Integrações e setores

Sim. A aprovação permanece no seu ERP, com os controles existentes. A camada de integração registra cada arquivo que cria, assina, envia e recebe, com timestamps, identificadores e a conta técnica usada. Esse log liga cada pagamento do relatório de status do banco de volta ao documento do ERP e aos seus aprovadores.

Leia mais: Arquivos de pagamento e conciliação entre ERP e bancoLink para esta pergunta

Esse é o objetivo do desenho. Os números de cartão são capturados pelo terminal certificado ou por uma página de pagamento hospedada e substituídos por tokens no gateway, então o seu POS, o seu ERP e os seus repositórios de dados só veem tokens. Isso reduz a parte do seu parque à qual o PCI DSS se aplica. O seu avaliador confirma o escopo final.

Leia mais: Pagamentos com cartãoLink para esta pergunta

Sim. Para pagamentos on-line com cartão, integramos o EMV 3-D Secure pelo gateway, para que o emissor possa autenticar o portador onde a regulação ou o risco exigir. Tratamos os fluxos com desafio e sem atrito no checkout e testamos os dois com os cartões de teste do provedor.

Leia mais: Pagamentos com cartãoLink para esta pergunta

O cliente vê quais dados são compartilhados, para que finalidade e por quanto tempo, e se autentica no seu próprio banco. O conector guarda o consentimento e os seus tokens criptografados, e cada chamada está ligada a um consentimento válido. Os clientes podem retirar o consentimento, e o conector deixa de chamar esse banco em nome deles quando isso acontece.

Leia mais: APIs de open bankingLink para esta pergunta

Tokens e registros de consentimento são criptografados em repouso, apenas o conector pode usá-los, e cada chamada é registrada com o consentimento por trás dela. Coletamos apenas os dados de que a finalidade precisa e definimos por quanto tempo são mantidos. Regras de proteção de dados como o GDPR se aplicam a esses dados, e projetamos junto com o seu encarregado de proteção de dados.

Leia mais: APIs de open bankingLink para esta pergunta

Todo webhook recebido é verificado antes de ser processado: por assinatura, quando o parceiro assina as suas mensagens, e por verificação de token, origem e timestamp, quando não assina. Os conteúdos são validados contra o contrato, e os eventos são processados uma única vez mesmo que o parceiro os envie mais de uma.

Leia mais: Conexões de API entre ERP e terceirosLink para esta pergunta

Cada integração usa a sua própria conta técnica com apenas as permissões de que os seus fluxos precisam, nunca o login de uma pessoa. As credenciais ficam no seu cofre de segredos, não no código, e o acesso dos engenheiros é nominal, registrado e removido quando saem do projeto.

Leia mais: Implantação e sincronização de ERP e CRMLink para esta pergunta

O acesso é baseado em funções e segue o seu provedor de identidade, para que cada pessoa veja apenas os clientes e campos de que o seu trabalho precisa. Campos sensíveis podem ser mascarados ou criptografados, e as mudanças são registradas. As integrações usam contas técnicas próprias com permissões limitadas, e as credenciais delas ficam no seu cofre de segredos.

Leia mais: Implantação e sincronização de ERP e CRMLink para esta pergunta

Os arquivos de pagamento são assinados e criptografados conforme cada banco exige e trafegam apenas pelo canal acordado. Chaves e certificados ficam no seu cofre de chaves ou módulo de segurança de hardware, nunca no código. Os arquivos são validados antes do envio, e cada transferência é registrada, para que você possa rastrear quem aprovou e enviou cada pagamento.

Leia mais: Conectividade bancária, de tesouraria e ISO 20022Link para esta pergunta

Não podemos eliminar o PCI DSS, mas podemos reduzir quanto do seu parque de TI ele abrange. Páginas de pagamento hospedadas, criptografia ponto a ponto no terminal e tokens do gateway mantêm os números de cartão fora do seu POS, ERP e data warehouse. Documentamos os fluxos de dados para o seu avaliador.

Leia mais: Pagamentos, comércio agêntico (AP2) e POSLink para esta pergunta

Sim. Adicionamos login único com OpenID Connect ou SAML 2.0 por provedores como Microsoft Entra ID ou Keycloak. Os usuários são provisionados com SCIM quando o aplicativo oferece suporte. O seu provedor de identidade continua sendo o único lugar onde o acesso é concedido e removido.

