Безопасность
Что мы храним, где это лежит и какие правила применяются
Платформа закрытого контура находится в необычном регуляторном положении: она двигает деньги, не касаясь карточных данных и не будучи банком. Здесь прямо сказано, что это значит для защиты данных, лицензирования и объёма ваших собственных обязанностей.
Updated
Updated
Три вещи, в которых стоит быть точным
Защита данных. Соответствие GDPR встроено в платформу, а не приделано по краям: минимизация данных, право на доступ, право на удаление, переносимость и управление согласиями, с дата-центрами в ЕС по умолчанию и доступными соглашениями об обработке данных. Данные никогда не продаются, не передаются третьим сторонам и не используются для рекламы.
Лицензирование. Программы закрытого контура работают в рамках исключения для ограниченной сети в PSD2 и сопоставимых режимов в других юрисдикциях — поэтому в обычных случаях лицензия EMI не нужна. Если программа подходит к краю этого исключения — сеть мерчантов становится настолько широкой, что перестаёт быть ограниченной, — мы говорим об этом на этапе проектирования, а не после запуска.
PCI DSS. Поток закрытого контура двигает баланс между счетами в нашем реестре и никогда не работает с номером карты. Значит, он не расширяет вашу зону PCI: карточные данные остаются вотчиной вашего PSP, а 7Konto стоит рядом как отдельный способ оплаты.
- Ожидается, что PSD3 ужесточит правила закрытого контура, сохранив при этом действующие соответствующие программы; мы следим за этим и предупреждаем партнёров задолго до любых структурных изменений.
- Весь обмен шифруется при передаче, а доступ в админ-панель ролевой и журналируется.
- Данные мерчанта и держателя карты принадлежат вам и мерчанту — мы их обслуживаем, но не владеем ими.
Что мы просим от партнёра
- 01
Опишите сеть
Какие мерчанты принимают эти средства, чтобы честно оценить положение с ограниченной сетью.
- 02
Согласуйте потоки данных
Что загружается из ваших систем, что мы возвращаем и что хранится.
- 03
Подпишите DPA
Соглашение об обработке данных, покрывающее обработку, которую мы ведём от вашего имени.
- 04
Держите нас в курсе
Если сеть мерчантов существенно расширяется, регуляторное положение нужно пересмотреть до того, как это станет проблемой.
Подробности
- Хостинг
- ЕС по умолчанию; другие регионы по запросу
- Шифрование
- При передаче, на всём пути
- Контроль доступа
- Ролевой, по арендаторам, с журналированием
- Хранение
- По программе, настраиваемое, по умолчанию минимальное
- Продажа данных
- Никогда — ни рекламы, ни передачи третьим сторонам
- Субобработчики
- Раскрываются в соглашении об обработке данных
Вопросы по теме
Нужна ли лицензия EMI или банковская?
Для обычных сценариев закрытого контура — нет: подарочные карты, счета для льгот сотрудникам, гостевые счета в отелях, платежи на мероприятиях. Они подпадают под исключение для ограниченной сети в PSD2 и сопоставимых режимах в других странах. Если программа подходит к границе этого исключения — например, при очень широкой сети мерчантов, — мы говорим об этом до запуска, а не после.
Соответствует ли 7Konto GDPR?
Да, и это заложено в основу, а не добавлено сверху: минимизация данных, право на удаление, право на доступ, переносимость и управление согласиями. По умолчанию — дата-центры в ЕС, доступны соглашения об обработке данных.
Где хранятся данные клиентов?
По умолчанию в дата-центрах ЕС — так проще с GDPR и ниже задержки для европейских мерчантов. Другие регионы доступны, если они нужны клиенту. Данные никогда не продаются, не передаются третьим лицам и не используются для рекламы.
Как применяется PSD2 и что будет с PSD3?
Программы закрытого контура работают в рамках исключения для ограниченной сети в PSD2, и мы помогаем партнёрам выстраивать внедрения так, чтобы оставаться внутри него. Ожидается, что PSD3 ужесточит правила, сохранив действующие соответствующие программы; мы следим за этим и предупредим партнёров заблаговременно до любых структурных изменений.
Что с PCI DSS в онлайн-сценарии?
Онлайн-сценарий вообще не касается номеров карт — он перемещает баланс между счетами закрытого контура, а это другой регуляторный режим, чем обработка карт в открытом контуре. PCI DSS относится к карточным данным и остаётся зоной ответственности вашего PSP; 7Konto стоит рядом как отдельный способ оплаты.
Задайте нам вопрос по комплаенсу до того, как начнёте строить
Бесплатный 30-дневный пилот: настройка и поддержка от нашей команды.