A segunda directiva sobre serviços de pagamento elaborada pela Comissão Europeia, que tinha que entrar em vigor este mês de setembro, terá sido adiada, deste forma os países da União Europeia têm a oportunidade de preparar-se para a aplicação da autenticação adicional SCA (Strong Customer Authentication) para todas as transacções online.
A historia
Em 2007 foi implementada a PSD1, na qual uma diretiva estabelecia uma série de normas para todos os países da UE e que abrangia as transações não monetárias e os pagamentos online. Também incluía um novo conjunto de novos fornecedores de serviços de pagamentos denominados Serviços de Pagamento (Payment Services).
Após 16 anos, a UE fez agora uma revisão da legislação para a melhorar, na qual inclui novas formas de pagamento digital como a possibilidade de pagar com o telemóvel. Atribui um papel mais importante à Autoridade Bancária Europeia na hora de coordenar as autoridades e elaborar normas técnicas.
O objetivo desta nova legislação é aumentar as medidas de segurança para impedir o fraude e os “chargebacks” nos pagamentos online, como referimos anteriormente no nosso blog Um resumo da situação actual dos pagamentos online
De acordo com o Banco Central Europeo, o 73% dos fraudes são feitos com pagamentos sem o cartão presente (CNPs), o qual inclui os pagamentos realizados por internet, ao contrário das transações em pontos de venda através de ATMs com um 19% e um 8%.
Avançando…
Quais são as vantagens da SCA?
A possibilidade de fraude será reduzida.
Apresenta uma oportunidade de diferenciação competitiva.
De acordo com um estudo feito pela empresa Stripe, 60% dos consumidores online na Europa estão a favor da SCA, por tanto, os consumidores aceitam esta medida de forma positiva.
A seguir vamos explicar tudo o que você precisa de saber sobre a PSD2 de forma a que esteja bem informado e o que deve ter em consideração como agência de alojamento local:
Vamos directos ao assunto…
Em primeiro lugar, a SCA (Strong Customer Authentication) surgiu devido ao regulamento da União Europeia, a PSD2, a qual teve que ser revista devido ao aumento das transações e dos diferentes dispositivos que se utilizam.
O que é exatamente a SCA?
Trata-se de uma verificação adicional para os pagamentos realizados de forma online. Para poder fazer esta verificação adicional deve utilizar-se duas das três seguintes formas de autenticação:
- Algo que o usuário saiba. Por exemplo, inserir um código PIN ou password.
- Algo que só o usuário tenha. Poderia ser um cartão de crédito, telefone ou outro dispositivo que permita fazer pagamentos.
- Algo que o usuário seja. Neste caso falamos sobre a biometria, isto é, o reconhecimento facial, impressão digital ou escanear a íris.
O que é o 3D Secure?
O 3D Secure é uma forma de verificar os cartões de crédito, também é conhecido como “Visa Secure” ou “Mastercard Identity Check”. O 3DS1 é utilizado na indústria das viagens para evitar o fraude mas neste momento a primeira versão tem cerca de 20 anos. Por este motivo a EMVCo (uma organização formada pelas 6 principais redes de cartões) criou a segunda versão 3DS2.
O 3DS1 foi criado no ano 2001 porque as outras medidas de segurança como AVS ou CVC tinham um alto risco de fraude e risco de chargeback.
3DS1 VS 3DS2
Sem entrar em grandes detalhes técnicos, a principal diferença entre as duas versões é que que o 3DS2 conta com ferramentas que melhoram a experiência do usuário durante o processo de pagamento, é mais seguro e é compatível com compras feitas com dispositivos e app móveis.
Embora que a principal estratégia para cobrir a SCA seja ativar o 3D Secure no seu banco ou fornecedor de serviço de pagamento, deve ter em consideração as isenções e os modelos de pagamento que não enquadram dentro do âmbito de verificação adicional.
