1.Хто ми
P26M — платформа оркестрації платежів, зареєстрована в Європейському Союзі. Ми є контролером персональних даних мерчантів і їхніх авторизованих користувачів та обробником даних транзакцій, які надходять через наші платіжні API.
Вся інфраструктура розміщена в AWS eu-central-1 (Франкфурт, Німеччина). Дані не обробляються й не зберігаються за межами ЄЕЗ.
2.Які дані ми збираємо
Дані акаунта та контакти
Ім’я, адреса електронної пошти, телефон, назва компанії та роль — збираємо, коли ви створюєте акаунт мерчанта або пишете нам.
Дані транзакцій
Суми платежів, валюта, маскований номер картки (лише останні 4 цифри), статус транзакції, коди відповідей PSP і часові мітки. Повні PAN токенізуються одразу після отримання через HashiCorp Vault Transit і ніколи не зберігаються у відкритому вигляді.
Технічні дані
IP-адреси, журнали API-запитів (без даних держателів карток), тип браузера та ідентифікатори сесій — для моніторингу безпеки та запобігання зловживанням.
3.Правові підстави обробки
- Виконання договору (GDPR, ст. 6(1)(b)) — обробка, потрібна для надання послуги оркестрації платежів.
- Законний інтерес (GDPR, ст. 6(1)(f)) — моніторинг безпеки, запобігання шахрайству й покращення сервісу.
- Юридичний обов’язок (GDPR, ст. 6(1)(c)) — вимоги AML, PSD2 і PCI DSS щодо зберігання.
- Згода (GDPR, ст. 6(1)(a)) — аналітичні cookie та маркетингові повідомлення (лише за вашою згодою).
4.Як ми використовуємо дані
- Маршрутизація та обробка ваших платіжних транзакцій між партнерами-PSP.
- Доступ до кабінету мерчанта, звітність і аналітика.
- Надсилання транзакційних листів (підтвердження платежів, сповіщення, рахунки).
- Виявлення інцидентів безпеки та реагування на них.
- Виконання регуляторних вимог і вимог аудиту.
5.Передача даних і субпроцесори
Ми передаємо дані лише в обсязі, потрібному для надання сервісу:
- Партнери-PSP — дані транзакцій, потрібні для обробки платежів (UPC, OschadBank, PayLink, LiqPay, Hutko). Кожен PSP за договором зобов’язаний дотримуватися наших стандартів роботи з даними.
- AWS — хмарна інфраструктура, лише регіон ЄС (eu-central-1).
- HashiCorp Vault — розгорнутий у нашій інфраструктурі. Дані карток не залишають нашу мережу й не потрапляють до стороннього сервісу Vault.
Ми не продаємо персональні дані й не використовуємо їх для реклами третіх осіб.
6.Строки зберігання
- Записи про транзакції: 13 місяців (вимога PCI DSS для захисту в чарджбеках).
- Фінансові записи: 7 років (облікова директива ЄС).
- Дані акаунта: протягом дії договору, потім видаляються протягом 30 днів після його припинення.
- Журнали безпеки: 12 місяців (AWS CloudTrail, знахідки GuardDuty).
7.Ваші права
За GDPR ви маєте право:
- Доступ — отримати копію персональних даних, які ми про вас зберігаємо.
- Виправлення — виправити неточні або неповні дані.
- Видалення — вимагати видалити дані, якщо немає вищого юридичного обов’язку їх зберігати.
- Переносимість — отримати свої дані у структурованому машинозчитуваному форматі.
- Заперечення — заперечувати проти обробки на підставі законного інтересу.
- Подати скаргу до національного органу із захисту даних.
Щоб скористатися будь-яким правом, напишіть нашому відповідальному за захист даних: privacy@p26m.com.
8.Міжнародні передачі
Ми не передаємо персональні дані за межі Європейської економічної зони. Усі дані обробляються й зберігаються в AWS eu-central-1 (Франкфурт). Якщо партнери-PSP обробляють дані за межами ЄЕЗ, діють стандартні договірні положення.
9.Відповідальний за захист даних
З будь-яких питань про конфіденційність або реалізацію прав пишіть нашому відповідальному за захист даних: privacy@p26m.com.
10.Зміни в цій політиці
Про суттєві зміни ми повідомимо активних мерчантів щонайменше за 30 днів на електронну адресу їхнього акаунта. Подальше користування платформою після набрання чинності означає прийняття нової редакції політики.