Braintree
Braintree es la plataforma de procesamiento de pagos para comerciantes de PayPal Holdings, que ofrece tarjeta, PayPal, Venmo, Apple Pay, Google Pay y SEPA Direct Debit en una integración única.
¿Qué hace Braintree?
¿Qué es Braintree?
Braintree es la plataforma de procesamiento de pagos para comerciantes propiedad de PayPal Holdings Inc., con sede en Chicago. Ofrece una integración única para pagos con tarjeta, PayPal, Venmo, Apple Pay, Google Pay, SEPA Direct Debit, Bancontact, iDEAL, Sofort, Klarna y muchos métodos locales europeos. Los comerciantes integran Braintree mediante Hosted Fields (iframes con scope PCI reducido), el Drop in UI o la API GraphQL. Tras bambalinas, Braintree gestiona tokenización, autenticación 3DS2, detección de fraude (Kount, ThreatMetrix) y el Vault para pagos recurrentes.
¿Qué datos y cookies recopila Braintree?
Braintree deposita cookies first party en el dominio del comerciante (BraintreeJS_ para el estado del SDK) y cookies de terceros en braintreegateway.com y paypal.com cuando se muestran los botones PayPal o Venmo (LANG, tsrce, x-pp-s, l7_az, ts, ts_c, _ga vinculado a paypal.com). Los scripts avanzados de detección de fraude (collector.js, data collector) toman la huella del dispositivo: user agent, resolución de pantalla, plug-ins, fuentes, IP y señales conductuales. Los datos de tarjeta se tokenizan y se transmiten directamente del iframe a Braintree sin pasar por el servidor del comerciante.
Implicaciones RGPD y ePrivacy
Las cookies de pago estrictamente necesarias para completar la transacción solicitada por el usuario entran en la excepción del artículo 5(3) ePrivacy. Sin embargo, los scripts de fraud detection a menudo superan lo estrictamente necesario y exigen consentimiento, salvo que se documente un interés legítimo prevalente para la prevención del fraude. La AEPD y el CEPD distinguen las funciones antifraude esenciales (admisibles bajo interés legítimo) del perfilado conductual amplio (requiere consentimiento). Braintree y el comerciante son responsables independientes del tratamiento de pago.
Gestión del consentimiento con Braintree
Cargue Hosted Fields y Drop in UI sin consentimiento previo porque son estrictamente necesarios. Cargue collector.js (data collector) solo tras el consentimiento o documente un análisis de interés legítimo que limite los datos recogidos a lo necesario para prevenir el fraude. No precargue los PayPal Smart Buttons antes del consentimiento si activan cookies de terceros en paypal.com más allá de lo necesario para el checkout.
Transferencias, PCI DSS y pasarela UE
Braintree ofrece una pasarela UE alojada en Irlanda (payments-eu.braintree-api.com), pero los datos de tarjeta y las señales de fraude pueden tratarse en Estados Unidos por PayPal Holdings para PCI DSS, lucha contra el blanqueo, gestión de disputas y risk scoring. Las transferencias se apoyan en las CCT UE y en la certificación DPF de PayPal. Documente el mecanismo en el registro de actividades de tratamiento e informe claramente a los usuarios en la información de privacidad.
Checklist de cumplimiento práctico
Firme el contrato comerciante de Braintree y el DPA de PayPal con las CCT UE. Active la pasarela UE cuando sea posible. Dispare Hosted Fields y Drop in UI sin consentimiento (estrictamente necesarios). Coloque el data collector avanzado tras una gate CMP o documente un análisis de interés legítimo. Enumere las cookies Braintree en la política de cookies como Funcionales o Prevención de Fraude. Identifique a PayPal (Europe) Sarl & Cie, S.C.A y PayPal Inc. como responsables independientes en la información de privacidad con la divulgación de transferencias.
Braintree y el RGPD
Braintree está clasificado como «Esencial». En un sitio dirigido a visitantes europeos, solo debe cargarse después del consentimiento del visitante y debe figurar en su política de cookies.
- Base jurídica
- Performance of a contract (article 6(1)(b) GDPR) for the actual payment processing, combined with legitimate interest for fraud prevention. Strictly necessary status applies to checkout cookies, but the fraud detection scripts that fingerprint the device usually require consent under article 5(3) ePrivacy.
- Nivel de riesgo
- medium
- Normativa aplicable
- GDPR, ePrivacy Directive, TTDSG, PCI DSS, PSD2 Strong Customer Authentication, AMLD5, French Data Protection Act, UK GDPR and PECR
Evaluación de impacto (EIPD)
Una EIPD es recomendable cuando Braintree se combina con los scripts avanzados de fraud detection (Kount, ThreatMetrix), cuando los comerciantes almacenan datos de tarjeta en el Vault para pagos recurrentes, o cuando la 3DS2 risk-based trata un amplio conjunto de señales conductuales.
Texto de ejemplo para su banner
Utilizamos Braintree by PayPal para procesar sus pagos y detectar transacciones fraudulentas. Braintree instala cookies en su dispositivo para asegurar el checkout e identificar comportamientos sospechosos. Las cookies de pago son estrictamente necesarias, pero los scripts antifraude avanzados que perfilan su dispositivo solo se ejecutan con su consentimiento.
