Razorpay
Razorpay es una pasarela de pago india y plataforma financiera integral fundada en 2014 con sede en Bangalore. Permite a los comercios online aceptar pagos con tarjeta, UPI, transferencia, monederos y financiación fraccionada. Para los comerciantes europeos que atienden a clientes en India, Razorpay implica una transferencia transfronteriza de datos de pago a India, país sin decisión de adecuación del RGPD.
¿Qué hace Razorpay?
Que es Razorpay
Razorpay es una pasarela de pago india y plataforma financiera integral fundada en 2014 por Harshil Mathur y Shashank Kumar. Con sede en Bangalore, da servicio a mas de 10 millones de empresas en India y ofrece pagos por tarjeta, UPI, transferencia, monederos, EMI, suscripciones, pagos masivos y prestamos. Esta registrada ante el Reserve Bank of India como Payment Aggregator y certificada PCI DSS Nivel 1.
Datos y cookies recopilados
Razorpay procesa datos del instrumento de pago (número de tarjeta, caducidad, CVV introducido, VPA de UPI, cuenta bancaria), nombre del comprador, correo, teléfono, dirección de facturación, IP, huella de dispositivo e importe. El iframe servido desde checkout.razorpay.com coloca cookies propias en su dominio para continuidad de sesión, protección CSRF y detección de fraude. En modo redirección o página alojada pueden establecerse cookies de atribución a partners.
Implicaciones RGPD y ePrivacy
Para comerciantes europeos con clientes en India o presencia en India, Razorpay actúa como encargado para la transacción y como responsable independiente para sus propias obligaciones de fraude y regulación. La Directiva ePrivacy aplica a las cookies que colocaria la página del comerciante; el iframe Razorpay esta en dominio de tercero, por lo que debe obtenerse consentimiento para cookies no esenciales antes de cargarlo. Las cookies estrictamente necesarias para completar el pago están exentas.
Requisitos de consentimiento
No se requiere consentimiento para las cookies de checkout estrictamente necesarias para prevención de fraude y sesión. El consentimiento es necesario para cualquier cookie analítica o de marketing que se cargue en el overlay, y el comerciante debe informar a los usuarios de la transferencia a India. La política de privacidad debe declarar a Razorpay como encargado y referenciar las Cláusulas Contractuales Tipo.
Transferencias fuera del EEE
Todo el procesamiento de Razorpay tiene lugar en India, que no cuenta con decisión de adecuación del art. 45 RGPD. Las transferencias desde la UE requieren por tanto Cláusulas Contractuales Tipo con medidas suplementarias, una Evaluación de Impacto de la Transferencia y una notificación a los interesados. Los datos de tarjeta se comparten además con redes internacionales. La DPDPA 2023, la Telegraph Act y la IT Act permiten accesos legales de las autoridades indias, a analizar en la EIT.
Pasos prácticos de cumplimiento
Firme el Acuerdo de Tratamiento y las Cláusulas Contractuales Tipo con Razorpay, realice una Evaluación de Impacto de la Transferencia que considere las facultades de acceso del gobierno indio, incluya a Razorpay y sus subencargados en su Registro de Actividades de Tratamiento, configure el checkout para cargarse solo tras consentimiento a cookies no esenciales, informe de la transferencia a India en la política y en el checkout, limite los datos transmitidos al mínimo y utilice tokenización cuando sea posible.
Razorpay y el RGPD
Razorpay está clasificado como «Preferencias». En un sitio dirigido a visitantes europeos, solo debe cargarse después del consentimiento del visitante y debe figurar en su política de cookies.
- Base jurídica
- Contract (Art. 6(1)(b) GDPR) for processing the transaction; Legitimate interest (Art. 6(1)(f) GDPR) for fraud prevention; Consent (Art. 6(1)(a) GDPR) for any analytics or marketing cookies set during checkout
- Nivel de riesgo
- high
- Normativa aplicable
- GDPR, ePrivacy Directive (Cookie Law), PSD2, PCI DSS, DPDPA 2023 (India), RBI Payment Data Storage circular
Evaluación de impacto (EIPD)
Razorpay procesa datos de pago y personales en India. Consideraciones clave de la EIPD: (1) India carece de decisión de adecuación del RGPD, las transferencias requieren CCT y una Evaluación de Impacto de la Transferencia; (2) las normas de la RBI obligan a almacenar datos de pago en India, lo que limita alternativas; (3) Razorpay esta certificada PCI DSS Nivel 1 y registrada como Payment Aggregator ante la RBI; (4) el iframe de checkout coloca cookies de prevención de fraude que pueden ser estrictamente necesarias, mientras que las cookies analíticas requieren consentimiento; (5) Razorpay comparte datos con las redes de tarjetas (Visa, Mastercard, RuPay) y bancos adquirentes; (6) la DPDPA 2023 modifica el marco indio y debe referenciarse en la Evaluación de Impacto.
Texto de ejemplo para su banner
Utilizamos Razorpay, una pasarela de pago india, para procesar sus pagos con tarjeta, UPI y transferencia. Razorpay coloca cookies estrictamente necesarias en su ventana de checkout para prevención de fraude y comparte los datos de la transacción con redes de tarjetas y bancos adquirentes. Sus datos de pago se transfieren y almacenan en India al amparo de las Cláusulas Contractuales Tipo.
