Conceptos que deberías conocer:

TPV físico: Terminal Punto de Venta (TPV) o también conocido como datáfono, es un dispositivo que permite realizar cobros con tarjeta presenciales y seguros.

TPV virtual: Versión online del TPV para cobros con tarjeta en el ecommerce o comercio online.

PCI-DSS: Normativa desarrollada por el comité denominado PCI SSC, que forman las principales marcas de tarjetas. Se trata de una guía que ayuda a las organizaciones que procesan, almacenan y/o transmiten datos de los titulares de tarjeta, para asegurar dichos datos con el fin de evitar los fraudes de tarjetas.

Tokenización: Solución de pagos que enmascara los datos de la tarjeta para evitar el riesgo de fraude (interno y externo) sin perder la capacidad de hacer cargos y abonos en la tarjeta.

PSD2: Normativa europea para el uso de tarjetas de crédito, entre otras cosas. Aplica solo cuando pagador y comercio están en la UE.

SCA: Regulación dentro de la PSD2 que define como va a ser la autenticación de los titulares de tarjeta a la hora de hacer un pago online. Su objetivo es comprobar la autenticidad de los clientes utilizando 2 factores de autenticación: algo que el cliente sabe (por ejemplo, una contraseña), algo que el cliente tiene (por ejemplo, el móvil) y algo que el cliente es (por ejemplo, la huella dactilar o el rostro).
o Exentas las tarjetas fuera del EEE
o Exentas las tarjetas virtuales (B2B)
o Exentas las operaciones MOTO
o Excepciones: MIT, LOW value.

Operaciones MIT (Merchant Initiated Transactions): Operativa exenta de la autenticación SCA para los cobros recurrentes iniciadas por el comercio y que cumplan los siguientes requisitos:
o Existe un acuerdo entre el titular de la tarjeta y el comercio, para la prestación de determinados bienes o servicios.
o Existe un mandato del titular de la tarjeta al comercio para iniciar un pago o serie de pagos a través de una tarjeta de pago, y
o Los pagos no se desencadenan por una acción específica del titular de la tarjeta sino que los ordena el comercio.

Operaciones MOTO (Mail Order and Telephone Order): Son operaciones donde se desencadena la orden de pago mediante correo y/o teléfono. Se podrá seguir haciendo cargos sólo con la numeración de la tarjeta y sin doble autenticación. El TPV de AvaiBook está configurado para poder realizar este tipo de transacciones cumpliendo con la normativa PCI Compliance.
​

Autenticación delegada: En la PSD2 aparece la necesidad de que una OTA haga la autenticación de la tarjeta aunque no haga el cobro en la tarjeta (el cobro lo hace el alojamiento). El titular de la tarjeta no está en el entorno de pago del alojamiento sino de la OTA, de ahí surge este término.
​

Un pago sin autenticar, sin “3D Secure”, es un pago on-line efectuado únicamente a través de la introducción de los datos de tarjeta (número de tarjeta, caducidad, CVC/CVV) o, incluso, sin este paso porque el sistema tenía dichos datos previamente guardados. Es el más utilizado para realizar cargos programados o “no presenciales”, como pueden ser, por ejemplo, cuotas de suscripción o pagos de reservas a través de ciertas plataformas. Es el tipo de pago más rápido, más sencillo y con mayor conversión, pues es el que menos fricción genera al pagador. Sin embargo, también se considera el más peligroso, pues no cuenta con verificaciones adicionales. De esta forma, cualquier persona podría utilizar la tarjeta en caso de que se efectuase un robo.
​

Un pago autenticado, o por “3D Secure”, es un pago on-line que requiere de una autenticación adicional además de los datos propios de la tarjeta. El método varía en función de cada banco, y puede ir desde un SMS a tu teléfono móvil hasta una clave, coordenada específica o token generado con una app móvil. Es más lento y genera peor conversión pues requiere de más pasos y experimenta mayores fricciones -el usuario no recuerda la clave o no dispone de la tarjeta de coordenadas encima en ese momento, por ejemplo-. Es más seguro, no obstante, aunque no permite programar pagos ni emitirlos de manera no presencial.
​

Un pago autenticado de forma reforzada, o “3D Secure 2”, pretende cumplir con las mismas características que el pago autenticado, aunque aportando una mayor seguridad a través de métodos de verificación más sólidos. Los emisores de tarjetas del entorno EEE ya están adaptando sus sistemas técnicos para poder soportarlo antes de la fecha límite, así que es probable que ya hayas recibido alguna notificación al respecto.

¿Qué es la PSD2/SCA y cuándo empezará a aplicarse?

Exenciones y excepciones de la SCA