GDPR и бисквитки в онлайн магазина: настройка в CloudCart

Накратко: по GDPR онлайн магазинът пуска бисквитките за статистика и реклама само след съгласие на клиента, показва политика за поверителност, пази доказателство кой какво е приел и отговаря на искане за достъп или изтриване до 1 месец. В CloudCart това се прави от приложението GDPR: банер, 5 групи бисквитки, 4 готови политики, регистър и заявки.

Статията е за собственици на онлайн магазини, които продават на клиенти в ЕС. Тя описва какво изискват Регламент (ЕС) 2016/679 (GDPR, на български ОРЗД) и Директива 2002/58/ЕО за бисквитките и как всяко задължение се изпълнява в CloudCart, българската платформа за онлайн магазини. Текстът не е правен съвет: окончателните текстове на политиките дайте за преглед на юрист, а за въпроси към регулатора в България се обръщайте към Комисията за защита на личните данни (КЗЛД). Правата на клиента при връщане на стока са в отделната статия за рекламациите и връщането на стока по ЗЗП.

Какво са бисквитките на сайта и кои искат съгласие

Бисквитките (cookies) са малки текстови файлове, които сайтът записва в браузъра на клиента, за да помни количката, входа в профила или откъде е дошъл посетителят. Съгласие искат всички бисквитки, които не са строго необходими за услугата, която клиентът е поискал: статистика, реклама, ремаркетинг и вградени чужди услуги (Директива 2002/58/ЕО, чл. 5, ал. 3).

Правилото важи и за подобните технологии: пиксели, локално хранилище в браузъра и скриптове, които четат данни от устройството. За онлайн магазина това означава, че Google Analytics, Google Ads, Meta Pixel и TikTok Pixel чакат „да“ на клиента, а количката и сесията работят без въпрос.

Вид бисквитка	Пример в онлайн магазин	Нужно ли е съгласие
Строго необходима (сесийна или постоянна)	Количка, вход в профила, избор на език, запис на избора за бисквитките	Не
Статистика (анализ)	Google Analytics 4: посещения, източници, конверсии	Да
Реклама и ремаркетинг	Google Ads, Meta Pixel, TikTok Pixel	Да
Функционални на трети страни	Вградено видео, чат на външна услуга, коментари от Facebook	Да, ако услугата записва свои бисквитки

Собствените бисквитки (first-party) записва домейнът на магазина, а тези на трети страни (third-party) записва чужд домейн, например на рекламната мрежа. Видът на домейна не решава въпроса за съгласието: решава целта на бисквитката.

Какво изисква GDPR от онлайн магазина

GDPR изисква от онлайн магазина пет неща: съгласие преди бисквитките, които не са необходими, ясна информация кой обработва данните, доказателство за даденото съгласие, отговор на исканията на клиентите и защита на данните. Всяко от тях идва от GDPR или от Директивата за бисквитките и има отделен раздел в приложението GDPR на CloudCart.

Задължение	Откъде идва	Къде е в CloudCart
Съгласие, преди да се запишат бисквитки за статистика и реклама	Директива 2002/58/ЕО, чл. 5, ал. 3	Приложения → GDPR → Cookies
Информация кой е администраторът на данните и как се свързва клиентът с него	GDPR, чл. 13	Приложения → GDPR → Address и Policy
Доказателство, че клиентът е дал съгласие	GDPR, чл. 7, ал. 1	Приложения → GDPR → Acceptance
Оттеглянето на съгласието е толкова лесно, колкото даването му	GDPR, чл. 7, ал. 3	Връзка за настройките на бисквитките във витрината
Отговор на искане за достъп, пренос или изтриване до 1 месец	GDPR, чл. 12, ал. 3 и чл. 15–20	Приложения → GDPR → Requests

Глобата за нарушение на основните принципи и правата на клиентите стига до €20 млн. или 4% от годишния световен оборот на фирмата, според това коя сума е по-висока (GDPR, чл. 83, ал. 5). Предварително отметнатото поле не е валидно съгласие. Това реши Съдът на ЕС по делото Planet49 (C-673/17) през 2019 г.

Какво е приложението GDPR в CloudCart и за кого е

Приложението GDPR е модулът на CloudCart за защита на личните данни: то показва банера за бисквитките, спира рекламните скриптове до съгласие, пази политиките и регистъра на съгласията и събира заявките на клиентите. Нужно е на всеки магазин, който има поне един клиент от ЕС.

