Sécurité
Ce que nous détenons, où cela vit, et quelles règles s’appliquent
Une plateforme en circuit fermé occupe une position réglementaire inhabituelle : elle déplace de l’argent sans toucher aux données de carte et sans être une banque. Cette page dit clairement ce que cela veut dire pour la protection des données, les licences et le périmètre de vos propres obligations.
Updated
Updated
Trois points sur lesquels être précis
Protection des données. La conformité au GDPR est intégrée à la plateforme plutôt qu’ajoutée sur les bords : minimisation des données, droit d’accès, droit à l’effacement, portabilité et gestion du consentement, avec des centres de données dans l’UE par défaut et des accords de traitement des données disponibles. Les données ne sont jamais vendues, partagées avec des tiers ni utilisées à des fins publicitaires.
Licences. Les programmes en circuit fermé opèrent sous l’exemption de réseau limité de PSD2 et sous des cadres comparables ailleurs, ce qui explique pourquoi les cas habituels n’ont besoin d’aucune licence EMI. Lorsqu’un programme approche la limite de cette exemption — un réseau de commerçants assez large pour cesser d’être limité — nous le disons pendant la conception plutôt qu’après le lancement.
PCI DSS. Le parcours en circuit fermé déplace du solde entre des comptes de notre registre et ne manipule jamais de numéro de carte. Cela veut dire qu’il n’élargit pas votre périmètre PCI : les données de carte restent du domaine de votre PSP, et 7Konto se place à côté, comme un moyen de paiement distinct.
- PSD3 devrait resserrer les règles du circuit fermé tout en préservant les programmes conformes ; nous suivons le sujet et prévenons les partenaires bien avant tout changement structurel.
- Toutes les communications sont chiffrées en transit, et l’accès au panneau d’administration est basé sur les rôles et journalisé.
- Les données des commerçants et des porteurs vous appartiennent, à vous et au commerçant — nous les exploitons, nous ne les possédons pas.
Ce que nous demandons à un partenaire
- 01
Décrire le réseau
Quels commerçants acceptent la valeur, pour que la position de réseau limité puisse être évaluée honnêtement.
- 02
Convenir des flux de données
Ce qui est chargé depuis vos systèmes, ce que nous renvoyons, et ce qui est conservé.
- 03
Signer le DPA
Un accord de traitement des données couvrant les traitements que nous effectuons pour votre compte.
- 04
Nous tenir informés
Si le réseau de commerçants s’élargit sensiblement, la position réglementaire doit être revue avant que ce soit un problème.
Détails
- Hébergement
- UE par défaut ; autres régions sur demande
- Chiffrement
- En transit, de bout en bout
- Contrôle d’accès
- Basé sur les rôles, par locataire, journalisé
- Conservation
- Par programme, configurable, minimisée par défaut
- Vente de données
- Jamais — aucune publicité ni partage avec des tiers
- Sous-traitants ultérieurs
- Divulgués dans l’accord de traitement des données
Une question à ce sujet
Ai-je besoin d’une licence EMI ou bancaire ?
Pas pour les cas classiques du circuit fermé : cartes cadeaux, comptes d’avantages salariés, comptes clients d’hôtel, paiements d’événements. Ils relèvent de l’exemption de réseau limité prévue par PSD2 et des cadres comparables ailleurs. Lorsqu’un programme approche la limite de cette exemption — un réseau de commerçants très large, par exemple — nous le disons avant qu’il soit construit, pas après.
7Konto est-il conforme au GDPR ?
Oui, et c’est intégré dès la conception plutôt que rajouté après coup : minimisation des données, droit à l’effacement, droit d’accès, portabilité et gestion du consentement. Centres de données dans l’UE par défaut, avec des accords de traitement des données disponibles.
Où les données clients sont-elles stockées ?
Dans des centres de données de l’UE par défaut, ce qui garde le GDPR simple et la latence basse pour les commerçants européens. D’autres régions sont possibles si un client en a besoin. Les données ne sont jamais vendues, partagées avec des tiers ni utilisées à des fins publicitaires.
Comment PSD2 s’applique-t-il, et qu’en est-il de PSD3 ?
Les programmes en circuit fermé relèvent de l’exemption de réseau limité de PSD2, et nous aidons les partenaires à structurer leurs déploiements pour y rester. PSD3 devrait resserrer les règles tout en préservant les programmes conformes existants ; nous suivons le sujet et préviendrons les partenaires bien avant tout changement structurel.
Qu’en est-il de PCI DSS sur le parcours en ligne ?
Le parcours en ligne ne touche jamais aux numéros de carte — il déplace du solde entre des comptes en circuit fermé, ce qui relève d’un régime réglementaire différent du traitement carte en circuit ouvert. PCI DSS s’applique aux données de carte, qui restent la responsabilité de votre PSP ; 7Konto se place à côté, comme un moyen de paiement distinct.
Posez-nous la question de conformité avant de construire
Un pilote gratuit de 30 jours, configuré et accompagné par notre équipe.