BESTEMMELSER FOR SALG MOD BETALING MED KONTOKORT SALG I BUTIK (Card Present) (Juli 2010)

Transkript

1 BESTEMMELSER FOR SALG MOD BETALING MED KONTOKORT SALG I BUTIK (Card Present) (Juli 2010) Disse bestemmelser, Butiksbestemmelserne gælder for salg mod betaling med Kontokort med anvendelse af Terminal eller papirbaseret kvittering. Med signaturkvittering skal i Butiksbestemmelserne i relevante tilfælde også forstås papirbaseret kvittering, som benyttes sammen med en såkaldt fluesmækker. Butiksbestemmelserne udgør et supplement til de generelle bestemmelser, som er gældende for den aftale om Indløsning af Kontokorttransaktioner ( Hoveddokumentet ), som er indgået mellem Salgsvirksomheden og Euroline. Ved eventuelle konflikter mellem Hoveddokumentet og Butiksbestemmelser skal Butiksbestemmelserne have forrang. Ord, som indledes med en versal, dvs. stort bogstav, betegner et ord, som har en særlig betydning/definition i Hoveddokumentet og skal i disse Butiksbestemmelser have samme betydning som i Hoveddokumentet. 1. Kontroller Salgsvirksomheden skal sammen med betaling udføre nedenfor angivne kontroller. 1.1 Kontokortet Salgsvirksomheden skal via visuel kontrol sikre at: Kontokortet er forsynet med Kortindehaverens underskrift, Kontokortet ikke bærer spor af ændringer, det prægede kortnummer et det samme på underskriftspanelet på Kontokortets bagside og, hvis Kontokortet aflæses maskinelt, på signaturkvitteringen, den på Kontokortet angivne udløbsdato ikke er overskredet, når der fremvises legitimationsdokumenter, at det prægede navn på Kontokortet er det samme som navnet på legitimationsdokumentet, og Kontokortet er forsynet med et varemærke, jf. punkt 1 ( Kontokort ) i Hoveddokumentet, som omfattes af Aftalen. Ved mangler i ovenstående henseender må Kontokortet ikke accepteres som betalingsmiddel. I tilfælde af at 1) informationen på Kontokortet aflæses uden medvirken af Salgsvirksomheden, og 2) Kortindehaveren kvitterer for Transaktionen med PIN-kode, er det ikke nødvendigt at foretage ovenstående kontroller. Det samme gælder, hvis informationen på Kontokortet aflæses uden medvirken af Salgsvirksomheden, og typen af Kontokort ikke kræver nogen yderligere handling/kvittering af Transaktionen end selve aflæsningen af informationen. 1.2 Legitimationskontrol Hvis købesummen overstiger DKK tohundrede (200), og Kontokortet er udstedt af en dansk kortudsteder, skal Kortindehaveren legitimere sig med et dokument, som accepteres af dansk posthus eller bank. Oplysning om legitimationsdokumentets type og nummer skal angives på signaturkvitteringen. Hvis der ikke foreligger legitimationsdokumenter, må Kontokortet ikke accepteres som betalingsmiddel. Legitimationskontrol skal ikke foretages, hvis Kontokortet er udstedt af en udenlandsk kortudsteder, eller hvis Kortindehaveren identificerer sig med PIN-kode. 1.3 Underskrift Salgsvirksomheden skal sammenligne Kortindehaverens underskrift på signaturkvitteringen med signaturen på Kontokortet og legitimationsdokumentet. Ved manglende overensstemmelse mellem disse må Kontokortet ikke accepteres som betalingsmiddel. Salgsvirksomheden behøver ikke kontrollere underskriften, når Kortindehaveren kvitterer for transaktionen med PIN-kode (se punkt 5 nedenfor). 1.4 Autorisation og spærringskontrol

