Otelde kart verisi sade dille: kart numarası, provizyon, jeton ve not alanı neden yanlış yer?

Kart numarası (PAN, kartın üzerinde basılı uzun numara) yalnızca ödeme terminalinde ya da ödeme sağlayıcısının sisteminde yaşamalıdır. Numarayı bir not alanına, e-postaya veya ekran görüntüsüne yazan otel, kart verisini saklayan, işleyen veya ileten her kuruluşa uygulanan yükümlülükleri kendi üzerine almış olur. Otel kredi kartı güvenliği, otelin büyüklüğüyle değil, numaranın nerede durduğuyla ilgilidir.

Misafir ödeme bağlantısını açamayınca kart numarasını rezervasyon notuna yazar. İşe yarar: oda garantiye bağlanır, vardiya biter. Ama numara artık raporlara, dışa aktarımlara ve yedeklere kopyalanan bir alanın içindedir. Bu yazı okuduktan sonra elinize geçecek olan şeyler şunlar: terimler (PAN, güvenlik kodu, provizyon, jeton), numaranın gerçekte sızdığı yerler, ödemeleri dışarıya veren oteli de kapsayan kapsam cümlesi, sağlayıcınıza ve yazılım tedarikçinize soracağınız sorular ve e-postayla kart geldiğinde resepsiyonun izleyeceği masa kuralı.

Bir otel kart verisini neden eline alır?#

Çünkü rezervasyon, sonradan ödeme sözüdür ve kart bu sözün arkasındaki teminattır. Teminata dokunan her adım kart verisine dokunur.

Teminat birkaç biçimde karşınıza çıkar. No-show ve geç iptal teminatında, misafir hiç gelmezse ücret kesilebilsin diye kart tutulur. Gruplar, paketler ve yoğun tarihler için kapora ve ön ödemede para konaklamadan önce hareket eder. Resepsiyona rezervasyonsuz gelen misafirde (walk-in) kart terminalden okunur ve numaranın var olduğu tek yer terminal, ön büro olmamalıdır.

Masa tek nokta değildir. Restoran, bar, spa ve dükkân da kart alır; kural bu satış noktalarına da uzanmazsa geçerli olmaz. Bazı rezervasyonlar sanal kartla gelir: kanalın o rezervasyon için verdiği tek kullanımlık numara. Bir kart gibi davranır ve aynı yükümlülükleri taşır. Günün sonunda gün sonu işlemi POS toplamlarını otel sistemiyle eşleştirerek günü kapatır. Bu bir tutar ve referans mutabakatıdır, kart numarası mutabakatı değil.

Aklınızda tutmanız gereken ayrım şu: otelin ihtiyacı ödeme, provizyon referansı ve makbuzdur. Sonrasında numaraya ihtiyacı yoktur.

PAN, güvenlik kodu, provizyon ve jeton ne demek?#

Dört terim, bir otelcinin kartla ilgili yaptığı konuşmaların neredeyse tamamını kapsar. Bunlardan yalnızca biri numaranın kendisidir ve tutulmaması gereken de odur.

PAN, kartın ön yüzündeki uzun numaradır. Son kullanma tarihi ve isimle birlikte, kartın fiziken elinde olmadan yapılan dolandırıcılık için yeterlidir; standardın bu terim etrafında kurulmasının nedeni budur. Güvenlik kodu, kartın fiziken birinin elinde olduğunu kanıtlayan üç ya da dört hanedir. Meşru hiçbir taraf provizyondan sonra ona ihtiyaç duymaz; gönderilmesini isteyen her talep bir uyarı işaretidir.

Provizyon, sağlayıcının "tutar mevcut ve belirli bir süre için tutuldu" yanıtıdır. Bir durum ve referanstır, numara değildir; otel referansı ve tutarı güvenle saklayabilir. Jeton, sağlayıcının numaranın yerine verdiği vekil referanstır; yalnızca o sağlayıcının sistemi içinde ve veriliş amacıyla çalışır. Otelin bir no-show ücretini numarayı tutmadan sonradan kesebilmesini sağlayan şey budur. Maskeli numara, genellikle son dört hane, göstermek için güvenlidir ve personelin bir ödemeyi rezervasyonla eşleştirmek için kullanması gereken budur.

