Comprobación RGPD para Shopify

Las tiendas Shopify integran el rastreo a menudo mediante apps, los canales de venta (Google, Meta) y el área «Customer Events» — gran parte requiere consentimiento.

Con la Customer Privacy API, Shopify ha creado su propia interfaz a través de la cual se gestiona el estado de consentimiento en la tienda. Para que funcione, una herramienta de consentimiento de la Shopify App Store o una implementación propia tiene que fijar ese estado — y las apps de seguimiento utilizadas tienen que consultarlo. Si la cadena se rompe en un punto, los píxeles cargan a pesar del rechazo.

El área «Customer Events» (antes «Scripts adicionales» en el checkout) es una fuente frecuente: los fragmentos de píxel guardados aquí suelen ejecutarse con independencia de la herramienta de consentimiento. Desde el cambio a Checkout Extensibility, los píxeles nativos respetan mejor el estado de consentimiento, pero los píxeles personalizados insertados por uno mismo tienen que conectarse expresamente a la Privacy API.

Los canales de venta Google y Meta traen sus propias etiquetas. Para el canal de Google debería estar activo Consent Mode, y para el canal de Meta el modo de tratamiento de datos limitado — pero ninguno sustituye al consentimiento, solo limitan lo que ocurre sin él. En la política de privacidad deben nombrarse todos los canales y apps activos y la transferencia a EE. UU.

No pasar por alto: Shopify trata por sí mismo. El panel de analítica propio de la tienda, los pagos acelerados (Shop Pay, Apple Pay, Google Pay), la detección de fraude y el widget de chat Shopify Inbox funcionan con independencia de las apps de marketing. Shop Pay reconoce a los clientes recurrentes mediante una cuenta de Shopify — eso es más que una operación técnicamente necesaria y debería tenerse en cuenta en el análisis del consentimiento y la protección de datos.

Para la política de privacidad de una tienda Shopify, «completa» significa: Shopify Inc. como encargado del tratamiento de la plataforma (con un contrato de encargo), los proveedores de pago (Shopify Payments/Stripe, PayPal, Klarna …), el proveedor de envío/logística, cada integración de canal de venta activa (Google, Meta, TikTok, Pinterest), cada app de seguimiento o marketing de la App Store, así como las herramientas de correo/reseñas (Klaviyo, Judge.me …). Un generador solo aporta el armazón — la lista de apps y canales tiene que contrastarse desde el propio área de administración de Shopify.

¿Es un riesgo?

Los píxeles de marketing y análisis solo pueden cargarse tras el consentimiento según § 25 apdo. 1 TDDDG. La Customer Privacy API de Shopify y una herramienta de consentimiento adecuada deben estar conectadas para que los píxeles respeten el estado de consentimiento. Los flujos de datos van a menudo a EE. UU.

Qué puedes hacer

• Usar una herramienta de consentimiento conectada a la Shopify Customer Privacy API.
• Comprobar todas las apps de rastreo: ¿se cargan antes del consentimiento?
• Operar los canales de Google y Meta con el modo de consentimiento o un modo de datos restringido.
• En la política de privacidad, nombrar todas las apps, canales y la transferencia a EE. UU.

Preguntas frecuentes

¿Qué debe incluir la política de privacidad de una tienda Shopify?

Como mínimo: Shopify Inc. como encargado del tratamiento, el proveedor de pago utilizado, el proveedor de envío, cada integración de canal de venta activa (Google, Meta …), cada app de seguimiento/marketing y las herramientas de correo/reseñas. Para cada servicio deben figurar la finalidad, la base jurídica, el país destinatario y el plazo de conservación. La lista tiene que contrastarse desde la propia área de administración — un texto de plantilla por sí solo no basta.

¿Basta el banner de cookies estándar de Shopify?

Desde 2023 Shopify ofrece su propio banner de consentimiento conectado a la Customer Privacy API. Para el mercado alemán debería comprobarse si ofrece una opción real de rechazo en el primer nivel y si todas las apps de seguimiento evalúan también el estado.

¿Las apps de Shopify cargan rastreadores antes del consentimiento?

Depende de la app. Las apps que usan correctamente la Customer Privacy API esperan al consentimiento. Las apps antiguas o mal mantenidas escriben su código directamente en el tema e ignoran el estado de consentimiento — comprobar esas apps en la pestaña de red.

¿Qué pasa con el checkout?

En el checkout solo pueden ejecutarse sin consentimiento los scripts técnicamente necesarios. Los píxeles de marketing en el checkout necesitan el mismo consentimiento que en la tienda; con Checkout Extensibility se controlan mediante píxeles personalizados y la Privacy API.

¿Los datos de Shopify van a EE. UU.?

Sí. Shopify Inc. tiene su sede en Canadá (decisión de adecuación existente), pero muchos servicios conectados — Google, Meta, en parte la infraestructura de Shopify — tratan en EE. UU. La transferencia debe figurar en la política de privacidad.

Cómo ayuda consentglass

El análisis gratuito comprueba el HTML entregado y muestra qué servicios están integrados, si se detecta un banner de cookies y si hay enlaces a la privacidad y al aviso legal — con contexto para cada hallazgo. No sustituye el asesoramiento jurídico.