Sicurezza
Cosa conserviamo, dove si trova e quali regole si applicano
Una piattaforma a circuito chiuso si trova in una posizione normativa insolita: muove denaro senza toccare i dati delle carte e senza essere una banca. Questa pagina dice chiaramente cosa significa per la protezione dei dati, le licenze e il perimetro dei vostri obblighi.
Updated
Updated
Tre cose su cui vale la pena essere precisi
Protezione dei dati. La conformità al GDPR è integrata nella piattaforma anziché aggiunta ai bordi: minimizzazione dei dati, diritto di accesso, diritto alla cancellazione, portabilità e gestione del consenso, con data center nell'UE per impostazione predefinita e accordi sul trattamento dei dati disponibili. I dati non vengono mai venduti, condivisi con terzi o usati per la pubblicità.
Licenze. I programmi a circuito chiuso operano sotto l'esenzione per le reti limitate della PSD2 e sotto quadri analoghi altrove, ed è per questo che i casi consueti non richiedono una licenza EMI. Quando un programma si avvicina al limite di quell'esenzione — una rete di esercenti tanto ampia da non essere più limitata — lo diciamo in fase di progettazione e non dopo il lancio.
PCI DSS. Il flusso a circuito chiuso muove saldo tra conti sul nostro registro e non gestisce mai un numero di carta. Questo significa che non amplia il vostro perimetro PCI: i dati delle carte restano di competenza del vostro PSP e 7Konto sta accanto a esso come metodo di pagamento separato.
- Ci si attende che la PSD3 stringa le regole sul circuito chiuso salvaguardando i programmi conformi; la seguiamo e avvisiamo i partner con ampio anticipo rispetto a qualsiasi cambiamento strutturale.
- Tutte le comunicazioni sono cifrate in transito e l'accesso al pannello di amministrazione è basato sui ruoli e registrato.
- I dati degli esercenti e dei titolari di carta appartengono a voi e all'esercente — noi li gestiamo, non li possediamo.
Cosa chiediamo a un partner
- 01
Descrivete la rete
Quali esercenti accettano il valore, così da valutare onestamente la posizione di rete limitata.
- 02
Concordate i flussi di dati
Cosa viene caricato dai vostri sistemi, cosa restituiamo e cosa viene conservato.
- 03
Firmate il DPA
Un accordo sul trattamento dei dati che copre il trattamento che svolgiamo per vostro conto.
- 04
Tenerci informati
Se la rete di esercenti si allarga in modo rilevante, la posizione normativa va rivista prima che diventi un problema.
Dettagli
- Hosting
- UE per impostazione predefinita; altre regioni su richiesta
- Cifratura
- In transito, ovunque
- Controllo degli accessi
- Basato sui ruoli, per tenant, registrato
- Conservazione
- Per programma, configurabile, minimizzata per impostazione predefinita
- Vendita dei dati
- Mai — nessuna pubblicità né condivisione con terzi
- Sub-responsabili
- Indicati nell'accordo sul trattamento dei dati
Domande su questo
Serve una licenza EMI o bancaria?
Non per i casi a circuito chiuso consueti: gift card, conti benefit per i dipendenti, conti degli ospiti in hotel, pagamenti agli eventi. Rientrano nell'esenzione per le reti limitate prevista dalla PSD2 e in quadri analoghi altrove. Quando un programma si avvicina al limite di quell'esenzione — per esempio una rete di esercenti molto ampia — lo diciamo prima che venga costruito, non dopo.
7Konto è conforme al GDPR?
Sì, ed è integrato nella piattaforma anziché aggiunto dopo: minimizzazione dei dati, diritto alla cancellazione, diritto di accesso, portabilità e gestione del consenso. Data center nell'UE come impostazione predefinita, con accordi sul trattamento dei dati disponibili.
Dove sono conservati i dati dei clienti?
In data center nell'UE come impostazione predefinita, il che semplifica il GDPR e riduce la latenza per gli esercenti europei. Altre regioni sono disponibili quando un cliente ne ha bisogno. I dati non vengono mai venduti, condivisi con terzi o usati per la pubblicità.
Come si applica la PSD2 e cosa succede con la PSD3?
I programmi a circuito chiuso operano sotto l'esenzione per le reti limitate della PSD2 e aiutiamo i partner a strutturare le implementazioni per restarvi dentro. Ci si attende che la PSD3 stringa le regole mantenendo però i programmi conformi già esistenti; la seguiamo e avviseremo i partner con ampio anticipo rispetto a qualsiasi cambiamento strutturale.
E il PCI DSS sul flusso online?
Il flusso online non tocca mai i numeri di carta: muove saldo tra conti a circuito chiuso, che è un regime normativo diverso dall'elaborazione delle carte a circuito aperto. Il PCI DSS riguarda i dati delle carte, che restano responsabilità del vostro PSP; 7Konto sta accanto a esso come metodo di pagamento separato.
Fateci la domanda di conformità prima di costruire
Un pilota gratuito di 30 giorni, configurato e seguito dal nostro team.