Empretienda

Por defecto, una tienda Empretienda deposita cookies de origen para el identificador del carrito, la sesión del cliente y un token CSRF, además de algunas preferencias del tema. Cuando el comerciante activa el módulo de analítica o instala una app de marketing, se almacenan cookies e identificadores adicionales de Google Analytics, Meta Pixel, TikTok, Hotjar, widgets de chat o apps de reseñas. La plataforma trata también nombre, dirección, teléfono, correo, historial de pedidos, IP, agente de usuario y cualquier texto libre escrito en reseñas o notas del pedido.

Sí. Las cookies de carrito, sesión y CSRF son estrictamente necesarias y entran en la exención del Art. 5(3) ePrivacy. Todo lo demás, medición de audiencia, retargeting, Conversion API, personalización, seguimiento de chat o tests A B, exige consentimiento previo, libre, específico, informado e inequívoco según el Art. 6(1)(a) RGPD y el Art. 5(3) ePrivacy. La AEPD y la CNIL exigen un botón rechazar todo tan visible y accesible como aceptar todo, y ningún script no esencial puede ejecutarse antes del opt in.

Carrito, checkout, alta de cuenta y procesamiento de pedidos se apoyan en el Art. 6(1)(b) RGPD (ejecución del contrato). Prevención de fraude, logs de seguridad y analítica básica sin compartición de perfil pueden basarse en el Art. 6(1)(f) RGPD (interés legítimo), aunque la exigencia de estricta necesidad ePrivacy sigue aplicando al almacenamiento en el dispositivo. Los píxeles publicitarios, retargeting conductual, Conversion APIs y personalización requieren siempre consentimiento Art. 6(1)(a) RGPD porque implican seguimiento no esencial y transferencias a redes publicitarias.

Sí. La plataforma se aloja en Argentina, que dispone de una decisión parcial de adecuación (2003/490/CE) actualmente en revisión. El tráfico se enruta a través de Cloudflare y nodos AWS, algunos en Estados Unidos, por lo que se producen transferencias a un tercer país no adecuado. Los comerciantes Empretienda deben firmar Cláusulas Contractuales Tipo, documentar medidas suplementarias (TLS, claves de cifrado custodiadas localmente) y completar un Análisis de Impacto de la Transferencia conforme a Schrems II (TJUE C 311/18) antes de tratar datos de residentes de la UE.

Una EIPD es necesaria cuando el tratamiento pueda generar un alto riesgo para los derechos y libertades de las personas (Art. 35 RGPD). Combinar perfilado de e commerce, retargeting conductual a través de Meta y Google y transferencias a un tercer país reúne al menos dos de los criterios del CEPD y suele activar la obligación. La EIPD debe describir cada etiqueta, su base jurídica, conservación, riesgo de re identificación y las medidas suplementarias para mitigar el riesgo Schrems II.

Elige una CMP que admita el TCF de la IAB o un marco alineado con la AEPD y que exponga una API JavaScript para bloquear etiquetas. Inserta el cargador de la CMP antes de cualquier script de seguimiento en la cabecera del tema, envuelve Meta Pixel, Google tag, TikTok píxel y widgets de reseñas o chat en la barrera de consentimiento y propaga el estado de consentimiento a los endpoints de servidor (Conversion API, server tagging). Ofrece aceptar todo, rechazar todo y controles granulares, registra el consentimiento en servidor con marca temporal y proporciona un enlace permanente para modificar preferencias.

Los comerciantes europeos que sirven principalmente a compradores europeos pueden usar Shopify región UE, Prestashop autohospedado en la UE, Sylius, CommerceTools o WooCommerce sobre infraestructura europea como OVH, Scaleway o Hetzner. Estas opciones mantienen los datos del escaparate dentro del EEE por defecto y reducen la exposición Schrems II. Combina la plataforma con analítica respetuosa con la privacidad como Matomo on premise o Plausible UE y dirige la publicidad a través de los endpoints de servidor de la plataforma para controlar la minimización de IP.

Revisa el inventario de cookies y la política de privacidad al menos cada seis meses y cada vez que instales o desinstales una app, cambies el tema activo, habilites un nuevo proveedor de pago o ejecutes una campaña con un nuevo píxel. Vuelve a escanear la tienda con las DevTools del navegador o una herramienta de auditoría, actualiza la tabla de cookies (nombre, proveedor, duración, finalidad) y vuelve a solicitar consentimiento cuando incorpores un nuevo proveedor o cambies la finalidad de uno existente.