Банки и финансови институции
Инфраструктура за приемане на плащания там, където изискванията за съответствие са най-високи.
Финансовите институции приемат плащания за такси, вноски и услуги, но при тях всяко изключение трябва да е документирано и проследимо.
Затова фокусът е върху одитната следа, автоматичната равносметка и ясното разделение на отговорностите между теб и процесора.
Какво получаваш
PCI DSS Level 1
Картовите данни не влизат в твоята инфраструктура.
Open Banking
Плащания от сметка към сметка по PSD2.
Виртуален IBAN
Всяко постъпление се разпознава автоматично.
Одитна следа
Пълен лог на всяка заявка и промяна.
AML съответствие
Проверки в санкционни списъци при onboarding.
Роли и достъп
Отделни права за счетоводство, поддръжка и управление.
Инфраструктура там, където съответствието не е по избор
Финансовите институции имат изискване, което другите търговци нямат: всяко решение трябва да издържи проверка. Не само да работи, а да може да се докаже, че работи по правилата, с одитна следа, която върши работа пред регулатор.
Това променя приоритетите. При магазин първият въпрос е колко бързо тръгва. Тук първият въпрос е къде се пазят данните, кой има достъп до тях, колко време се съхраняват и как се доказва всичко това.
Затова картовите данни стоят в сертифицирана PCI DSS Level 1 среда и не минават през твоята инфраструктура. Не защото е удобно, а защото свива обхвата на одита ти и премахва цял клас въпроси, на които иначе трябва да отговаряш.
Приемане на плащания в клон и онлайн
Институциите също събират суми: такси за обслужване, вноски, застрахователни премии, такси за издаване на документ, плащания по потребителски продукти.
На гише това е обикновен терминал, но с изискване за отчетност по служител и по клон, а не само по устройство. Отчетът се разделя по обект и по оператор, което е нужно и за вътрешния контрол, и при проверка.
Онлайн каналът иска същото плюс силно потвърждаване на клиента по PSD2. Тук няма изключения, които да се ползват свободно: профилът е такъв, че всяко разхлабване трябва да е обосновано и документирано.
За повтарящи се суми, като месечни вноски или премии, работи токенизацията със записано съгласие. Записът кога и как е дадено съгласието е част от одитната следа, не просто техническа подробност.
Одитна следа, която върши работа
Разликата между лог и одитна следа е, че втората отговаря на въпроси, които никой не е задал предварително.
Практически това значи няколко неща. Всяко действие в панела оставя запис: кой, кога, какво е променил. Всяка транзакция може да се проследи от началото до сетълмента, включително отказите и причините за тях. Експортът е в машинночетим формат, не само PDF, за да може да влезе в твоята система.
Достъпът е по роли, а не общ. Служителят на гише вижда своите транзакции, управителят на клона вижда клона, вътрешният контрол вижда всичко без право да променя. Това не е екстра, а базово изискване в този бранш.
Партньорство вместо просто доставчик
Финансова институция, която иска да предложи приемане на плащания на своите клиенти, има два пътя. Да изгради всичко сама, което е скъпо и бавно, или да работи с процесор, който вече има инфраструктурата и сертификациите.
Вторият път има смисъл, когато основният ти бизнес не е обработката на карти, а отношението с клиента. Ти запазваш клиента и марката, а техническата и регулаторната тежест стои при партньора.
BulPays работи като партньор на RoxPay, европейски fintech с PCI DSS Level 1. Това означава, че зад локалната поддръжка стои европейска инфраструктура, а не самоделно решение.
Конкретните модели на сътрудничество се уговарят според случая, защото изискванията при лицензирана институция са различни от тези при търговец и се определят и от регулатора, не само от двете страни.
Какво да подготвиш преди разговора
Разговорът върви по-бързо, когато няколко неща са ясни от началото.
Какъв е случаят на употреба: приемане на собствени такси, услуга към твои клиенти, или и двете. Всеки води до различна структура.
Какви са изискванията ти за съхранение на данни и има ли ограничение къде географски могат да стоят.
Какви системи трябва да се свържат и какъв е форматът, в който очакваш данните.
Какви са сроковете ти и има ли външна дата, например регулаторна, към която се движиш.
Колкото по-рано се кажат тези неща, толкова по-малко вероятно е решението да се преработва по средата.
Какво сваля обхвата на одита ти
Всяка точка тук е въпрос, на който иначе трябва да отговаряш пред проверяващия.
- Картовите номера не минават през твоята инфраструктура
- Средата за съхранение е сертифицирана по PCI DSS Level 1
- Достъпът е по роли, с разделяне на четене и промяна
- Всяко действие оставя запис кой, кога и какво е направил
- Експортът е машинночетим, не само PDF
- Съгласието при повтарящи се суми е записано с дата и начин
Въпроси по темата
Къде се съхраняват картовите данни?
В сертифицирана PCI DSS Level 1 среда на европейска територия. През твоята инфраструктура не минават картови номера, което свива обхвата на одита ти.
Има ли одитна следа по служител?
Да. Всяко действие оставя запис кой, кога и какво е направил, а достъпът е по роли. Експортът е в машинночетим формат, за да влезе в твоите системи.
Какви са изискванията по PSD2 за онлайн канала?
Силно потвърждаване на клиента за повечето плащания. Изключения съществуват, но при финансова институция всяко приложено изключение трябва да е обосновано и документирано.
Работите ли с лицензирани институции като партньор?
Да, моделите се уговарят според конкретния случай. Изискванията при лицензирана институция се определят и от регулатора, затова разговорът започва с случая на употреба, не с тарифата.
Кой стои зад инфраструктурата?
BulPays е официален партньор на RoxPay, европейски fintech с PCI DSS Level 1 сертификация. Локалната поддръжка е тук, инфраструктурата е европейска.
Може ли отчетът да се разделя по клон и по служител?
Да, и това обикновено е изискване, а не предпочитание. Разделянето е по обект и по оператор, с права, които позволяват на вътрешния контрол да вижда всичко без право да променя.
Готов ли си да приемаш плащания?
Изпрати запитване и ще получиш конкретна оферта с изчислени такси за твоя бизнес, обикновено в рамките на един работен ден.