Updated
三件值得說清楚的事
資料保護。GDPR的遵循是內建在平台裡，而不是在邊緣加上去的：資料最小化、查閱權、刪除權、可攜權與同意管理，預設使用歐盟資料中心，並可簽署資料處理協議。資料絕不販售、不分享給第三方，也不用於廣告。
執照。封閉式計畫在PSD2的有限網路豁免以及其他地區類似規範下運作，這正是一般情況不需要EMI執照的原因。如果某個計畫接近豁免的邊界——商家網路廣到不再算「有限」——我們會在設計階段就說明，而不是上線之後。
PCI DSS。封閉式流程是在我們帳本上的帳戶之間移動餘額，從不處理卡號。這代表它不會擴大您的PCI適用範圍：卡片資料仍屬於您的PSP的範疇，而7Konto只是並存於旁的另一種付款方式。
- PSD3預期會收緊封閉式規則，但讓合規計畫得以延續；我們持續追蹤，並會在任何結構性變動之前充分通知夥伴。
- 所有通訊在傳輸過程中都經過加密，管理後台的存取採角色權限並留有紀錄。
- 商家與持卡人資料屬於您和商家——我們只負責營運，並不擁有它。
我們對夥伴的要求
- 01
說明網路範圍
哪些商家接受這筆價值，以便誠實評估有限網路的立場。
- 02
確認資料流
從您的系統載入什麼、我們回傳什麼，以及保留什麼。
- 03
簽署DPA
一份涵蓋我們代您處理事項的資料處理協議。
- 04
隨時告知我們
如果商家網路明顯擴大，法規立場必須在它變成問題之前重新檢視。
細節
- 主機位置
- 預設歐盟；其他地區可依需求提供
- 加密
- 傳輸過程全程加密
- 存取控管
- 角色權限、依租戶區隔、留有紀錄
- 保存期限
- 依計畫設定，可調整，預設最小化
- 資料販售
- 絕不——不做廣告，也不分享給第三方
- 次處理者
- 在資料處理協議中揭露
對此有疑問
我需要EMI或銀行執照嗎？
一般的封閉式應用不需要：禮物卡、員工福利帳戶、旅館住客帳戶、活動支付。這些落在PSD2的有限網路豁免範圍內，其他地區也有類似規範。如果某個計畫接近豁免的邊界——例如商家網路過於廣泛——我們會在建置之前就說明，而不是事後才講。
7Konto符合GDPR嗎？
符合，而且是內建而非事後加上的：資料最小化、刪除權、查閱權、可攜權與同意管理。預設使用歐盟資料中心，並可簽署資料處理協議。
顧客資料儲存在哪裡？
預設在歐盟資料中心，這讓GDPR的處理變得單純，也讓歐洲商家的延遲維持在低點。客戶有需要時也可以使用其他地區。資料絕不販售、不分享給第三方，也不用於廣告。
PSD2如何適用？PSD3又如何？
封閉式計畫適用PSD2的有限網路豁免，我們會協助夥伴把部署設計在豁免範圍內。PSD3預期會收緊規則，但對既有的合規計畫給予過渡安排；我們持續追蹤，並會在任何結構性變動之前充分通知夥伴。
線上流程的PCI DSS怎麼處理？
線上流程完全不接觸卡號——它移動的是封閉式帳戶之間的餘額，與開放式卡片處理屬於不同的法規範疇。PCI DSS規範的是卡片資料，那仍是您的PSP的責任；7Konto只是並存於旁的另一種付款方式。