Security Statement

Este estado de cuenta describes cómo RapidCents protects el systems ese carry pago y cuenta data, y dónde responsibility para seguridad sits entre RapidCents y el comerciantes quién use them. It es un description de el controls RapidCents operates, no un warranty ese any system es free de vulnerabilities. El controls below cover el RapidCents platform; section 12 sets out qué remains yours.

1. Scope de este estado de cuenta

Este estado de cuenta applies a el RapidCents platform: la pasarela de pagos, página de pago alojada, pago links, Rapid.js, el panel de control del comercio, la terminal virtual, invoicing y facturación recurrente, point-de-sale software, terminals RapidCents supplies, y el APIs y SDKs mediante que those son reached.

It describes el controls en force en el effective date shown above. Controls change as threats y el standards addressing them change, y RapidCents may revise este estado de cuenta; el revision date shows cuando el text last changed. Dónde este estado de cuenta y el Términos de Service differ, el Términos govern el contractual relationship entre usted y RapidCents.

Este estado de cuenta describes practices. It es no un service level, un warranty, o un representation ese any system, product o transmission es free de vulnerabilities.

2. Cómo tarjeta data es handled

Tarjeta numbers go a RapidCents rather than a usted, y usted get back un token. RapidCents never keeps el CVV, el PIN, o el data read off un chip o un stripe.

El platform es built so ese raw tarjeta credentials reach RapidCents rather than comerciante systems. Página de pago alojada, Rapid.js embedded fields, tokenización, el seguro tarjeta vault y validated terminals each captura la tarjeta en un RapidCents-controlled surface y return un token — un reference ese solo RapidCents puede map back a el credential, y ese en its own cannot ser used elsewhere.

Dónde datos del titular de la tarjeta es stored, it es stored encrypted y en systems kept separate desde el web servers ese serve public traffic. Data belonging a different comerciantes es logically separated y inaccessible entre comerciantes, y access a comerciante data por authorized RapidCents staff es logged.

RapidCents retains datos del titular de la tarjeta para up a 24 months de inactivity. Tarjeta verification values, PINs, EMV chip data y magnetic-stripe data son no stored en all — no encrypted, no truncated, no held pending un later step.

• Never stored: tarjeta verification values (CVV).
• Never stored: PINs.
• Never stored: full magnetic-stripe data.
• Never stored: EMV chip data.
• Stored encrypted dónde retained: titular de la tarjeta name, tarjeta number, expiry date, y el titular de la tarjeta address held para AVS.

3. Cifrado de datos en tránsito y en rest

En transit, RapidCents requires TLS version 1.2 connections a its servers, using un limited set de strong ciphers, so ese data moving entre systems es encrypted y its integrity puede ser verified. SSLv3, TLS 1.0 y TLS 1.1 son deactivated. Un integration o device ese puede solo negotiate one de those older protocols will no connect, que es el intended result rather than un fault.

En rest, RapidCents uses el Advanced Cifrado Standard (AES) con 256-bit keys para sensitive comerciante y datos del titular de la tarjeta. El fields encrypted en storage include el titular de la tarjeta name, la tarjeta number, el expiry date y el titular de la tarjeta address held para address verification.

4. Access control y authentication

Staff y comerciantes both use MFA. Internal systems son reachable solo over VPN, y access es recorded.

RapidCents requires autenticación multifactor (MFA) (MFA) para staff y para comerciantes accessing its systems. It es un requirement rather than un option un user puede decline.

Password settings enforce complexity, require passwords a ser changed en un defined schedule, y store them hashed y salted. Users cannot reuse any de su last 13 passwords.

Internal systems son reached over VPN, que gives remote access a un limited selection de systems rather than a el environment as un whole. Access es granted por role, so ese un role carries el access its work requires y no más. Network access y activity son recorded mediante local y centralized registro de eventos técnicos, producing un rastro de auditoría ese puede ser reviewed después de el fact.

