O que é Portabilidade de Dados de Cartão de Crédito?

A portabilidade de dados de cartão de crédito é um mecanismo para transferir dados de pagamento do cliente, especificamente Números de Conta Primários, entre diferentes provedores de serviços de pagamento (com considerações de segurança e conformidade). Isso indica uma possível correlação entre diversificar as instituições financeiras para armazenamento de cartões e certas vantagens comerciais.

Aqui estão as principais características dos sistemas portáteis:

•       Exportação Segura: O sistema oferece um processo para exportar dados compatíveis com PCI para outro provedor, mediante solicitação formal.
•     Padronização de Formato: Garantindo que os dados transferidos estejam em um formato utilizável pela parte receptora.
•       Compatibilidade de Tokenização: Utilizando tokens que podem ser trocados ou redirecionados entre diferentes gateways de processamento.
•   Preservação da Conformidade: Mantendo uma cadeia de custódia ininterrupta que atenda aos Padrões de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS).

A transferência de dados do comerciante pode influenciar suas interações com provedores de pagamento e potencialmente envolver dependências de processadores ou fornecedores específicos. Uma prática comum entre os provedores envolve sistemas de tokenização proprietários; quando os cartões são armazenados com esses provedores, os tokens resultantes geralmente funcionam apenas dentro do ambiente deles.

Quando um comerciante se desvincula, taxas de saída podem ser aplicadas pelo provedor, e a liberação de dados pode apresentar considerações de compatibilidade de formato para diversos sistemas. A Finextra sugere uma possível relação entre o aprisionamento tecnológico e empresas que experimentam uma diferença de 20% a 30% nas taxas de processamento, o que pode correlacionar-se com mudanças nas posições de negociação com seu fornecedor atual.

A portabilidade é significativamente afetada pelos requisitos do PCI DSS (Payment Card Industry Data Security Standard). Especificamente, os comerciantes muitas vezes evitam ou são proibidos de armazenar números de cartão de crédito não criptografados em seus servidores, o que pode reduzir certos riscos. Consequentemente, em vez de lidar com os dados por conta própria, os comerciantes utilizam os serviços do provedor que armazenam os dados e então emitem um “token”.

Tanto para quem envia quanto para quem recebe, os provedores devem cumprir com os padrões PCI Nível 1 para que a migração de dados seja possível. Além disso, os dados devem ser transferidos de forma segura e criptografados durante o processo de migração, que é um processo “de cofre para cofre”. Tal transferência mantém o comerciante fora do escopo PCI; os dados não passam pelas mãos do comerciante, mas ainda permite o movimento dos dados.

Conceitualmente, esta é uma transferência entre dois ambientes separados e seguros. O lojista solicita a migração de dados, e o provedor atual usa a chave pública do novo provedor (o Destino) para criptografar o banco de dados de números de cartão.

1.   Início: O lojista inicia a exportação de dados do Provedor A.
2.   Proteção: O Provedor A protege os PANs e as datas de vencimento por meio de criptografia.
3.   Envio: Os dados são transferidos utilizando SFTP seguro ou API dedicada.
4.   Recebimento: O Provedor B descriptografa as informações e emite novos tokens para o uso do comerciante. ​‍​‌‍​‍‌​‍​‌‍​‍‌

Um​‍​‌‍​‍‌​‍​‌‍​‍‌ cofre de tokens neutro ou centralizado refere-se a uma entidade terceirizada que é separada do ambiente do processador de pagamentos. Em vez de o processador manter os dados do cartão, o cofre faz. Quando é necessário realizar uma transação com cartão, o cofre transmite as informações para o processador que o lojista selecionou.

O acesso a dados portáteis permite que as empresas considerem uma abordagem multi-PSP. Isso permite que um comerciante se conecte a vários processadores de pagamento simultaneamente. Por exemplo, se o Processador A oferece uma taxa melhor para cartões europeus e o Processador B é mais barato para cartões dos EUA, o comerciante pode direcionar as transações para o processador apropriado.

Aspectos a considerar ao decidir por uma estratégia multi-processador:

•   Alcance Geográfico: O provedor está oferecendo métodos de pagamento locais?
•   Otimização de Custos: Você tem a opção de “roteamento de menor custo” em tempo real?
•   Sobrecarga Técnica: Sua equipe tem a capacidade de lidar com múltiplas Integrações de API?