← Hjelpesenter

Samtykke og personvern

Hvordan ROASaurus håndterer cookie-samtykke, kundedata og GDPR-forespørsler.

ROASaurus kjører i butikken din som din databehandler. Du bestemmer om det trengs samtykke fra en besøkende. Når en besøkende avslår, får de ingen besøks-ID, så annonseklikkene og besøkene deres kobles ikke til dem, og nettleser-eventene deres sendes ikke til annonseplattformer. Selve den betalte bestillingen sendes likevel server-side med hashede bestillingsdata, som forklart nedenfor.

Samtykkeinnstillingen

Hver butikk har en Consent-innstilling under Store settings:

• Respect visitor consent (standard, og påkrevd i EU). ROASaurus sjekker den besøkendes samtykke til markedsføring før den spores.
• Strict. Ingenting sendes, og ingenting på enheten leses eller skrives før den besøkende samtykker, og serveren forkaster alle nettleser-events uten uttrykkelig samtykke. Når den besøkende samtykker senere, sendes bare visningen av den aktuelle siden.
• Always track. Bare for butikker som selger der samtykke ikke er påkrevd.

Anonymous measurement er slått av som standard. Når du slår det på, blir besøkende som har avslått eller ikke har valgt, telt, men aldri sporet: én liten forespørsel per sidevisning, produktvisning, legg i handlekurv og påbegynt checkout, uten cookies, lagring, ID-er eller annonsepixler, lagt sammen i daglige totaler. Om det er tillatt for de besøkende dine, er et juridisk spørsmål, så ROASaurus slår det aldri på av seg selv. Siden Consent i dashboardet viser samtykkeraten, og bestillinger og omsetning etter samtykkestatus.

På Shopify

Med Respect visitor consent leser butikkskriptet og checkout-pixelen Shopifys Customer Privacy API, som cookie-banneret ditt (Shopifys eget eller en samtykke-app) fyller ut. Når en besøkende ikke har gitt samtykke til markedsføring:

• ingen cookie med besøks-ID settes, og ingen click id-er eller UTM-er fra besøket deres lagres;
• nettleserpixlene (Meta, TikTok, Snapchat, Pinterest, Reddit og de andre) lastes ikke;
• sidevisninger, produkter lagt i handlekurven og checkouts logges uten besøks-ID, IP-adresse, nettleserdetaljer eller kontaktopplysninger, og uten query-strengen i sideadressen, der click id-er og kampanjetagger ligger. De sendes ikke til annonseplattformer.

Hvis den besøkende endrer valget sitt senere, også under checkout, følger ROASaurus det nye valget. Hvis butikken ikke har noe cookie-banner i det hele tatt, rapporterer Shopifys API ingenting, og ROASaurus behandler den besøkende som samtykkende, unntatt i Strict-modus, så installer et banner før du selger i EU.

Shopify tar med landingssideadressen til bestillingen i bestillingsdataene, og den adressen kan inneholde kampanjetagger og click id-er. ROASaurus bruker den bare i dine egne rapporter, som reserveløsning for attribusjon; den sendes ikke til annonseplattformer.

På andre nettbutikker

ROASaurus-skriptet leser valget til den besøkende fra samtykkeverktøyet ditt: OneTrust, Cookiebot, Usercentrics, Didomi, CookieYes, iubenda, Termly, Complianz, Osano, TrustArc, alle IAB TCF-bannere, Google Consent Mode eller WP Consent API (som andre WordPress-plugins for samtykke fyller ut). I samtykkeinnstillingene for butikken kan du velge verktøyet og koble verktøyets egne kategorier til analyse og markedsføring. Med et annet verktøy kaller du tlq('consent', true) når den besøkende godtar markedsføringscookies, og tlq('consent', false) når de avslår. Inntil den besøkende godtar, gjelder de samme reglene som på Shopify: ingen besøks-ID, ingen click id-er eller kontaktopplysninger og ingen nettleserpixler. Hvis siden ikke har noe samtykkeverktøy i det hele tatt, behandler ROASaurus den besøkende som samtykkende, unntatt i Strict-modus.

WooCommerce-pluginen lagrer tracking-cookies på en bestilling bare når den besøkende har tillatt markedsføringscookies.

Kjøp sendt fra serveren

Kjøp kommer fra bestillingsdataene dine (Shopifys bestillings-webhook eller plattformens connector), ikke fra nettleseren. For en bestilling der den besøkende har avslått, finnes det ingen besøks-ID eller click id å legge ved. Purchase-eventen bygges likevel fra bestillingen: den inneholder kundeopplysningene på bestillingen, hashet, samt IP-adressen og nettleseren bestillingen ble lagt inn fra. Den går til Meta, TikTok, Snapchat, Pinterest, Reddit, X, Microsoft og Taboola; LinkedIn og mottakerne som er lagt til etter den, får ingenting for en slik bestilling, og Google Analytics 4 får den som et anonymt salg. Hvis juridisk rådgivning sier at purchase-events også krever forhåndssamtykke, kontakt oss før du slår på server-side-kjøp.

Hva som lagres og sendes

• E-postadresser, telefonnumre og adresser hashes med SHA-256 før de sendes til en annonseplattform.
• Besøks-ID-cookien _tl settes på butikkens domene i 365 dager, bare med samtykke. ROASaurus leser plattformenes egne cookies (som _fbp og _fbc) når de finnes.
• Ingen fingerprinting av nettleseren. Crawlere, lenkeforhåndsvisere og headless-nettlesere filtreres bort på serveren.
• Plattform-tokens og API-nøkler er kryptert i hvile.
• Eiere velger hvor lenge rå events og besøksdata lagres, fra 30 dager til 2 år.
• Data lagres i Amsterdam i Nederland. Underdatabehandlere er oppført i databehandleravtalen.

GDPR-forespørsler

Shopifys personvern-webhooks håndteres automatisk. En sletting av kunde fjerner den kundens personopplysninger fra bestillingene ROASaurus lagrer, samt kontaktopplysningene, IP-adressene og nettleseropplysningene fra besøkene som er koblet til disse bestillingene. En sletting av butikk, 48 timer etter at du avinstallerer appen, sletter alle data om butikken. Ved en forespørsel om kundedata samler ROASaurus det den har om kunden (bestillinger, tilknyttede events fra nettbutikken, annonseklikk og undersøkelsessvar), sender en e-post til butikkens eiere og administratorer og lar dem laste ned dataene fra Shopify-siden for butikken, slik at de kan sende dem til kunden. Hver forespørsel vises der. Hvis du fjerner en butikk i dashboardet, slettes dataene med en gang. For andre nettbutikker sender du en e-post til hello@roasaurus.com med kundens e-postadresse, så behandler vi forespørselen. Vår egen rolle og lagringsperioder står i personvernerklæringen.

Står du fast? Send oss en e-post.