DPA הוא מסמך משפטי שמגדיר: איזה נתונים מועברים, איך הם מאוחסנים, מה הביטחון שלהם, ומה זכויות הלקוח. כשחנות משתמשת באפליקציה שמעבדת נתוני לקוחות (Klaviyo, Mailchimp), חתימה על DPA נדרשת לעמידה ב-GDPR. שופיפיי מציעה DPA סטנדרטית.
בחנות ישראלית עם מבקרים אירופיים, חתימה על DPA עם כל ספק שמטפל בנתוני לקוחות חיונית. שופיפיי, Klaviyo, Shopify (עצמה) — כולם דורשים DPA. הסוחר חותם פעם אחת אונליין, וזה תקף לכל הפעילות. בלי DPA, חשוף לקנס GDPR.