Integrare i servizi di pagamento negli shop online svizzeri: contratti e processi

Due contratti, due controparti: la struttura di base dell'elaborazione dei pagamenti

Per i pagamenti con carta nello shop online sono generalmente necessari due contratti: un contratto di elaborazione con un fornitore di servizi di pagamento (Payment Service Provider, PSP) e un contratto di accettazione (contratto di acquiring) con un acquirer.

Il contratto di elaborazione regola l'aspetto tecnico delle transazioni tra lo shop, il fornitore di servizi di pagamento e le banche. Tramite il PSP è possibile integrare metodi di pagamento come Mastercard, TWINT, PostFinance e Apple Pay, evitando di dover negoziare singolarmente con ogni istituto finanziario.

Il contratto di accettazione viene stipulato con l'acquirer, un istituto finanziario che gestisce i pagamenti con carte di credito e di debito per gli esercenti. Esso disciplina l'accettazione e l'elaborazione dei pagamenti con carta, nonché le commissioni, le prescrizioni di sicurezza e le procedure di storno.

Se il PSP assume direttamente il ruolo di acquirer in qualità di Payment Facilitator, il contratto di accettazione separato non è necessario.

Chi opera dietro le quinte: PSP, acquirer e Payment Facilitator

Il PSP riunisce sotto un unico tetto metodi di pagamento, sistemi di integrazione e strumenti per l'e-commerce. L'acquirer si occupa dell'elaborazione dei pagamenti con carta; SIX Payments, Concardis e PostFinance sono citati come esempi di fornitori con cui gli esercenti possono stipulare un contratto di accettazione.

Un Payment Facilitator, detto anche PSP collettore, funge da intermediario tra l'esercente e l'acquirer. Può firmare il contratto di accettazione per conto dell'acquirer; in tal caso, gli esercenti stipulano il contratto direttamente con il Payment Facilitator.

Datatrans è classificata come puro PSP, per il quale è necessario un ulteriore contratto di acquiring. Payrexx agisce invece come Payment Facilitator; in questa configurazione non serve un contratto di acquiring separato.

Se siano necessari uno o due contratti dipende quindi dal ruolo del fornitore scelto. Se quest'ultimo è un Payment Facilitator, basta il contratto con lui; altrimenti si aggiunge un contratto di accettazione con un acquirer.

Quando il proprio modello di business rientra nella vigilanza sui mercati finanziari

La FINMA segnala che, prima di avviare un modello di business fintech, occorre verificare se si applichino le prescrizioni contro il riciclaggio di denaro o l'obbligo di autorizzazione. La LIFin, Legge federale del 15 giugno 2018 sugli istituti finanziari, elenca all'art. 53 i presupposti per l'autorizzazione.

Per la prevenzione del riciclaggio di denaro, la FINMA verifica, tra l'altro, se i fondi dei clienti transitino su conti propri, se vengano prestati servizi nel traffico dei pagamenti o se vengano emessi mezzi di pagamento. Rilevanti sono anche le attività nei settori del cambio valuta, della fiducia, della gestione patrimoniale, del credito e del leasing.

In merito all'obbligo di autorizzazione, la FINMA indica come criteri di verifica se si faccia pubblicità per l'accettazione di fondi, se i fondi dei clienti transitino su conti propri e se si accettino denaro o valori patrimoniali basati su criptovalute da più di 20 persone.

Per i canali digitali, gli obblighi di diligenza previsti dalla regolamentazione contro il riciclaggio di denaro possono essere adempiuti tramite identificazione video e online. La corrispondente Circolare della FINMA è in vigore dal 18 marzo 2016 ed è stata aggiornata al 6 maggio 2021.

Impegni di sicurezza e compliance che compaiono nel contratto

Il contratto di accettazione regola le prescrizioni di sicurezza e le procedure di storno. Prima della firma dovrebbe essere chiaro quali prove richieda il fornitore e quali obblighi restino a carico dell'esercente.

Convera dichiara per sé la conformità allo standard PCI-DSS e una certificazione ISO 27001. Decisivo è sapere quali documenti concreti presenti il partner contrattuale e cosa coprano.

Convera cita per la propria piattaforma di pagamenti l'autenticazione a più fattori, la crittografia dei dati, flussi di lavoro per le approvazioni nonché il rilevamento delle frodi con monitoraggio in tempo reale.

Nella procedura di storno vanno chiariti lo svolgimento, i termini e l'assunzione dei costi: chi sostiene lo storno, quali giustificativi richiede il fornitore e come vengono gestiti i casi controversi?

Esternalizzazione: la responsabilità resta presso la propria azienda

La Circolare della FINMA 2023/1 Rischi operativi e resilienza definisce i requisiti per banche, negozianti di titoli e assicurazioni quando esternalizzano funzioni significative a un prestatore di servizi. La responsabilità vigilare rimane in capo a queste imprese.

Come griglia di controllo servono una due diligence del prestatore di servizi di pagamento, una valutazione dei rischi documentata e una checklist per la documentazione della compliance.

Un'interruzione del servizio del prestatore può colpire direttamente lo shop. I mancati pagamenti e gli storni dovrebbero pertanto essere monitorati costantemente.

Svolgimento dell'integrazione: dalla decisione contrattuale al go-live

Innanzitutto si stabilisce quali metodi di pagamento debba offrire lo shop e quali di questi siano pagamenti con carta. Il confronto dei fornitori svizzeri di pagamenti online per il 2026 cita Datatrans di Planet, PayPal, Payrexx, PostFinance, Stripe, wallee, Worldline, saldiaPay e zahls.ch: Al confronto.

Successivamente si chiarisce il ruolo del fornitore: assume anche la funzione di acquiring come Payment Facilitator, oppure è necessario un contratto di accettazione aggiuntivo con un acquirer?

Prima della stipula del contratto si verificano i partner contrattuali e le loro certificazioni. Ciò include informazioni su conformità, certificazioni, crittografia, autenticazione e rilevamento delle frodi, nonché le commissioni e la procedura di storno.

Dopo la stipula del contratto, lo shop viene collegato tecnicamente al fornitore di servizi di pagamento. Prima del go-live, i metodi di pagamento previsti vengono testati in una fase di prova.

Durante l'esercizio si monitorano gli storni e i mancati pagamenti. Va inoltre verificata la validità delle certificazioni del fornitore.