何を保持し、どこに置き、どの規則が適用されるか

一般的なクローズドループの用途 — ギフトカード、従業員福利厚生アカウント、ホテルの宿泊者アカウント、イベント決済 — では必要ありません。これらはPSD2の限定ネットワーク適用除外や、各国の同等の枠組みに該当します。加盟店ネットワークが非常に広いなど、プログラムがその適用除外の境界に近づく場合は、構築後ではなく構築前にその旨をお伝えします。

• セキュリティとコンプライアンス

はい。後付けではなく設計に組み込まれています。データ最小化、削除権、アクセス権、ポータビリティ、同意管理に対応します。データセンターは標準でEU内にあり、データ処理契約も締結できます。

標準ではEU内のデータセンターです。これによりGDPR対応が簡潔になり、欧州の加盟店にとってレイテンシも低く抑えられます。必要に応じて他の地域も利用できます。データを販売したり、第三者と共有したり、広告に利用したりすることはありません。

クローズドループのプログラムはPSD2の限定ネットワーク適用除外のもとで運用され、当社はその範囲内に収まる設計をパートナーとともに行います。PSD3は規則を厳格化しつつ、既存の適法なプログラムには経過措置を設ける見込みです。動向を追い、構造的な変更が必要になる場合は十分な余裕をもってパートナーにお知らせします。

オンラインのフローはカード番号に一切触れません。クローズドループのアカウント間で残高を動かすもので、オープンループのカード処理とは規制上の位置づけが異なります。PCI DSSはカードデータに適用され、その責任は引き続きPSPにあります。7Kontoはその隣に、独立した決済手段として並びます。