Działający sklep internetowy: co sprawdzić przed zakupem

Sprzedawca otwiera laptopa, obraca ekran w stronę Państwa, pokazuje wykres z rosnącą krzywą i podaje liczbę, po której od razu idą kolejne liczby i twierdzenia: sklep działa, obrót jest taki, ruch kupujących taki, a cena jest ta. Wszystko wygląda w porządku, i właśnie dlatego warto się zatrzymać, bo niemal każde z tych twierdzeń da się sprawdzić, i niemal nikt ich nie sprawdza, dopóki umowa nie jest podpisana.

Ten artykuł jest o kontroli technicznej przed zakupem już działającego sklepu internetowego, i nie jest o tym, ile taki sklep jest wart, bo wycena i podatki to praca innych ludzi, której tu świadomie nie ruszamy. O tym, jak zbudować sklep od zera, pisaliśmy osobno, tak samo jak o tym, ile kosztuje utworzenie sklepu internetowego. Tu chodzi o zupełnie inną sytuację: sklep już istnieje, ma historię, i pytanie brzmi, co z tej historii naprawdę przechodzi do Państwa, a co zostaje u sprzedawcy.

Dostęp do analityki pokazuje mniej, niż się wydaje

Pierwsze, czego żąda każdy rozsądny kupujący, to dostęp do odczytu w Google Analytics, i to jest właściwe, ale to nie wystarcza, bo ten dostęp dowodzi mniej, niż myśli większość ludzi. Google Analytics 4 ma pięć ról, mianowicie Administrator, Edytujący, Marketer, Analityk i Przeglądający, i właśnie rola Przeglądający jest tą, którą kupującemu zwykle się przyznaje: Przeglądający widzi ustawienia i dane i może zmieniać to, co pojawia się w raportach, ale nie może zarządzać użytkownikami ani zmieniać ustawień usługi.

Samo przyznanie dostępu już coś mówi, bo dodać użytkownika może tylko Administrator, a użytkowników identyfikuje się po adresie e-mail konta Google, więc sprzedawca, który nie potrafi przyznać dostępu do odczytu, nie jest Administratorem danej usługi, i to pytanie trzeba zadać od razu. Zrzut ekranu to nie dostęp, i rozmowa, w której sprzedawca pokazuje swój ekran, też nie jest dostępem, nawet jeśli liczby wyglądają przekonująco.

Dalej idzie szczegół, który zna niewielu i który może całkowicie odwrócić wniosek, bo Google Analytics pozwala nałożyć na usługę ograniczenia dotyczące danych, a dwa z nich dotyczą właśnie pieniędzy: jedno ukrywa dane o kosztach, drugie ukrywa dane o przychodach. Wartości objęte ograniczeniem nie pojawiają się w raportach, i użytkownik widzi zamiast nich zero. Kupujący, który widzi zera w kolumnie przychodów, nie zobaczył więc, że sklep nie zarabia, tylko być może zobaczył ograniczenie „Brak dostępu do danych o przychodach”, i jedyny sposób, żeby to rozstrzygnąć, to zapytać, czy ograniczenie jest nałożone.

Jest też ogólniejsza granica, którą warto mieć w pamięci przez cały czas kontroli, i dotyczy samego pomiaru: analityka pokazuje to, co zarejestrował wstawiony kod pomiarowy, a nie to, ile osób naprawdę przyszło. Kod ustawiony tylko na stronie podziękowania, kod, który odpala się dwa razy, kod na środowisku testowym albo jeden i ten sam kod obsługujący kilka witryn, w raporcie wygląda jak wizyty. Żaden z tych przypadków nie jest oszustwem z definicji, ale każdy z nich czyni z liczby coś innego, niż myśli kupujący.

Search Console to inny obiekt i inna kontrola

Google Search Console pokazuje to, co samo Google zarejestrowało o obecności witryny w wynikach wyszukiwania, więc jest częściowo niezależna od kodu pomiarowego ustawionego przez sprzedawcę, i właśnie ta niezależność czyni ją cenniejszą od analityki, choć liczby są tam mniejsze i mniej pochlebne. Role są tam inne niż w analityce: Właściciel, użytkownik z pełnym dostępem, użytkownik z ograniczonym dostępem i powiązane usługi, a usługa musi mieć co najmniej jednego zweryfikowanego właściciela, inaczej dostępu nie ma nikt.

