Gateways de pagamento e provedores de checkout

• Directive (EU) 2015/2366 — PSD2 and strong customer authentication
• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2022/2554 — DORA
• Regulation (EU) 2023/1113 on transfers of funds

Quem tem de designar

Provedores de pagamento fora da União que atendem comerciantes e consumidores da UE. A prestação de serviços de pagamento requer a autorização de uma entidade estabelecida em um estado membro; o representante do GDPR aborda apenas o lado dos dados.

Limiares e isenções

Os limites de autorização dependem do serviço. As exclusões de rede limitada e agente comercial são restritas e devem ser avaliadas em vez de assumidas.

O que deve constar do rótulo

Não físico. Divulgações de comerciantes e consumidores exigidas pela PSD2, incluindo a identidade do provedor, as taxas e os prazos de execução, além do representante no aviso de privacidade.

Campos nos marketplaces

Esquemas de cartões e adquirentes impõem a conformidade com PCI DSS como condição contratual, e comerciantes exigem termos compatíveis com DORA onde são entidades financeiras.

Documentação a conservar

Arquivo de autorização, arranjos de proteção para fundos dos usuários, documentação de implementação de autenticação forte do cliente com as isenções aplicadas, programa de AML, procedimentos de relato de incidentes, registros do Artigo 30, a designação do Artigo 27, e registro de informações do DORA para arranjos de terceiros em TIC.

Normas e ensaios

Avaliação de PCI DSS, testes de autenticação forte do cliente, e para provedores relevantes ao DORA, participação em testes de resiliência.

Requisitos linguísticos

Informações para comerciantes e consumidores na língua dos mercados atendidos.

A partir de quando

Autorização antes de prestar serviços. O DORA aplica-se desde 17 de janeiro de 2025.

Prazo de conservação

Registros de transações por PSD2 e legislação nacional, geralmente por pelo menos cinco anos, e registros de AML pelo mesmo período.

Em caso de incumprimento

Proibição de atividade e retirada de autorização, multas do GDPR de até 4% do faturamento, e multas de esquema por falhas de PCI. Operar sem autorização é crime em vários estados membros.

Quem fiscaliza

Supervisores financeiros nacionais e a EBA, autoridades de proteção de dados, e esquemas de cartões contratualmente.

Onde está a fronteira

Os dados de pagamento são dados pessoais com alta sensibilidade, e as obrigações de retenção de AML entram em conflito com a minimização, a menos que documentadas como uma obrigação legal. Provedores que atuam como provedores de serviços técnicos em vez de instituições de pagamento devem ser capazes de demonstrar que nunca mantêm fundos ou dados de conta de uma maneira que acione a autorização.

Perguntas frequentes

Um representante do GDPR nos permite processar pagamentos na UE?

Não. Os serviços de pagamento requerem a autorização de uma entidade estabelecida. O representante satisfaz apenas o Artigo 27.

Estamos dentro do escopo do DORA?

Instituições de pagamento são entidades financeiras sob o DORA, e provedores de TIC para elas enfrentam o regime de risco de terceiros, incluindo o registro de informações.