Политика конфиденциальности

1. Кто мы и о чём этот документ

Elaris это платёжный сервис: мы помогаем компаниям принимать оплату на сайте, в приложении, в мессенджере и по платёжной ссылке, а также проводить выплаты. Оператором сайта и сервиса выступает компания Elaris Payments L.L.C-FZ.

Документ объясняет, какие данные мы получаем от посетителей сайта, от компаний, которые оставляют заявку на подключение, и от действующих клиентов-мерчантов. Здесь же описано, зачем эти данные нужны, кому мы их передаём, сколько храним и как вы можете на это повлиять.

Политика распространяется на сайт Elaris и на сервисы, доступ к которым мы предоставляем по договору. Она не распространяется на сайты мерчантов и сторонние сервисы, на которые с нашего сайта могут вести ссылки: у них собственные правила обработки данных.

2. Какие данные мы собираем

Мы собираем только то, что нужно для ответа на обращение, для подключения к сервису и для его дальнейшей работы. Мы не собираем данные о расе, здоровье, религиозных и политических взглядах и не просим их присылать.

Часть технических данных собирается с помощью файлов cookie и похожих технологий. Подробности о том, какие именно файлы мы ставим и как отказаться от необязательных, описаны в Политике использования cookie.

3. Зачем и на каком основании

Мы обрабатываем данные только для конкретных целей и только пока есть основание для обработки. Основания такие:

• Заключение и исполнение договора. Обработка заявки, проверка компании перед подключением, настройка сервиса, проведение платежей и выплат, поддержка, выставление счетов и отчётность перед клиентом.
• Требования закона и правила платёжной отрасли. Идентификация клиента, проверка источника операций, хранение документов и данных об операциях, ответы на законные запросы уполномоченных органов, выполнение требований банков-эквайеров и международных платёжных систем.
• Наш законный интерес. Защита сервиса от мошенничества и автоматических атак, контроль качества поддержки, базовая аналитика посещаемости, защита прав в спорах. Мы следим за тем, чтобы такая обработка не нарушала ваши права, и ограничиваем её объём.
• Согласие. Необязательные файлы cookie, рассылка новостей и материалов о продукте. Согласие можно отозвать в любой момент, это не влияет на законность обработки до отзыва.

Мы не продаём персональные данные и не передаём их третьим лицам для их собственной рекламы.

4. Платёжные данные покупателей

Отдельно о самом чувствительном. Когда покупатель платит на сайте мерчанта через Elaris, полные реквизиты карты вводятся на защищённой платёжной форме или в приложении банка, а не на стороне мерчанта.

• Elaris не хранит полный номер карты, срок действия и код проверки подлинности карты.
• Elaris не передаёт мерчанту полные реквизиты карты. Мерчант видит только статус операции, сумму, валюту, идентификатор заказа и маскированный номер карты в формате первых и последних цифр.
• Обработка карточных данных идёт в защищённом контуре процессинга, который следует отраслевому стандарту безопасности PCI DSS, с шифрованием данных при передаче и ограничением доступа.
• Для подтверждения операций применяется технология 3-D Secure, то есть дополнительная проверка плательщика на стороне банка-эмитента.

Когда покупатель платит на сайте мерчанта, мерчант определяет, какие данные о заказе он собирает и как их использует. В этой части мерчант отвечает за свои данные сам и публикует собственную политику. Elaris обрабатывает такие данные в объёме, необходимом для проведения платежа.

5. Кому мы передаём данные

Доступ к данным получают только те, кому он нужен для работы сервиса, и только в необходимом объёме. Мы передаём данные следующим категориям получателей:

• Банки-эквайеры и партнёрские платёжные организации. Для проведения операций, зачислений и выплат, а также для обязательной проверки клиента перед подключением.
• Платёжные системы. В объёме, который требуется для авторизации операции, расчётов, возвратов и разбора оспариваний.
• Провайдеры инфраструктуры. Дата-центры и хостинг, сервисы отправки почты и сообщений, системы учёта обращений, инструменты веб-аналитики и защиты от атак. Такие подрядчики действуют по нашим инструкциям и связаны обязательствами о конфиденциальности.
• Профессиональные консультанты. Юристы, аудиторы и бухгалтеры, когда это нужно для сопровождения деятельности компании.
• Уполномоченные органы. Когда раскрытие обязательно по закону, по законному запросу или необходимо для защиты прав Elaris, клиентов и третьих лиц.
• Правопреемники. При реорганизации, продаже бизнеса или его части данные могут перейти к правопреемнику с сохранением условий этой политики.

