1.Кто мы
P26M — платформа оркестрации платежей, зарегистрированная в Европейском союзе. Мы являемся контролёром персональных данных мерчантов и их авторизованных пользователей и обработчиком данных транзакций, поступающих через наши платёжные API.
Вся инфраструктура размещена в AWS eu-central-1 (Франкфурт, Германия). Данные не обрабатываются и не хранятся за пределами ЕЭП.
2.Какие данные мы собираем
Данные аккаунта и контакты
Имя, адрес электронной почты, телефон, название компании и роль — собираем, когда вы создаёте аккаунт мерчанта или пишете нам.
Данные транзакций
Суммы платежей, валюта, маскированный номер карты (только последние 4 цифры), статус транзакции, коды ответов PSP и временные метки. Полные PAN токенизируются сразу после получения через HashiCorp Vault Transit и никогда не хранятся в открытом виде.
Технические данные
IP-адреса, журналы API-запросов (без данных держателей карт), тип браузера и идентификаторы сессий — для мониторинга безопасности и предотвращения злоупотреблений.
3.Правовые основания обработки
- Исполнение договора (GDPR, ст. 6(1)(b)) — обработка, необходимая для оказания услуги оркестрации платежей.
- Законный интерес (GDPR, ст. 6(1)(f)) — мониторинг безопасности, предотвращение мошенничества и улучшение сервиса.
- Юридическая обязанность (GDPR, ст. 6(1)(c)) — требования AML, PSD2 и PCI DSS к хранению.
- Согласие (GDPR, ст. 6(1)(a)) — аналитические cookie и маркетинговые сообщения (только с вашего согласия).
4.Как мы используем данные
- Маршрутизация и обработка ваших платёжных транзакций между партнёрами-PSP.
- Доступ к кабинету мерчанта, отчётность и аналитика.
- Отправка транзакционных писем (подтверждения платежей, уведомления, счета).
- Выявление инцидентов безопасности и реагирование на них.
- Выполнение регуляторных требований и требований аудита.
5.Передача данных и субпроцессоры
Мы передаём данные только в объёме, необходимом для оказания сервиса:
- Партнёры-PSP — данные транзакций, необходимые для обработки платежей (UPC, OschadBank, PayLink, LiqPay, Hutko). Каждый PSP по договору обязан соблюдать наши стандарты работы с данными.
- AWS — облачная инфраструктура, только регион ЕС (eu-central-1).
- HashiCorp Vault — развёрнут в нашей инфраструктуре. Данные карт не покидают нашу сеть и не попадают в сторонний сервис Vault.
Мы не продаём персональные данные и не используем их для рекламы третьих лиц.
6.Сроки хранения
- Записи о транзакциях: 13 месяцев (требование PCI DSS для защиты в чарджбэках).
- Финансовые записи: 7 лет (учётная директива ЕС).
- Данные аккаунта: в течение срока действия договора, затем удаляются в течение 30 дней после его прекращения.
- Журналы безопасности: 12 месяцев (AWS CloudTrail, находки GuardDuty).
7.Ваши права
По GDPR вы имеете право:
- Доступ — получить копию персональных данных, которые мы о вас храним.
- Исправление — исправить неточные или неполные данные.
- Удаление — потребовать удалить данные, если нет более высокой юридической обязанности их хранить.
- Переносимость — получить свои данные в структурированном машиночитаемом формате.
- Возражение — возражать против обработки на основании законного интереса.
- Подать жалобу в национальный орган по защите данных.
Чтобы воспользоваться любым правом, напишите нашему ответственному за защиту данных: privacy@p26m.com.
8.Международные передачи
Мы не передаём персональные данные за пределы Европейской экономической зоны. Все данные обрабатываются и хранятся в AWS eu-central-1 (Франкфурт). Если партнёры-PSP обрабатывают данные за пределами ЕЭП, действуют стандартные договорные положения.
9.Ответственный за защиту данных
По любым вопросам о конфиденциальности или реализации прав пишите нашему ответственному за защиту данных: privacy@p26m.com.
10.Изменения в этой политике
О существенных изменениях мы уведомим активных мерчантов не менее чем за 30 дней на электронный адрес их аккаунта. Дальнейшее пользование платформой после вступления в силу означает принятие новой редакции политики.