Zuora
Zuora est une plateforme de facturation et de commerce par abonnement qui alimente la facturation récurrente, les pages de paiement hébergées et la bibliothèque client Zuora.js pour collecter les détails de paiement. Son tunnel de paiement dépose des cookies strictement nécessaires pour faire fonctionner et sécuriser le paiement, tandis que les pages hébergées et marketing de Zuora utilisent des cookies d'analyse et de publicité qui nécessitent un consentement. Les données d'abonnement sont hébergées sur AWS dans une région sélectionnable par le client, avec un centre de données américain par défaut et une option européenne à Francfort. Comme Zuora à son siège aux États-Unis, l'usage dans l'UE peut impliquer un transfert vers un pays tiers à moins de provisionner une résidence dans l'UE.
Que fait Zuora ?
Ce qu'est Zuora
Zuora est une plateforme de facturation et de commerce par abonnement utilisée par les entreprises pour gérer les revenus récurrents. Elle fournit des pages de paiement hébergées et une bibliothèque client appelée Zuora.js qui collecte les détails de paiement directement dans des champs contrôlés par Zuora, ce qui maintient le commerçant hors champ pour les données de carte brutes. La plateforme gère le cycle de vie des abonnements, la facturation, les paiements et la reconnaissance des revenus pour le compte du commerçant. Zuora est une entreprise dont le siège est aux États-Unis, et ses services s'exécutent sur Amazon Web Services dans une région que vous pouvez sélectionner. Un centre de données américain par défaut est fourni, avec un centre de données européen à Francfort et un centre de données APAC au Japon pour les clients qui ont besoin d'une résidence régionale. Comme les données de facturation s'accumulent dans le temps, comprendre où elles sont stockées et quels cookies sont déposés est essentiel à la conformité.
Cookies et données collectées
Le tunnel de paiement hébergé de Zuora et Zuora.js peuvent déposer des cookies strictement nécessaires qui font fonctionner la page de paiement et sécurisent la session, et qui ne nécessitent pas de consentement. Les pages corporate et marketing de Zuora utilisent en outre des cookies d'analyse et de publicité, et Zuora indique que l'entreprise et ses partenaires utilisent des cookies notamment à des fins publicitaires, lesquels ne sont pas strictement nécessaires et requièrent un consentement. Les données collectées via la plateforme incluent les détails de paiement, les informations d'abonnement et de facturation, les coordonnées et des métadonnées techniques telles que l'adresse IP utilisées pour exploiter et sécuriser le service. Les données de facturation sont traitées par Zuora en tant que sous-traitant agissant sur les instructions documentées du commerçant. La distinction entre les cookies de paiement nécessaires et les cookies d'analyse et de publicité optionnels doit être clairement reflétée dans votre bannière et votre politique de cookies. Confirmez toujours le comportement réel des cookies dans votre propre déploiement.
Implications RGPD et ePrivacy
Sous le RGPD, la base légale du traitement d'un abonnement et de la facturation du client est l'exécution du contrat, tandis que la prévention de la fraude et la sécurisation du paiement reposent sur l'intérêt légitime. Sous la directive ePrivacy, les cookies de paiement strictement nécessaires sont exemptés de consentement, mais les cookies d'analyse et de publicité nécessitent une acceptation préalable. Zuora agit comme sous-traitant des données de facturation et fournit un accord de traitement des données, vous devez donc le signer et confirmer les rôles de responsable et de sous-traitant. La DSP2 introduit des obligations telles que l'authentification forte du client pour les paiements, qui interagit avec le tunnel de paiement. Comme Zuora a son siège aux États-Unis et que le centre de données par défaut est aux États-Unis, une analyse de transfert international est généralement requise sauf si vous provisionnez le centre de données européen. Une documentation claire et un parcours de consentement robuste sont essentiels.
Exigences de consentement et intégration CMP
Vous n'avez pas besoin de consentement pour les cookies de paiement strictement nécessaires, la page de paiement peut donc se charger et les clients peuvent payer. Vous avez besoin d'un consentement préalable pour les cookies d'analyse et de publicité sur les pages hébergées et marketing de Zuora, qui doivent être intégrés à votre plateforme de gestion du consentement et bloqués jusqu'à ce que le visiteur accepte la catégorie concernée. Une approche propre consiste à laisser la facturation et le paiement fonctionner tout en ne bloquant que le suivi optionnel. Votre bannière de consentement doit expliquer que certains cookies sont essentiels pour faire fonctionner et sécuriser le paiement, et que d'autres sont optionnels. Vérifiez qu'un refus des catégories optionnelles empêche réellement le dépôt de ces cookies sur les pages hébergées. Conservez une trace du consentement afin de démontrer la conformité à une autorité de contrôle.
