> Cómo gestiona Mul-Pay las cookies de pago, los datos de tarjeta, la adecuación UE-Japón y las obligaciones PCI DSS para comerciantes. > > Canonical: https://www.flowconsent.com/es/services/comercio-electronico/mul-pay Comercio electrónico # Mul-Pay Preferencias · [Sitio oficial](https://static.mul-pay.jp) Mul-Pay es la pasarela y agregador de pagos operado por GMO Payment Gateway, Inc., uno de los mayores proveedores de servicios de pago de Japón. Expone una página de pago alojada en el dominio mul-pay.jp que procesa los pagos con tarjeta y los métodos alternativos en modo servidor. Las cookies se escriben únicamente en el dominio de pago, son estrictamente necesarias y se benefician de la decisión de adecuación UE-Japón para transferencias bajo RGPD. [Bloquear Mul-Pay hasta el consentimiento](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=ecommerce) · [Escanear mi sitio](https://www.flowconsent.com/es/scan) En resumen - Categoría [Comercio electrónico](https://www.flowconsent.com/es/services/comercio-electronico) - Consentimiento Preferencias - Consentimiento previo No obligatorio - Cookies documentadas 3 - Dominios de terceros 4 - Servidores Japan (GMO Payment Gateway, Inc. operates its data centers in Japan, primarily in the Tokyo region) Presentación ## ¿Qué hace Mul-Pay? ## **Qué es Mul-Pay y cómo funciona** Mul-Pay es el servicio unificado de pasarela de pago operado por GMO Payment Gateway, Inc., uno de los mayores proveedores de servicios de pago de Japón. La solución admite tarjeta de crédito, pagos en konbini, transferencias bancarias, Pay-easy, carrier billing y un amplio abanico de monederos electrónicos japoneses. La integración con el sitio del comerciante se realiza mediante una llamada API servidor a servidor hacia mul-pay.jp o redirigiendo al comprador a una página de pago alojada en el dominio de la pasarela. En ambos casos, los datos sensibles de tarjeta nunca llegan al comerciante: se capturan en el entorno de GMO PG, certificado PCI DSS nivel 1. ## **Datos y cookies durante una transacción** Las cookies se depositan exclusivamente en el dominio mul-pay.jp durante el paso de pago y todas son estrictamente necesarias: un identificador de sesión que enlaza el envío del formulario con el registro de la transacción, un token CSRF que evita la falsificación de peticiones y un token de seguridad efímero utilizado en el flujo 3-D Secure cuando lo exige el emisor. Mul-Pay no deposita cookies publicitarias, analíticas ni de seguimiento persistente. Los datos intercambiados incluyen el importe, la divisa, el número de tarjeta enmascarado, el criptograma y, para algunos métodos, el nombre y los datos de contacto del comprador necesarios para el control antifraude. ## **Implicaciones bajo el RGPD y la ePrivacy** Las cookies depositadas durante el paso de pago son estrictamente necesarias según el art. 5(3) de la Directiva ePrivacy porque permiten prestar el servicio de pago expresamente solicitado por el comprador: el tratamiento seguro de la transacción. No requieren consentimiento y el comerciante no debería bloquearlas mediante la CMP. El tratamiento de los datos de tarjeta y de transacción se basa en la ejecución contractual (art. 6(1)(b) RGPD) y en obligaciones legales vinculadas a PCI DSS, prevención del blanqueo y normativa financiera japonesa (art. 6(1)(c)). GMO Payment Gateway actúa como responsable independiente para los datos antifraude y como encargado para la ejecución de la transacción por cuenta del comerciante. ## **Decisión de adecuación UE-Japón y transferencias** En enero de 2019 la Comisión Europea concedió a Japón una decisión de adecuación completa, renovada en 2024. Por tanto, las transferencias de datos personales europeos a Mul-Pay no requieren cláusulas contractuales tipo ni una evaluación de impacto de la transferencia. El comerciante debe asegurarse, no obstante, de que las normas suplementarias adoptadas por la Personal Information Protection Commission de Japón (PPC) se referencien en el contrato y sean respetadas por GMO Payment Gateway. La APPI japonesa también se aplica en el lado local e impone sus propias obligaciones a la pasarela. ## **Consentimiento, EIPD y seguridad** Dado que las cookies son estrictamente necesarias y la transferencia se ampara en la adecuación, no se supera el umbral de consentimiento para el paso de pago en sí. Rara vez se exige una EIPD para la pasarela aislada, aunque debe referenciarse en la EIPD más amplia que cubra la pila de comercio. Las garantías a documentar son los controles PCI DSS nivel 1, la aplicación de 3-D Secure 2 sobre tarjetas UE, el cifrado en tránsito, la tokenización