Андрей

Банки обязаны хранить в тайне сведения о состоянии счетов физических и юридических лиц (т.е. о суммах остатков на них, фактов наличия и т.п.) - банковская тайна.
Все юридические и физические лица (кроме обработки в частных целях), обрабатывающие любые сведения в привязке к физическим лицам - должны обеспечивать конфиденциальность этой информации - персональные данные.
Юридическое лицо может связать Вас соглашением о конфиденциальности (неразглашении) (NDA) практически любой информации, если оно этого захочет, а Вы на это согласитесь (ради того, чтобы с Вами заключили договор) - т.н. конфиденциальные данные третьих лиц.

Других требований вроде бы нет.

Категорически не советую хранить сканы паспортов на сервере, если есть возможность уйти от этого организационными мерами.

Если интересует перечень технических требований, которые должны быть выполнены, то читайте Приказ ФСТЭК №21 (особенно табличку в самом конце). Требуемый уровень защищенности у Вас скорее всего самый маленький, т.к. курьеров не более 100.000 человек (определить уровень необходимо на основании Постановления Правительства РФ №1119), но даже с ним там мероприятий немало.

Есть очень мощный SpiceWorks

Business model
Spiceworks offers its professional network and software free to users. The company generates most of its revenue through the sale of ads displayed on its network. A small percentage of its revenue is generated through purchases of IT products and services made through the Spiceworks platform. The platform also includes premium features, which are available for purchase.

Читайте 17-ый Приказ ФСТЭК и хотя бы на практике его исполняйте + по моему пониманию, Ваше ПО (вернее подсистема защиты персональных данных) должно получить сертификат ФСТЭК на ПДн либо подсистема ЗИ должна быть разработана лицензиатом ФСТЭК. Хотя может быть в случае небольшой партии все "закроют глаза".

Независимый эксперт от Вашей стороны

Официально - быть юр.лицом - лицензиатом ФСБ (ГТ) или ФСТЭК (ТЗКИ) и иметь основание для запроса.

> Если с терминалом оплаты все понятно, на сайте ingenico есть SDK
Не забудьте, что при этом Вы "подпадаете" под PA DSS

Оператор (и правоохранительные органы) имеют право обрабатывать персональные данные не только при наличии согласия, но и в случаях оговоренных федеральным законодательством (ст.6, ч.1, п.2) либо решением суда (ст.6, ч.1, п.3). Дальше нужно читать законодательство об ОРД.

Недавно был аналогичный (по сути) вопрос где-то на англоязычном pen-test форуме.
Один из вариантов ответа :

Найти какую-нибудь известную (адекватную) личность в ИБ (например, руководителя какой-нибудь ИБ-компании) и передать ему на условиях конфиденциальности Вашей персоны. Он уже дальше передаст либо в гос.органы либо разработчику. Его статус с высокой вероятностью отсечет все подозрения в злом умысле.

В Google Translate для Андроид этот вопрос задается пользователю перед первым переводом, примерно вот так:
"Согласны ли Вы чтобы текст, загруженный Вами для перевода, был сохранен и мог использоваться Google для улучшения качества сервиса?"
Оба варианта доступны для выбора.

Если Вы имеете в виду юридическую силу документов, которые должны быть составлены полностью рукописно, то Ваш документ иметь такой силы не будет. Рукописный текст подразумевает возможность графологической экспертизы в случае судебного разбирательства - над Вашим документом графологическую экспертизу провести невозможно.

P.S. Уточню свой ответ, т.к. самому стало интересно. В современной практике оказывается юристы настаивают на полностью рукописном составлении только одного вида документа - расписки. Все остальные виды документов (в т.ч. договора, доверенности и т.п.) в простой письменной форме достаточно собственноручно подписать с полной расшифровкой ФИО - основной текст может быть набран печатным способом.

1) Вы являетесь оператором персональных данных - подайте Уведомление в РосКомНадзор.
2) Вы должны иметь подтверждение того, что пользователь согласился на те виды обработки данных, которые Вы осуществляете.
3) Подсистема безопасности может быть разработана Вами самостоятельно на основании Приказа ФСТЭК №21 (если Вы - коммерческая структура), либо заказана у любого лицензиата ФСТЭК "под ключ"
-----
Лицензия ФСТЭК лично Вашей организации - не нужна, т.к. Вы не оказываете услуг по защите перс.данных другим лицам.

По закону пока только "Политику в отношении обработки персональных данных"

По шаблонам хороший ресурс :
securitypolicy.ru/index.php/%D0%97%D0%B0%D0%B3%D0%...

Вполне возможно, что в Вашей организации есть нормативный документ о том, что средства выч.техники выданы Вам исключительно для исполнения обязанностей, а следовательно, вся история ссылок - это собственность организации.
Вполне возможно, что Вы даже расписались об ознакомлении с этим документом в момент приема на работу.

А вообще копий сломано много и судов много было с результатами как в одну так и в другую сторону.

Простая электронная подпись - не использует криптографию и соответственно не может использоваться для подтверждения целостности какого-либо документа/сообщения/файла (о чём в принципе явно указано в 63-ФЗ). Ее применяют на свой страх и риск участники обмена по взаимной договоренности в основном в тех случаях, когда риски, связанные с ее использованием невелики, а сама информационная система имеет массу сертификатов и заключений об отсутствии НДВ.

В принципе, конечно, достаточно выполнить все требования статьи 9 63-ФЗ и ЭП будет считаться имеющей юридическую значимость. Однако, в случае, если разработчик информационной системы - Вы (а не стороннее юр.лицо с лицензией на ТЗКИ), то не забывайте, что Вы будете фактически находиться в заведомо неравных условиях против пользователя (иметь техническую возможность манипулировать переданными Вам данными) и в суде клиент может потребовать независимую экспертизу, результат которой может оказаться непредсказуемым.

Проводить операции в автоматическом режиме мало кто из банков согласится, ибо большие проблемы с юридической значимостью. А ради одной выписки строить API - наверное пара-тройка банков только найдется.

securitypolicy.ru/index.php/%D0%9A%D0%B0%D1%82%D0%...

Поддерживаю @iiil . Пару лет назад даже появился термин "масштабируемость угрозы".