O que é a PSD2 e como a SpendIntent se liga aos bancos
A SpendIntent liga-se aos bancos ao abrigo da PSD2. Fica aqui o que isso quer dizer na prática.
A PSD2
A PSD2 é a diretiva europeia dos serviços de pagamento (Diretiva (UE) 2015/2366) e aplica-se desde 13 de janeiro de 2018.1 Dá a quem tem conta num banco o direito de usar um serviço que lê essas contas, desde que o banco as tenha online. A lei chama-lhe serviço de informação sobre contas.
Quem faz a ligação ao banco
A Enable Banking é a empresa que disponibiliza este serviço à SpendIntent. Está registada como prestador de serviços de informação sobre contas no supervisor financeiro da Finlândia desde 12 de junho de 2020.2 É ela que comunica com o banco e entrega à SpendIntent os saldos e os movimentos.
O que a lei exige a quem lê as contas
O artigo 67.º da diretiva diz que o prestador:1
- só presta o serviço com o consentimento expresso do utilizador;
- só acede às contas indicadas e aos movimentos dessas contas;
- não pode pedir dados de pagamento sensíveis;
- não pode usar nem guardar os dados para outra coisa que não seja o serviço pedido.
A Enable Banking está registada só para este serviço. Fazer pagamentos é outro serviço, que a SpendIntent não oferece e que precisa de outra autorização.
Como se liga um banco
- Escolhe-se o banco na app.
- Abre-se o site ou a app do banco, onde se entra como de costume.
- Autoriza-se o acesso de leitura.
- De volta à SpendIntent, os movimentos começam a chegar.
A palavra-passe fica entre o utilizador e o banco. A SpendIntent nunca a vê.
Quanto tempo dura
A SpendIntent pede acesso por 89 dias, ou menos se o banco tiver um limite mais curto. No fim, a app pede uma nova autorização. As contas e os movimentos já importados ficam como estão.
Um banco pode ser desligado na app a qualquer momento. A SpendIntent deixa de ir buscar movimentos e cancela o acesso. O que já foi importado fica.
Porque é que isto nos importa
Os movimentos de uma conta mostram como alguém vive. Um só pagamento a um médico ou uma quota sindical pode revelar dados de saúde ou de filiação sindical, que o RGPD protege de forma especial.3
Por isso, ligamo-nos aos bancos só pela via que a lei prevê, através de um prestador registado e supervisionado que só pode ler. Nunca pedimos a palavra-passe do banco. Antes de receber o primeiro movimento, a app pede consentimento explícito para tratar estes dados, como exige o RGPD. No servidor, os dados ficam na União Europeia, em centros de dados com ISO 27001. No telemóvel, ficam cifrados.