"Se incasso con carta, poi devo custodire i numeri delle carte dei clienti?" E' il primo dubbio che frena molte PMI. La risposta e' no, e capire perche' rende la scelta molto piu' serena.
Il problema: la paura di custodire dati sensibili
Il timore e' fondato in linea di principio. I dati di una carta sono tra le informazioni piu' delicate in circolazione e conservarli richiede la conformita' allo standard PCI DSS: requisiti severi su reti, cifratura, accessi e verifiche periodiche. Un impegno fuori scala per un'azienda che vende software o servizi.
Il modo piu' semplice per proteggere i dati di una carta e' non averli mai.
La soluzione: la carta non entra mai in azienda
Nei sistemi moderni il cliente inserisce i dati direttamente sulle pagine del circuito di pagamento, che e' certificato PCI DSS. L'azienda riceve indietro solo un token: un codice che permette di richiedere l'addebito, ma che non contiene il numero della carta e non ha alcun valore se sottratto.
Ne discendono tre conseguenze pratiche:
- Nessun dato di pagamento transita o resta nei sistemi aziendali.
- Nessuna certificazione PCI DSS da ottenere e mantenere.
- Nessun rischio in caso di violazione: nel gestionale non c'e' nulla da rubare.
SCA: l'autenticazione forte, una volta sola
La normativa europea impone l'autenticazione forte del cliente (SCA) sui pagamenti elettronici. Sugli abbonamenti si applica alla prima sottoscrizione, quando il cliente conferma con la propria banca; gli addebiti successivi, essendo iniziati dall'esercente, proseguono senza chiedergli nulla.
Cosa resta in capo all'azienda
Poco, ma non zero: conservare le chiavi di accesso al circuito di pagamento fuori dal codice, come si fa con qualsiasi credenziale, e trattare i dati anagrafici dei clienti secondo il GDPR, esattamente come per qualunque altra fattura.
Il modulo Incassi Stripe di Gestya.it lavora solo con token e riferimenti alle transazioni: nel gestionale finiscono l'esito dell'incasso e la fattura, mai gli estremi della carta.
In sintesi
Incassare con carta non significa diventare custodi di dati sensibili. Delegando la raccolta al circuito certificato, l'azienda ottiene l'automatismo degli incassi lasciando altrove il rischio e gli oneri di conformita'.