Seguramente ya habrá oído hablar de la nueva directiva sobre servicios de pago con tarjeta de crédito y de sus posibles repercusiones en nuestro sector. Sin embargo, lo que quizá no sepas es que la PSD2 no es nada nuevo, de hecho, se implantó por primera vez allá por 2015, aunque no todas sus partes se promulgaron simultáneamente. La autenticación fuerte de clientes, en particular, no debía entrar en vigor hasta el 14 de septiembre de 2019, cuatro años después de la aprobación de la directiva. Así que se imaginará que la industria está preparada, ¿no? Bueno, no del todo…
Conocimiento, posesión e inherencia
¿Qué es la PSD2? En esencia, no es más que una versión actualizada de la actual Directiva sobre servicios de pago. Con la introducción de la PSD2, para que los compradores puedan comprar en línea con tarjetas de crédito (o realizar transacciones bancarias), tendrán que proporcionar dos medios distintos de autenticación en el momento de la compra. “Para que una compra sea autorizada, bajo PSD2”, destaca HospitalityNet en un artículo sobre el tema, “se necesitan dos de tres tipos diferentes de métodos de autenticación, a saber, el conocimiento (una contraseña o un PIN), la posesión (un teléfono o una tarjeta de crédito) y la inherencia (biometría: escaneo facial o una huella dactilar).” Este método de autenticación de dos factores se conoce como autenticación fuerte del cliente (SCA), y su principal objetivo es aumentar la seguridad de las transacciones en línea y reducir los fraudes y las devoluciones de cargos. La PSD2 afectará a todas las transacciones en las que participen emisores de tarjetas de la UE (incluido el Reino Unido, por el momento).
¿Cómo será la industria post-PSD2?
Gracias a esta segunda capa adicional de seguridad, la SCA tiene el potencial de hacer que las transacciones en línea con tarjeta de crédito sean significativamente más seguras, e incluso puede tener un efecto positivo en la UX del comprador. Actualmente, una vez que los usuarios introducen los datos de su tarjeta de crédito, son redirigidos a lo que se conoce como página 3D Secure. El problema es que estas páginas intermedias no se han diseñado pensando en los teléfonos móviles, lo que aumenta drásticamente la tasa de abandonos (entre el 5% y el 15%, según Worldpay). En cambio, con la PSD2, la experiencia será más adaptada a los dispositivos móviles, lo que teóricamente aumentará las tasas de conversión. Aun así, algunas implicaciones podrían (y, muy probablemente, afectarán) negativamente a las operaciones cotidianas de los hoteles. La buena noticia es que, debido a la falta de preparación de los comerciantes, se ha concedido un aplazamiento sobre el original: En junio de 2019, con solo 3 meses antes de la fecha límite del 14 de septiembre, se exigió a los bancos que publicaran sus API; solo un tercio lo hizo y, en septiembre de 2019, más de un tercio de estas API aún no funcionan correctamente, lo que crea un entorno desafiante para los proveedores de terceros que intentan integrarse. Más recientemente, la plataforma bancaria y proveedor de datos Tink probó las API de más de 2.000 bancos. ¿El resultado? Ninguno de ellos cumplía las nuevas normas reglamentarias. El Reino Unido ya ha concedido 18 meses más, y en octubre la Comisión Europea anunciará la nueva fecha de cumplimiento para los demás países. La Autoridad Bancaria Europea, en un documento oficial declaró que “La Autoridad Bancaria Europea (…) acepta que, con carácter excepcional y con el fin de evitar consecuencias negativas no deseadas para algunos usuarios de servicios de pago después del 14 de septiembre de 2019, (…) puede decidir (…) proporcionar un tiempo adicional limitado para permitir a los emisores migrar a enfoques de autenticación que cumplan con la SCA”. Del mismo modo, la Autoridad de Conducta Financiera del Reino Unido declaró que no tomará “ninguna medida contra las empresas que no estén preparadas para las normas en septiembre, siempre que haya pruebas de que han tomado las medidas necesarias para cumplir con su plan de transición más largo, que exigirá a las empresas cumplir plenamente para marzo de 2021″, por lo que no es tan descabellado pensar que la nueva fecha de cumplimiento de la UE será en algún momento a finales de 2020/principios de 2021.”
El Sr. Smith reserva una habitación de hotel: ¿Cuándo se aplica el SCA?
