Newsgroup: it.diritto.internet
Titolo: conservazione dati carta di credito

buongiorno a tutti, avrei il seguente dubbio:
ci è stato chiesto se è possibile, per un sito di agenzia turistica,
conservare i dati di una carta di credito durante una transazione
on-line, in modo da poter applicare la penale direttamente in caso di
disdetta della prenotazione.
io ho forti dubbi a riguardo ma, a parte le questioni tecniche, mi è
stato detto che è legale.
che dite?
grazie
kli

 stato detto che è legale.
Ti rispondo da tecnico informatico che ha fatto qualche discorso con chi ne
capisce un po' di piu' qualche tempo fa.
nota che i dettagli tecnici possono variare anche significativamente da
banca a banca e quindi devi verificare la cosa con la banca che ti da la
possibilità di incassare con la carta per via telematica.
Con la carta di credito, la transazione che esegui e' logicamente separata
in due parti. 
La prima, "autorizzazione" e' la parte con la quale tu in qualche maniera
*blocchi* una certa cifra della carta del cliente a tuo favore. In questa
fase, la cifra non e' effettivamente addebitata, ma il circuito della carta
di credito la tiene a disposizione per te per un certo periodo di tempo (mi
pare un mese) e in conseguenza non la fa utilizzare al cliente (ad es. la
toglie dal planfond utilizzabile della carta). 
La seconda fase, "addebito", inviece effettua materialmente la transazione
togliendo i $$$ dalla carta del cliente e accreditandoli all'esercente.
Viene da se che le fasi possono essere congiunte (ad esempio quando paghi ad
un negozio con il pos che 'striscia' la carta) oppure disgiunte.
Il trucco sta proprio nella disgiunzione delle due fasi e nella possibilità
di revocare l'addebito esplictamente o per scadenza dei termini. 
In effetti, quando esegui la "autorizzazione" hai bisogno dei dati della
carta del cliente (numero, scadenza, nome, ecc.) e ti viene dato in
risposta un numero di transazione bancaria che identifica l'operazione.
Per convalidare l'addebito, o per annullarlo, utilizzi poi il numero di
transazione che e' univoco ed e' slegato dall'identità del cliente (solo la
banca conosce l'associazione transazione->carta) e quindi non ti crea
problemi ai fini delle norme sulla sicurezza dei dati. 
Di fatto, in questo modo, tu non memorizzi mai i dati della carta del
cliente.
Questo meccanismo viene molto impiegato soprattutto dalle strutture
alberghiere dove e' possibile addebitare una notte in caso di mancato
arrivo a seguito di prenotazione.
Certo che se, invece, vuoi conservare i dati della carta per evitare di
reimmetterli durante l'esecuzione di altre transazioni allora i problemi di
sicurezza dei dati si pongono tutti e devi seguire le prescrizioni di legge
(ed anche in molti casi qualcosa in piu') e *devi dare esplicita ed
adeguara informativa* al cliente di questo fatto.
ciao
 Andrea

 adeguara informativa* al cliente di questo fatto.
difatti! è questo che vogliono. vogliono i dati in chiaro sui loro db.
mi sembra assurdo!
grazie mille per la preziosa info!
kli

klingsor ha scritto:

se ne era parlato tempo fa ed era venuto fuori che non erano ne da ti 
sensibili ne personali, quindi non è che ci sia da fare molto.
COnsidera che è lo stesso problema degli hotel
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Le opinioni sono come le palle: ognuno ha le sue.
		-- Clint Eastwood

 COnsidera che è lo stesso problema degli hotel
ho letto le precedenti discussioni e mi sembra ci fossero due distinte
linee.
in questo caso però cerco di immedesimarmi in un cliente che
*dovrebbe* sapere che i dati della sua carta di credito sono in chiaro
su un db, ergo deve poter scegliere se fidarsi o no, giusto?
negli hotel ci si *fida* della correttezza della gestione, in questo
caso mi sembra la situiazione sia molto più vulnerabile, se non
francamente irritante (tratteniamo il numero così tu cattivo se non
arrivi vieni punito, e per di più sei su un server in chiaro)
;-)

