Bezpečnost
Co držíme, kde to leží a která pravidla platí
Platforma s uzavřeným okruhem stojí v neobvyklé regulatorní pozici: hýbe penězi, aniž by se dotkla kartových dat a aniž by byla bankou. Tahle stránka natvrdo říká, co to znamená pro ochranu údajů, licence a rozsah vašich vlastních povinností.
Updated
Updated
Tři věci, u kterých se vyplatí být přesný
Ochrana údajů. Soulad s GDPR je do platformy zabudovaný, ne přilepený na okrajích: minimalizace dat, právo na přístup, právo na výmaz, přenositelnost a správa souhlasů, ve výchozím nastavení s datovými centry v EU a s dostupnými smlouvami o zpracování osobních údajů. Data se nikdy neprodávají, nesdílejí s třetími stranami ani nepoužívají k reklamě.
Licence. Programy v uzavřeném okruhu běží pod výjimkou pro omezené sítě v PSD2 a obdobnými rámci jinde, a proto běžné případy licenci EMI nepotřebují. Pokud se program blíží hranici té výjimky — síť obchodníků dost široká na to, aby přestala být omezená — řekneme to při návrhu, ne po spuštění.
PCI DSS. Tok v uzavřeném okruhu přesouvá zůstatek mezi účty v našem účetním jádru a nikdy nepracuje s číslem karty. To znamená, že nerozšiřuje váš rozsah PCI: kartová data zůstávají doménou vašeho PSP a 7Konto stojí vedle jako samostatná platební metoda.
- Od PSD3 se čeká zpřísnění pravidel pro uzavřený okruh se zachováním vyhovujících programů; sledujeme to a partnery upozorníme s dostatečným předstihem před jakoukoli strukturální změnou.
- Veškerá komunikace je šifrovaná při přenosu a přístup do administračního panelu je rolový a logovaný.
- Data obchodníků a držitelů karet patří vám a obchodníkovi — my je provozujeme, nevlastníme.
Co chceme po partnerovi
- 01
Popište síť
Kteří obchodníci hodnotu přijímají, aby se dala pozice omezené sítě poctivě posoudit.
- 02
Odsouhlaste datové toky
Co se načítá z vašich systémů, co vracíme a co se uchovává.
- 03
Podepište DPA
Smlouvu o zpracování osobních údajů pokrývající zpracování, které děláme za vás.
- 04
Dávejte nám vědět
Pokud se síť obchodníků podstatně rozšíří, je potřeba regulatorní pozici přehodnotit dřív, než z toho bude problém.
Detaily
- Hosting
- Ve výchozím nastavení EU; jiné regiony na vyžádání
- Šifrování
- Při přenosu, v celém rozsahu
- Řízení přístupu
- Rolové, po tenantech, logované
- Uchovávání
- Podle programu, konfigurovatelné, ve výchozím stavu minimalizované
- Prodej dat
- Nikdy — žádná reklama ani sdílení s třetími stranami
- Dílčí zpracovatelé
- Uvedeni ve smlouvě o zpracování osobních údajů
Máte k tomu otázky
Potřebuji licenci EMI nebo bankovní licenci?
U obvyklých případů uzavřeného okruhu ne: dárkové karty, účty zaměstnaneckých benefitů, účty hostů v hotelu, platby na akcích. Spadají pod výjimku pro omezené sítě v PSD2 a obdobné rámce jinde. Pokud se program blíží hranici této výjimky — třeba u velmi široké sítě obchodníků — řekneme to dřív, než se postaví, ne potom.
Splňuje 7Konto GDPR?
Ano, a je to zabudované, ne dodatečně přilepené: minimalizace dat, právo na výmaz, právo na přístup, přenositelnost a správa souhlasů. Ve výchozím nastavení datová centra v EU, smlouvy o zpracování osobních údajů k dispozici.
Kde jsou uložena zákaznická data?
Ve výchozím nastavení v datových centrech v EU, což drží GDPR jednoduché a latenci pro evropské obchodníky nízkou. Jiné regiony jsou k dispozici, pokud je zákazník potřebuje. Data se nikdy neprodávají, nesdílejí s třetími stranami ani nepoužívají k reklamě.
Jak se uplatňuje PSD2 a co PSD3?
Programy s uzavřeným okruhem běží pod výjimkou pro omezené sítě v PSD2 a partnerům pomáháme nasazení nastavit tak, aby v ní zůstala. Od PSD3 se čeká zpřísnění pravidel se zachováním stávajících vyhovujících programů; sledujeme to a partnery upozorníme s dostatečným předstihem před jakoukoli strukturální změnou.
Jak je to s PCI DSS u online toku?
Online tok se čísel karet vůbec nedotkne — přesouvá zůstatek mezi účty v uzavřeném okruhu, což je jiný regulatorní režim než zpracování otevřených kartových plateb. PCI DSS se týká kartových dat, což zůstává odpovědností vašeho PSP; 7Konto stojí vedle jako samostatná platební metoda.
Zeptejte se nás na compliance dřív, než začnete stavět
Bezplatný 30denní pilot, nastavený a podporovaný naším týmem.