Scalapay

Scalapay instala una cookie de sesión de pago esencial para el correcto funcionamiento del proceso de pago BNPL, una cookie de huella digital del dispositivo para la prevención del fraude, y cookies de medición de marketing cargadas a través de widget.scalapay.com que rastrean las vistas de página y los eventos de conversión. Las cookies de sesión y de prevención del fraude son necesarias y pueden instalarse sin consentimiento, pero las cookies de marketing y analítica requieren un opt-in previo del usuario. Los comerciantes deben auditar que cookies carga el fragmento del widget de Scalapay en su integración específica.

Se requiere consentimiento para el píxel de marketing y las cookies de retargeting que Scalapay carga a través de widget.scalapay.com; estas no pueden instalarse antes de que el usuario acepte bajo la Directiva ePrivacy y el RGPD. La cookie de sesión de pago principal que habilita el proceso de pago BNPL puede tratarse como estrictamente necesaria y no requiere consentimiento previo. Los comerciantes en Italia también deben cumplir las directrices específicas del Garante sobre cookies. El enfoque más seguro es cargar el fragmento completo de Scalapay solo después de que se otorgue el consentimiento de marketing.

El procesamiento de pagos principal y el acuerdo de cuotas se basan en la necesidad contractual (Art. 6(1)(b) RGPD). La comprobación de crédito blando utiliza intereses legítimos (Art. 6(1)(f)), aunque algunos responsables del tratamiento prefieren el consentimiento explícito por seguridad. El tratamiento del píxel de marketing y el retargeting requieren consentimiento (Art. 6(1)(a) RGPD). Los comerciantes italianos también deben tener en cuenta el Codice Privacy italiano que exige procedimientos específicos para las evaluaciones automatizadas de solvencia.

El procesamiento principal de Scalapay tiene base en la UE, con sede en Milán y operaciones en Francia. Sin embargo, los motores de puntuación de fraude, los subencargados de analítica o los socios de procesamiento de pagos pueden implicar flujos de datos fuera del EEE. Los comerciantes deben solicitar y revisar la lista de subencargados actual de Scalapay y su DPA para identificar las transferencias a terceros países. Donde existan transferencias, verificar el mecanismo jurídico (Cláusulas Contractuales Tipo o decisión de adecuación) y divulgarlas en la política de privacidad.

Una EIPD es muy recomendable y puede ser obligatoria si su uso implica el tratamiento a gran escala de datos financieros de consumidores, evaluaciones automatizadas de solvencia, o elaboración de perfiles que puedan afectar al acceso a bienes o servicios. La combinación de identidad del consumidor, historial de compras y datos de crédito blando crea un perfil financiero que activa varios factores de riesgo del Art. 35 RGPD. La evaluación debe mapear los flujos de datos de Scalapay y documentar medidas de mitigación de riesgos residuales.

Separe el widget de pago (función esencial) del píxel de marketing (requiere consentimiento) y cárguelos en diferentes desencadenadores de consentimiento. Muestre la información precontractual de crédito al consumo de la UE (TAE, importe total, calendario de amortización) antes de que el consumidor se comprometa. Incluya a Scalapay en su política de privacidad describiendo la comprobación de crédito blando y la base jurídica. Firme el DPA de Scalapay e implemente un mecanismo para que los usuarios puedan optar por no participar en el seguimiento de marketing sin perder acceso a la opción de pago.

Las alternativas europeas incluyen Klarna (Suecia, buen historial RGPD), Alma (Francia, regulado en la UE) y soluciones BNPL nativas de pago ofrecidas directamente por procesadores de pago. Los diferenciadores clave para la privacidad son: residencia de datos en la UE, seguimiento de marketing mínimo, listas de subencargados transparentes y herramientas de consentimiento RGPD preconfiguradas para comerciantes.

En su política de cookies, añade una sección de Scalapay que liste la cookie de sesión de pago (esencial, duración de sesión), la cookie de prevención del fraude (esencial, 1 año) y las cookies de marketing de widget.scalapay.com (analítica/marketing, 1 año, requiere consentimiento). En su política de privacidad, añade a Scalapay como encargado del tratamiento o corresponsable y describa la comprobación de crédito blando, los datos compartidos, la base jurídica, el periodo de retención y el derecho del consumidor a oponerse o retirar el consentimiento. Enlaza a la política de privacidad de Scalapay. Actualiza ambos documentos cuando Scalapay revise su DPA o lista de subencargados.