Lo que Braintree instala y contacta
- Método de seguimiento
- Hosted Fields JavaScript SDK, Drop in UI and direct API calls. First party fraud detection cookies plus optional PayPal Pay Later and Venmo widgets
- Ubicación de los servidores
- United States headquarters (Chicago) with EU gateway in Dublin (payments-eu.braintree-api.com)
- Transferencia de datos fuera de la UE
- Braintree is a subsidiary of PayPal Holdings Inc. headquartered in the United States. An EU gateway exists in Ireland, but card data and fraud signals can be processed in the US for PCI DSS, fraud detection and dispute management. Transfers rely on EU SCCs and on the PayPal DPF certification.
Cookies instaladas (6)
| Nombre | Tipo | Duración | Finalidad |
|---|---|---|---|
| BraintreeJS_* | Functional | Session | Maintains the Hosted Fields and Drop in UI state on the merchant domain during checkout. Strictly necessary for the payment to complete. |
| ts | Functional | 3 years | PayPal session cookie used by Braintree when PayPal buttons are loaded. Helps recognise the user during the PayPal flow. |
| ts_c | Functional | 3 years | PayPal companion cookie to ts, used together for session continuity in the PayPal checkout. |
| l7_az | Functional | 30 minutes | Load balancer routing cookie on paypal.com used during the checkout to keep the user on the same backend instance. |
| tsrce | Functional | 3 days | PayPal traffic source cookie set when Smart Buttons are displayed for analytics and attribution. |
| x-pp-s | Functional | Session | PayPal session identifier used during the PayPal Smart Button flow. |
Dominios de terceros contactados (6)
braintreegateway.combraintree-api.compayments-eu.braintree-api.compaypal.compaypalobjects.comvenmo.com
Preguntas frecuentes sobre Braintree
¿No encuentra su pregunta? Escríbanos, respondemos rápido.
¿Qué cookies instala Braintree?
Braintree instala cookies first party en el dominio del comerciante para mantener el estado de Hosted Fields y cookies de terceros en braintreegateway.com y paypal.com (LANG, tsrce, x-pp-s, l7_az, ts, ts_c) cuando se muestran los botones PayPal o Venmo. La detección avanzada de fraude (collector.js) también genera una huella del dispositivo almacenada en el navegador.
¿Es obligatorio el consentimiento para Braintree?
Las cookies de Hosted Fields y Drop in UI son estrictamente necesarias y están exentas del consentimiento del artículo 5(3) ePrivacy. Los scripts de detección avanzada de fraude y los PayPal Smart Buttons suelen requerir consentimiento salvo un análisis de interés legítimo documentado.
¿Cuál es la base jurídica para Braintree?
Ejecución de un contrato (artículo 6(1)(b) RGPD) para el tratamiento del pago. Interés legítimo (artículo 6(1)(f) RGPD) para medidas antifraude esenciales. Consentimiento (artículo 6(1)(a) RGPD) para el perfilado no esencial, los botones marketing y el antifraude conductual.
¿Qué pasa con las transferencias a EE.UU.?
Braintree ofrece una pasarela UE en Irlanda, pero los datos de tarjeta y de fraude pueden tratarse en Estados Unidos por PayPal Holdings. Las transferencias se apoyan en las CCT UE y en la certificación DPF de PayPal.
¿Necesito una EIPD para Braintree?
Una EIPD es recomendable al activar la detección avanzada de fraude (Kount, ThreatMetrix), al usar 3DS2 risk based con señales conductuales amplias o al almacenar tarjetas en el Vault para pagos recurrentes a gran escala.
¿Cómo implementar Braintree de forma conforme?
Cargue Hosted Fields sin consentimiento. Cargue el collector avanzado solo tras el consentimiento o bajo interés legítimo documentado. Firme el contrato comerciante de Braintree y el DPA de PayPal con las CCT UE. Active la pasarela UE cuando sea posible. Informe a los usuarios en la información de privacidad con un equilibrio entre transparencia y seguridad.
¿Qué alternativas hay a Braintree en Europa?
Stripe Connect, Adyen, Mollie (neerlandés, solo UE), Worldline, Checkout.com, GoCardless para SEPA, Klarna para BNPL o actores locales como Lemonway y Lyra Network. La mayoría ofrecen cumplimiento PCI DSS y soporte 3DS2 similares con huella UE distinta.
¿Cómo documento Braintree en mi política de cookies?
Enumere las cookies first party BraintreeJS_ y las cookies de terceros en braintreegateway.com y paypal.com con su dominio, duración y finalidad. Categorice las cookies de pago como Estrictamente Necesarias y las cookies de detección de fraude como Prevención de Fraude. Identifique a PayPal (Europe) Sarl & Cie, S.C.A y PayPal Inc. como responsables independientes en la información de privacidad con la divulgación de transferencias.
Haga que su sitio cumpla la normativa hoy mismo.
Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.