Stripe

Sí. Stripe ha realizado esfuerzos significativos para garantizar el cumplimiento del RGPD: Stripe Payments Europe Limited está autorizada en Irlanda y procesa los pagos europeos dentro de la UE. Stripe proporciona un APD conforme al RGPD, CCTs para cualquier transferencia de datos a EE.UU. y certificación PCI DSS para la seguridad de los datos de tarjetas. Stripe también publica una política de privacidad y recursos de privacidad específicos para comerciantes. Sin embargo, los operadores de sitios web deben garantizar su propia parte del cumplimiento: aceptar el APD, divulgar Stripe en la política de privacidad y cumplir con las obligaciones de datos para los compradores.

La base jurídica principal para el procesamiento de pagos de Stripe es la ejecución del contrato (Art. 6(1)(b) del RGPD), ya que la recopilación de datos de pago es necesaria para la ejecución del pedido. Además, la obligación legal (Art. 6(1)(c)) se aplica a los requisitos regulatorios como la autenticación PSD2, las comprobaciones AML/KYC y las obligaciones de retención de datos financieros. El interés legítimo (Art. 6(1)(f)) cubre la prevención del fraude a través de Stripe Radar. Para funciones opcionales de marketing o análisis se requiere consentimiento.

Las cookies de Stripe.js (__stripe_mid y __stripe_sid) sirven exclusivamente para la prevención del fraude y la seguridad de las transacciones. Son funcionalmente necesarias para el procesamiento seguro de pagos y, por tanto, generalmente no requieren consentimiento separado de cookies bajo la Directiva ePrivacy. Entran dentro de la excepción de cookies "estrictamente necesarias". Sin embargo, deben divulgarse en su declaración de cookies bajo la categoría de cookies necesarias/funcionales. Si utiliza productos opcionales de Stripe como Stripe Radar Advanced o Stripe Fraud Protection, puede ser necesario divulgación adicional para cookies de análisis.

Stripe Payments Europe Limited procesa la mayoría de los datos de transacciones europeas dentro de la UE (Irlanda). Algunas funciones de soporte como Stripe Radar (detección de fraude), Stripe Sigma (análisis) y los servicios globales de la plataforma pueden transferir datos a Stripe Inc. en EE.UU. Stripe proporciona CCTs como mecanismo para estas transferencias. Los comerciantes deben aceptar el APD de Stripe y hacer referencia a la política de privacidad de Stripe en su política de privacidad para obtener detalles completos sobre las transferencias de datos.

Su política de privacidad debe incluir: (1) que los pagos se procesan a través de Stripe Payments Europe Limited (Irlanda); (2) qué datos recopila Stripe (datos de tarjeta de pago, información del dispositivo, dirección IP) y para qué fines (procesamiento de transacciones, prevención del fraude, cumplimiento regulatorio); (3) las bases jurídicas (ejecución del contrato, obligación legal, interés legítimo); (4) que algunos datos pueden transferirse a Stripe Inc. en EE.UU. para procesamiento y se aplican CCTs; (5) un enlace a la política de privacidad de Stripe; (6) cómo los usuarios pueden presentar solicitudes de eliminación de datos.

Generalmente no se requiere una EIPD para el procesamiento estándar de pagos con Stripe, ya que el procesamiento principal se basa en una base jurídica de contrato necesario y Stripe proporciona sólidas medidas de seguridad y cumplimiento del RGPD. Sin embargo, puede ser necesaria cuando: (1) grandes plataformas de comercio electrónico procesen datos de pago a muy gran escala; (2) marketplaces con Stripe Connect donde múltiples partes compartan datos financieros; (3) se combinen datos de pago con perfiles extensos de clientes para marketing o evaluación de riesgos crediticios.

Para las solicitudes de supresión de datos del RGPD relacionadas con Stripe: (1) Eliminar los datos del cliente de su propio sistema. (2) Enviar una solicitud de eliminación de datos a Stripe a través del panel de control de Stripe (pestaña Clientes, solicitudes de privacidad) o la API de Stripe. (3) Tener en cuenta que Stripe debe conservar ciertos datos de transacciones por razones legales (AML, legislación fiscal) durante un período prescrito, incluso después de una solicitud de eliminación. (4) Informar al solicitante sobre el plazo y cualquier obligación legal de retención que pueda impedir la eliminación completa.

No, no automáticamente. Stripe proporciona infraestructura conforme al RGPD para el procesamiento de pagos, pero el cumplimiento general recae en el operador del sitio web (el responsable del tratamiento). Sus obligaciones incluyen: (1) Aceptar el APD de Stripe; (2) Informar a los compradores sobre el procesamiento de pagos por parte de Stripe en su política de privacidad; (3) Garantizar la legalidad de la recopilación de datos en su parte antes de pasarlos a Stripe; (4) Gestionar los derechos de los interesados (acceso, supresión, limitación) para los datos de pago; (5) Implementar la Autenticación Reforzada de Clientes (ARC) para el cumplimiento de PSD2.