Shopify y cookies RGPD: guía de conformidad

TL;DR

Shopify instala cookies esenciales (carrito, sesión, checkout, localización) exentas de consentimiento, pero también sus propias cookies de analítica y marketing, y cada píxel de marketing (Meta, Google, TikTok) o aplicación de terceros que añada trae más. Todas ellas requieren consentimiento previo según el RGPD. Shopify ofrece un banner de cookies nativo basado en su Customer Privacy API, pero solo controla lo que pasa por esa API: los scripts escritos directamente en el tema o inyectados por aplicaciones que la ignoran siguen funcionando. Para cumplir del todo necesita una CMP que se cargue antes que nada en theme.liquid, bloquee los scripts no esenciales, mantenga a raya los píxeles de Shopify y guarde la prueba del consentimiento.

Por qué Shopify no basta para cumplir con las cookies

Shopify es una plataforma de comercio electrónico alojada que usan millones de comerciantes. Se encarga de la infraestructura, el alojamiento y el checkout, pero el cumplimiento en materia de cookies sigue siendo responsabilidad suya. La AEPD aplica a las tiendas online las mismas reglas que a cualquier web: toda cookie no esencial requiere consentimiento previo, y la tienda debe poder demostrarlo.

Las cookies de una tienda Shopify vienen de cuatro fuentes:

• Cookies nativas de Shopify: sesión, carrito, checkout y las cookies de analítica y marketing de la propia Shopify.
• Aplicaciones de terceros: reseñas, upselling, email marketing, chat, recomendaciones de productos.
• Píxeles de conversión: Meta, Google Ads, TikTok y otros.
• Scripts de analítica: Google Analytics, Klaviyo, Hotjar.

Precisamente esa flexibilidad, gracias a las aplicaciones y los píxeles de marketing integrados, hace que los riesgos se subestimen con facilidad.

Qué cookies instala Shopify

Shopify publica la lista de cookies que instala en las tiendas. Cambia con el tiempo, así que consulte la versión actual de su política de cookies antes de redactar la suya.

Cookies esenciales (exentas de consentimiento)

• cart: contenido del carrito.
• localization: país y moneda usados en el carrito.
• _shopify_essential: información de sesión y de checkout necesaria para que la tienda funcione.
• _tracking_consent: guarda las elecciones de privacidad del visitante.
• _shopify_test: comprueba que se pueden instalar cookies.

Puede que también encuentre nombres más antiguos como secure_customer_sig (inicio de sesión del cliente), cart_sig o cart_ts en tiendas existentes o en documentación. Se llamen como se llamen, las cookies estrictamente necesarias también deben figurar en su política de cookies.

Cookies de analítica y marketing de Shopify (requieren consentimiento)

La propia Shopify clasifica algunas de sus cookies como analíticas o de marketing, así que no están exentas:

• Analítica: _shopify_s (sesión de navegación), _shopify_y (seguimiento del visitante), _shopify_analytics, _landing_page, _orig_referrer.
• Marketing: _shopify_marketing.

Cookies de terceros (requieren consentimiento)

Son las que más problemas dan: _ga y _gid (Google Analytics), _fbp y _fbc (Meta Pixel) y las cookies de aplicaciones como Klaviyo, Judge.me o ReCharge. Siempre requieren consentimiento previo.

Píxeles y aplicaciones: donde está el riesgo real

El sistema de píxeles de Shopify permite conectar de forma nativa Meta Pixel, Google Analytics / GA4, TikTok Pixel y otras herramientas de marketing. Cada una instala sus propias cookies publicitarias o analíticas. Los píxeles que instalan los canales de venta (Google & YouTube, Facebook & Instagram) y los píxeles personalizados están en Configuración → Eventos del cliente. Se ejecutan en un entorno aislado de Shopify, fuera de su tema, así que un script en theme.liquid no puede retenerlos.

Las aplicaciones de la App Store son la otra gran fuente. Herramientas de chat (Tidio, Gorgias), motores de recomendación y herramientas de retargeting suelen inyectar scripts de seguimiento directamente en la tienda, fuera del sistema de píxeles.

Cómo auditar las cookies de una tienda Shopify

Paso 1: escanee cada tipo de página

Use el escáner de FlowConsent o las DevTools de Chrome. Una tienda Shopify tiene varias plantillas que revisar: inicio, páginas de colección, fichas de producto, carrito y, en la medida de lo posible, checkout. Anote de cada cookie el nombre, el dominio, la duración y el emisor.

Paso 2: revise píxeles y aplicaciones

En el panel de Shopify, abra Configuración → Eventos del cliente para ver todos los píxeles activos y después Configuración → Aplicaciones y canales de ventas para localizar las aplicaciones que puedan inyectar scripts. Cada píxel y cada aplicación es una posible fuente de cookies.

