> Cómo un pago con Mastercard coloca cookies durante la autenticación 3D Secure, qué exigen el RGPD y la PSD2 y qué implican las transferencias a EE. UU. > > Canonical: https://www.flowconsent.com/es/services/comercio-electronico/mastercard Comercio electrónico # Mastercard Preferencias · [Sitio oficial](https://www.mastercard.com) Mastercard es una red de pagos global que procesa transacciones con tarjeta de crédito y debito. Cuando se integra como medio de pago en un sitio de comercio electrónico, activa un flujo de autenticación 3D Secure 2 (Mastercard Identity Check) que puede colocar cookies en dominios de Mastercard y enviar señales de dispositivo, IP y comportamiento a Estados Unidos. El propio flujo de pago se ampara en la necesidad contractual, pero cualquier capa de analítica o marketing añadida sigue exigiendo consentimiento. [Bloquear Mastercard hasta el consentimiento](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=ecommerce) · [Escanear mi sitio](https://www.flowconsent.com/es/scan) En resumen - Categoría [Comercio electrónico](https://www.flowconsent.com/es/services/comercio-electronico) - Consentimiento Preferencias - Consentimiento previo No obligatorio - Cookies documentadas 6 - Dominios de terceros 6 - Servidores United States (Mastercard International Inc.) Presentación ## ¿Qué hace Mastercard? ## **Que hace Mastercard en una tienda online** Mastercard aparece en los sitios de comercio electrónico europeos en dos formas. La primera es el SDK JavaScript de Mastercard que algunos proveedores de pago (Adyen, Stripe, Worldpay) cargan en la página de checkout para tokenizar el número de tarjeta en el cliente. La segunda es la redirección a idcheck.mastercard.com que ejecuta la autenticación reforzada 3D Secure 2. Ambos flujos tratan datos personales y pueden colocar cookies, por lo que es imprescindible mapearlos antes de cualquier EIPD o aviso de privacidad. ## **Cookies y señales recopiladas** Durante Mastercard Identity Check, el navegador del titular recibe cookies de Akamai (AKA\_A2, bm\_sz, \_abck) para detección de bots, cookies de Adobe Analytics (s\_cc, s\_sq, AMCV\_\*) que miden las páginas de Mastercard y una cookie IDS que recuerda una autenticación frictionless. El servidor 3DS de Mastercard también recoge la huella del dispositivo (version del navegador, idioma, tamaño de pantalla, zona horaria), el User, Agent y la IP publica del titular, además del identificador de comercio y el importe de la transacción. Los nombres y PAN se pseudonimizan a través de la boveda de tokens de Mastercard, pero siguen siendo datos personales según el RGPD. ## **Base RGPD, DSP2 y ePrivacy** Para el pago, la base jurídica es el artículo 6.1.b del RGPD (ejecución de contrato), reforzado por el 6.1.c por la obligación de autenticación reforzada de la DSP2. Para el scoring antifraude, Mastercard y el comerciante invocan el artículo 6.1.f del RGPD (interés legítimo). Las cookies colocadas en idcheck.mastercard.com son estrictamente necesarias en el sentido del artículo 5.3 de la Directiva ePrivacy porque sirven a un servicio solicitado expresamente por el usuario y, por tanto, no requieren banner de consentimiento. Cualquier capa analítica adicional añadida por el comerciante en su propia página de pago si requiere consentimiento. ## **Transferencias a Estados Unidos** Mastercard International Inc. tiene su sede en Purchase, Nueva York. Los datos de autenticación y fraude transitan regularmente por los centros de datos estadounidenses de Mastercard y pueden replicarse a su red mundial de procesamiento. La transferencia se ampara en cláusulas contractuales tipo firmadas entre el comerciante o su adquirente y Mastercard, complementadas por el Marco de Privacidad de Datos UE, EE.UU. cuando las filiales de Mastercard implicadas están certificadas. La AEPD y otras autoridades europeas exigen una evaluación del impacto de la transferencia que documente la exposición al derecho estadounidense (FISA 702, EO 12333) y las medidas adicionales adoptadas. ## **Lista de comprobación** Mapee cada punto de contacto de Mastercard (SDK, iframe, redirección) en su registro de tratamientos. Mencione a Mastercard International Inc. como destinatario en su política de privacidad y añada Estados Unidos a la lista de países de destino. Firme el contrato de tratamiento de Mastercard a través de su adquirente. Documente el reparto de bases jurídicas (contrato para el pago, interés legítimo para el antifraude). Excluya las cookies 3DS de Mastercard