1- O que é tokenização de pagamento?
Tokenização significa substituir dados valiosos por um elemento equivalente que não perde o valor depois de retirado do sistema. Esse elemento é conhecido como token. No que diz respeito ao pagamento, o token é um valor que substitui o PAN (Número de Conta Principal). Para um determinado PAN, vários tokens de pagamento podem ser associados a canais e casos de uso e a parâmetros de uso específicos. A EMVCo implantou uma estrutura técnica (EMV Payment Tokenization Specification – Technical Framework v2.0) para gerar, usar e gerenciar tokens de pagamento de forma interoperável dentro do ecossistema de pagamentos. O EMVCo define várias funções dentro do ecossistema de tokenização de pagamento, ou seja, o Token Service Provider (TSP), o emissor do cartão e o Token Requestor.
2- Quais são os benefícios da tokenização de pagamento?
Ao colocar os dados mais valiosos fora do alcance dos fraudadores e associar parâmetros de uso específicos a um determinado token de pagamento, a tokenização de pagamento oferece benefícios a todos os stakeholders do setor de pagamentos. O uso de tokens de pagamento permite aos comerciantes mitigarem a ameaça de violações de dados e a aumentarem as taxas de aprovação de transações. Os emissores de cartões se beneficiam de um risco reduzido de fraude e de custos de substituição de cartões. Para o titular do cartão, os tokens de pagamento criam formas mais seguras de pagamento e reduzem o impacto de um cartão de pagamento roubado ou perdido.
3- Quais são os “casos de uso” da tokenização de pagamentos?
A tokenização de pagamento pode ser usada em diferentes canais e para uma variedade de casos de uso de pagamento, incluindo pagamentos por proximidade, no aplicativo e remotos. Cada token de pagamento pode ser associado a parâmetros específicos1 relacionados ao uso do pagamento.
Ao fazer compras em lojas usando uma carteira móvel em seu telefone ou relógio conectado, os clientes realmente usam um token de pagamento e não os detalhes do cartão para pagar. Isso pode ser feito via Apple Pay, Google Pay, Samsung Pay ou até mesmo alguns serviços de “Issuers Pay” fornecidos por bancos que permitem pagamentos NFC por meio de seu aplicativo bancário Android.
Para pagamentos on-line pontuais, os tokens de pagamento na forma de um cartão virtual exibidos no aplicativo móvel do banco podem ser recuperados e usados pelo titular do cartão para garantir, por exemplo, um checkout de hóspede sem criar uma conta com esse comerciante específico. Os tokens de pagamento também podem ser usados para proteger transações de cartão em arquivo no contexto de compras online repetidas e pagamentos recorrentes no aplicativo ou site do mesmo comerciante. Além disso, os pagamentos de comércio eletrônico também são aprimorados por provedores de opções de pagamento com um clique que dependem da tokenização de pagamento.
4- O que é um Token Service Provider – TSP (provedor de serviços de token)?
Conforme definido pelo EMVCo na EMV® Payment Tokenization Specification – Technical Framework (Estrutura Técnica de Tokenização de Pagamento EMV®), o Provedor de Serviços de Token é responsável pela geração, armazenamento, verificação e gerenciamento do ciclo de vida de um token de pagamento. Ele também é responsável por manter o mapeamento entre o PAN original e o token de pagamento em um cofre de token seguro, juntamente com seus parâmetros de uso associados. O TSP é a entidade que fornece tokens de pagamento a quaisquer Solicitantes de Token registrados para pagamentos por proximidade, em aplicativo e remotos com parâmetros de uso associados. Normalmente, um TSP é uma rede de pagamento (internacional, doméstica), uma rede privada (por exemplo, grandes varejistas, operadores de trânsito), um emissor de cartão ou um provedor de serviços terceirizado.
5- Quem são os solicitantes de token?
Conforme definido pelo EMVCo, um Solicitante de Token é a entidade que inicia o processo de tokenização, solicitando a um Provedor de Serviços de Token que gere e compartilhe um token de pagamento associado a um determinado PAN. Os solicitantes de token, que fornecem a interface voltada para o consumidor, podem incluir:
- Carteiras digitais de terceiros para pagamentos por proximidade e no aplicativo (por exemplo, Apple Pay, Google Pay, Samsung Pay) ou para pagamentos on-line (como sistemas SRC no contexto das opções de pagamento Clique para Pagar com um clique),
- Carteiras do emissor do cartão para bancos dispostos a hospedar recursos de pagamento NFC em seus aplicativos bancários ou exibir números de cartão virtual para proteger pagamentos on-line,
- Aplicativos de mensagens com recursos de pagamento integrados baseados em cartão (por exemplo, WhatsApp),
- Comércio eletrônico dispostos a proteger opções de pagamento recorrentes e de cartão em arquivo.
6- Como funciona a tokenização de pagamento para um pagamento sem contato móvel?