6. Трансграничная передача и хранение

Elaris Payments L.L.C-FZ зарегистрирована в Meydan Free Zone в Дубае, ОАЭ. Основные системы и серверы, на которых мы храним данные клиентов и служебные записи, размещены в ОАЭ.

Сервис работает с несколькими странами, поэтому данные могут передаваться за пределы страны, где вы находитесь: например, банкам-эквайерам, платёжным системам и провайдерам инфраструктуры в других юрисдикциях. В таких случаях мы:

• передаём только тот объём данных, который нужен получателю для его роли;
• заключаем с получателями договоры, которые содержат обязательства о конфиденциальности и защите данных;
• используем шифрование каналов передачи и контроль доступа;
• выполняем требования применимого законодательства о трансграничной передаче.

Если для конкретной операции требуется согласие на трансграничную передачу, мы запрашиваем его отдельно.

7. Сроки хранения

Мы храним данные ровно столько, сколько нужно для цели, ради которой они собраны, а затем удаляем или обезличиваем их.

• Данные заявки, по которой не было подключения. До 12 месяцев с последнего контакта, чтобы вернуться к обсуждению, если вы напишете снова. Раньше, если вы попросите удалить.
• Данные мерчанта и документы проверки. В течение срока действия договора и далее в течение срока, который предписан требованиями законодательства и правилами платёжной отрасли к хранению таких документов.
• Данные об операциях и бухгалтерские записи. В течение срока, установленного требованиями к финансовой отчётности и хранению первичных документов.
• Переписка с поддержкой. До 3 лет, чтобы сохранить историю решений и подтвердить договорённости.
• Технические журналы и данные веб-аналитики. Как правило до 12 месяцев, журналы безопасности могут храниться дольше, если это нужно для расследования инцидента.

Если данные нужны для защиты прав в незавершённом споре или для исполнения предписания уполномоченного органа, срок хранения продлевается до завершения соответствующей процедуры.

8. Права пользователя

В отношении своих данных вы можете:

• узнать, обрабатываем ли мы ваши данные, и получить их копию;
• потребовать исправить неточные или неполные данные;
• потребовать удалить данные, если у нас больше нет основания их хранить;
• ограничить обработку или возразить против обработки, основанной на нашем законном интересе;
• отозвать согласие, если обработка велась на его основании, в том числе отписаться от рассылки;
• получить данные в машиночитаемом виде, если это применимо к вашему случаю;
• подать жалобу в уполномоченный орган по защите данных.

Чтобы воспользоваться правом, напишите нам на адрес из раздела 10 и опишите запрос. Мы ответим в разумный срок, как правило в течение 30 дней. Для защиты от передачи данных постороннему мы можем попросить подтвердить личность или принадлежность к компании-клиенту.

В некоторых случаях мы вправе отказать полностью или частично: например, если данные нужно хранить по требованию закона или если запрос затрагивает права других людей. Причину отказа мы объясним.

Если вы покупатель и вопрос касается заказа у конкретного мерчанта, обращайтесь сначала к мерчанту: именно он решает, какие данные о заказе собирать и как их использовать.

9. Безопасность

Мы защищаем данные организационными и техническими мерами, в том числе:

• шифрование данных при передаче по открытым каналам;
• разграничение доступа по ролям и принцип минимально необходимых прав;
• ведение журналов доступа к чувствительным данным и их регулярный разбор;
• разделение сред разработки и промышленной эксплуатации, контроль изменений;
• обработка карточных данных в контуре, который следует отраслевому стандарту PCI DSS;
• антифрод-мониторинг операций и защита от автоматических атак на формы и API;
• резервное копирование и проверка процедур восстановления;
• обязательства о конфиденциальности для сотрудников и подрядчиков.

Ни один сервис не может гарантировать абсолютную безопасность. Если произойдёт инцидент, который может повлечь риск для ваших прав, мы уведомим затронутых клиентов и уполномоченные органы в порядке, предусмотренном применимым законодательством. Со своей стороны храните доступы к личному кабинету и ключи API в секрете и сообщайте нам, если считаете, что они скомпрометированы.

10. Изменения политики и контакты

Мы можем обновлять эту политику: например, когда меняются процессы, состав подрядчиков или требования законодательства. Актуальная редакция всегда доступна на этой странице, дата редакции указана в шапке документа. Если изменения существенные, мы сообщим о них дополнительно: письмом или уведомлением в личном кабинете.

По любым вопросам об обработке данных, а также для реализации прав из раздела 8 пишите нам:

hello@elarispayments.com

Почтовый адрес: Elaris Payments L.L.C-FZ, Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, U.A.E.

Дополнительно смотрите Пользовательское соглашение, Публичную оферту и Политику использования cookie.