Pagamenti online per le PMI svizzere: opzioni ed esigenze contrattuali

Pagamenti online: la scelta del fornitore non dipende solo dalle commissioni

Incassare un pagamento online significa trasmettere a un fornitore le informazioni che identificano l'acquirente. Spesso questo fornitore è multiplo: soluzione di pagamento, hosting, strumento antifrode, meccanismo di autenticazione della carta.

Nome, indirizzo, dati di fatturazione, storico delle transazioni: si tratta di tanti dati personali, che il Centre Patronal definisce come «tutte le informazioni relative a una persona fisica identificata o identificabile».

Secondo la stessa fonte, la legge e la sua ordinanza di applicazione (OPDo) si applicano ogniqualvolta vi sia un trattamento di dati personali effettuato da privati. Ciò riguarda «tutte le imprese in Svizzera, indipendentemente dalle loro dimensioni».

Una PMI della Svizzera romanda che attiva un pulsante di pagamento non si trova quindi in una zona grigia: rientra nel campo di applicazione della nLPD.

La scelta del fornitore ha una seconda conseguenza, di natura contrattuale. Il commerciante decide perché raccoglie questi dati: evadere l’ordine, gestire i rimborsi e le controversie, tenere la contabilità. Assume il ruolo di responsabile del trattamento; il fornitore tratta questi dati per suo conto, dunque come subappaltatore.

Da questa qualifica derivano le clausole da negoziare: garanzie di sicurezza, gestione delle richieste dei clienti (accesso, rettifica, cancellazione), ripartizione delle responsabilità in caso di incidente presso uno degli intermediari.

Confrontare le offerte basandosi unicamente sulla commissione o sulla facilità di integrazione tecnica lascia in secondo piano ciò che si pagherà più tardi. Un contratto muto sui successivi subappaltatori, sulla localizzazione dei dati o sulla notifica degli incidenti mette la PMI in una posizione di debolezza. Il giorno in cui dovrà rispondere a un cliente insoddisfatto o a un’autorità di controllo, questo silenzio le costerà caro.

Responsabile del trattamento o subappaltatore: la prima questione da chiarire

Il Centre Patronal ricorda le due definizioni che strutturano l’intero impianto normativo. Il responsabile del trattamento è «la persona privata o l’organo federale che, da solo o congiuntamente con altri, determina le finalità e i mezzi del trattamento dei dati personali». Il subappaltatore è «la persona privata o l’organo federale che tratta dati personali per conto del responsabile del trattamento».

La stessa fonte cita l’esempio del fornitore di servizi cloud al quale il responsabile del trattamento ha esternalizzato funzioni informatiche: egli agisce come subappaltatore. Un fornitore di pagamenti, un host della pagina di cassa o un servizio di rilevamento delle frodi si trovano in una situazione analoga.

In una catena di pagamento online intervengono due contratti distinti. Il contratto di acquisizione (acceptance) è firmato con un acquirer – un istituto finanziario che elabora i pagamenti con carte di credito e di debito. Il contratto di trattamento è firmato con un prestatore di servizi di pagamento (PSP), che integra tecnicamente i mezzi di pagamento nel negozio online.

La questione non è teorica. L’elenco delle azioni di adeguamento del Centre Patronal inizia con l’identificazione dei ruoli. Si cita: «Occorre identificare quali siano le proprie responsabilità rispetto a questi dati, determinando se la persona privata agisca come responsabile del trattamento o come subappaltatore.»

Da questa qualifica dipendono la sicurezza esigibile, l’ampiezza delle verifiche da effettuare e la ripartizione delle responsabilità in caso di fuga di dati o di richiesta da parte di una persona interessata.

Ha anche una conseguenza operativa diretta. Secondo il Centre Patronal, la persona che assume il ruolo di responsabile «deve assicurarsi che il suo subappaltatore sia in grado di garantire la sicurezza dei dati». Una PMI non può quindi limitarsi a sottoscrivere un servizio di pagamento online. Deve poter dimostrare di aver verificato le garanzie del proprio fornitore e di aver disciplinato il rapporto per iscritto.