Użytkownik z ograniczonym dostępem widzi raport Skuteczność, a więc zapytania, kliknięcia, wyświetlenia i średnią pozycję, ale nie może dodawać użytkowników, przesyłać mapy witryny ani w pełni sprawdzić konkretnego adresu, więc kupującemu wystarcza to, żeby zobaczyć ruch z wyszukiwarki, ale nie wystarcza, żeby przejąć usługę. To świadoma różnica, którą warto zrozumieć przed rozmową, bo sprzedawca, który oferuje tylko dostęp użytkownika z ograniczonym dostępem, oferuje liczby, a nie możliwość przejęcia.

Jest też pytanie, jak stara jest sama historia, i to bywa rozstrzygające bardziej niż wielkość liczb, bo Google zaczyna zbierać dane o usłudze już w chwili, gdy ktoś ją doda, jeszcze przed weryfikacją, więc niedawno utworzona usługa nie może pokazać historii z kilku lat niezależnie od tego, jak długo sklep pracował. Proszę zapytać, kiedy usługę utworzono, i porównać to z deklarowanym wiekiem sklepu.

Teraz o tym, co to narzędzie może pokazać nieprawidłowo, i to nie są twierdzenia o nieuczciwości sprzedawców, tylko zwykła mechanika: usługa bywa dwóch rodzajów, mianowicie usługa z prefiksem URL, która obejmuje tylko jeden adres z protokołem, i usługa domeny, która obejmuje całą domenę ze wszystkimi subdomenami. Usługa domeny może więc zmieszać w jednej liczbie ruch sklepu i zupełnie osobnego bloga, a jedyny sposób, żeby to zobaczyć, to sprawdzić, jakiego typu usługa jest otwarta.

Druga sprawa mechaniki to weryfikacja, i przebiega tak: własność potwierdza się dowodem w witrynie, a jednym z dopuszczalnych sposobów jest właśnie kod pomiarowy Google Analytics. To znaczy, że oba narzędzia mogą być zweryfikowane tym samym kodem, który kontroluje ta sama osoba, więc dwie pozornie niezależne kontrole mogą opowiadać o jednej i tej samej, być może niewłaściwej witrynie. Ponadto niewykorzystane dowody weryfikacji pozwalają wcześniej usuniętemu właścicielowi zweryfikować się na nowo, więc kupujący, stając się właścicielem, musi przejrzeć, jakie dowody w witrynie jeszcze zostały.

Wreszcie warto znać twardą granicę okresu przechowywania: dane o skuteczności przechowuje się szesnaście miesięcy, więc historii trzyletniego wzrostu z tego narzędzia wyciągnąć się nie da, i sprzedawca, który to obiecuje, musi dowieść tego czymś innym. I ostatnie: nie należy oczekiwać, że liczby z analityki i z narzędzia wyszukiwania się pokryją, bo mierzą różne rzeczy, i żaden dokument Google nie obiecuje między nimi jakiejś określonej relacji.

Eksport to nie sklep

Druga wielka przykrość kryje się w słowie eksport, bo kupujący rozumie je jako kopię sklepu, a w praktyce jest to wypis konkretnych tabel z konkretnymi granicami. WooCommerce ma wbudowane narzędzie importu i eksportu towarów, i ono naprawdę działa, ale to narzędzie do towarów: klientów i zamówień nie obejmuje wcale, i do nich potrzeba albo płatnej wtyczki, albo bezpośredniego dostępu do bazy.

Obrazy to osobny drobiazg o nieproporcjonalnie dużych skutkach, a powód leży w mechanice eksportu: eksport towarów działa na adresach obrazów, a nie na samych plikach, więc obrazy muszą być dostępne w chwili importu, a narzędzie podstawowe nie przenosi tekstów alternatywnych obrazów. Przy sklepie z kilkoma tysiącami towarów znaczy to, że po przeniesieniu części obrazów może po prostu nie być, i wychodzi to na jaw dopiero wtedy, gdy na negocjacje ceny jest już za późno.

