Sikkerhed
Hvad vi opbevarer, hvor det ligger, og hvilke regler der gælder
En closed-loop-platform sidder i en usædvanlig regulatorisk position: den flytter penge uden at røre ved kortdata og uden at være en bank. Denne side siger ligeud, hvad det betyder for databeskyttelse, licenser og omfanget af jeres egne forpligtelser.
Updated
Updated
Tre ting, det er værd at være præcis om
Databeskyttelse. GDPR-compliance er bygget ind i platformen frem for sat på i kanten: dataminimering, ret til indsigt, ret til sletning, dataportabilitet og samtykkehåndtering, med EU-datacentre som standard og databehandleraftaler til rådighed. Data bliver aldrig solgt, delt med tredjeparter eller brugt til annoncering.
Licenser. Closed-loop-programmer kører under PSD2's undtagelse for begrænsede netværk og tilsvarende regelsæt andre steder, og derfor kræver de sædvanlige tilfælde ingen EMI-licens. Hvis et program nærmer sig kanten af den undtagelse — et forretningsnetværk bredt nok til ikke længere at være begrænset — siger vi det under designet, ikke efter lanceringen.
PCI DSS. Closed-loop-forløbet flytter saldo mellem konti i vores hovedbog og håndterer aldrig et kortnummer. Det betyder, at det ikke udvider jeres PCI-omfang: kortdata forbliver jeres PSP's område, og 7Konto ligger ved siden af som en separat betalingsmetode.
- PSD3 ventes at stramme reglerne for closed-loop, men lade compliante programmer fortsætte; vi følger det og giver partnere besked i god tid før enhver strukturel ændring.
- Al kommunikation er krypteret under transport, og adgangen til administrationspanelet er rollebaseret og logget.
- Data om forretninger og kortholdere tilhører jer og forretningen — vi driver dem, vi ejer dem ikke.
Hvad vi beder en partner om
- 01
Beskriv netværket
Hvilke forretninger tager imod værdien, så positionen om begrænset netværk kan vurderes ærligt.
- 02
Aftal datastrømmene
Hvad der indlæses fra jeres systemer, hvad vi returnerer, og hvad der opbevares.
- 03
Underskriv databehandleraftalen
En databehandleraftale, der dækker den behandling, vi udfører på jeres vegne.
- 04
Hold os orienteret
Hvis forretningsnetværket udvides væsentligt, skal den regulatoriske position gennemgås igen, før det bliver et problem.
Detaljer
- Hosting
- EU som standard; andre regioner efter ønske
- Kryptering
- Under transport, hele vejen
- Adgangskontrol
- Rollebaseret, pr. tenant, logget
- Opbevaring
- Pr. program, konfigurerbar, minimeret som standard
- Salg af data
- Aldrig — ingen annoncering og ingen deling med tredjeparter
- Underdatabehandlere
- Oplyst i databehandleraftalen
Spørgsmål til det her
Skal jeg have en EMI- eller banklicens?
Ikke til de sædvanlige closed-loop-tilfælde: gavekort, personalegodekonti, hotelgæstekonti, eventbetalinger. De falder under undtagelsen for begrænsede netværk i PSD2 og tilsvarende regelsæt andre steder. Hvis et program nærmer sig kanten af den undtagelse — for eksempel et meget bredt forretningsnetværk — siger vi det, før det bliver bygget, ikke bagefter.
Er 7Konto GDPR-compliant?
Ja, og det er bygget ind frem for sat på bagefter: dataminimering, ret til sletning, ret til indsigt, dataportabilitet og samtykkehåndtering. EU-datacentre som standard, med databehandleraftaler til rådighed.
Hvor opbevares kundedata?
I EU-datacentre som standard, hvilket holder GDPR enkelt og latenstiden lav for europæiske forretninger. Andre regioner er mulige, hvor en kunde har brug for det. Data bliver aldrig solgt, delt med tredjeparter eller brugt til annoncering.
Hvordan gælder PSD2, og hvad med PSD3?
Closed-loop-programmer kører under PSD2's undtagelse for begrænsede netværk, og vi hjælper partnere med at strukturere implementeringer, så de holder sig inden for den. PSD3 ventes at stramme reglerne, men lade eksisterende compliante programmer fortsætte; vi følger det og giver partnere besked i god tid før enhver strukturel ændring.
Hvad med PCI DSS i onlineforløbet?
Onlineforløbet rører aldrig ved kortnumre — det flytter saldo mellem closed-loop-konti, hvilket er et andet regulatorisk regime end open-loop-kortbehandling. PCI DSS gælder kortdata, som forbliver jeres PSP's ansvar; 7Konto ligger ved siden af som en separat betalingsmetode.
Stil os compliance-spørgsmålet, før I bygger
En gratis pilot på 30 dage, konfigureret og understøttet af vores team.