Lo que Razorpay instala y contacta
- Método de seguimiento
- JavaScript checkout SDK (checkout.razorpay.com) with iframe overlay; first-party cookies set on the iframe for fraud prevention and session continuity; server-side API calls for payment processing
- Ubicación de los servidores
- India: primary data centres in Mumbai with disaster recovery sites; data residency in India under RBI Storage of Payment System Data circular
- Transferencia de datos fuera de la UE
- Razorpay Software Private Limited is headquartered in Bangalore, India. The Indian Reserve Bank requires payment data to be stored in India. India has no adequacy decision under Art. 45 GDPR, so transfers from the EU require Standard Contractual Clauses under Art. 46(2)(c) and a Transfer Impact Assessment that accounts for the Indian Telegraph Act and the Digital Personal Data Protection Act 2023. Card payments traverse Visa, Mastercard or RuPay networks.
Cookies instaladas (4)
| Nombre | Tipo | Duración | Finalidad |
|---|---|---|---|
| rzp_checkout_anonymous_token | Functional | Session | Anonymous session identifier set by the Razorpay checkout iframe to maintain context during the payment flow. |
| rzp_device_id | Functional | 1 year | Persistent device identifier used by Razorpay for fraud detection across payment sessions. |
| rzp_stored_user_id | Functional | 1 year | Stores a customer identifier when the buyer uses Razorpay saved instruments to speed up future checkouts. |
| csrf_token | Functional | Session | CSRF protection token used by the Razorpay checkout API to validate requests during a payment session. |
Dominios de terceros contactados (5)
razorpay.comcheckout.razorpay.comapi.razorpay.comcdn.razorpay.comlumberjack.razorpay.com
Preguntas frecuentes sobre Razorpay
¿No encuentra su pregunta? Escríbanos, respondemos rápido.
¿Qué cookies coloca el checkout de Razorpay?
Razorpay coloca cookies propias en su dominio checkout.razorpay.com (rzp_checkout_*, rzp_device_id, rzp_stored_user_id, csrf_token) para continuidad de sesión, huella del dispositivo y detección de fraude. Son estrictamente necesarias para el iframe de checkout. Cualquier cookie analítica en el overlay requerira consentimiento.
¿Necesito consentimiento para cargar el checkout de Razorpay?
No se requiere consentimiento para las cookies estrictamente necesarias que el iframe coloca para procesar un pago. Si debe informar a los usuarios de la transferencia a India y de la condición de encargado de Razorpay. Si incrusta el checkout antes del consentimiento, solo deben cargarse las cookies necesarias.
¿Cuál es la base legal para procesar pagos vía Razorpay?
La ejecución del contrato (art. 6(1)(b) RGPD) cubre el procesamiento de la transacción solicitada. El interés legítimo (art. 6(1)(f) RGPD) cubre prevención de fraude, antiblanqueo y obligaciones de auditoría. Las cookies de marketing en el checkout requieren consentimiento (art. 6(1)(a) RGPD).
¿Dónde procesa Razorpay los datos y hay transferencias a India?
Todo el procesamiento de Razorpay se realiza en India, principalmente en centros de datos de Mumbai, con recuperación ante desastres en otras regiones indias. India carece de decisión de adecuación RGPD, por lo que los responsables UE deben usar CCT, documentar una Evaluación de Impacto de la Transferencia que tenga en cuenta las facultades de acceso del gobierno indio e informar a los interesados.
¿Necesito una EIPD para Razorpay?
Una EIPD es recomendable para cualquier comerciante que trate datos personales mediante Razorpay debido a la transferencia a un tercer país y al volumen de datos de pago. Debe cubrir la transferencia a India, el intercambio con redes de tarjetas, la DPDPA 2023 y normas de la RBI, la retención de datos de pago y las estrategias de tokenización.
¿Cómo integrar Razorpay de forma conforme al RGPD?
Firme el Acuerdo de Tratamiento y las CCT con Razorpay, realice una Evaluación de Impacto de la Transferencia, limite los datos transmitidos al mínimo necesario, prefiera tokenización antes que almacenar datos de tarjeta en bruto, declare Razorpay en su política de privacidad y en el checkout y garantice que el banner de cookies no cargue scripts no esenciales antes del consentimiento.
¿Qué alternativas conformes al RGPD existen frente a Razorpay para comerciantes UE?
Para flujos UE considere Stripe, Adyen, Mollie, Klarna o Worldline, que procesan principalmente dentro del EEE y cuentan con marcos CCT consolidados. Razorpay sigue siendo relevante cuando necesita aceptar pagos específicamente indios (UPI, RuPay, banca india).
¿Cómo actualizar mi política de cookies y privacidad para Razorpay?
Liste Razorpay como subencargado en su política, indique las categorías de datos de pago compartidos, declare la transferencia a India, referencie las CCT y su Evaluación de Impacto de la Transferencia, describa las cookies del iframe y su finalidad de prevención de fraude y enlace la política y el DPA de Razorpay.
Haga que su sitio cumpla la normativa hoy mismo.
Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.