Checkout.com

Qu'est-ce que Checkout.com ?

Checkout.com est un processeur de paiement mondial dont le siège est au Royaume-Uni. Il fournit aux marchands une pile de paiement complète : acquisition de cartes, méthodes de paiement alternatives, prévention de la fraude et scoring des risques. Lorsqu'un client arrive sur la page de paiement d'un marchand utilisant Checkout.com, un SDK JavaScript est chargé depuis les domaines checkout.com ou cko.com. Ce SDK collecte de manière sécurisée les données de carte via une iframe ou une page de paiement hébergée, les chiffre et les envoie directement à l'infrastructure de paiement de Checkout.com, conformément aux exigences PCI DSS. Checkout.com n'est pas un panier d'achat ou une plateforme e-commerce ; c'est exclusivement un service de traitement des paiements et de prévention de la fraude.

Cookies et données d'appareil collectées

Checkout.com dépose des cookies de session et peut effectuer une empreinte digitale de l'appareil dans le cadre de ses flux de prévention des fraudes et d'authentification 3D Secure. Les cookies de session sont utilisés pour maintenir l'intégrité de la session de paiement et prendre en charge l'Authentification Forte du Client (SCA) requise par PSD2. L'empreinte digitale de l'appareil collecte des attributs du navigateur et de l'appareil pour générer un signal de risque traité par le moteur de scoring de fraude de Checkout.com. Les cookies déposés lors de la transaction de paiement elle-même sont strictement nécessaires à la finalisation sécurisée de cette transaction.

Base légale RGPD : strictement nécessaire ou profilage de fraude contesté

Pour les cookies et empreintes strictement nécessaires à la finalisation d'une transaction de paiement initiée par l'utilisateur, la base légale est l'exécution d'un contrat (Art. 6(1)(b) RGPD) et l'exemption de nécessité absolue de la directive ePrivacy s'applique. Ces traitements ne nécessitent pas de consentement. Toutefois, si le JavaScript de Checkout.com est chargé sur des pages en dehors du flux de paiement direct et effectue une collecte de signaux de fraude en arrière-plan sur des visiteurs ne réalisant pas de transaction, cela dépasse le traitement strictement nécessaire. Un tel profilage plus large nécessiterait soit un Bilan des Intérêts Légitimes (BIL) documenté selon Art. 6(1)(f) RGPD, soit le consentement explicite de l'utilisateur.

Transferts de données : infrastructures au Royaume-Uni et aux États-Unis

Les opérations principales de Checkout.com sont au Royaume-Uni, qui bénéficie d'une décision d'adéquation de l'UE. Pour les traitements sur l'infrastructure américaine ou mondiale, Checkout.com s'appuie sur les Clauses Contractuelles Types (CCT) ou le EU-US Data Privacy Framework (DPF). Les marchands doivent vérifier la documentation DPA et les mécanismes de transfert actuels de Checkout.com, mettre à jour leur registre Art. 30 en conséquence, et référencer les garanties applicables dans leurs politiques de confidentialité.

PSD2, SCA et contexte réglementaire

Checkout.com est réglementé en tant qu'établissement de paiement et opère sous PSD2 pour les transactions dans l'UE. L'Authentification Forte du Client (SCA) mandatée par PSD2 exige des étapes de vérification supplémentaires pour la plupart des paiements par carte en ligne. L'intégration 3DS (3D Secure) de Checkout.com répond à cette exigence. Les données traitées à des fins SCA, y compris la liaison d'appareil et les signaux d'authentification, sont nécessaires en vertu de la réglementation financière et ne requièrent pas de consentement RGPD. Les marchands doivent néanmoins expliquer ce traitement dans leur politique de confidentialité et s'assurer que leur DPA avec Checkout.com est signé et à jour.

Étapes pratiques de conformité pour les marchands

Signez un Accord de Traitement des Données (DPA) avec Checkout.com. Mettez à jour votre politique de confidentialité pour nommer Checkout.com comme sous-traitant de paiement, décrire les données traitées (nom du porteur de carte, coordonnées bancaires, adresse IP, données d'appareil), référencer la décision d'adéquation du Royaume-Uni et mentionner les CCT ou le DPF pour les transferts vers les États-Unis. Ne listez pas les cookies de paiement strictement nécessaires de Checkout.com dans votre CMP comme nécessitant un consentement. Auditez votre intégration annuellement en tenant compte des modifications apportées au SDK ou aux conditions de traitement des données de Checkout.com.