# Захист даних і конфіденційність (/uk/compliance/data_protection_and_privacy)



Tapaya створено так, щоб захищати платіжні та персональні дані й водночас зменшувати ваші обов'язки щодо відповідності вимогам. У цьому розділі описано, як Tapaya обробляє дані власників карток і персональні дані відповідно до PCI DSS та GDPR, а також що потрібно робити вам під час використання Tapaya.

## Безпека даних власників карток [#cardholder-data-security]

Tapaya впроваджує та підтримує відповідність стандартам індустрії платіжних карток (PCI DSS і PA‑DSS) щодо безпеки платіжних даних. Використовуючи продукти Tapaya в тому вигляді, в якому вони надаються, розробники та мерчанти можуть перекласти на Tapaya майже всю регуляторну й технічну складність, пов'язану з даними власників карток.

Продукти Tapaya побудовано так, що всі дані платіжних карток збирають, передають і зберігають лише інфраструктура та платіжні модулі Tapaya, валідовані за PCI. Завдяки такій архітектурі мерчанти й розробники залишаються поза сферою дії PCI DSS і PA‑DSS щодо обробки даних власників карток, адже ваші системи ніколи не бачать і не зберігають повні номери карток, CVV/CVC чи інші чутливі автентифікаційні дані.

Рішенням, які інтегрують Tapaya Accept SDK для прийому платежів у торговій точці, не потрібна додаткова валідація відповідності PCI щодо даних власників карток, якщо вони використовують стандартні способи інтеграції.

Для онлайн-платежів Tapaya розміщує поля картки як на хостованій сторінці Checkout, так і у вбудованому компоненті картки, тож дані картки надходять безпосередньо до Tapaya, а не через ваші сервери. Яка валідація PCI застосовується до вашої онлайн-інтеграції, вирішує ваш еквайр або платіжний партнер.

Зі зростанням обсягу ваших платежів еквайр або платіжний партнер може попросити вас заповнити [анкету самооцінки PCI (SAQ)](https://listings.pcisecuritystandards.org/pci_security/completing_self_assessment). Tapaya підтримує вас у цьому процесі та допомагає заповнити форму валідації PCI, у якій відображено, що Tapaya відповідає за зберігання, обробку та передавання даних власників карток відповідно до вимог PCI.

## Безпека персональних даних [#personal-data-security]

Загальний регламент захисту даних (GDPR) є законом ЄС про захист даних, який встановлює суворі правила щодо того, як організації збирають, використовують, зберігають і поширюють персональні дані фізичних осіб у ЄС та ЄЕЗ. Докладніше про GDPR можна дізнатися з офіційного тексту регламенту: з [огляду](https://gdpr.eu) або з [консолідованого юридичного тексту](https://gdpr-info.eu).

Tapaya розробляє свої продукти та процеси відповідно до GDPR, зокрема до таких принципів, як законність, справедливість, прозорість, мінімізація даних і безпека, тож розробники можуть покладатися на те, що Tapaya обробляє персональні дані, пов'язані з платежами, відповідно до вимог. Ознайомтеся з нашою [Політикою конфіденційності](https://tapaya.com/privacy).

Якщо ви проводите онбординг мерчантів через власний інтерфейс і надсилаєте їхні дані через API, ви повинні отримати згоду мерчанта з [Умовами та положеннями Tapaya для інтеграторів](https://tapaya.com/terms) і [Політикою конфіденційності Tapaya](https://tapaya.com/privacy). Ви можете додати до форми онбордингу прапорець із посиланнями на обидва документи або послатися на документи Tapaya в тексті умов, з якими погоджується мерчант.

Ви також повинні зазначити Tapaya як обробника даних у власній політиці конфіденційності.

## Що потрібно зробити вам? [#what-do-you-need-to-do]

Якщо ви використовуєте офіційні SDK і хостовані компоненти Tapaya та дотримуєтеся посібника з впровадження, ви не працюєте з необробленими даними власників карток і вам не потрібен власний платіжний застосунок, валідований за PCI. Ви не повинні намагатися перехоплювати, зберігати чи записувати в журнали номери карток, CVV/CVC, PIN-коди або повні дані магнітної доріжки поза компонентами Tapaya.

У межах прийому платежів у торговій точці Tapaya дає змогу приймати платежі на мобільних пристроях. Такі пристрої за своєю природою вразливіші до шкідливого ПЗ, крадіжок і несанкціонованого втручання. Дуже важливо, щоб усе середовище пристрою, у якому працює Tapaya Accept, було захищеним і керувалося відповідно до вимог щодо [безпеки пристрою](/in-store/security/device_security).

**Вам слід:**

* Інтегрувати Tapaya лише задокументованими способами й уникати власних сценаріїв, що обходять ці засоби контролю.
* Підтримувати належний рівень безпеки власного мобільного застосунку, пристроїв і облікових записів (наприклад, контроль доступу, встановлення оновлень безпеки та захист від шкідливого ПЗ).
* Надавати та забезпечувати дотримання власних повідомлень про конфіденційність для мерчантів відповідно до GDPR або аналогічного законодавства.
* Якщо ви використовуєте онбординг мерчантів через API, отримувати згоду мерчанта з Умовами та положеннями Tapaya для інтеграторів і Політикою конфіденційності Tapaya.
* Зазначити Tapaya як обробника даних у власній політиці конфіденційності.