PCI DSS Level 1
Сертификат PCI DSS уровня 1 действует с 14 марта 2024 года, аудит — Bureau Veritas. Область покрытия: весь платёжный контур Cobalflow, включая шлюз, Payout API и кассовое ядро.
Скачать письмо
Безопасность
Безопасность уровня банка
Cobalflow строит платёжную инфраструктуру по тем же стандартам, что и крупные банки: сертификация, шифрование на каждом уровне и предсказуемые гарантии доступности. Ниже — то, что проверяет комплаенс и регулятор.
Сертификация
Комплаенс, который проходит аудит
Все ключевые сертификаты действующие, проверены внешними аудиторами и продлены по графику. Отчёты и письма-подтверждения доступны по запросу через менеджера.
ISO/IEC 27001:2022
Сертифицировано TÜV NORD 9 октября 2023 года, переаудит пройден в мае 2024. Система менеджмента информационной безопасности охватывает 14 процессов и 380 контролей.
Смотреть сертификат152-ФЗ и 187-ФЗ
Данные резидентов РФ хранятся в дата-центрах на территории России (МЦ «Королёв» и МЦ «Дубна»). Обработка в соответствии с требованиями 152-ФЗ и 187-ФЗ.
Политика данных
Шифрование данных
Шифрование в покое и в транзите
Каждый байт данных проходит через шифрование на трёх уровнях: сеть, хранилище и приложение. Ключи не покидают аппаратные модули.
Транзит
TLS 1.3, HSTS, mTLS между сервисами
Покой
AES-256-GCM, ключи в HSM Thales, ротация каждые 90 дней
Приложение
PAN не попадает в логи, токенизация через PCI-сертифицированный шлюз
МЦ «Королёв» · зал 2
ISO 27001 · Tier III
Антифрод
Машинное обучение против мошенничества
Собственная модель фрод-детекции обучается на потоке и работает в реальном времени. Каждый платёж проходит через 240+ признаков, прежде чем попасть в обработку.
Скоринг в реальном времени
Решение «approve / review / decline» за 210 мс. Модель учитывает 240 признаков: географию, устройство, частоту, поведение сессии и историю плательщика.
Смотреть архитектуруДоля блокировок
В среднем блокируется 2,1% операций как мошеннические. False-positive ниже 0,04% — меньше, чем у большинства банковских шлюзов в сегменте.
Кейсы детекцииВебхуки и ручное расследование
Подрозделы фрода получают события в реальном времени. Каждое подозрительное событие можно остановить, вернуть и зафиксировать в отчёте для регулятора.
Документация
SLA
Гарантия 99,99% — письменно
Доступность фиксируется в договоре и компенсируется деньгами, а не извинениями. Отчёт по доступности публикуется каждый месяц на публичной странице статуса.
99.99%
Гарантированная доступность API в договоре
4мин
Максимальное время реакции на инцидент P1
30мин
RTO для критических сервисов платёжного контура
0₽
RPO для платёжных операций — ничего не теряется
Нужен SLA под ваш объём?
Для корпоративных клиентов мы оформляем индивидуальные SLA с более строгими порогами, отдельным каналом эскалации и квартальными отчётами по доступности.