Un e-commerce già in funzione: che cosa verificare prima di comprare

Il venditore apre un portatile, gira lo schermo verso di Lei, mostra un grafico con una curva in crescita e dice un numero, a cui seguono subito gli altri numeri e le affermazioni: l’e-commerce funziona, il fatturato è questo, il flusso di acquirenti è quello, e il prezzo è questo. Tutto sembra in ordine, e proprio per questo conviene fermarsi, perché quasi ciascuna di queste affermazioni è verificabile, e quasi nessuna viene verificata finché il contratto non è ancora firmato.

Questo articolo riguarda la verifica tecnica prima di comprare un e-commerce già in funzione, e non riguarda quanto un e-commerce di questo tipo valga, perché valutazione e questioni fiscali sono il lavoro di altre persone, che qui non tocchiamo di proposito. Di come costruire un e-commerce da zero abbiamo scritto a parte, e altrettanto di quanto costa aprire un e-commerce. Qui si tratta di una situazione del tutto diversa: l’e-commerce esiste già, ha una storia, e la domanda è che cosa di quella storia passa davvero a Lei e che cosa resta al venditore.

L’accesso all’analitica mostra meno di quanto sembra

La prima cosa che chiede ogni acquirente ragionevole è un accesso in lettura a Google Analytics, ed è corretto, ma non basta, perché questo accesso dimostra meno di quanto pensa la maggior parte delle persone. Google Analytics 4 ha cinque ruoli, cioè Amministratore, Editor, Professionista del marketing, Analista e Visualizzatore, e proprio il ruolo Visualizzatore è quello che di solito viene assegnato all’acquirente: il Visualizzatore vede impostazioni e dati e può cambiare ciò che compare nei report, ma non può gestire gli utenti né modificare le impostazioni della proprietà.

Già l’assegnazione dice qualcosa, perché aggiungere un utente può soltanto un Amministratore, e gli utenti sono identificati dall’indirizzo e-mail di un Account Google, quindi un venditore che non riesce a concedere l’accesso in lettura non è Amministratore di quella proprietà, ed è una domanda da porre subito. Una cattura di schermo non è un accesso, e una conversazione in cui il venditore mostra il proprio schermo non è un accesso neppure se i numeri sembrano convincenti.

Segue un dettaglio che pochi conoscono e che può capovolgere del tutto la conclusione, perché Google Analytics consente di imporre a una proprietà delle restrizioni relative ai dati, e due di queste restrizioni riguardano proprio il denaro: «Nessuna metrica relativa ai costi» nasconde le metriche dei costi, «Nessuna metrica relativa alle entrate» nasconde le metriche delle entrate. I valori limitati non compaiono nei report, e l’utente al loro posto vede zero. L’acquirente che vede zeri nella colonna delle entrate, quindi, non ha visto che l’e-commerce non guadagna, ma forse ha visto una restrizione, e l’unico modo per accertarlo è chiedere se la restrizione è stata impostata.

C’è anche un limite più generale, che conviene tenere presente per tutta la verifica, e riguarda la misurazione stessa: l’analitica mostra ciò che ha registrato il codice di misurazione installato, non quante persone sono davvero arrivate. Un codice messo soltanto sulla pagina di ringraziamento, un codice che si attiva due volte, un codice su un ambiente di sviluppo o uno stesso codice che serve più siti web, nel report sembrano visite. Nessuno di questi casi è una frode per definizione, ma ciascuno rende il numero qualcosa di diverso da ciò che l’acquirente pensa.

Search Console è un altro oggetto e un altro controllo

Google Search Console mostra ciò che Google stesso ha registrato sulla comparsa del sito web nei risultati di ricerca, quindi è in parte indipendente dal codice di misurazione installato dal venditore, ed è proprio questa indipendenza a renderla più preziosa dell’analitica, anche se i numeri lì sono più piccoli e meno lusinghieri. I ruoli lì sono diversi da quelli dell’analitica: Proprietario, utente con accesso completo, utente con restrizioni e associato, e una proprietà deve avere almeno un proprietario verificato, altrimenti l’accesso non c’è per nessuno.

