- Regulation (EU) 2016/679 — GDPR, Article 27
- Directive 2002/58/EC — ePrivacy
- Directive 2011/83/EU — Consumer rights
- Directive 2005/29/EC — Unfair commercial practices
- Regulation (EU) 2023/988 — GPSR Article 19 for the listings
谁必须指定
任何在欧盟以外设立的零售商，经营自己的商店并向欧盟消费者销售。产生两项不同的义务：数据方面，因为您处理客户和访客数据，并几乎肯定运行分析和广告像素；产品方面，因为您发运的每一件实物商品都需要一个欧盟经济运营商。
门槛与豁免
两边均无门槛。狭义的第27条第2款豁免不适用于拥有客户数据库的商店，GPSR适用于首次发运的商品。
标签上必须载明的内容
在网站上：隐私通知中代表的身份和联系信息，消费者法要求的商家识别，撤回权信息及模型表格，交付和支付条款，以及根据GPSR第19条在购买前每个产品的制造商和责任人详细信息及警告。
平台字段
支付提供商和平台越来越多地验证商家的身份和合法的cookie横幅的存在。消费者机构对撤回权、倒计时器和虚假稀缺性进行协调检查，跨境案件通过CPC网络进行追踪。
必须保存的文件
第30条记录列出每个处理活动和每个处理者，从商店平台到电子邮件工具和广告像素。第27条指定。具有每用户同意日志的同意管理平台。与每个处理者的数据处理协议。针对非欧盟转移的标准合同条款和转移影响评估。商品本身的产品技术文档。
标准与检测
不适用，除了cookie横幅由监管机构有效测试：非必要标签是否在同意之前触发，拒绝是否与接受一样容易，以及同意是否被记录。自动检查很常见。
语言要求
隐私通知、cookie横幅和消费者信息应使用您所针对的每个市场的语言。仅有英文法律层的本地化商店是透明度失败。
何时开始适用
在处理开始之前的代表。在任何非必要cookie或像素触发之前获得同意，这意味着在第一次分析调用之前，而不是在页面加载后。在下订单之前提供撤回权信息。
文件保存期限
处理记录在处理期间保存。只要处理继续，便保存同意日志。根据国家法律保存订单和税务记录，通常为六到十年，这与营销数据的保存期限不同且更长。
不合规的后果
因非法处理最高可罚2000万欧元或营业额的4%，因缺失代表最高可罚1000万欧元或营业额的2%，因cookie违规的国家罚款，以及根据Omnibus规则因广泛违规而处以最高营业额4%的消费者法罚款。GPSR失败不会抑制您自己网站上的任何内容，但会带来产品撤回命令。
由谁执法
在客户所在的任何成员国的数据保护机构，通过CPC网络的消费者保护机构，以及产品的市场监管机构。
界限在哪里
经营自己的商店去除了市场的合规过滤器，卖家通常将其视为自由，而当局则将其视为未监控的渠道。没有人抑制您的列表，因此第一个信号通常是投诉或检查，而到那时曝光覆盖了整个交易期。
常见问题
- 我们使用Shopify——这能覆盖我们吗？
- Shopify是商店的处理者，也是其自身目的的控制者。您作为控制者的义务，包括第27条代表，不受您选择的平台影响。
- 我们需要分析的同意吗？
- 对于存储或读取用户设备上任何非严格必要的内容，是的，在发生之前。这涵盖了分析和广告cookie以及大多数基于像素的跟踪。
- 美国隐私政策足够吗？
- 不。它必须说明欧盟代表、合法依据、保留期限、转移机制以及根据第15至22条的权利，使用用户的语言。