2 Autorisation skal altid ske på betalingstidspunktet, uanset købets beløb. Hvis autorisation og spærringskontrol ikke sker elektronisk i Terminalen, skal Salgsvirksomheden gennem telefonopringning til Euroline (såkaldt voice response) indhente accept på, at købstransaktionen må gennemføres. Euroline giver godkendelse med angivelse af et kontrolnummer, som skal noteres på signaturkvitteringen. Kontokort, hvorpå der ikke er præget navn og/eller nummer (for eksempel Kontokort med varemærkerne Maestro og Electron) kræver dog, at autorisation altid sker elektronisk. Hvis Salgsvirksomheden ved autorisation får beskeden, at Kontokortet er spærret, eller det står klart, at Kontokortet anvendes uberettiget, skal Salgsvirksomheden om muligt tage kortet til sig. Salgsvirksomheden skal derved klippe Kontokortet itu og sende det til Euroline. Ved kontrol af status på Kortindehaverens Kontokort (kontrol af kortstatus) skal der altid benyttes en såkaldt nulværdi-godkendelse i henhold til Eurolines til enhver tid gældende Instruktioner. 1.5 Chip- og Pin-terminaler Fra og med den 1. januar 2011 skal terminaler, som benyttes til gennemførelse af transaktioner med Kontokort, understøtte både magnetlæser og EMV-chipteknologi. MasterCard og VISA kan komme ud for at skulle påføre Euroline et gebyr for det tilfælde, at Salgsvirksomheden ikke overholder ovenstående. Salgsvirksomheden er i dette tilfælde i henhold til punkt 6.3 og 6.4 i Hoveddokumentet forpligtet til at godtgøre Euroline sådanne gebyrer. 2. Kvittering 2.1 Signaturkvitteringens indhold Salgsvirksomhedens eksemplarer af signaturkvitteringen skal indeholde følgende oplysninger: Salgsvirksomhedens navn og CVR-nummer, Salgsvirksomhedens kundenummer hos Euroline, dato og klokkeslæt for Transaktionen, Kontokortets nummer (forudsat at Terminalen understøtter dette, kan det ske i trunkeret form), transaktionstype (betaling eller returnering/kreditering) i klartekst, kontrolnummer (bekræftelse af godkendelse), valuta og beløb, oplysning om moms, teksten: Godkendes til debitering af min konto i henhold til ovenstående (dette gælder ikke ved brug af PIN-kode), plads til underskrift (dette gælder ikke ved brug af PIN-kode), legitimationsnummer og type af legitimation (dette gælder ikke ved brug af PIN-kode), samt reference/søgenummer (unik identitet på Transaktionen). For bankkort udstedt af Swedbank skal signaturkvitteringen desuden indeholde oplysninger om betalingsmetode, dvs. oplysning om betalingen skal belaste bankkonto eller kredit. 2.2 Kortindehaverens kopi Kortindehaveren skal have udleveret en kopi af signaturkvitteringen, som skal indeholde de samme oplysninger som Salgsvirksomhedens eksemplar af signturkvitteringen. Følgende afvigelser gælder dog for Kortindehaverens kopi: Kontokortets nummer skal angives i trunkeret form,

3 det er ikke nødvendigt at angive teksten kortbetaling (det kræves kun, hvis kopien af kvitteringen er en udfyldt kassebon), det er ikke nødvendigt at angive teksten personlig kode (det kræves kun, når der anvendes PIN-kode), det er ikke nødvendigt at angive teksten Godkendes til debitering af min konto i henhold til ovenstående, Salgsvirksomhedens kundenummer hos Euroline må ikke angives. 2,3 Arkivering Salgsvirksomheden skal i mindst atten (18) måneder arkivere signaturkvittering og PINkodejournal i overensstemmelse med de aktuelt gældende regler for PCI DSS (se punkt 6.1 nedenfor). På Eurolines anmodning skal Salgsvirksomheden inden for fem (5) dage kunne fremlægge en kvittering vedrørende en enkelt Transaktion. Dette gælder også, hvis Salgsvirksomhedens indløsningsaftale med Euroline i øvrigt er ophørt. 