Paddle
Paddle es una plataforma de pago británica de tipo merchant of record (MoR), ampliamente utilizada por empresas SaaS en Europa para externalizar facturación, recaudación de IVA UE, prevención de fraude y reporting. El tratamiento principal se realiza en regiones AWS europeas; el Reino Unido cuenta con decisión de adecuación. El checkout alojado de Paddle solo instala cookies de primera parte estrictamente necesarias, y como MoR Paddle gestiona el IVA y la facturación en nombre del vendedor.
¿Qué hace Paddle?
¿Qué es Paddle?
Paddle es una plataforma de pago británica fundada en 2012 en Londres que opera como merchant of record (MoR) para software y productos digitales. Los vendedores integran Paddle Checkout o la API Paddle Billing; Paddle gestiona el procesamiento de tarjetas, la prevención de fraude, el cálculo y recaudación del IVA UE, la facturación, el dunning y los chargebacks en nombre del vendedor. Muy utilizado por empresas SaaS europeas para externalizar operaciones de facturación con alta carga de cumplimiento.
Cookies y datos recogidos
Paddle trata los datos de pago introducidos por el cliente (número de tarjeta, dirección de facturación, IP, país para determinar el IVA), los metadatos de pedido enviados por el vendedor, señales de riesgo para prevención de fraude y SCA, y el email del cliente para recibos y facturas. En el overlay del checkout alojado solo se instalan cookies de primera parte estrictamente necesarias: cookie de sesión, token CSRF y una pequeña cookie de puntuación de riesgo. No se utilizan cookies publicitarias ni conductuales.
Implicaciones RGPD y ePrivacy
Las cookies del checkout Paddle se acogen a la exención de estricta necesidad del artículo 5(3) ePrivacy. Los datos de pago se basan en la ejecución del contrato (art. 6(1)(b) RGPD); la conservación AML, IVA UE y fiscal en la obligación legal (art. 6(1)(c)). Como Paddle es merchant of record, actúa como responsable para parte de la transacción (sobre todo cumplimiento fiscal y chargebacks) y como encargado para otras partes. Actualice su política en consecuencia.
Transferencias y alojamiento
Paddle.com Market Limited está constituida en el Reino Unido, que cuenta con decisión de adecuación de la Comisión Europea. El tratamiento principal se realiza en regiones AWS europeas (Fráncfort y Dublín), con replicación al Reino Unido y subencargados estadounidenses limitados para prevención de fraude y observabilidad. Las cláusulas contractuales tipo se incluyen en el DPA de Paddle para cualquier transferencia no adecuada.
Pasos prácticos de cumplimiento
Firme el DPA de Paddle desde su panel. Mencione a Paddle como merchant of record y encargado en su política con la adecuación del Reino Unido y el alojamiento AWS europeo. Use el Paddle Checkout alojado para limitar su alcance PCI DSS. Configure SCA y reglas de riesgo conforme a la PSD2. Defina un periodo de conservación de los metadatos alineado con sus obligaciones AML, IVA UE y fiscales. Documente el reparto de responsabilidades del MoR (impuestos, chargebacks, reembolsos).
Paddle y el RGPD
- Base jurídica
- Contract performance (Art. 6(1)(b) GDPR) for processing payment data necessary to complete a transaction the customer has initiated. Legal obligation (Art. 6(1)(c)) for AML, EU VAT and tax record keeping (Paddle acts as merchant of record). Cookies on the Paddle hosted checkout are strictly necessary and exempt from consent under Art. 5(3) ePrivacy.
- Nivel de riesgo
- low
- Normativa aplicable
- GDPR, UK GDPR, ePrivacy Directive 2002/58/EC, PSD2, EU VAT Directive (Council Directive 2006/112/EC), AMLD5, PCI DSS
Evaluación de impacto (EIPD)
En general no se requiere EIPD para facturación SaaS estándar mediante Paddle. Puede ser relevante si se combina con perfilado extenso, flujos de producto transfronterizos o categorías especiales asociadas a niveles de suscripción.
Texto de ejemplo para su banner
Los pagos y la facturación en este sitio los gestiona Paddle (Paddle.com Market Limited, Reino Unido), nuestro merchant of record. Paddle trata sus datos de pago y el IVA europeo conforme al contrato y a las obligaciones legales en infraestructura AWS europea. Consulte nuestra política de privacidad.