5. Network y infrastructure seguridad

Server environments run firewalls con un deny-all incumplimiento de pago policy. Inbound y outbound connections son refused unless un rule authorizing them has been reviewed y added.

Internal office networks son kept separate desde RapidCents platform environments. There es no wireless access a el platform environment, y el office network es reachable solo por employees physically connected a it.

Servers son hardened en line con current seguridad guidance, y systems y network appliances son kept up a date. Dónde un major vulnerability es identified, patches son applied sin delay, y updates son recorded under RapidCents’ change-control policies.

Physical seguridad de el facilities es provided por RapidCents’ cloud data centre providers, que operate 24/7 en-site surveillance y restrict physical access a key personnel mediante multi-factor controls ese include biometrics.

6. Monitoreo, registro de eventos técnicos y intrusion detection

Intrusion detection (IDS) y intrusion prevention (IPS) run en el cortafuegos y locally en cada server en el RapidCents environment. They screen network traffic para suspicious behaviour, abnormal traffic y malicious code, y el prevention layer acts en qué it identifies rather than solo recording it.

Unusual activity raises un alert a el RapidCents seguridad team, together con el attack data dónde un evento has occurred, so el team puede review it y inspect qué fue attempted. Registro de eventos técnicos es collected both locally y centrally, que es qué allows activity a ser reconstructed rather than merely noticed.

7. Seguro development y change control

RapidCents systems y applications son developed en-house. Desarrolladores son trained en seguro coding practice, including el guidance published por el Open Web Application Seguridad Project (OWASP), y son kept current as ese guidance changes.

Building en-house keeps coding standards, source code y deployment cycles under RapidCents’ control, y lets development, quality assurance y seguridad review el same change antes de it ships. Changes a systems son logged as part de RapidCents’ change-control policies.

8. Testing y independent assessment

RapidCents es un PCI DSS Level 1 service provider, el highest de el four validation levels la tarjeta networks define. Holding ese status involves un annual en-site assessment por un independent Evaluador de seguridad calificado (QSA) (QSA), external vulnerability scanning por un Proveedor autorizado de análisis de vulnerabilidades (ASV) (ASV) en least cada 90 days, penetration testing, y inspection against el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS). RapidCents también follows seguridad practices prescribed por el National Institute de Standards y Technology (NIST).

Beyond PCI DSS, el RapidCents control environment es examined against el AICPA SOC 2 Trust Services Criteria. UN SOC 2 Tipo I examination reports en whether controls son suitably designed en un point en time; un SOC 2 Tipo II examination reports en whether those controls operated effectively across un period de months. El Type II report es el one ese describes controls en operation over time, y it es available a comerciantes y prospective comerciantes under un non-revelación de información agreement mediante el Trust Centre — SOC 2 reports son confidential por design y son no published en un website por any provider.

Networks y applications son scanned regularly, both internally y externally, con external scans performed por Approved Scanning Vendors. Penetration testing es carried out por el RapidCents seguridad team y por third-party professionals a check ese unauthorized access y otro malicious activity son no possible; identified vulnerabilities son addressed por el systems y development teams.

Independent assessment covers el RapidCents environment. It says nothing Acerca de el seguridad de un comerciante’s own systems, y it does no validate un comerciante’s PCI DSS compliance. Section 12 y el PCI Compliance page set out ese boundary.

9. RapidCents Seguro Shield

RapidCents operates un proprietary seguridad layer, RapidCents Seguro Shield, que runs above el third-party seguridad tooling described elsewhere en este estado de cuenta rather than en place de it. El commercial controls una plataforma de pagos buys — scanning, monitoreo, filtering, el fraud tools la tarjeta networks require — remain en force; Seguro Shield applies RapidCents’ own controls en top de them, across el platform components listed en section 1.

Seguro Shield es built y maintained en-house, en el same Términos as el rest de el platform described en section 7: standards, source y release cycle stay under RapidCents’ control, y changes son recorded under RapidCents’ change management policies.

