PSD2 saltzaileentzat azalduta: zer agintzen duen, salbuespenak eta zergatik eskatzen duen bankuak kodea

Interneten bidez kobratzen duen edozein negoziorentzat, Europako Ordainketa Zerbitzuen bigarren Zuzentarauak (PSD2) egiturazko aldaketa ekarri zuen eroslearekiko harremanean. Bere helburu nagusia urruneko ordainketetako iruzurra murriztea da, bezeroaren autentifikazio indartuaren bidez (SCA). Hala ere, merkataritza elektronikoaren egunerokoan, legezko eskakizun horrek dilema praktiko bat sortzen du maiz: nola bete araua ordainketa-orrian (checkout) erosketa bertan behera uztea handitu gabe egiaztapen gehiegi daudela eta.

Zuzentarauaren mekanismoak ulertzeak aukera ematen du kobrantza-estrategia orekatu bat eraikitzeko ordainketa-arauen esparruan.

Autentifikazio indartuaren nahitaezko bi faktoreak

PSD2k xedatzen duenez, txartelaren jabeak hasitako ordainketa elektroniko bat baliozkotzeko, txartela edo ordainbidea jaulki duen erakundeak hiru kategoria hauetako bi faktore independente egiaztatu behar ditu gutxienez:

• Ezagutza: erabiltzaileak bakarrik dakien zerbait, hala nola pasahitz bat, PIN kode bat edo aldez aurretik zehaztutako segurtasun-galdera baten erantzuna.
• Jabetza: erabiltzaileak bakarrik duen zerbait, hala nola jakinarazpen babestua jasotzen duen telefono mugikor bat, gakoen sorgailu fisiko bat edo koordenatu-txartel bat.
• Berezko ezaugarria: erabiltzailea bera dena, hala nola hatz-marka, aurpegi-ezagutza edo begi-niniaren eskaneatzea biometriaren bidez.

Espainiako eta Europako banku-jardueran, txarteletan egiaztapen hori bideratzeko protokolo tekniko estandarra 3D Secure da. Elkarreragin arruntenak jabetza eta berezko ezaugarria konbinatzen ditu (bankuaren aplikazioan hatz-markaren bidez sartzea jakinarazpen bat jaso ondoren) edo jabetza eta ezagutza (SMS bidezko kode bat eta lineako bankuko gakoa).

Salbuespenen katalogoa: nola kobratu marruskadura gutxiagorekin

Araudiak ez du behartzen transakzio guztietan autentifikazio zorrotza aplikatzera. Sareko ordainketetan arintasun komertziala babesteko, salbuespen tekniko batzuk eska ditzakete merkataritzak edo bere kobrantza-hornitzaileak baimen-eskaeran:

• Zenbateko txikiko ordainketak: 30 eurotik beherako eragiketak. Hala ere, jaulkitzaileak autentifikazioa eskatu behar du egiaztapenik gabeko eragiketen zenbateko metatua 100 eurora iristen denean edo txartel berarekin salbuetsitako bost eragiketa jarraian egiten direnean.
• Transakzioaren arrisku-analisia (TRA): bigarren faktorea saihesteko bidea ematen du 100, 250 edo 500 eurorainoko erosketetan, baldin eta erakunde eskuratzailearen edo jaulkitzailearen iruzur-tasa Europako Banku Agintaritzak (EBA) ezarritako mugen azpitik badago. Eskuratzaileak iruzur-maila oso baxua badu, salbuespen hori maizago eska dezake.
• Konfiantzazko onuradunak (whitelisting): txartelaren jabeak bere bankuari adieraz diezaioke merkataritza jakin bat segurutzat jotzen duela lehen erosketa bat modu seguruan autentifikatu ondoren. Webgune bereko hurrengo kobrantzetan, jaulkitzaileak ez du zertan egiaztapen berririk eskatu.
• Zenbateko finkoko transakzio errepikakorrak: zenbatekoa eta onuraduna aldatzen ez diren harpidetzetan, SCA hasierako kobrantzan edo txartela erregistratzean bakarrik da derrigorrezkoa. Hurrengo kuotak merkataritzak hasitako transakziotzat (MIT) hartzen dira.

Zergatik eskatzen duen bankuak kode bat oraindik ere

Salmenta-taldeen artean ohikoa da galdetzea zergatik aurkitzen duen erosleak eragozpenen bat merkataritzak salbuespen bat eskatu badu. Arrazoia eskumenen banaketan dago: merkataritzak salbuespena proposatzen du, baina azken erabakia txartela jaulki duen bankuarena da.

Jaulkitzaileak salbuespena baztertu eta autentifikazio osoa eska dezake (*soft decline* edo egiaztapen-maila igotzea) hainbat arrazoirengatik:

• Bere barneko arrisku-motorrak ezohiko parametroak antzematen ditu, hala nola ohikoa ez den IP helbide bat, gailu-aldaketa bat edo erosketa-patroi bitxiak.
• Erosleak salbuetsitako eragiketen muga metatuak gainditu ditu merkataritzak jakin gabe, kontagailu hori jaulkitzaileak bakarrik kontrolatzen baitu.
• Bankuaren barne-politikak ez du arriskurik hartu nahi ordutegi jakin batzuetan edo merkataritza-sektore jakin batzuetan aldez aurretik egiaztatu gabeko eragiketak onartzeko.

Erantzun hori gertatzen denean, merkataritzaren ordainketa-pasabideak prest egon behar du ezezko leun hori jaso eta berehala 3D Secure fluxua abiarazteko, eroslea prozesua zerotik hastera behartu gabe.

Nork hartzen du bere gain iruzurraren kostua

PSD2 betetzeak ez dio pantailako bihurketari bakarrik eragiten; dirua nork galtzen duen ere erabakitzen du iruzur erreal bat edo baimendu gabeko ordainketa-erreklamazio bat dagoenean.

Transakzio batek autentifikazio indartua arrakastaz gainditzen duenean, erantzukizun-aldaketa (*liability shift*) gertatzen da. Jabeak geroago kargu hori baimendu ez zuela adierazten badu, chargeback eragiketaren galera ekonomikoa txartelaren banku jaulkitzaileari dagokio gehienetan, iruzur nabarmeneko kasuetan izan ezik.

Aitzitik, merkataritzak arrisku-analisiaren (TRA) bidezko salbuespena lortzen badu eskuratzailearen bidez, erantzukizun-aldaketa ez da modu berean aplikatzen: erosketa iruzurrezkoa bada, merkataritzak eta bere erakunde eskuratzaileak hartu behar dute beren gain itzulketaren galera ekonomikoa.

Ondorio praktikoa

PSD2 ez da oztopo burokratikotzat hartu behar, kobrantza-egitura baldintzatzen duen arau finkotzat baizik. Salmenta guztietan autentifikazioa behartzeak chargeback arriskua murrizten du, baina bihurketa kaltetzen du. Salbuespenak bereizi gabe eskatzeak banku zuhurren ezezkoak gehitzea edo berreskuratu ezin den iruzurraren kostuak handitzea ekar dezake. Ordainketa-pasabidearen konfigurazio teknikoa aztertzea, jaulkitzailearen erantzunak behar bezala kudeatzeko eta salbuespen hautatuak aplikatzeko, biderik sendoena da diru-sarrerak eta bezeroaren erosketa-esperientzia aldi berean babesteko.