Lo que Paddle instala y contacta
- Método de seguimiento
- merchant of record SaaS payment platform; hosted Paddle Checkout overlay or Paddle Billing API with first party session and risk cookies on the Paddle hosted pages
- Ubicación de los servidores
- European Union (Paddle.com Market Limited, London, United Kingdom; primary EU processing on AWS regions in Frankfurt and Dublin)
- Modo sin cookies disponible
- Sí
- Transferencia de datos fuera de la UE
- Paddle.com Market Limited is a UK company. The UK benefits from a European Commission adequacy decision under the GDPR. EU customer data is processed primarily on AWS EU regions (Frankfurt, Dublin) with replication to the UK and limited US sub processors for fraud prevention. Standard Contractual Clauses are included in the Paddle DPA for any transfer outside the EEA or the UK.
Cookies instaladas (3)
| Nombre | Tipo | Duración | Finalidad |
|---|---|---|---|
| paddle_session | first_party | Session | Strictly necessary session cookie used to maintain the customer session on the Paddle hosted checkout while a payment is in progress. |
| paddle_csrf | first_party | Session | CSRF protection token used to validate the payment form submission on the Paddle hosted checkout. |
| paddle_risk | first_party | 30 minutes | Strictly necessary risk score cookie used by Paddle for fraud prevention during the transaction. |
Dominios de terceros contactados (4)
paddle.comcheckout.paddle.comcdn.paddle.combuy.paddle.com
Preguntas frecuentes sobre Paddle
¿No encuentra su pregunta? Escríbanos, respondemos rápido.
¿Qué cookies establece Paddle?
En el overlay del checkout alojado de Paddle solo se instalan cookies de primera parte estrictamente necesarias: cookie de sesión (paddle_session), token CSRF (paddle_csrf) y una pequeña cookie de puntuación de riesgo (paddle_risk) utilizada para prevención de fraude. Paddle no instala cookies publicitarias ni conductuales.
¿Necesito consentimiento para usar Paddle?
No se requiere banner para mostrar el checkout alojado de Paddle porque las cookies son estrictamente necesarias conforme al artículo 5(3) ePrivacy. El consentimiento solo es relevante si integra componentes opcionales de Paddle en sus propias páginas, algo que Paddle no exige por defecto.
¿Cuál es la base jurídica para tratar datos de pago a través de Paddle?
Ejecución del contrato (art. 6(1)(b) RGPD) para los datos necesarios para completar la transacción. Obligación legal (art. 6(1)(c)) para la conservación AML, IVA UE y fiscal (Paddle es merchant of record para estas obligaciones). Las cookies estrictamente necesarias del checkout se acogen al art. 5(3) ePrivacy.
¿Paddle transfiere datos a terceros países?
Paddle.com Market Limited está constituida en el Reino Unido, que cuenta con decisión de adecuación de la Comisión Europea. El tratamiento principal se realiza en regiones AWS europeas (Fráncfort y Dublín), con replicación al Reino Unido y subencargados estadounidenses limitados para prevención de fraude y observabilidad. Las cláusulas contractuales tipo se incluyen en el DPA de Paddle para cualquier transferencia no adecuada.
¿Necesito una EIPD para Paddle?
La facturación SaaS estándar mediante Paddle no suele requerir EIPD. Puede ser relevante si se combina con perfilado de cliente extenso, flujos de producto transfronterizos o categorías especiales asociadas a niveles de suscripción.
¿Cómo despliego Paddle de forma conforme?
Firme el DPA de Paddle desde su panel. Mencione a Paddle como merchant of record y encargado en su política indicando la adecuación del Reino Unido y el alojamiento AWS europeo. Use el Paddle Checkout alojado para limitar su alcance PCI DSS. Configure SCA y reglas de riesgo conforme a la PSD2. Defina un periodo de conservación de los metadatos alineado con sus obligaciones AML, IVA UE y fiscales.
¿Qué alternativas a Paddle existen para facturación SaaS en la UE?
Otras plataformas merchant of record incluyen Lemon Squeezy (US), FastSpring (US) y las europeas ConsentMagic / 2Checkout. Para opciones europeas sin MoR, Stripe Billing, las suscripciones de Mollie y Adyen Subscriptions pueden gestionar los pagos recurrentes dejando el cumplimiento del IVA UE al vendedor.
¿Cómo actualizo mi política de cookies para Paddle?
En la mayoría de los casos no es necesario actualizar el banner porque el checkout alojado de Paddle solo instala cookies estrictamente necesarias conforme al artículo 5(3) ePrivacy. Actualice su política para mencionar a Paddle como merchant of record y encargado, con la adecuación del Reino Unido, el alojamiento AWS europeo y la base jurídica de cada paso (pagos, IVA, prevención de fraude).
Haga que su sitio cumpla la normativa hoy mismo.
Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.