Bảo vệ dữ liệu và quyền riêng tư

Tapaya được thiết kế để giữ an toàn cho dữ liệu thanh toán và dữ liệu cá nhân, đồng thời giảm bớt trách nhiệm tuân thủ của bạn. Phần này trình bày cách Tapaya xử lý dữ liệu chủ thẻ và dữ liệu cá nhân theo PCI DSS và GDPR, cũng như những việc bạn cần làm khi sử dụng Tapaya.

Bảo mật dữ liệu chủ thẻ

Tapaya triển khai và duy trì việc tuân thủ các tiêu chuẩn của ngành thẻ thanh toán (PCI DSS và PA‑DSS) về bảo mật dữ liệu thanh toán. Khi sử dụng các sản phẩm Tapaya đúng như được cung cấp, nhà phát triển và merchant có thể chuyển gần như toàn bộ sự phức tạp về quy định và kỹ thuật liên quan đến dữ liệu chủ thẻ sang Tapaya.

Các sản phẩm Tapaya được thiết kế sao cho toàn bộ dữ liệu thẻ thanh toán chỉ được thu thập, truyền và lưu trữ bởi hạ tầng và các module thanh toán đã được xác nhận theo PCI của Tapaya. Kiến trúc này giữ merchant và nhà phát triển nằm ngoài phạm vi PCI DSS và PA‑DSS đối với việc xử lý dữ liệu chủ thẻ, vì hệ thống của bạn không bao giờ nhìn thấy hay lưu trữ số thẻ đầy đủ, CVV/CVC hoặc các dữ liệu xác thực nhạy cảm khác.

Các giải pháp tích hợp Tapaya Accept SDK cho Chấp nhận thanh toán tại cửa hàng không cần xác nhận tuân thủ PCI bổ sung đối với dữ liệu chủ thẻ khi sử dụng các phương thức tích hợp tiêu chuẩn.

Với Thanh toán trực tuyến, Tapaya cung cấp các trường nhập thẻ từ hạ tầng của mình, cả trên trang Checkout do Tapaya lưu trữ lẫn bên trong thành phần thẻ nhúng, nên dữ liệu thẻ đi thẳng đến Tapaya thay vì qua máy chủ của bạn. Đơn vị thu hộ (acquirer) hoặc đối tác thanh toán của bạn quyết định hình thức xác nhận PCI nào áp dụng cho tích hợp trực tuyến của bạn.

Khi khối lượng thanh toán của bạn tăng lên, acquirer hoặc đối tác thanh toán có thể yêu cầu bạn hoàn thành Bảng câu hỏi tự đánh giá PCI (SAQ). Tapaya hỗ trợ bạn trong quy trình này và giúp bạn hoàn thành biểu mẫu xác nhận PCI, trong đó thể hiện rằng Tapaya chịu trách nhiệm lưu trữ, xử lý và truyền dữ liệu chủ thẻ theo cách tuân thủ PCI.

Bảo mật dữ liệu cá nhân

Quy định chung về bảo vệ dữ liệu (GDPR) là luật bảo vệ dữ liệu của EU, đặt ra các quy tắc nghiêm ngặt về cách các tổ chức thu thập, sử dụng, lưu trữ và chia sẻ dữ liệu cá nhân của các cá nhân tại EU và EEA. Để biết thêm chi tiết về GDPR, bạn có thể tham khảo văn bản chính thức của quy định qua bản tổng quan hoặc văn bản pháp lý hợp nhất.

Tapaya thiết kế sản phẩm và quy trình của mình để tuân thủ GDPR, bao gồm các nguyên tắc như tính hợp pháp, công bằng, minh bạch, tối thiểu hóa dữ liệu và bảo mật, để nhà phát triển có thể tin tưởng rằng Tapaya xử lý dữ liệu cá nhân liên quan đến thanh toán một cách tuân thủ. Vui lòng xem Chính sách quyền riêng tư của chúng tôi.

Nếu bạn thực hiện onboarding merchant qua giao diện của riêng mình và gửi thông tin của họ qua API, bạn phải có được sự đồng ý của merchant đối với Điều khoản và Điều kiện dành cho bên tích hợp của Tapaya và Chính sách quyền riêng tư của Tapaya. Bạn có thể thêm một ô đánh dấu vào biểu mẫu onboarding có liên kết đến cả hai tài liệu, hoặc liên kết đến các tài liệu của Tapaya từ phần nội dung điều khoản mà merchant đồng ý.

Bạn cũng phải nêu rõ Tapaya là bên xử lý dữ liệu trong chính sách quyền riêng tư của riêng bạn.

Bạn cần làm gì?

Khi bạn sử dụng các SDK chính thức và các thành phần do Tapaya lưu trữ và làm theo hướng dẫn triển khai, bạn không xử lý dữ liệu chủ thẻ thô và không cần ứng dụng thanh toán riêng đã được xác nhận theo PCI. Bạn không được tìm cách chặn bắt, lưu trữ hoặc ghi log số thẻ, CVV/CVC, mã PIN hoặc toàn bộ dữ liệu dải từ bên ngoài các thành phần của Tapaya.

Với Chấp nhận thanh toán tại cửa hàng, Tapaya cho phép chấp nhận thanh toán trên thiết bị di động. Những thiết bị này vốn dễ bị phần mềm độc hại, trộm cắp và can thiệp trái phép hơn. Điều thiết yếu là toàn bộ môi trường thiết bị mà Tapaya Accept chạy trên đó phải được bảo mật và quản lý theo đúng các yêu cầu về bảo mật thiết bị.

Bạn nên:

• Chỉ tích hợp Tapaya qua các phương thức được mô tả trong tài liệu và tránh các luồng tùy chỉnh bỏ qua những biện pháp kiểm soát này.
• Duy trì mức bảo mật hợp lý cho ứng dụng di động, thiết bị và tài khoản của riêng bạn (ví dụ: kiểm soát truy cập, cập nhật bản vá và bảo vệ chống phần mềm độc hại).
• Cung cấp và thực thi các thông báo về quyền riêng tư dành cho merchant của riêng bạn theo GDPR hoặc các luật tương đương.
• Nếu bạn sử dụng onboarding merchant qua API, hãy có được sự đồng ý của merchant đối với Điều khoản và Điều kiện dành cho bên tích hợp của Tapaya và Chính sách quyền riêng tư của Tapaya.
• Liệt kê Tapaya là bên xử lý dữ liệu trong chính sách quyền riêng tư của riêng bạn.