Bezpieczeństwo
Co trzymamy, gdzie to leży i jakie reguły obowiązują
Platforma w zamkniętym obiegu zajmuje nietypową pozycję regulacyjną: przenosi pieniądze, nie dotykając danych kartowych i nie będąc bankiem. Ta strona mówi wprost, co to znaczy dla ochrony danych, licencji i zakresu Twoich własnych obowiązków.
Updated
Updated
Trzy rzeczy, w których warto być precyzyjnym
Ochrona danych. Zgodność z GDPR jest wbudowana w platformę, a nie doklejona na brzegach: minimalizacja danych, prawo dostępu, prawo do usunięcia, przenoszalność i zarządzanie zgodami, z domyślnymi centrami danych w UE i dostępnymi umowami powierzenia przetwarzania. Dane nigdy nie są sprzedawane, udostępniane stronom trzecim ani używane do reklamy.
Licencje. Programy w zamkniętym obiegu działają w ramach wyłączenia dla ograniczonej sieci w PSD2 i porównywalnych przepisów w innych krajach — dlatego typowe przypadki nie potrzebują licencji EMI. Tam, gdzie program zbliża się do granicy tego wyłączenia — sieć sprzedawców na tyle szeroka, że przestaje być ograniczona — mówimy o tym na etapie projektu, a nie po starcie.
PCI DSS. Proces w zamkniętym obiegu przenosi saldo między kontami w naszej księdze i nigdy nie obsługuje numeru karty. To znaczy, że nie rozszerza Twojego zakresu PCI: dane kartowe pozostają domeną Twojego PSP, a 7Konto stoi obok jako osobna metoda płatności.
- PSD3 prawdopodobnie zaostrzy reguły zamkniętego obiegu, zachowując prawa nabyte dla zgodnych programów; śledzimy to i uprzedzamy partnerów z dużym wyprzedzeniem przed każdą zmianą strukturalną.
- Cała komunikacja jest szyfrowana w transporcie, a dostęp do panelu administracyjnego jest oparty na rolach i logowany.
- Dane sprzedawców i posiadaczy kart należą do Ciebie i do sprzedawcy — my je obsługujemy, nie jesteśmy ich właścicielem.
O co prosimy partnera
- 01
Opisz sieć
Którzy sprzedawcy przyjmują wartość, żeby dało się uczciwie ocenić pozycję ograniczonej sieci.
- 02
Uzgodnij przepływy danych
Co jest wczytywane z Twoich systemów, co zwracamy i co jest przechowywane.
- 03
Podpisz umowę powierzenia
Umowa powierzenia przetwarzania danych obejmująca przetwarzanie, które wykonujemy w Twoim imieniu.
- 04
Informuj nas
Jeśli sieć sprzedawców istotnie się poszerzy, pozycję regulacyjną trzeba przejrzeć, zanim stanie się problemem.
Szczegóły
- Hosting
- Domyślnie UE; inne regiony na życzenie
- Szyfrowanie
- W transporcie, na całej trasie
- Kontrola dostępu
- Oparta na rolach, per najemca, logowana
- Przechowywanie
- Per program, konfigurowalne, domyślnie zminimalizowane
- Sprzedaż danych
- Nigdy — bez reklamy i bez udostępniania stronom trzecim
- Podprzetwarzający
- Ujawnieni w umowie powierzenia przetwarzania danych
Pytania w tej sprawie
Czy potrzebuję licencji EMI albo bankowej?
Nie w typowych przypadkach zamkniętego obiegu: karty podarunkowe, konta benefitów pracowniczych, konta gości hotelowych, płatności na wydarzeniach. Podlegają one wyłączeniu dla ograniczonej sieci w PSD2 i porównywalnym przepisom w innych krajach. Tam, gdzie program zbliża się do granicy tego wyłączenia — na przykład przy bardzo szerokiej sieci sprzedawców — mówimy o tym przed wdrożeniem, a nie po.
Czy 7Konto jest zgodne z GDPR?
Tak, i jest to wbudowane, a nie doklejone: minimalizacja danych, prawo do usunięcia, prawo dostępu, przenoszalność i zarządzanie zgodami. Domyślnie centra danych w UE, z dostępnymi umowami powierzenia przetwarzania danych.
Gdzie przechowywane są dane klientów?
Domyślnie w centrach danych w UE, co upraszcza GDPR i utrzymuje niskie opóźnienia dla europejskich sprzedawców. Inne regiony są dostępne tam, gdzie klient ich potrzebuje. Dane nigdy nie są sprzedawane, udostępniane stronom trzecim ani używane do reklamy.
Jak stosuje się PSD2, a co z PSD3?
Programy w zamkniętym obiegu działają w ramach wyłączenia dla ograniczonej sieci w PSD2, a my pomagamy partnerom tak układać wdrożenia, by w nim pozostać. PSD3 prawdopodobnie zaostrzy przepisy, zachowując prawa nabyte dla istniejących zgodnych programów; śledzimy to i uprzedzimy partnerów z dużym wyprzedzeniem przed każdą zmianą strukturalną.
Co z PCI DSS w procesie online?
Proces online nigdy nie dotyka numerów kart — przenosi saldo między kontami w zamkniętym obiegu, a to inny reżim regulacyjny niż przetwarzanie kart w otwartym obiegu. PCI DSS dotyczy danych kartowych, które pozostają odpowiedzialnością Twojego PSP; 7Konto stoi obok jako osobna metoda płatności.
Zadaj nam pytanie o zgodność, zanim zaczniesz budować
Darmowy 30-dniowy pilotaż, skonfigurowany i wspierany przez nasz zespół.