Referans ile numara: verinin nerede yaşayacağına karar veren fark#

Tablodan çıkan kural şudur: referans ve tutar saklanabilir, numara ve güvenlik kodu saklanamaz. Provizyon referansı bir tutmayı tanımlar; jeton, sağlayıcının içindeki saklı bir numarayı tanımlar. İkisi de numaranın kendisi değildir ve ikisi de sağlayıcının sistemi dışında kullanılamaz; güvenle saklanabilir olmalarının nedeni budur. Sanal POS, 3D Secure, jeton ve ters ibraz konusunda daha fazlası için otelde ödeme teknolojisi terimleri rehberimize bakın.

Kart numaraları bir otelde nereden sızar?#

Sızmaların çoğu saldırı değildir. Numarayı hiç o amaçla yapılmamış bir alana yazan, yardımsever insanlardır.

Rezervasyon notları ve yorumlar sık rastlanan bir yerdir: misafir numarayı rezervasyon formuna yazar ya da personel sonraki vardiyada da görsün diye yapıştırır. Notlar raporlara, dışa aktarımlara ve yedeklere kopyalanır; tek bir yapıştırma çok sayıda kopyaya dönüşür. E-posta ve mesajlaşma, numarayı iki gelen kutusuna, iki telefona ve bir spam filtresine yerleştirir; rezervasyon kapandıktan sonra da orada kalır. Kartın ya da terminal ekranının fotoğrafları personel grup sohbetlerinde dolaşır.

Kâğıt da sızdırır: posta siparişi formu, faks, kenarına elle numara yazılmış çıktı varış listesi. Tablolar, garantiye alınmış rezervasyonların dosyası her ay bir yöneticiye e-postayla atıldığında sızar. Kanal mesajlaşması, misafirlerin kart bilgilerini o iş için yapılmamış bir mesaj penceresinden göndermesiyle sızar. Kâğıtla bilgi almaya devam ediyorsanız otel mail order formu ve kart bilgisini saklamadan alma rehberini okuyun.

Standardın kapsam cümlesi gerçekte ne diyor?#

Standardın, işlemi başkası yapsa bile otele ulaştığını söylüyor. Dış kaynak kullanımı hangi yükümlülüklerin sizde olduğunu değiştirir, yükümlülüğünüz olup olmadığını değil.

Üç fiili ayrı ayrı okuyun. Saklamak, bir numarayı tutmaktır. İşlemek, bir işlem yürütmektir. İletmek, numarayı bir yerden başka bir yere taşımaktır; e-postayı iletmek tam olarak bunu yapar. Dolayısıyla misafirin e-postasını sağlayıcıya ileten bir otel, hiçbir şey saklamamış olsa bile kart verisi iletmıştır.

Kapsam verinin aktığı yeri izler, tesisin büyüklüğünü değil. Not alanı numaralarla dolu küçük bir otelin ayak izi, numaranın terminalden çıkmasına hiç izin vermeyen büyük bir otelden daha geniştir. Bu yazı gereklilik numaraları listelemeyecek ya da belirli bir otele ne uygulayacağını söylemeyecek; bu, kurulumunuza, bankanıza ve sağlayıcı sözleşmelerine bağlıdır ve nitelikli bir değerlendiricinin sorusudur.

Ödeme sağlayıcınıza ve yazılım tedarikçinize ne sormalısınız?#

İkisine de, yazılı olarak ve aynı soruyu iki kez sorun; çünkü her taraf diğerinin hallettiğini varsayar.

Ödeme sağlayıcınıza sorun: jeton, misafirin kendisinin tamamladığı barındırılmış ödeme sayfası ve kanallardan gelen sanal kartlardan hangilerini destekliyorsunuz? Neleri saklıyorsunuz, ne kadar süreyle, panelinizde neyi görebiliyoruz, bir ters ibraz geldiğinde bize hangi kanıtı veriyorsunuz? Kart telefonda verildiğinde onaylı usul nedir ve terminaldeki karttan farklı mı? Yazılı yanıtları dosyalayın; misafir bir ödemeye itiraz ettiğinde ya da bankanız bir soru sorduğunda, bugün tarihli yazılı bir yanıt sözlü güvenceden daha değerlidir.

