بوابات الدفع ومقدمي خدمات الدفع

• Directive (EU) 2015/2366 — PSD2 and strong customer authentication
• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2022/2554 — DORA
• Regulation (EU) 2023/1113 on transfers of funds

من يجب أن يعيّن

مقدمو خدمات الدفع خارج الاتحاد الذين يخدمون التجار والمستهلكين في الاتحاد الأوروبي. يتطلب تقديم خدمات الدفع ترخيص كيان تأسس في دولة عضو؛ الممثل بموجب اللائحة العامة لحماية البيانات يتعامل فقط مع الجانب المتعلق بالبيانات.

الحدود والإعفاءات

تعتمد عتبات الترخيص على الخدمة. الاستثناءات المتعلقة بالشبكة المحدودة والوكيل التجاري ضيقة ويجب تقييمها بدلاً من افتراضها.

ما يجب أن يظهر على الملصق

غير مادي. الإفصاحات المطلوبة من التجار والمستهلكين بموجب توجيه خدمات الدفع 2، بما في ذلك هوية المزود، والرسوم وأوقات التنفيذ، بالإضافة إلى الممثل في إشعار الخصوصية.

حقول المنصات

تفرض أنظمة بطاقات الدفع والمكتسبون الامتثال لمعيار PCI DSS كشرط تعاقدي، ويتطلب التجار شروطاً متوافقة مع DORA حيث يكونون كيانات مالية.

المستندات الواجب الاحتفاظ بها

ملف الترخيص، ترتيبات حماية أموال المستخدمين، وثائق تنفيذ المصادقة القوية للعملاء مع تطبيق الاستثناءات، برنامج مكافحة غسل الأموال، إجراءات الإبلاغ عن الحوادث، سجلات المادة 30، تعيين المادة 27، وسجل DORA للمعلومات المتعلقة بترتيبات الطرف الثالث في تكنولوجيا المعلومات والاتصالات.

المعايير والاختبارات

تقييم PCI DSS، اختبار المصادقة القوية للعملاء، وللمزودين ذوي الصلة بـ DORA المشاركة في اختبار المرونة.

المتطلبات اللغوية

معلومات التجار والمستهلكين بلغة الأسواق التي يتم خدمتها.

متى ينطبق

الترخيص قبل تقديم الخدمات. تم تطبيق DORA منذ 17 يناير 2025.

مدة حفظ المستندات

سجلات المعاملات بموجب توجيه خدمات الدفع 2 والقانون الوطني، عادةً لمدة خمس سنوات على الأقل، وسجلات مكافحة غسل الأموال لنفس الفترة.

عند عدم الامتثال

حظر النشاط وسحب الترخيص، غرامات اللائحة العامة لحماية البيانات تصل إلى 4% من العائدات، وغرامات الأنظمة لفشل PCI. التشغيل بدون ترخيص يعد جريمة في عدة دول أعضاء.

من ينفّذ

المشرفون الماليون الوطنيون والهيئة المصرفية الأوروبية، سلطات حماية البيانات، وأنظمة بطاقات الدفع تعاقدياً.

أين يقع الحد الفاصل

بيانات الدفع هي بيانات شخصية ذات حساسية عالية، وواجبات الاحتفاظ بمكافحة غسل الأموال تتعارض مع التخفيف ما لم يتم توثيقها كالتزام قانوني. يجب على المزودين الذين يعملون كمزودي خدمات تقنية بدلاً من مؤسسات الدفع أن يكونوا قادرين على إثبات أنهم لا يحتفظون أبداً بالأموال أو بيانات الحساب بطريقة تستدعي الترخيص.

أسئلة تُطرح علينا

هل يسمح لنا ممثل اللائحة العامة لحماية البيانات بمعالجة المدفوعات في الاتحاد الأوروبي؟

لا. تتطلب خدمات الدفع ترخيص كيان مؤسس. يلبي الممثل المادة 27 فقط.

هل نحن ضمن نطاق DORA؟

تعتبر مؤسسات الدفع كيانات مالية بموجب DORA، ويواجه مقدمو خدمات تكنولوجيا المعلومات والاتصالات لهم نظام مخاطر الطرف الثالث بما في ذلك سجل المعلومات.