Paso 3: clasifique y documente

Ordene las cookies en esenciales, analíticas, de marketing y de preferencias, y actualice su política de cookies, incluidas las cookies nativas de Shopify. Repita el proceso tras cada instalación o actualización de una aplicación. La guía completa de auditoría de cookies detalla cada paso.

Banner nativo de Shopify o CMP externa

Shopify ofrece su propio banner de cookies en Configuración → Privacidad del cliente, basado en la Customer Privacy API. Los píxeles gestionados en Eventos del cliente y las aplicaciones que leen esa API respetan la elección registrada allí.

Lo que importa para el RGPD son sus límites:

• Solo controla lo que pasa por la Customer Privacy API. Los scripts escritos en el tema, o inyectados por aplicaciones que no leen la API, siguen funcionando sea cual sea la elección del visitante.
• Antes de fiarse de él, compruebe que podría exportar pruebas de consentimiento con fecha y hora si una autoridad de control se las pidiera.
• La personalización suele ser más limitada que con una CMP dedicada, algo que cuenta si necesita elecciones finas por categoría, varios idiomas o un diseño alineado con su marca.

Si su tienda se dirige a visitantes del EEE, una CMP externa es la forma más fiable de demostrar que nada se ejecuta antes del consentimiento.

Cómo añadir una CMP a Shopify

Opción 1: una aplicación de consentimiento para Shopify

La App Store ofrece aplicaciones de consentimiento como Pandectes, Consentmo o CookieYes. Se instalan fácilmente, pero algunas gratuitas solo muestran un banner sin bloquear realmente los scripts. Pruébelas antes de confiar en ellas.

Opción 2: una CMP externa en theme.liquid

Una CMP externa como FlowConsent se añade en el archivo theme.liquid del tema. Gana un control más fino y funciones como Google Consent Mode v2 e informes de cumplimiento.

Instalar FlowConsent en Shopify

El procedimiento completo está en la guía de instalación para Shopify. Son tres pasos.

1. Copie el snippet desde Builder → Despliegue → Integración. Tiene dos partes: un bloque de Google Consent Mode v2 que pone todas las señales en denied por defecto y, después, el cargador del banner.
2. Péguelo en theme.liquid. En Tienda online → Temas, duplique su tema como copia de seguridad y, en el tema publicado, haga clic en … y en Editar código. En la carpeta Layout, abra theme.liquid y pegue el snippet justo después de la etiqueta de apertura <head>, por encima de {{ content_for_header }}. Ese objeto carga los scripts que añaden Shopify y sus aplicaciones, así que el snippet debe ir antes. Después de cada actualización del tema, compruebe que sigue ahí.
3. Neutralice el banner nativo y los píxeles de los canales. Dos banners son dos consentimientos contradictorios: elimine el de Shopify en cuanto sus rastreadores estén declarados en FlowConsent (Configuración → Privacidad del cliente → Banner de cookies y luego Más acciones → Eliminar banner de cookies). En los canales Google & YouTube y Facebook & Instagram, desactive el intercambio de datos (o elimine los ID de medición que haya introducido) y declare Google Analytics, Google Ads o Meta Pixel en Builder → Servicios: el banner solo los cargará tras el consentimiento.

El plan Free es gratuito, sin tarjeta de crédito, y cubre hasta 25.000 sesiones al mes.

Cómo bloquear los scripts antes del consentimiento en Shopify

Hay tres familias de scripts y cada una se trata de forma distinta.

• Scripts del tema o inyectados por aplicaciones. Quite las etiquetas de seguimiento del tema y deje que la CMP las cargue: en FlowConsent, declárelas en Builder → Servicios. La alternativa genérica es type="text/plain" con un atributo data-category, que la CMP reactiva tras el consentimiento.
• Píxeles personalizados de Eventos del cliente. Cada píxel personalizado tiene un ajuste de permiso: elija la opción que exige consentimiento y seleccione las finalidades (marketing, analítica, preferencias) para que solo se active tras el acuerdo correspondiente.
• Píxeles de los canales de venta. Siguen el consentimiento registrado a través de la Customer Privacy API, no su banner. Lo más limpio es lo descrito antes: desactivar su intercambio de datos y dejar que la CMP cargue las etiquetas.

Si usa Google Tag Manager en el tema, nunca cargue el banner desde GTM, porque llegaría demasiado tarde: mantenga el snippet de la CMP por encima del contenedor de GTM.

Después, compruebe en una ventana privada, pestaña Red de las DevTools: ninguna petición a Google, Meta, TikTok u otro tercero debe salir antes de pulsar Aceptar.

¿Y el checkout?

