Политика обработки и защиты персональных данных

1. Оператор и область действия

Оператор публичной pre-production платформы — Meridian Payments. Сервис работает как sandbox и не обрабатывает реальные платежи. Прямой контакт ответственного за персональные данные и адрес для юридически значимых электронных обращений: privacy@meridian-pay.io.

Регистрационные реквизиты и почтовый адрес стороны, которая будет обрабатывать данные в production, фиксируются в merchant agreement и предоставляются мерчанту до активации реальных платежей.

2. Какие данные мы обрабатываем

• данные представителей мерчанта: имя, рабочий email, телефон, компания, должность и сведения из заявки;
• данные аккаунта и безопасности: хэш пароля, подтверждение email, сведения о сессиях, устройствах, IP-адресе и событиях входа;
• данные плательщика: ФИО, телефон, email, IP-адрес, user-agent и метаданные платёжного провайдера — только когда они необходимы для операции;
• данные платежа: сумма, валюта, способ, статус, идентификаторы заказа и операции, возвраты и расчётные события;
• технические данные: журнал запросов, события вебхуков, диагностическая информация и необходимые cookie.

3. Что мы не собираем

Meridian Payments не принимает и не хранит полные номера банковских карт, CVV/CVC, PIN-коды и иные секретные аутентификационные данные платёжных средств. В production такие данные должны обрабатываться только сертифицированными платёжными провайдерами.

4. Цели и основания обработки

• регистрация, проверка компании, создание и защита аккаунта;
• создание, подтверждение и учёт платежей, возвратов, settlement и выплат;
• предотвращение мошенничества, расследование инцидентов и выполнение требований закона;
• доставка сервисных сообщений, уведомлений и ответов поддержки;
• обеспечение работоспособности, аудит, аналитика качества и улучшение Сервиса;
• исполнение договора, действия до его заключения, законные обязанности и согласие — в зависимости от ситуации и применимого права.

5. Изоляция данных плательщика

Данные плательщика хранятся отдельно в зашифрованном виде. Они не включаются в клиентские DTO, списки и детали платежей, поиск, CSV-отчёты или клиентские вебхуки. Мерчант не получает доступ к этим сведениям через кабинет или Merchant API.

Раскрытие возможно только уполномоченному администратору через отдельную защищённую операцию. Каждый просмотр фиксируется в неизменяемом журнале аудита.

6. Получатели и обработчики

Мы можем привлекать поставщиков хостинга и баз данных, email-доставки, мониторинга, антифрода и платёжной инфраструктуры только в объёме, необходимом для работы Сервиса. Доступ ограничивается договором, назначением и принципом минимальных привилегий. Передача государственным органам выполняется только при наличии законного основания.

7. Хранение и удаление

После окончания срока данные удаляются или необратимо обезличиваются. Обязательный срок закона или открытый спор может продлить хранение только соответствующей категории.

• заявки и обращения — 12 месяцев после последнего контакта;
• активная access-сессия — 15 минут, refresh-сессия — 30 дней;
• данные безопасности и журнал аудита — 3 года после закрытия аккаунта;
• PII плательщика в sandbox — 180 дней после операции, если спор или закон не требуют большего срока;
• платёжные и ledger-записи — 5 лет после операции;
• резервные копии — до 35 дней после удаления основной записи.

8. Безопасность

• шифрование чувствительных данных AES-256-GCM с версионированием ключей;
• защищённые cookies, короткоживущие access-сессии и ротация refresh-сессий;
• многофакторная аутентификация для администраторов;
• серверная tenant-изоляция и запрет доступа по прямому идентификатору;
• аудит административных действий, доступа к PII и финансовых изменений;
• резервное копирование, мониторинг и процедуры реагирования на инциденты.

9. Права пользователя

• получить сведения об обработке своих данных;
• потребовать исправления неточных данных;
• потребовать удаления или ограничения обработки, когда это допускает закон;
• отозвать согласие, не затрагивая законность предшествующей обработки;
• возразить против отдельных видов обработки и обратиться в компетентный надзорный орган.

10. Обращения и изменения

Запрос по персональным данным направляется напрямую на privacy@meridian-pay.io. Перед выполнением запроса мы вправе проверить личность заявителя.

Новая версия Политики публикуется на этой странице с обновлением даты и номера версии. Существенные изменения дополнительно сообщаются через кабинет или email, когда это необходимо.