Esta empresa, con sede en Madrid, operador de telecomunicaciones y especializada en el pago seguro con tarjeta de crédito mediante IVR en llamada telefónica y conforme al estándar PCI DSS acaba de recibir la concesión del Ajuntament de Barcelona para los próximos dos años y prorrogable por otros dos, con una oferta muy competitiva basada en sus ventajas tecnológicas comparativas

Desde hace ya cuatro años es posible, para los ciudadanos del municipio de Barcelona, abonar sus tasas y multas municipales mediante un mecanismo muy sencillo y eficaz muy a tono con los tiempos que corren. Se realiza una llamada al número de teléfono 010, se indican los recibos que se quieren saldar y listo.

Pero esto significa que el usuario de este servicio debe dar, a una persona desconocida, una serie de datos personales que, si bien resultan imprescindibles para realizar la operación (nombre y apellidos y número de la tarjeta de crédito o débito, principalmente), y por muy fiable que a priori resulte el nombre de la empresa y aunque incluso se sepa que esa empresa cotiza en el IBEX35, y ni mucho menos, si la gestión que se está realizando es con una administración pública, hay que saber que dicha operadora nunca se debe solicitar los datos de la tarjeta, y que es obligatorio utilizar una máquina con tecnología IVR certificada PCI DSS especial para cobros telefónicos, ya que pueden poner en riesgo no solamente su privacidad, sino también facilitar un uso ilegítimo de su tarjeta

¿Cómo se resuelve este dilema?

Todo está inventado, y el mecanismo para dar los datos más sensibles por teléfono sin temor a que sean utilizados de manera fraudulenta también existe: se llama PCI DSS, y es la solución que cualquier institución pública y empresa privada que maneje este tipo de datos deberá adoptar antes que después. La compañía Pay by Call la aplica con éxito en el caso de los impuestos barceloneses, y a un coste sumamente competitivo.

La tecnología que hay detrás

Pero antes de nada, hay que explicar claramente el quid de la cuestión, es decir, dónde está el problema y cómo se resuelve. Para verlo claramente empezaremos adoptando la perspectiva del ciudadano que tiene un impuesto municipal que pagar y decide hacerlo mediante el servicio municipal telefónico creado para ese fin.

Al llamar al 010 hablaremos con una aplicación, es decir, un sistema de respuesta de voz interactiva (IVR) a la que se informará del concepto y el importe que se desea pagar. Si se decide hacer el pago de inmediato, la aplicación informará de que se va a utilizar lo que se suele denominar “sistema de pago automático por teléfono”.

El estándar PCI DSS se basa en un exigente protocolo de seguridad sin intervención humana ni grabación de datos.

La aplicación finaliza la llamada y enseguida (en menos de cinco segundos) recibimos otra. En ella, la aplicación pide que se confirme la identidad y el concepto e importe señalados antes, y solicita la información de la tarjeta de crédito, que se puede teclear en el terminal o decir de viva voz.

Entonces la aplicación se pone en contacto con la entidad bancaria correspondiente para verificar la transacción (si no fuera posible se informaría del motivo en ese mismo momento) y el trámite estaría realizado. Esto es posible gracias al estándar PCI DSS, que se basa en un exigente protocolo de seguridad sin intervención humana ni grabación de datos.

PCI DSS: la tormenta que se avecina

Profundizando un poco más, las siglas PCI DSS corresponden a payment card industry data security standard, o sea, “estándar de seguridad de datos para la industria de tarjeta de pago” y es precisamente eso, un estándar de seguridad para evitar fraudes con estos instrumentos financieros en cualquier punto de la cadena de pagos.

El estándar ha sido puesto en funcionamiento por un consorcio de proveedores de este tipo de servicios de todos conocidos, entre ellos Visa, Mastercard y American Express. Este consorcio exige a cualquier institución pública o privada que trabaje con los datos de un titular de tarjeta de crédito que se atenga a los doce rigurosos requisitos de seguridad que componen el protocolo.

¿Qué ocurre si se incumple este protocolo? El consorcio aplica fuertes sanciones (que pueden ser económicas, de importe altísimo por cierto hasta 300.000€ o incluso superiores, depende del incumplimiento, número de clientes y tiempo durante el cual duró el incumplimiento, o incluso la retirada del permiso de uso de un TPV) a la entidad bancaria que ha gestionado la transacción, que esta a su vez repercute la penalización en el cliente final, sea el titular de un TPV o, como en este caso, una administración pública.

Ahí está la tormenta que se avecina: Hoy por hoy, numerosas corporaciones privadas, algunas del IBEX35, así como administraciones públicas no cumplen con los requisitos que exige el estándar PCI DSS, y ofrecen el servicio de pago automático por teléfono con tarjeta de manera insegura. De hecho, el de Barcelona fue el primer consistorio del territorio español que cumple al pie de la letra con esta normativa y de los pocos, contados con los dedos de una mano, que actualmente cumplen con PCI DSS en sus cobros mediante operaciones telefónicas.

La adjudicación a Pay by Call, cuestión de economía

Volviendo a la noticia, la adjudicación del contrato para la gestión de este servicio por el Ajuntament de Barcelona a la compañía Pay by Cal, SL para el bienio 2022/23. Lo más llamativo de la licitación para muchos ha sido el presupuesto que ha conseguido ofrecer esta empresa especializada, menos de 150.000 €/año, que está más de un 10 % por debajo del precio del resto de sus licitadores.

Las razones que se ofrecen desde Pay by Call son claras, y tienen que ver con una diferencia significativa de carácter tecnológico. “La infraestructura está basada en la nube, lo que permite optimizar recursos y adaptarnos mejor: Nuestros costes anuales de mantenimiento de la certificación PCI-DSS respecto a esta tecnología on-site son menores en un tercio. Además, la cartera de clientes de Pay by Call permite reducir costes garantizando a la vez un servicio de calidad”.

Un servicio ágil, en cuatro idiomas y disponible las 24 horas del día; pero sobre todo, un servicio seguro.

Esta compañía se desgajó de su matriz, Quality Telecom, en 2019, cuando dos ejecutivos de la filial realizaron una importante ampliación de capital mediante la que adquirieron el 90 % de la misma. Esa parte se iría ampliando con la compra a Quality Telecom del 10 % restante hasta controlar el 100 % del capital en este año 2022. Con esta adjudicación, la empresa (que también cuenta con clientes privados como Naturgy, Mercadona, Balearia o Cruz Roja Española entre otros), y que ya venía prestando el servicio para el Ajuntament de Barcelona desde el 2019, prestará el servicio a los barceloneses hasta finales del 2023 con la posibilidad de obtener dos años más de prórroga hasta el 2025.

Un servicio al ciudadano ágil, en cuatro idiomas y disponible las 24 horas del día. Pero sobre todo, un servicio seguro, resaltan desde Pay by Call: “Aquí no hay un agente humano al otro lado con lápiz y papel, lo que en sentido estricto incumple con la normativa PCI DSS; es incomprensible que esto siga ocurriendo en gran parte de los organismos públicos de este país y en la gran mayoría de las empresas privadas, en una situación de inseguridad para el usuario agravada todavía más si cabe por la situación de pandemia CIVID por la generalización del teletrabajo de los teleoperadores de estos organismos encargados de realizar cobros telefónicos que están realizando desde su propio domicilio particular,”.