Agregadores y pasarelas de pago: Directrices sobre la gestión de liquidaciones y cuentas de depósito en garantía y otras instrucciones

Payment Aggregators facilitate e-commerce sites and merchants to accept various payment instruments from customers without the need for merchants to create a separate payment integration system of their own. Payment Gateways (PGs) provide technology infrastructure to route and facilitate the processing of an online payment transaction without any involvement in the handling of funds. PAs and PGs allow customers sitting on one end of the world to make payments to a person sitting at another end without any fear of fraud.

Payment Aggregators manage the funds of a merchant. Therefore, their activities are required to be more regulated. Reserve Bank of India (RBI) has issued “Guidelines on Regulation of Payment Aggregators and Payment Gateways” vide RBI/DPSS/2019-20/174 dated 17th March 2020 to regulate payment aggregators.

This article discusses the guidelines issued to operate the Payment Gateway entities:

1. Policy of taking Merchant On-Board

The Merchants obtain services of the payment gateways to get hassle-free payment from their customer through any mode. However, as per the Guidelines issued, the Payment aggregators are required to note the following points while taking a merchant on board:

• PAs shall have a Board approved policy for merchant on-boarding.
• PAs shall undertake background and antecedent checks of the merchants and shall make sure that the merchant does not have any intention of duping the customers and does not sell fake or prohibited products, etc.
• The merchant’s website specifies the terms and conditions of the service and the timeline for processing returns and refunds.
• PAs shall be responsible for checking Payment Card Industry-Data Security Standard (PCI-DSS) and Payment Application-Data Security Standard (PA-DSS) compliance of the infrastructure of the merchants on-boarded.
• Merchant sites shall not save the customer card and such related data. For this purpose, the PAs may carry out a security audit of the merchant.
• Agreement with merchant shall have provision for security and privacy of customer data. PA's agreement with merchants shall include compliance with PA-DSS and incident reporting obligations.
• The PAs shall obtain periodic security assessment reports either based on the risk assessment (large or small merchants) or at the time of renewal of contracts.

2. Settlement and Escrow Account Management

The Payment Aggregators collect the funds from the customers and then transfer the same to the merchant. RBI specified the following guidelines that how payment aggregators shall manage the funds and within how much time the funds should be credited to merchants' accounts.

Read Also: Guidelines on Payment Aggregator and Payment Gateways: Meaning, Authorisation & Capital Requirement

a. Escrow Account:

• Non-bank PAs shall open an escrow account with any scheduled commercial bank and all the funds collected from the customers shall be received in such escrow account.
• An additional escrow account may be maintained with a different scheduled commercial bank at the discretion of the PA.
• The PAs can shift the escrow account from one bank to another. However, the same shall be carried out in a time-bound manner without impacting the payment cycle to merchants, under advice to RBI.

b. Time cycle of receipt of funds in an escrow account and transfer of funds from the escrow account

• The following are the key terms used:
  • Tp’ – date of charge/debit to the customer’s account against the purchase of goods/services.
  • ‘Ts’ – date of intimation by the merchant to the intermediary about the shipment of goods.
  • ‘Td’ – date of confirmation by the merchant to the intermediary about delivery of goods to the customer.
  • ‘Tr’ – date of expiry of refund period as fixed by the merchant.

• Amounts deducted from the customer’s account shall be remitted to the escrow account of the PA on a Tp+0 / Tp+1 basis. The same rules shall apply to non-bank entities where wallets are used as a payment instrument.
• The Final settlement with the merchant shall be effected as under:

• Settlement of funds with merchants shall not be co-mingled with other businesses, if any, handled by the PA.

c. Guidelines on Refund transactions:

• Credits towards reversed transactions, where initial funds were received through PA, shall be routed back through the escrow account except where the refund is directly managed by the merchant and the customer is aware of the same.

d. Other terms and conditions

• At the end of the day, the PA shall maintain the minimum amount collected from the customer as per ‘Top’ or the amount due to the merchant.
• PAs shall be permitted to pre-fund the escrow account with their own or merchant’s funds. However, in the latter scenario, the merchant’s beneficial interest shall be created on the pre-funded portion.
• The escrow account shall not be operated for ‘Cash-on-Delivery’ transactions.

e. Permitted Debits or credit to or from the escrow account

• Cuando se mantenga más de una cuenta de depósito en garantía (escrow), se permitirá realizar créditos y débitos de una cuenta a otra. Sin embargo, las transferencias entre cuentas de depósito en garantía deben evitarse en la medida de lo posible y, si se recurre a ellas, la certificación del auditor deberá mencionar dichas transacciones.
• Créditos permitidos:
  • Pagos de diversos clientes por la compra de bienes o servicios.
  • Prefinanciación por parte de comerciantes o agentes de pago (PA).
  • Transferencias que representen reembolsos por transacciones fallidas, disputadas, devueltas o canceladas.
  • Pagos recibidos para su posterior transferencia a comerciantes en el marco de actividades promocionales, incentivos, reembolsos (cash-backs), etc.

• Débitos permitidos:
  • Pagos a diversos comerciantes.
  • Pagos a cualquier otra cuenta siguiendo instrucciones específicas de los comerciantes.
  • Transferencias que representen reembolsos por transacciones fallidas o disputadas.
  • Pago de comisiones a intermediarios. Este importe se calculará según tasas o frecuencias predeterminadas.
  • Pago de importes recibidos en el marco de actividades promocionales, incentivos, reembolsos (cash-backs), etc.

