Comercio electrónico

Gumroad

Gumroad es una plataforma estadounidense merchant of record que permite a los creadores vender ebooks, descargas digitales, software, membresías y cursos en línea. Los creadores enlazan a una página alojada de Gumroad o integran un overlay cargado desde gumroad.com en su sitio. Como merchant of record, Gumroad recauda el IVA UE, gestiona devoluciones y enruta los pagos por Stripe y PayPal. El overlay instala cookies no estrictamente necesarias, así que los sitios UE deben condicionarlo al consentimiento y documentar la transferencia a EE. UU.

Bloquear Gumroad hasta el consentimiento Escanear mi sitio

Presentación

¿Qué hace Gumroad?

¿Qué es Gumroad?

Gumroad es una plataforma estadounidense constituida como Gumroad Inc. en San Francisco, California, fundada en 2011 por Sahil Lavingia. Está orientada a creadores independientes que venden bienes digitales (ebooks, cursos, software, música, recursos gráficos), bienes físicos y membresías recurrentes. Gumroad opera como merchant of record (MoR): en cada compra, Gumroad Inc. consta legalmente como vendedor en la factura, recauda el IVA UE y otros impuestos, gestiona devoluciones y remite el ingreso neto al creador.

Los creadores pueden dirigir a los compradores a una página alojada Gumroad (creator.gumroad.com o gumroad.com/l/PRODUCTO) o usar el overlay de Gumroad, un snippet JS que abre el checkout en un iframe sobre el sitio del creador.

Cookies y datos

Cuando el overlay de Gumroad se incrusta en un sitio de terceros, gumroad.js se carga desde gumroad.com. El iframe instala cookies first party de Gumroad (_gumroad_session, _gumroad_guid para atribución del carrito, token CSRF) y cookies de Cloudflare bot management. El checkout de Stripe añade __stripe_mid y __stripe_sid; si el comprador usa PayPal, se cargan cookies paypal_*. En su sitio, Gumroad utiliza Google Analytics 4, Microsoft Clarity y Segment.

RGPD y ePrivacy

Incrustar el overlay de Gumroad instala cookies antes de cualquier acción del visitante, activando el art. 5(3) ePrivacy y requiriendo consentimiento previo en la UE. En el checkout alojado, las cookies estrictamente necesarias para completar la compra se basan en la ejecución del contrato y están exentas. Como MoR, Gumroad es responsable independiente del IVA, la facturación y las devoluciones.

Consentimiento e implementación

Para tráfico UE, sustituya el overlay por un botón que abra la página alojada Gumroad en una nueva pestaña mientras no haya consentimiento de la categoría funcional o marketing en su CMP. Tras el consentimiento, cargue gumroad.js y deje que el overlay se abra. La interacción con el checkout pasa entonces al dominio de Gumroad, con su propia política y sus controles.

Transferencias internacionales

Todo el procesamiento ocurre en AWS US East. El DPA de Gumroad incorpora las CCT (módulos 2 y 3) y referencia el EU US Data Privacy Framework. Stripe y PayPal aplican sus propios mecanismos (entidades UE en Irlanda con CCT a EE. UU., certificación DPF).

Pasos prácticos de cumplimiento

Firme el DPA de Gumroad desde su cuenta. Condicione el overlay al CMP y use un enlace estático a la página alojada mientras no haya consentimiento. Liste Gumroad, Stripe y PayPal en su política y RAT. Mencione la relación merchant of record y la transferencia US con CCT y DPF. Prepare la atención al cliente: los compradores contactan a Gumroad para devoluciones y recibos del IVA.

Cumplimiento

Gumroad y el RGPD

Gumroad está clasificado como «Preferencias». En un sitio dirigido a visitantes europeos, solo debe cargarse después del consentimiento del visitante y debe figurar en su política de cookies.

Base jurídica: Consent (Art. 6(1)(a) GDPR and Art. 5(3) ePrivacy) for the Gumroad overlay loaded on the creator's own site, because the iframe sets non strictly necessary cookies before any action by the visitor. Contract performance (Art. 6(1)(b)) for the purchase the buyer initiates on the Gumroad hosted page itself. Legal obligation (Art. 6(1)(c)) for EU VAT collection and reporting, since Gumroad is the merchant of record.
Nivel de riesgo: medium
Normativa aplicable: GDPR, UK GDPR, ePrivacy Directive 2002/58/EC, EU US Data Privacy Framework, EU VAT (OSS / MOSS), PSD2, PCI DSS, US CCPA/CPRA

Evaluación de impacto (EIPD)

No suele requerirse EIPD para un creador típico que usa Gumroad. Puede ser relevante para creadores con catálogos amplios que combinen analítica extensa, perfilado de audiencia, seguimiento de finalización de cursos y recomendaciones con IA sobre la misma base.

Texto de ejemplo para su banner

Las ventas en este sitio las opera Gumroad (Gumroad Inc., EE. UU.), nuestro merchant of record para bienes digitales. El overlay de Gumroad instala cookies funcionales y de análisis, abre un iframe a gumroad.com, procesa los pagos por Stripe y PayPal y remite el IVA UE en nuestro nombre. Las transferencias a EE. UU. se cubren con Cláusulas Contractuales Tipo y el Data Privacy Framework.

