Fizetés hitelesítése_Payment Authentication

Az online fizetések világában megjelent új kulcsszavak, mint például a PSD2, erős hitelesítés vagy 3-D Secure 2, legfőképpen a webáruházakban és a mobilalkalmazásokban végzett kártyás fizetések további problémamentes használatával kapcsolatban keltettek aggodalmat. Ezek a félelmek azonban alaptalanok, mivel a K&H Pénzforgalmi szolgáltató payment gateway / vPOS támogatja és megoldja a kereskedők által elvégzendő tevékenységek nagy részét. Az erős ügyfélhitelesítés emellett a kártyatársaságok szabályaiban is megjelenik, és lehetővé teszi a kereskedők részére is a tranzakció biztonság növelését valamint a csalások és megalapozatlan reklamációk számának csökkentését.

Miért kell hitelesítenünk az online fizetéseket

A PSD2 európai irányelv (Magyarországon a pénzforgalmi törvényben implementálva: Pénzforgalmi törvény) szerint az „erős ügyfél-hitelesítés” követelménye minden online fizetési tranzakcióra kiterjed. Az „erős ügyfélhitelesítés” azt jelenti, hogy a tranzakció hitelesítése két különböző hitelesítési faktorral (tényezővel) történik. Hitelesítési faktor lehet a következő három közül: valamilyen tudás alapú ismeret (például egy jelszó), valamilyen birtokolt dolog (például egy aktivált mobilalkalmazás vagy egy hardveres kódgenerátor, azaz token), illetve valamilyen biológiai tulajdonság (biometrikus adat, általában ujjlenyomat vagy arckép).

Az erős ügyfél-hitelesítés követelménye alól a kártyás fizetések sem kivételek. A mobilalkalmazásokon alapuló hitelesítés a gyakorlatban már túlnőtt a hagyományos online bankolás keretein és a fizetések világában is elterjedt. (Lehetnek stand-alone alkalmazások, illetve más alkalmazásokba integráltak). Az Apple Pay és Google Pay mobiltárcáknak előnye a klasszikus fizetési kártyákkal szemben, hogy az Apple Pay és a Google Pay közvetlenül az iPhone, illetve az Android készüléken elvégzi az ügyfél hitelesítését egy jelszó (kód) megadása vagy biometrikus adatok (pl. Touch ID, Face ID) alapján.

Hitelesítési kivétel lehetőségek (hitelesítés ügyfél megerősítés nélkül, frictionless)  

A PSD2 szabályozás azt is lehetővé teszi, hogy egy, az aktuális tranzakció hitelesítése az ügyfél jellemző tranzakciós szokásaival összevető kockázati modell alapján történjen meg. Ezt a lehetőséget a 3 D Secure 2 hitelesítő rendszer használja. Ilyenkor a payment gateway továbbítja az ügyfél és a vásárlások adatait a kártyakibocsátó felé, a kártyakibocsátó pedig fokozatosan, az ügyfél fizetési tranzakciói alapján összeállítja az ügyfél jellemző tranzakciós szokásain alapuló modelljét. A modell segítségével a kártyakibocsátó a további vásárlások során kapott információk alapján minden egyes tranzakciónál kiértékeli, hogy elfogadja-e annak kockázatait. Amennyiben elfogadja, úgy a hitelesítés a háttérben történik, és az ügyfélnek semmilyen további hitelesítést /megerősítést nem kell adnia. A kártyakibocsátó csak akkor kér megerősítést, ha az ügyfél például nagy összegű vagy a tranzakciós szokásaitól eltérő tranzakciót kíván végrehajtani. Ilyenkor az ügyfélnek meg kell erősítenie /hitelesítenie kell a tranzakciót, például a fent említett mobilbankos alkalmazás segítségével. Magától értetődő, hogy a háttérbeli hitelesítéssel végzett vásárlás és fizetés sokkal kényelmesebb, mert gyorsabb, és az ügyfélnek nem szükséges megerősítenie a tranzakciót a kártyakibocsátó banki alkalmazásában. Ezért azt tanácsoljuk, hogy a lehető legtöbb kiegészítő vásárlási információ kerüljön megküldésre a payment gateway felé, hogy a kártyakibocsátó a lehető legjobban dönthessen, és hiányos tranzakciós információk miatt ne kelljen szükségtelenül az ügyfél megerősítését kérnie.