Este section describes dónde Seguro Shield sits, no un guarantee de qué it prevents. Section 1 applies a it as it applies a cada otro control en este estado de cuenta: it es un description de practice, no un warranty ese any system es free de vulnerabilities.

10. Availability, backup y continuity

El platform runs en redundant virtual environments across cloud data centres. Those providers use backup power generation y dual-path power distribution, y el architecture es designed a scale compute Recursos quickly a absorb peak demand.

Databases son backed up daily, both entre data centres y offsite, a guard against loss, corruption, theft y destruction.

Redundancy reduces el likelihood de interruption; it does no eliminate it. Este estado de cuenta does no set un availability commitment. Dónde one applies a su cuenta, it es stated en su agreement con RapidCents y no here.

11. Respuesta un incidentes, notification y reporting un vulnerability

If something happens en nuestro side, nosotros investigate y tell el comerciantes it affects. If usted find un weakness, report it mediante el revelación de información page — y never test con live tarjeta data.

RapidCents operates una respuesta un incidentes process covering detection, containment, investigation, remediation y review. Dónde un incident affects un comerciante’s data o cuenta, RapidCents notifies el affected comerciantes sin undue delay y states qué es known, qué es no yet established, y qué el comerciante should do. Notifications a regulators, acquiring banks y el Tarjeta Networks son made as law y el Network Rules require. Este estado de cuenta fixes no number de hours para ese notice, y neither does el Services Agreement: clause D.1.3(d) states el commitment as notice sin undue delay, que means as soon as RapidCents puede give un comerciante something it puede act en, no cuando un investigation closes.

If usted believe usted have found un vulnerability en un RapidCents product, report it mediante el route described en/legal/vulnerability-disclosure, y report it there antes de disclosing it elsewhere. Do no use live datos del titular de la tarjeta, another party’s cuenta o another comerciante’s data en el course de testing, y do no use techniques ese degrade service para others.

If usted know o reasonably suspect ese tarjeta data o credentials associated con su cuenta de comerciante have been compromised, tell RapidCents immediately. Clause D.2 de el Services Agreement, en 2.3, requires immediate notice de any suspected, alleged o confirmed compromised data evento, regardless de its source y including one affecting su own third-party service providers, por email a both[email protected]y[email protected]. El Agreement gives usted no período de gracia y fixes no number de hours; immediately means en knowing o suspecting. Preserve logs y affected systems rather than rebuilding them: un investigación forense needs el evidence ese un clean rebuild destroys.

12. Qué remains su responsibility

Nuestro controls stop en nuestro platform. Su staff, su devices, su integration y su PCI validation son yours.

El controls described above cover RapidCents’ systems. They do no extend a su networks, devices, staff, software o el way su team uses el Services, y they do no discharge su own PCI DSS obligations. Section D de el Services Agreement states ese split contractually — clause D.2 places PCI DSS compliance para su systems, processes y personnel con usted — y el PCI Compliance page explains cómo it maps a su validation.

Most comerciante-side incidents son no sophisticated. They come desde un shared login, una tarjeta number written somewhere it should no ser, o un integration left en un version ese stopped receiving fixes.

• Give each person su own dashboard login, grant el access su role needs, y remove it el day they leave.
• Keep autenticación multifactor (MFA) enabled, y never share un password o un one-time code. RapidCents will no ask usted para either.
• Never write una tarjeta number, CVV o PIN into un notebook, spreadsheet, email, chat message, CRM record, Soporte ticket o call recording.
• Keep su integration, plugins, point-de-sale software y terminals en supported versions, y seguro el servers, endpoints y networks usted control.
• Keep terminals en su possession physically controlled, y inspect them para tampering o substitution.
• Complete su own annual PCI DSS validation en el questionnaire ese matches cómo usted actually accept pagos.
• Tell RapidCents promptly Acerca de un suspected compromise, un lost o stolen terminal, o dashboard activity usted do no recognize.