Kontrola RODO dla Shopify

Sklepy Shopify osadzają śledzenie często przez aplikacje, kanały sprzedaży (Google, Meta) i obszar „Customer Events” — wiele z tego wymaga zgody.

Za pomocą Customer Privacy API Shopify stworzył własny interfejs, przez który zarządzany jest status zgody w sklepie. Aby działał, narzędzie zgody ze Shopify App Store lub własna implementacja musi ustawiać ten status — a używane aplikacje śledzące muszą go odpytywać. Jeśli łańcuch jest w jednym miejscu przerwany, piksele ładują się mimo odrzucenia.

Obszar „Customer Events” (dawniej „Dodatkowe skrypty” w kasie) to częste źródło: umieszczone tu fragmenty pikseli często działają niezależnie od narzędzia zgody. Od przejścia na Checkout Extensibility natywne piksele lepiej respektują status zgody, ale samodzielnie wstawione custom pixels muszą być wyraźnie podłączone do Privacy API.

Kanały sprzedaży Google i Meta przynoszą własne tagi. Dla kanału Google powinien być aktywny Consent Mode, dla kanału Meta ograniczony tryb przetwarzania danych — ale żaden z nich nie zastępuje zgody, jedynie ograniczają, co dzieje się bez niej. W polityce prywatności należy wymienić wszystkie aktywne kanały, aplikacje i przekazanie do USA.

Nie przeoczyć: Shopify przetwarza sam. Własny panel analityczny sklepu, przyspieszone płatności (Shop Pay, Apple Pay, Google Pay), wykrywanie oszustw i widżet czatu Shopify Inbox działają niezależnie od aplikacji marketingowych. Shop Pay rozpoznaje powracających klientów przez konto Shopify — to więcej niż czynność technicznie niezbędna i powinno być uwzględnione w analizie zgody i ochrony danych.

Dla polityki prywatności sklepu Shopify „kompletna” oznacza: Shopify Inc. jako podmiot przetwarzający platformy (z umową powierzenia), dostawcy płatności (Shopify Payments/Stripe, PayPal, Klarna …), dostawca wysyłki/fulfilmentu, każda aktywna integracja kanału sprzedaży (Google, Meta, TikTok, Pinterest), każda aplikacja śledząca lub marketingowa z App Store, a także narzędzia e-mail/recenzji (Klaviyo, Judge.me …). Generator dostarcza tylko szkielet — listę aplikacji i kanałów trzeba zweryfikować z własnego panelu administracyjnego Shopify.

Czy to ryzyko?

Piksele marketingowe i analityczne mogą ładować się dopiero po zgodzie zgodnie z § 25 ust. 1 TDDDG. Customer Privacy API Shopify i odpowiednie narzędzie zgody muszą być połączone tak, aby piksele respektowały status zgody. Przepływy danych często trafiają do USA.

Co możesz zrobić

• Użyj narzędzia zgody połączonego z Shopify Customer Privacy API.
• Sprawdź wszystkie aplikacje śledzące: czy ładują się przed zgodą?
• Prowadź kanały Google i Meta z Consent Mode lub ograniczonym trybem danych.
• W polityce prywatności wskaż wszystkie aplikacje, kanały i transfer do USA.

Częste pytania

Co musi się znaleźć w polityce prywatności sklepu Shopify?

Co najmniej: Shopify Inc. jako podmiot przetwarzający, używany dostawca płatności, dostawca wysyłki, każda aktywna integracja kanału sprzedaży (Google, Meta …), każda aplikacja śledząca/marketingowa oraz narzędzia e-mail/recenzji. Dla każdej usługi należy podać cel, podstawę prawną, kraj odbiorcy i okres przechowywania. Listę trzeba zweryfikować z własnego panelu administracyjnego — sam tekst szablonu nie wystarczy.

Czy standardowy baner cookie Shopify wystarcza?

Od 2023 r. Shopify udostępnia własny baner zgody podłączony do Customer Privacy API. Dla rynku niemieckiego należy sprawdzić, czy oferuje prawdziwą opcję odrzucenia na pierwszym poziomie i czy wszystkie aplikacje śledzące również odczytują status.

Czy aplikacje Shopify ładują trackery przed zgodą?

To zależy od aplikacji. Aplikacje, które poprawnie używają Customer Privacy API, czekają na zgodę. Starsze lub źle utrzymywane aplikacje wpisują swój kod bezpośrednio do motywu i ignorują status zgody — takie aplikacje sprawdzić w karcie sieci.

A co z kasą?

W kasie bez zgody mogą działać tylko skrypty technicznie niezbędne. Piksele marketingowe w kasie wymagają tej samej zgody co w sklepie; przy Checkout Extensibility są sterowane przez custom pixels i Privacy API.

Czy dane Shopify trafiają do USA?

Tak. Shopify Inc. ma siedzibę w Kanadzie (istnieje decyzja o adekwatności), ale wiele podłączonych usług — Google, Meta, częściowo infrastruktura Shopify — przetwarza w USA. Przekazanie należy do polityki prywatności.

Jak pomaga consentglass

Bezpłatny skan sprawdza dostarczony HTML i pokazuje, jakie usługi są osadzone, czy wykryto baner cookie oraz czy są linki do prywatności i noty prawnej — z omówieniem dla każdego ustalenia. Nie zastępuje porady prawnej.