Uno stesso fornitore può tuttavia cumulare i ruoli. I trattamenti che effettua per le proprie finalità – obblighi di lotta al riciclaggio, miglioramento dei propri servizi – non rientrano nel subappalto ma nella sua propria responsabilità. Il contratto dovrebbe distinguere questi due blocchi, altrimenti la PMI crederà erroneamente che tutto ciò che fa il suo fornitore sia coperto dalle sue istruzioni.

Cosa cambia la nLPD dal 1° settembre 2023 per gli incassi online

La nuova legge federale sulla protezione dei dati è entrata in vigore il 1° settembre 2023. Sostituisce la legge del 1992. Secondo una guida alla conformità destinata alle PMI svizzere, «allinea il diritto svizzero alle norme del RGPD dell’Unione europea».

Il Centre Patronal precisa che la legge si applica con la sua ordinanza di applicazione ogniqualvolta vi sia un trattamento di dati personali da parte di privati, persone fisiche o giuridiche.

I principi di fondo non sono scomparsi con la revisione. Secondo il Centre Patronal, «i principi base della protezione dei dati restano invariati»: liceità, buona fede, finalità, trasparenza, proporzionalità, esattezza e sicurezza dei dati devono applicarsi a tutti i trattamenti di dati personali.

Applicati a una pagina di pagamento, si traducono in domande concrete. La finalità è chiaramente definita (incassare l’ordine, gestire le controversie, prevenire le frodi)? I dati richiesti sono proporzionati a questa finalità, o la PMI ne raccoglie più del necessario?

L’acquirente è informato su cosa accade ai suoi dati? I dati sono tenuti aggiornati? Il fornitore offre una sicurezza sufficiente?

Una guida destinata alle PMI svizzere presenta sette principi centrali – trasparenza, consenso informato, minimizzazione dei dati, diritto all’oblio, portabilità dei dati, sicurezza dei dati e responsabilità. Sottolinea che non si limitano alla raccolta: si estendono alla gestione, all’utilizzo, alla conservazione e alla cancellazione dei dati. Questa guida rimanda, per il dettaglio delle esigenze, alle risorse dell’Ufficio federale della protezione dei dati e della trasparenza.

Per una PMI, la conseguenza più tangibile riguarda la documentazione. Il Centre Patronal rileva che «ogni impresa è chiamata a realizzare, nell’ambito delle sue attività, trattamenti di dati personali, che si tratti di quelli dei suoi clienti, collaboratori o ancora dei suoi fornitori».

I dati di pagamento si aggiungono a questo inventario. Devono poter essere collegati a una finalità, a un fornitore identificato e a misure di sicurezza descritte nei dossier dell’impresa.

Evoluzioni chiave della regolamentazione dei pagamenti online in Svizzera dal 2023

Quando il RGPD entra nei contratti di pagamento di una PMI svizzera

Una PMI svizzera non è automaticamente soggetta al regolamento europeo. L’avvocato Sylvain Métille, citato in un’analisi dedicata alle PMI della Svizzera romanda, distingue quattro casi.

Le imprese non soggette offrono beni e servizi esclusivamente a clienti in Svizzera e non hanno presenza nell’UE. Quelle soggette perché presenti nell’UE lo sono tramite entità europee.

Le imprese soggette in modo extraterritoriale sono presenti solo in Svizzera ma offrono, tra l’altro, beni o servizi a residenti dell’UE, o monitorano le loro azioni su internet. Infine, i subappaltatori svizzeri di dati europei non sono soggetti al RGPD. Alcuni obblighi possono tuttavia essere ripresi nei loro contratti di subappalto, parzialmente modellati sul regolamento.

