Sicherheit und Datenschutz
QrX verbindet Zahlungsanbieter, Versanddienstleister und Paketstationsnetze. Sicherheit bei QrX basiert auf klaren Zuständigkeiten: Der Zahlungsanbieter wickelt die Zahlung ab, der Zustellpartner kümmert sich um das Paket, und QrX koordiniert den verifizierten Status dazwischen. Dieser Artikel erklärt, wie das Verbraucher, Händler und Partner schützt.
Zahlungssicherheit
QrX speichert niemals Kartendaten. Zahlungen werden von lizenzierten, PCI DSS-konformen Zahlungsanbietern (Stripe, Mollie und MultiSafePay) abgewickelt. Kartennummern und Zahlungsdaten gehen an den Zahlungsanbieter, nicht an QrX.
QrX verwahrt niemals Kundengelder. Der Zahlungsanbieter zahlt das Geld im Rahmen des eigenen PSP-Vertrags des Händlers an den Händler aus.
Starke Kundenauthentifizierung wie 3D Secure oder eine Bestätigung in der Banking-App wird vom Zahlungsanbieter und Ihrer Bank angewendet, wenn die Zahlungsmethode es erfordert.
Verifizierte Zahlungsereignisse. QrX markiert eine Transaktion nur auf Grundlage einer Bestätigung des Zahlungsanbieters als bezahlt.
Echte Zahlungsseiten für das Bezahlen an der Tür werden unter go.qr-x.app bereitgestellt. Jeder QR-Code ist mit genau einer Bestellung verknüpft, sodass Sie Betrag und Händler vor dem Bezahlen prüfen können.
Verschlüsselung und Hosting
Alle Verbindungen werden bei der Übertragung mit TLS 1.2 oder höher verschlüsselt.
Primäre Datenspeicher sind im Ruhezustand verschlüsselt, und Backups sind verschlüsselt.
Die Plattform wird auf Google Cloud im Europäischen Wirtschaftsraum (EWR) gehostet. Überträgt ein Dienstleister Daten außerhalb des EWR, wird ein gültiger Übermittlungsmechanismus wie die EU-Standardvertragsklauseln verwendet.
Authentifizierung und Zugriffskontrolle
Portal-Anmeldung mit Bestätigungscode. Die Anmeldung bei PortalX kombiniert Ihr Passwort mit einem einmaligen Bestätigungscode.
Rollenbasierte Berechtigungen. Teammitglieder sehen und tun nur, was ihre Rolle erlaubt.
Kontotrennung. Die Daten jedes Händlers bleiben innerhalb seines eigenen Kontos und seiner Kanäle.
Signierte Anfragen. Portal-Anfragen werden mit HMAC signiert, um ihre Integrität zu schützen.
API-Sicherheit. Die öffentliche API verwendet einen API-Schlüssel pro Händlerkanal, der gegen ein kurzlebiges Bearer-Token (eine Stunde gültig) getauscht wird, mit Ratenbegrenzungen pro Schlüssel.
Signierte Webhooks. Jede Webhook-Zustellung trägt eine HMAC-SHA256-Signatur, damit Ihr System prüfen kann, dass sie von QrX stammt. Signaturgeheimnisse können rotiert werden.
Nur-Schreib-Geheimnisse. Zugangsdaten, die Sie in PortalX speichern, etwa Ihre eigenen E-Mail- oder SMS-Absenderkonten, werden nach dem Speichern nie wieder angezeigt.
Kommunikationssicherheit
Transaktions-E-Mails werden über SendGrid und SMS- sowie WhatsApp-Nachrichten über Bird versendet, jeweils auf Grundlage von Auftragsverarbeitungsverträgen. Zahlungslinks, PIN-Codes und Verifizierungsnachrichten werden nur an die für die Bestellung angegebenen Kontaktdaten gesendet, und sensible Links sind signiert, sodass sie nicht erraten oder verändert werden können.
Überwachung und Nachvollziehbarkeit
Anwendungsfehler werden mit Sentry überwacht, und die Verfügbarkeit der Plattform wird auf der QrX-Statusseite unter status.qr-x.app veröffentlicht.
Aktionen in PortalX werden in einem Aktivitätsprotokoll erfasst, sodass Händler sehen können, wer was wann getan hat.
Betrugs- und Sicherheitsprüfungen können eine Transaktion zur Überprüfung markieren. Eine Person kann eine Markierung auf Anfrage überprüfen. Ob eine Zahlung erfolgreich ist, entscheidet der lizenzierte Zahlungsanbieter.
Datenschutz und DSGVO
Die QrX B.V. verarbeitet personenbezogene Daten gemäß der DSGVO und niederländischem Recht. QrX ist Verantwortlicher für Daten zu Händlerkonten, Abrechnung, Website, Support und Sicherheit. Wenn ein Händler QrX Daten seiner Kunden für Sendungen, Payment on Delivery, PIN-Zustellung oder Retouren übermittelt, ist der Händler Verantwortlicher und QrX Auftragsverarbeiter gemäß dem QrX Data Processing Addendum (Auftragsverarbeitungsvertrag). Lesen Sie die Datenschutzerklärung und das Data Processing Addendum für Details. QrX verkauft niemals personenbezogene Daten.
Was Sie tun können
Teilen Sie niemals Passwörter, Bestätigungscodes, API-Schlüssel oder Kartendaten im Chat, per E-Mail oder am Telefon. QrX wird niemals danach fragen.
Bewahren Sie API-Schlüssel nur auf Ihrem Server auf und rotieren Sie sie, wenn Sie vermuten, dass sie offengelegt wurden.
Prüfen Sie vor dem Bezahlen, dass sich eine Zahlungsseite auf go.qr-x.app befindet und den Betrag Ihrer Bestellung anzeigt.
Wann Sie unser Support-Team kontaktieren sollten
Wenden Sie sich direkt an den QrX-Support, wenn Sie einen unbefugten Zugriff auf Ihr Konto, einen offengelegten API-Schlüssel oder ein Webhook-Geheimnis, einen verdächtigen Zahlungslink oder eine Datenpanne vermuten. Sicherheitsmeldungen werden immer von einer Person bearbeitet. Für Datenschutzanfragen schreiben Sie an [email protected].