Controllo GDPR per Shopify

I negozi Shopify integrano il tracciamento spesso tramite app, i canali di vendita (Google, Meta) e l'area «Customer Events» — gran parte richiede il consenso.

Con la Customer Privacy API, Shopify ha creato una propria interfaccia tramite cui viene gestito lo stato del consenso nello shop. Perché funzioni, uno strumento di consenso dallo Shopify App Store o un'implementazione propria deve impostare questo stato — e le app di tracciamento in uso devono interrogarlo. Se la catena si interrompe in un punto, i pixel si caricano nonostante il rifiuto.

L'area «Customer Events» (in passato «Script aggiuntivi» nel checkout) è una fonte frequente: gli snippet di pixel qui inseriti spesso funzionano indipendentemente dallo strumento di consenso. Dal passaggio a Checkout Extensibility, i pixel nativi rispettano meglio lo stato del consenso, ma i custom pixel inseriti da sé devono essere collegati esplicitamente alla Privacy API.

I canali di vendita Google e Meta portano i propri tag. Per il canale Google dovrebbe essere attivo Consent Mode, per il canale Meta la modalità di trattamento dei dati limitata — ma nessuno dei due sostituisce il consenso, limitano solo ciò che accade senza di esso. Nell'informativa vanno indicati tutti i canali e le app attivi e il trasferimento negli USA.

Da non trascurare: Shopify tratta esso stesso. La dashboard di analisi propria dello shop, i pagamenti accelerati (Shop Pay, Apple Pay, Google Pay), il rilevamento delle frodi e il widget di chat Shopify Inbox funzionano indipendentemente dalle app di marketing. Shop Pay riconosce i clienti ricorrenti tramite un account Shopify — questo è più di un'operazione tecnicamente necessaria e andrebbe considerato nell'analisi del consenso e della protezione dei dati.

Per l'informativa di uno shop Shopify, «completa» significa: Shopify Inc. come responsabile del trattamento della piattaforma (con un accordo sul trattamento), i fornitori di pagamento (Shopify Payments/Stripe, PayPal, Klarna …), il fornitore di spedizione/logistica, ogni integrazione di canale di vendita attiva (Google, Meta, TikTok, Pinterest), ogni app di tracciamento o marketing dell'App Store, nonché gli strumenti di e-mail/recensioni (Klaviyo, Judge.me …). Un generatore fornisce solo l'ossatura — l'elenco di app e canali va confrontato dal proprio pannello di amministrazione Shopify.

È un rischio?

I pixel di marketing e analisi possono caricarsi solo dopo il consenso ai sensi del § 25 c. 1 TDDDG. La Customer Privacy API di Shopify e uno strumento di consenso adeguato devono essere collegati affinché i pixel rispettino lo stato di consenso. I flussi di dati vanno spesso negli USA.

Cosa puoi fare

• Usare uno strumento di consenso collegato alla Shopify Customer Privacy API.
• Verificare tutte le app di tracciamento: si caricano prima del consenso?
• Gestire i canali Google e Meta con la Consent Mode o una modalità dati ristretta.
• Nell'informativa privacy nominare tutte le app, i canali e il trasferimento negli USA.

Domande frequenti

Cosa deve contenere l'informativa privacy di uno shop Shopify?

Come minimo: Shopify Inc. come responsabile del trattamento, il fornitore di pagamento utilizzato, il fornitore di spedizione, ogni integrazione di canale di vendita attiva (Google, Meta …), ogni app di tracciamento/marketing e gli strumenti di e-mail/recensioni. Per ogni servizio vanno indicati finalità, base giuridica, paese destinatario e periodo di conservazione. L'elenco va confrontato dal proprio pannello di amministrazione — un testo modello da solo non basta.

Basta il banner cookie standard di Shopify?

Dal 2023 Shopify fornisce un proprio banner di consenso collegato alla Customer Privacy API. Per il mercato tedesco andrebbe verificato se offre una vera opzione di rifiuto al primo livello e se tutte le app di tracciamento valutano anche lo stato.

Le app Shopify caricano tracker prima del consenso?

Dipende dall'app. Le app che usano correttamente la Customer Privacy API attendono il consenso. Le app vecchie o mal gestite scrivono il loro codice direttamente nel tema e ignorano lo stato del consenso — verificare tali app nella scheda di rete.

E per il checkout?

Nel checkout possono funzionare senza consenso solo gli script tecnicamente necessari. I pixel di marketing nel checkout necessitano dello stesso consenso che nello shop; con Checkout Extensibility vengono controllati tramite custom pixel e la Privacy API.

I dati di Shopify vanno negli USA?

Sì. Shopify Inc. ha sede in Canada (decisione di adeguatezza esistente), ma molti servizi collegati — Google, Meta, in parte l'infrastruttura Shopify — trattano negli USA. Il trasferimento va indicato nell'informativa.

Come aiuta consentglass

La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.