Ödeme geçitleri ve ödeme sağlayıcıları

• Directive (EU) 2015/2366 — PSD2 and strong customer authentication
• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2022/2554 — DORA
• Regulation (EU) 2023/1113 on transfers of funds

Kimin ataması gerekir

Birlik dışındaki ödeme sağlayıcıları, AB tüccarları ve tüketicilerine hizmet vermektedir. Ödeme hizmetleri sunmak, bir üye devlette kurulmuş bir varlığın yetkilendirilmesini gerektirir; GDPR temsilcisi yalnızca veri tarafıyla ilgilidir.

Eşikler ve muafiyetler

Yetkilendirme eşikleri hizmete bağlıdır. Sınırlı ağ ve ticari temsilci istisnaları dar olup, varsayılarak değil, değerlendirilerek ele alınmalıdır.

Etikette ne bulunmalı

Fiziksel değil. PSD2 gereği tüccar ve tüketici bildirimleri, sağlayıcının kimliği, ücretler ve icra süreleri ile birlikte gizlilik bildiriminde temsilciyi içermektedir.

Pazar yeri alanları

Kart şemaları ve alıcılar, PCI DSS uyumunu sözleşmesel bir koşul olarak dayatmakta ve tüccarlar, finansal varlıklar olduklarında DORA uyumlu şartlar talep etmektedir.

Saklamanız gereken belgeler

Yetkilendirme dosyası, kullanıcı fonları için koruma düzenlemeleri, uygulanan istisnalarla birlikte güçlü müşteri kimlik doğrulama uygulama belgeleri, AML programı, olay raporlama prosedürleri, 30. Madde kayıtları, 27. Madde ataması ve ICT üçüncü taraf düzenlemeleri için DORA bilgi kaydı.

Standartlar ve testler

PCI DSS değerlendirmesi, güçlü müşteri kimlik doğrulama testi ve DORA ile ilgili sağlayıcılar için dayanıklılık testine katılım.

Dil gereklilikleri

Tüccar ve tüketici bilgileri, hizmet verilen pazarların dilinde.

Ne zamandan itibaren

Hizmet sunmadan önce yetkilendirme. DORA, 17 Ocak 2025'ten itibaren geçerlidir.

Belgeler ne kadar saklanır

PSD2 ve ulusal yasalar gereği işlem kayıtları, genellikle en az beş yıl ve aynı dönem için AML kayıtları.

Uymazsanız ne olur

Faaliyet yasağı ve yetkilendirmenin geri çekilmesi, GDPR cezaları cirosunun %4'üne kadar ve PCI ihlalleri için şemalar ceza uygulamaları. Yetkilendirme olmadan faaliyet göstermek, birkaç üye devlette suçtur.

Kim denetler

Ulusal finansal denetçiler ve EBA, veri koruma otoriteleri ve kart şemaları ile sözleşmesel olarak.

Sınır nerede

Ödeme verileri, yüksek hassasiyete sahip kişisel verilerdir ve AML saklama yükümlülükleri, yasal bir yükümlülük olarak belgelenmedikçe, en aza indirme ile çelişmektedir. Teknik hizmet sağlayıcı olarak hareket eden sağlayıcılar, asla fon veya hesap verilerini yetkilendirmeyi tetikleyecek şekilde tutmadıklarını gösterebilmelidir.

Bize sorulan sorular

GDPR temsilcisi, AB'de ödeme işlememize izin verir mi?

Hayır. Ödeme hizmetleri, kurulmuş bir varlığın yetkilendirilmesini gerektirir. Temsilci yalnızca 27. Maddeyi karşılar.

DORA kapsamındayız mı?

Ödeme kurumları DORA altında finansal varlıklardır ve onlara ICT sağlayıcıları, bilgi kaydı da dahil olmak üzere üçüncü taraf risk rejimi ile karşı karşıyadır.