3. Anvendelse af PIN Beløbet skal være kendt af Kortindehaveren, når PIN-koden angives. Indtastning af PIN-koden udgør Kortindehaverens godkendelse af, at købstransaktionen må belaste dennes konto. I visse miljøer kan Euroline efter særlig aftale godkende, at en anden procedure er gældende. Kortindehaveren skal have tre (3) forsøg til at angive den rigtige PIN-kode. Kortindehaveren skal have mulighed for at afbryde en Transaktion i stedet for at foretage yderligere forsøg med PIN-kode. I manuelt betjente miljøer skal Kortindehaveren have ret til at afstå fra at benytte PIN-kode og i stedet underskrive en signaturkvittering (under forudsætning af, at godkendelse af købstransaktionen med PIN-kode ikke er obligatorisk for det pågældende Kontokort.) I de nedenfor angivne situationer skal der underskrives en signaturkvittering. Derfor må Kortindehaveren ikke opfordres til at angive PIN-kode: godkendelse kan ikke ske elektronisk, brug af PIN-kode i henhold til Eurolines Instruktioner er ikke tilladt for det aktuelle Kontokort, kortnummeret er registreret manuelt, dvs. Kontokortet har ikke kunnet læses maskinelt, eller ved returneringer/krediteringer. 4. Transaktionsindsamling 4.1 Generelt om indsamling Indsamling af købstransaktioner med Kontokort, hvorpå navn og/eller nummer ikke er præget (f.eks. Kontokort med varemærkerne Maestro og Electron) må kun foregå i Terminal. 4.2 Terminal I Terminal skal Kontokortet læses maskinelt. Hvis det ikke er muligt på grund af fejl på Kontokortet, kan Euroline give særlig tilladelse til at registrere Kontokortets nummer og udløbsdato manuelt. Salgsvirksomheden skal i denne situation, f.eks. via træk på Kontokortet eller fotokopi af dette, kunne bevidne, at Kontokortet var til stede på betalingstidspunktet. Fotokopien el.lign. skal opbevares sammen med den tilsvarende signaturkvittering. Manuel registrering er dog aldrig tilladt for Kontokort på hvilket navn og/eller nummer ikke er præget (for eksempel Kontokort med varemærkerne Maestro og Electron). 5. Rapportering 5.1 Indsendelse af købstransaktioner Elektronisk indsamlede købstransaktioner skal senest inden for to (2) dage fra betalingsdagen overføres til Euroline. Papirnotaer skal være Euroline, eller den Euroline anviser, i hænde senest fem (5) dage fra betalingsdagen. Ved betalingsdagen forstås dagen for autorisationen.

4 5.2 PIN-kodejournal Salgsvirksomheden skal føre en særlig journal over samtlige Transaktioner, hvor der er anvendt PIN-kode, dvs. både gennemførte og afbrudte Transaktioner. Denne journal skal vise: på hvilken måde Transaktionen er gennemført, Salgsvirksomhedens navn (firma), by og CVR-nummer, dato og klokkeslæt, kontokortets nummer (forudsat at Terminalen understøtter dette, skal det ske i trunkeret form), betalingsmetode (se punkt 2.1, stk. 2 ovenfor), transaktionstype (betaling eller returnering/kreditering) i klartekst, kasseidentitet, kontrolnummer såsom bevis på godkendelse, valuta og beløb, reference/søgenummer og svarkode. 5.3 Kontantudbetaling i forbindelse med betaling (såkaldt Cash-back) Udbetaling af kontanter i forbindelse med betaling med Kontokort må kun ske med et beløb, som højst udgør DKK to tusind (2.000). Autorisation og legitimationskontrol (alternativt verificering med PIN-kode) skal altid foretages, inden udbetalingen sker. Kontaktudbetaling må kun ske, når Kontokortet er kontrolleret elektronisk og kun i danske kroner (DKK). 6. Sikkerhed 6.1 Håndtering af kontokortinformation Med henblik på dels at bevare et højt sikkerhedsniveau i de globale kortbetalingssystemer, dels at styrke tilliden til Kontokort som betalingsmiddel, er det af yderste vigtighed, at alle, som håndterer Kontokortinformation, gør det på en sikker måde. Med Kontokortinformation forstås sådan information, som er præget eller trykt på Kontokortets for- og bagside, inklusive information som er lagret i Kontokortets magnetspor og chip. Derfor har kortindustrien vedtaget en fælles standard for håndtering af Kontokortinformation. Standarden