Afterpay

Qu'est ce qu'Afterpay

Afterpay est un service de paiement fractionné (BNPL) opéré par Afterpay Pty Ltd, filiale de Block, Inc. (société mère de Square et Cash App). Au Royaume Uni et dans la majorité de l'Europe, le même service est commercialisé sous la marque Clearpay. Le client règle l'achat en quatre échéances égales toutes les deux semaines, sans intérêts et avec des frais limités. Les marchands intègrent Afterpay via un SDK JavaScript qui affiche des widgets de prix sur les pages produit, un bouton de checkout et une redirection vers portal.afterpay.com ou portal.clearpay.com pour l'identification et la décision crédit.

Quelles données et cookies Afterpay collecte

Le widget Afterpay pose des cookies first party et third party pour l'état du panier, la lutte contre la fraude et la mesure d'audience. Il collecte l'adresse IP, le User Agent, les pages produit consultées, le montant du panier, la devise, l'identifiant marchand et une empreinte d'appareil utilisée par le moteur antifraude. Au checkout, Afterpay collecte le nom, l'adresse, l'email, le téléphone, la date de naissance, le moyen de paiement et, selon le pays, des identifiants partiels pour des vérifications crédit légères. Block, Inc. et ses partenaires d'underwriting peuvent consulter des bureaux de crédit externes et des bases antifraude.

Implications RGPD et ePrivacy

Le SDK Afterpay chargé sur les pages produit et catégorie dépose des cookies avant le checkout, ce qui déclenche l'article 5(3) ePrivacy. Ces cookies ne sont pas strictement nécessaires à l'accès au site marchand : leur dépôt exige le consentement préalable. Le traitement des données de paiement, d'identité et de crédit pendant le checkout peut reposer sur l'exécution du contrat (art. 6(1)(b) RGPD), la prévention de la fraude relevant de l'intérêt légitime (art. 6(1)(f)). Les décisions automatisées de scoring crédit sont soumises aux garanties de l'article 22 RGPD.

Le consentement est il requis

Oui, pour le widget, le calculateur de prix et tout cookie d'analyse ou de marketing déposé sur les pages catalogue. Le marchand doit bloquer le SDK Afterpay derrière un consent gate et ne le charger qu'après acceptation au minimum de la catégorie fonctionnelle ou marketing selon le cas. Dans le checkout, lorsque l'utilisateur a choisi Afterpay comme moyen de paiement, le traitement strictement nécessaire de la commande peut se poursuivre sur la base du contrat, mais l'information sur les données partagées avec Block reste obligatoire.

Transferts vers les États Unis et l'Australie

Block, Inc. est basée aux États Unis et opère une infrastructure mondiale sur AWS. L'entité australienne traite également une partie des données en Australie. Block s'est auto certifié au Data Privacy Framework UE États Unis, ce qui couvre les transferts vers les entités Block certifiées. Pour les catégories hors DPF, Block s'appuie sur les nouvelles clauses contractuelles types accompagnées d'un Transfer Impact Assessment. Les marchands doivent mentionner Block, Inc. et Afterpay Pty Ltd comme destinataires dans leur politique de confidentialité et expliquer le mécanisme de transfert.

Étapes pratiques de conformité

Bridez le SDK Afterpay via votre CMP pour ne le déclencher qu'après acceptation des catégories adéquates. Signez un contrat de sous traitance ou de responsabilité conjointe avec Block selon le montage contractuel applicable dans votre pays. Mettez à jour la politique de confidentialité avec les catégories de données partagées, le mécanisme de transfert (DPF et CCT) et les droits relatifs aux décisions automatisées. Listez les domaines afterpay.com et clearpay.com ainsi que les cookies dans la politique cookies. Prévoyez un parcours alternatif si Afterpay est refusé pour ne pas bloquer le reste du checkout.