OXID eShop Community Edition

Que es OXID eShop Community Edition

OXID eShop es una plataforma de comercio electrónico alemana desarrollada por OXID eSales AG, con sede en Friburgo de Brisgovia. La Community Edition es la variante libre y de código abierto bajo licencia OSL 3.0. La utilizan ampliamente pymes de Alemania, Austria y Suiza en escenarios B2B, B2C y B2B2C. OXID eShop CE es una aplicación PHP y MySQL que se instala en la infraestructura del comerciante, lo que le otorga un alto control sobre la región de alojamiento, los flujos de datos y las medidas de seguridad.

Datos y cookies recogidos

Una instalación estándar de OXID eShop CE coloca un cookie de sesión PHP (típicamente llamado sid o sid_key), un cookie de autenticación una vez que el usuario inicia sesión y un cookie persistente de carrito que retiene los artículos entre visitas. Estos cookies son de primera parte y estrictamente necesarios. La plataforma trata además datos de pedido, direcciones, metadatos de pago, cuentas de cliente, tickets de soporte e historial de navegación. Los módulos opcionales del OXID Exchange añaden sus propios cookies para analítica, recomendación, marketing automation y chat.

Implicaciones del RGPD y ePrivacy

Los cookies de sesión, carrito y login caen bajo la excepción del artículo 5(3) ePrivacy y no requieren consentimiento. Los datos de pedido y cuenta se tratan bajo ejecución del contrato (artículo 6(1)(b) RGPD), sin consentimiento, pero con las obligaciones de transparencia de los artículos 13 y 14 RGPD. Los módulos analíticos (Google Analytics, Matomo, Econda) y de marketing (Google Ads, Meta Pixel, Criteo) introducen cookies no estrictamente necesarios que requieren consentimiento previo conforme a la LSSI en España y a las normas equivalentes en otros estados UE.

Consentimiento y base jurídica

Los cookies de sesión, carrito y autenticación se apoyan en la ejecución del contrato y en la excepción ePrivacy. Los módulos de marketing, personalización y analítica se basan en el consentimiento (artículo 6(1)(a) RGPD). Las funciones antifraude (puntuación de riesgo del PSP, validación de direcciones) suelen apoyarse en el interés legítimo (artículo 6(1)(f) RGPD) con prueba de ponderación documentada. El comerciante es siempre el responsable; OXID eSales AG no es encargado por defecto al ser la plataforma autoalojada, pero los contratos comerciales de soporte pueden convertirla en encargado para operaciones concretas.

Transferencias y alojamiento

Como OXID eShop CE se autoaloja, todas las transferencias a terceros países se originan en las elecciones del comerciante: proveedor de hosting (a menudo un alojador alemán o austriaco con centros de datos UE), proveedor de pago, transportista, módulo analítico y herramienta de marketing automation. Un comerciante que elige hosting UE y módulos UE de pago, analítica y CRM puede operar una tienda OXID sin ninguna transferencia fuera del EEE, lo que simplifica notablemente la política de privacidad.

Pasos prácticos de cumplimiento

Inventaríe los módulos instalados sobre OXID eShop CE y clasifique cada conjunto de cookies en estrictamente necesarios, funcionales, analíticos y de marketing. Mantenga siempre activos los cookies de carrito, login y basket, y bloquee todos los módulos no esenciales hasta el consentimiento mediante CMP. Mapee a los terceros (PSP, transportistas, herramientas de marketing) en su registro de actividades, firme contratos de encargo con cada uno y documente la región de alojamiento. Realice una EIPD cuando la tienda combine perfilado con categorías de producto sensibles.