Recentemente Stancer, player europeo dei pagamenti digitali e parte del Gruppo iliad, ha debuttato in Italia con la propria offerta di soluzioni dedicate al segmento delle PMI, dei piccoli commercianti e dei liberi professionisti, e a capo delle operazioni nel nostro Paese è stato nominato Alberto Rescigno.

Secondo quanto affermato da George Owen, CEO di Stancer: “La tecnologia di pagamento di Stancer è stata sviluppata interamente in-house ed è controllata direttamente dall’azienda, mentre l’infrastruttura si basa sui data center del Gruppo. Questo consente di mantenere tutti i dati in Europa, e che quindi essi siano soggetti esclusivamente alla cornice normativa e di vigilanza europea, nel pieno rispetto del GDPR e dei più elevati standard di protezione”.

In sintesi, l’europea Stancer si configura come alternativa puntando (anche) sulla garanzia di sovranità dei dati di transazione che circolano all’interno della propria infrastruttura, grazie a una tecnologia totalmente sviluppata internamente e un’infrastruttura che risiede nei data center del Gruppo iliad.

Ma è possibile garantire un completo controllo sovrano all’interno di un sistema di pagamento che necessariamente coinvolge diverse entità, non necessariamente europee?

La risposta ufficiale di Stancer è, evidentemente, sì e, a rinforzare la tesi, l’azienda dichiara: “La sovranità è garantita fin dal momento in cui i dati ci vengono trasmessi dal pagatore o dal commerciante: vengono archiviati ed elaborati in modo sicuro sui nostri server, situati in Europa. Non ci affidiamo a infrastrutture di terze parti per il nostro processo di pagamento: gestiamo internamente i nostri server di autorizzazione sicuri 3DS, il nostro gateway e la nostra infrastruttura di regolamento”.

Dati sensibili che circolano

Ora, come detto, nel flusso di una transazione finanziaria digitale entrano in gioco i circuiti di pagamento e gli emittenti, che non necessariamente memorizzano i dati in infrastrutture europee e, tanto meno, non possono essere "controllati" da Stancer. È comunque corretto quanto afferma ancora Stancer: “I dati di pagamento, come importi, PAN (il numero della carta di credito, prepagata o di debito), codici di instradamento e codici di autorizzazione, vengono condivisi con i circuiti di pagamento e gli emittenti (le banche dei clienti). Ma tutti i dati in transito sono fortemente crittografati e conformi alle norme PCI DSS Livello 1 (il più alto standard di settore)”.

Questi dati sono da considerare sensibili, poiché comprendono sia dati bancari che dati di pagamento, ed è altrettanto vero che non siano direttamente identificabili personalmente se considerati isolatamente: un PAN da solo, senza il nome del titolare della carta o il CVC/CVV (che non vengono mai memorizzati o salvati), presenta vulnerabilità limitate. Inoltre, la tokenizzazione e la crittografia fanno sì che i dati grezzi siano raramente esposti durante il transito.

Ora, per comprendere se il concetto di sovranità possa essere effettivamente applicato al contesto dei pagamenti digitali, è necessario ricostruire il flusso di una transazione.

Dal Batching al Funding

Il flusso di backend successivo all’input di un acquisto prevede le fasi di Batching, Cleaning, Settlement e Funding. In particolare, il Batching, che avviene generalmente a fine giornata, è l’attività a carico dell’emittente del merchant (Acquirer) o del gateway che raggruppa tutte le transazioni autorizzate in un unico batch e le invia all’entità che le processerà, per esempio Stancer.

Nella fase di Clearing (lo scambio di dati): chi possiede il batch lo invia ai circuiti internazionali (come Visa e Mastercard) che smistano le richieste di pagamento alle rispettive banche dei clienti (Issuer).

La fase di Settlement (il movimento fondi) prevede che la banca del cliente invii il denaro al circuito, che a sua volta lo girerà alla banca del merchant. Evidentemente, durante questo passaggio vengono calcolate e trattenute le commissioni di interscambio e di servizio. Infine, nella fase di Funding i soldi vengono depositati sul conto corrente del merchant, solitamente entro 24-48 ore.

Relativamente allo stack infrastrutturale coinvolto, abbiamo un Payment Gateway, la piattaforma software che cripta i dati e fa da connettore tra l'app mobile e il mondo bancario e il Payment Processor che gestisce la logica della transazione, i controlli antifrode e instrada i dati verso i circuiti corretti.

C’è, poi, da considerare la Card Network (Rail), ovvero l'infrastruttura fisica e digitale (Visa, Mastercard, PagoPA) che mette in comunicazione le banche in tutto il mondo, infine l’infrastruttura dell’istituto di credito del merchant e il Ledger & Reconciliation Layer che tiene traccia dei conti per garantire che i saldi tra le banche alla fine di ogni ciclo corrispondano.

La criticità del Cleaning & Settlement

Va da sé che i “momenti critici” sono le fasi di Cleaning & Settlement in cui intervengono i circuiti internazionali e l’emittente del cliente, che potrebbe non essere una banca europea. E c’è da aggiungere che se nella fase di Cleaning si utilizzano i canali SEPA, sistemi europei come STEP2 e TIPS garantirebbero la permanenza dei dati all’interno dell’UE. Infine, da segnalare che, se anche i dati sono crittografati e sfruttano standard di protezione di alto livello, a un certo punto i circuiti internazionali si troveranno comunque a decrittare i dati.

A dimostrazione di quanto sia un argomento sensibile, c’è da segnalare l’intensa attività della Banca Centrale Europea per la diffusione di circuiti di pagamento totalmente europei. In particolare, il servizio Wero è già attivo in alcuni paesi europei mentre lo è da anni MyBank. Ancora, i circuiti domestici come Bancomat Pay in Italia, si sono raggruppati nell'EuroPA Alliance ma il sistema univoco è ancora in fase pilota. Infine, l’Euro Digitale è l’iniziativa BCE per la realizzazione di una vera e propria moneta legale digitale, è attualmente in fase di sviluppo normativo e tecnico.