kaldes Payment Card Industry (PCI) Data Security Standard (DSS) og er udviklet af de internationale kortnetværker VISA og MasterCard. Salgsvirksomheden accepterer at følge standarden PCI DSS i den udformning, der til enhver tid er offentliggjort på Det betyder bl.a., at Salgsvirksomheden: ikke under nogen som helst omstændigheder må gemme eller udskrive i) CVV/CVC (dvs. kortkontrolcifrene i Kontokortets magnetstribe), ii) CVV2/CVC2 (dvs. den sikkerhedskode som normalt findes til sidst i underskriftspanelet på Kontokortets bagside) eller iii) icvv/icvc (dvs. kontrolnummeret i et Kontokort som er forsynet med chip). Salgsvirksomheden forpligter sig til ikke at gemme eller udskrive PVV (dvs. kontrolnummeret for PIN-koder), kun må gemme den Kontokortinformation, som er absolut nødvendig for Salgsvirksomhedens aktiviteter (dvs. navn, Kontokortets nummer og Kontokortets udløbsdato), skal opbevare/gemme medier, som indeholder Kontokortinformation (f.eks. logs, transaktionsrapporter, elektroniske kvitteringer eller aftaler) et sikkert sted og på en sådan måde, at kun personer, som nødvendigvis har brug for det, kan at få adgang til materialet, skal håndtere alle Kontokortoplysninger fortroligt og ikke til tredjepart afslører noget om de personlige oplysninger (f.eks. navn og personnummer), som Salgsvirksomheden kan komme i besiddelse af, skal opbevare information om Kontokortets nummer på en sådan måde, at der ikke kan forekomme anvendelse af uvedkommende, skal sikre, at elektroniske kvitteringer og andre medier er beskyttet mod adgang fra uvedkommende,

5 omgående skal meddele Euroline det, hvis Salgsvirksomheden opdager eller har mistanke om, at Kontokortoplysningerne er blevet anvendt af uvedkommende, eller at sådanne oplysninger på anden måde er blevet misbrugt. Hvis der er mistanke om overtrædelse af disse bestemmelser, skal Salgsvirksomheden på Eurolines anmodning politianmelde hændelsen, skal sikre, at Kontokortets nummer ikke afsløres for andre end medarbejdere hos Salgsvirksomheden, for hvem det er nødvendigt at have adgang til dette, skal sikre, at det er dokumenteret, hvordan Kontokortoplysningen beskyttes i Salgsvirksomhedens tekniske udstyr, skal sikre, at der er procedurer til sikker håndtering og distribution af Kontokortoplysninger, og at disse rutiner regelmæssigt følges op og kontrolleres. Procedurerne eller information om disse skal destrueres på en sikker måde, f.eks. ved makulering, når procedurerne/informationen ikke længere er nødvendige i henhold til lovgivning og/eller instruktionerne, skal sikre, at der findes en fortegnelse over alt teknisk udstyr, og at dette udstyr opbevares på en sikker måde, skal sikre, at Kontokortoplysningerne og/eller Kortindehaveren så snart teknisk udstyr og/eller andet medie, som indeholder sådanne oplysninger, ikke længere anvendes af Salgsvirksomheden, gøres ubrugelig. 6,2 Godkendelse af system Terminaler, som leverer Transaktioner til Euroline, skal være godkendt af Euroline eller anden tredjepart, som Euroline anviser. Euroline kan stille krav til særlig kontrol af komponenter, som er følsomme ud fra et sikkerhedsmæssigt synspunkt. 6,3 Specielt vedrørende såkaldte Nodes og Payment Service Providers Hvis Salgsvirksomheden anvender en tredjepart (såkaldt node eller Payment Service Provider) som en del af sin betalingsløsning til håndtering af Transaktioner, skal Salgsvirksomheden sikre, at denne opfylder alle krav i henhold til PCI DSS 6.4 Ændring i udstyr m.m. Salgsvirksomheden skal informere Euroline før hver installation, flytning eller afvikling af udstyr, som er teknisk tilsluttet Euroline eller anden indsamler af Transaktioner. Ændringer i Terminaler, som påvirker de gældende forudsætninger på tidspunktet for godkendelsen, må ikke gennemføres uden Eurolines godkendelse. Salgsvirksomheden skal, inden Transaktioner må overføres til Euroline, gennemføre en af Euroline anvist test af opkoblingen mod Eurolines modtagelsessystem. 