Na zamkniętych platformach granice są twardsze, i trzeba je znać przed rozmową o cenie, a nie po niej: skróty haseł zwykle nie przechodzą, a to znaczy, że wszyscy istniejący klienci po przeniesieniu będą musieli hasła odnowić, co jest bezpośrednią utratą klientów i o czym sprzedawca wspomni rzadko. Licencja motywu często zostaje przy koncie sprzedawcy, dodatki to osobne subskrypcje z własnymi licencjami, a historii zamówień część platform w ogóle nie pozwala wczytać z powrotem przez panel administracyjny.

Do tego samego należą trzy drobiazgi, o których pamięta się rzadko i z których każdy osobno kosztuje pieniądze. Karty podarunkowe z pozostałym saldem są zobowiązaniem wobec klientów, i nie zawsze przenoszą się razem z resztą danych, więc pytanie, ile niewykorzystanego salda jest w sklepie, należy do rozmowy o cenie. Certyfikat bezpieczeństwa nie jest przenoszony jako majątek, tylko wydawany na nowo na nazwisko nowego posiadacza, i to rutyna tylko wtedy, gdy domena jest już w Państwa rękach, natomiast licencja motywu często jest przypięta do konta sprzedawcy, więc po przeniesieniu może się okazać, że wygląd trzeba kupić jeszcze raz.

Z tego wynika krok kontroli, który nic nie kosztuje i mówi dużo. Proszę poprosić sprzedawcę o testowy eksport jeszcze przed umową i otworzyć go samodzielnie, bo tam od razu widać, czy są w nim klienci, czy zamówienia mają pozycje towarów, czy obrazy mają adresy i czy coś z tego, co w sklepie widać, w pliku w ogóle się nie pojawia.

Domena przechodzi przez zmianę abonenta, a nie przez zmianę rekordów

Część domenowa to miejsce, w którym kupujący mylą trzy zupełnie różne czynności, i to pomieszanie zwykle kończy się tym, że domena zostaje na nazwisko sprzedawcy. Zmiana serwerów nazw to tylko wskazanie, kto obsługuje rekordy domeny, i z prawem do domeny nie ma nic wspólnego; transfer obsługi domeny zmienia to, kto domenę obsługuje; a zmiana abonenta to ta, która zmienia, na czyje nazwisko domena jest zarejestrowana.

Dla domen .pl zmianę abonenta wykonuje abonent przez wybranego rejestratora, według procedury tego rejestratora i Regulaminu nazw domeny .pl. Krajowy Rejestr Domen NASK wymienia tę czynność osobno od transferu obsługi domeny, a rejestrator nie może zmienić abonenta bez wiedzy i zgody obecnego abonenta; wniosku nie składa się bezpośrednio do rejestru.

Dwa szczegóły w tym porządku są ważniejsze od pozostałych, i pierwszy z nich jest taki, że po zakończonej zmianie abonenta dotychczasowy abonent przestaje nim być, więc procedurę trzeba przeprowadzić poprawnie za pierwszym razem. Drugi jest taki, że przy spółce abonentem jest sama spółka, więc nie wystarczy, że pismo wyśle ktoś z pracowników; zgodę musi wyrazić podmiot wpisany jako abonent, w trybie przewidzianym przez tego rejestratora.

Osobnej uwagi wymaga przypadek, gdy sprzedawca jest spółką, którą planuje się zlikwidować, bo właśnie tutaj kupno sklepu może skończyć się utratą domeny. Publiczne materiały NASK nie opisują reguły, która blokowałaby zmianę abonenta przy wstrzymanej działalności albo krótki okres po likwidacji, po którym nazwa staje się wolna dla każdego. Jeśli jednak spółka przestanie istnieć, obecny abonent może nie być już w stanie wyrazić zgody, której rejestrator potrzebuje, więc zmianę abonenta trzeba zrobić, dopóki spółka jeszcze działa i może działać przez rejestratora, a nie czekać, aż sprzedawca dokończy swoje sprawy.

Konto płatności nie przechodzi wraz z umową kupna

Założenie, że razem ze sklepem przechodzi też przyjmowanie płatności, jest rozpowszechnione i błędne, ale równie błędne jest powiedzieć, że konta płatności przenieść nie można w ogóle, bo właściwe sformułowanie leży pośrodku: sama umowa kupna konta nie rusza, ale operator płatności ma własną procedurę, i może też odmówić.