Без активно приложение магазинът няма банер за съгласие, няма регистър на приемането и няма форма за заявки. Приложението се намира в Приложения → GDPR. В таблицата на страницата с цените (към ноември 2026) редът „GDPR приложение и правни документи“ не е отбелязан в нито един от четирите плана, а на страницата на офертата за €1 „GDPR и правни текстове“ е изредено в плана CC Master. Затова условията на приложението за вашия план проверете в Приложения → GDPR преди инсталирането. Приложението има бутон Enable / Disable: изключеното приложение пази настройките си, но банерът изчезва и скриптовете за реклама тръгват без съгласие.

Приложението има седем раздела:

Раздел	Какво правите там
Overview	Общ преглед и включване на приложението
Settings	Общи настройки и прозорецът за повторно приемане на политиките
Address	Данните на фирмата: име, ЕИК (BULSTAT), МОЛ, телефон, адрес
Cookies	Банерът, групите бисквитки, отделните бисквитки и Google Consent Mode v2
Policy	Политиките: поверителност, общи условия, съгласие за маркетинг, бисквитки
Acceptance	Регистърът кой клиент коя политика е приел, кога и от какво устройство
Requests	Заявките на клиентите за информация, данни, изтриване и отписване

Как се включва GDPR в CloudCart стъпка по стъпка

GDPR в CloudCart се включва в шест стъпки, като данните на фирмата се подготвят първи. Причината е, че при инсталирането платформата вмъква името на фирмата, ЕИК, МОЛ, адреса, телефона и имейла в текста на готовите политики само веднъж. Ако ги промените по-късно, трябва да поправите политиките на ръка.

1. Подгответе данните на фирмата. Нужни са Company or business name, Company registration number (ЕИК), Company owner (МОЛ), Phone, Country, City, Address и Postal code. Платформата не проверява формата на телефона и пощенския код и приема празни полета, затова проверете всичко сами.
2. Инсталирайте приложението. От Приложения изберете GDPR. При инсталирането платформата създава 4 готови политики и 5 групи бисквитки и вмъква данните на фирмата в текста на политиките. По-късно данните се редактират в Приложения → GDPR → Address.
3. Изберете лента или стена. В раздел Cookies, в падащото меню Cookie Consent Mode, изберете Cookie bar (лента в долния край) или Cookie wall (прозорец, който спира страницата). Напишете текста в Cookies bar text и подробното обяснение в Cookies consent text.
4. Настройте групите бисквитки. За всяка група задайте Active, Default state, Name и Description. Добавете отделните бисквитки, които ползва магазинът ви, с име, описание и техническите им имена.
5. Прегледайте политиките. В раздел Policy отворете четирите готови политики, проверете данните на фирмата и добавете своите доставчици на реклама и анализ. Проверете към кои форми е закачена всяка политика.
6. Проверете витрината. Отворете магазина в прозорец „инкогнито“, откажете групата за реклама и вижте, че лентата и връзката за настройките работят. Повторете проверката на телефон, защото голяма част от клиентите пазаруват от телефона, а лентата не трябва да закрива бутона „Добави в количката“. Google не наказва в класирането прозорец, който сайтът показва по законово задължение, като този за бисквитките (Google Search Central), но тесната лента пак е по-удобна от прозорец на цял екран. Какво още проверявате на телефона, вижте в ръководството за мобилната версия на онлайн магазина. Направете тестова регистрация и проверете записа в раздел Acceptance.

Как слагам банер за бисквитките в онлайн магазина

Банерът за бисквитките в CloudCart се включва в Приложения → GDPR → Cookies, с избор между лента (Cookie bar) и стена (Cookie wall) в менюто Cookie Consent Mode. Двата режима се изключват взаимно: изберете ли единия, другият спира.

Лентата е тънка ивица в долния край на страницата, а клиентът може да продължи да разглежда, без да отговори. Стената отваря прозорец при първото посещение и спира страницата, докато клиентът не приеме или не запази своя избор. Европейският комитет по защита на данните смята, че достъп до сайта, обусловен от съгласие за бисквитки, не дава валидно съгласие (Насоки 05/2020 на EDPB). Лентата не пречи на разглеждането, затова за повечето магазини тя е по-сигурният избор.

Петте групи бисквитки

CloudCart създава 5 групи бисквитки при инсталирането. Клиентът приема или отказва цяла група, а не всяка бисквитка поотделно.