El Sr. Smith reserva una habitación de hotel por Internet. En el momento del pago, introduce el número de su tarjeta de crédito y pasa por caja. Una vez introducidos los datos de la tarjeta de crédito, la transacción tendrá que pasar una prueba llamada Análisis de Riesgo de Transacción (TRA), para evaluar si el SCA es necesario o no. Incluso con el PS2D, algunas transacciones seguirán estando exentas de la SCA: los pagos sin contacto y todas las transacciones en las que el propietario de la tarjeta de crédito esté físicamente presente en el momento del pago, por ejemplo, no entrarán en el ámbito de aplicación de la normativa; así, si el Sr. Smith llega al hotel para reservar su habitación y está presente durante la transacción, no será necesaria la autenticación. Las compras realizadas por teléfono o por correo electrónico seguirán la misma lógica, de modo que si el Sr. Smith llama al hotel y facilita los datos de su tarjeta de crédito por teléfono, no será necesaria la SCA. Recuerde que las exenciones son numerosas y pueden aplicarse muchas variables incluso a casos similares, pero, a efectos de este artículo, sólo trataremos las principales.
Volviendo al Sr. Smith: la prueba TRA consiste ahora en decidir si es necesaria una doble autenticación. La prueba evalúa el riesgo de fraude, que va de bajo a alto. Si la transacción es por un importe inferior a 30 euros, por ejemplo, no es necesaria la autenticación, siempre que la misma tarjeta no se haya utilizado para más de cinco transacciones (o por un total superior a 100 euros) en las últimas 24 horas. Por lo tanto, si la habitación o la mejora cuestan 29 EUR y el Sr. Smith no compró nada más el mismo día, no es necesaria ninguna autenticación. Tenga en cuenta que, incluso en el caso de las transacciones exentas, el banco siempre tendrá la última palabra, por lo que podría decidir que la SCA es necesaria incluso para las compras de bajo riesgo.
Ahora, el Sr. Smith todavía tiene que completar el pago de la habitación que quiere reservar al principio del ejemplo. El importe total es de 500€, y nunca antes había reservado en este hotel. La prueba TRA decide que se trata -potencialmente- de una transacción de riesgo, y exige al Sr. Smith una doble autenticación. Por lo tanto, deberá presentar dos de los tres tipos de autenticación aceptados. He aquí dos ejemplos:
- Desbloqueando su teléfono (“posesión” = algo que “posee”) con su huella dactilar (“inherencia” = algo que “es”).
- Introduciendo una contraseña (“conocimiento” = algo que “sabe”) y reconociendo un dispositivo móvil de confianza (“posesión” = algo que “posee”).
Con la PSD2, el único PIN de un solo uso a través de la autenticación por SMS en un teléfono desbloqueado ya no será suficiente, ya que un ladrón podría tener acceso a ambos con solo robar el teléfono, con lo que los dos factores entrarían en la misma categoría (prueba de “posesión”), y seguirán pudiendo proporcionar al menos un tipo más de autenticación.
PSD2 en la hostelería
Algunos ya se han referido a PSD2 como “GDPR con esteroides”. Puede ser. Lo cierto es que el tema es vasto y está lleno de ramificaciones, así que, si buscas una lectura exhaustiva sobre el tema, te sugiero que eches un vistazo a este artículo de Pablo Delgado y Daniel Badenas de Mirai. Este artículo se centra menos en la teoría, pero deconstruye de forma efectiva posibles escenarios hoteleros del tipo “¿y si…? ” para ilustrar cómo podría ser la PSD2 en la vida real. En primer lugar, empecemos por tranquilizarle: a diferencia del GDPR, los hoteles no pueden ser multados por no ajustarse a la directiva. Sólo la plataforma de pago final y las empresas del modelo comercial podrían ser consideradas responsables de las infracciones. En cualquier caso, esto no significa que la introducción de la PSD2 deba tomarse a la ligera, ya que hay (muchos) casos en los que sus operaciones cotidianas tendrán que adaptarse en consecuencia.
He aquí algunos de los escenarios más probables:
El Sr. Smith reserva una tarifa flexible o no reembolsable en una OTA (modelo comercial)
Para las reservas recibidas a través de una OTA con el modelo de comerciante (la OTA cobra el dinero en nombre del hotel), los procesos existentes no cambiarán. En este caso, la OTA es la que recauda el dinero del huésped final y proporciona a los hoteles una tarjeta virtual, por lo que los hoteles no necesitarán doble autenticación para procesar el pago.