L’utente con restrizioni vede il report sul rendimento, quindi query, clic, impressioni e posizione media, ma non può aggiungere utenti, inviare una Sitemap o ispezionare completamente un indirizzo preciso, quindi all’acquirente basta per vedere il traffico di ricerca, ma non basta per subentrare nella proprietà. È una differenza voluta, che conviene capire prima del colloquio, perché un venditore che offre soltanto l’accesso da utente con restrizioni offre i numeri, non la possibilità di subentrare.

C’è anche la domanda su quanto è antica la storia stessa, e questa spesso decide più della grandezza dei numeri, perché Google inizia a raccogliere dati su una proprietà già nel momento in cui qualcuno la aggiunge, ancora prima della verifica, quindi una proprietà creata di recente non può mostrare una storia di diversi anni, indipendentemente da quanto a lungo l’e-commerce abbia funzionato. Chieda quando la proprietà è stata creata, e confronti quella data con l’età dichiarata dell’e-commerce.

Ora ciò che questo strumento può mostrare in modo sbagliato, e queste non sono affermazioni sulla disonestà del venditore, ma semplicemente meccanica: una proprietà può essere di due tipi, cioè una proprietà del prefisso URL, che copre soltanto un indirizzo con il protocollo, e una proprietà Dominio, che copre l’intero dominio con tutti i sottodomini. Una proprietà Dominio può quindi mescolare in un solo numero il traffico dell’e-commerce e quello di un blog del tutto distinto, e l’unico modo per vederlo è guardare di che tipo è la proprietà aperta.

La seconda questione di meccanica è la verifica, e funziona così: la proprietà si verifica con una prova sul sito web, e uno dei modi ammessi è proprio il codice di monitoraggio di Google Analytics. Ciò significa che entrambi gli strumenti possono essere stati verificati con lo stesso codice, controllato dalla stessa persona, quindi due controlli apparentemente indipendenti possono parlare dello stesso sito web, magari sbagliato. Inoltre le prove di verifica non utilizzate consentono a un proprietario rimosso in precedenza di verificarsi di nuovo, quindi l’acquirente, diventando proprietario, deve rivedere quali prove sono ancora rimaste sul sito web.

Infine conviene conoscere il limite della finestra storica, che qui è rigido: i dati sul rendimento si conservano sedici mesi, quindi una storia di crescita di tre anni da questo strumento non si può tirare fuori, e un venditore che la promette deve dimostrarla con qualcos’altro. E da ultimo: non è corretto aspettarsi che i numeri dell’analitica e dello strumento di ricerca coincidano, perché misurano cose diverse, e nessun documento di Google promette un rapporto determinato tra di essi.

L’esportazione non è l’e-commerce

Il secondo grande problema sta nella parola esportazione, perché l’acquirente la intende come una copia dell’e-commerce, ma in pratica è un estratto di tabelle precise con limiti precisi. WooCommerce, nel nucleo, include uno strumento di importazione ed esportazione dei prodotti, e funziona davvero, ma è uno strumento per i prodotti: clienti e ordini non li copre affatto, e per quelli serve o un plugin a pagamento o l’accesso diretto alla banca dati.

Le immagini sono un dettaglio a parte con conseguenze sproporzionate, e il motivo sta nella meccanica dell’esportazione: l’esportazione dei prodotti lavora con gli indirizzi delle immagini, non con i file stessi, quindi le immagini devono essere raggiungibili al momento dell’importazione, e lo strumento del nucleo non trasferisce i testi alternativi delle immagini. Per un e-commerce con qualche migliaio di prodotti questo significa che dopo il trasferimento una parte delle immagini può semplicemente non esserci, e lo si scopre soltanto quando è già troppo tardi per trattare il prezzo.

Sulle piattaforme più chiuse i limiti sono più stretti, e vanno conosciuti prima del colloquio sul prezzo, non dopo: gli hash delle password di solito non passano, e questo significa che tutti i clienti esistenti dopo il trasferimento dovranno reimpostare la password, il che è una perdita diretta di clienti e che il venditore menzionerà di rado. La licenza del tema resta spesso sul conto del venditore, i plugin sono abbonamenti distinti con le proprie licenze, e lo storico degli ordini alcune piattaforme non consentono di reimportarlo dal pannello di amministrazione affatto.

