Mollie

Mollie B.V. es una besloten vennootschap neerlandesa (sociedad limitada privada) registrada en Keizersgracht 126, 1015 CW Amsterdam, con número de Kamer van Koophandel 30204462 e identificación fiscal NL81.58.39.091.B01. Los comerciantes del EEE y Suiza firman el acuerdo de usuario con Mollie B.V., que se rige por la legislación neerlandesa, con foro exclusivo en Ámsterdam; Mollie B.V. está autorizada bajo la Ley neerlandesa de Supervisión Financiera (Wft) y supervisada por De Nederlandsche Bank con el número de relación F0038. Los comerciantes del Reino Unido firman un acuerdo de usuario aparte con Mollie UK Ltd (Companies House 14013554, FCA FRN 977968), autorizada desde el 2 de noviembre de 2023 por la Financial Conduct Authority conforme a las Payment Services Regulations 2017, con disputas cubiertas por el UK Financial Ombudsman Service. Los demás países de Europa continental (Alemania, Francia, Bélgica, Italia, España, Portugal, Austria, Polonia, República Checa, Hungría, Eslovenia, Rumanía, Grecia, Dinamarca, Suecia, Finlandia, Noruega, Irlanda, Luxemburgo) se atienden mediante el pasaporte EEE desde la licencia neerlandesa; no existen entidades Mollie GmbH ni Mollie SAS separadas.

Mollie posee dos licencias financieras neerlandesas bajo el mismo número de relación F0038 con la DNB: una licencia de Entidad de Pago conforme a la PSD2 (código de registro público de la DNB WFTBI, vigente desde 2012) y una licencia de Entidad de Dinero Electrónico conforme a la EMD2 (código de registro de la DNB WFTEG, añadida el 16 de enero de 2024). La licencia EDE amplía la capacidad de Mollie para emitir dinero electrónico, ofrecer cuentas de valor almacenado y proveer cuentas IBAN locales. Mollie UK Ltd es una Entidad de Pago independiente del Reino Unido autorizada por la Financial Conduct Authority con número de referencia FCA 977968 desde el 2 de noviembre de 2023; no es EDE británica según la última verificación. Mollie también declara cumplimiento con las Directrices de la Autoridad Bancaria Europea sobre la seguridad de los pagos por internet. No existe autorización del BaFin alemán, del ACPR francés ni del NBB belga porque el pasaporte EEE desde la licencia neerlandesa cubre esos mercados.

Mollie no tiene filial estadounidense. El grupo está formado por Mollie B.V. (Países Bajos, matriz regulada por la DNB), Stichting Mollie Payments (Países Bajos, fundación de salvaguarda bajo supervisión de la DNB a través de Mollie B.V.) y Mollie UK Ltd (Reino Unido, filial regulada por la FCA). No existe, por tanto, ninguna entidad jurídica de Mollie a la que un tribunal estadounidense pueda obligar directamente bajo la CLOUD Act. La exposición se produce a través de los subencargados y la capa subyacente de Google Cloud: Mollie ha migrado su plataforma de aplicación a Google Cloud (cómputo GKE, Cloud SQL, Cloud Storage, Cloud CDN, Cloud Load Balancing, Cloud DNS) según el caso público de cliente de Google Cloud y se observa mediante las cabeceras «via: 1.1 google» en api.mollie.com. Otros subencargados estadounidenses incluyen Zendesk (servicio de soporte en help.mollie.com), Cloudflare (capa de borde delante de help.mollie.com y docs.mollie.com), ReadMe (documentación para desarrolladores), Instatus (página de estado), Ekata (una empresa de Mastercard, usada para verificación de identidad AML / KYC, mencionada en la política de privacidad de Mollie) y Salesforce (cookies publicitarias e integración de comercio). La política de privacidad de Mollie contempla expresamente transferencias fuera del EEE mediante Cláusulas Contractuales Tipo de la UE; la página de seguridad afirma que los datos se almacenan en servidores neerlandeses, lo que un comprador con estándares de adquisición debería pedir a Mollie que confirme por escrito como anclaje a la región europe-west4 (Eemshaven, Países Bajos) de Google Cloud.