de los números de tarjeta y los plazos de conservación de los metadatos de transacción (habitualmente 5 a 10 años por motivos fiscales y AML). ## **Cumplimiento práctico para comerciantes europeos** Firme el DPA de GMO Payment Gateway, referencie la decisión de adecuación UE-Japón en la información de privacidad y liste mul-pay.jp en la política de cookies como dominio de pago. Configure la CMP para que nunca bloquee la pasarela y muestre un mensaje claro en el checkout indicando la redirección a un proveedor japonés. Active 3-D Secure 2 para cumplir la autenticación reforzada del cliente exigida por PSD2 cuando el emisor esté en el EEE. Documente la conservación de tokens y registros de transacción de forma separada de los datos de marketing. Cumplimiento ## Mul-Pay y el RGPD - Base jurídica Performance of a contract (Art. 6(1)(b) GDPR) for processing the payment transaction. Legal obligation (Art. 6(1)(c) GDPR) for anti money laundering record keeping and PCI DSS compliance. The cookies set on the payment domain during checkout are strictly necessary under ePrivacy Article 5(3). - Nivel de riesgo low - Normativa aplicable GDPR, ePrivacy Directive 2002/58/EC, PCI DSS 4.0, APPI (Japan Act on the Protection of Personal Information), EU Japan adequacy decision ### Evaluación de impacto (EIPD) No suele exigirse una EIPD para el paso de pago en sí, ya que Mul-Pay procesa un conjunto de datos limitado para una finalidad contractual definida sobre infraestructura japonesa cubierta por la decisión de adecuación de la UE. El comerciante debe documentar el flujo en el Registro de Actividades, la conservación de metadatos de transacción para PCI DSS y prevención del blanqueo (habitualmente entre 5 y 10 años) y los subencargados utilizados por GMO Payment Gateway. Si interviene 3-D Secure, la entidad emisora actúa como participante adicional. ### Texto de ejemplo para su banner > En el paso de pago se le redirige a la pasarela segura Mul-Pay, operada por GMO Payment Gateway en Japón. Las cookies depositadas en la página Mul-Pay son estrictamente necesarias para tramitar su pago con seguridad y prevenir el fraude; no requieren consentimiento. El comerciante no conserva datos de tarjeta: son procesados por Mul-Pay bajo PCI DSS y transferidos desde la UE a Japón al amparo de la decisión de adecuación. Cookies y rastreadores ## Lo que Mul-Pay instala y contacta - Método de seguimiento Server-side payment gateway. The buyer is redirected to or framed inside a hosted payment page on mul-pay.jp where the card or alternative payment is captured. Cookies are written on the payment gateway domain only, not on the merchant site. - Ubicación de los servidores Japan (GMO Payment Gateway, Inc. operates its data centers in Japan, primarily in the Tokyo region) - Transferencia de datos fuera de la UE Card and transaction data are processed on Japanese infrastructure. Japan has a European Commission adequacy decision for data transferred from the EU (2019 adequacy decision, renewed in 2024), provided the supplementary rules from the Personal Information Protection Commission of Japan are observed. Transfers therefore do not require SCCs but the adequacy framework must be referenced. ### Cookies instaladas (3) | Nombre | Tipo | Duración | Finalidad | | --------------- | ------------------ | ---------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------- | | MULPAY\_SESSION | strictly-necessary | Session | Session identifier set on mul-pay.jp that links the buyer payment form to the transaction record. Required to deliver the payment service requested by the buyer. | | XSRF-TOKEN | strictly-necessary | Session | CSRF token used to validate form submissions on the Mul-Pay hosted payment page and prevent request forgery. | | mulpay\_3ds | strictly-necessary | 15 minutes | Short lived token used during the 3-D Secure 2 challenge flow to bind the issuer authentication step to the original transaction. | ### Dominios de terceros contactados (4) - `mul-pay.jp` - `p01.mul-pay.jp` - `p02.mul-pay.jp` - `gmopg.jp` Preguntas ## Preguntas frecuentes sobre Mul-Pay ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Qué cookies deposita Mul-Pay durante el pago? Mul-Pay solo escribe cookies estrictamente necesarias en el dominio mul-pay.jp durante el flujo de pago: un identificador de sesión que enlaza al comprador con el registro de la transacción, un token XSRF para protección CSRF de la página de pago alojada y un token 3-D Secure efímero cuando el emisor requiere autenticación reforzada. No se depositan cookies publicitarias, analíticas ni de seguimiento persistente. ### ¿Hace falta