del banner de consentimiento por ser estrictamente necesarias, pero no las mezcle nunca con etiquetas analíticas o de marketing servidas desde el mismo dominio. Cumplimiento ## Mastercard y el RGPD - Base jurídica Contract performance (Art. 6(1)(b) GDPR) and legitimate interest for fraud prevention (Art. 6(1)(f) GDPR) - Nivel de riesgo medium - Normativa aplicable GDPR, ePrivacy Directive, PSD2, PCI DSS, CCPA ### Evaluación de impacto (EIPD) Mastercard trata datos de titular de tarjeta, metadatos de transacción, huellas de dispositivo y señales de comportamiento para puntuar el riesgo durante la autenticación 3D Secure 2 (Identity Check). Consideraciones clave para la EIPD: (1) transferencias internacionales a Mastercard International Inc. en EE.UU. y a su red de procesadores; (2) huella digital de dispositivo y dirección IP utilizadas como señales antifraude, con posible implicación del Art. 22 del RGPD si una transacción se rechaza automáticamente sin revisión humana; (3) retención prolongada de los resultados de autenticación para la defensa frente a contracargos (hasta 13 meses según la DSP2) y 7 años por obligaciones de prevención del blanqueo de capitales; (4) análisis de corresponsabilidad entre comerciante, adquirente y Mastercard durante el intercambio 3DS (Directrices CEPD 7/2020); (5) alcance del PCI DSS cuando la página del comerciante integra directamente el SDK JavaScript de Mastercard en lugar de un iframe alojado. Se recomienda una EIPD para flujos de pago de alto volumen o cuando las señales de Mastercard contribuyen al rechazo automático de transacciones. ### Texto de ejemplo para su banner > Cuando paga con tarjeta, compartimos los detalles de la transacción y los datos necesarios para autenticarle (3D Secure) con Mastercard International Inc. y nuestro proveedor de servicios de pago. Este tratamiento es necesario para ejecutar nuestro contrato con usted y para cumplir nuestras obligaciones antifraude conforme a la DSP2. Mastercard puede colocar cookies y procesar señales de dispositivo en su propio dominio (idcheck.mastercard.com) con fines de prevención del fraude. El pago en si no requiere consentimiento, pero puede rechazar las cookies analíticas o de marketing opcionales en nuestro banner. Cookies y rastreadores ## Lo que Mastercard instala y contacta - Método de seguimiento JavaScript SDK plus 3D Secure 2 (Mastercard Identity Check) redirect - Ubicación de los servidores United States (Mastercard International Inc.) - Transferencia de datos fuera de la UE Payment, cardholder authentication, and fraud data are transferred to Mastercard International Inc. servers located in the United States and to its global processing network. Transfers rely on Standard Contractual Clauses (SCCs) under Article 46(2)(c) GDPR and on legal obligations under PSD2 and PCI DSS. ### Cookies instaladas (6) | Nombre | Tipo | Duración | Finalidad | | ----------------- | ------------------ | -------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | AMCV\_\*@AdobeOrg | Functional | 2 years | Persistent cross, domain visitor identifier set during 3D Secure (Mastercard Identity Check) and used to recognise the same user across sessions and Mastercard properties. | | AKA\_A2 | Strictly necessary | 1 hour | Akamai bot detection token used to verify that the 3D Secure challenge is performed by a human and not by an automated client. | | bm\_sz | Strictly necessary | 4 hours | Akamai Bot Manager session cookie that protects the Mastercard Identity Check endpoint from credential, stuffing and scripted attacks. | | IDS | Functional | 1 year | Identity Check session identifier used by Mastercard to remember a frictionless authentication outcome and avoid challenging the same low, risk device repeatedly. | | s\_cc | Analytics | Session | Adobe Analytics cookie that tells Mastercard whether cookies are enabled in the user's browser during the authentication flow. | | s\_sq | Analytics | Session | Adobe Analytics cookie that records the last link clicked inside the Mastercard Identity Check pages. | ### Dominios de terceros contactados (6) - `mastercard.com` - `idcheck.mastercard.com` - `securecode.mastercard.com` - `src.mastercard.com` - `sandbox.mastercard.com` - `mastercard.us` Preguntas ## Preguntas frecuentes sobre Mastercard ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Qué cookies coloca Mastercard en mi sitio? Mastercard no coloca cookies de origen en su dominio. Durante 3D Secure 2 el navegador del titular se redirige