Група	За какво служи	Състояние при инсталиране	Препоръка
Строго необходими	Сесия, количка, вход в профила	Винаги включена, не се отказва	Без промяна
Ефективност	Посещения и източници на трафик, например Google Analytics	Активна, „прието“ по подразбиране	Default state: изключено
Функционалност	Видео, чат на живо, избор на език	Активна, „прието“ по подразбиране	Default state: изключено, ако услугите поставят чужди бисквитки
Таргетиране	Реклама: ремаркетинг и конверсии, например Google Ads и TikTok Pixel	Активна, „прието“ по подразбиране	Default state: изключено
Google Consent Mode	Сигнал за съгласие към Google Ads и Google Analytics	Неактивна, „отказано“ по подразбиране	Включете я, ако рекламирате в Google

Полето Default state решава какво важи, преди клиентът да е избрал. При инсталиране групите за ефективност, функционалност и таргетиране са със състояние „прието“, тоест скриптовете им тръгват и без отговор. Валидното съгласие е изрично действие на клиента (GDPR, чл. 4, т. 11), а предварително прието състояние не е такова действие. Затова сменете Default state на „изключено“ за статистиката и рекламата.

Какво се случва, когато клиентът избере

• „Приемам“ приема всички групи и лентата изчезва.
• „Запази настройките“ записва избора по групи и изчиства вече записаните бисквитки от отказаните групи.
• Затварянето с × само скрива лентата на текущата страница. Нищо не се записва и лентата се връща на следващата страница.
• Частичното съгласие се пази, но лентата продължава да се показва, докато не са приети всички групи. Така е замислено: тя напомня, че има неприети групи.

Изборът на клиента се пази 365 дни. Смяната на текста на лентата не пита отново клиентите, които вече са избрали. Приложението показва лентата на всички посетители, независимо от държавата, и не открива бисквитките само: добавяте ги вие в групата им, с име, описание и техническите имена.

Важно: клиентът трябва да може да промени избора си по всяко време (GDPR, чл. 7, ал. 3). Прозорецът с настройките се отваря от връзка във витрината, обикновено „Настройки на бисквитките“ в долния край. Проверете, че темата ви показва такава връзка. Ако я няма, пишете на support@cloudcart.com.

Google Consent Mode v2 и рекламните пиксели

Google Consent Mode v2 е сигнал, с който магазинът казва на Google Ads и Google Analytics дали клиентът е разрешил бисквитките за реклама и анализ. За клиенти от Европейското икономическо пространство Google изисква съгласие, за да ползвате ремаркетинг и измерване на рекламата (политиката на Google за съгласие на потребителите от ЕС).

В CloudCart Consent Mode v2 е отделна група в Приложения → GDPR → Cookies, която по подразбиране е изключена. При включването ѝ платформата иска потвърждение. Групата се включва само при абонамент за приложението GDPR: при стара еднократна покупка системата предлага преминаване към абонамент. Включите ли я, магазинът подава към Google Ads, Google Analytics и Floodlight дали клиентът е приел, и рекламата остава измерима по правилата на Google.

Отказаната група спира и скриптовете на свързаните приложения: Google Analytics, Google Tags, TikTok Pixel и Facebook Comments четат избора на клиента, преди да тръгнат. Как да вържете самите инструменти, вижте в ръководствата за GA4 и Google Tag Manager в онлайн магазина, за рекламата във Facebook и Instagram, за Google Ads за онлайн магазин и за TikTok Shop и рекламата в TikTok. Част от сигурността (SSL, резервни копия, защита от атаки) е описана на страницата домейн, SSL и GDPR, а входът с двуфакторна автентикация е в ръководството сигурност на екипа в CloudCart.

Какво трябва да има в политиката за поверителност и политиката за бисквитките

Политиката за поверителност казва кой обработва данните, кои данни, с каква цел, на какво основание, колко време се пазят, с кого се споделят и как клиентът упражнява правата си (GDPR, чл. 13). Политиката за бисквитките изрежда групите и бисквитките в тях, с целта и срока на всяка.

При инсталиране CloudCart създава 4 политики на езика на магазина (български, английски, румънски, гръцки, унгарски или македонски; за друг език текстът е на английски) и ги закача към формите:

Политика	Къде се показва	Задължителна или по избор
Политика за поверителност	Регистрация и плащане на поръчката	Задължителна
Общи условия	Регистрация и плащане на поръчката	Задължителна
Декларация за съгласие за обработване на лични данни (маркетинг)	Регистрация, плащане и прозореца за абонамент	По избор
Политика за бисквитките	Отделна страница във витрината	Информативна

Всяка политика може да се закачи към всяка от петте форми на магазина: регистрация, контакти, плащане на поръчката, прозорец за абонамент и прозорец за повторно приемане. За всяка форма решавате дали политиката е задължителна (без отметка формата не се изпраща) или по избор. В текста на политиката за бисквитките поставете {cookies_table}: на това място витрината показва таблица с групите и бисквитките, които сте въвели.