Allo stesso gruppo appartengono tre dettagli che si ricordano di rado e che ciascuno, da solo, costa denaro. Le carte regalo con un saldo residuo sono obbligazioni verso i clienti, e non sempre si trasferiscono insieme agli altri dati, quindi la domanda su quanto saldo inutilizzato c’è nell’e-commerce appartiene al colloquio sul prezzo. Un certificato TLS non si trasferisce come un bene, ma viene emesso di nuovo a nome del nuovo titolare, e questa è una routine soltanto se il dominio è già nelle Sue mani, mentre la licenza del tema è spesso legata al conto del venditore, quindi dopo il trasferimento può risultare che l’aspetto va comprato un’altra volta.

Da ciò segue un passo di verifica che non costa nulla e dice molto. Chieda al venditore di produrre un’esportazione di prova ancora prima del contratto e la apra Lei, perché lì vedrà subito se i clienti ci sono, se gli ordini hanno le righe dei prodotti, se le immagini hanno gli indirizzi e se qualcosa di ciò che nell’e-commerce è visibile, nel file non compare affatto.

Il dominio passa con la modifica del Registrante, non con il cambio dei record

La parte del dominio è quella in cui gli acquirenti confondono tre operazioni del tutto diverse, e questa confusione tende a finire con il dominio che resta a nome del venditore. Il cambio dei nameserver è soltanto un’indicazione su chi serve i record del dominio, e con la titolarità non ha nulla a che fare; la modifica del Registrar cambia chi amministra il dominio; e la modifica del Registrante è quella che cambia a nome di chi il dominio è registrato.

Per i domini .it la modifica del Registrante la fissa il Registro .it, e proprio questo requisito protegge i registranti dal fatto che uno sconosciuto riscriva il nome su di sé. L’operazione passa da un Registrar, con il codice authinfo; le richieste dirette al Registro possono modificare i dati, ma «La modifica non può in nessun modo cambiare il soggetto che risulta assegnatario del nome a dominio». La procedura sta su nic.it. Se il dominio lo amministra un Registrar, la richiesta passa da quello, non direttamente al Registro.

Due dettagli in questa procedura contano più degli altri, e il primo è che, una volta eseguita la modifica del Registrante, il precedente assegnatario non controlla più il nome, quindi la modifica va fatta correttamente alla prima volta. Il secondo è che la richiesta di una persona giuridica la fanno le persone con poteri di rappresentanza e deve soddisfare i requisiti formali del Registrar, quindi non basta che la invii un dipendente qualsiasi dell’azienda.

Un’attenzione a parte merita il caso in cui il venditore è una società che si intende liquidare, perché proprio qui l’acquisto dell’e-commerce può finire con la perdita del dominio. Il Registro .it non ha una regola per cui la modifica del Registrante debba avvenire prima che la liquidazione sia conclusa, l’attività sospesa blocchi il cambio, o dopo la cancellazione segua un breve periodo di transizione al termine del quale il nome diventa liberamente registrabile da chiunque. Se la società è cancellata, il titolare non esiste più; ciò segue dal diritto societario e dal fatto che i dati del Registrante devono essere corretti, non da una procedura di liquidazione del Registro. Un acquirente che aspetta che il venditore sistemi le proprie faccende può comunque scoprire che l’indirizzo dell’e-commerce è andato a uno sconosciuto.

Il conto dei pagamenti non passa con il contratto di compravendita

L’assunto che insieme all’e-commerce passi anche l’accettazione dei pagamenti è diffuso e sbagliato, ma altrettanto sbagliato è dire che un conto di pagamento non si possa trasferire affatto, perché la formulazione giusta sta in mezzo: il contratto di compravendita da solo il conto non lo muove, ma il prestatore di servizi di pagamento ha una propria procedura, e può anche rifiutare.

