Plaid

Plaid instala varias cookies a través de su SDK Link: una cookie de sesión (_plaid_session) para mantener el estado durante el flujo de autenticación bancaria, una cookie de huella digital del dispositivo utilizada para la prevención del fraude, y cookies de analisis en cdn.plaid.com que miden el rendimiento del embudo de Link. Estas cookies se instalan tanto en el dominio del editor como en los subdominios propios de Plaid y persisten en algunos casos mas allá de la sesión inmediata. Al no ser estrictamente necesarias, requieren consentimiento previo e informado bajo la Directiva ePrivacy.

Si, el consentimiento es obligatorio por dos razones distintas. En primer lugar, bajo la Directiva ePrivacy, las cookies instaladas por Plaid Link requieren un opt-in activo antes de ser colocadas. En segundo lugar, bajo la PSD2 y el RGPD, los usuarios deben dar su consentimiento explícito y granular para cada servicio de información sobre cuentas antes de que Plaid pueda acceder a sus datos bancarios. El consentimiento agrupado en los términos y condiciones no es suficiente; la interfaz de consentimiento debe nombrar a Plaid de forma explícita.

Para la agregación de datos de cuentas financieras, la base jurídica principal es el consentimiento explícito conforme al Art. 6(1)(a) RGPD, reforzado por el requisito de consentimiento de la PSD2 para los servicios de información sobre cuentas. Cuando Plaid procesa datos financieros que revelan información de salud, religiosa o política, se aplica adicionalmente el Art. 9(2)(a). El tratamiento para la prevención del fraude puede basarse en intereses legítimos (Art. 6(1)(f)), pero requiere una prueba de ponderación documentada.

Si. Plaid Financial Ltd transfiere datos personales y financieros a Plaid Inc. en los EE.UU. Esta transferencia esta cubierta por el Marco de Privacidad de Datos UE-EE.UU., del que Plaid Inc. es participante certificado, y se complementa con Cláusulas Contractuales Tipo. Los responsables del tratamiento deben registrar esta transferencia en su registro del Art. 30, divulgarla en su política de privacidad y considerar realizar una Evaluación del Impacto de la Transferencia para conjuntos de datos financieros sensibles o de gran volumen.

Si, una Evaluación de Impacto relativa a la Protección de Datos es obligatoria. El tratamiento de Plaid cumple varios factores desencadenantes del Art. 35 RGPD: tratamiento a gran escala de datos financieros, posible revelación de datos de categoría especial mediante análisis de transacciones y vigilancia sistemática del comportamiento financiero. La EIPD debe documentar los flujos de datos a través de Plaid Link, evaluar la seguridad de los flujos OAuth, examinar la cadena de subencargados de Plaid Financial Ltd y definir medidas de mitigación de riesgos residuales.

Condicione completamente el script de Plaid Link al consentimiento del CMP para que no cargue ni instale cookies hasta que el usuario acepte. Muestre un aviso de consentimiento claro que nombre a Plaid, describa las categorías de datos y la transferencia a EE.UU. Firme un Acuerdo de Procesamiento de Datos con Plaid Financial Ltd. Complete una EIPD antes del lanzamiento. Actualice su política de privacidad e implemente una función de desconexion de cuenta bancaria que llame a la API de eliminación de cuenta de Plaid.

En Europa, las API de banca abierta reguladas proporcionadas directamente por los bancos bajo la PSD2 (XS2A) pueden utilizarse sin un agregador de terceros, eliminando el riesgo de transferencia de datos a EE.UU. Proveedores como TrueLayer (UK/UE), Nordigen (ahora GoCardless Open Banking) y Salt Edge son alternativas con sede en la UE que procesan datos dentro del EEE y pueden simplificar su documentación RGPD.

Añade una entrada dedicada a Plaid en su tabla de política de cookies listando la cookie _plaid_session, la cookie de huella digital del dispositivo y cualquier cookie de análisis, con su duración, propósito y base jurídica (consentimiento). En su política de privacidad, añade una sección describiendo a Plaid como encargado del tratamiento, las categorías de datos financieros recopilados, las bases jurídicas del RGPD y la PSD2, el mecanismo de transferencia a EE.UU. y el derecho de retirada del consentimiento. Enlaza a la política de privacidad de Plaid en plaid.com/legal/privacy-notice.