O que é Portabilidade de Dados de Cartão de Crédito?

A portabilidade de dados de cartão de crédito é um mecanismo para transferir dados de pagamento de clientes, especificamente Números de Conta Primários, entre diferentes provedores de serviços de pagamento (com considerações de segurança e conformidade). Isso indica uma possível correlação entre a diversificação de instituições financeiras para armazenamento de cartões e certas vantagens comerciais.

Aqui estão as principais características dos sistemas portáteis:

•       Exportação Segura: O sistema oferece um processo para exportar dados compatíveis com PCI para outro provedor, sujeito a uma solicitação formal.
•     Padronização de Formato: Garantir que os dados transferidos estejam em um formato que a parte receptora possa usar.
•       Compatibilidade de Tokenização: Empregar tokens que podem ser trocados ou redirecionados entre diferentes gateways de processamento.
•   Preservação da Conformidade: Manter uma cadeia de custódia ininterrupta que atenda aos Padrões de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS).

A transferência de dados do comerciante pode influenciar suas interações com provedores de pagamento e potencialmente envolver dependências em processadores ou fornecedores específicos. Uma prática comum entre os provedores envolve sistemas de tokenização proprietários; quando os cartões são armazenados com esses provedores, os tokens resultantes geralmente funcionam apenas dentro de seu ambiente.

Quando um comerciante se desliga, taxas de saída podem ser aplicadas pelo provedor, e a liberação de dados pode apresentar considerações de compatibilidade de formato para vários sistemas. A Finextra sugere uma possível relação entre a dependência de fornecedor (vendor lock-in) e empresas que experimentam uma diferença de 20% a 30% nas taxas de processamento, o que pode correlacionar-se com mudanças nas posições de negociação com seu fornecedor atual.

A portabilidade é significativamente afetada pelos requisitos PCI DSS (Payment Card Industry Data Security Standard). Especificamente, os comerciantes frequentemente evitam ou são proibidos de armazenar números de cartão de crédito não criptografados em seus servidores, o que pode reduzir certos riscos. Consequentemente, em vez de lidarem com os dados por conta própria, os comerciantes utilizam os serviços do provedor que armazenam os dados e, em seguida, emitem um “token.”

No lado de quem envia e de quem recebe, os provedores devem cumprir os padrões PCI Nível 1 para que a migração de dados seja possível. Além disso, os dados devem ser transferidos de forma segura e criptografados durante o processo de migração, que é um processo “de cofre para cofre”. Tal transferência mantém o comerciante fora do escopo PCI, os dados não passam pelas mãos do comerciante, mas ainda assim permite a movimentação dos dados.

Conceitualmente, esta é uma transferência entre dois ambientes separados e seguros. O comerciante solicita a migração de dados, e o provedor atual usa a chave pública do novo provedor (o Destino) para criptografar o banco de dados de números de cartão.

1.   Consulta: O comerciante inicia a exportação de dados do Provedor A.
2.   Proteção: O Provedor A protege os PANs e as datas de validade por meio de criptografia.
3.   Envio: Os dados são transferidos usando SFTP seguro ou API dedicada..
4.   Recebimento: O Provedor B descriptografa as informações e emite novos tokens para uso do comerciante. ​‍​‌‍​‍‌​‍​‌‍​‍‌

Um cofre de token neutro ou centralizado refere-se a uma entidade terceirizada que é separada do ambiente do processador de pagamentos. Em vez de o processador manter os dados do cartão, o cofre o faz. Quando é necessário fazer uma transação com cartão, o cofre transmite as informações ao processador que o comerciante selecionou.

O acesso a dados portáteis permite que as empresas considerem uma abordagem multi-PSP. Isso permite que um comerciante se conecte a múltiplos processadores de pagamento simultaneamente. Por exemplo, se o Processador A oferece uma taxa melhor para cartões europeus e o Processador B é mais barato para cartões dos EUA, o comerciante pode direcionar as transações para o processador apropriado.

Pontos a considerar ao decidir por uma estratégia multiprocessador:

•   Alcance Geográfico: O provedor está oferecendo métodos de pagamento locais?
•   Otimização de Custos: Você tem a opção de “rotear pelo menor custo” em tempo real?
•   Sobrecarga Técnica: Sua equipe tem a capacidade de lidar com múltiplas integrações de API?