Razorpay
Razorpay est une passerelle de paiement indienne et une plateforme financière full stack fondée en 2014, basée à Bangalore. Elle permet aux commerçants en ligne d'accepter les paiements par carte, UPI, virement, wallets et financement fractionné. Pour les commerçants européens servant des clients indiens, Razorpay implique un transfert transfrontalier de données de paiement vers l'Inde, pays sans décision d'adéquation RGPD.
Que fait Razorpay ?
Qu'est-ce que Razorpay
Razorpay est une passerelle de paiement indienne et une plateforme financière full stack fondée en 2014 par Harshil Mathur et Shashank Kumar. Basée à Bangalore, elle sert plus de 10 millions d'entreprises en Inde et propose des paiements par carte, UPI, virement, wallets, EMI, abonnements, versements et crédit. Elle est enregistrée auprès de la Reserve Bank of India comme Payment Aggregator et certifiée PCI DSS niveau 1.
Données et cookies collectés
Razorpay traite les données d'instrument de paiement (numéro de carte, date d'expiration, cryptogramme saisi, identifiant UPI, compte bancaire), le nom de l'acheteur, l'email, le téléphone, l'adresse de facturation, l'IP, l'empreinte de l'appareil et le montant de la transaction. L'iframe de checkout servi depuis checkout.razorpay.com dépose des cookies first party sur son propre domaine pour la continuité de session, la protection CSRF et la détection de fraude. En mode redirection ou page hébergée, Razorpay peut déposer des cookies d'attribution partenaire.
Implications RGPD et ePrivacy
Pour les commerçants européens servant des clients indiens ou opérant en Inde, Razorpay agit comme sous-traitant pour la transaction et comme responsable indépendant pour ses propres obligations de fraude et réglementaires. La directive ePrivacy s'applique aux cookies que la page du commerçant déposerait, mais l'iframe Razorpay est sur un domaine tiers : un consentement pour les cookies non essentiels doit être obtenu avant le chargement de l'iframe. Les cookies strictement nécessaires à la réalisation du paiement sont exemptés.
Exigences de consentement
Aucun consentement n'est requis pour les cookies de checkout strictement nécessaires à la prévention de fraude et à la continuité de session. Le consentement est requis pour tout cookie analytique ou marketing chargé dans l'overlay, et le commerçant doit informer les utilisateurs du transfert vers l'Inde. La politique de confidentialité doit mentionner Razorpay comme sous-traitant et référencer les Clauses Contractuelles Types.
Transferts hors EEE
L'ensemble du traitement Razorpay a lieu en Inde, qui n'a pas de décision d'adéquation au sens de l'art. 45 RGPD. Les transferts depuis l'UE nécessitent donc des Clauses Contractuelles Types avec mesures supplémentaires, une analyse d'impact des transferts et une notice aux personnes concernées. Les données de carte sont en outre partagées avec les réseaux internationaux. Le DPDPA 2023, le Telegraph Act et l'IT Act autorisent un accès des autorités indiennes, à analyser dans l'AIPD.
Étapes pratiques de mise en conformité
Signez l'Accord de traitement et les Clauses Contractuelles Types de Razorpay, réalisez une analyse d'impact des transferts intégrant les pouvoirs d'accès du gouvernement indien, listez Razorpay et ses sous-traitants dans votre Registre des activités de traitement, configurez le checkout pour ne se charger qu'après consentement aux cookies non essentiels, informez du transfert vers l'Inde dans la politique et au moment du checkout, limitez les données transmises au strict nécessaire et utilisez la tokenisation lorsque possible.
Razorpay et le RGPD
Razorpay est classé dans la catégorie « Préférences ». Sur un site qui vise des visiteurs européens, il ne doit se charger qu'après le consentement du visiteur, et doit figurer dans votre politique de cookies.
- Base légale
- Contract (Art. 6(1)(b) GDPR) for processing the transaction; Legitimate interest (Art. 6(1)(f) GDPR) for fraud prevention; Consent (Art. 6(1)(a) GDPR) for any analytics or marketing cookies set during checkout
- Niveau de risque
- high
- Textes applicables
- GDPR, ePrivacy Directive (Cookie Law), PSD2, PCI DSS, DPDPA 2023 (India), RBI Payment Data Storage circular
Analyse d'impact (AIPD)
Razorpay traite les données de paiement et personnelles en Inde. Points clés AIPD : (1) absence de décision d'adéquation RGPD pour l'Inde, transferts via CCT et analyse d'impact des transferts ; (2) les règles RBI imposent le stockage des données de paiement en Inde, ce qui limite les alternatives ; (3) Razorpay est certifié PCI DSS niveau 1 et enregistré auprès de la RBI comme Payment Aggregator ; (4) le iframe de checkout dépose des cookies de prévention de fraude qui peuvent être strictement nécessaires, tandis que les cookies analytiques exigent consentement ; (5) Razorpay partage les données avec les réseaux de cartes (Visa, Mastercard, RuPay) et les banques acquéreurs ; (6) le Digital Personal Data Protection Act 2023 modifie le cadre indien et doit être référencé dans l'analyse d'impact des transferts.