6.5 Særligt om kassesystemer med integreret kortlæser/sikkerhedsanvisninger Salgsvirksomheder, som anvender kassesystemer med integrerede kortlæsere, skal også sørge for, at de fra Euroline til enhver tid særligt udformede Sikkerhedsanvisninger følges. 6,6 Dataangreb og it-diagnostisk undersøgelse Hvis Euroline har mistanke om, at Salgsvirksomhedens kassesystem, it-system eller lignende har været udsat for angreb, manipulation eller lignende, som efter Eurolines mening på nogen måde berører Parternes samarbejde i henhold til denne Aftale, har Euroline ret til at foretage en såkaldt it-diagnostisk undersøgelse ( Undersøgelsen ) af det pågældende udstyr. Undersøgelsen må foretages af Euroline eller en it-diagnostisk virksomhed, som er engageret af Euroline. Tidspunkt og dermed relaterede spørgsmål/procedurer, som kan henføres til Undersøgelsens gennemførelse, skal. hvis det efter Eurolines mening ikke er ubelejligt, om muligt aftales mellem Parterne. Euroline må dog også, hvis det efter Eurolines mening er mest formålstjenligt, besøge Salgsvirksomheden og gennemføre Undersøgelsen, uden at Salgsvirksomheden informeres herom på forhånd.

6 Det påhviler Salgsvirksomheden i rimeligt omfang at medvirke ved Undersøgelsen og lette gennemførelsen, således at formålet med Undersøgelsen, dvs. at konstatere hvorvidt der har været angreb/manipulation, kan opnås. I tilfælde af, at det ved Undersøgelsen bliver konstateret, at Salgsvirksomhedens kassesystem, it-system eller lignende, har været udsat for angreb, manipulation, eller lignende, påhviler det Salgsvirksomheden at godtgøre Euroline eventuelle omkostninger til undersøgelsen. 7. Liability Shift Euroline vil for Transaktioner foretaget fra og med den 1. januar 2009 anvende et såkaldt Liability Shift. Det betyder, at Salgsvirksomheden fra og med denne dato i forholdet til Euroline i henhold til Aftalen, bærer risikoen for samtlige tab, som kan henføres til magnetlæste Transaktioner foretaget med uautoriseret fremstillede kort, hvor det korrekte Kontokort, dvs. det af en autoriseret/godkendt kortudsteder udstedt Kontokort med samme kortnummer som det uautoriseret fremstillede, er forsynet med en såkaldt EMV-chip. 8. Særlige oplysninger om understøttet Terminal Hvis Salgsvirksomheden har valgt at benytte sig af et tilbud fra Euroline om hos Point Transaction Systems AB, eller en sådan anden leverandør af Terminaler som Euroline fra tid til anden samarbejder med, at leje en Terminal til understøttet pris ( Tilbuddet ), gælder de to følgende afsnit. Euroline og Salgsvirksomheden er enige om, at hvis Salgsvirksomheden opsiger Aftalen til ophør tidligere end tre (3) år beregnet fra datoen, hvor Salgsvirksomheden valgte at benytte Tilbuddet, skal Salgsvirksomheden på Eurolines anmodning være forpligtet til at udbetale Euroline et beløb på totusindfemhundrede (2.500) DKK. Det samme gælder, hvis leverandøren af Terminalen i samme tidsrum på Salgsvirksomhedens anmodning omprogrammerer Terminalen til en anden indløser end Euroline. Med datoen hvor Salgsvirksomheden valgte at benytte Tilbuddet forstås den dato, hvor Salgsvirksomheden indgik aftale med leverandøren af Terminalen om at leje en af de understøttede Terminaler. Bestemmelserne i foregående afsnit er gældende, uanset tidspunktet hvor forpligtelsen til at udbetale beløbet opstår.