consentimiento para usar Mul-Pay en una tienda europea? No. Las cookies depositadas en la página de pago Mul-Pay son estrictamente necesarias para procesar la transacción solicitada expresamente por el comprador. Conforme al art. 5(3) ePrivacy quedan exentas de consentimiento. El comerciante no debe bloquear el dominio Mul-Pay desde la CMP porque impediría completar el pago. ### ¿Cuál es la base jurídica del tratamiento de Mul-Pay? La ejecución contractual (art. 6(1)(b) RGPD) es la base principal del tratamiento del pago: sin ella el comerciante no puede entregar la compra. Las obligaciones legales (art. 6(1)(c)) cubren PCI DSS, prevención del blanqueo y normativa financiera japonesa. El interés legítimo (art. 6(1)(f)) puede sostener la monitorización antifraude que realiza GMO Payment Gateway de forma independiente. ### ¿Cómo se gestionan las transferencias a Japón bajo el RGPD? Japón se beneficia de una decisión de adecuación de la Comisión Europea adoptada en enero de 2019 y renovada en 2024. Las transferencias a Mul-Pay son por tanto lícitas sin CCT ni TIA. El comerciante debe referenciar la decisión de adecuación en su información de privacidad y asegurarse de que GMO Payment Gateway respeta las normas suplementarias adoptadas por la Personal Information Protection Commission japonesa. ### ¿Hace falta una EIPD para añadir Mul-Pay al checkout? Rara vez se exige una EIPD para la integración de pago aislada, ya que el conjunto de datos es limitado, la finalidad está bien definida y el país destinatario está cubierto por una decisión de adecuación. Mul-Pay debe referenciarse en la EIPD que cubra la pila de comercio y en el Registro de Actividades del art. 30. Documente la conservación de metadatos de transacción (habitualmente 5 a 10 años por motivos fiscales y AML) y la lista de subencargados que facilita GMO Payment Gateway. ### ¿Cómo implemento Mul-Pay de forma conforme? Cuando sea posible, utilice la API servidor a servidor para que los datos de tarjeta permanezcan íntegramente en GMO Payment Gateway o use la página de pago alojada sobre HTTPS con un aviso claro de redirección a un proveedor japonés. Firme el DPA con GMO Payment Gateway, liste mul-pay.jp en la política de cookies como dominio de pago y no bloquee la pasarela desde la CMP. Active 3-D Secure 2 para cumplir la autenticación reforzada exigida por PSD2 cuando el emisor esté en el EEE. ### ¿Existen alternativas europeas a Mul-Pay? Sí. Adyen (Países Bajos), Mollie (Países Bajos), Worldline (Francia), Nexi (Italia) y Stripe Europe (Irlanda) son procesadores de pago europeos con conjuntos de funciones equivalentes. Para un comercio puramente europeo suelen preferirse porque eliminan toda dimensión de país tercero. Mul-Pay sigue siendo la opción natural cuando el mercado objetivo es Japón y los compradores esperan métodos locales como Konbini o Pay-easy. ### ¿Cómo describir Mul-Pay en la política de cookies? Indique a Mul-Pay como pasarela de pago operada por GMO Payment Gateway, Inc. en el dominio mul-pay.jp, clasifique sus cookies como estrictamente necesarias y referencie la decisión de adecuación UE-Japón en la sección de transferencias internacionales. Aclare que las cookies de pago solo se depositan durante el flujo de checkout, que no son accesibles para el comerciante y que la política de privacidad de la pasarela puede consultarse en la web de Mul-Pay. Misma categoría ## Más servicios: Comercio electrónico [Ver toda la categoría](https://www.flowconsent.com/es/services/comercio-electronico) ### [Medoc](https://www.flowconsent.com/es/services/comercio-electronico/medoc) [Preferencias](https://www.flowconsent.com/es/services/comercio-electronico/medoc) · ### [Pixieset Store](https://www.flowconsent.com/es/services/comercio-electronico/pixieset-store) [Preferencias](https://www.flowconsent.com/es/services/comercio-electronico/pixieset-store) · ### [Appifiny](https://www.flowconsent.com/es/services/comercio-electronico/appifiny) [Comercio electrónico](https://www.flowconsent.com/es/services/comercio-electronico/appifiny) · ### [Invitario](https://www.flowconsent.com/es/services/comercio-electronico/invitario) [Preferencias](https://www.flowconsent.com/es/services/comercio-electronico/invitario) · ### [Video Greet](https://www.flowconsent.com/es/services/comercio-electronico/video-greet) [Preferencias](https://www.flowconsent.com/es/services/comercio-electronico/video-greet) · ### [RedCart](https://www.flowconsent.com/es/services/comercio-electronico/redcart) [Preferencias](https://www.flowconsent.com/es/services/comercio-electronico/redcart) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)