Stripe nella propria documentazione descrive proprio questo caso, indicando che il titolare attuale del conto che vuole cederlo a un altro, per esempio vendendo l’azienda, deve prima contattare l’assistenza per sapere quali informazioni aggiornare. Poi si cambiano i dati del conto bancario per gli accrediti, la ragione sociale, la partita IVA e i dati del rappresentante, e l’azienda avverte espressamente di non inviare i dati del nuovo titolare per e-mail, mentre se l’azienda è stata rilevata sotto una persona giuridica di un altro Paese la procedura è diversa.

C’è un altro dettaglio che riguarda proprio i dati e che gli acquirenti scoprono tardi: se il passaggio non avviene rilevando lo stesso conto, ma spostandosi su uno nuovo, allora tra due conti si possono copiare clienti e metodi di pagamento, ma i singoli pagamenti, le fatture, i piani e gli abbonamenti, i coupon, gli eventi e i registri non si copiano. Per un e-commerce con abbonamenti questo è critico, perché interrompere gli abbonamenti significa interrompere i ricavi, e questa domanda va posta prima dell’affare, non dopo.

Le condizioni dei contratti di acquisizione delle banche italiane e degli intermediari di pagamento locali per questa verifica non le abbiamo lette, ed è più onesto dirlo che riempire il vuoto con una congettura, quindi è una lacuna voluta, non un’omissione. Se l’e-commerce accetta pagamenti tramite una banca italiana o un intermediario di pagamento locale, la domanda se il contratto si possa cedere va rivolta proprio a quel prestatore, e la procedura di Stripe non si può trasferire su di essa.

L’elenco clienti è la parte giuridicamente più tagliente

Qui è il punto in cui l’acquirente può comprare non un cespite, ma un obbligo, e proprio per questo questa sezione è scritta come un avvertimento, non come una guida. L’inizio sta nella struttura dell’affare: se compra le quote della società (share deal), il titolare del trattamento resta lo stesso soggetto giuridico e la banca dati non cambia proprietario; se compra l’e-commerce come insieme di beni da un altro soggetto (asset deal), i dati personali arrivano a un nuovo titolare del trattamento, ed è un caso del tutto diverso.

Il regolamento generale sulla protezione dei dati non promette nulla sull’acquisto di e-commerce, e non contiene un articolo che dica che la banca dati dei clienti passa in automatico. Serve una base giuridica ai sensi dell’articolo 6, e c’è un obbligo di informare: l’articolo 13 richiede di indicare l’identità del titolare del trattamento nel momento in cui i dati si ottengono, mentre l’articolo 14, che riguarda proprio il caso in cui i dati non sono stati ottenuti presso l’interessato, richiede al nuovo titolare del trattamento di comunicare la propria identità, le finalità, la base giuridica, le categorie di dati e la fonte, e di farlo non oltre un mese o al primo contatto.

Sulle e-mail di marketing in Italia si aggiunge un’altra norma, ed è proprio il nucleo di questa sezione. L’articolo 130 del Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196), ancora in vigore per le comunicazioni indesiderate, consente l’uso della posta elettronica per l’invio di materiale pubblicitario, di vendita diretta, per ricerche di mercato o di comunicazione commerciale soltanto con il consenso del contraente o dell’utente. L’eccezione del comma 4 è scritta per il titolare del trattamento che utilizza, a fini di vendita diretta di propri prodotti o servizi, le coordinate di posta elettronica fornite dall’interessato nel contesto della vendita di un prodotto o di un servizio, sempre che si tratti di servizi analoghi a quelli oggetto della vendita e l’interessato, adeguatamente informato, non rifiuti tale uso, inizialmente o in occasione di successive comunicazioni, con opposizione agevole e gratuita al momento della raccolta e di ogni invio. Resta, a parte, la base giuridica dell’articolo 6 del regolamento.

E ora ciò che ne fa una trappola: l’eccezione è scritta per il titolare del trattamento che ha ottenuto gli indirizzi nel contesto della propria vendita, cioè lo stesso che serviva i clienti. L’acquirente che gli indirizzi non li ha ottenuti non è quel titolare, quindi l’eccezione del precedente proprietario non viaggia insieme al file. In Italia non esiste una norma che presuma lecito il trattamento in caso di cessione d’azienda, e l’assenza di una regola speciale non è un’autorizzazione.

