WooCommerce PayPal Payments

Qué es WooCommerce PayPal Payments

WooCommerce PayPal Payments es el plugin oficial de WordPress desarrollado conjuntamente por WooCommerce y PayPal. Aporta toda la suite de PayPal (PayPal Wallet, campo de tarjeta, Pay Later, Venmo y otros métodos regionales) al checkout de WooCommerce. Es una de las soluciones de pago más instaladas en tiendas europeas basadas en WordPress.

Qué datos y cookies trata

Al cargar el SDK de PayPal en la página de checkout se establecen cookies como ts, ts_c, x-pp-s, enforce_policy y login_email en los dominios paypal.com y paypalobjects.com. PayPal procesa huella de dispositivo y navegador, dirección IP, datos del comprador (nombre, dirección, correo) y detalles de la transacción. Los datos de tarjeta los recoge directamente PayPal, lo que reduce el alcance PCI DSS del comerciante. WooCommerce sigue almacenando los datos de pedido en la base de datos de WordPress.

Implicaciones RGPD y ePrivacy

El tratamiento de los datos de pago se ampara en la ejecución del contrato (art. 6.1.b del RGPD). Las cookies de PayPal destinadas a prevención de fraude pueden sustentarse en interés legítimo u obligación legal por su carácter relevante para la seguridad del pago. Las cookies de marketing o analítica de PayPal sí requieren consentimiento. Como PayPal trata los datos en EE. UU., la transferencia internacional debe documentarse con CCT y el EU US Data Privacy Framework.

Requisitos de consentimiento

Las cookies estrictamente necesarias para la transacción pueden colocarse sin consentimiento si son verdaderamente imprescindibles. En cuanto PayPal promociona los botones fuera del flujo de pago activo o coloca cookies de marketing, sí se requiere consentimiento. La buena práctica es cargar el SDK únicamente cuando el usuario llega al paso de checkout. En páginas de producto o listado, el botón Smart de PayPal debe gestionarse mediante la CMP por la colocación de cookies.

Transferencias internacionales

PayPal tiene su sede en San José (EE. UU.) y opera infraestructura global. Los datos de transacción se procesan a nivel mundial. PayPal facilita un DPA con CCT y está certificado bajo el EU US Data Privacy Framework. La transferencia debe documentarse en el RAT. Para los comerciantes europeos, PayPal Europe S.à r.l. et Cie, S.C.A. actúa como contraparte contractual.

Pasos prácticos de cumplimiento

Indique a PayPal en la política de privacidad como destinatario y, en su caso, corresponsable de los pagos. Firme el DPA con PayPal Europe. Configure la CMP para colocar las cookies de marketing de PayPal solo tras el consentimiento. Establezca los plazos de conservación de pedidos en WooCommerce conforme a las exigencias mercantiles y fiscales. Aplique el SAQ A PCI DSS si solo utiliza el iframe de PayPal. Asegure TLS y cabeceras CSP para los dominios de PayPal.