针对 Shopify 的 GDPR 检测

Shopify 商店通常通过各类应用、销售渠道（Google、Meta）以及「Customer Events」区域嵌入跟踪功能——其中很大一部分需要用户同意。

Shopify 通过 Customer Privacy API 建立了自己的接口，商店内的同意状态通过它管理。要使其生效，必须由 Shopify 应用商店的同意工具或自建实现来设置该状态，而所用的跟踪应用必须查询它。如果链条在某处断了，即使被拒绝，像素仍会加载。

「Customer Events」区域（以前结账中的「Additional Scripts」）是常见问题：放在这里的像素片段常常独立于同意工具运行。自切换到 Checkout Extensibility 后，原生像素更好地尊重同意状态，但自行插入的 custom pixels 必须显式连接到 Privacy API。

销售渠道 Google 和 Meta 会带来各自的标记。Google 渠道应启用 Consent Mode，Meta 渠道应启用有限数据处理模式——但两者都不能代替同意，只是限制没有同意时会发生什么。所有启用的渠道、应用以及向美国的传输都应写入隐私政策。

这是风险吗？

根据《德国电信数字服务数据保护法》第 25 条第 1 款，营销和分析类像素只能在获得同意后才可加载。Shopify 的 Customer Privacy API 与合适的同意管理工具必须相互对接，使这些像素能够遵循用户的同意状态。相关数据流通常会流向美国。

您可以怎么做

• 使用与 Shopify Customer Privacy API 对接的同意管理工具。
• 检查所有跟踪类应用：它们是否在获得同意之前就已加载？
• 将 Google 和 Meta 渠道以 Consent Mode 或受限数据模式运行。
• 在隐私政策中列出所有应用、渠道及向美国的数据传输情况。

常见问题

Shopify 的标准 Cookie 横幅够吗？

Shopify 自 2023 年起提供自己的、连接到 Customer Privacy API 的同意横幅。对德国市场，需要检查它是否在第一层提供真正的拒绝选项，以及所有跟踪应用是否也评估该状态。

Shopify 应用会在同意前加载跟踪器吗？

视应用而定。正确使用 Customer Privacy API 的应用会等待同意。较旧或维护不善的应用直接把代码写进主题并忽略同意状态——在「网络」标签中检查这类应用。

结账呢？

结账中只有技术上必要的脚本才能在没有同意的情况下运行。结账中的营销像素需要与商店相同的同意；使用 Checkout Extensibility 时通过 custom pixels 和 Privacy API 来控制。

Shopify 数据会传到美国吗？

会。Shopify Inc. 总部在加拿大（已有充分性决定），但许多连接的服务——Google、Meta、部分 Shopify 基础设施——在美国处理。该传输应写入隐私政策。

consentglass 如何提供帮助

免费检测会分析提供的 HTML，并显示哪些服务被嵌入、是否检测到 Cookie 横幅，以及是否存在隐私政策和运营者信息链接——每项发现均附有分类。不能替代法律咨询。