Seguridad
Qué guardamos, dónde vive y qué normas se aplican
Una plataforma de circuito cerrado ocupa una posición regulatoria inusual: mueve dinero sin tocar datos de tarjeta y sin ser un banco. Esta página dice con claridad qué significa eso para la protección de datos, las licencias y el alcance de tus propias obligaciones.
Updated
Updated
Tres cosas que conviene precisar
Protección de datos. El cumplimiento del GDPR está integrado en la plataforma y no añadido por los bordes: minimización de datos, derecho de acceso, derecho de supresión, portabilidad y gestión del consentimiento, con centros de datos en la UE por defecto y acuerdos de tratamiento de datos disponibles. Los datos nunca se venden, ni se comparten con terceros, ni se usan para publicidad.
Licencias. Los programas de circuito cerrado operan bajo la exención de red limitada de la PSD2 y marcos equivalentes en otros países, y por eso los casos habituales no necesitan licencia de EMI. Cuando un programa se acerca al límite de esa exención —una red de comercios lo bastante amplia como para dejar de ser limitada— lo decimos durante el diseño, no después del lanzamiento.
PCI DSS. El flujo de circuito cerrado mueve saldo entre cuentas de nuestro libro y nunca maneja un número de tarjeta. Eso significa que no amplía tu alcance de PCI: los datos de tarjeta siguen siendo terreno de tu PSP, y 7Konto se sitúa a su lado como método de pago independiente.
- Se espera que la PSD3 endurezca las reglas del circuito cerrado manteniendo los derechos adquiridos de los programas conformes; la seguimos de cerca y avisamos a los partners con mucha antelación ante cualquier cambio estructural.
- Toda la comunicación va cifrada en tránsito, y el acceso al panel de administración es por roles y queda registrado.
- Los datos de comercios y titulares son tuyos y del comercio: nosotros los operamos, no somos sus dueños.
Qué le pedimos a un partner
- 01
Describe la red
Qué comercios aceptan el valor, para poder evaluar honestamente la posición de red limitada.
- 02
Acuerda los flujos de datos
Qué se carga desde tus sistemas, qué devolvemos y qué se conserva.
- 03
Firma el DPA
Un acuerdo de tratamiento de datos que cubre el tratamiento que hacemos por tu cuenta.
- 04
Mantennos informados
Si la red de comercios se amplía de forma relevante, hay que revisar la posición regulatoria antes de que sea un problema.
Detalles
- Alojamiento
- UE por defecto; otras regiones a petición
- Cifrado
- En tránsito, de principio a fin
- Control de acceso
- Por roles, por empresa, registrado
- Conservación
- Por programa, configurable, minimizada por defecto
- Venta de datos
- Nunca: ni publicidad ni cesión a terceros
- Subencargados
- Declarados en el acuerdo de tratamiento de datos
Preguntas sobre esto
¿Necesito una licencia de EMI o bancaria?
No para los casos habituales de circuito cerrado: tarjetas de regalo, cuentas de beneficios para empleados, cuentas de huéspedes de hotel o pagos en eventos. Entran en la exención de red limitada de la PSD2 y en marcos equivalentes de otros países. Cuando un programa se acerca al límite de esa exención —una red de comercios muy amplia, por ejemplo—, lo decimos antes de construirlo, no después.
¿7Konto cumple el GDPR?
Sí, y está integrado desde el diseño, no añadido después: minimización de datos, derecho de supresión, derecho de acceso, portabilidad y gestión del consentimiento. Centros de datos en la UE por defecto y acuerdos de tratamiento de datos disponibles.
¿Dónde se almacenan los datos de los clientes?
En centros de datos de la UE por defecto, lo que simplifica el GDPR y mantiene baja la latencia para los comercios europeos. Hay otras regiones disponibles cuando un cliente las necesita. Los datos nunca se venden, ni se comparten con terceros, ni se usan para publicidad.
¿Cómo se aplica la PSD2 y qué pasa con la PSD3?
Los programas de circuito cerrado operan bajo la exención de red limitada de la PSD2, y ayudamos a los partners a estructurar sus despliegues para permanecer dentro de ella. Se espera que la PSD3 endurezca las reglas manteniendo los derechos adquiridos de los programas ya conformes; la seguimos de cerca y avisaremos a los partners con mucha antelación ante cualquier cambio estructural.
¿Y el PCI DSS en el flujo online?
El flujo online nunca toca números de tarjeta: mueve saldo entre cuentas de circuito cerrado, un régimen regulatorio distinto del procesamiento de tarjetas de circuito abierto. El PCI DSS se aplica a los datos de tarjeta, que siguen siendo responsabilidad de tu PSP; 7Konto convive con él como método de pago independiente.
Pregúntanos la duda de cumplimiento antes de construir
Un piloto gratuito de 30 días, configurado y acompañado por nuestro equipo.