Pokud si vytvoříte vlastní nástroj, který pracuje s platbami, kdo nese riziko spojené s dodržováním předpisů?

Vy sami. Nikoli AI, která kód vygenerovala, nikoli váš poskytovatel hostingu a nikoli váš poskytovatel platebních služeb. V momentě, kdy nástroj, který jste vytvořili, přijde do styku s platbami, nese riziko spojené s dodržováním předpisů vaše firma – a to bez ohledu na to, kolik certifikovaných dodavatelů zapojíte. Co však můžete změnit, je velikost tohoto rizika. Rozdíl mezi dobře navrženým vlastním nástrojem a tím nedbalým je totiž obrovský.

Proč padá riziko na vás, a ne na vaše dodavatele?

Přijímání karet funguje na základě řetězce smluv. Karetní asociace určují pravidla, vaše přijímací banka (acquirer, který pro vás zúčtovává karetní transakce) je vymáhá a vaše obchodní smlouva (merchant agreement) je přenáší na vás. Tímto souborem pravidel je PCI DSS, bezpečnostní standard pro odvětví platebních karet, který se vztahuje na každou firmu, jež ukládá, zpracovává nebo přenáší údaje o držitelích karet (čísla karet a doprovodné údaje). Aktuální verze je 4.0.1. (Čísla verzí a podrobnosti o programu jsou přesné k datu publikace; berte tyto specifické údaje jako momentální stav.)

Vaši dodavatelé mají povinnosti týkající se jejich vlastních systémů a certifikovaný poskytovatel platebních služeb vám výrazně usnadní práci. Avšak nic z toho, co dodavatel dělá, na něj nepřenáší odpovědnost. Rada pro bezpečnostní standardy PCI (PCI Security Standards Council) výslovně uvádí, že o tom, zda musíte shodu ověřovat, rozhodují karetní asociace a vaše přijímací banka. Jejich odpověď, zapsaná ve vaší obchodní smlouvě, zní ano. Každý rok někdo z vaší firmy podepisuje prohlášení o shodě (attestation of compliance) potvrzující, že vaše prostředí standard splňuje. Tento podpis je váš, nikoli vašeho dodavatele.

Co se změní v momentě, kdy váš vlastní kód přijde do styku s údaji o kartách?

Rozsah (scope). Úsilí vynaložené na compliance se odvíjí od rozsahu: každý systém, který přichází do styku s údaji o držitelích karet, a vše, co je k němu připojeno, spadá pod tento standard.

Obchodník, jehož platby plně zpracovává certifikovaný poskytovatel a jeho certifikovaná zařízení, ověřuje shodu pomocí krátkého dotazníku pro sebehodnocení (roční kontrolní seznam) s několika desítkami otázek. Obchodník, jehož vlastní software zpracovává čísla karet, spadá do té nejpřísnější kategorie, která kopíruje většinu plného standardu: jde o více než dvě stě požadavků zahrnujících čtvrtletní skenování zranitelností, penetrační testování, řízení přístupu, protokolování (logging) a formální bezpečnostní směrnice¹.

Ten platební formulář, který pro vás AI napsala za jedno odpoledne? Pokud přijímá čísla karet, váš webový server, vaše databáze, váš administrátorský notebook i vaše firemní Wi-Fi mohou spadat do rozsahu auditu. A nemůžete jen tak potají vyplnit ten krátký dotazník. Výběr kategorie, pro kterou nesplňujete podmínky, vaše riziko nesníží; znamená to pouze, že vámi podepsaný dokument je nepravdivý, což obvykle vyjde najevo v ten nejhorší možný moment – hned po úniku dat.

Kolik vás chyby mohou skutečně stát?

Vymáhání je smluvní, takže se obvykle objeví na vašem výpisu poplatků za zpracování plateb. Mnoho zpracovatelů účtuje opakovaný poplatek za nedodržení předpisů (non-compliance fee) každý měsíc, dokud shodu neprokážete. Po úniku dat se náklady začnou hromadit: povinné forenzní vyšetřování, které platíte vy, náklady na znovuvydání karet a stupňující se pokuty přenesené přes vaši přijímací banku, které se běžně pohybují v rozmezí od 5 000 do 100 000 USD měsíčně (na základě sazebníků pokut zveřejněných auditory PCI compliance). V závažných případech může firma o možnost přijímat karty přijít úplně.

Pro malého obchodníka je největší náklad méně nápadný než jakákoli pokuta: provozování skutečného bezpečnostního programu vyžaduje čas, který jste plánovali věnovat samotnému podnikání.

Jak stavět vlastní nástroje, aniž byste museli řešit rozsah pro karetní data?

Udržujte svůj kód mimo cestu, kterou putují data o kartě. Váš vlastní nástroj by měl prodej pouze organizovat: sestavit košík, uplatnit slevy, sečíst objednávku a odeslat částku k zaúčtování. Samotná karta by měla přijít do styku pouze s certifikovaným terminálem (platebním hardwarem schváleným pro zpracování karet) nebo s hostovanou platební stránkou vašeho poskytovatele. Obě tyto možnosti předávají data přímo zpracovateli plateb (společnosti, která převádí peníze). Váš nástroj obdrží zpět výsledek (schváleno, nebo zamítnuto) a token (referenční číslo, které je pro případného zloděje bezcenné).

Toto rozdělení je hlavním argumentem pro headless POS architekturu: vlastní obrazovky nahoře, certifikovaná platební infrastruktura vespod. To je také důvod, proč AI generované pokladny vypadají skvěle v demoverzi, ale selhávají v produkci, a proč je webový formulář špatnou odpovědí pro debetní karty v přítomnosti držitele, jako je Interac: osobní platby patří na certifikovaný hardware, a to jak technicky, tak smluvně.

Final je postaven přesně na této hranici. Procesy (flows), které vytvoříte – ať už je zadáte sami, nebo připojíte vlastní AI přes MCP –, ovládají obrazovky, košíky a katalogy. Údaje o kartách jdou z certifikovaného terminálového hardwaru do zpracovatele plateb přes Final Pay a nikdy nevstupují do procesu, který jste vytvořili. Vlastní řešení tam, kde je to bezpečné, standardizované tam, kde leží odpovědnost.

Kdo tedy nese riziko spojené s dodržováním předpisů?

Vy sami, a vždycky to tak bude. Skutečným rozhodnutím je, jak velký rozsah (scope) na sebe vezmete, a to je otázka architektury, nikoli papírování. Než spustíte nástroj, který přichází do styku s platbami, položte si jednu otázku: může můj kód někdy vidět číslo karty? Pokud ano, musíte bezpečnostní program řídit vy sami. Pokud ne, zachováte si flexibilitu vlastního řešení se zlomkem starostí. Pokud o takovém řešení právě uvažujete, začněte článkem o známkách toho, že jste přerostli své krabicové POS.