gdpr-ecommerce

GDPR 电子商务

概述

GDPR（《通用数据保护条例》）要求面向欧盟／英国客户提供服务的电商商店在处理数据前获取知情同意、提供数据可携权（第 20 条）、支持被遗忘权（第 17 条），并为每一类个人数据处理活动提供合法依据。违规最高可被罚款 2,000 万欧元或全球年营业额的 4%。所有主流平台都内置了 GDPR 工具；主要缺口在于 Cookie 同意管理以及处理数据主体访问请求（SAR）。

何时使用此技能

• 当你的商店面向欧盟、欧洲经济区或英国客户提供服务时（英国 GDPR）
• 当你添加会处理个人数据的分析、营销或个性化工具时
• 当客户提交数据主体访问请求（SAR）或删除请求时
• 当你审核第三方集成是否符合 GDPR 时
• 当你准备进行数据保护审计或审核 DPA（数据处理协议）时

核心说明

第 1 步：梳理数据处理活动

在配置任何工具之前，请记录每一类个人数据及其合法依据。第 30 条要求大型处理者维护处理活动记录（RoPA），并建议所有处理者都这样做：

数据类别	合法依据	保留期限
订单数据（姓名、地址、商品）	合同（第 6(1)(b) 条）	7 年（税法要求）
账户数据（电子邮件、密码哈希）	合同	直到账户删除后 30 天
分析数据（页面浏览量、会话时长）	合法利益／同意	13 个月
营销电子邮件	同意（第 6(1)(a) 条）	直至取消订阅
欺诈防范（IP、设备指纹）	合法利益	90 天

第 2 步：实施 Cookie 同意机制

---

Shopify

Shopify 通过 Privacy & Compliance 应用免费提供内置 Cookie 同意横幅：

1. 前往 Apps → Shopify Privacy & Compliance（或在 App Store 中搜索）
2. 配置横幅文字、位置以及要征求同意的 Cookie 类别
3. 此应用与 Shopify 的 Consent API 集成，因此分析和营销像素会遵循客户的选择
4. 也可以安装专用的 CMP（同意管理平台），例如 CookieYes 或 Cookiebot——两者都提供 Shopify 应用集成

启用遵循同意设置的分析功能：

• 对于 Google Analytics / GA4：使用 Shopify 的 Customer Events（Settings → Customer events），该功能会自动遵循同意设置
• 对于自定义 Pixel 跟踪：使用 Shopify Customer Privacy API，在加载跟踪代码前检查同意状态

---

WooCommerce

WooCommerce 从 3.4 版本起包含基本的 GDPR 功能，但 Cookie 同意需要专用插件。

安装 GDPR Cookie Consent（由 WebToffee 提供）——免费／高级版：

1. 从 WordPress 插件目录安装
2. 前往 Cookie Law Info → Settings：
   • 配置横幅文字、颜色和按钮标签
   • 设置 Cookie 类别：必要（始终启用）、分析、营销
   • 将已安装的插件／脚本映射到相应类别（Google Analytics → 分析、Facebook Pixel → 营销）
3. 在用户给予同意前，该插件会阻止第三方脚本运行

WordPress 原生 GDPR 工具：

• 前往 Settings → Privacy 配置隐私政策页面
• 前往 Settings → Privacy → Data Erasure Requests——客户可在 My Account 中提交删除请求；WordPress 会生成确认电子邮件，由你手动处理

---

BigCommerce

从 BigCommerce App Marketplace 安装 CookieYes 或 Cookiebot。两者都提供：

• 符合 GDPR 要求的同意横幅
• 在用户给予同意前阻止脚本运行
• 用于审计的同意记录

BigCommerce 还支持通过 Script Manager（Storefront → Script Manager）自定义 Cookie 同意机制——你可以全局添加 Cookiebot 或 CookieYes 脚本。

步骤 3：处理数据主体访问请求（SAR）

根据 GDPR 第 20 条，客户有权在 30 天内以机器可读格式获取其所有个人数据。

---

Shopify

1. 当客户请求获取其数据时，在 Shopify 管理后台中打开其客户资料
2. 点击请求数据 — Shopify 会生成一个数据导出文件，其中包含：
   • 客户资料数据
   • 订单历史记录
   • 地址
3. Shopify 会直接向客户发送包含下载链接的电子邮件

客户隐私设置：

1. 前往设置 → 客户隐私
2. 配置数据请求 Webhook — 当客户请求获取其数据时，Shopify 会向所有已安装的应用发送 customers/data_request Webhook，以便这些应用也能提供其数据

---

WooCommerce

WordPress 内置了个人数据导出工具：

1. 前往工具 → 导出个人数据
2. 输入客户的电子邮件地址，然后点击发送请求
3. 客户会收到确认电子邮件；确认后，你会在管理后台中看到该请求
4. 点击生成导出文件 — WordPress 会从 WooCommerce 和所有带有数据导出器的插件中收集数据
5. 客户会收到一个包含其数据的 zip 文件，格式为机器可读格式

