HeyLight

Ce qu'est HeyLight et ce qu'il fait

HeyLight est un fournisseur européen de paiement fractionné et de crédit à la consommation né en 2024 de la fusion de HeidiPay en Suisse et de la division BNPL de Compass Banca, filiale du groupe italien Mediobanca. Il propose des plans en plusieurs fois (3x, 4x, 6x, 12x et jusqu'à 84x) intégrés aux paiements en ligne via un widget JavaScript et un parcours iframe, et agit comme prestataire de crédit régulé, supervisé par les autorités financières italiennes, suisses et d'autres marchés européens.

Données et cookies collectés par HeyLight

Lors d'un paiement, HeyLight collecte les détails de la commande, l'identité du demandeur (nom, e-mail, adresse postale), le code fiscal ou identifiant national, l'IBAN, une pièce d'identité pour la KYC, ainsi que des signaux servant au scoring crédit comme l'historique de remboursement et des données techniques. Les cookies heylight_session et hl_csrf sécurisent le parcours, hl_consent mémorise les choix cookies et hl_lang la langue. Les domaines incluent heylight.com, pay.heylight.com, checkout.heylight.com, api.heylight.com et cdn.heylight.com.

Implications RGPD et ePrivacy

HeyLight traite à grande échelle des données financières, des pièces d'identité et des informations KYC, et réalise des décisions automatisées de crédit qui relèvent de l'art. 22 du RGPD. Des obligations d'information strictes au titre de l'art. 13 s'appliquent, tout comme le droit du demandeur à une intervention humaine, à contester la décision et à comprendre la logique sous-jacente. La directive ePrivacy régit les cookies non strictement nécessaires, tandis que la directive 2023/2225 sur le crédit à la consommation et la DSP2 imposent des informations et exigences de sécurité supplémentaires.

Exigences de consentement et base légale

Les cookies strictement nécessaires au paiement ne requièrent pas de consentement. Les cookies marketing et analytiques, s'ils sont chargés, exigent un consentement préalable conforme à la directive ePrivacy. L'évaluation du crédit repose sur l'exécution du contrat (art. 6, 1, b), l'obligation légale (art. 6, 1, c) pour la KYC et la LCB-FT, et l'intérêt légitime (art. 6, 1, f) pour la prévention de la fraude. Des informations spécifiques doivent être fournies quand le scoring est automatisé, dont le droit à une intervention humaine.

Transferts hors UE et étapes pratiques de conformité

Le traitement a lieu principalement dans l'UE (Italie) et en Suisse; la Suisse bénéficie d'une décision d'adéquation de l'UE, aucun outil de transfert supplémentaire n'est requis. Les marchands doivent: mentionner HeyLight dans la politique de confidentialité et le bandeau cookies, subordonner les cookies marketing au consentement, mener une AIPD couvrant la décision automatisée et la KYC, conclure un contrat de sous-traitance ou de responsabilité conjointe selon le cas, documenter la conservation des dossiers crédit et informer les demandeurs de leurs droits au titre de l'art. 22 et des voies de recours auprès de la CNIL ou de l'autorité compétente.