Transferts internationaux de données
Zuora héberge les données client sur AWS dans une région que vous pouvez sélectionner, avec un centre de données américain par défaut en Amérique du Nord, un centre de données européen avec hébergement principal à Francfort et reprise en Irlande, et un centre de données APAC au Japon. Pour un site de l'UE, l'option la plus propre consiste à provisionner le centre de données européen afin que les données d'abonnement restent dans l'UE. Si vous utilisez le centre de données américain par défaut, ou si du personnel basé aux États-Unis peut accéder aux données, il s'agit d'un transfert vers un pays tiers que le RGPD n'autorise qu'avec une garantie appropriée telle que le cadre de protection des données UE-États-Unis ou les clauses contractuelles types, accompagnée d'une analyse d'impact du transfert. Documentez la région choisie et la garantie dans votre registre des traitements et votre politique de confidentialité. Réexaminez l'arrangement périodiquement à mesure que le paysage juridique évolue.
Étapes pratiques de conformité
Commencez par signer l'accord de traitement des données de Zuora et choisissez le centre de données européen si vous avez besoin d'une résidence dans l'UE pour les données d'abonnement. Configurez votre plateforme de gestion du consentement afin que les cookies de paiement strictement nécessaires fonctionnent tandis que les cookies d'analyse et de publicité sont bloqués jusqu'au consentement. Mettez à jour votre politique de confidentialité et votre politique de cookies pour expliquer le traitement de facturation, les bases légales du contrat et de l'intérêt légitime, les cookies optionnels fondés sur le consentement et la région de centre de données. Définissez des durées de conservation des enregistrements de facturation respectant les règles fiscales et financières et appliquez la minimisation des données ailleurs. Mettez en œuvre l'authentification forte du client requise par la DSP2 dans le tunnel de paiement. Réalisez une analyse d'impact du transfert lorsque le stockage ou l'accès aux États-Unis s'applique et, compte tenu du volume et de la sensibilité des données de facturation, une analyse d'impact relative à la protection des données. Enfin, gardez votre documentation alignée sur la configuration en production et le choix du centre de données.
Zuora et le RGPD
Zuora est classé dans la catégorie « Non classé ». Sur un site qui vise des visiteurs européens, il ne doit se charger qu'après le consentement du visiteur, et doit figurer dans votre politique de cookies.
- Base légale
- Contract performance (GDPR Article 6(1)(b)) for processing a subscription and billing the customer requested, plus Legitimate Interest (Article 6(1)(f)) for fraud prevention and securing the checkout. Consent (Article 6(1)(a)) is required for the analytics and advertising cookies used on Zuora hosted pages and marketing properties.
- Niveau de risque
- high
- Textes applicables
- GDPR, ePrivacy Directive, PSD2, TTDSG (Germany), CNIL guidelines, LOPDGDD (Spain), EU US Data Privacy Framework
Analyse d'impact (AIPD)
Zuora traite des données d'abonnement et de paiement dans la durée, construisant souvent un historique de facturation qui peut profiler le comportement du client, une évaluation attentive est donc justifiée. Une analyse d'impact doit documenter les données collectées au paiement et stockées dans le système de facturation, la région de centre de données choisie, les cookies strictement nécessaires par rapport à ceux fondés sur le consentement, et tout accès aux données depuis les États-Unis. Notez les obligations DSP2 telles que l'authentification forte du client et les durées de conservation des enregistrements de facturation pouvant être fixées par la loi fiscale et financière. Si vous utilisez le centre de données américain par défaut, la garantie de transfert et son analyse d'impact doivent être au cœur de l'AIPD.
Exemple de texte pour votre bannière
Ce site utilise Zuora pour gérer les abonnements et traiter les paiements. Les cookies strictement nécessaires pour faire fonctionner et sécuriser votre paiement sont toujours actifs. Avec votre consentement, nous déposons aussi des cookies d'analyse et de publicité, et vos données peuvent être traitées dans un centre de données Zuora ; vous pouvez accepter ou refuser les cookies optionnels à tout moment.
Ce que Zuora dépose et contacte
- Méthode de suivi
- Subscription billing and commerce platform. Hosted checkout pages and the Zuora.js client library collect payment and subscription data and can set strictly necessary cookies to operate the checkout and secure the session. The Zuora corporate website and marketing pages also use analytics and advertising cookies that require consent, while the billing data itself is processed on behalf of the merchant.
- Localisation des serveurs
- Customer selectable AWS region. The default US Cloud Data Center is in North America, and an EU Cloud Data Center is available with primary hosting in Frankfurt, Germany and failover in Ireland. An APAC data center is in Japan. Zuora Inc is headquartered in Silicon Valley, USA.
