E-commerce

Gumroad

Gumroad est une plateforme américaine merchant of record qui permet aux créateurs de vendre des ebooks, téléchargements, logiciels, abonnements et formations en ligne. Les créateurs lient à une page hébergée Gumroad ou intègrent un overlay chargé depuis gumroad.com sur leur site. En tant que merchant of record, Gumroad collecte la TVA UE, gère les remboursements et achemine les paiements via Stripe et PayPal. L'overlay dépose des cookies non strictement nécessaires : les sites UE doivent le conditionner au consentement et documenter le transfert US.

Bloquer Gumroad jusqu'au consentement Scanner mon site

Présentation

Que fait Gumroad ?

Qu'est-ce que Gumroad ?

Gumroad est une plateforme américaine immatriculée Gumroad Inc. à San Francisco, Californie, fondée en 2011 par Sahil Lavingia. Elle cible les créateurs indépendants qui veulent vendre des biens numériques (ebooks, formations, logiciels, musique, ressources graphiques), des biens physiques et des abonnements récurrents. Gumroad opère comme merchant of record (MoR) : c'est Gumroad Inc. qui figure légalement sur la facture, collecte la TVA UE et autres taxes, gère les remboursements et reverse le revenu net au créateur.

Les créateurs peuvent envoyer les acheteurs sur une page hébergée Gumroad (creator.gumroad.com ou gumroad.com/l/PRODUIT) ou utiliser l'overlay Gumroad, un snippet JS qui ouvre le checkout dans une iframe sur le site du créateur.

Cookies et données collectés

Quand l'overlay Gumroad est intégré sur un site tiers, gumroad.js charge depuis gumroad.com. L'iframe pose des cookies first party Gumroad (_gumroad_session, _gumroad_guid d'attribution panier, jeton CSRF) et des cookies Cloudflare bot management. Le checkout Stripe ajoute __stripe_mid et __stripe_sid ; si l'acheteur paye en PayPal, des cookies paypal_* sont chargés. Sur son propre site, Gumroad utilise par ailleurs Google Analytics 4, Microsoft Clarity et Segment.

RGPD et ePrivacy

L'intégration de l'overlay charge des cookies avant toute action du visiteur, déclenchant l'art. 5(3) ePrivacy et imposant un consentement préalable en UE. Sur le checkout hébergé Gumroad, les cookies strictement nécessaires à l'achat reposent sur l'exécution du contrat et sont exemptés. En tant que MoR, Gumroad est responsable distinct pour la TVA, la facturation et les remboursements.

Consentement et implémentation

Pour le trafic UE, remplacez l'overlay par un bouton ouvrant la page hébergée Gumroad dans un nouvel onglet tant que le visiteur n'a pas accepté la catégorie fonctionnelle ou marketing dans le CMP. Une fois le consentement donné, chargez gumroad.js et laissez l'overlay s'ouvrir. L'interaction avec le checkout se fait alors sur le domaine Gumroad, avec sa propre politique et ses propres contrôles.

Transferts internationaux

Tout le traitement Gumroad a lieu sur AWS US East. Le DPA Gumroad intègre les CCT (modules 2 et 3) et référence le Data Privacy Framework UE/États Unis. Stripe et PayPal appliquent leurs propres mécanismes (entités UE en Irlande, CCT vers les États Unis, certifications DPF).

Étapes pratiques de conformité

Signez le DPA Gumroad depuis votre compte. Conditionnez l'overlay au CMP et utilisez un lien statique vers la page hébergée tant que le consentement n'est pas donné. Listez Gumroad, Stripe et PayPal dans la politique et le registre art. 30. Mentionnez la relation merchant of record et le transfert US sous CCT et DPF. Préparez votre service client : les acheteurs contactent Gumroad pour les remboursements et reçus TVA.

Conformité

Gumroad et le RGPD

Gumroad est classé dans la catégorie « Préférences ». Sur un site qui vise des visiteurs européens, il ne doit se charger qu'après le consentement du visiteur, et doit figurer dans votre politique de cookies.

Base légale: Consent (Art. 6(1)(a) GDPR and Art. 5(3) ePrivacy) for the Gumroad overlay loaded on the creator's own site, because the iframe sets non strictly necessary cookies before any action by the visitor. Contract performance (Art. 6(1)(b)) for the purchase the buyer initiates on the Gumroad hosted page itself. Legal obligation (Art. 6(1)(c)) for EU VAT collection and reporting, since Gumroad is the merchant of record.
Niveau de risque: medium
Textes applicables: GDPR, UK GDPR, ePrivacy Directive 2002/58/EC, EU US Data Privacy Framework, EU VAT (OSS / MOSS), PSD2, PCI DSS, US CCPA/CPRA

Analyse d'impact (AIPD)

Une AIPD n'est pas requise pour un créateur classique utilisant Gumroad. Elle devient pertinente pour les créateurs gérant un large catalogue avec analytics étendu, profilage d'audience, suivi de complétion de formation et recommandations IA sur la même base.

Exemple de texte pour votre bannière

Les ventes de ce site sont opérées par Gumroad (Gumroad Inc., États Unis), notre merchant of record. L'overlay Gumroad dépose des cookies fonctionnels et analytiques, ouvre une iframe vers gumroad.com, traite les paiements via Stripe et PayPal et reverse la TVA UE en notre nom. Les transferts vers les États Unis sont encadrés par les Clauses Contractuelles Types et le Data Privacy Framework.

