Chers WuBookers,

Comme toute personne gérant une propriété depuis un certain temps le sait, les transactions “carte non présente” (c’est-à-dire en l’absence du client) sont fortement découragées par la réglementation européenne depuis quelques années. En effet, ces réglementations visent à protéger l’acheteur et l’hôtelier des risques possibles – et malheureusement fréquents – liés à ce que l’on appelle le PAN manuel. Examinons-les ensemble, en analysant comment ils peuvent être évités grâce à l’application de la PSD2.

Qu’est-ce que le PAN manuel et que signifie MOTO ?

Commençons par démystifier quelques acronymes : MOTO fait référence aux transactions qui se produisent via un POS suite à une commande reçue par courrier ou par téléphone (l’acronyme signifie “Mail Order / Telephone Order” – Commande par courrier / Commande par téléphone). Ces transactions nécessitent que l’hôtelier enregistre manuellement la carte de crédit du client lorsque celui-ci n’est pas physiquement présent à l’hôtel. Le concept est ainsi associé au PAN manuel, où le PAN (Primary Account Number – Numéro de compte principal) est le numéro généralement à 16 chiffres figurant sur le devant des cartes de paiement. En d’autres termes, chaque fois qu’un gestionnaire reçoit les informations de carte d’un client pour effectuer un débit à distance, il s’agit d’une opération MOTO.

Tous les risques du PAN manuel

Apparemment très pratique, le PAN manuel comporte plusieurs risques pour les clients et les hôteliers. Le premier concerne la bonne gestion et le stockage des données par l’hôtelier, qui devra s’assurer de protéger soigneusement les informations capturées pour éviter des sanctions ou de causer un préjudice involontaire au client. Ensuite, il n’est pas certain que la banque autorise la transaction, surtout s’il s’agit d’une institution européenne, où s’applique la PSD2 (dont nous parlerons dans un instant). Le client lui-même pourrait également refuser le prélèvement, car il a eu lieu en son absence. En cas de litige, il incombe à l’établissement de produire la documentation nécessaire pour prouver que la transaction a eu lieu avec le consentement du propriétaire de la carte, évitant ainsi le risque d’une demande de remboursement (“chargeback”). Une éventualité qui pourrait causer pas mal de difficultés, surtout si la commande a été passée par téléphone, et donner lieu à des tentatives de fraude récurrentes contre l’hôtel. Pour prévenir cela, une législation ad hoc a été introduite en Europe il y a quelques années pour protéger les commerçants et les acheteurs lors des paiements à distance : la PSD2.

PSD2 et SCA : normes et exigences pour garantir des paiements sécurisés

Le nom complet est “Directive sur les services de paiement 2”, mais elle est mieux connue sous l’abréviation PSD2 et vise à rendre les paiements numériques plus sécurisés. Parmi les nouveautés introduites par le décret, il y a la SCA, qui signifie “Strong Customer Authentication” (Authentification forte du client). Contrairement au PAN manuel classique, où il suffisait d’avoir le numéro de carte, la SCA nécessite l’utilisation supplémentaire d’au moins 2 des éléments suivants :

• PIN ou mot de passe, qui est un code que seul le client connaît ;
• Numéro de téléphone ou token pour générer des codes en possession du client ;
• Empreinte digitale ou reconnaissance faciale, qui sont des informations biométriques identifiant le client à l’aide d’outils spéciaux.

Sans ces exigences, la transaction peut échouer, surtout dans le cas des cartes de crédit des banques situées sur le territoire européen.

Types de paiements concernés par la SCA

Comme anticipé, la SCA couvre tous les paiements qui se produisent à distance, quel que soit leur type et canal de vente. Sont soumis à l’authentification forte, par exemple : les paiements anticipés (comme les acomptes et les dépôts) ou les pre-authorisations fonctionnelles à la réservation, y compris tout solde avant l’arrivée à la propriété.

Les transactions liées aux pénalités d’annulation ou de no-show doivent également suivre ces critères. Il en va de même pour les dépenses dues à des dommages ou à une consommation supplémentaire, constatées au moment du départ ou après que le client a quitté l’établissement.

Dans ce dernier cas, il est préférable de suivre la procédure de pré-autorisation, en obtenant l’approbation du client pendant qu’il est physiquement dans l’établissement. Logiquement, la SCA ne s’applique pas aux clients présents sur place, car il ne s’agit pas de transactions à distance : dans ces circonstances, il suffit d’utiliser le POS.

PMS et passerelles de paiement : la combinaison idéale pour des paiements sécurisés

En excluant le PAN manuel et en reconnaissant la nécessité de se conformer à la loi actuelle, il est utile de s’équiper de deux outils fondamentaux pouvant être intégrés l’un à l’autre : une (ou plusieurs) passerelle(s) de paiement et un bon PMS hôtelier.

Allons dans l’ordre. Une passerelle de paiement est un système technologique pour le traitement des transactions électroniques. Des plateformes telles que Nexi, Stripe ou PayPal, pour n’en nommer que quelques-unes, fournissent un environnement sécurisé dans lequel gérer les paiements via divers moyens tels que carte de crédit, carte de débit ou portefeuille virtuel. Elles facturent généralement des frais liés au nombre de transactions effectuées, mais les avantages sont nombreux : assurer une plus grande sécurité pour le payeur et le destinataire grâce à des systèmes de cryptage et de détection des fraudes ; accélérer les opérations du bureau des réservations, qui n’a plus à gérer les enregistrements manuels et le stockage des données ; et éliminer le risque de chargebacks.

De plus, les passerelles de paiement peuvent être adoptées pour les réservations directes (via moteur de réservation, devis électronique ou lien de réservation) et les réservations indirectes (se produisant, par exemple, sur les portails OTA).

Comment les intégrer dans ses opérations ?

Par exemple, en adoptant un PMS hôtelier qui prévoit leur intégration. Zak, le logiciel de gestion hotelière de Wubook, propose 4 méthodes de garantie :

• pré-autorisation, qui est le “gel” d’un certain montant pour un certain nombre de jours ;
• Autorisation par le client pour un débit ultérieur ;
• paiement par virement bancaire ;
• paiement en ligne immédiat.

Toutes les méthodes de garantie sont prises en charge par les passerelles de paiement les plus courantes pour faciliter les transactions fluides, efficaces et sécurisées pour les clients et les gestionnaires. En outre, pour les clients hors UE, les détails de la carte peuvent toujours être demandés et importés dans Zak. Dans la plupart des cas, les transactions manuelles sont maintenant un lointain souvenir, et la technologie offre de nombreuses solutions – bien plus fiables ! – pour effectuer des transactions financières en toute tranquillité et conformément à la législation en vigueur.