Scalapay

Scalapay dépose un cookie de session de paiement essentiel au bon fonctionnement du processus BNPL, un cookie d'empreinte d'appareil pour la prévention de la fraude, et des cookies de mesure marketing chargés via widget.scalapay.com qui suivent les vues de page et les événements de conversion. Les cookies de session et de prévention de la fraude sont nécessaires et peuvent être déposés sans consentement, mais les cookies marketing et analytiques nécessitent un opt-in préalable de l'utilisateur. Les marchands doivent auditer quels cookies sont chargés par le snippet du widget Scalapay dans leur intégration spécifique.

Le consentement est requis pour le pixel marketing et les cookies de reciblage que Scalapay charge via widget.scalapay.com; ceux-ci ne peuvent être déposés avant l'opt-in de l'utilisateur au titre de la directive ePrivacy et du RGPD. Le cookie de session de paiement principal qui active le checkout BNPL peut être traité comme strictement nécessaire et ne requiert pas de consentement préalable. Les marchands en Italie doivent également respecter les directives spécifiques du Garante sur les cookies. L'approche la plus sûre est de charger le snippet complet de Scalapay uniquement après l'accord de consentement marketing.

Le traitement principal des paiements et de l'arrangement en versements repose sur la nécessité contractuelle (Art. 6(1)(b) RGPD). La vérification de crédit souple utilise les intérêts légitimes (Art. 6(1)(f)), certains responsables préférant le consentement explicite par sécurité. Le traitement du pixel marketing et le reciblage nécessitent un consentement (Art. 6(1)(a) RGPD). Les marchands italiens doivent également tenir compte du Codice Privacy italien qui impose des procédures spécifiques pour les évaluations automatisées de solvabilité.

Le traitement principal de Scalapay est basé dans l'UE, avec son siège à Milan et des opérations en France. Cependant, les moteurs de scoring de fraude, les sous-traitants analytiques ou les partenaires de rails de paiement peuvent impliquer des flux de données hors EEE. Les marchands doivent demander et examiner la liste de sous-traitants actuelle de Scalapay et son DPA pour identifier les éventuels transferts vers des pays tiers. Là où des transferts existent, vérifier le mécanisme juridique (CCT ou décision d'adéquation) et les divulguer dans la politique de confidentialité.

Une AIPD est fortement recommandée et peut être obligatoire si votre utilisation implique un traitement à grande échelle de données financières des consommateurs, des évaluations automatisées de solvabilité, ou un profilage pouvant affecter l'accès aux biens ou services. La combinaison de données d'identité, d'historique d'achats et de crédit souple crée un profil financier qui déclenche plusieurs facteurs de risque de l'Art. 35 RGPD. L'évaluation doit cartographier les flux de données Scalapay et documenter les mesures d'atténuation des risques résiduels.

Séparez le widget de paiement (fonction essentielle) du pixel marketing (consentement requis) et chargez-les sur des déclencheurs de consentement différents. Affichez les informations précontractuelles sur le crédit à la consommation de l'UE (TAEG, montant total, échéancier) avant que le consommateur ne s'engage. Incluez Scalapay dans votre politique de confidentialité décrivant la vérification de crédit souple et la base juridique. Signez le DPA Scalapay et implémentez un mécanisme permettant aux utilisateurs de se désabonner du suivi marketing sans perdre l'accès à l'option de paiement.

Les alternatives européennes comprennent Klarna (Suède, bon bilan RGPD), Alma (France, régulé UE) et d'autres solutions BNPL natives de checkout proposées directement par des processeurs de paiement. Les différenciateurs clés pour la confidentialité sont: la résidence des données dans l'UE, un suivi marketing minimal, des listes de sous-traitants transparentes et des outils de consentement RGPD préconstruits pour les marchands.

Dans votre politique de cookies, ajoutez une section Scalapay listant le cookie de session de paiement (essentiel, durée de session), le cookie de prévention de fraude (essentiel, 1 an) et les cookies marketing widget.scalapay.com (analytique/marketing, 1 an, consentement requis). Dans votre politique de confidentialité, ajoutez Scalapay comme sous-traitant ou co-responsable et décrivez la vérification de crédit souple, les données partagées, la base juridique, la durée de conservation et le droit d'opposition du consommateur. Mettez à jour ces deux documents chaque fois que Scalapay révise son DPA ou sa liste de sous-traitants.