Cartpanda

Qu'est-ce que Cartpanda

Cartpanda est une plateforme SaaS de checkout et de boutiques eCommerce basée au Brésil, dont l'infrastructure se trouve principalement sur les régions AWS aux États-Unis. Elle cible les marques DTC, le dropshipping et les marchands à fort volume, avec des tunnels d'achat optimisés, upsell, order bump et intégrations natives avec les processeurs de paiement, les transporteurs et les plateformes publicitaires. Cartpanda agit comme sous-traitant (ou co-responsable selon la configuration) du marchand.

Données et cookies

Cartpanda dépose des cookies internes pour la continuité de session, le panier, l'identifiant client, l'étape de checkout et les signaux antifraude. Elle exécute aussi des scripts analytiques et de suivi de conversion, fréquemment couplés à des pixels tiers (Facebook, Google Ads, TikTok, Pinterest) configurés par le marchand. La logique paiement et panier abandonné s'appuie également sur des cookies.

Implications RGPD et ePrivacy

Les cookies nécessaires à la commande sont exemptés de consentement au titre de l'article 5.3 de la directive ePrivacy. L'analytique, les pixels de conversion, les traceurs publicitaires et les cookies de remarketing exigent tous un consentement informé, préalable, granulaire et révocable. Cartpanda traitant données de paiement et de contact pour le marchand, un contrat de sous-traitance au sens de l'article 28 du RGPD est obligatoire.

Exigences de consentement

Déployez une CMP qui charge conditionnellement l'analytique Cartpanda et les pixels publicitaires uniquement après acceptation. Affichez un bouton refuser clair, conservez la preuve de consentement avec horodatage et version, et permettez le retrait à tout moment. Configurez Google Consent Mode v2 et les paramètres Facebook Conversions API de manière cohérente.

Transferts de données

Cartpanda transfère des données personnelles UE vers des régions AWS aux États-Unis et vers ses opérations au Brésil. Les transferts UE États-Unis peuvent reposer sur le Data Privacy Framework si l'importateur est certifié, sinon sur des Clauses Contractuelles Types. Les transferts UE Brésil reposent sur les CCT (absence de décision d'adéquation). Une analyse d'impact des transferts est requise pour les deux flux.

Étapes pratiques de mise en conformité

Signez le DPA avec Cartpanda, inscrivez-le au registre des traitements, documentez chaque cookie, déployez une CMP qui bloque les tags non essentiels par défaut, configurez le suivi côté serveur lorsque possible, limitez les accès admin, fixez la conservation des commandes et paniers abandonnés, publiez une politique mentionnant le Brésil et les États-Unis comme destinations.