Il criterio pratico è quindi il seguente: dove si trovano i clienti e dove è stabilita l’impresa? La stessa fonte ricorda come principio di base che «si applica il diritto del paese in cui si trova l’impresa». Nota che molte PMI della Svizzera romanda contano almeno alcuni clienti o fornitori europei e frontalieri tra il proprio personale.

Per un negozio online, può entrare in gioco la terza categoria. Vendere e consegnare a residenti dell’UE basta a far rientrare la PMI nel campo di applicazione extraterritoriale del regolamento, anche senza filiale europea. Questo non cambia solo l’informativa da fornire ai clienti; ha ripercussioni sul contratto di pagamento.

Se il commerciante è soggetto al RGPD e il suo fornitore tratta dati di questi clienti, il contratto deve prevedere impegni compatibili. Questi impegni riguardano le misure di sicurezza, l’informazione in caso di violazione, la disciplina del successivo subappalto e l’assistenza per rispondere alle richieste delle persone interessate.

Il quarto caso funziona in senso inverso e interessa direttamente le PMI che scelgono un fornitore svizzero. Un subappaltatore stabilito in Svizzera che lavora per clienti europei può già proporre clausole contrattuali modellate sul RGPD. Un contratto di questo tipo avvantaggia una PMI che vende nell’UE, perché evita di dover rinegoziare ogni punto della protezione dei dati.

Le clausole da verificare prima di firmare con un fornitore di pagamenti

L’esigenza di base deriva dalla ripartizione dei ruoli. Secondo il Centre Patronal, la persona che assume la responsabilità del trattamento «deve assicurarsi che il suo subappaltatore sia in grado di garantire la sicurezza dei dati». In un contratto di pagamento online, questo si traduce in diversi punti da esaminare. L’elenco seguente riprende gli elementi usualmente attesi in un contratto di subappalto di dati.

Il contratto di acquisizione con un acquirer specifica le commissioni, i requisiti di sicurezza e i processi di chargeback. Il contratto di trattamento con un PSP regola il collegamento tecnico tra il negozio, il PSP e le banche. Entrambi i contratti devono essere esaminati, poiché ripartiscono responsabilità diverse.

Ambito del trattamento: quali categorie di dati sono trattate (identità dell’acquirente, coordinate, dati di transazione), per quali finalità e per quali operazioni. La definizione di trattamento adottata dal Centre Patronal è ampia: «la raccolta, la registrazione, la conservazione, l’utilizzo, la modifica, la comunicazione, l’archiviazione, la cancellazione o la distruzione di dati». Fornisce una buona base per descrivere ciò che il fornitore fa realmente.

Ruolo e responsabilità: il contratto deve indicare chi è responsabile del trattamento e chi è subappaltatore per ogni blocco di operazioni, incluso quando il fornitore tratta alcuni dati per le proprie finalità. Garanzie di sicurezza: quali misure il fornitore si impegna a mantenere (controllo degli accessi, cifratura, registrazione dei log, gestione degli incidenti) e come ne fornisce la prova. Subappalto successivo: elenco dei subappaltatori che intervengono nella catena di pagamento, condizioni di informazione in caso di cambiamento, diritto di opposizione del commerciante.

Localizzazione e trasferimenti: dove i dati sono ospitati e trattati, e a quali condizioni possono essere trasferiti fuori dalla Svizzera. Notifica di incidente: entro quale termine e attraverso quale canale il commerciante viene informato di una violazione dei dati, e con quali informazioni. Richieste delle persone interessate: chi gestisce una richiesta di accesso, rettifica o cancellazione, e entro quale termine viene trasmessa al commerciante.

Fine del contratto: restituzione o cancellazione dei dati, inclusi quelli conservati presso i subappaltatori. Audit e prova: diritti di verifica, attestazioni o rapporti che il fornitore mette a disposizione.