El checkout de Shopify no ejecuta el código de su tema: theme.liquid no se aplica ni al checkout ni a las páginas de agradecimiento y estado del pedido, y Shopify ha retirado los antiguos «scripts adicionales». Su banner, por tanto, no aparece durante el pago: el visitante elige antes, en la tienda. No pegue rastreadores en esas páginas: el seguimiento de conversiones pasa por Eventos del cliente, que dependen de la Customer Privacy API. El checkout también instala sus propias cookies estrictamente necesarias, que deben figurar en su política de cookies.

Shopify Markets y el cumplimiento en varios países

Si vende a nivel internacional con Shopify Markets, las reglas cambian según la región: el RGPD exige opt-in en el EEE, la CCPA/CPRA funciona con opt-out en California y la LGPD de Brasil tiene sus propios requisitos. Lo más seguro es aplicar el modelo más estricto (consentimiento previo) allí donde no pueda distinguir los regímenes y comprobar que su CMP puede adaptar el banner a cada jurisdicción a la que se dirige.

Shopify y Google Consent Mode v2

Si su tienda usa GA4 o Google Ads, Consent Mode v2 es imprescindible: sin él, las etiquetas de Google no reciben ninguna señal de consentimiento y la medición de sus campañas se resiente. Se configura con GTM en theme.liquid o directamente desde la CMP. El snippet de FlowConsent establece por sí mismo los valores denied por defecto y los actualiza en cuanto el visitante elige. La documentación de Consent Mode explica cómo se tratan las demás etiquetas.

Errores frecuentes en las tiendas Shopify

• Meta Pixel y GA4 activos sin banner. Ambos instalan cookies publicitarias y analíticas al cargar la página. Sin bloqueo, cada visitante es rastreado sin consentimiento.
• Fiarse solo del banner nativo. No cubre los scripts que quedan fuera de la Customer Privacy API, y una auditoría completa suele revelar cookies sin gestionar.
• Tratar `_shopify_y` y `_shopify_s` como esenciales. La propia Shopify las clasifica como cookies analíticas.
• Olvidar los píxeles de los canales. Los canales Google & YouTube o Facebook & Instagram siguen enviando datos tras un rechazo si su intercambio de datos sigue activo.
• No auditar las cookies de las aplicaciones. Cada aplicación instalada puede añadir sus propias cookies sin documentar.
• Un snippet por debajo de `{{ content_for_header }}`, o perdido tras una actualización del tema.
• Pegar rastreadores en las páginas del checkout, donde el banner nunca se ejecuta.
• No actualizar la política de cookies tras cada nueva aplicación.
• No guardar registros de consentimiento. En una inspección, debe demostrar que recogió el consentimiento.

Checklist: cumplimiento de cookies en Shopify

• Haga un escaneo de su tienda en cada tipo de página: inicio, colección, producto, carrito, checkout.
• Enumere todos los píxeles activos en Configuración → Eventos del cliente y todas las aplicaciones que puedan inyectar scripts.
• Instale una CMP: aplicación de Shopify o CMP externa en theme.liquid, justo después de <head>.
• Elimine el banner nativo en cuanto los rastreadores estén declarados en la CMP, para quedarse con un solo consentimiento.
• Desactive el intercambio de datos de los canales de venta y deje que la CMP cargue las etiquetas de Google y Meta.
• Haga obligatorio el consentimiento en los píxeles personalizados, con las finalidades adecuadas.
• Compruebe que el banner ofrece Aceptar y Rechazar con la misma visibilidad.
• Active Google Consent Mode v2 si usa GA4 o Google Ads.
• Redacte una política de cookies que incluya las cookies nativas de Shopify y las del checkout.
• Adapte el banner a cada jurisdicción si Shopify Markets está activo.
• Active los registros de consentimiento con fecha y hora y añada un enlace «Gestionar cookies» en el pie de página del tema.
• Pruebe en una ventana privada y vuelva a auditar tras cada nueva aplicación o actualización del tema.

Verificar y mantener el cumplimiento

Lo que cuenta no es que aparezca un banner, sino lo que sigue funcionando cuando el visitante rechaza. La verificación de cumplimiento de FlowConsent carga las páginas de su tienda en un navegador real con el consentimiento rechazado y enumera todo lo que se activa igualmente. Cada verificación queda fechada y archivada con una captura de pantalla, así va reuniendo sus pruebas. Ponga sus plantillas clave bajo supervisión periódica para recibir una alerta si una nueva aplicación o un nuevo píxel empieza a filtrar datos.

Conclusión

Shopify simplifica el comercio electrónico, pero no el cumplimiento en materia de cookies. El banner nativo solo cubre una parte, y el ecosistema de aplicaciones añade scripts sin parar. Una CMP colocada antes de {{ content_for_header }}, los píxeles de Shopify bajo control y auditorías periódicas: eso es lo que necesita para poder demostrar que cumple.

Haga un escaneo gratuito de su tienda Shopify para ver qué cookies están activas hoy y siga después la guía de instalación para poner en marcha FlowConsent.