Carte dei clienti e addebiti ricorrenti sulle carte

Le carte vengono conservate affinché ai clienti possano essere addebitati gli importi secondo un piano concordato; vengono mostrati solo il marchio e le ultime quattro cifre, sono sigillate e decrittografate esclusivamente per creare il file per la banca.

Abbonamento, canone mensile, piano di pagamento rateale: il cliente accetta una volta e l'addebito avviene secondo una scadenza prestabilita. La sezione Contabilità → Pagamenti con carta gestisce le tre componenti: le carte, gli accordi per l'addebito e i lotti inviati alla banca. Il sistema è strutturato in conformità con lo standard di sicurezza del settore delle carte di credito (PCI DSS), pertanto il numero di carta è l'unica informazione in TRANXACT che nessuno può visualizzare sullo schermo.

Carte

La funzione "Aggiungi carta" acquisisce i dati del cliente, il numero della carta, la data di scadenza, il nome del titolare e il codice postale di fatturazione. Da quel momento in poi, la carta viene visualizzata ovunque, con il solo marchio e le ultime quattro cifre: a schermo, nei download, in ASK e nel registro delle transazioni.

Il numero è protetto: crittografato con una chiave propria (AES-256-GCM), e tale chiave è a sua volta crittografata con una chiave di crittografia che la piattaforma conserva al di fuori del database. Un'installazione di produzione sprovvista di tale chiave si rifiuta categoricamente di memorizzare i dati della carta.
Il codice di sicurezza (CVV o CVC), il PIN e i dati della banda magnetica vengono rifiutati se inviati e non vengono mai memorizzati.
La stessa carta inserita due volte viene riconosciuta e memorizzata una sola volta.
La funzione "Modifica" permette di cambiare la data di scadenza, il nome sulla carta, il codice postale di fatturazione o lo stato, ma mai il numero. Una nuova carta è una nuova carta: aggiungila, trasferisci i mandati su di essa e poi elimina la vecchia.
La funzione Elimina distrugge la chiave della carta, impedendo a chiunque di recuperare il numero, e annulla le autorizzazioni associate.

Obblighi della carta

Il mandato è l'accordo del cliente ad essere addebitato: la carta, l'importo e la valuta, la frequenza (una tantum, mensile, trimestrale o annuale), la data del primo addebito e, se prevista, la data di fine. È necessario attenersi a quanto concordato dal cliente, parola per parola: tale consenso è la base su cui si risponde in caso di contestazione di un addebito. Il mandato può essere sospeso, riattivato o annullato.

Lotti di addebito sulla carta

Il sistema di addebito automatico prevede un solo addebito per ogni mandato in scadenza alla data di esecuzione, e non di più: rieseguendolo per la stessa data, non viene addebitato due volte a nessuno.
L'esportazione per la banca crea il file che l'acquirente o la banca utilizzano. È l'unico punto in cui il numero di carta viene decrittografato, richiede un'autorizzazione specifica (Esportazione batch carte) e ogni esportazione viene registrata, senza i numeri di carta. Carica il file, quindi elimina la tua copia.
La risposta della banca viene registrata per ogni addebito: saldato o non andato a buon fine.

Chi può fare cosa

Le autorizzazioni per carte, mandati di pagamento, lotti di addebito, esportazione di lotti e API per carte (integrazioni esterne) vengono concesse in Piattaforma → Ruoli e autorizzazioni, come in qualsiasi altra schermata. ASK e agli agenti viene negato qualsiasi percorso di pagamento con carta, indipendentemente dal ruolo con cui vengono eseguiti.

Carte dal tuo sito web: l'API delle carte

Un sito web o un'app che accetta una carta può memorizzarla tramite un'API esterna, in modo che il numero non passi mai attraverso una persona.

Chiamata	Cosa fa
POST /api/accounting/card-api/v1/cards	Memorizza una carta. Invia un'intestazione Idempotency-Key: la stessa chiave inviata due volte memorizza la carta una sola volta e restituisce la stessa risposta.
GET /api/accounting/card-api/v1/cards	Le carte, mascherate: marca e ultime quattro.
PATCH …/cards/{id}	La data di scadenza, il nome sulla carta, il codice postale di fatturazione o lo stato. Mai il numero.
ELIMINA …/cards/{id}	Distrugge la scheda, proprio come fa Elimina.
/api/accounting/card-api/v1/mandati	Crea e legge mandati, utilizzando una chiave di idempotenza nello stesso modo.

Il chiamante effettua l'accesso con il token di un account di servizio (vedere Account di servizio) e il ruolo di tale account di servizio necessita di un'autorizzazione esplicita sull'API Card (integrazioni esterne). Un ruolo con tutti i permessi o un ruolo di amministratore non sono sufficienti: l'autorizzazione deve essere concessa per nome.
In ambiente di produzione, le chiamate vengono accettate esclusivamente tramite HTTPS.
Il numero di chiamate è limitato per account e una serie di carte rifiutate o non valide, come quelle utilizzate da chi tenta di utilizzare numeri rubati, blocca l'accesso al chiamante.