Stripe w swojej dokumentacji opisuje właśnie ten przypadek, wskazując, że dotychczasowy właściciel konta, który chce przekazać konto komu innemu, na przykład sprzedając firmę, musi najpierw skontaktować się z pomocą, żeby ustalić, jakie informacje trzeba zaktualizować. Potem zmienia się dane konta bankowego do wypłat, prawną nazwę firmy, numer identyfikacji podatkowej i dane przedstawiciela, a firma wprost ostrzega, żeby nie wysyłać danych nowego właściciela e-mailem, natomiast gdy firmę przejęła osoba prawna z innego państwa, procedura jest inna.

Jest jeszcze jeden szczegół, który dotyczy właśnie danych i o którym kupujący dowiadują się późno: jeśli przejście następuje nie przez przejęcie tego samego konta, tylko przez przeniesienie na nowe, to między dwoma kontami można skopiować klientów i metody płatności, ale pojedyncze płatności, faktury, plany i subskrypcje, kupony, zdarzenia i dzienniki się nie kopiują. Dla sklepu z subskrypcjami jest to krytyczne, bo przerwanie subskrypcji znaczy przerwanie przychodu, i to pytanie trzeba zadać przed transakcją, a nie po niej.

Warunków umów nabywczych polskich banków tu nie przytaczamy, bo do tej kontroli ich nie przeczytaliśmy, i uczciwiej to powiedzieć, niż wypełnić zgadywaniem, więc to świadoma luka, a nie pominięcie. Jeśli sklep przyjmuje płatności przez polski bank albo lokalnego pośrednika płatności, pytanie, czy umowę wolno przenieść, trzeba zadać właśnie temu dostawcy, i procedury Stripe na to przenosić nie wolno.

Lista klientów to prawnie najwrażliwszy punkt

Tu jest miejsce, w którym kupujący może nabyć nie składnik majątku, tylko obowiązek, i właśnie dlatego ten rozdział jest napisany jako ostrzeżenie, a nie jako instrukcja. Początek leży w strukturze transakcji: jeśli kupują Państwo udziały albo akcje spółki, to jest Share Deal i administrator zostaje tym samym podmiotem prawnym, a baza nie zmienia właściciela; jeśli kupują Państwo sklep jako zespół aktywów od innego podmiotu, to jest Asset Deal i dane osobowe trafiają do nowego administratora, a to zupełnie inny przypadek.

RODO nic nie obiecuje w sprawie kupna sklepu, i nie ma w nim artykułu, który mówiłby, że baza klientów przechodzi automatycznie. Musi być podstawa prawna z art. 6, i jest obowiązek informacyjny: art. 13 wymaga podania tożsamości administratora w chwili pozyskania danych, natomiast art. 14, który dotyczy właśnie przypadku, gdy danych nie pozyskano od samej osoby, wymaga od nowego administratora podania swojej tożsamości, celów, podstawy prawnej, kategorii danych i źródła, i to nie później niż w ciągu miesiąca albo przy pierwszej komunikacji.

W Polsce e-maile marketingowe ogranicza jeszcze Prawo komunikacji elektronicznej, i właśnie to jest rdzeń tego rozdziału. Art. 398 tej ustawy zakazuje używania automatycznych systemów wywołujących oraz telekomunikacyjnych urządzeń końcowych, w tym poczty elektronicznej, do przesyłania informacji handlowej, w tym marketingu bezpośredniego, do abonenta albo użytkownika końcowego, chyba że uprzednio wyraził on na to zgodę. Zgoda może być wyrażona przez udostępnienie identyfikującego adresu elektronicznego w celu przesyłania informacji handlowej na ten adres; nie ma tu wyjątku „podobne towary dotychczasowego usługodawcy”. RODO przy tym nie znika: do przetwarzania nadal potrzebna jest podstawa z art. 6 rozporządzenia.

A teraz to, co czyni z tego pułapkę: ten przepis dotyczy tego, kto ma uprzednią zgodę albo komu udostępniono adres w celu informacji handlowej. Kupujący, który adresów nie pozyskał i nie ma zgody obejmującej jego działania, nie jest tą osobą, więc zgoda dotychczasowego właściciela razem z plikiem nie przechodzi. Nie ma polskiego przepisu, który legalizowałby wysyłkę na odziedziczoną listę przy sprzedaży sklepu, a milczenie organu nadzorczego nie jest zezwoleniem.