Cookies y rastreadores

Lo que Gumroad instala y contacta

Método de seguimiento: Merchant of record platform for digital creators: hosted product pages on gumroad.com and an embeddable overlay loaded from gumroad.com/js/gumroad.js or gumroad.com/js/gumroad embed.js; the overlay opens an iframe to gumroad.com that hosts the checkout; first party Gumroad session and CSRF cookies are set on gumroad.com, payments are routed through Stripe and PayPal
Ubicación de los servidores: United States (Gumroad Inc., San Francisco, California, headquarters); production hosted on AWS US East regions; static assets and the storefront served from AWS CloudFront and Cloudflare with EU edge presence
Transferencia de datos fuera de la UE: Gumroad Inc. is established in the United States and processes EU customer data on AWS US East. Gumroad is the merchant of record for digital goods and is registered for EU VAT through the MOSS / OSS scheme. The Gumroad DPA incorporates the EU Standard Contractual Clauses (modules 2 and 3) and references the EU US Data Privacy Framework. Payment processors (Stripe, PayPal) apply their own SCCs and DPF certifications.

Cookies instaladas (5)

Nombre	Tipo	Duración	Finalidad
_gumroad_session	third_party	2 weeks	Gumroad session cookie set on gumroad.com to keep an authenticated session and an in progress checkout.
_gumroad_guid	third_party	1 year	Gumroad attribution and recognition identifier used to attribute purchases to the originating link or affiliate.
__cf_bm	third_party	30 minutes	Cloudflare bot management cookie set on gumroad.com to distinguish humans from automated traffic.
__stripe_mid	third_party	1 year	Stripe machine identifier loaded during the Gumroad Stripe checkout step for fraud prevention.
__stripe_sid	third_party	30 minutes	Stripe session identifier loaded during the Gumroad Stripe checkout step for fraud detection.

Dominios de terceros contactados (5)

gumroad.com
public-files.gumroad.com
static.gumroad.com
js.stripe.com
www.paypal.com

Preguntas

Preguntas frecuentes sobre Gumroad

¿No encuentra su pregunta? Escríbanos, respondemos rápido.

Escríbanos

¿Qué cookies instala Gumroad?

Al cargarse el overlay de Gumroad se instalan cookies first party de Gumroad en gumroad.com (_gumroad_session, _gumroad_guid de atribución de carrito, token CSRF) y cookies de Cloudflare bot management (__cf_bm, _cfuvid). El checkout de Stripe añade __stripe_mid, __stripe_sid y m. En PayPal se cargan cookies paypal_*.

¿Hace falta consentimiento para cargar el overlay Gumroad?

Sí. El overlay carga gumroad.js antes de cualquier acción del visitante, instalando cookies no estrictamente necesarias. El art. 5(3) ePrivacy exige consentimiento previo en la UE. Hasta entonces sustituya el overlay por un botón estático que abra la página alojada en una nueva pestaña.

¿Cuál es la base jurídica?

Consentimiento (art. 6(1)(a) RGPD y art. 5(3) ePrivacy) para cargar el overlay y sus cookies. Ejecución de contrato (art. 6(1)(b)) para el procesamiento de la compra en la página alojada de Gumroad. Obligación legal (art. 6(1)(c)) para el IVA UE, dado que Gumroad es merchant of record.

¿Gumroad transfiere datos a terceros países?

Sí. Gumroad Inc. está en EE. UU. y procesa datos UE en AWS US East. El DPA de Gumroad incorpora las CCT (módulos 2 y 3) y referencia el Data Privacy Framework. Stripe y PayPal aplican sus propios mecanismos.

¿Necesito EIPD para Gumroad?

No suele requerirse para un creador con pocos productos. Puede ser apropiado si Gumroad se combina con perfilado extenso, emails de audiencia, seguimiento de finalización de cursos y recomendaciones con IA sobre la misma base.

¿Cómo implementar Gumroad cumpliendo la normativa?

Firme el DPA, condicione el overlay al CMP, use un enlace estático mientras no haya consentimiento, mencione Gumroad, Stripe y PayPal en la política, documente la transferencia US con CCT y DPF, añada Gumroad al RAT y derive las solicitudes de devolución y recibos de IVA a Gumroad como MoR.

¿Alternativas a Gumroad?

Plataformas UE friendly de comercio para creadores: Lemon Squeezy (EE. UU. con DPF), Paddle (Reino Unido MoR), Podia, Kajabi (EE. UU.), Teachable (EE. UU.), SendOwl (Reino Unido), Tipeee (Francia), Lemonway, Stripe Checkout / Payment Links para gestión propia. Sin MoR: Mollie (Países Bajos) o Adyen (Países Bajos).

¿Cómo actualizar mi política de cookies y privacidad?

Liste las cookies de Gumroad y Stripe por categoría. En la política describa Gumroad como merchant of record para bienes digitales, el overlay, el iframe a gumroad.com, la transferencia US con CCT y DPF y el papel de Stripe y PayPal como encargados independientes.

Haga que su sitio cumpla la normativa hoy mismo.

Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.

Crear mi banner Escanear mi sitio