HeyLight

Que es HeyLight y que hace

HeyLight es un proveedor europeo de pago aplazado y crédito al consumo nacido en 2024 de la fusion entre HeidiPay en Suiza y la division BNPL de Compass Banca, perteneciente al grupo italiano Mediobanca. Ofrece planes a plazos (3x, 4x, 6x, 12x y hasta 84x) integrados en los pagos online mediante un widget JavaScript y un flujo de pago en iframe, y actúa como entidad de crédito regulada supervisada por las autoridades financieras nacionales en Italia, Suiza y otros mercados de la UE.

Datos y cookies recogidos por HeyLight

Durante el pago HeyLight recoge los detalles del pedido, la identidad del solicitante (nombre, correo, dirección postal), el código fiscal o identificador nacional, el IBAN, un documento de identidad para la KYC y señales utilizadas en el scoring crediticio como el historial de reembolsos y datos del dispositivo. Las cookies heylight_session y hl_csrf aseguran el flujo, hl_consent guarda las preferencias de cookies y hl_lang el idioma. Los dominios usados incluyen heylight.com, pay.heylight.com, checkout.heylight.com, api.heylight.com y cdn.heylight.com.

Implicaciones RGPD y ePrivacy

HeyLight trata a gran escala datos financieros, documentos de identidad e información KYC, y realiza decisiones automatizadas de crédito que entran en el ámbito del art. 22 del RGPD. Aplican estrictos deberes de información del art. 13, así como el derecho del solicitante a una intervención humana, a impugnar la decisión y a entender la lógica aplicada. La Directiva ePrivacy regula las cookies no estrictamente necesarias y la Directiva 2023/2225 sobre crédito al consumo y la PSD2 imponen obligaciones adicionales de información y seguridad.

Requisitos de consentimiento y base legal

Las cookies estrictamente necesarias para el pago no requieren consentimiento. Las cookies de marketing y analítica, si se cargan, exigen consentimiento previo según ePrivacy. La evaluación del crédito se basa en la ejecución del contrato (art. 6.1.b), la obligación legal (art. 6.1.c) para KYC y prevención del blanqueo, y el interés legítimo (art. 6.1.f) para la prevención del fraude. Cuando el scoring es automatizado debe facilitarse información específica, incluido el derecho a intervención humana.

Transferencias fuera de la UE y pasos prácticos de cumplimiento

El tratamiento se realiza principalmente en la UE (Italia) y en Suiza; Suiza esta cubierta por una decisión de adecuación de la UE, por lo que no se requieren herramientas adicionales de transferencia. Los comerciantes deben: incluir HeyLight en la política de privacidad y el banner de cookies, condicionar las cookies de marketing al consentimiento, realizar una EIPD sobre la decisión automatizada y la KYC, firmar un encargo de tratamiento o acuerdo de corresponsabilidad según corresponda, documentar la conservación de expedientes crediticios e informar a los solicitantes de sus derechos del art. 22 y de las vías de reclamación ante la AEPD u otra autoridad competente.