Политика обработки и защиты персональных данных

1. Общие положения

Настоящая Политика описывает порядок обработки и защиты персональных данных при использовании сайта, платёжной формы, личного кабинета, API и связанных сервисов Meridian Payments (далее — «Сервис»).

2. Какие данные мы обрабатываем

• данные представителей мерчанта: имя, рабочий email, телефон, компания, должность и сведения из заявки;
• данные аккаунта и безопасности: хэш пароля, подтверждение email, сведения о сессиях, устройствах, IP-адресе и событиях входа;
• данные плательщика: ФИО, телефон, email, IP-адрес, user-agent и метаданные платёжного провайдера — только когда они необходимы для операции;
• данные платежа: сумма, валюта, способ, статус, идентификаторы заказа и операции, возвраты и расчётные события;
• технические данные: журнал запросов, события вебхуков, диагностическая информация и необходимые cookie.

3. Что мы не собираем

Meridian Payments не принимает и не хранит полные номера банковских карт, CVV/CVC, PIN-коды и иные секретные аутентификационные данные платёжных средств. В production такие данные должны обрабатываться только сертифицированными платёжными провайдерами.

4. Цели и основания обработки

• регистрация, проверка компании, создание и защита аккаунта;
• создание, подтверждение и учёт платежей, возвратов, settlement и выплат;
• предотвращение мошенничества, расследование инцидентов и выполнение требований закона;
• доставка сервисных сообщений, уведомлений и ответов поддержки;
• обеспечение работоспособности, аудит, аналитика качества и улучшение Сервиса;
• исполнение договора, действия до его заключения, законные обязанности и согласие — в зависимости от ситуации и применимого права.

5. Изоляция данных плательщика

Данные плательщика хранятся отдельно в зашифрованном виде. Они не включаются в клиентские DTO, списки и детали платежей, поиск, CSV-отчёты или клиентские вебхуки. Мерчант не получает доступ к этим сведениям через кабинет или Merchant API.

Раскрытие возможно только уполномоченному администратору через отдельную защищённую операцию. Каждый просмотр фиксируется в неизменяемом журнале аудита.

6. Получатели и обработчики

Мы можем привлекать поставщиков хостинга и баз данных, email-доставки, мониторинга, антифрода и платёжной инфраструктуры только в объёме, необходимом для работы Сервиса. Доступ ограничивается договором, назначением и принципом минимальных привилегий. Передача государственным органам выполняется только при наличии законного основания.

7. Хранение и удаление

Данные хранятся не дольше, чем необходимо для заявленных целей, выполнения договоров, финансового учёта, защиты от претензий и соблюдения обязательных сроков. По окончании срока данные удаляются, обезличиваются либо архивируются с ограниченным доступом.

8. Безопасность

• шифрование чувствительных данных AES-256-GCM с версионированием ключей;
• защищённые cookies, короткоживущие access-сессии и ротация refresh-сессий;
• многофакторная аутентификация для администраторов;
• серверная tenant-изоляция и запрет доступа по прямому идентификатору;
• аудит административных действий, доступа к PII и финансовых изменений;
• резервное копирование, мониторинг и процедуры реагирования на инциденты.

9. Права пользователя

• получить сведения об обработке своих данных;
• потребовать исправления неточных данных;
• потребовать удаления или ограничения обработки, когда это допускает закон;
• отозвать согласие, не затрагивая законность предшествующей обработки;
• возразить против отдельных видов обработки и обратиться в компетентный надзорный орган.

10. Обращения и изменения

Запрос по персональным данным можно направить через форму связи Meridian Payments, указав тему «Персональные данные». Перед выполнением запроса мы вправе проверить личность заявителя.

Новая версия Политики публикуется на этой странице с обновлением даты и номера версии. Существенные изменения дополнительно сообщаются через кабинет или email, когда это необходимо.