a idcheck.mastercard.com, que coloca cookies de Akamai (AKA\_A2, bm\_sz, \_abck), cookies de Adobe Analytics (s\_cc, s\_sq, AMCV\_\*) y una cookie de sesión IDS. Todas viven en dominios de Mastercard, no en el suyo. ### ¿Necesito consentimiento antes de enviar un pago a Mastercard? No. El pago se ampara en la ejecución contractual (artículo 6.1.b del RGPD) y en la obligación de autenticación reforzada de la DSP2. Las cookies 3DS de idcheck.mastercard.com son estrictamente necesarias según el artículo 5.3 de la Directiva ePrivacy y están exentas del banner. Cualquier etiqueta analítica o de marketing que usted añada a su propia página de checkout si requiere consentimiento. ### ¿Cuál es la base jurídica del scoring antifraude de Mastercard? El artículo 6.1.f del RGPD (interés legítimo) para las señales antifraude (huella de dispositivo, IP, patrones de comportamiento) y el artículo 6.1.c para la obligación regulatoria de autenticación reforzada de la DSP2. Documente el juicio de ponderación en su registro y comuniquelo en la política de privacidad. ### ¿Se transfieren los datos del titular a Estados Unidos? Si. Mastercard International Inc. tiene su sede en Purchase, Nueva York, y los datos de autenticación transitan regularmente por sus centros estadounidenses. Las transferencias se basan en cláusulas contractuales tipo y, cuando corresponde, en el Marco de Privacidad de Datos UE, EE.UU. Las autoridades europeas esperan una evaluación del impacto de la transferencia. ### ¿Requiere Mastercard una EIPD? Se recomienda una EIPD para checkouts de alto volumen, cuando las señales de Mastercard contribuyen al rechazo automático de transacciones (riesgo del artículo 22 del RGPD) o cuando el comerciante integra el SDK directamente en lugar de un iframe alojado. Para integraciones menores puede bastar la EIPD del adquirente combinada con un juicio de ponderación propio. ### ¿Cómo implemento Mastercard de forma conforme con el RGPD? Use un iframe alojado o una redirección completa para reducir el alcance PCI DSS. Firme el contrato de tratamiento de Mastercard a través de su adquirente. Mencione a Mastercard International Inc. y a Estados Unidos en su política de privacidad. Mantenga las cookies 3DS fuera del banner pero listelas como estrictamente necesarias. Compruebe que no se cargue ningún píxel de marketing de Mastercard sin consentimiento. ### ¿Existen alternativas europeas a Mastercard? Existen varios esquemas europeos: Cartes Bancaires (Francia), Girocard (Alemania), Bancontact (Bélgica), Dankort (Dinamarca) y la futura European Payments Initiative (EPI Wero) para pagos cuenta a cuenta. La mayoría siguen dependiendo de los rails de Mastercard o Visa a nivel internacional, así que un reemplazo completo combina un esquema local con SEPA Instant para los pagos transfronterizos. ### ¿Cómo actualizo mi política de cookies? Liste las cookies de Mastercard Identity Check (Akamai, Adobe, IDS) en la categoría de estrictamente necesarias de su tabla, con el dominio (mastercard.com o subdominios), la duración y una breve descripción. Añada a Mastercard International Inc. a la lista de destinatarios, mencione Estados Unidos como país de destino y enlace al Aviso Global de Privacidad de Mastercard. Misma categoría ## Más servicios: Comercio electrónico [Ver toda la categoría](https://www.flowconsent.com/es/services/comercio-electronico) ### [Cloudfy](https://www.flowconsent.com/es/services/comercio-electronico/cloudfy) [Preferencias](https://www.flowconsent.com/es/services/comercio-electronico/cloudfy) · ### [ocStore](https://www.flowconsent.com/es/services/comercio-electronico/ocstore) [Preferencias](https://www.flowconsent.com/es/services/comercio-electronico/ocstore) · ### [Webasyst Shop-Script](https://www.flowconsent.com/es/services/comercio-electronico/webasyst-shop-script) [Preferencias](https://www.flowconsent.com/es/services/comercio-electronico/webasyst-shop-script) · ### [Stardekk](https://www.flowconsent.com/es/services/comercio-electronico/stardekk) [Analítica](https://www.flowconsent.com/es/services/comercio-electronico/stardekk) · ### [Google Wallet](https://www.flowconsent.com/es/services/comercio-electronico/google-wallet) [Preferencias](https://www.flowconsent.com/es/services/comercio-electronico/google-wallet) · ### [MiniBC](https://www.flowconsent.com/es/services/comercio-electronico/minibc) [Preferencias](https://www.flowconsent.com/es/services/comercio-electronico/minibc) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)