針對 Shopify 的 GDPR 檢測

Shopify 商店通常透過各類應用程式、銷售管道（Google、Meta）以及「Customer Events」區域嵌入追蹤功能——其中很大一部分需要使用者同意。

Shopify 透過 Customer Privacy API 建立了自己的介面，商店內的同意狀態透過它管理。要使其生效，必須由 Shopify 應用程式商店的同意工具或自建實作來設定該狀態，而所用的追蹤應用程式必須查詢它。如果鏈條在某處斷了，即使被拒絕，像素仍會載入。

「Customer Events」區域（以前結帳中的「Additional Scripts」）是常見問題：放在這裡的像素片段常常獨立於同意工具執行。自切換到 Checkout Extensibility 後，原生像素更好地尊重同意狀態，但自行插入的 custom pixels 必須明確連接到 Privacy API。

銷售管道 Google 和 Meta 會帶來各自的標記。Google 管道應啟用 Consent Mode，Meta 管道應啟用有限資料處理模式——但兩者都不能代替同意，只是限制沒有同意時會發生什麼。所有啟用的管道、應用程式以及向美國的傳輸都應寫入隱私政策。

這是風險嗎？

依《德國電信數位服務資料保護法》第 25 條第 1 項，行銷與分析類像素只能在取得同意後才可載入。Shopify 的 Customer Privacy API 與合適的同意管理工具必須相互串接，使這些像素能夠遵循使用者的同意狀態。相關資料流通常會流向美國。

您可以怎麼做

• 使用與 Shopify Customer Privacy API 串接的同意管理工具。
• 檢查所有追蹤類應用程式：它們是否在取得同意之前就已載入？
• 將 Google 與 Meta 管道以 Consent Mode 或受限資料模式執行。
• 在隱私權政策中列出所有應用程式、管道及向美國的資料傳輸情況。

常見問題

Shopify 的標準 Cookie 橫幅夠嗎？

Shopify 自 2023 年起提供自己的、連接到 Customer Privacy API 的同意橫幅。對德國市場，需要檢查它是否在第一層提供真正的拒絕選項，以及所有追蹤應用程式是否也評估該狀態。

Shopify 應用程式會在同意前載入追蹤器嗎？

視應用程式而定。正確使用 Customer Privacy API 的應用程式會等待同意。較舊或維護不善的應用程式直接把程式碼寫進佈景主題並忽略同意狀態——在「網路」標籤中檢查這類應用程式。

結帳呢？

結帳中只有技術上必要的指令碼才能在沒有同意的情況下執行。結帳中的行銷像素需要與商店相同的同意；使用 Checkout Extensibility 時透過 custom pixels 和 Privacy API 來控制。

Shopify 資料會傳到美國嗎？

會。Shopify Inc. 總部在加拿大（已有充分性決定），但許多連接的服務——Google、Meta、部分 Shopify 基礎設施——在美國處理。該傳輸應寫入隱私政策。

consentglass 如何提供協助

免費檢測會分析所提供的 HTML，並顯示哪些服務被內嵌、是否偵測到 Cookie 橫幅，以及是否有隱私權政策與營運者資訊連結——每一項發現皆附有分類。不能取代法律諮詢。