Lojas online de marca própria vendendo na UE

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy
• Directive 2011/83/EU — Consumer rights
• Directive 2005/29/EC — Unfair commercial practices
• Regulation (EU) 2023/988 — GPSR Article 19 for the listings

Quem tem de designar

Qualquer varejista estabelecido fora da União que opere sua própria loja e venda para consumidores na UE. Duas obrigações distintas surgem: a parte de dados, porque você processa dados de clientes e visitantes e quase certamente executa análises e pixels de publicidade, e a parte do produto, porque cada item físico que você envia precisa de um operador econômico da UE.

Limiares e isenções

Sem limite de nenhum dos lados. A isenção estreita do Artigo 27(2) não cobre uma loja com um banco de dados de clientes, e o GPSR se aplica desde o primeiro item enviado.

O que deve constar do rótulo

No site: a identidade e os detalhes de contato do representante no aviso de privacidade, a identificação do comerciante exigida pela legislação do consumidor, as informações sobre o direito de desistência com o formulário modelo, termos de entrega e pagamento, e sob o Artigo 19 do GPSR, os detalhes do fabricante e da pessoa responsável e avisos para cada produto antes da compra.

Campos nos marketplaces

Provedores de pagamento e plataformas verificam cada vez mais a identidade do comerciante e a presença de um banner de cookies legal. As autoridades de defesa do consumidor realizam varreduras coordenadas sobre direitos de desistência, contadores regressivos e escassez falsa, e casos transfronteiriços são perseguidos através da rede CPC.

Documentação a conservar

Registros do Artigo 30 listando cada atividade de processamento e cada processador, desde a plataforma da loja até a ferramenta de e-mail e os pixels de anúncios. A designação do Artigo 27. Uma plataforma de gerenciamento de consentimento com registros de consentimento por usuário. Acordos de processamento de dados com cada processador. Cláusulas contratuais padrão e avaliações de impacto de transferência para transferências fora da UE. Documentação técnica do produto para os próprios bens.

Normas e ensaios

Não aplicável, exceto que o banner de cookies é efetivamente testado pelos reguladores: se tags não essenciais são ativadas antes do consentimento, se recusar é tão fácil quanto aceitar, e se o consentimento é registrado. Varreduras automatizadas são comuns.

Requisitos linguísticos

Aviso de privacidade, banner de cookies e informações ao consumidor na língua de cada mercado que você visa. Uma loja localizada com uma camada legal apenas em inglês é uma falha de transparência.

A partir de quando

O representante antes do início do processamento. Consentimento antes de qualquer cookie ou pixel não essencial ser ativado, o que significa antes da primeira chamada de análise, não depois que a página carrega. Informações sobre direitos de desistência antes do pedido ser feito.

Prazo de conservação

Registros de processamento durante toda a vida do processamento. Registros de consentimento enquanto o processamento continuar. Registros de pedidos e fiscais conforme a legislação nacional, tipicamente de seis a dez anos, que é uma retenção separada e mais longa do que os dados de marketing.

Em caso de incumprimento

Até €20 milhões ou 4% do faturamento por processamento ilegal, €10 milhões ou 2% por falta de representante, multas nacionais separadas por infrações de cookies, e penalidades de direito do consumidor de até 4% do faturamento sob as regras do Omnibus para infrações generalizadas. Falhas no GPSR não suprimem nada em seu próprio site, mas trazem ordens de retirada de produtos.

Quem fiscaliza

Autoridades de proteção de dados em qualquer estado membro onde os clientes estejam, autoridades de proteção ao consumidor através da rede CPC, e autoridades de vigilância do mercado para os produtos.

Onde está a fronteira

Operar sua própria loja remove o filtro de conformidade do marketplace, que os vendedores frequentemente experimentam como liberdade e as autoridades experimentam como um canal não monitorado. Ninguém suprime sua listagem, então o primeiro sinal geralmente é uma reclamação ou uma varredura, e até lá a exposição cobre todo o período de negociação.

Perguntas frequentes

Usamos Shopify — isso nos cobre?

Shopify é um processador para a loja e um controlador para seus próprios fins. Suas obrigações como controlador, incluindo o representante do Artigo 27, não são afetadas pela plataforma que você escolheu.

Precisamos de consentimento para análises?

Para armazenar ou ler qualquer coisa no dispositivo do usuário que não seja estritamente necessário, sim, antes que isso aconteça. Isso cobre cookies de análise e publicidade e a maioria do rastreamento baseado em pixels.

Uma política de privacidade dos EUA é suficiente?

Não. Deve declarar o representante da UE, as bases legais, os períodos de retenção, o mecanismo de transferência e os direitos sob os Artigos 15 a 22, na língua dos usuários.