Protection des données et confidentialité

Tapaya est conçu pour sécuriser les données de paiement et les données personnelles tout en réduisant vos obligations de conformité. Cette section explique comment Tapaya traite les données du titulaire de la carte et les données personnelles conformément à PCI DSS et au RGPD, et ce que vous devez faire lorsque vous utilisez Tapaya.

Sécurité des données du titulaire de la carte

Tapaya met en œuvre et maintient la conformité aux normes de l’industrie des cartes de paiement (PCI DSS et PA‑DSS) pour la sécurité des données de paiement. En utilisant les produits Tapaya tels qu’ils sont fournis, les développeurs et les commerçants peuvent confier à Tapaya la quasi-totalité de la complexité réglementaire et technique liée aux données du titulaire de la carte.

Les produits Tapaya sont conçus pour que toutes les données des cartes de paiement soient collectées, transmises et stockées uniquement par l’infrastructure et les modules de paiement de Tapaya validés PCI. Cette architecture maintient les commerçants et les développeurs hors du périmètre PCI DSS et PA‑DSS pour le traitement des données du titulaire de la carte, car vos systèmes ne voient ni ne stockent jamais les numéros de carte complets, le CVV/CVC ou d’autres données d’authentification sensibles.

Les solutions qui intègrent le Tapaya Accept SDK pour l’acceptation des paiements en magasin n’ont pas besoin de validation de conformité PCI supplémentaire pour les données du titulaire de la carte lorsqu’elles utilisent les méthodes d’intégration standard.

Pour les paiements en ligne, Tapaya héberge les champs de carte, aussi bien sur la page du Hosted Checkout que dans le composant de carte intégré, de sorte que les données de carte sont transmises directement à Tapaya plutôt que de transiter par vos serveurs. C’est votre acquéreur ou votre partenaire de paiement qui détermine quelle validation PCI s’applique à votre intégration en ligne.

À mesure que votre volume de paiements augmente, votre acquéreur ou votre partenaire de paiement peut vous demander de remplir un questionnaire d’auto-évaluation PCI (SAQ). Tapaya vous accompagne dans cette démarche et vous aide à remplir votre formulaire de validation PCI, en indiquant que Tapaya est responsable du stockage, du traitement et de la transmission des données du titulaire de la carte de manière conforme à PCI.

Sécurité des données personnelles

Le Règlement général sur la protection des données (RGPD) est la loi de l’UE sur la protection des données. Il fixe des règles strictes sur la manière dont les organisations collectent, utilisent, stockent et partagent les données personnelles des personnes dans l’UE et l’EEE. Pour plus de détails sur le RGPD, vous pouvez consulter le texte officiel du règlement via une présentation ou le texte juridique consolidé.

Tapaya conçoit ses produits et processus pour être conformes au RGPD, notamment aux principes de licéité, de loyauté, de transparence, de minimisation des données et de sécurité, afin que les développeurs puissent compter sur Tapaya pour traiter de manière conforme les données personnelles liées aux paiements. Consultez notre Politique de confidentialité.

Si vous effectuez l’onboarding des commerçants via votre propre interface et soumettez leurs informations via l’API, vous devez obtenir le consentement du commerçant aux Conditions générales de Tapaya pour les intégrateurs et à la Politique de confidentialité de Tapaya. Vous pouvez ajouter à votre formulaire d’onboarding une case à cocher renvoyant vers les deux documents, ou faire référence aux documents de Tapaya dans le texte des conditions auxquelles le commerçant consent.

Vous devez également mentionner Tapaya comme sous-traitant des données dans votre propre politique de confidentialité.

Que devez-vous faire ?

Lorsque vous utilisez les SDK officiels et les composants hébergés de Tapaya et suivez le guide d’implémentation, vous ne manipulez pas de données brutes du titulaire de la carte et n’avez pas besoin de votre propre application de paiement validée PCI. Vous ne devez pas tenter d’intercepter, de stocker ou de journaliser les numéros de carte, CVV/CVC, codes PIN ou données de piste complètes en dehors des composants de Tapaya.

Pour l’acceptation des paiements en magasin, Tapaya permet d’accepter des paiements sur des appareils mobiles. Ceux-ci sont par nature plus exposés aux malwares, au vol et aux manipulations. Il est essentiel que l’ensemble de l’environnement de l’appareil sur lequel Tapaya Accept s’exécute soit sécurisé et géré conformément aux exigences de sécurité de l’appareil.

Vous devriez :

• Intégrer Tapaya uniquement par les méthodes documentées et éviter les parcours personnalisés qui contournent ces contrôles.
• Maintenir un niveau de sécurité raisonnable pour votre propre application mobile, vos appareils et vos comptes (par exemple contrôle d’accès, application des correctifs et protection contre les malwares).
• Fournir et appliquer vos propres mentions d’information sur la confidentialité à destination des commerçants, conformément au RGPD ou à des lois équivalentes.
• Si vous utilisez l’onboarding des commerçants via l’API, obtenir le consentement du commerçant aux Conditions générales de Tapaya pour les intégrateurs et à la Politique de confidentialité de Tapaya.
• Mentionner Tapaya comme sous-traitant des données dans votre propre politique de confidentialité.