El Sr. Smith reserva una tarifa no reembolsable en una OTA (modelo de agencia)
Cuando se trata de reservas no reembolsables recibidas a través de una OTA con el modelo de agencia, su hotel tendrá que cambiar (de forma bastante drástica) sus procesos y sistemas internos para garantizar la validación del pago: en primer lugar, el hotel deberá procesar estos pagos a través de una pasarela de pago online que cumpla la PSD2. Si no dispone de una pasarela con ese cumplimiento de seguridad, la alternativa no es la ideal: no autorizar la tarjeta para ninguna parte de la tarifa y cruzar los dedos para que los invitados acaben llegando. Si el cliente llega, el pago puede tratarse como “tarjeta presente”, omitiendo la SCA.
RELACIONADO:
No obstante, los hoteles no podrán facturar las no comparecencias ni las penalizaciones por cancelaciones tardías: los cargos manuales en lectores de tarjetas físicos no funcionarán, ya que el único número de tarjeta de crédito podría no ser suficiente para procesar el pago, y los huéspedes podrían seguir impugnando el cargo y dar lugar a una posible devolución de cargo para el hotel. Para solucionar este problema, Expedia ha lanzado recientemente una herramienta gratuita de gestión de gastos de cancelación: “Cuando un viajero hace una reserva de Hotel Collect, Expedia Group valida la tarjeta del cliente y captura la información de autenticación necesaria. Se le proporcionará un número de tarjeta virtual de Expedia (EVC), por lo que ya no verá un número de tarjeta de huésped. [si Expedia no puede] para cargar la tarjeta porque no tiene fondos suficientes o ha dejado de ser válida, [it will] eliminará la tarifa y la comisión de la reserva.
El Sr. Smith consigue una tarifa flexible anticipada de 4 meses en Brand.com
Aunque las ventanas de reserva de los viajeros se acortan cada año, las reservas anticipadas siguen siendo frecuentes en casos concretos (resorts de playa, hoteles MICE…). Estas reservas suelen conllevar grandes ventajas para los huéspedes, como tarifas con grandes descuentos, pero, en el marco de la PSD2, procesar el pago puede suponer un reto, ya que la SCA viene con fecha de caducidad: la doble autenticación solo dura 90 días, por lo que los hoteles tendrán que adquirir varias autenticaciones para la misma reserva. Una solución es utilizar las transacciones iniciadas por el comerciante (MIT), siempre y cuando los términos y condiciones estén claros en el motor de reservas, ya que la información de pago del huésped tendrá que estar ya presente (y autorizada) en el PMS, motor de reservas o CRS del hotel. Aunque cada compra inicial DEBERÁ autenticarse mediante SCA, las transacciones futuras con la misma tarjeta podrían considerarse MIT, por lo que quedarían exentas de los requisitos de SCA. Se trata de un escenario especialmente favorable para los miembros de los programas de fidelización, por ejemplo.
El Sr. Smith reserva una tarifa flexible en Brand.com, pero no se presenta
Según un estudio de VISA, la tasa media de no-show en la industria hotelera es de “uno a dos por ciento de todas las reservas”, lo que supone “un gasto estimado para la industria hotelera de 50 a 100 millones de dólares al año”. Con la PSD2, no podrá procesar las tarjetas de crédito de los huéspedes si no están físicamente en el hotel (tarjeta presente), o si no autentican doblemente la transacción (tarjeta no presente). Es improbable que un huésped acepte pagar por algo que no ha utilizado, por lo que el hotel se encuentra en un aprieto. A menos que la penalización por no presentarse se haya cobrado durante el proceso de reserva (lo cual es poco frecuente), es poco probable que el huésped que no se presenta la autorice por partida doble. La solución es utilizar la solución del MIT.
Conclusiones:
Estos son sólo algunos de los posibles escenarios, ya que surgirán más una vez que la directiva entre en vigor. A primera vista, parece que -desde la perspectiva de los hoteleros- los contras superan a los pros. Nuestra sugerencia es aplicar la siguiente estrategia:
- Implante una pasarela de pago sin tarjeta para que las operaciones cotidianas sean menos gravosas. Si tiene un PMS, es probable que ya disponga de una pasarela, pero no le servirá de nada si no tiene acceso a la tarjeta física del huésped;
- Ofrezca a los clientes la opción de almacenar sus métodos de pago para utilizarlos en el futuro, eximiendo la transacción de la SCA;
- Integre formas alternativas de pago en su ecosistema, ya que no entran dentro de la directiva PSD2. Aunque infrautilizados en nuestro sector, los métodos de pago como Apple Pay, Google Pay, Amazon Pay, WeChat y AliPay están en alza.
Este artículo fue escrito originalmente por el equipo de MyCheck. Se ha trasladado aquí como parte de la familia de marcas tecnológicas de hostelería del Grupo Shiji.