Ultimo punto, spesso dimenticato: l’articolazione con le condizioni generali del commerciante. Informare l’acquirente presuppone di nominare il fornitore, di rimandare alla sua politica sulla privacy e di descrivere la finalità dell’incasso nelle CGV. Il contratto e le CGV devono raccontare la stessa storia; una divergenza tra i due è difficile da spiegare a una persona che chiede cosa accade ai suoi dati.

Opzioni contrattuali: fornitore svizzero, fornitore europeo o subappaltatore di dati europei

I mezzi di pagamento online utilizzati in Svizzera sono ben identificati. Twint domina il pagamento mobile con oltre 5 milioni di utenti attivi. Le carte di debito e di credito Visa e Mastercard restano lo standard, in particolare per gli acquisti superiori a 100 CHF. La fattura, il conto postale, PayPal e Apple Pay completano l’offerta.

Per integrare questi mezzi di pagamento, una PMI ricorre a un prestatore di servizi di pagamento (PSP). I PSP noti per i siti di vendita online svizzeri sono DataTrans, Nexi, PayPal, Payrexx, PostFinance, Stripe, Wallee e Worldline. Il confronto tra i nove principali fornitori include anche Datatrans di Planet, saldiaPay e zahls.ch. Saferpay è inoltre citato come gateway svizzero.

I costi di un PSP si compongono di spese di installazione, canoni fissi mensili e costi per transazione. Questi ultimi variano tra CHF 0.20 e CHF 1.10 a seconda del volume di transazioni. Per i pagamenti con carta di credito, si aggiungono commissioni dal 2,5% al 3,5% del prezzo di acquisto, versate all’istituto finanziario che regola le transazioni.

A titolo indicativo, Twint costa circa 1,3% + 0,30 CHF per transazione, Stripe 2,9% + 0,30 CHF per le carte svizzere, e PayPal tra il 2,49% e il 3,4% + 0,55 CHF. PostFinance Checkout si aggira intorno al 2,5% + canoni fissi mensili, mentre Datatrans funziona su preventivo, con un abbonamento e circa 1-2,5%.

La scelta tra un fornitore svizzero e un fornitore europeo dipende poi dal regime RGPD applicabile. Le quattro categorie descritte in precedenza determinano se il contratto debba essere modellato sul RGPD o sulla sola nLPD. Un PSP svizzero può ospitare i dati fuori dalla Svizzera, e un PSP europeo può ricorrere a subappaltatori situati altrove.

Il regime applicabile fornisce una prima griglia di scelta. Una PMI che vende esclusivamente a clienti in Svizzera e non ha alcuna presenza nell’UE si trova nella prima categoria descritta da Sylvain Métille. Non è soggetta al RGPD, e il suo contratto di pagamento può essere costruito sulla sola base della nLPD. È il caso più semplice, e un fornitore stabilito in Svizzera vi risponde con clausole di subappalto conformi al diritto svizzero.

Una PMI che dispone di un’entità nell’UE rientra nella seconda categoria: è soggetta al RGPD grazie alla sua presenza europea. Il contratto con il suo fornitore di pagamenti – qualunque sia la sede di quest’ultimo – deve riflettere questo regime.

Una PMI presente solo in Svizzera ma che vende a residenti dell’UE cade nella terza categoria, quella dell’applicazione extraterritoriale. Anche senza entità europea, la protezione dei dati degli acquirenti dell’UE deve essere organizzata. Il contratto del fornitore è il primo luogo in cui ciò si concretizza.

La quarta categoria, quella dei subappaltatori svizzeri di dati europei, è la più interessante dal punto di vista negoziale. Questi fornitori non sono soggetti al RGPD, ma alcuni obblighi possono essere ripresi nei loro contratti di subappalto, parzialmente modellati sul regolamento. Un fornitore svizzero di pagamenti che lavora con una clientela europea può quindi proporre un contratto di subappalto che riprende alcuni obblighi parzialmente modellati sul RGPD.