Fuori dall’Italia questa questione è risolta in modi diversi, e questa discordanza è più onesto mostrarla che coprirla. La conferenza delle autorità tedesche per la protezione dei dati (Datenschutzkonferenz) nel 2024 ha preso una posizione rigorosa, ritenendo che la vendita di una banca dati di clienti come cespite staccato di solito richieda il consenso preventivo, mentre la legge organica spagnola 3/2018 (LOPDGDD) contiene una norma che, in caso di modifica strutturale o di trasmissione di un’azienda o di un ramo d’attività, presume lecito il trattamento se è necessario alla continuità dei servizi. L’Italia non ha regolato la questione con una norma propria di questo tipo, quindi all’acquirente restano il regolamento, l’articolo 130 e una valutazione giuridica del concreto affare.

Controlli che non dipendono dal venditore

Tutti i controlli precedenti dipendono da ciò che il venditore concede e da ciò che mostrano le sue impostazioni, quindi accanto a essi conviene metterne almeno uno la cui fonte è un’altra, e il più semplice di tali controlli sono i registri del server, perché annotano le richieste indipendentemente dal fatto che sulla pagina sia installato un codice di misurazione e dal fatto che il visitatore abbia acconsentito ai cookie.

Questo non è un metodo di Google e nessun documento di Google lo raccomanda, quindi nemmeno noi lo presentiamo come una raccomandazione ufficiale, ma come una pratica in cui, confrontando il volume delle richieste nei registri con le sessioni dell’analitica nello stesso periodo, di solito si vede o un rapporto ragionevole o una differenza su cui conviene chiedere. L’accesso ai registri di solito lo dà il pannello di gestione dell’hosting, quindi questo controllo richiede l’accesso all’hosting, e proprio per questo conviene chiederlo insieme al resto.

La seconda fonte indipendente è l’estratto del prestatore di servizi di pagamento, ed è l’unica di tutte che mostra denaro, non visite. Qui conta una differenza: un estratto che il venditore invia come documento non è lo stesso estratto che Lei vede nel pannello del prestatore stesso, perché il primo può prepararlo chiunque e il secondo no, quindi chieda l’accesso al pannello o almeno uno schermo condiviso con quel pannello aperto.

C’è un altro controllo che costa cinque minuti e che quasi tutti saltano: guardare come l’e-commerce appare oggi nel motore di ricerca, inserendo il suo nome e alcune frasi dei nomi dei prodotti. Se l’e-commerce afferma un traffico di ricerca stabile, ma sotto il proprio nome non compare o compare dietro siti di marketplace sui quali vende lui stesso, allora il traffico arriva da altrove, e conviene accertare da dove, perché la pubblicità a pagamento dopo l’affare può semplicemente fermarsi.

La terza è il lato contabile, che nel merito non tocchiamo, ma la cui esistenza conviene menzionare, perché è l’unica che lega tutto il resto a numeri dichiarati, e se l’analitica, il pannello dei pagamenti e la contabilità raccontano tre storie diverse, allora il problema non è la precisione della misurazione, e da lì in poi non è più una conversazione tecnica.

Lo stato del codice e della piattaforma si può verificare a poco prezzo

La verifica dello stato tecnico suona come un audit costoso, ma la maggior parte della risposta si ottiene in poche ore e con dati pubblici. Il primo passo è accertare la versione della piattaforma e del linguaggio e confrontarla con il calendario di supporto pubblicato dal produttore, perché dopo la fine del supporto le nuove vulnerabilità non vengono più corrette, sebbene l’e-commerce continui a funzionare esattamente come prima.

Il secondo passo è l’elenco dei plugin insieme alla loro storia di aggiornamento, perché un plugin abbandonato è al tempo stesso un rischio di sicurezza e un costo nascosto: a un certo punto andrà sostituito, e la sostituzione in un e-commerce in funzione di solito significa riscrivere anche tutto ciò che intorno è stato costruito. Il terzo è la domanda se l’e-commerce sia mai stato hackerato e che cosa sia stato fatto dopo, e questa domanda conviene porla in modo diretto, perché una risposta evasiva qui è altrettanto informativa di una affermativa.