F. Cumplimiento de las directrices del RBI:

• A efectos de mantener los requisitos de reserva, el saldo de la cuenta de depósito en garantía se considerará parte de «pasivos netos por demanda y plazo» (NDTL, por sus siglas en inglés).Se tendrá en cuenta el saldo en la cuenta de depósito en garantía con el banco en la fecha de presentación del informe.
• La entidad y el banco de la cuenta de depósito en garantía serán responsables del cumplimiento de las instrucciones del RBI emitidas periódicamente.
• Las entidades autorizadas deberán presentar al respectivo Departamento de Sistemas de Pago y Liquidación (DPSS) del RBI, en su oficina regional, un certificado firmado por el auditor que acredite que la entidad ha mantenido el saldo o los saldos en la(s) cuenta(s) de depósito en garantía de conformidad con estas instrucciones. Cuando se mantenga más de una cuenta de depósito en garantía, se considerarán los saldos de todas ellas.
• Los agentes de pago (PA) deberán presentar al banco donde mantienen la cuenta de depósito en garantía la lista de los comerciantes que han adquirido y deberán actualizar dicha lista periódicamente.
• El banco se asegurará de que los pagos se realicen únicamente a comerciantes elegibles.

G. Transferencia de la «porción principal» a una cuenta separada

• El banco no pagará intereses sobre los saldos mantenidos en la cuenta de depósito en garantía. Sin embargo, según el acuerdo suscrito con el agente de pago (PA), el banco puede transferir la «porción principal» del importe a una cuenta separada sobre la cual sí se devenguen intereses.
• En caso de déficit en la cuenta de depósito en garantía, los importes mantenidos en la cuenta que devenga intereses estarán disponibles.
• Esta facilidad será permisible para entidades que hayan operado durante 26 quincenas y cuyas cuentas hayan sido debidamente auditadas durante el año contable completo. A tal efecto, el periodo de 26 quincenas se calculará a partir del inicio de las operaciones comerciales reales en la cuenta.
• No se permiten préstamos contra dichos depósitos. Los bancos no emitirán recibos de depósito ni establecerán gravámenes sobre el importe mantenido en esta forma de depósito.

3. Marco de gestión de disputas y resolución de quejas de los clientes

• Los agentes de pago (PA) deberán implementar un marco de gestión de disputas y resolución de quejas de los clientes, y designar a un responsable para gestionar las quejas de los clientes y la matriz de escalamiento.
• La herramienta para presentar quejas, si está disponible en el sitio web o aplicación móvil, deberá ser clara y de fácil acceso.
• Los agentes de pago (PA) deberán contar con un mecanismo de resolución de disputas vinculante para todos los participantes, que incluya el ciclo de vida de la transacción, una explicación detallada de los tipos de disputas, el proceso para abordarlas, el cumplimiento, las responsabilidades de todas las partes, la documentación, los códigos de motivo, el procedimiento para atender la queja, el tiempo de respuesta para cada etapa, etc.

4. Marco de seguridad, prevención de fraudes y gestión de riesgos

• Los agentes de pago (PA) deberán establecer una infraestructura y sistemas adecuados de seguridad de la información y de los datos para la prevención y detección de fraudes.
• Los agentes de pago (PA) deberán implementar una política de seguridad de la información aprobada por la Junta Directiva para la protección y seguridad de los sistemas de pago que operan, y aplicar medidas de seguridad de acuerdo con esta política para mitigar los riesgos identificados. En el Anexo 2 se proporcionan recomendaciones tecnológicas básicas para su adopción por parte de los PA.
• Los agentes de pago (PA) deberán establecer un mecanismo para el seguimiento, la gestión y el seguimiento de los incidentes y brechas de ciberseguridad. Estos deberán notificarse inmediatamente al DPSS, al RBI, a la Oficina Central en Mumbai y al CERT-In (Equipo de Respuesta a Emergencias Informáticas de la India).
• Los agentes de pago (PA) no deberán almacenar las credenciales de las tarjetas de los clientes en su base de datos ni en el servidor al que accede el comerciante.
• Los agentes de pago (PA) deberán presentar el Informe de Auditoría del Sistema, incluida la auditoría de ciberseguridad realizada por auditores acreditados por el CERT-In, en un plazo de dos meses tras el cierre de su ejercicio financiero, ante la oficina regional correspondiente del DPSS del RBI.

5. Instrucciones generales

• Los agentes de pago (PA) deberán asegurarse de seguir las instrucciones vigentes sobre la Tasa de Descuento para Comerciantes (MDR). La información sobre otros cargos, como tarifas de conveniencia, gastos de gestión, etc., si los hubiera, también deberá ser mostrada claramente por el PA.
• Los agentes de pago (PA) no establecerán límites en los importes de las transacciones para un modo de pago determinado. Esto puede ser realizado por el banco o entidad emisora; por ejemplo, el banco emisor de la tarjeta será responsable de establecer límites de importe en las tarjetas emitidas por él, basándose en la solvencia, la naturaleza del gasto, el perfil, etc., del cliente.
• Los agentes de pago (PA) no ofrecerán la opción de utilizar el PIN del cajero automático como factor de autenticación para transacciones en las que la tarjeta no está presente.
• Todos los reembolsos se realizarán mediante el método de pago original, a menos que el cliente acuerde específicamente recibir el crédito a través de un modo alternativo.

Conclusion

Para garantizar la seguridad de los fondos de los clientes y comerciantes, el RBI ha emitido directrices detalladas sobre la gestión de fondos por parte de los agentes de pago (PA), las medidas de seguridad que deben implementar y un marco de resolución de quejas de los clientes. Los PA deben seguir todas las directrices emitidas por el RBI para mantener su autorización.