La scelta non si riduce a «fornitore svizzero o fornitore europeo». Tre domande permettono di decidere: in quale regime si situa la PMI (vendita solo in Svizzera, presenza nell’UE, vendita a residenti dell’UE)? Il contratto del fornitore copre già questo regime, o occorre completarlo? Dove i dati sono effettivamente trattati e da quali subappaltatori?

Un fornitore svizzero può ospitare i dati fuori dalla Svizzera e un fornitore europeo può appoggiarsi a subappaltatori situati altrove. È l’intera catena, e non la sede sociale, a determinare ciò che il contratto deve prevedere.

Vantaggi e vincoli della scelta di un fornitore svizzero vs europeo

Adeguamento pragmatico e checklist contrattuale per una PMI della Svizzera romanda

L’approccio proposto dal Centre Patronal per una PMI inizia con l’identificazione dei ruoli: determinare, per ogni trattamento, se l’impresa agisce come responsabile del trattamento o come subappaltatore. Applicata ai pagamenti online, questa fase si traduce in un inventario scritto. Elenca quali dati di pagamento transitano, attraverso quali canali (pagina di cassa, link di pagamento, terminale, abbonamento), verso quali fornitori e per quali finalità.

Questo inventario è anche il momento di censire gli altri trattamenti dell’impresa. Come ricorda la stessa fonte, ogni impresa tratta dati dei suoi clienti, collaboratori e fornitori.

Seconda fase: verificare il fornitore. La persona che assume la responsabilità del trattamento deve assicurarsi che il suo subappaltatore sia in grado di garantire la sicurezza dei dati. Occorre chiedere gli impegni scritti, le misure tecniche annunciate e l’elenco dei successivi subappaltatori che intervengono nella catena di pagamento.

Questa verifica riguarda anche i costi. Chiedete il listino prezzi: spese di installazione, canoni fissi mensili, costi per transazione (CHF 0.20 a 1.10) e commissioni sulle carte (2,5% a 3,5%). Confrontate questi costi con i mezzi di pagamento che i vostri clienti utilizzano realmente.

Terza fase: documentare. La guida PME dedicata alla nLPD sottolinea che i principi di protezione dei dati si estendono alla gestione, all’utilizzo, alla conservazione e alla cancellazione. Rimanda alle risorse dell’Ufficio federale della protezione dei dati e della trasparenza per le esigenze dettagliate.

Concretamente: conservare il contratto, le informazioni trasmesse ai clienti e la descrizione delle misure di sicurezza insieme al dossier dei trattamenti.

Quarta fase: aggiornare le condizioni generali e il contratto. Le CGV devono descrivere la finalità dell’incasso e rimandare alla politica sulla privacy del fornitore. Il contratto deve coprire i punti della checklist qui sotto.

Quinta fase: ripetere l’esercizio ad ogni cambio di fornitore, di hosting o di configurazione della pagina di pagamento. Un nuovo modulo tecnico significa un nuovo subappaltatore da qualificare e documentare.

Checklist contrattuale da passare in rassegna prima di firmare.

Ruolo di ciascuna parte (responsabile del trattamento / subappaltatore) e ambito delle operazioni. Categorie di dati trattati e finalità.

Misure di sicurezza garantite dal fornitore e prove associate. Elenco dei successivi subappaltatori e condizioni di informazione o opposizione.

Localizzazione del trattamento e condizioni di trasferimento fuori dalla Svizzera. Termine e canale di notifica in caso di violazione dei dati.

Gestione delle richieste di accesso, rettifica e cancellazione. Destino dei dati alla fine del contratto (restituzione o cancellazione).

Diritti di verifica e documenti disponibili. Coerenza con le CGV e l’informativa fornita all’acquirente.

Un contratto che risponde a questi dieci punti mette la PMI in condizione di dimostrare di aver identificato i propri ruoli e disciplinato il proprio fornitore. È esattamente ciò che la nLPD si aspetta da un responsabile del trattamento.

Checklist contrattuale per la conformità alle esigenze della nLPD e del RGPD