Se non hai completato la convalida del Payment Card Industry Data Security Standard (PCI DSS) del tuo contratto per gli esercenti, potresti essere soggetto a una tariffa di mancata conformità alle norme PCI. Si tratta di un addebito mensile aggiuntivo che la banca acquirente o il fornitore di pagamenti aggiunge ai costi di elaborazione. È ricorrente a ogni ciclo di fatturazione e rimane sull'estratto conto fino a quando non presenti la prova di aver soddisfatto lo standard di conformità alle norme PCI DSS. Le tariffe di mancata conformità alle norme PCI possono variare da 25 $ a 100.000 $ al mese, a seconda del periodo in cui la tua attività non è stata conforme.
Di seguito illustreremo chi paga queste tariffe e perché, come si confrontano i costi tipici con le sanzioni che intendono prevenire e quali eventi possono far scattare un addebito.
In sintesi
Le tariffe di mancata conformità alle norme PCI sono addebitate dalle banche acquirenti, non dai circuiti delle carte di credito. Sono un modo per compensare la responsabilità che si assumono per le attività non convalidate.
La tariffa in sé è di entità minore rispetto alle sanzioni dei circuiti delle carte di credito e ai costi delle violazioni da cui ha lo scopo di proteggere.
La compilazione del questionario di autovalutazione (SAQ) corretto e la riduzione della quantità di dati del titolare della carta che passano attraverso i tuoi sistemi sono i modi più rapidi per eliminare l'addebito.
In cosa consiste una tariffa di mancata conformità alle norme PCI?
Una tariffa di mancata conformità alle norme PCI è un addebito mensile che una banca acquirente o un fornitore di pagamenti aggiunge quando un'attività non ha completato la convalida PCI DSS richiesta nel proprio contratto per gli esercenti.
Ogni attività ha propri requisiti di convalida. I circuiti delle carte di credito classificano le attività in quattro livelli basandosi sul volume annuale di transazioni. Un'attività che elabora milioni di transazioni all'anno dovrà affrontare requisiti di documentazione più severi di una che ne elabora qualche migliaio. Le attività che gestiscono i dati delle carte direttamente sui propri server presentano maggiori responsabilità riguardo alla conformità rispetto a quelle che instradano i campi dei pagamenti tramite soluzioni in hosting o con token, dal momento che l'ambito che dev'essere oggetto di audit varia in base a ogni configurazione.
Chi paga le tariffe di mancata conformità alle norme PCI e perché?
È l'attività a dover pagare le tariffe di mancata conformità alle norme PCI. Anche se sono i circuiti delle carte di credito a fissare lo standard, spetta alle banche acquirenti accollarsi la responsabilità nel momento in cui viene commessa una violazione contro un'attività non conforme. Esse trasferiscono dunque quel rischio a valle attraverso i contratti per gli esercenti.
Alcuni fornitori di pagamenti includono il monitoraggio della conformità all'interno del contratto standard, il cui importo sarà addebitato dopo un certo periodo di tolleranza, mentre altri necessitano di un programma opt-in, e addebitano tali costi esclusivamente alle attività che ignorano i ripetuti avvisi.
A quanto ammontano le tariffe di mancata conformità alle norme PCI?
In genere, le banche acquirenti addebitano un importo compreso tra 25 $ e 50 $ al mese per i primi mesi o finché l'attività non convalida la conformità. Se il problema non si risolve dopo sei mesi, le sanzioni possono salire fino a 5000-100.000 $ al mese.
Se si verifica una violazione mentre l'attività non è conforme, quest'ultima può andare incontro a conseguenze molto più gravi. I circuiti delle carte di credito possono comminare sanzioni che vanno da 5000 a 100.000 $ a seconda della rete, della gravità della violazione e da quanto tempo l'attività non ne ha convalidato la conformità. Se in seguito a una violazione l'attività risulta non conforme può anche perdere la possibilità di accettare determinati tipi di carta, affrontare i costi di un'indagine forense nell'ordine di decine di migliaia e coprire le spese di riemissione delle carte a ogni cliente interessato.
Quali eventi scatenano una tariffa di mancata conformità alle norme PCI?
Le tariffe di mancata conformità alle norme PCI sono associate alla documentazione o alla procedura, non a un'eventuale violazione avvenuta.
Una tariffa può scattare in seguito ai seguenti scenari:
Scadenza per l'SAQ non rispettata: le banche acquirenti o i loro venditori per la conformità, di solito, fissano una scadenza per l'invio del questionario di autovalutazione (SAQ) compilato. Una volta trascorsa questa data senza presentazioni, si applicherà la tariffa sul ciclo di fatturazione successivo.
Attestation of Compliance scaduta: la conformità alle norme PCI è riconvalidata annualmente. La scadenza di un'Attestation of Compliance attiva la stessa tariffa applicabile qualora non fosse mai stata completata in primo luogo.
Scansione delle vulnerabilità fallita: alle attività appartenenti ai livelli di conformità superiori serve l'invio di scansioni di rete trimestrali da parte di un Approved Scanning Vendor. Una scansione fallita o saltata può azionare la tariffa autonomamente, indipendentemente dallo stato dell'SAQ.
Variazioni nel volume o nel metodo di elaborazione: il passaggio a un livello di conformità maggiore, o da un checkout in hosting a una configurazione dove le attività gestiscono i dati delle carte in modo più diretto, può causare il ripristino dei requisiti di conformità e far ricominciare da capo il periodo per la convalida.
Quali sono i passaggi per smettere di pagare le tariffe di mancata conformità alle norme PCI?