O processo sempre começa com a inscrição do cartão. O titular do cartão inicia uma solicitação para registrar um cartão em uma determinada carteira móvel e o aplicativo de carteira envia uma solicitação ao Provedor de Serviços de Token associado para registrar o cartão. O TSP é responsável por iniciar o processo de autenticação do titular do cartão e solicita ao emissor do cartão que verifique a elegibilidade do cartão e a legitimidade do titular do cartão. Assim que essa etapa de autenticação é aprovada pelo emissor, o TSP pode gerar um token de pagamento associado ao PAN inicial e integrar esse token de pagamento à carteira móvel.
Ao fazer um pagamento móvel sem contato, o titular do cartão aciona o dispositivo POS habilitado para NFC no smartphone, que inicia uma solicitação de autorização de transação e incorpora o token de pagamento. O banco adquirente do comerciante redireciona a solicitação de autorização de transação para a rede de pagamento relacionada, que, por sua vez, a redireciona para o TSP relacionado. O TSP inicia à destokenização para converter o token de pagamento ao PAN. Finalmente, o Provedor de Serviços de Token transfere a solicitação de autorização de transação para o emissor juntamente com o PAN inicial e os resultados da verificação de segurança. Tudo isso acontece instantaneamente e sem incomodar o consumidor.
7- Como funciona a tokenização de pagamento para pagamento com cartão em arquivo de comerciantes?
Mais uma vez, começa com o titular do cartão iniciando a inscrição do cartão, mas neste caso para um comerciante on-line selecionado. Em seguida, o comerciante envia uma solicitação de tokenização ao Provedor de Serviços de Token associado e este solicita que o emissor do cartão verifique o status do cartão e da conta. Em seguida, o emissor do cartão envia a resposta aprovada e o TSP pode gerar um token de pagamento para esse caso de uso específico e comerciante, ou seja, os parâmetros de uso. O token de pagamento é então armazenado pelo Provedor de Serviços de Token em seu cofre de token ou pode ser armazenado pelo próprio comerciante (se permitido pelo esquema de cartão).
Quando o consumidor está fazendo um pagamento usando o cartão previamente registrado em um determinado comerciante, o banco adquirente do comerciante solicita o token de pagamento do Provedor de Serviços de Token — no caso de ele mesmo não armazená-lo. Em seguida, o banco adquirente do comerciante compartilha a carga de pagamento — ou seja, todos os dados necessários para processar a transação, incluindo o token de pagamento — com a rede de pagamento associada, que redirecionará a solicitação de pagamento para o TSP associado. Em seguida, o Provedor de Serviços de Token dá sequência à destokenização para converter o token de pagamento de volta ao PAN e realiza verificações de velocidade adicionais, ou seja, uma análise dos dados da transação. Finalmente, o Provedor de Serviços de Token transfere a solicitação de autorização de transação para o emissor juntamente com o PAN inicial e os resultados da verificação de segurança. Em apenas alguns segundos, o pagamento é feito.
8- Por que a tokenização de pagamento é importante para as redes de pagamento?
É crucial que as redes de pagamento internacionais, nacionais e privadas usem a tokenização se quiserem que os cartões emitidos em suas redes estejam presentes e sejam usados no mundo digital. A tokenização de pagamento permite que eles suportem os diferentes cenários de pagamento digital para pagamentos por proximidade, no aplicativo, peer-to-peer (P2P) e remotos e, em seguida, oferecer aos titulares de cartões mais maneiras de pagar, garantindo que os cartões tenham assumam a posição de topo da carteira. Ter sua própria plataforma de tokenização permite que eles controlem seu roteiro digital e tenham autonomia para propor experiências disruptivas ou jornadas digitais aos titulares de cartões como desejarem, proporcionando segurança para seus respectivos ecossistemas (emissores, comerciantes) no mundo digital.
9- Como selecionar um provedor de serviços de token?
As redes de pagamento que desejam a liberdade de gerenciar seu roteiro de serviços digitais devem escolher um provedor de tecnologia independente entre provedores de serviços de token terceirizados aprovados pelo EMVCo e registrados no Programa de Registro de Provedor de Serviços de Token EMVCo2. Os principais critérios que eles devem observar ao fazer sua escolha são os seguintes:
- A amplitude da solução: os serviços de tokenização devem ser modulares, altamente escaláveis e omnichannel para suportar todos os principais casos de uso de pagamento (proximidade, in-app, P2P, pagamentos remotos);
- Recursos de habilitação de serviço: eles devem favorecer um provedor que facilite a integração de APIs tanto para emissores participantes integrados quanto para a interface com Solicitantes de Token, bem como outros provedores de cofre de token em potencial;
- Segurança da solução: optar por uma solução que atenda aos padrões de segurança PCI, conforme exigido pela maioria das redes de pagamento, é primordial;
- Experiência do provedor: para garantir um serviço confiável e preparado para o futuro, as redes internacionais, nacionais e privadas devem optar por um provedor de tokenização que já esteja envolvido em grandes implantações e operações de grande escala.
Por Jérome Ajdembaum*
