Beveiliging
Wat we bewaren, waar het staat, en welke regels gelden
Een closed-loop platform zit in een ongebruikelijke regelgevende positie: het verplaatst geld zonder kaartgegevens aan te raken en zonder een bank te zijn. Deze pagina zegt onomwonden wat dat betekent voor gegevensbescherming, vergunningen en de reikwijdte van uw eigen verplichtingen.
Updated
Updated
Drie dingen die precisie verdienen
Gegevensbescherming. Naleving van de GDPR zit in het platform ingebouwd in plaats van er aan de randen bij gezet: dataminimalisatie, recht op inzage, recht op verwijdering, dataportabiliteit en toestemmingsbeheer, met standaard datacenters in de EU en verwerkersovereenkomsten beschikbaar. Gegevens worden nooit verkocht, met derden gedeeld of voor advertenties gebruikt.
Vergunningen. Closed-loop programma's draaien onder de uitzondering voor beperkte netwerken in PSD2 en vergelijkbare kaders elders, en daarom hebben de gebruikelijke gevallen geen EMI-vergunning nodig. Komt een programma dicht bij de grens van die uitzondering — een merchantnetwerk dat breed genoeg is om niet langer beperkt te zijn — dan zeggen we dat tijdens het ontwerp en niet na de lancering.
PCI DSS. De closed-loop flow verplaatst saldo tussen accounts in ons grootboek en verwerkt nooit een kaartnummer. Dat betekent dat hij uw PCI-scope niet vergroot: kaartgegevens blijven het domein van uw PSP, en 7Konto staat ernaast als afzonderlijke betaalmethode.
- Naar verwachting scherpt PSD3 de closed-loop regels aan en worden conforme programma's ontzien; wij volgen dat en informeren partners ruim voor een structurele wijziging.
- Alle communicatie is versleuteld tijdens het transport, en de toegang tot het beheerpaneel is rolgebaseerd en wordt gelogd.
- Data van merchants en kaarthouders zijn van u en de merchant — wij beheren ze, wij bezitten ze niet.
Wat we van een partner vragen
- 01
Beschrijf het netwerk
Welke merchants de waarde accepteren, zodat de positie als beperkt netwerk eerlijk kan worden beoordeeld.
- 02
Spreek de datastromen af
Wat er uit uw systemen wordt geladen, wat wij teruggeven, en wat er wordt bewaard.
- 03
Teken de verwerkersovereenkomst
Een verwerkersovereenkomst die de verwerking dekt die wij namens u doen.
- 04
Houd ons op de hoogte
Als het merchantnetwerk wezenlijk breder wordt, moet de regelgevende positie opnieuw worden bekeken voordat het een probleem is.
Details
- Hosting
- Standaard de EU; andere regio's op verzoek
- Versleuteling
- Tijdens transport, overal
- Toegangsbeheer
- Rolgebaseerd, per tenant, gelogd
- Bewaartermijn
- Per programma, instelbaar, standaard geminimaliseerd
- Verkoop van data
- Nooit — geen advertenties en geen delen met derden
- Subverwerkers
- Vermeld in de verwerkersovereenkomst
Vragen hierover
Heb ik een EMI- of bankvergunning nodig?
Niet voor de gebruikelijke closed-loop gevallen: cadeaukaarten, werknemersbudgetten, gastrekeningen in hotels, betalingen op evenementen. Die vallen onder de uitzondering voor beperkte netwerken in PSD2 en vergelijkbare kaders elders. Komt een programma dicht bij de grens van die uitzondering — bijvoorbeeld een heel breed merchantnetwerk — dan zeggen we dat vóór de bouw, niet erna.
Voldoet 7Konto aan de GDPR?
Ja, en het zit ingebouwd in plaats van er achteraf op geplakt: dataminimalisatie, recht op verwijdering, recht op inzage, dataportabiliteit en toestemmingsbeheer. Standaard datacenters in de EU, met verwerkersovereenkomsten beschikbaar.
Waar worden klantgegevens opgeslagen?
Standaard in datacenters in de EU, wat de GDPR eenvoudig houdt en de latentie laag voor Europese merchants. Andere regio's zijn beschikbaar wanneer een klant die nodig heeft. Gegevens worden nooit verkocht, met derden gedeeld of voor advertenties gebruikt.
Hoe is PSD2 van toepassing, en hoe zit het met PSD3?
Closed-loop programma's vallen onder de uitzondering voor beperkte netwerken in PSD2, en we helpen partners hun implementatie zo in te richten dat die daarbinnen blijft. Naar verwachting scherpt PSD3 de regels aan en worden bestaande, conforme programma's ontzien; wij volgen dat en informeren partners ruim voor een structurele wijziging.
Hoe zit het met PCI DSS bij de online flow?
De online flow raakt nooit kaartnummers aan — er wordt saldo verplaatst tussen closed-loop accounts, en dat is een ander regelgevend regime dan open-loop kaartverwerking. PCI DSS geldt voor kaartgegevens en blijft de verantwoordelijkheid van uw PSP; 7Konto staat ernaast als afzonderlijke betaalmethode.
Stel ons de compliancevraag voordat u bouwt
Een gratis pilot van 30 dagen, ingericht en ondersteund door ons team.