Exemple de texte pour votre bannière
Nous utilisons Razorpay, une passerelle de paiement indienne, pour traiter vos paiements par carte, UPI et virement. Razorpay dépose des cookies strictement nécessaires sur sa fenêtre de checkout pour la prévention de fraude et partage les données de transaction avec les réseaux de cartes et les banques acquéreurs. Vos données de paiement sont transférées et stockées en Inde au titre des Clauses Contractuelles Types.
Ce que Razorpay dépose et contacte
- Méthode de suivi
- JavaScript checkout SDK (checkout.razorpay.com) with iframe overlay; first-party cookies set on the iframe for fraud prevention and session continuity; server-side API calls for payment processing
- Localisation des serveurs
- India: primary data centres in Mumbai with disaster recovery sites; data residency in India under RBI Storage of Payment System Data circular
- Transfert de données hors UE
- Razorpay Software Private Limited is headquartered in Bangalore, India. The Indian Reserve Bank requires payment data to be stored in India. India has no adequacy decision under Art. 45 GDPR, so transfers from the EU require Standard Contractual Clauses under Art. 46(2)(c) and a Transfer Impact Assessment that accounts for the Indian Telegraph Act and the Digital Personal Data Protection Act 2023. Card payments traverse Visa, Mastercard or RuPay networks.
Cookies déposés (4)
| Nom | Type | Durée | Finalité |
|---|---|---|---|
| rzp_checkout_anonymous_token | Functional | Session | Anonymous session identifier set by the Razorpay checkout iframe to maintain context during the payment flow. |
| rzp_device_id | Functional | 1 year | Persistent device identifier used by Razorpay for fraud detection across payment sessions. |
| rzp_stored_user_id | Functional | 1 year | Stores a customer identifier when the buyer uses Razorpay saved instruments to speed up future checkouts. |
| csrf_token | Functional | Session | CSRF protection token used by the Razorpay checkout API to validate requests during a payment session. |
Domaines tiers contactés (5)
razorpay.comcheckout.razorpay.comapi.razorpay.comcdn.razorpay.comlumberjack.razorpay.com
Questions fréquentes sur Razorpay
Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.
Quels cookies dépose le checkout Razorpay ?
Razorpay dépose des cookies first party sur son domaine checkout.razorpay.com (rzp_checkout_*, rzp_device_id, rzp_stored_user_id, csrf_token) pour la continuité de session, l'empreinte de l'appareil et la détection de fraude. Ces cookies sont strictement nécessaires au iframe de checkout. Tout cookie analytique dans l'overlay requiert un consentement.
Faut-il un consentement pour charger le checkout Razorpay ?
Aucun consentement n'est requis pour les cookies strictement nécessaires déposés par l'iframe pour traiter un paiement. Vous devez en revanche informer les utilisateurs du transfert vers l'Inde et de la qualité de sous-traitant de Razorpay. Si vous intégrez le checkout avant consentement, seuls les cookies nécessaires doivent être chargés.
Quelle est la base légale du traitement des paiements via Razorpay ?
L'exécution du contrat (art. 6(1)(b) RGPD) couvre le traitement de la transaction demandée par le client. L'intérêt légitime (art. 6(1)(f) RGPD) couvre la prévention de fraude, la lutte contre le blanchiment et les obligations d'audit. Les cookies marketing dans le checkout exigent un consentement (art. 6(1)(a) RGPD).
Où Razorpay traite-t-il les données, et y a-t-il des transferts vers l'Inde ?
L'ensemble du traitement Razorpay a lieu en Inde, principalement dans les data centres de Mumbai, avec sauvegarde dans d'autres régions indiennes. L'Inde n'a pas de décision d'adéquation RGPD : les responsables UE doivent utiliser des CCT, documenter une analyse d'impact des transferts intégrant les pouvoirs d'accès du gouvernement indien et informer les personnes concernées du transfert.
Une AIPD est-elle requise pour Razorpay ?
Une AIPD est recommandée pour tout commerçant traitant des données via Razorpay en raison du transfert vers un pays tiers et du volume de données de paiement. Elle doit couvrir le transfert vers l'Inde, le partage avec les réseaux de cartes, le DPDPA 2023 et les règles RBI, la rétention des données de paiement et les stratégies de tokenisation.
Comment intégrer Razorpay de manière conforme au RGPD ?
Signez l'Accord de traitement et les CCT de Razorpay, réalisez une analyse d'impact des transferts, limitez les données transmises au strict nécessaire, privilégiez la tokenisation au stockage des données de carte brutes, mentionnez Razorpay dans votre politique de confidentialité et au checkout, et veillez à ce que le bandeau cookies ne charge aucun script non essentiel avant consentement.
Quelles alternatives RGPD à Razorpay pour les commerçants UE ?
Pour des flux UE, envisagez Stripe, Adyen, Mollie, Klarna ou Worldline, qui traitent principalement dans l'EEE et disposent de cadres CCT établis. Razorpay reste pertinent si vous devez accepter spécifiquement des paiements indiens (UPI, RuPay, banking indien).
Comment mettre à jour ma politique de cookies et de confidentialité pour mentionner Razorpay ?
Mentionnez Razorpay comme sous-traitant dans votre politique, nommez les catégories de données de paiement partagées, déclarez le transfert vers l'Inde, référencez les CCT et votre analyse d'impact des transferts, mentionnez les cookies déposés par l'iframe et leur finalité de prévention de fraude, et liez la politique de confidentialité et le DPA de Razorpay.
Mettez votre site en conformité aujourd'hui.
Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.