Il quarto passo riguarda il codice, se l’e-commerce è stato adattato, ed è vicino alla domanda che abbiamo esaminato a parte nell’articolo su che cosa Le appartiene quando il sistema è pronto. Qui basta il lato pratico: dove sta il repository, chi può accedervi e se passa a Lei insieme all’e-commerce, perché un repository nel conto personale del venditore dopo l’affare resta nel conto personale del venditore, se non lo si sposta a parte.

Accanto al repository ci sono accessi e chiavi, e tendono a essere sparsi in posti che nessuno ha annotato: pannello dell’hosting, conto del dominio, pannello dei pagamenti, servizio di e-mail, chiavi dei servizi esterni e analitica. Un elenco di questi conviene chiederlo per iscritto prima dell’affare e verificarlo dopo, perché una chiave che nessuno ha consegnato di solito si rivela quando qualcosa smette di funzionare, e a quel punto il venditore è già andato via.

Il quinto è l’elenco dei costi ricorrenti che arrivano insieme all’e-commerce, e tende a essere più lungo di quanto l’acquirente aspetti, perché vi rientrano l’abbonamento della piattaforma, gli abbonamenti distinti dei plugin, il tema, le commissioni dell’intermediario di pagamento, l’hosting, il dominio e i certificati, e ciascuno ha la propria data di rinnovo e il proprio prezzo dopo il primo periodo. Questo elenco conviene metterlo in una tabella prima di discutere il prezzo, perché proprio quello mostra quale è il costo mensile reale dell’e-commerce.

Che cosa chiedere prima di firmare

Tutto quanto precede porta a un insieme di richieste che non occupa molto tempo e che a un venditore onesto non crea difficoltà: sul lato dell’analitica è l’accesso da Visualizzatore alla proprietà stessa, non le catture di schermo, insieme alla risposta se è impostata la restrizione «Nessuna metrica relativa alle entrate», e sul lato di Search Console l’accesso da utente con restrizioni insieme all’indicazione di che tipo di proprietà è aperta.

Sul lato dei dati è un’esportazione di prova prima del contratto, la risposta se gli hash delle password passano, e chiarezza su che cosa succede dello storico degli ordini. Sul lato del dominio è un’attestazione a nome di chi il dominio è registrato oggi, e un accordo sul fatto che la modifica del Registrante avvenga prima del pagamento o contemporaneamente, non dopo.

Sul lato dei pagamenti è una domanda al prestatore di servizi di pagamento, non al venditore, perché soltanto quello può dire se il conto passa e a quali condizioni, e la convinzione del venditore su questo punto non è una prova. Se nell’e-commerce ci sono abbonamenti, allora la stessa domanda va posta di nuovo a parte proprio su quelli, perché gli abbonamenti sono la parte che nel trasferimento si rompe più spesso. Sul lato della protezione dei dati è chiarezza su come l’elenco è stato raccolto e che cosa è stato detto allora ai clienti, e un accordo scritto sul fatto che dopo l’affare il nuovo titolare del trattamento adempirà il proprio obbligo di informare.

Questo insieme di richieste sembra lungo, ma è più corto di una settimana che passa, dopo l’affare, a tentare di recuperare un dominio o di ripristinare gli abbonamenti, e la maggior parte di esso un venditore onesto la prepara in un paio d’ore. Un venditore che a queste richieste obietta, con quello stesso gesto ha risposto alla domanda più importante, ed è il modo più economico possibile per accertarlo.

E infine ci sono due cose che questo articolo di proposito non fa, perché non sono il nostro lavoro e fingersi un’altra professione sarebbe la cosa peggiore che qui si possa fare. Non esprimiamo un parere su quanto valga l’e-commerce, e non sostituiamo un avvocato sulla questione dell’uso di un concreto elenco clienti, perché entrambi sono il lavoro di altre persone. Se vuole che la parte tecnica la verifichiamo noi, prima di firmare, ci scriva, e lo faremo insieme al team di realizzazione di e-commerce.