W innych krajach to pytanie rozstrzygnięto różnie, i tę rozbieżność uczciwiej pokazać, niż zasłonić. Niemiecka Konferencja organów ochrony danych (DSK) w 2024 r. zajęła twarde stanowisko, że sprzedaż bazy klientów jako osobnego składnika zwykle wymaga uprzedniej zgody, natomiast hiszpańska ustawa organiczna LOPDGDD w art. 21 zawiera normę, która przy przejściu przedsiębiorstwa prezumuje legalność przetwarzania, jeśli jest ono potrzebne do ciągłości działalności. Polska tego pytania nie uregulowała osobnym przepisem, więc kupującemu zostaje RODO, wspomniany art. 398 Prawa komunikacji elektronicznej i ocena prawna konkretnej transakcji.

Kontrole niezależne od sprzedawcy

Wszystkie poprzednie kontrole zależą od tego, co sprzedawca przyzna i co pokazują jego ustawienia, więc obok nich warto postawić choć jedną, której źródło jest inne, a najprostsza z takich kontroli to dzienniki serwera, bo zapisują żądania niezależnie od tego, czy na stronie w ogóle jest kod pomiarowy i czy odwiedzający zgodził się na pliki cookie.

To nie jest metoda Google i żaden dokument Google jej nie zaleca, więc i my nie podajemy jej jako oficjalnej rekomendacji, tylko jako praktykę, w której, porównując wolumen żądań z dzienników z sesjami analityki za ten sam okres, zwykle widać albo rozsądną relację, albo taką różnicę, o którą warto zapytać. Dostęp do dzienników zwykle daje panel zarządzania hostingiem, więc ta kontrola wymaga dostępu do hostingu, i właśnie dlatego warto go żądać jednocześnie z resztą.

Drugie niezależne źródło to zestawienie operatora płatności, i jest to jedyne ze wszystkich, które pokazuje pieniądze, a nie wizyty. Tu ważna jest jedna różnica: zestawienie, które sprzedawca przysyła jako dokument, to nie to samo co zestawienie, które widzą Państwo w panelu samego operatora, bo pierwsze może przygotować ktokolwiek, drugiego nie, więc proszę żądać dostępu do panelu albo przynajmniej wspólnego ekranu z tym panelem otwartym.

Jest jeszcze jedna kontrola, która zajmuje pięć minut i którą pomija niemal każdy: spojrzeć, jak sklep wygląda w wyszukiwarce dzisiaj, wpisując jego nazwę i kilka fraz z nazw towarów. Jeśli sklep twierdzi o stabilnym ruchu z wyszukiwarki, ale sam pod własną nazwą się nie pojawia albo pojawia się za platformami sprzedaży, na których ten sam sklep wystawia towary, to ruch przychodzi skądinąd, i warto ustalić skąd, bo płatna reklama po transakcji może po prostu stanąć.

Trzecia jest strona księgowa, której merytorycznie nie ruszamy, ale której istnienie warto wspomnieć, bo to jedyna, która spina całą resztę z zadeklarowanymi liczbami, i jeśli analityka, panel płatności i księgowość opowiadają trzy różne historie, to problem nie leży w precyzji pomiaru, i dalej nie jest to już rozmowa techniczna.

Stan kodu i platformy da się sprawdzić tanio

Kontrola stanu technicznego brzmi jak drogi audyt, ale większą część odpowiedzi da się uzyskać w kilka godzin i z danych publicznych. Pierwszy krok to ustalić wersję platformy i języka i porównać ją z opublikowanym kalendarzem wsparcia producenta, bo po końcu wsparcia nowych podatności się już nie łata, choć sklep działa dalej dokładnie tak jak wcześniej.

Drugi krok to lista dodatków razem z historią ich aktualizacji, bo porzucony dodatek jest jednocześnie ryzykiem bezpieczeństwa i ukrytym kosztem: w pewnym momencie trzeba będzie go zastąpić, a zastąpienie w działającym sklepie zwykle znaczy przepisać też wszystko, co wokół niego zbudowano. Trzeci to pytanie, czy sklep kiedykolwiek został zhakowany i co potem zrobiono, i to pytanie warto zadać wprost, bo wymijająca odpowiedź jest tu równie informacyjna jak potwierdzająca.