Една политика в магазина е маркетинговата. Клиентът, който я приеме, получава маркетингово съгласие в профила си, а отказът го спира. Списъкът с абонати и приложенията за писма реагират на промяната на това съгласие. Как се събират съгласия за писма, вижте в статията за имейл маркетинга на онлайн магазин.

За клиентите, които са се регистрирали преди приложението, включете в Settings прозореца за повторно приемане (show_policies_popup) и напишете текста му. Влезлият клиент, който няма запис за приемане в регистъра, вижда прозореца след вход и приема политиките. Ако промените текста на политика, новото приемане се записва като нова версия при следващото попълване на форма.

Как доказвате кой клиент какво е приел

Доказателството за съгласие в CloudCart е регистърът в Приложения → GDPR → Acceptance: всеки ред показва кой клиент, коя политика, кога и от коя форма я е приел. За всеки ред се пазят още IP адресът и устройството.

Платформата пази точния текст, който клиентът е видял. Промените ли политиката утре, старият запис продължава да показва старата версия, а новите приемания сочат новата. Записите не се редактират и не се трият, дори при изтриване на данните на клиента: тогава се заличават само личните му данни в профила, а фактът на съгласието остава.

Търсенето в регистъра е по имейл. С бутона Export изтегляте Excel файл с 10 колони: номер, клиент, име, телефон, имейл, политика, дата на създаване, дата на промяна, устройство и източник. Експортът иска код за двустепенна проверка, защото файлът съдържа лични данни. При над 500 записа файлът се подготвя на заден план и се появява в изтеглянията ви.

Как обработвам искане за изтриване на данни

Искането за изтриване на данни се обработва в Приложения → GDPR → Requests, а отговорът към клиента е до 1 месец от получаването. Срокът може да се удължи с още 2 месеца при сложни или много искания, като уведомите клиента в първия месец (GDPR, чл. 12, ал. 3).

Клиентът подава заявка от страницата /gdpr във витрината. Видовете са четири:

Вид в списъка	Какво иска клиентът	Какво правите
info	Информация какви данни пазите (чл. 15)	Изпращате му данните; нищо не се променя
download	Данните си във файл (чл. 20)	Изпращате ги в машинночетим вид: CSV, JSON или XML
delete	Изтриване на данните (чл. 17)	Заличавате личните данни в профила; фактурите и поръчките остават
marketing_unsubscribe	Отписване от маркетинга	Спирате маркетинговите писма; нищо не се трие

Влезлият клиент може сам да изтегли личните си данни, поръчките и адресите от страницата /gdpr. Тези изтегляния не създават заявка в списъка.

1. Проверете кой пише. Преди да изтриете или изпратите данни, уверете се, че заявката е от самия клиент: от профила му или от имейла, с който е регистриран. Чужда заявка за изтриване може да заличи профил на ваш клиент.
2. Изпълнете действието в профила на клиента. Изтриването се прави ръчно в картата на клиента в Клиенти: заличавате името, имейла, телефона и адресите или изтривате клиента с Delete customer. Поръчките остават с данните на клиента към датата на поръчката. Действието няма бутон за връщане, затова го правете последно.
3. Запазете това, което законът изисква. Фактурите и поръчките остават по счетоводното законодателство. GDPR позволява това изрично, когато пазенето е законово задължение (чл. 17, ал. 3, буква „б“).
4. Маркирайте заявката като обработена. Заявката има само две състояния: отворена и обработена.
5. Отговорете на клиента по имейл. Платформата не уведомява клиента сама и той не вижда статуса в профила си, затова му пишете какво сте направили.

Важно: списъкът няма брояч за 30-те дни. Следете колоната с датата на подаване и отворете раздела Requests поне веднъж седмично. За да видите само един вид, напишете в търсенето delete, info, download или marketing_unsubscribe.

Искания, които идват по имейл или телефон, не влизат в списъка сами. Водете ги отделно, със същия срок. Как се управлява профилът на клиента, е описано в ръководството за клиентите и CRM в CloudCart.

