← Centro de ayuda

Consentimiento y privacidad

Cómo gestiona ROASaurus el consentimiento de cookies, los datos de los clientes y las solicitudes del RGPD.

ROASaurus funciona en tu tienda como tu encargado del tratamiento. Tú decides si hace falta el consentimiento de un visitante. Cuando un visitante lo rechaza, no recibe ningún id de visitante, así que sus clics en anuncios y sus visitas no se vinculan con él y sus eventos del navegador no se envían a las plataformas publicitarias. El propio pedido pagado se sigue enviando desde el servidor con datos del pedido con hash, como se explica más abajo.

El ajuste de consentimiento

Cada tienda tiene un ajuste Consent en Store settings:

• Respect visitor consent (el valor por defecto y obligatorio en la UE). ROASaurus comprueba el consentimiento de marketing del visitante antes de hacerle tracking.
• Strict. No se envía nada, ni se lee o escribe nada en el dispositivo, hasta que el visitante da su consentimiento, y el servidor descarta cualquier evento del navegador sin consentimiento explícito. Si el visitante da su consentimiento más tarde, solo se envía la visita de esa página.
• Always track. Solo para tiendas que venden donde no se exige consentimiento.

Anonymous measurement está desactivado por defecto. Al activarlo, los visitantes que rechazaron o no eligieron se cuentan, pero nunca se rastrean: una pequeña solicitud por visita de página, vista de producto, añadido al carrito y checkout iniciado, sin cookies, almacenamiento, ids ni píxeles publicitarios, que se suma a los totales diarios. Si eso está permitido para tus visitantes es una cuestión legal, así que ROASaurus nunca lo activa por su cuenta. La página Consent del dashboard muestra la tasa de consentimiento, y los pedidos y los ingresos por estado de consentimiento.

En Shopify

Con Respect visitor consent, el script de la tienda y el píxel de checkout leen la Customer Privacy API de Shopify, que rellena tu banner de cookies (el propio de Shopify o una app de consentimiento). Cuando un visitante no ha dado su consentimiento de marketing:

• no se crea ninguna cookie con el id de visitante y no se guardan click ids ni UTM de su navegación;
• los píxeles del navegador (Meta, TikTok, Snapchat, Pinterest, Reddit y los demás) no se cargan;
• las visualizaciones de página, los añadidos al carrito y los checkouts se registran sin id de visitante, dirección IP, datos del navegador ni datos de contacto, y sin la cadena de consulta de la dirección de la página, donde están los click ids y las etiquetas de campaña. No se envían a las plataformas publicitarias.

Si el visitante cambia su elección más tarde, también durante el checkout, ROASaurus sigue la nueva elección. Si la tienda no tiene ningún banner de cookies, la API de Shopify no indica nada y ROASaurus trata al visitante como si hubiera dado su consentimiento, salvo en el modo estricto, así que instala un banner antes de vender en la UE.

Shopify incluye la dirección de la página de llegada del pedido en los datos del pedido, y esa dirección puede contener etiquetas de campaña y click ids. ROASaurus la usa solo en tus propios informes, como respaldo para la atribución; no se envía a las plataformas publicitarias.

En otras tiendas online

El script de ROASaurus lee la elección del visitante en tu herramienta de consentimiento: OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, cualquier banner IAB TCF, Google Consent Mode o la WP Consent API (que rellenan otros plugins de consentimiento de WordPress). En los ajustes de consentimiento de la tienda puedes elegir la herramienta y asignar sus propias categorías a analítica y marketing. Con otra herramienta, llama a tlq('consent', true) cuando el visitante acepte las cookies de marketing y a tlq('consent', false) cuando las rechace. Hasta que el visitante acepte, se aplican las mismas reglas que en Shopify: sin id de visitante, sin click ids ni datos de contacto, y sin píxeles del navegador. Si la página no tiene ninguna herramienta de consentimiento, ROASaurus trata al visitante como si hubiera dado su consentimiento, salvo en el modo estricto.

El plugin de WooCommerce solo guarda las cookies de tracking en un pedido cuando el visitante permitió las cookies de marketing.

Compras enviadas desde el servidor

Las compras proceden de los datos de tus pedidos (el webhook de pedidos de Shopify o el conector de tu plataforma), no del navegador. Para un pedido cuyo visitante rechazó el consentimiento, no hay id de visitante ni click id que adjuntar. El evento de compra se crea igualmente a partir del pedido: incluye los datos del cliente de ese pedido, con hash, y la dirección IP y el navegador desde los que se hizo el pedido. Se envía a Meta, TikTok, Snapchat, Pinterest, Reddit, X, Microsoft y Taboola; LinkedIn y los destinos añadidos después no reciben nada por un pedido así, y Google Analytics 4 lo recibe como una venta anónima. Si tu asesoría legal indica que los eventos de compra también necesitan consentimiento previo, contacta con nosotros antes de activar las compras server-side.

Qué se guarda y qué se envía

• Los emails, los números de teléfono y las direcciones se convierten en hash SHA-256 antes de enviarse a una plataforma publicitaria.
• La cookie de id de visitante _tl se crea en el dominio de tu tienda durante 365 días, solo con consentimiento. ROASaurus lee las cookies propias de las plataformas (como _fbp y _fbc) cuando existen.
• Sin fingerprinting del navegador. Los rastreadores, los generadores de vistas previas de enlaces y los navegadores headless se filtran en el servidor.
• Los tokens de las plataformas y las claves de API se cifran en reposo.
• Los propietarios eligen cuánto tiempo se conservan los eventos sin procesar y los datos de visitantes, de 30 días a 2 años.
• Los datos se almacenan en Ámsterdam, Países Bajos. Los subencargados del tratamiento figuran en el acuerdo de tratamiento de datos.

Solicitudes del RGPD

Los webhooks de privacidad de Shopify se gestionan automáticamente. Una solicitud de supresión de cliente elimina los datos personales de ese cliente de los pedidos que guarda ROASaurus, así como los datos de contacto, las direcciones IP y los datos del navegador de las visitas vinculadas a esos pedidos. Una supresión de tienda, 48 horas después de que desinstales la app, elimina todos los registros de la tienda. Ante una solicitud de datos de un cliente, ROASaurus recopila lo que tiene sobre ese cliente (pedidos, eventos de la tienda vinculados, clics en anuncios y respuestas de encuestas), envía un email a los propietarios y administradores de la tienda y les permite descargarlo desde la página Shopify de la tienda para enviárselo al cliente. Cada solicitud aparece allí. Eliminar una tienda en el dashboard borra sus datos al instante. Para otras tiendas online, escribe a hello@roasaurus.com con el email del cliente y nos ocupamos de la solicitud. Nuestro propio papel y los plazos de conservación figuran en la política de privacidad.

¿Sigues con problemas? Escríbenos.