---

BigCommerce

BigCommerce 没有内置的 SAR 工具。若要处理数据请求，请：

1. 使用 BigCommerce Customers API 和 Orders API 提取客户的所有数据
2. 将数据打包为 JSON 或 CSV 导出文件
3. 在收到请求后的 30 天内交付给客户

可以考虑构建或使用 Transcend 或 Mine 等第三方服务，自动处理数据请求。

步骤 4：处理删除权（第 17 条）

删除权必须与法定数据保留义务相平衡（税务记录必须保留 5–7 年）。

---

Shopify

1. 在 Shopify 管理后台中打开客户资料
2. 点击更多操作 → 删除个人数据
3. Shopify 会对客户的 PII 进行匿名化处理（将姓名、电子邮件和电话替换为匿名占位符），同时保留订单记录以便会计核算
4. Shopify 会向所有已安装的应用发送 customers/redact Webhook

---

WooCommerce

1. 前往工具 → 清除个人数据
2. 输入客户的电子邮件地址，并向其发送验证请求
3. 客户确认后，WordPress 和 WooCommerce 会将以下内容匿名化：
   • 客户账户（将电子邮件替换为匿名占位符）
   • 订单（将客户姓名、账单/配送详情替换为“已删除用户”或匿名信息）
4. 财务订单记录会予以保留

---

BigCommerce

使用 Customers API 更新客户记录，将 PII 替换为匿名占位符，并删除客户账户。订单记录会保留（财务数据也会保留），同时移除客户引用信息。

步骤 5：确保营销同意合法有效

仅向明确选择加入的客户发送营销电子邮件。GDPR 禁止预先勾选的复选框。

适用于所有平台：

1. 在注册表单和结账页面中添加标注明确且默认未勾选的复选框：“是的，我愿意接收营销电子邮件”
2. 在数据库（或电子邮件平台）中记录同意时间戳、IP 地址和表单版本
3. 在每封营销电子邮件中加入一键退订链接
4. 立即处理退订 — 标准要求是在 10 个工作日内完成

电子邮件平台：

• Klaviyo：单独跟踪同意；使用 Klaviyo 内置的选择加入表单和同意属性
• Mailchimp：默认使用双重选择加入（建议用于 GDPR 合规）；在受众设置中配置
• Omnisend：内置 GDPR 模式和同意记录功能

第 6 步：签署数据处理协议（DPA）

每个代表你处理客户数据的第三方工具都必须签署 DPA：

1. Stripe：可在 stripe.com/legal/dpa 获取 DPA
2. Klaviyo：可在 Klaviyo 账户设置的 账户 → 隐私 中获取 DPA
3. Google Analytics：在 GA4 管理后台接受 Google 的 DPA
4. Shopify：Shopify 是你客户数据的数据处理方；其 DPA 包含在法律协议中
5. 对于每个供应商，请在其隐私或法律文档中查找并签署 DPA

最佳实践

• 默认拒绝所有同意请求 — 根据 GDPR，同意必须是自由且明确作出的；明确禁止预先勾选的复选框
• 保留同意审计记录 — 记录每次同意的授予、撤回和变更，包括时间戳以及向用户展示的确切同意文本版本
• 在 30 天内响应 SAR — 自动化数据导出，以便通过自助服务门户快速提供；手动导出速度慢，且在规模扩大时容易出错
• 在使用供应商的服务前与其签署 DPA — Stripe、Klaviyo、Google Analytics——任何处理客户数据的工具都必须有 DPA
• 将同意与账户创建分开 — 不要将营销同意与 T&C 接受捆绑在一起；每种处理目的都需要单独、细化的同意
• 定期测试删除管道 — 每季度对测试账户发起数据擦除请求，验证数据库、搜索索引、分析工具和第三方处理方中的所有数据都已删除

常见问题

问题	解决方案
Cookie 横幅预先勾选了分析复选框	GDPR 要求选择加入式同意；第 32 条序言明确禁止预先勾选的复选框
客户请求擦除数据时删除订单	订单必须按照法定税务期限（5–7 年）保留；应匿名化订单中的个人身份信息，而不是删除订单记录
忘记从邮件平台和分析工具中删除数据	Shopify 的 customers/redact webhook 会通知应用；请确保 Klaviyo、Mailchimp 和分析工具也收到删除请求
未保留同意记录却发送营销邮件	对每次营销选择加入，都应存储 IP 地址、时间戳、同意文本版本和同意方式（复选框、注册表单）
缺少关键供应商的 DPA	每年审查供应商列表；如果 Google、Stripe、Klaviyo 和托管服务提供商会处理欧盟客户数据，就都需要 DPA

相关技能

• @data-retention-policies
• @account-security
• @analytics-integration
• @fraud-detection