No como lista consolidada específica. A diferencia de Stripe, Adyen y Square, Mollie no mantiene un índice público único de subencargados. Los subencargados se referencian en dos superficies: (1) la política de privacidad en mollie.com/legal/privacy menciona expresamente a Ekata (verificación de identidad, cribado AML y KYC) y referencia categorías de encargado, incluidos proveedores de infraestructura, SaaS de atención al cliente y CRM, redes publicitarias y socios de cribado AML/CFT; (2) la política de cookies en mollie.com/cookies menciona a Google DoubleClick, X (antes Twitter) y Salesforce como operadores de cookies publicitarias. La relación con Google Cloud está documentada por separado en la página pública de caso de cliente de Google en cloud.google.com/customers/mollie. Sondeos en vivo de DNS y HTTP revelan además a Zendesk, Cloudflare, ReadMe, Instatus y Framer como operadores de los subdominios auxiliares de Mollie. La ausencia de una lista consolidada con calidad de DPA es una carencia documentada respecto a los competidores PSP de mayor tamaño de Mollie.

Mollie no firma un DPA estándar de encargado conforme al artículo 28 con los comerciantes. La posición documentada en la página de DPA del centro de ayuda es que Mollie y el comerciante no actúan siguiendo instrucciones del otro, sino que ambos son responsables del tratamiento independientes de los datos personales que procesan. Esto refleja el estatus de Mollie bajo la PSD2 y la Wwft neerlandesa (Wet ter voorkoming van witwassen en financieren van terrorisme): la Entidad de Pago tiene sus propias obligaciones de AML, KYC y monitorización de transacciones, independientes del estatus de responsable del comerciante. En la práctica, los comerciantes que soliciten un acuerdo responsable-responsable o una corresponsabilidad pueden obtenerlo; aquellos que esperen que Mollie actúe como encargado bajo su propia plantilla de DPA verán que Mollie no acepta esa configuración. La página de aterrizaje del Acuerdo de Tratamiento de Datos en mollie.com/legal/data-processing-agreement y el artículo correspondiente del centro de ayuda guían a los comerciantes a través del flujo.

Mollie ostenta el PCI DSS Nivel 1 para el tratamiento de datos de tarjeta en el nivel más alto; la Atestación de Cumplimiento está disponible para los comerciantes a petición, aunque el periodo de validez de la AoC no se publica en la página pública de seguridad. Mollie también publica el informe anual de aseguramiento ISAE 3402 Tipo 2 con Deloitte como auditor externo, que cubre el proceso de pago y las aplicaciones de TI que lo soportan. ISO/IEC 27001 y SOC 2 no se publicitan en las páginas públicas de seguridad de Mollie; o bien Mollie las tiene pero no las difunde, o bien se apoya en el conjunto formado por ISAE 3402 más PCI DSS más la supervisión de la DNB y la FCA como base de aseguramiento. La nueva página de seguridad también menciona un equipo interno de pruebas de penetración que ejecuta simulaciones periódicas de ciberataques.

El 11 de diciembre de 2025 Mollie acordó adquirir GoCardless Ltd, especialista británico en domiciliaciones (Companies House 07495895, FCA FRN 597190 autorizada bajo las Payment Services Regulations 2017), por unos 1.050 millones EUR. Más del 90 % de la contraprestación se paga en acciones de Mollie y el resto en efectivo. El cierre de la operación se prevé para mediados de 2026, sujeto a aprobación regulatoria por parte de la DNB, la FCA y las autoridades de competencia pertinentes. Una vez cerrada, el grupo combinado prestará servicio a los 350.000 comerciantes europeos declarados y ampliará materialmente la cobertura de Mollie en el sistema británico de domiciliaciones Bacs. La estructura societaria tras el cierre añadirá GoCardless Ltd (Reino Unido) junto a Mollie UK Ltd (Reino Unido) y Mollie B.V. (Países Bajos); el DPA, la política de privacidad y la exposición a subencargados se revisarán en el cierre. A fecha de mayo de 2026 la operación aún no se había cerrado y el acuerdo de usuario de Mollie B.V., la política de privacidad y las licencias vigentes siguen siendo la base contractual para los comerciantes europeos.