Updated
三件值得说清楚的事
数据保护。GDPR合规是做进平台里的，不是在外围补的：数据最小化、访问权、删除权、可携带权和同意管理，默认使用欧盟数据中心，并可签署数据处理协议。数据绝不会被出售、提供给第三方或用于广告。
牌照。闭环项目在PSD2的有限网络豁免以及其他地区的类似框架下运行，所以常见场景不需要EMI牌照。如果某个项目接近豁免的边界——比如商户网络宽到不再算有限——我们会在设计阶段就说明，而不是上线之后。
PCI DSS。闭环流程是在我们账本上的账户之间转移余额，从不处理卡号。也就是说，它不会扩大您的PCI范围：卡数据仍归您的PSP负责，7Konto作为一种独立的支付方式在旁边运行。
- PSD3预计会收紧闭环规则，同时对合规的项目给予过渡安排；我们持续跟踪，并会在任何结构性变化之前提前通知合作伙伴。
- 所有通信在传输中加密，管理后台的访问按角色控制并记录日志。
- 商户和持卡人数据属于您和商户——我们只是运营，不拥有。
我们对合作伙伴的要求
- 01
描述网络
哪些商户受理这份价值，这样才能如实评估有限网络的定位。
- 02
确认数据流
从您系统导入什么、我们返回什么、保留什么。
- 03
签署DPA
一份数据处理协议，覆盖我们代表您所做的处理。
- 04
有变化告诉我们
如果商户网络明显变宽，就需要在它成为问题之前重新审视监管定位。
细节
- 托管
- 默认在欧盟；其他地区可按需提供
- 加密
- 全程传输加密
- 访问控制
- 按角色、按租户，并记录日志
- 数据保留
- 按项目配置，默认最小化
- 数据出售
- 绝不——不用于广告，也不提供给第三方
- 子处理方
- 在数据处理协议中披露
对此有疑问
我需要EMI牌照或银行牌照吗？
常见的闭环场景不需要：礼品卡、员工福利账户、酒店客人账户、活动支付。它们适用PSD2中的有限网络豁免，其他地区也有类似框架。如果某个项目接近豁免的边界——比如商户网络非常宽泛——我们会在搭建之前就说明，而不是事后。
7Konto符合GDPR吗？
符合，而且是内建的，不是后加的：数据最小化、删除权、访问权、可携带权和同意管理。默认使用欧盟数据中心，可签署数据处理协议。
客户数据存放在哪里？
默认在欧盟数据中心，这让GDPR合规变得直接，也让欧洲商户的延迟更低。客户有需要时也可以选择其他地区。数据绝不会被出售、提供给第三方或用于广告。
PSD2如何适用？PSD3呢？
闭环项目适用PSD2的有限网络豁免，我们会帮合作伙伴把部署结构安排在豁免范围内。PSD3预计会收紧规则，同时对已经合规的现有项目给予过渡安排；我们持续跟踪，并会在任何结构性变化之前提前通知合作伙伴。
线上流程的PCI DSS怎么算？
线上流程从不接触卡号——它在闭环账户之间转移余额，这与开环卡处理属于不同的监管范畴。PCI DSS针对的是卡数据，那仍然是您的PSP的责任；7Konto作为一种独立的支付方式在旁边运行。