Conceitos que deve saber:

TPA físico: Terminal de Pagamento Automático (TPA) ou também conhecido como dataphone, é um dispositivo que permite efectuar pagamentos presenciais com cartão em segurança.

TPA virtual: Versão online do TPA para pagamentos com cartão no comércio electrónico ou comércio online.

PCI-DSS: Norma desenvolvida pela comissão chamada PCI SSC, que é composta pelas principais marcas de cartões. É um guia que ajuda as organizações que processam, armazenam e/ou transmitem dados do titular do cartão na proteção desses dados, a fim de evitar a fraude do cartão.

Tokenization: Solução de pagamento que mascara os dados do cartão para evitar o risco de fraude (interna e externa) sem perder a capacidade de fazer cobranças e créditos ao cartão.

PSD2: Regulamento europeu para a utilização de cartões de crédito, entre outras coisas. Só se aplica quando o pagador e o comerciante estão na UE.

SCA: Regulamento dentro do PSD2 que define como será utilizada a autenticação do titular do cartão ao efectuar um pagamento online. Visa verificar a autenticidade dos clientes usando autenticação de 2 factores: algo que o cliente sabe (por exemplo, uma palavra-chave), algo que o cliente tem (por exemplo, telemóvel) e algo que o cliente é (por exemplo, impressão digital ou rosto).
o Os cartões fora do EEE estão isentos
o Cartões virtuais (B2B) isentos
o As transacções MOTO estão isentas
o Excepções: MIT, valor BAIXO.

Operações MIT (Merchant Initiated Transactions): Transacções isentas de autenticação SCA para colecções recorrentes iniciadas por comerciantes que satisfaçam os seguintes requisitos:
o Existe um acordo entre o titular do cartão e o comerciante para o fornecimento de determinados bens ou serviços.
o Existe um mandato do titular do cartão ao comerciante para iniciar um pagamento ou uma série de pagamentos através de um cartão de pagamento
o Os pagamentos não são desencadeados por uma acção específica do titular do cartão, mas são mandatados pelo comerciante.

Operações MOTO (Mail Order and Telephone Order): Estas são operações em que a ordem de pagamento é accionada por correio e/ou telefone. Os encargos podem ainda ser feitos utilizando apenas o número do cartão e sem dupla autenticação. O TPA da AvaiBook está configurado para poder realizar este tipo de transacção em conformidade com os regulamentos de conformidade PCI.

Autenticação delegada: No PSD2 surge a necessidade de uma OTA para autenticar o cartão, mesmo que não haja cobrança (a cobrança é feita pelo alojamento). O titular do cartão não se encontra no ambiente de pagamento do alojamento, mas sim da OTA, por isso o termo.

Um pagamento não autenticado, sem o "3D Secure", é um tipo de pagamento online feito apenas através da introdução de dados do cartão (número do cartão, data de validade, CVC/CVV) ou mesmo sem esta etapa, porque o sistema tinha previamente guardado estes dados. É mais comummente utilizado para cobranças programadas ou "não presenciais", tais como, por exemplo: inscrições de assinaturas ou pagamentos de reservas através de certas plataformas. É o tipo de pagamento mais rápido, mais simples e mais convertível, pois é o que gera menos desgaste para o pagador. No entanto, é também considerada a mais perigosa, uma vez que não possui controlos adicionais. Assim, qualquer pessoa poderia utilizar o cartão em caso de roubo.

Um pagamento autenticado, ou "3D Secure", é um pagamento online que requer autenticação adicional além dos dados do cartão. O método varia de banco para banco, e pode variar desde um SMS para o seu telemóvel até uma chave, coordenada específica ou um token gerado com uma aplicação móvel. É mais lento e gera maior desgaste, pois requer mais passos e costuma experimentar mais fricções - o utilizador não se lembra da chave ou não tem o cartão de coordenadas no momento, por exemplo. No entanto, é mais seguro, embora não permita que os pagamentos sejam programados ou emitidos de uma forma não presencial.

Um pagamento autenticado de forma reforçada, ou "3D Secure 2", cumpre as mesmas características que um pagamento autenticado, porém com maior segurança através de métodos de verificação mais rigorosos. Os emissores de cartões no EEE já estão a adaptar os seus sistemas técnicos para se ajustarem antes do prazo limite, pelo qual é provavel que já tenhas recebido alguma notificação ao respeito.

O que é o PSD2/SCA e quando começará a ser aplicado?

Isenções e excepções da SCA