Захист даних і конфіденційність

Tapaya створено так, щоб захищати платіжні та персональні дані й водночас зменшувати ваші обов'язки щодо відповідності вимогам. У цьому розділі описано, як Tapaya обробляє дані власників карток і персональні дані відповідно до PCI DSS та GDPR, а також що потрібно робити вам під час використання Tapaya.

Безпека даних власників карток

Tapaya впроваджує та підтримує відповідність стандартам індустрії платіжних карток (PCI DSS і PA‑DSS) щодо безпеки платіжних даних. Використовуючи продукти Tapaya в тому вигляді, в якому вони надаються, розробники та мерчанти можуть перекласти на Tapaya майже всю регуляторну й технічну складність, пов'язану з даними власників карток.

Продукти Tapaya побудовано так, що всі дані платіжних карток збирають, передають і зберігають лише інфраструктура та платіжні модулі Tapaya, валідовані за PCI. Завдяки такій архітектурі мерчанти й розробники залишаються поза сферою дії PCI DSS і PA‑DSS щодо обробки даних власників карток, адже ваші системи ніколи не бачать і не зберігають повні номери карток, CVV/CVC чи інші чутливі автентифікаційні дані.

Рішенням, які інтегрують Tapaya Accept SDK для прийому платежів у торговій точці, не потрібна додаткова валідація відповідності PCI щодо даних власників карток, якщо вони використовують стандартні способи інтеграції.

Для онлайн-платежів Tapaya розміщує поля картки як на хостованій сторінці Checkout, так і у вбудованому компоненті картки, тож дані картки надходять безпосередньо до Tapaya, а не через ваші сервери. Яка валідація PCI застосовується до вашої онлайн-інтеграції, вирішує ваш еквайр або платіжний партнер.

Зі зростанням обсягу ваших платежів еквайр або платіжний партнер може попросити вас заповнити анкету самооцінки PCI (SAQ). Tapaya підтримує вас у цьому процесі та допомагає заповнити форму валідації PCI, у якій відображено, що Tapaya відповідає за зберігання, обробку та передавання даних власників карток відповідно до вимог PCI.

Безпека персональних даних

Загальний регламент захисту даних (GDPR) є законом ЄС про захист даних, який встановлює суворі правила щодо того, як організації збирають, використовують, зберігають і поширюють персональні дані фізичних осіб у ЄС та ЄЕЗ. Докладніше про GDPR можна дізнатися з офіційного тексту регламенту: з огляду або з консолідованого юридичного тексту.

Tapaya розробляє свої продукти та процеси відповідно до GDPR, зокрема до таких принципів, як законність, справедливість, прозорість, мінімізація даних і безпека, тож розробники можуть покладатися на те, що Tapaya обробляє персональні дані, пов'язані з платежами, відповідно до вимог. Ознайомтеся з нашою Політикою конфіденційності.

Якщо ви проводите онбординг мерчантів через власний інтерфейс і надсилаєте їхні дані через API, ви повинні отримати згоду мерчанта з Умовами та положеннями Tapaya для інтеграторів і Політикою конфіденційності Tapaya. Ви можете додати до форми онбордингу прапорець із посиланнями на обидва документи або послатися на документи Tapaya в тексті умов, з якими погоджується мерчант.

Ви також повинні зазначити Tapaya як обробника даних у власній політиці конфіденційності.

Що потрібно зробити вам?

Якщо ви використовуєте офіційні SDK і хостовані компоненти Tapaya та дотримуєтеся посібника з впровадження, ви не працюєте з необробленими даними власників карток і вам не потрібен власний платіжний застосунок, валідований за PCI. Ви не повинні намагатися перехоплювати, зберігати чи записувати в журнали номери карток, CVV/CVC, PIN-коди або повні дані магнітної доріжки поза компонентами Tapaya.

У межах прийому платежів у торговій точці Tapaya дає змогу приймати платежі на мобільних пристроях. Такі пристрої за своєю природою вразливіші до шкідливого ПЗ, крадіжок і несанкціонованого втручання. Дуже важливо, щоб усе середовище пристрою, у якому працює Tapaya Accept, було захищеним і керувалося відповідно до вимог щодо безпеки пристрою.

Вам слід:

• Інтегрувати Tapaya лише задокументованими способами й уникати власних сценаріїв, що обходять ці засоби контролю.
• Підтримувати належний рівень безпеки власного мобільного застосунку, пристроїв і облікових записів (наприклад, контроль доступу, встановлення оновлень безпеки та захист від шкідливого ПЗ).
• Надавати та забезпечувати дотримання власних повідомлень про конфіденційність для мерчантів відповідно до GDPR або аналогічного законодавства.
• Якщо ви використовуєте онбординг мерчантів через API, отримувати згоду мерчанта з Умовами та положеннями Tapaya для інтеграторів і Політикою конфіденційності Tapaya.
• Зазначити Tapaya як обробника даних у власній політиці конфіденційності.