Verificação RGPD para Shopify

As lojas Shopify incorporam o rastreio muitas vezes via apps, os canais de venda (Google, Meta) e a área «Customer Events» — grande parte exige consentimento.

Com a Customer Privacy API, a Shopify criou uma interface própria através da qual o estado de consentimento na loja é gerido. Para que funcione, uma ferramenta de consentimento da Shopify App Store ou uma implementação própria tem de definir esse estado — e as apps de rastreio utilizadas têm de o consultar. Se a cadeia estiver interrompida num ponto, os píxeis carregam apesar da recusa.

A área «Customer Events» (antes «Scripts adicionais» no checkout) é uma fonte frequente: os fragmentos de píxel aqui colocados funcionam muitas vezes independentemente da ferramenta de consentimento. Desde a mudança para Checkout Extensibility, os píxeis nativos respeitam melhor o estado de consentimento, mas os custom pixels inseridos pelo próprio têm de ser ligados explicitamente à Privacy API.

Os canais de venda Google e Meta trazem as suas próprias etiquetas. Para o canal Google deve estar ativo o Consent Mode, para o canal Meta o modo de tratamento de dados limitado — mas nenhum substitui o consentimento, apenas limitam o que acontece sem ele. Na política de privacidade devem ser nomeados todos os canais e apps ativos e a transferência para os EUA.

Não esquecer: a Shopify trata ela própria. O painel de análise da própria loja, os pagamentos acelerados (Shop Pay, Apple Pay, Google Pay), a deteção de fraude e o widget de chat Shopify Inbox funcionam independentemente das apps de marketing. O Shop Pay reconhece clientes recorrentes através de uma conta Shopify — isso é mais do que uma operação tecnicamente necessária e deve ser tido em conta na análise do consentimento e da proteção de dados.

Para a política de privacidade de uma loja Shopify, «completa» significa: Shopify Inc. como subcontratante da plataforma (com um contrato de subcontratação), os fornecedores de pagamento (Shopify Payments/Stripe, PayPal, Klarna …), o prestador de envio/logística, cada integração de canal de venda ativa (Google, Meta, TikTok, Pinterest), cada app de rastreio ou marketing da App Store, bem como as ferramentas de e-mail/avaliações (Klaviyo, Judge.me …). Um gerador fornece apenas o esqueleto — a lista de apps e canais tem de ser verificada a partir da própria área de administração Shopify.

Isto é um risco?

Os pixels de marketing e análise só podem carregar após o consentimento nos termos do § 25 n.º 1 TDDDG. A Customer Privacy API do Shopify e uma ferramenta de consentimento adequada devem estar ligadas para que os pixels respeitem o estado de consentimento. Os fluxos de dados vão muitas vezes para os EUA.

O que pode fazer

• Usar uma ferramenta de consentimento ligada à Shopify Customer Privacy API.
• Verificar todas as apps de rastreio: carregam antes do consentimento?
• Operar os canais Google e Meta com o Consent Mode ou um modo de dados restrito.
• Na política de privacidade, nomear todas as apps, canais e a transferência para os EUA.

Häufige Fragen

O que tem de constar da política de privacidade de uma loja Shopify?

No mínimo: Shopify Inc. como subcontratante, o fornecedor de pagamento utilizado, o prestador de envio, cada integração de canal de venda ativa (Google, Meta …), cada app de rastreio/marketing e as ferramentas de e-mail/avaliações. Para cada serviço devem constar a finalidade, a base legal, o país destinatário e o prazo de conservação. A lista tem de ser verificada a partir da própria área de administração — um texto de modelo por si só não chega.

O banner de cookies padrão da Shopify é suficiente?

Desde 2023, a Shopify disponibiliza um banner de consentimento próprio ligado à Customer Privacy API. Para o mercado alemão, deve verificar-se se oferece uma verdadeira opção de recusa no primeiro nível e se todas as apps de rastreio também avaliam o estado.

As apps da Shopify carregam rastreadores antes do consentimento?

Depende da app. As apps que usam corretamente a Customer Privacy API esperam pelo consentimento. Apps mais antigas ou mal mantidas escrevem o código diretamente no tema e ignoram o estado de consentimento — verificar essas apps no separador de rede.

E quanto ao checkout?

No checkout, apenas os scripts tecnicamente necessários podem funcionar sem consentimento. Os píxeis de marketing no checkout precisam do mesmo consentimento que na loja; com Checkout Extensibility são controlados através de custom pixels e da Privacy API.

Os dados da Shopify vão para os EUA?

Sim. A Shopify Inc. tem sede no Canadá (decisão de adequação existente), mas muitos serviços ligados — Google, Meta, em parte infraestrutura Shopify — tratam nos EUA. A transferência deve constar da política de privacidade.

Como o consentglass ajuda

A análise gratuita verifica o HTML entregue e mostra que serviços estão incorporados, se é detetado um banner de cookies e se as ligações para privacidade e informação legal estão presentes — com enquadramento para cada constatação. Não substitui aconselhamento jurídico.