Microsoft Dynamics 365 Commerce

Dynamics 365 Commerce establece cookies propias para el carrito, el checkout, la sesión, los tokens anti CSRF y el idioma. Application Insights añade cookies analíticas (ai_user, ai_session). Microsoft Entra ID emite cookies de autenticación para los clientes registrados. Las integraciones opcionales como Microsoft Clarity, los píxeles publicitarios y Customer Insights pueden añadir más cookies de analítica, personalización o marketing.

Las cookies estrictamente necesarias (carrito, pago, seguridad, anti CSRF) no requieren consentimiento. Las funciones de analítica, perfilado, personalización, Application Insights, Microsoft Clarity y los píxeles de marketing requieren consentimiento previo conforme al artículo 6.1.a del RGPD y al artículo 5.3 ePrivacy. El consentimiento debe ser específico, informado, granular y tan fácil de retirar como de otorgar, de acuerdo con las directrices de la AEPD.

El procesamiento de pedidos, carrito, checkout, pago y logística se basa en el artículo 6.1.b RGPD (ejecución de contrato). La prevención del fraude y la seguridad se basan en el artículo 6.1.f (interés legítimo). La analítica, el perfilado, la personalización, el marketing y el retargeting se basan en el artículo 6.1.a (consentimiento). Cada tratamiento debe figurar en el registro de actividades de tratamiento.

Sí. Microsoft es un encargado del tratamiento con sede en EE. UU. y los datos pueden transferirse a EE. UU. y a otras regiones de Microsoft. Las transferencias se amparan en el Marco de Privacidad de Datos UE EE. UU. (Microsoft está certificado), su extensión británica, el Marco Suiza EE. UU. y las cláusulas contractuales tipo incluidas en el Acuerdo de Protección de Datos. Seleccionar una región de la UE activa la EU Data Boundary para los datos principales, aunque algunos flujos de telemetría e identidad pueden cruzar fronteras.

Se recomienda encarecidamente realizar una EIPD. La plataforma implica un tratamiento a gran escala de datos de clientes y pagos, perfilado conductual mediante Application Insights y Customer Insights, grabaciones opcionales de Microsoft Clarity, integración con Microsoft Entra ID y transferencias internacionales. Estos factores activan varios criterios de EIPD en las directrices del CEPD y en las listas nacionales de la AEPD, la CNIL y el BfDI.

Firmar el Acuerdo de Protección de Datos de Microsoft, elegir una región de la UE con EU Data Boundary, condicionar Application Insights, Clarity y las etiquetas de marketing a una plataforma de gestión del consentimiento, documentar los encargados, definir plazos de conservación de pedidos y telemetría, gestionar derechos a través del portal de privacidad de Microsoft, reforzar Microsoft Entra ID con mínimo privilegio y MFA, y realizar una EIPD.

Las alternativas incluyen Shopify, Adobe Commerce (Magento), SAP Commerce Cloud, Salesforce Commerce Cloud, Commerce Tools y Sylius para alojamiento europeo. Cada opción tiene sus propios flujos de datos, ubicaciones de alojamiento y requisitos de consentimiento. Las soluciones con sede en la UE o autoalojadas pueden reducir las preocupaciones de transferencia a terceros países, aunque trasladan parte del trabajo de cumplimiento y seguridad a su equipo.

Enumere cada cookie de Dynamics 365 Commerce con su nombre, finalidad, duración y categoría (necesaria, analítica, personalización, marketing). Indique a Microsoft como encargado del tratamiento, mencione a los subencargados relevantes, declare las transferencias a EE. UU. al amparo del Marco de Privacidad de Datos UE EE. UU. y de las cláusulas contractuales tipo, y enlace al Microsoft Trust Center y al Acuerdo de Protección de Datos. Ofrezca un opt in granular y un mecanismo de retirada claro.