Segurança
O que guardamos, onde está e que regras se aplicam
Uma plataforma de circuito fechado está numa posição regulatória invulgar: move dinheiro sem tocar em dados de cartão e sem ser um banco. Esta página diz com clareza o que isso significa para a proteção de dados, para o licenciamento e para o âmbito das suas próprias obrigações.
Updated
Updated
Três coisas que vale a pena dizer com precisão
Proteção de dados. A conformidade com o GDPR está incorporada na plataforma e não acrescentada nas margens: minimização de dados, direito de acesso, direito ao apagamento, portabilidade e gestão de consentimentos, com centros de dados na UE por predefinição e acordos de tratamento de dados disponíveis. Os dados nunca são vendidos, partilhados com terceiros ou usados para publicidade.
Licenciamento. Os programas de circuito fechado funcionam ao abrigo da isenção de rede limitada da PSD2 e de regimes equivalentes noutros países, razão pela qual os casos correntes não precisam de licença de EMI. Quando um programa se aproxima do limite dessa isenção — uma rede de comerciantes suficientemente ampla para deixar de ser limitada — dizemo-lo durante o desenho e não depois do lançamento.
PCI DSS. O fluxo de circuito fechado move saldo entre contas no nosso ledger e nunca lida com um número de cartão. Isso significa que não alarga o seu âmbito de PCI DSS: os dados de cartão continuam a ser domínio do seu PSP, e o 7Konto fica ao lado, como um método de pagamento separado.
- Espera-se que a PSD3 aperte as regras do circuito fechado, salvaguardando os programas conformes; acompanhamos o processo e avisamos os parceiros com bastante antecedência de qualquer mudança estrutural.
- Toda a comunicação é cifrada em trânsito, e o acesso ao painel de administração é baseado em papéis e registado.
- Os dados dos comerciantes e dos titulares de cartão pertencem-lhe a si e ao comerciante — nós operamo-los, não somos donos deles.
O que pedimos a um parceiro
- 01
Descreva a rede
Que comerciantes aceitam o valor, para que a posição de rede limitada possa ser avaliada com honestidade.
- 02
Acorde os fluxos de dados
O que é carregado dos seus sistemas, o que devolvemos e o que é conservado.
- 03
Assine o DPA
Um acordo de tratamento de dados que cubra o tratamento que fazemos em seu nome.
- 04
Mantenha-nos informados
Se a rede de comerciantes se alargar de forma significativa, a posição regulatória tem de ser revista antes de se tornar um problema.
Detalhes
- Alojamento
- UE por predefinição; outras regiões a pedido
- Cifragem
- Em trânsito, sempre
- Controlo de acesso
- Baseado em papéis, por entidade, registado
- Conservação
- Por programa, configurável, minimizada por predefinição
- Venda de dados
- Nunca — sem publicidade nem partilha com terceiros
- Subcontratantes
- Divulgados no acordo de tratamento de dados
Dúvidas sobre isto
Preciso de uma licença de EMI ou bancária?
Não, nos casos habituais de circuito fechado: cartões-presente, contas de benefícios para colaboradores, contas de hóspedes de hotel, pagamentos em eventos. Enquadram-se na isenção de rede limitada da PSD2 e em regimes equivalentes noutros países. Quando um programa se aproxima do limite dessa isenção — uma rede de comerciantes muito ampla, por exemplo — dizemo-lo antes de ser construído, não depois.
O 7Konto está em conformidade com o GDPR?
Sim, e foi construído assim de raiz, não acrescentado depois: minimização de dados, direito ao apagamento, direito de acesso, portabilidade e gestão de consentimentos. Centros de dados na UE por predefinição, com acordos de tratamento de dados disponíveis.
Onde são armazenados os dados dos clientes?
Em centros de dados na UE por predefinição, o que simplifica o GDPR e mantém a latência baixa para os comerciantes europeus. Há outras regiões disponíveis quando um cliente delas precisa. Os dados nunca são vendidos, partilhados com terceiros ou usados para publicidade.
Como se aplica a PSD2 e o que acontece com a PSD3?
Os programas de circuito fechado funcionam ao abrigo da isenção de rede limitada da PSD2, e ajudamos os parceiros a estruturar as implementações para permanecerem dentro dela. Espera-se que a PSD3 aperte as regras, salvaguardando os programas conformes já existentes; acompanhamos o processo e avisaremos os parceiros com bastante antecedência de qualquer mudança estrutural.
E o PCI DSS no fluxo online?
O fluxo online nunca toca em números de cartão — move saldo entre contas de circuito fechado, o que é um regime regulatório diferente do processamento de cartões em circuito aberto. O PCI DSS aplica-se aos dados de cartão, que continuam a ser responsabilidade do seu PSP; o 7Konto fica ao lado, como um método de pagamento separado.
Faça-nos a pergunta de conformidade antes de construir
Um piloto gratuito de 30 dias, configurado e acompanhado pela nossa equipa.