- Transfert de données hors UE
- Zuora is a US headquartered company and the default data center is in the United States, so without explicit EU provisioning subscription data is hosted in a third country. Zuora offers an EU Cloud Data Center in Frankfurt with failover in Ireland for customers who require EU residency. Where data is stored in or accessed from the US, the transfer must be covered by an appropriate safeguard such as the EU US Data Privacy Framework or Standard Contractual Clauses with a transfer impact assessment.
Cookies déposés (4)
| Nom | Type | Durée | Finalité |
|---|---|---|---|
| Checkout session | strictly_necessary | session | Operates the hosted checkout and Zuora.js payment page and maintains the secure payment session so the customer can complete the transaction. |
| Security and fraud | strictly_necessary | session to persistent | Secures the checkout session and helps detect irregular behaviour to protect the payment. |
| Analytics | analytics | up to 2 years | Set on Zuora hosted and marketing pages to understand how visitors use the site. Not strictly necessary and requires consent. |
| Advertising | marketing | up to 1 year | Used by Zuora and its partners for advertising purposes. Not strictly necessary and requires consent. |
Domaines tiers contactés (4)
zuora.comstatic.zuora.comrest.zuora.comrest.eu.zuora.com
Questions fréquentes sur Zuora
Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.
Quels cookies Zuora dépose t il ?
Le tunnel de paiement hébergé de Zuora et Zuora.js déposent des cookies strictement nécessaires pour faire fonctionner la page de paiement et sécuriser la session, qui ne nécessitent pas de consentement. Les pages corporate et marketing de Zuora utilisent en outre des cookies d'analyse et de publicité, qui ne sont pas strictement nécessaires et requièrent un consentement. Confirmez toujours le comportement réel des cookies dans votre propre déploiement.
Le consentement est-il requis pour utiliser Zuora ?
Le consentement n'est pas requis pour les cookies de paiement strictement nécessaires, la page de paiement peut donc fonctionner. Le consentement est requis pour les cookies d'analyse et de publicité sur les pages hébergées et marketing de Zuora, qui doivent être bloqués jusqu'à ce que le visiteur accepte la catégorie concernée via votre bannière de consentement.
Quelle est la base légale pour utiliser Zuora ?
La base légale est l'exécution du contrat au titre de l'article 6(1)(b) du RGPD pour traiter l'abonnement et la facturation demandes par le client, plus l'intérêt légitime au titre de l'article 6(1)(f) pour la prévention de la fraude et la sécurisation du paiement. Les cookies d'analyse et de publicité nécessitent un consentement au titre de l'article 6(1)(a).
Zuora transfère-t-il des données vers les États-Unis ?
Cela peut arriver. Zuora a son siège aux États-Unis et le centre de données par défaut y est situé, donc sans provisionnement dans l'UE les données d'abonnement sont stockées dans un pays tiers. Zuora propose un centre de données européen à Francfort avec reprise en Irlande ; si vous utilisez un stockage ou un accès aux États-Unis, une garantie telle que le cadre de protection des données UE-États-Unis ou les clauses contractuelles types, ainsi qu'une analyse d'impact du transfert, sont requises.
Ai je besoin d'une AIPD pour Zuora ?
Une analyse d'impact relative à la protection des données est recommandée car Zuora traite des données d'abonnement et de paiement dans la durée et peut construire un historique de facturation qui profile les clients, en particulier à grand volume ou avec un stockage aux États-Unis. L'AIPD doit couvrir les données collectées et stockées, la région de centre de données, les catégories de cookies et tout accès aux États-Unis.
Comment mettre en œuvre Zuora de manière conforme ?
Signez l'accord de traitement des données de Zuora, choisissez le centre de données européen si vous avez besoin d'une résidence dans l'UE, et intégrez les cookies d'analyse et de publicité à votre plateforme de gestion du consentement afin qu'ils soient bloqués jusqu'au consentement. Mettez à jour vos politiques de confidentialité et de cookies, définissez la conservation des enregistrements de facturation et mettez en œuvre l'authentification forte du client requise par la DSP2.
Quelles sont les alternatives a Zuora ?
D'autres plateformes de facturation et de paiement par abonnement incluent Stripe Billing, Chargebee, Recurly et Paddle, chacune avec son propre profil de cookies et de résidence des données. Pour la meilleure résidence des données dans l'UE, privilégiez un prestataire capable de stocker les données de facturation dans l'UE et qui garde les cookies d'analyse et de publicité optionnels clairement séparés et fondés sur le consentement.
Comment mettre à jour ma politique de cookies pour Zuora ?
Listez les cookies de paiement strictement nécessaires séparément des cookies d'analyse et de publicité optionnels, avec leur finalité et leur durée approximative. Indiquez que Zuora est le prestataire de facturation et de paiement, divulguez la région de centre de données utilisée et notez la garantie de transfert si les données sont stockées ou consultées depuis les États-Unis. Révisez l'entrée à chaque changement de configuration ou de centre de données.
Mettez votre site en conformité aujourd'hui.
Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.