Modelos de pagamento fora do âmbito da SCA
Transações unilaterais
Este regulamento somente é aplicado com entidades financeiras que oferecem serviços na EU. Por exemplo, se o titular de um cartão de US faz um pagamento num Website que está dentro da União Europeia, a SCA não será aplicada.
MOTO (Mail or Telephone Order)
As transações feitas através de telefone ou por e-mail não precisam de ter uma verificação adicional.
MIT (Merchant Initiated)
Isto significa que a transação é feita quando o titular do cartão não está presente. Os pagamentos que são abrangidos pelo âmbito da Autoridade Bancária Europeia e que não têm de passar pela autenticação adicional são:
- Pagamentos recorrentes como faturas, televisão por cabo ou subscrições
- Transações para partilhar carro ou bicicleta.
- Subscrições de serviços digitais (Netflix, Spotify, etc)
- Pagamentos de seguros
Os pagamentos que fazemos referência acima tratam-se de débitos diretos nos quais o cliente está offline, pelo que a EBA considera que não é preciso fazer uma autenticação pois já foi dado um consentimento prévio através de um contrato.
Deve ter em consideração que os pagamentos realizados com um cartão de crédito/débito que está registado num comércio electrónico, devem passar por uma autenticação adicional. Um bom exemplo é quando um cliente regista o seu cartão num website ou app e realiza o pagamento simplesmente com fazer click num botão.
Isto acontece porque a EBA considera que esta compra é feita online pelo consumidor sem um consentimento prévio, e por tanto, precisa de um verificação de segurança adicional.
Só aquelas empresas que, cobram aos seus clientes quando eles não estão presentes durante o processo de pagamento, utilizando as credenciais de pagamento gravadas (com consentimento prévio), estão qualificadas como MIT (Merchant Initiated).
Isenções
Pagamentos com um valor baixo
As compras com valor não superior a 30 EUR estão isentas, no entanto a SCA será solicitada pelo banco do cliente no caso de que este tipo de transações seja feita mais de 5 vezes ou no caso de atingir um valor total de 100€.
No caso das agências de alojamento local, esta exceção é aplicada, por exemplo, se o cliente compra um serviço extra através do website e o valor do serviço for inferior ao montante que indicamos anteriormente. Mas se o mesmo cliente pagasse mais 5 vezes pelo mesmo serviço extra ou chegasse a atingir o valor total indicado acima, seria solicitada a verificação através do PSP ou banco do cliente.
Whitelisting
Esta isenção é aplicada quando o cliente inicia uma transação e o comerciante está incluído numa lista de beneficiários de confiança. Esta isenção tem em consideração tanto os pagamentos feitos de forma remota como aqueles feitos presencialmente. No entanto, tenha atenção, porque o cliente deverá realizar uma autenticação prévia a inseri-lo la lista.
Um exemplo de como funciona este processo é, quando um banco emissor inclui no processo de pagamento uma check box extra onde aparece uma pergunta como: “Confia no seu fornecedor de serviços de viagens?”, se o viajante marca esta check box, a empresa é adicionada à sua lista de empresas isentas da SCA.
No entanto, deve ter em consideração que esta isenção é difícil de implementar a nível técnico e, por tanto, não todos os emissores poderão ter esta opção pronta em setembro.
Pagamentos corporativos
No caso dos pagamentos entre empresas B2B, a autenticação não será necessária se as empresas já utilizam um processo de pagamento seguro ou se utilizam cartões corporativos sem titular como, por exemplo, os cartões virtuais.
Transações com um risco baixo
Esta isenção, também conhecida como TRA (Transaction Risk Analysis), pode ser implementada pelos fornecedores de serviços de pagamentos ou bancos através do qual podem solicitar uma análise em tempo real do risco da operação para decidir se é aplicável a SCA.