Kiegészítő vásárlási adatok biztosítása a kártyakibocsátónál végzett kockázatelemzéshez  

A kiegészítő vásárlási adatoknak több csoportja létezik:

Az ügyfélre és korábbi vásárlásaira vonatkozó adatok akkor fontosak, ha az ügyfél regisztrálva van a webáruházban. Ilyenkor a rendszer továbbítja az ügyfél fiók előzményeit (létrehozás, módosítás stb.) tartalmazó adatokat és a vásárlásainak számát a Payment gateway felé.

A vásárlás adatai elsősorban az ügyfél kapcsolattartási adatait (számlázási és szállítási címét) tartalmazzák. A kosárba tett egyes tételekre vonatkozó információkat nem tartalmaz. A vásárolt termék jellegéről (pl áru, szolgáltatás, digitális formában leszállított tartalom stb.) és a kockázatos tételekről (például ajándékkártyák) tartalmaz információkat.

Ügyfél device adatai – fizetés során a kártyakibocsátó megkapja az ügyfél által használt böngésző vagy okostelefon műszaki paramétereiből álló „ujjlenyomatát”. Ha az ügyfél később ugyanazzal az eszközzel vásárol, így növekszik annak a valószínűsége, hogy a rendszer megerősítés nélkül, a háttérben elvégzi a hitelesítést.

A személyes adatok védelmének és az általános adatvédelmi rendelet összefüggései

A személyes adatok védelme és az általános adatvédelmi rendelet (GDPR) tekintetében a Bank és a kereskedő a személyes adatok független adatkezelőiként járnak el, és így teljesítik az egymás felé meglévő jogi kötelezettségeiket. Különösen azt a kötelezettséget kívánjuk kiemelni, amely előírja az ügyfelek átlátható tájékoztatását a kezelt adatok köréről és kezelésének céljáról. A Bank az Adatkezelési tájékoztató című dokumentum saját weboldalán való közzétételével tesz eleget az ügyfelek felé fennálló kötelezettségének. A dokumentumot rendszeresen frissítjük, ami a 3D Secure 2 bevezetésével kapcsolatos kiigazításokra is kiterjed. A kereskedőknek hasonlóképpen kell tájékoztatniuk ügyfeleiket.

A payment gateway API-ja által a kiegészítő vásárlási adatok továbbítására használt adatszerkezet [részletes leírása](Fizetési adatok / Purchase-metadata).

Erős ügyfél-hitelesítés alóli mentesség kis összegű kifizetések esetében  

EUR 30 –nak megfelelő HUF összeg alatti tranzakciók esetében a kereskedő kezdeményezheti a kártyakibocsátó felé, hogy ne végezzen tranzakció hitelesítést. Ennek az a célja, hogy felgyorsítsa azokat a fizetéseket, amelyek (például az ügyfél ismert tranzakciós szokásai alapján) minimális kockázatot jelentenek a kereskedő számára. Ha a kártyakibocsátó elfogadja a kérést, a tranzakció hitelesítés nélkül elfogadásra kerül. Ha a kártyakibocsátó nem fogadja el a kérést (például azért, mert az egymás utáni hitelesítés nélküli tranzakciók száma túllépte a megengedett értéket), akkor ügyfél által megerősített hitelesítést kér.

Ha alkalmazni kívánja az alacsony értékű fizetésekre vonatkozó mentességet, vegye fel velünk a kapcsolatot a következő módon: írjon a saleskhpos@kh.hu vagy khpos@kh.hu email címre. A szolgáltatás aktiválása nem automatikus. A mentesség alkalmazása esetén a tranzakcióval összefüggő kockázatokat a kereskedő viseli, az ügyfél tranzakcióval kapcsolatos reklamációja esetén. A payment gateway nem alkalmazza automatikusan a kis összegű fizetésekkel kapcsolatos mentességet mindegyik tranzakciónál. Saját döntése alapján a kereskedő maga kérheti azt, amikor a payment/init API funkcióval elindítja a tranzakciót és a szolgáltatás aktiválásra került a K&H Pénzforgalmi szolgáltatónál.

A kis összegű fizetési tranzakciókra vonatkozó mentesség csak normál kártyás fizetésekhez elérhető. OneClick fizetés típusú, valamint Apple Pay és Google Pay mobiltárcával végzett fizetési tranzakcióknál nem alkalmazható.