Cookies et traceurs

Ce que Gumroad dépose et contacte

Méthode de suivi: Merchant of record platform for digital creators: hosted product pages on gumroad.com and an embeddable overlay loaded from gumroad.com/js/gumroad.js or gumroad.com/js/gumroad embed.js; the overlay opens an iframe to gumroad.com that hosts the checkout; first party Gumroad session and CSRF cookies are set on gumroad.com, payments are routed through Stripe and PayPal
Localisation des serveurs: United States (Gumroad Inc., San Francisco, California, headquarters); production hosted on AWS US East regions; static assets and the storefront served from AWS CloudFront and Cloudflare with EU edge presence
Transfert de données hors UE: Gumroad Inc. is established in the United States and processes EU customer data on AWS US East. Gumroad is the merchant of record for digital goods and is registered for EU VAT through the MOSS / OSS scheme. The Gumroad DPA incorporates the EU Standard Contractual Clauses (modules 2 and 3) and references the EU US Data Privacy Framework. Payment processors (Stripe, PayPal) apply their own SCCs and DPF certifications.

Cookies déposés (5)

Nom	Type	Durée	Finalité
_gumroad_session	third_party	2 weeks	Gumroad session cookie set on gumroad.com to keep an authenticated session and an in progress checkout.
_gumroad_guid	third_party	1 year	Gumroad attribution and recognition identifier used to attribute purchases to the originating link or affiliate.
__cf_bm	third_party	30 minutes	Cloudflare bot management cookie set on gumroad.com to distinguish humans from automated traffic.
__stripe_mid	third_party	1 year	Stripe machine identifier loaded during the Gumroad Stripe checkout step for fraud prevention.
__stripe_sid	third_party	30 minutes	Stripe session identifier loaded during the Gumroad Stripe checkout step for fraud detection.

Domaines tiers contactés (5)

gumroad.com
public-files.gumroad.com
static.gumroad.com
js.stripe.com
www.paypal.com

Questions

Questions fréquentes sur Gumroad

Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.

Nous écrire

Quels cookies Gumroad dépose-t-il ?

Le chargement de l'overlay Gumroad pose des cookies first party Gumroad sur gumroad.com (_gumroad_session, _gumroad_guid d'attribution panier, jeton CSRF) et des cookies Cloudflare bot management (__cf_bm, _cfuvid). Le checkout Stripe ajoute __stripe_mid, __stripe_sid et m. En PayPal, des cookies paypal_* sont chargés.

Faut-il un consentement pour charger l'overlay Gumroad ?

Oui. L'overlay charge gumroad.js avant toute action du visiteur, posant des cookies non strictement nécessaires. L'art. 5(3) ePrivacy impose un consentement préalable en UE. Tant qu'aucun consentement n'est donné, remplacez l'overlay par un bouton statique vers la page hébergée Gumroad dans un nouvel onglet.

Quelle est la base légale ?

Consentement (art. 6(1)(a) RGPD et art. 5(3) ePrivacy) pour le chargement de l'overlay et de ses cookies. Exécution du contrat (art. 6(1)(b)) pour l'achat sur la page hébergée Gumroad. Obligation légale (art. 6(1)(c)) pour la collecte de TVA UE, puisque Gumroad est merchant of record.

Gumroad transfère-t-il des données hors UE ?

Oui. Gumroad Inc. est établi aux États Unis et traite les données UE sur AWS US East. Le DPA Gumroad intègre les CCT (modules 2 et 3) et référence le Data Privacy Framework. Stripe et PayPal appliquent leurs propres mécanismes.

Faut-il une AIPD pour Gumroad ?

Pas requise pour un créateur qui vend quelques produits. Elle peut devenir pertinente quand Gumroad est combiné à un profilage client étendu, des emails d'audience, du suivi de complétion de formations et des recommandations IA sur la même base.

Comment intégrer Gumroad de manière conforme ?

Signez le DPA, conditionnez l'overlay au CMP, utilisez un lien statique tant que le consentement n'est pas donné, mentionnez Gumroad, Stripe et PayPal dans la politique, documentez le transfert US avec CCT et DPF, ajoutez Gumroad au registre art. 30 et redirigez les demandes de remboursement et de TVA vers Gumroad comme MoR.

Existe-t-il des alternatives à Gumroad ?

Plateformes commerce créateur UE friendly : Lemon Squeezy (US avec DPF, voir notre page dédiée), Paddle (UK MoR), Podia, Kajabi (US), Teachable (US), SendOwl (UK), Tipeee (France), Lemonway, Stripe Checkout / Payment Links pour gestion autonome. Sans MoR : Mollie (Pays Bas) ou Adyen (Pays Bas).

Comment mettre à jour ma politique cookies et confidentialité ?

Listez les cookies Gumroad et Stripe dans la politique cookies par catégories. Dans la politique de confidentialité, décrivez Gumroad comme merchant of record pour les biens numériques, l'overlay, l'iframe vers gumroad.com, le transfert US sous CCT et DPF et le rôle de Stripe et PayPal comme sous traitants distincts.

Mettez votre site en conformité aujourd'hui.

Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.

Créer ma bannière Scanner mon site