Leia mais: Serviços de middleware e integração de APIsLink para esta pergunta

Sim. Trabalhamos dentro das suas políticas: suas regras de acesso, seus ambientes, seu processo de mudança e seus requisitos de auditoria. Antes do início do trabalho, acordamos como os dados são tratados, quais ambientes os engenheiros podem acessar e quais evidências as suas equipes de risco e conformidade precisam. Descrevemos os controles que aplicamos com clareza, para que os seus avaliadores possam revisá-los.

Leia mais: Fintech e serviços financeirosLink para esta pergunta

Projetamos para que o menor número possível de sistemas veja um número completo de cartão. Campos de pagamento hospedados, tokenização e tokens de rede mantêm os dados de cartão com o processador, o que reduz o seu escopo de PCI DSS. Quando um sistema precisa tratar dados de cartão, desenvolvemos segundo os controles de PCI DSS aplicáveis e os documentamos para o seu avaliador.

Leia mais: Fintech e serviços financeirosLink para esta pergunta

Onde as suas regras determinarem. Trabalhamos com regiões de nuvem governamental ou soberana, nuvens comerciais aprovadas ou os seus próprios data centers, e projetamos o sistema para que a decisão de hospedagem seja sua. Backups, registros e acesso de suporte seguem a mesma regra, porque os dados muitas vezes saem de uma região por esses meios, e não pela aplicação.

Leia mais: Setor públicoLink para esta pergunta

Cada sistema guarda apenas os dados de que precisa, na região que você escolher, criptografados em trânsito e em repouso. O acesso segue as funções e é registrado. Projetamos para o GDPR e as leis de proteção de dados pessoais do Oriente Médio e Norte da África aplicáveis a você.

Leia mais: Imóveis e hotelariaLink para esta pergunta

Lemos dados por caminhos protegidos e monitorados e nunca alteramos um sistema de controle fora dos seus processos de mudança e segurança. O trabalho em sistemas em operação é planejado com os seus engenheiros de operações, e toda mudança pode ser revertida.

Leia mais: Energia e concessionáriasLink para esta pergunta

Coletamos apenas os dados de que uma funcionalidade precisa, mantemos na região e no ambiente que você escolher e criptografamos em trânsito e em repouso. O acesso segue funções e é registrado. Nossos engenheiros trabalham com dados sintéticos ou desidentificados sempre que possível, e com dados reais apenas com a sua aprovação e sob a sua supervisão.

Leia mais: SaúdeLink para esta pergunta

A conformidade é responsabilidade da sua organização e da forma como ela opera um sistema, então nenhum fornecedor de software pode torná-lo conforme sozinho. O que fazemos é projetar e construir conforme os requisitos aplicáveis, documentar os controles e apoiar as suas equipes de privacidade e segurança nas avaliações delas.

Leia mais: SaúdeLink para esta pergunta

Os dados pessoais são mascarados ou tokenizados antes de os modelos os verem, e os modelos podem rodar em uma nuvem privada ou soberana, para que os dados nunca saiam do seu ambiente.

Leia mais: MarketingLink para esta pergunta

Cada agente tem a sua própria identidade e credenciais just-in-time, as ferramentas ficam atrás de salvaguardas contra injeção de prompt e envenenamento de ferramentas, e cada ação é registrada.

Leia mais: Atendimento ao clienteLink para esta pergunta

O acesso segue os papéis e é registrado, os dados ficam onde a lei exige, e as plataformas são projetadas para o GDPR e para as leis de proteção de dados pessoais do Oriente Médio e Norte da África.

Leia mais: RH e talentosLink para esta pergunta

A conformidade é responsabilidade da sua organização e da forma como ela opera. Projetamos e construímos sistemas para passar nas auditorias aplicáveis, documentamos os controles e apoiamos as suas equipes nas avaliações.

Leia mais: Jurídico, risco e conformidadeLink para esta pergunta

Com governança de IA, salvaguardas e auditorias de risco algorítmico, e registros do que cada modelo e agente fez, para que uma avaliação tenha evidências com que trabalhar.

Leia mais: Jurídico, risco e conformidadeLink para esta pergunta

Sim. Os modelos podem rodar em ambiente isolado, no local ou em uma nuvem soberana regional, com recuperação ciente de permissões que aplica o acesso antes de qualquer modelo ver os dados.

Leia mais: Jurídico, risco e conformidadeLink para esta pergunta