 Visto che sono imprescindibilmente legati al nome/cognome.
Si concordo, inoltre ti posso assicurare che chiunque può annullare 
l'addebito sulla propria carta di credito se non presenti una ricevuta 
*firmata*.
-- 
Spesso l'uomo concentrandosi sui mezzi perde di vista lo scopo.
A. Schopenhauer

 mi sembra assurdo!
mmmmhhhh. allora qui non e' un problema di gestione della transazione
differita, ma proprio la voglia di ricordasi dei dati relativi al cliente.
Non c'e' problema, i dati in questione sono dati personali *riservati* (nel
senso che non sono conoscibili se il cliente stesso non te li dice; qui non
si parla di nome ed indirizzi ma qualcosa di piu') e devono essere
conferiti dal cliente nell'ambito di un certo trattamento come definito
dalla legge privacy. 
E' vero infatti che i dati delle carte non sono dati *sensibili* a norma di
legge, ma viene comunque da se che se ci fai qualche casino e io cliente lo
venissi a sapere mi altererei non poco dal momento che apriresti la strada
a persone poco gentili che gradiscono provare a toccare il mio già magro
portafoglio. 
In sostanza hai da tenere presente tutti gli adempimenti per la gestione dei
dati che sono da un lato l'informazione, l'accesso e la gestione secondo
quanto ti chiede il cliente (metto un dato, lo tolgo, lo correggo, ecc.) e
dall'altro lato hai da mettere in pratica tutte quelle procedure di
sicurezza dei dati (che sono minimanete richiamate nelle misure minime di
sicurezza, DPS compreso) tenendo presente durante l'analisi di rischio che
i dati delle carte dei clienti devono come minimo essere protetti da
accessi non autorizzati (e quindi *almeno* non in chiaro nel db) .... ma
qui andiamo ad aprire un discorso diverso che non e' limitato alle sole
carte di credito.
In soldoni, devi tenere presente *tutti i punti di vista* e non solo quello
dei clienti che, comunque, viene per primo.
Quando ho buttato giu' un pre-progetto per una gestione hotel, davanti a
queste problematiche e alla struttura necessaria per gestirle e alla
evidente ristrettezza economica dei miei clienti ho chiaramente indicato il
solo addebito differito sulla carta come strada da percorrere, pena il
dover mettere in piedi una struttura di sicurezza che, nel mio caso,
risultava abbastanza onerosa.
Avere un elenco dei dati personali deli clienti insieme ai numeri di carta
di credito e' *forse* una comodità, di certo e' una responsabilità che
prima il buon senso e poi anche la legge ti impongono di gestire
accortamente.
ciao
 Andrea

 
Non a caso le banche spingono per bankpass o le varie carte ricaricabili :-|
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Che paese, l'Italia: mi sono distratto un attimo e non e' successo niente.
		-- Pericoli & Pirella

 accortamente.
grazie mille mi sei stato molto utile!!!
e grazie a tutti
kli

 Non a caso le banche spingono per bankpass o le varie carte ricaricabili :-|
difatti di solito usiamo i protocolli bankpass ma stavolta abbiamo
richieste diverse.
ancora grazie.
kli

 sensibili ne personali, quindi non è che ci sia da fare molto.
Cioé nome e cognome sulla carta, numero di carta e data di scadenza non
sarebbero dati personali?
-- 
 Candido - 
http://candido2k.blogspot.com/

 sarebbero dati personali?
:-) ho riletto il thread... è personale ma non sensibile.
sorry
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
- Quando si tossisce si mette la mano davanti alla bocca!
- Ho provato, ma si tossisce lo stesso!
		-- Jean Charles

 :-) ho riletto il thread... è personale ma non sensibile.
Ah, ecco! :-)


 Ah, ecco! :-)
Mica pretenderai che mi ricordi tutte le idiozie che scrivo, vero ????
:-)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Sergente: "A causa della partenza per le manovre, i malati di domani
saranno visitati questa sera".
		-- Riccardo Fores

 :-)
E' il motivo per cui io *non* uso il no-archive... :-)
