Datenschutz und Privatsphäre

Tapaya ist darauf ausgelegt, Zahlungsdaten und personenbezogene Daten sicher zu halten und gleichzeitig Ihre Compliance-Pflichten zu verringern. Dieser Abschnitt beschreibt, wie Tapaya Karteninhaberdaten und personenbezogene Daten im Einklang mit PCI DSS und der DSGVO verarbeitet und was Sie bei der Nutzung von Tapaya tun müssen.

Sicherheit der Karteninhaberdaten

Tapaya setzt die Standards der Zahlungskartenbranche (PCI DSS und PA‑DSS) für die Sicherheit von Zahlungsdaten um und hält sie dauerhaft ein. Wenn Entwickler und Händler die Produkte von Tapaya so nutzen, wie sie bereitgestellt werden, können sie nahezu die gesamte regulatorische und technische Komplexität rund um Karteninhaberdaten an Tapaya abgeben.

Die Produkte von Tapaya sind so konzipiert, dass sämtliche Zahlungskartendaten ausschließlich von der PCI-validierten Infrastruktur und den Zahlungsmodulen von Tapaya erhoben, übertragen und gespeichert werden. Durch diese Architektur bleiben Händler und Entwickler beim Umgang mit Karteninhaberdaten außerhalb des Geltungsbereichs von PCI DSS und PA‑DSS, da Ihre Systeme vollständige Kartennummern, CVV/CVC oder andere sensible Authentifizierungsdaten nie sehen oder speichern.

Lösungen, die das Tapaya Accept SDK für die Zahlungsannahme vor Ort integrieren, benötigen bei Nutzung der Standard-Integrationswege keine zusätzliche PCI-Compliance-Validierung für Karteninhaberdaten.

Bei Online-Zahlungen stellt Tapaya die Kartenfelder bereit, sowohl auf der gehosteten Checkout-Seite als auch in der eingebetteten Kartenkomponente, sodass Kartendaten direkt an Tapaya gehen und nicht über Ihre Server. Welche PCI-Validierung für Ihre Online-Integration gilt, entscheidet Ihr Acquirer oder Zahlungspartner.

Wenn Ihr Zahlungsvolumen steigt, kann Ihr Acquirer oder Zahlungspartner von Ihnen verlangen, einen PCI-Selbstbewertungsfragebogen (SAQ) auszufüllen. Tapaya unterstützt Sie dabei und hilft Ihnen beim Ausfüllen Ihres PCI-Validierungsformulars, wobei berücksichtigt wird, dass Tapaya für das PCI-konforme Speichern, Verarbeiten und Übertragen von Karteninhaberdaten verantwortlich ist.

Sicherheit personenbezogener Daten

Die Datenschutz-Grundverordnung (DSGVO) ist das Datenschutzgesetz der EU. Sie legt strenge Regeln dafür fest, wie Organisationen personenbezogene Daten von Personen in der EU und im EWR erheben, verwenden, speichern und weitergeben. Weitere Informationen zur DSGVO finden Sie im offiziellen Verordnungstext, entweder in einer Übersicht oder im konsolidierten Rechtstext.

Tapaya gestaltet seine Produkte und Prozesse DSGVO-konform, einschließlich Grundsätzen wie Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Datenminimierung und Sicherheit, sodass sich Entwickler darauf verlassen können, dass Tapaya zahlungsbezogene personenbezogene Daten konform verarbeitet. Bitte lesen Sie unsere Datenschutzerklärung.

Wenn Sie das Onboarding von Händlern über Ihre eigene Oberfläche abwickeln und deren Daten über die API übermitteln, müssen Sie die Zustimmung des Händlers zu den Tapaya Integrators Terms and Conditions und der Tapaya-Datenschutzerklärung einholen. Sie können Ihrem Onboarding-Formular ein Kontrollkästchen hinzufügen, das auf beide Dokumente verweist, oder aus dem Text der Bedingungen, denen der Händler zustimmt, auf die Tapaya-Dokumente verlinken.

Außerdem müssen Sie Tapaya in Ihrer eigenen Datenschutzerklärung als Auftragsverarbeiter benennen.

Was müssen Sie tun?

Wenn Sie die offiziellen Tapaya-SDKs und gehosteten Komponenten verwenden und sich an den Implementierungsleitfaden halten, kommen Sie nicht mit Karteninhaberdaten im Rohformat in Berührung und benötigen keine eigene PCI-validierte Zahlungsanwendung. Sie dürfen nicht versuchen, Kartennummern, CVV/CVC, PINs oder vollständige Spurdaten außerhalb der Komponenten von Tapaya abzufangen, zu speichern oder zu protokollieren.

Bei der Zahlungsannahme vor Ort ermöglicht Tapaya die Zahlungsannahme auf mobilen Geräten. Diese sind naturgemäß stärker Malware, Diebstahl und Manipulation ausgesetzt. Es ist unerlässlich, dass die gesamte Geräteumgebung, in der Tapaya Accept läuft, sicher ist und gemäß den Anforderungen zur Gerätesicherheit verwaltet wird.

Sie sollten:

• Tapaya nur über die dokumentierten Methoden integrieren und keine eigenen Abläufe verwenden, die diese Kontrollen umgehen.
• Für eine angemessene Sicherheit Ihrer eigenen mobilen App, Geräte und Konten sorgen (zum Beispiel Zugriffskontrolle, Patches und Schutz vor Malware).
• Eigene Datenschutzhinweise für Händler gemäß der DSGVO oder gleichwertigen Gesetzen bereitstellen und durchsetzen.
• Bei API-basiertem Händler-Onboarding die Zustimmung des Händlers zu den Tapaya Integrators Terms and Conditions und der Tapaya-Datenschutzerklärung einholen.
• Tapaya in Ihrer eigenen Datenschutzerklärung als Auftragsverarbeiter aufführen.