Reçus de carte, tiroirs-caisses et claviers NIP : les règles

Ce que le reçu doit réellement montrer

Le Tableau 5-33 de Visa fixe le contenu requis de chaque reçu de transaction : l'identifiant de paiement, un code d'autorisation pour les transactions que l'émetteur a autorisées, le nom du réseau de cartes (il doit contenir « Visa »), une description des biens ou services, le nom du commerçant utilisé pour s'identifier auprès des clients, la ville et l'État ou la province du point de vente du commerçant, les politiques de retour et de remboursement telles qu'exigées par la règle de divulgation, le montant de la transaction avec un symbole de devise lorsque la devise de la transaction n'est pas locale, la date de la transaction, et le type de transaction — l'un parmi Décaissement en espèces GAB, Retour d'argent sans achat, Crédit, Décaissement manuel en espèces, Transaction de chargement ou Achat. Deux de ces éléments causent régulièrement des problèmes aux petits commerçants. La description de l'achat provient de votre catalogue d'articles, donc un PDV rempli de boutons « Divers 12,00 $ » produit des reçus qui ne respectent pas l'exigence et des réponses aux litiges qui échouent avec eux. Et le nom du commerçant sur le reçu est le nom que les clients connaissent, qui devrait aussi être le nom qui apparaît sur leur relevé.

Troncature : deux règles, et la plus stricte l'emporte

La loi fédérale américaine est le plancher. Le 15 U.S.C. 1681c(g) précise qu'aucune personne acceptant des cartes de crédit ou de débit « ne doit imprimer plus des 5 derniers chiffres du numéro de carte ou la date d'expiration sur un reçu », et cela s'applique uniquement aux reçus imprimés électroniquement au point de vente — il existe une exception expresse lorsque le seul moyen d'enregistrer le numéro de compte est l'écriture manuscrite, un tampon ou une copie de la carte. La règle de Visa est plus stricte : sur la copie du titulaire de carte, l'identifiant de paiement « à l'exception des 4 derniers chiffres, doit être masqué ou supprimé ». Configurez à quatre chiffres et vous satisfaites les deux. Visa interdit aussi qu'un reçu porte plus d'information que ce qui est gaufré ou imprimé sur la carte, ce qui explique pourquoi un reçu ne devrait jamais montrer une date d'expiration ou un code de sécurité.

La règle sur les identifiants de commerçant et de terminal avec une date de 2027

Celle-ci est facile à manquer parce qu'elle arrive en deux étapes. Visa interdit que la copie du titulaire de carte porte le numéro complet d'identification d'accepteur de carte, le numéro complet d'identification de commerçant ou le numéro complet d'identification de terminal. Elle s'applique déjà aux appareils d'acceptation PDV et aux passerelles de paiement déployés à compter du 15 octobre 2022, et à compter du 16 octobre 2027, elle s'appliquera à tous les appareils d'acceptation PDV et passerelles de paiement. Il existe une exception lorsque l'appareil ou la passerelle se connecte à un hôte de processeur en utilisant un chiffrement point à point validé PCI ou des clés cryptographiques pour toute la connectivité d'hôte, et l'acquéreur peut afficher les 4 derniers chiffres sur la copie du titulaire de carte tout en montrant tous les chiffres sur la copie du commerçant. Si vous achetez une imprimante ou un terminal maintenant, c'est une question équitable à poser au fournisseur : le modèle de reçu du titulaire de carte est-il déjà conforme, ou est-ce un changement que vous devrez poursuivre en 2027?

Papier, courriel et texto

La règle de livraison de Visa est l'inverse de l'hypothèse habituelle. Pour la plupart des transactions, le commerçant doit offrir un reçu de transaction papier, sauf si le titulaire de carte accepte un reçu électronique; seuls les appareils d'acceptation de commerce électronique, de commande par courrier et par téléphone, et sans-contact uniquement peuvent choisir de n'offrir qu'un seul format, et cette exception ne s'étend pas à un appareil sans-contact uniquement utilisé pour les dons. Si vous livrez électroniquement, les règles sont précises : tout lien doit être un lien direct vers le reçu, le reçu doit rester disponible pour le titulaire de carte pendant au moins 120 jours civils après la date de traitement, le titre du courriel ou du message doit porter à la fois le nom du commerçant tel qu'il apparaîtra dans le relevé de compensation et sur le relevé du titulaire de carte, et un libellé indiquant qu'il contient le reçu, et le reçu doit être dans un format statique qui ne peut être facilement manipulé par la suite. La clause qui vaut la peine d'être lue deux fois : le commerçant ne doit pas stocker ou utiliser les renseignements personnels que le titulaire de carte a fournis pour permettre la livraison du reçu à d'autres fins sans le consentement exprès du titulaire de carte. Une adresse courriel recueillie pour envoyer un reçu n'est pas, en soi, une liste marketing.

