайт ресторана. Юридически — вы направили клиента туда.
Брони, которые идут через Instagram
Кнопка «напишите нам в Instagram» сама по себе не проблема. Проблема начинается, когда это единственный путь, а сайт нигде не говорит, кто обрабатывает данные и с какой целью.
Сайт, сделанный четыре года назад агентством, которое больше не отвечает
Шрифты Google, загружаемые с Google, забытый пиксель старой кампании, политика, скопированная с румынского сайта. Всё это видно с первого сканирования.
Что сканирование обычно находит в HoReCa
Реальные идентификаторы из движка сканирования. Агрегированные цифры по рынку Молдовы — в Барометре.
Политики конфиденциальности нет
policy.missingСамая частая базовая находка. Без неё ничто из остального информирования выполнено быть не может.
Оператор идентифицирован лишь частично
operator.partialКоммерческое название без юридического наименования и IDNO не говорит, кто отвечает.
На сайте вообще нет форм
forms.noneЭто не ошибка: это сигнал, что обработка переехала в другое место — в Instagram, в телефон, в тетрадь.
Шрифты загружаются напрямую с Google
jurisdiction.google_fontsБраузер посетителя связывается с третьей стороной и передаёт ей IP-адрес — только чтобы показать шрифт.
Идентификаторы слежения в хранилище браузера
cookies.storage_trackingСлежение без cookie, которое поэтому проходит мимо баннеров.
Сайт не принуждает к защищённому соединению
transport.https_forcedБронь, отправленная по http, может быть прочитана по пути.
Барометр — агрегированные цифры по реально просканированным сайтам, пересчитываемые ежедневно. Мы не вписываем проценты в текст: мы их считаем.
Чем это грозит конкретно
- Отсутствие информирования затрагивает принципы и права субъекта данных — ст. 5–7 и ст. 12–22, — то есть уровень ст. 88 ч. (2): до 2 000 000 леев или 2% общего оборота за год, предшествующий санкции, — применяется большая величина.
- Для малого бизнеса значима фиксированная сумма, а ст. 90 ч. (4) снижает её до 10% в первый год применения, 40% во второй и 100% с третьего.
- Практическую разницу между предупреждением и штрафом определяют критерии ст. 87 — в том числе исправили ли вы что-то по собственной инициативе.
Чего сканирование не видит
- Платформу бронирования изнутри и систему гостевого wifi.
- Сторонний домен QR-меню, если вы не укажете его явно. Сканируйте его отдельно: это другой сайт с собственными находками.
- Что происходит с телефонными номерами после брони — группа в WhatsApp, тетрадь, список SMS-рассылки.