Може ли AI асистент да работи с магазина, без да нарушава GDPR

AI асистент като Claude Code, ChatGPT Codex или Gemini CLI може да работи с магазина в CloudCart по GDPR, ако вижда само данните, които задачата изисква. Достъпът му се задава с PAT токена (Personal Access Token), който собственикът създава в Настройки → PAT токени, с права по ресурси.

GDPR изисква личните данни да са „ограничени до необходимото“ за целта (GDPR, чл. 5, ал. 1, буква „в“) и защитени с подходящи технически мерки (чл. 32). Външна услуга, която обработва данни на клиентите от ваше име, е обработващ данни и с нея ви трябва договор или приети условия за обработване (чл. 28). Проверете условията на доставчика на AI асистента, преди да му отворите клиентите.

Задача за агента	Достъп в PAT токена	Вижда ли лични данни
Описания, цени и наличности на продуктите	Custom Permissions: Products, Inventory	Не
Отчет за приходите, поръчките и средната поръчка	Read Only или Orders: Read	Да, данните в поръчките
Сегмент от абонати за имейл кампания	Customers: Read	Да, имейлите и профилите
Статии в блога и SEO текстове	Custom Permissions: Blog	Не

Токенът с Custom Permissions избира за всеки от 8-те ресурса (Products, Orders, Customers, Inventory, Discounts, Blog, Settings, Webhooks) между None, Read и Read & Write. Ресурсът Customers покрива клиентите, групите клиенти и абонатите. Към токена добавяте срок на валидност и до 20 разрешени IP адреса, а изтриването му спира достъпа веднага. Подробно за правата: в ръководството за PAT токена и правата на AI агента.

Добри практики за GDPR в онлайн магазина

Добре настроеният GDPR пази магазина от глоби и оставя рекламата измерима, защото събира само съгласия, които издържат на проверка. Осемте практики по-долу следват от начина, по който работи приложението.

• Въведете данните на фирмата при инсталирането. Те влизат в текста на политиките само веднъж, при инсталиране.
• Изключете Default state за статистиката и рекламата. Така скриптовете чакат „да“ и съгласието е изрично.
• Предпочетете лентата пред стената. Лентата не спира разглеждането, а стената, която пуска клиента само след „да“, не дава валидно съгласие според EDPB.
• Опишете всяка бисквитка. Платформата не сканира сайта, затова при всяко ново приложение за реклама или чат добавяйте бисквитките му в групата.
• Включете Consent Mode v2, ако рекламирате в Google. Без сигнала за съгласие ремаркетингът към клиенти от ЕИП не работи по правилата на Google.
• Обработвайте заявките седмично. Отговорът до 1 месец е законов срок, а напомняне в платформата няма.
• Давайте на AI асистента само нужните ресурси. PAT токен без Customers е достатъчен за продукти, наличности и блог, а изтриването му спира достъпа веднага.
• Сверявайте магазините поотделно. При няколко магазина настройките на GDPR са отделни за всеки и не се копират.

Грешки, които да избягвате

Най-честите грешки с GDPR в онлайн магазин са в настройките: изключено приложение, неактивна политика или изтрити описания на бисквитки.

• Изключено приложение за „по-чиста“ витрина. Без приложението лентата изчезва, а рекламните скриптове тръгват без съгласие.
• Неактивна задължителна политика. Политиката може да е закачена към формата, но ако е неактивна, отметката не се показва и клиентът не я приема. Ако отметката липсва на плащането, проверете статуса в Policy.
• Преинсталиране на приложението. Регистърът и заявките остават, четирите политики по подразбиране се създават наново, а групите и описанията на бисквитките се връщат към петте групи по подразбиране. Добавените от вас бисквитки се губят.
• Нова адресна информация без нова политика. Смяната на Address не пренаписва старите политики. Поправете текста им ръчно.
• Предварително отметнато съгласие за маркетинг. Отметката за писма е по избор и празна, иначе съгласието не е валидно.
• Пълно изтриване на поръчки по искане на клиента. Счетоводните документи се пазят, изтриват се личните данни в профила.

Често задавани въпроси

Продажбите в CloudCart минават с 0% комисионна към платформата (онлайн магазин без комисионна), а плащането, политиките и съгласията са в една стъпка на checkout. Нов магазин, създаден до 31.12.2026, плаща €1 на месец за първите 3 месеца на всеки план. Създайте магазин за €1 и настройте банера, политиките и регистъра на съгласията преди първата поръчка. За въпроси по GDPR приложението пишете на support@cloudcart.com.