Ce que le tiroir-caisse est autorisé à faire

Remettre de l'argent comptant au comptoir sur une vente par carte est réglementé, non discrétionnaire. La règle fondamentale de Visa précise qu'un commerçant ne doit pas fournir d'argent comptant à un titulaire de carte, sauf s'il offre un retour d'argent ou un retrait, ou vend de la devise étrangère, et une carte prépayée ne doit pas être échangée contre de l'argent comptant par un commerçant qui l'accepte. Là où le retour d'argent est offert aux États-Unis, le Tableau 5-15 et les exigences générales de retour d'argent s'appliquent ensemble : il est permis avec ou sans achat, plafonné à 200 USD, limité aux cartes de débit et prépayées, et il doit être autorisé en ligne, complété comme une transaction de détail en personne, et contenir un NIP — spécifiquement dans la région des États-Unis, un NIP. La portion de retour d'argent du montant doit être identifiée de façon unique, la transaction doit être traitée dans la devise locale du commerçant, et aucun crédit de remboursement ou reçu de transaction de crédit ne peut être traité pour la composante de retour d'argent. Tous les acquéreurs, émetteurs et commerçants doivent participer au service d'autorisation partielle, et un montant partiellement approuvé ne doit pas être appliqué à la portion de retour d'argent. Les commerçants peuvent fixer une limite de retour d'argent inférieure à 200 USD à leur discrétion, et beaucoup le font.

Claviers NIP et la liste des appareils approuvés

Si le comptoir prend des NIP, le matériel relève de la norme PCI PTS Point of Interaction, qui fixe des « exigences de sécurité pour les caractéristiques et la gestion des appareils utilisés pour protéger les NIP des titulaires de carte, les données de compte et d'autres données de carte de paiement sensibles au point d'interaction ». La norme couvre les appareils de saisie de NIP et les terminaux de paiement sans surveillance, les appareils d'acceptation sans NIP évalués pour la protection des données de compte, les claviers NIP chiffrants destinés à l'intégration dans des équipements comme les guichets automatiques, les lecteurs de carte sécurisés en tant que composants de terminal PDV, et les lecteurs de carte sécurisés à NIP destinés à être utilisés avec des appareils commerciaux prêts à l'emploi comme un téléphone ou une tablette. Les directives du PCI SSC aux commerçants et à leurs acquéreurs sont d'utiliser la liste du conseil lors de la sélection d'appareils PTS POI approuvés. C'est la vérification à faire avant d'acheter un clavier NIP d'une annonce en ligne, et c'est la vérification à refaire avant de redéployer un ancien appareil.

Les choix qui demeurent une simple préférence

De nombreuses décisions périphériques ne comportent aucune règle du tout, et il vaut la peine d'être clair sur lesquelles. Les imprimantes thermiques évitent les coûts d'encre. L'ethernet filaire ou l'USB sur un comptoir fixe évite les échecs d'appairage Bluetooth pendant une file d'attente. Les cuisines choisissent entre une imprimante résistante à la chaleur et un écran d'affichage selon le volume et la durabilité. L'épicerie et les charcuteries ajoutent des balances. Achetez du matériel de qualité commerciale plutôt que grand public pour tout ce qui fonctionne à un cycle d'utilisation de détail. Rien de tout cela n'est de la conformité, et aucun fournisseur ne devrait le présenter comme tel. Exemple illustratif, chiffres ronds inventés : un commerce comparant deux imprimantes à 200 $ et 400 $ devrait peser la différence par rapport au coût d'un comptoir à l'arrêt, pas par rapport à un taux sur une soumission de traitement.