Pagamento seguro: padrões e certificações de comércio eletrônico

Em matéria de pagamento online, a questão não é saber se um incidente vai ocorrer, mas quem suportará o custo. A resposta depende de dois elementos: o cumprimento da norma aplicável aos dados de cartão e o uso efetivo da autenticação forte. Um comerciante que cumpra estes dois pontos suporta pouco risco; um comerciante que tenha contornado a autenticação para agilizar o seu funil suporta a totalidade dos impagos fraudulentos.

A autenticação forte, e quem paga em caso de fraude

A diretiva europeia relativa aos serviços de pagamento impõe uma autenticação forte do cliente para a maioria das operações online. Baseia-se em pelo menos dois elementos independentes entre três categorias: algo que o cliente sabe (palavra-passe, código), algo que possui (telefone, cartão), algo que é (impressão digital, reconhecimento facial).

A regra de responsabilidade que resulta disto é simples e muitas vezes mal compreendida:

• Quando a autenticação forte foi aplicada, o custo de uma operação fraudulenta contestada não recai sobre o comerciante.
• Quando foi afastada — por uma isenção invocada pelo comerciante ou pelo seu prestador — o risco recai sobre quem solicitou a isenção.

Existem isenções: operações de baixo valor, beneficiários de confiança registados pelo cliente, análise de risco em tempo real sob determinadas condições. Estas agilizam o percurso, ao preço de uma transferência de responsabilidade que deve ser assumida com pleno conhecimento de causa.

O cliente dispõe, além disso, de um direito ao reembolso em caso de operação não autorizada, que o seu banco deve executar sem demora, salvo suspeita de fraude da sua parte. O litígio é depois resolvido entre as instituições e o comerciante.

A norma aplicável aos dados de cartão

Qualquer entidade que armazene, processe ou transmita dados de cartão está sujeita à norma de segurança do setor, independentemente do seu volume de atividade. O nível de exigência varia segundo o número de transações anuais, mas o princípio não é negociável.

A forma mais eficaz de reduzir esse encargo é reduzir o perímetro. Um comerciante que nunca tem acesso aos dados de cartão — porque a introdução é feita num campo alojado pelo prestador de pagamento, ou numa página de redirecionamento — vê as suas obrigações consideravelmente reduzidas.

Duas práticas anulam esse benefício e são frequentes: receber um número de cartão por e-mail ou por telefone e introduzi-lo pessoalmente, e conservar números num ficheiro «para facilitar encomendas seguintes». Em ambos os casos, o perímetro estende-se a toda a infraestrutura que teve contacto com o dado.

A tokenização é a resposta à necessidade de pagamento recorrente: o comerciante conserva um token inutilizável fora do seu contexto, nunca o número em si.

O que releva da proteção de dados

Os dados de pagamento são dados pessoais, e o seu tratamento acrescenta-se às obrigações setoriais, sem as substituir.

Três pontos estruturam a conformidade: uma base legal para cada tratamento, um prazo de conservação limitado ao que é necessário, e um enquadramento contratual do prestador de pagamento na qualidade de subcontratante.

A conservação dos dados bancários para facilitar uma compra posterior pressupõe o consentimento específico do cliente, distinto da aceitação dos termos e condições gerais. Uma única caixa de seleção que abranja simultaneamente os termos gerais e a conservação do cartão não cumpre esta exigência — o mesmo raciocínio exposto para os rastreadores e cookies, onde o consentimento deve ser recolhido por finalidade.

Os impagos e a luta contra a fraude

Dois riscos distintos pesam sobre um comerciante, e exigem respostas diferentes.

O impago fraudulento resulta de um cartão roubado ou de uma usurpação de identidade. A autenticação forte neutraliza-o ao transferir o encargo. É o único mecanismo que protege realmente.

O estorno abusivo ocorre quando um cliente contesta uma operação que, no entanto, realizou. Aqui, a autenticação não é suficiente: é preciso conseguir demonstrar a entrega e a conformidade da prestação. As provas úteis são a rastreabilidade do envio, a prova de entrega e o histórico das trocas — tema desenvolvido no nosso artigo sobre as obrigações de entrega e devoluções.

Um terceiro mecanismo limita ambos: o limite máximo e a filtragem das operações atípicas, por montante, por frequência ou por zona geográfica.

Cenários de utilização

Loja online padrão. Utilizar um campo de introdução alojado pelo prestador, nunca tocar nos dados de cartão, manter a autenticação forte ativada por defeito. É a configuração que minimiza simultaneamente o encargo de conformidade e o risco financeiro.

Subscrição recorrente. Recorrer à tokenização, com um consentimento específico do cliente para a conservação do meio de pagamento, distinto da aceitação dos termos e condições gerais.

Venda por telefone. É a situação mais arriscada: sem autenticação forte, dados dictados verbalmente. Preferir o envio de um link de pagamento, que traz a operação de volta ao quadro seguro e deixa um registo.

Perguntas frequentes

A autenticação forte é obrigatória? Sim, para a maioria das operações online, exceto isenções regulamentadas. Invocar uma isenção transfere o encargo da fraude para quem a solicita.

Quem paga em caso de fraude com cartão? Se a autenticação forte foi aplicada, o encargo não recai sobre o comerciante. Se foi afastada por uma isenção, recai sobre quem a solicitou.

É preciso ser certificado para vender online? A norma aplica-se a partir do momento em que dados de cartão são armazenados, processados ou transmitidos. O nível de exigência depende do volume, mas o perímetro reduz-se fortemente quando o comerciante nunca acede aos dados.

É possível conservar um número de cartão? Não em texto simples, e não sem consentimento específico. A tokenização permite o pagamento recorrente sem conservar o número em si.

Um número recebido por e-mail pode ser introduzido? É algo a evitar absolutamente: o dado passa então a integrar o perímetro de conformidade de toda a infraestrutura que o tratou, incluindo o sistema de mensagens.

Como se defender de uma contestação abusiva? Pela prova de entrega e de conformidade: rastreabilidade do envio, prova de entrega, histórico das trocas. A autenticação, por si só, não responde a esta reclamação.

A reter

Duas decisões determinam a exposição de um comerciante online, e ambas são tomadas no momento de escolher o seu funil de pagamento.

A primeira é nunca aceder aos dados de cartão, deixando a introdução ser feita junto do prestador. Isto reduz o encargo de conformidade em proporções consideráveis e elimina o risco de fuga de dados.

A segunda é manter a autenticação forte em vez de invocar isenções para agilizar o percurso. Cada isenção ganha alguns pontos de conversão e transfere o custo da fraude. O cálculo merece ser feito de forma explícita, com a taxa real de impagos face ao ganho de conversão — é um dos compromissos estruturantes do quadro legal de uma loja online.