Yazılım tedarikçinize sorun: sistemde kart numarası alabilen serbest metin alanı var mı; o alan maskelenebilir, sınırlandırılabilir ya da kapatılabilir mi? Notlar raporlara, e-postalara veya yedeklere akıyor mu ve otel içinde notları kimler okuyabiliyor? Sistem kart verisini hiç saklıyor mu, nerede ve otel sistem değiştirdiğinde bu veriye ne oluyor? İtiraz geldiğinde elinizdeki kanıt belirleyicidir; ters ibraza doğru belgelerle yanıt verme rehberimize bakın.

Misafir kartı e-postayla gönderdiğinde masa kuralı nedir?#

Numarayı bir kez, onaylı yoldan kullanın ve başka hiçbir sisteme tekrarlamayın. Sonra mesajı kaldırın.

E-postayı iletmeyin, numarayı alıntılayarak yanıt yazmayın, rezervasyon notuna yapıştırmayın. Tercih edilen yol, misafirin kendisinin tamamladığı ödeme bağlantısıdır: numara misafirden sağlayıcıya gider ve otel personelinin elinden hiç geçmez. Misafir bağlantıyı kullanamıyorsa ve yanınızda değilse, rezervasyonu garantili olmayan olarak alın ya da başka bir yöntem isteyin. Garantili bir rezervasyon, not alanındaki bir numaraya değmez.

Mesajı gelen kutusundan ve gönderilenlerden silin; rezervasyona yalnızca bir bağlantı gönderildiği ve ne döndüğünü kaydedin. Numara bir yere yazılmışsa bunu bir olay olarak ele alın: kaldırın, ne olduğunu ve ne zaman olduğunu yazın, tesiste veri korumasından sorumlu kişiye haber verin. Misafire numaranın neden saklanmadığını düz bir cümleyle söyleyin; uygulamada çoğu misafir tek satırlık bir açıklamayı ve çalışan bir bağlantıyı kabul eder.

Kart standardı nerede bitiyor, yerel yasa nerede başlıyor?#

Kart standardı kart verisini düzenler. Kişisel veri kanunu kişiyi düzenler. Bir otel ikisine de karşı sorumludur ve bunlar aynı soru değildir.

PCI DSS, ödeme zinciri üzerinden, bankaların ve sağlayıcıların sözleşmelerinde uygulattığı bir sektör standardıdır. Yasa değildir ve bir yasının yerine geçmez. KVKK (kişisel verilerin korunması kanunu) misafiri kişi olarak korur: kart numarası da kişisel veridir; isim, konaklama ve etrafına yazılan not da öyledir. Tek bir olay bu yüzden iki konuşmayı tetikleyebilir: biri sağlayıcıyla kart verisi üzerine, biri KVKK kapsamında kişisel veri üzerine. İkisindeki yükümlülükler ve süreler vakaya göre değişir.

Sözleşmeler insanların beklediğinden daha fazlasını çözer: bankanın otelden ne istediği, sağlayıcının ne vadettiği ve bir ters ibraza kimin yanıt vereceği. Kayıt ve bildirim yükümlülükleri tesisinizin kendi durumuna bağlıdır; konumunuzu bir blog yazısından değil, nitelikli bir danışmandan teyit edin.

Şimdi ne yapmalı#

Bu hafta tek bir sistem seçin ve içinde 16 haneli bir dizgi aratın. Terminal ve sağlayıcı paneli dışında bir bulgu çıkarsa silin ve o alanı numara kabul eder halden kurtarın. Bu tek adım yazının tamamını birleştirir: terimler neye baktığınızı, sızıntı listesi nereye bakacağınızı, kapsam cümlesi işlemi başkası yapsa bile bunun neden sizin sorununuz olduğunu söyler ve masa kuralı geri gelmesini engeller.