L'eliminazione della tariffa si riduce a completare il percorso di convalida applicabile all'attività, quindi a mantenerlo aggiornato.
Ecco in che modo avviene:
Conferma il livello di esercente e l'SAQ applicabile: il livello di conformità dipende dal volume delle transazioni annuali e da quanto l'attività gestisce direttamente i dati delle carte. Questo livello determina quale tra gli otto tipi di SAQ si applica. Le attività che utilizzano un checkout interamente in hosting in cui i campi delle carte non transitano mai per i propri server, solitamente, sono idonee per il livello SAQ A (quello con il modulo più breve). Quelle che gestiscono i dati delle carte in modo più diretto devono affrontare un questionario più lungo, incentrato sulla segmentazione della rete, sulla crittografia e sui controlli dell'accesso.
Riduci l'ambito prima di compilare qualsiasi cosa: meno ambiente dei dati del titolare della carta (CDE) tocca direttamente un'attività, più semplice sarà l'SAQ applicabile. L'instradamento dei campi dei pagamenti tramite iframe in hosting o servizi di tokenizzazione trasferisce l'onere della sicurezza dei numeri di carta grezzi al fornitore che gestisce quei dati. Questo porta spesso un'attività a poter applicare l'SAQ A.
Completa l'SAQ e le scansioni necessarie: rispondi al questionario in modo onesto, esegui una scansione delle vulnerabilità affidandoti a un Approved Scanning Vendor (ASV), se il livello dell'attività ne richiede uno, e firma l'Attestation of Compliance.
Invia tutto al responsabile del trattamento dei dati o alla banca acquirente, non solo ai circuiti delle carte di credito: le tariffe provengono dalla banca, di conseguenza è a quest'ultima che serve disporre della documentazione direttamente, in genere attraverso il portale di conformità utilizzato per tracciare lo stato dell'esercente.
Imposta un promemoria ricorrente per la riconvalida: la conformità scade ogni anno. Il modo più veloce per incorrere nella mancata conformità è di considerarlo come un'attività una tantum e non una ricorrenza annuale.
Dal momento che Stripe archivia ed elabora i dati del titolare della carta per conto delle attività che usano il servizio, oltre al fatto che dispone di un'infrastruttura con certificazione PCI DSS Livello 1, le attività che instradano interamente i dati delle carte tramite Stripe possono ridurre la loro conformità all'ambito delle norme PCI. Ciò non esime però l'attività dalla propria responsabilità di inviare un SAQ. Questo influisce solamente su quale questionario si applicherà e su quanta parte dell'ambiente dei dati del titolare della carta rientra nell'ambito dell'audit dell'attività stessa.
Vale la pena pagare per la conformità alle norme PCI per evitare tariffe di mancata conformità?
La matematica favorisce quasi sempre la conformità. Il completamento di un SAQ A, per un'attività che già usa una configurazione per i pagamenti in hosting, solitamente richiede meno di un'ora. Se paragoniamo questo processo alla serie di sanzioni per circuiti delle carte di credito dopo una violazione del protocollo PCI, oltre ai costi delle indagini forensi e ai danni alle relazioni con i clienti nel caso i dettagli delle carte venissero esposti, l'argomentazione a favore della conformità non trova paragoni.
Le attività che restano non conformi più a lungo solitamente non soppesano questo compromesso di proposito, quanto più perdono le tracce del modulo. Questo è il rischio reale: non che la conformità alle norme PCI sia costosa, ma che è facile dimenticarsene finché una tariffa o una violazione non le impongono. Controllare il livello di esercente, confermare l'SAQ da applicare e impostare un promemoria annuale è molto meno oneroso di qualsiasi delle conseguenze del lasciar correre la cosa.
In che modo Stripe Payments può essere d'aiuto
Stripe Payments offre una soluzione di pagamento unificata e globale che aiuta qualsiasi attività, dalle start-up in fase di espansione alle multinazionali, ad accettare pagamenti online, di persona e in tutto il mondo.
Con Stripe Payments puoi:
Ottimizzare l'esperienza di checkout: crea un'esperienza senza problemi e risparmia migliaia di ore di progettazione ricorrendo a interfacce predefinite e accedendo a oltre 125 metodi di pagamento e a Link, il wallet di Stripe.
Espanderti più rapidamente in nuovi mercati: raggiungi clienti in tutto il mondo e riduci le complessità e i costi della gestione multivaluta con opzioni di pagamento transfrontaliere, disponibili in 195 Paesi e in oltre 135 valute.
Unificare i pagamenti di persona e online: crea un'esperienza di commercio unificata su canali online e di persona per personalizzare le interazioni, premiare la fedeltà e aumentare i ricavi.
Migliorare le prestazioni dei pagamenti: aumenta i ricavi con una gamma di strumenti di pagamento personalizzabili e facili da configurare, che includono anche la protezione antifrode non basata su codice e funzionalità avanzate per migliorare le percentuali di autorizzazione.
Operare più velocemente con una piattaforma flessibile e affidabile per la crescita: utilizza una piattaforma progettata per crescere insieme a te, con tempi di operatività del 99,999% e un'affidabilità leader nel settore.
Scopri di più su come Stripe Payments può supportare i tuoi pagamenti online e di persona oppure inizia oggi stesso.
I contenuti di questo articolo hanno uno scopo puramente informativo e formativo e non devono essere intesi come consulenza legale o fiscale. Stripe non garantisce l'accuratezza, la completezza, l'adeguatezza o l'attualità delle informazioni contenute nell'articolo. Per assistenza sulla tua situazione specifica, rivolgiti a un avvocato o a un commercialista competente e abilitato all'esercizio della professione nella tua giurisdizione.