No entanto, no caso de esta isenção, os fornecedores de pagamento ou bancos devem passar por um ponto de controle adicional no caso de realizar uma análise do risco em tempo real, porque devem garantir que as suas taxas de fraude em matéria de pagamentos por cartão não ultrapassam os seguintes limiares:*
- 0.13% para transações isentas abaixo de €100
- 0.06% para transações isentas abaixo de €250
- 0.01% para transações isentas abaixo de €500
De acordo com Stripe, esta isenção será a mais utilizada pelas empresas e provavelmente também pelos bancos.
Para poder implementar esta isenção, deverá contactar o seu fornecedor de serviços de pagamento para verificar que tem com este tipo de isenção.
Borja Santos, o Responsável pelos mercados português e espanhol na empresa Stripe, explica-nos como funciona esta tecnologia:
Utilizamos um tipo de aprendizagem automático para decidir qual é a melhor isenção que deve ser proporcionada para maximizar a taxa de autorização e evitar a autenticação. Enquanto outros fornecedores permitem aos usuários escolher uma isenção, nós podemos prognosticar a isenção mais adequada para qualquer transação e aplicá-la de forma dinâmica.
O que vai acontecer com o complexo ecossistema da indústria das viagens?
A implementação da nova forma de autenticação é bastante simples com as plataformas de comércio electrónico no qual o pagamento é totalmente cobrado numa só transacção, mas estão a considerar todos os possíveis escenarios, especialmente no sector de viagens?
No sector de viagens existem vários actores que interagem uns com os outros. Alguns dos grandes actores são as OTA’s e motores de busca, que oferecem companhias aéreas, alojamento local e outros serviços relacionados com as viagens.
No caso das agências de alojamento local, o processo de pagamento varia de acordo com as condições de reserva, onde podem existir diferentes prazos de pagamento.
Além disso, se as agências estão conectadas através de um Channel Manager a uma OTA, Marketplace ou motores de busca existem muitas variáveis a ter em consideração dado que as condições de pagamento podem variar entre portais e que, portanto, implica três formas diferentes de comunicação entre o fornecedor de serviços de pagamento, o sistema de PMS e o motor de reservas dos portais.
Ainda existem vários fatores e aspectos técnicos que a EBA não está a considerar e que supõem um desafio para os próximos meses para a indústria de viagens.
Como pode o sector de alojamento local preparar-se para a SCA?
Com tantos desafios pela frente, a melhor forma de preparar-se é começar por compreender todos os parâmetros que envolvem este novo regulamento.
Além disso, é preciso contactar com o seu banco para verificar que trabalham com a 3DS e pedir para activar esta opção.
Se trabalha com um fornecedor de serviços de pagamento, pode contactar-lhe para pedir mais informação sobre a forma na qual será implementada a 3DS e analisar se é possível aplicar uma estratégia de isenção.
A SCA é uma oportunidade que dá uma vantagem competitiva às agências de alojamento local
O regulamento da PSD2 e autenticação adicional SCA não deve ser considerada como uma ameaça mas sim uma oportunidade para as agências de garantir a segurança dos pagamentos e ganhar uma vantagem competitiva.
Tal e como indica o nosso CEO Manuel Giner, ele vê o regulamento PSD2 e a autenticação adicional como uma oportunidade em vez de uma ameaça:
O objetivo desta diretiva, a redução do fraude e das despesas são muito acertados, embora demore algum tempo até que sejam totalmente cumpridos.
A PSD2 supõe uma oportunidade para escolher uma plataforma de pagamento avançada que, para além de cumprir com a PSD2 e aumentar a segurança dos pagamentos, nos ajude a ser mais eficientes e competitivos.
Esta ferramenta abre novas possibilidades aos gestores de propriedades de alojamento local, que agora poderão adoptar políticas de pagamento mais flexíveis e aumentar a conversão do seu website.
Avantio está a preparar a chegada deste novo regulamento e terá a possibilidade de oferecer soluções. Com Avantio Payments, as agências de alojamento local poderão automatizar os pagamentos com 3D Secure através do nosso sistema de gestão de alojamento local.
Para mais informação sobre esta solução, pode contactar com os nosso gestores de contas aqui.