Czwarty krok dotyczy kodu, jeśli sklep jest dostosowany, i to blisko pytania, które rozważaliśmy osobno w artykule o tym, co należy do Państwa, gdy system jest gotowy. Tu wystarczy strona praktyczna: gdzie leży repozytorium, kto ma do niego dostęp i czy przechodzi do Państwa razem ze sklepem, bo repozytorium na prywatnym koncie sprzedawcy po transakcji zostaje na prywatnym koncie sprzedawcy, jeśli się go osobno nie przeniesie.

Obok repozytorium są dostępy i klucze, i te bywają rozrzucone po miejscach, których nikt nie spisał: panel hostingu, konto domeny, panel płatności, usługa poczty, klucze usług zewnętrznych i analityka. Warto zażądać tej listy na piśmie przed transakcją i sprawdzić po niej, bo klucz, którego nikt nie przekazał, wychodzi na jaw zwykle wtedy, gdy coś przestaje działać, a wtedy sprzedawca już odszedł.

Piąty to lista kosztów powtarzalnych, które przychodzą razem ze sklepem, i bywa dłuższa, niż kupujący oczekuje, bo wchodzi w nią subskrypcja platformy, osobne subskrypcje dodatków, motyw, prowizje pośrednika płatności, hosting, domena i certyfikaty, a każdy z nich ma własną datę odnowienia i własną cenę po pierwszym okresie. Tę listę warto złożyć w jednej tabeli przed rozmową o cenie, bo właśnie ona pokazuje, jaki jest rzeczywisty miesięczny koszt sklepu.

Czego żądać przed podpisaniem

Wszystko poprzednie sprowadza się do zestawu żądań, który nie zajmuje dużo czasu i uczciwemu sprzedawcy nie sprawia trudności: po stronie analityki jest to dostęp w roli Przeglądający do samej usługi, a nie zrzuty ekranu, razem z odpowiedzią, czy nałożono ograniczenie danych o przychodach, a po stronie Search Console dostęp użytkownika z ograniczonym dostępem razem ze wskazaniem, jakiego typu usługa jest otwarta.

Po stronie danych jest to testowy eksport przed umową, odpowiedź, czy skróty haseł przechodzą, i jasność co do tego, co dzieje się z historią zamówień. Po stronie domeny jest to potwierdzenie, na czyje nazwisko domena jest dziś zarejestrowana, i porozumienie, że zmiana abonenta następuje przed zapłatą albo jednocześnie z nią, a nie po.

Po stronie płatności jest to pytanie do operatora płatności, a nie do sprzedawcy, bo tylko ten może powiedzieć, czy konto przechodzi i na jakich warunkach, i pewność sprzedawcy w tej sprawie nie jest dowodem. Jeśli w sklepie są subskrypcje, to samo pytanie trzeba zadać jeszcze raz osobno właśnie o nie, bo subskrypcje są tą częścią, która przy przenoszeniu pęka najczęściej. Po stronie ochrony danych jest to jasność, jak listę zbierano i co wtedy powiedziano klientom, oraz pisemne porozumienie, że po transakcji nowy administrator wykona swój obowiązek informacyjny.

Ten zestaw żądań wygląda na długi, ale jest krótszy niż jeden tydzień, który mija na odzyskiwaniu domeny albo odtwarzaniu subskrypcji po transakcji, i większą część z tego uczciwy sprzedawca przygotuje w parę godzin. Sprzedawca, który wobec tych żądań się sprzeciwia, tym samym odpowiedział na najważniejsze pytanie, i to najtańszy możliwy sposób, żeby to ustalić.

I na koniec są dwie rzeczy, których ten artykuł świadomie nie robi, bo to nie nasza praca i udawanie innej profesji byłoby najgorszym, co tu można zrobić. Nie wypowiadamy się, ile sklep jest wart, i nie zastępujemy prawnika w sprawie korzystania z konkretnej listy klientów, bo oba to praca innych ludzi. Jeśli chcą Państwo, żeby część techniczną sprawdziliśmy my, zanim podpiszą Państwo umowę, proszę się z nami skontaktować, a zrobimy to razem z zespołem tworzenia sklepów internetowych.