La direction générale des finances publiques est autorisée à mettre en œuvre un traitement automatisé de données à caractère personnel dénommé PayFiP.

Le traitement a pour finalité de mettre à disposition des usagers un service sécurisé de paiement en ligne leur permettant de régler, par prélèvement bancaire, les créances émises par les organismes et services publics soumis à l'article premier du décret du 7 novembre 2012 susvisé.
Le service sécurisé de paiement en ligne est mis à disposition des usagers par l'intermédiaire d'applications ou de téléservices.

Les catégories de données à caractère personnel et informations traitées sont les suivantes :
1° Données relatives au débiteur ou au payeur :

- nom, prénom ;
- identifiant technique de la personne dans le référentiel PERS (ITIP) ;
- adresse de messagerie électronique ;

2° Données relatives à la créance :

- référence et montant de la créance ;
- éléments d'identification du créancier ;
- informations bancaires du créancier ;

3° Coordonnées bancaires utilisées pour le paiement :

- références du compte ;
- pays de domiciliation du compte ;
- libellé du compte renseigné par l'usager ;
- identification du titulaire du compte : civilité, nom, prénom, adresse ;

4° Données relatives à l'ordre de paiement :

- identification du poste comptable ;
- référence de la créance ;
- libellé de l'organisme ou du service créancier ;
- informations bancaires du créancier ;
- montant du paiement ;
- référence unique de mandat et date de signature du mandat ;
- date du prélèvement ;
- références bancaires du compte utilisé pour le paiement : référence du compte et identification du titulaire du compte ;

5° Données relatives aux mandats de prélèvement :

- numéro de l'opération de paiement ;
- référence de la créance ;
- date de signature du mandat ;
- éléments d'identification du créancier ;
- références du compte utilisé pour le prélèvement et identification du titulaire du compte ;
- référence unique de mandat ;

6° Données relatives au règlement de la créance :

- numéro de l'opération ;
- montant du paiement ;
- date et heure du paiement ;
- date du prélèvement ;
- référence unique de mandat ;
- identifiant de l'organisme ou du service créancier.

Les connexions effectuées par les usagers font l'objet d'une journalisation qui se traduit par la conservation, pour chaque connexion, de l'adresse IP de l'usager, de la date et de l'heure ainsi que des données de la connexion.

Les données mentionnées à l'article 3 sont conservées treize mois à compter de l'opération de paiement.
En outre, les mandats dématérialisés de prélèvement sont conservés treize mois à compter de l'opération de paiement.
Les données mentionnées à l'article 4 sont conservées quatre-vingt-dix jours.

Les destinataires des données traitées sont, à raison de leurs attributions et de leur besoin d'en connaître :

- les agents habilités de la direction générale des finances publiques chargés d'accompagner le développement des moyens de paiement auprès des organismes et services publics ;
- le comptable public assignataire et ses agents habilités, placés sous son autorité ;
- les régisseurs ;
- la Banque de France dans le cadre des opérations de paiement.

Les droits d'accès et de rectification prévus par la loi du 6 janvier 1978 susvisée s'exercent auprès du comptable compétent.
Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 susvisée ne s'applique pas au présent traitement.

Le directeur général des finances publiques est chargé de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.