Karetní schéma (card scheme)

Příklady z praxe

1. 01

   Nákup v českém e-shopu kartou Mastercard

   Zákazník zaplatí 1 200 Kč kartou vydanou českou bankou. Brána pošle transakci acquirerovi, ten ji podle BIN rozsahu směruje do sítě Mastercard a schéma doručí dotaz vydavateli. Vydavatel vyžádá ověření přes 3-D Secure, po úspěchu platbu schválí a zablokuje částku na účtu. Obchodník peníze uvidí na účtu po zúčtování, typicky následující pracovní den, sníženou o interchange a marži acquirera.

2. 02

   Rozpoznání schématu na frontendu podle BIN

   Formuláře plateb běžně zobrazují logo schématu hned po zadání prvních číslic. Detekce se dělá z prefixu čísla karty a slouží jen pro UX, autoritativní rozhodnutí dělá acquirer. Samotné číslo je vždy potřeba ověřit i Luhnovým algoritmem podle ISO/IEC 7812.

   function detectScheme(pan) {
     const n = pan.replace(/\D/g, '');
     if (/^4/.test(n)) return 'visa';
     if (/^(5[1-5]|2[2-7])/.test(n)) return 'mastercard';
     if (/^3[47]/.test(n)) return 'amex';
     if (/^(30[0-5]|36|38)/.test(n)) return 'diners';
     if (/^(352[89]|35[3-8])/.test(n)) return 'jcb';
     if (/^62/.test(n)) return 'unionpay';
     return 'unknown';
   }

Časté omyly

MýtusVisa a Mastercard mi vydaly kartu, tak se u nich reklamuje platba.

Ve skutečnostiKaretní schéma karty nevydává. Kartu vydala banka nebo jiný licencovaný vydavatel a reklamaci i chargeback řeší zákazník vždy se svým vydavatelem. Schéma jen stanovuje pravidla a lhůty, podle kterých spor mezi bankami probíhá.

MýtusPoplatek za přijetí karty jde celý karetnímu schématu.

Ve skutečnostiNejvětší část poplatku obchodníka tvoří interchange, který dostává vydavatel karty. Acquirer si účtuje vlastní marži a schéma inkasuje relativně malý poplatek za zpracování a licenci značky.

MýtusKdyž je platba autorizovaná, peníze už jsou na účtu obchodníka.

Ve skutečnostiAutorizace pouze rezervuje prostředky u vydavatele. K převodu peněz dojde až při clearingu a zúčtování, obvykle v dávce následující pracovní den, a autorizace může mezitím vypršet nebo být stornována.

Časté dotazy

Jaká karetní schémata se v Česku běžně akceptují?

V Česku dominují Visa a Mastercard, které pokrývají naprostou většinu vydaných karet i akceptačních míst. American Express a Diners Club se přijímají spíše v hotelnictví, cestovním ruchu a u větších řetězců, protože mají odlišné smluvní podmínky a vyšší poplatky. JCB a UnionPay se hodí obchodníkům s asijskou klientelou a bývají dostupné jako doplňková akceptace u velkých acquirerů. Konkrétní nabídka vždy závisí na smlouvě s acquirerem nebo platební bránou, ne na rozhodnutí obchodníka samotného.

Kdo vlastně určuje výši poplatku, který platí obchodník?

Poplatek obchodníka se skládá ze tří vrstev. Interchange stanovuje karetní schéma jako sazebník a připadá vydavateli karty; v Evropské unii je u spotřebitelských karet regulovaný nařízením o mezibankovních poplatcích. Schéma si dále účtuje vlastní poplatky za zpracování transakce a používání značky. Poslední vrstvou je marže acquirera nebo platební brány, o které se dá vyjednávat. Firemní karty, karty vydané mimo EU a transakce bez fyzické přítomnosti karty spadají do dražších kategorií.

Musí vývojář e-shopu řešit pravidla karetních schémat přímo?

Vývojář e-shopu komunikuje s platební bránou, ne se schématem, takže formáty zpráv typu ISO 8583 řešit nemusí. Pravidla schémat se ale promítají do implementace: povinné silné ověření zákazníka, správné označení opakovaných plateb, uchovávání tokenu místo čísla karty, doložení podkladů při sporu ve stanovené lhůtě a zákaz ukládat CVV. Nedodržení pravidel se projeví zamítnutými transakcemi, vyšší sazbou nebo pokutou, kterou acquirer přenese na obchodníka.

Co znamená co-badged karta a jak ovlivňuje platbu?

Co-badged karta nese dvě karetní schémata najednou, typicky domácí debetní síť a mezinárodní schéma jako Visa nebo Mastercard. Při platbě rozhoduje o použitém průchodu terminál nebo brána podle přednastavených priorit, přičemž evropská regulace dává právo volby držiteli karty a obchodníkovi. Volba schématu mění výši interchange, dostupnost některých funkcí a proces reklamace. V e-commerce se co-badging řeší méně často, protože domácí schémata bývají omezena na fyzická akceptační místa.

Zdroje

1. EMVCo(otevře se v novém okně)EMVCo, 2024
2. PCI Security Standards Council(otevře se v novém okně)PCI SSC, 2024
3. Payment card(otevře se v novém okně)Wikipedia, 2024
4. Interchange fee(otevře se v novém okně)Wikipedia, 2024
5. Platební karty a platební styk(otevře se v novém okně)Česká národní banka, 2024

Související pojmy

• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• AcquirerAcquirer je finanční instituce nebo platební poskytovatel, který obchodníkovi umožňuje přijímat karetní platby a předává transakce do karetních schémat. V online platbách stojí mezi platební bránou, vydavatelem karty a obchodníkem, zajišťuje autorizaci, zúčtování, vyplacení peněz a část řízení rizik.
• ChargebackChargeback je zpětné zúčtování karetní platby, při kterém držitel karty zpochybní transakci u své banky a obchodník může přijít o původně připsané peníze. Probíhá podle pravidel karetních schémat, často přes acquirera a platební bránu, a rozhoduje se podle důkazů o autorizaci, doručení, komunikaci a případném podvodu.
• PCI DSSPCI DSS je bezpečnostní standard pro ochranu dat platebních karet, který vydává PCI Security Standards Council a vynucují ho karetní asociace jako Visa a Mastercard. Vztahuje se na každou organizaci, která údaje z karet přijímá, zpracovává, přenáší nebo ukládá, a definuje konkrétní technická i procesní pravidla včetně způsobu jejich doložení.
• Tokenizace kartyTokenizace karty je bezpečnostní postup, při kterém se číslo platební karty nahradí náhradním identifikátorem zvaným token. Obchodník pak může kartu použít pro platbu, vrácení peněz nebo opakované stržení, aniž by ukládal celé PAN. Skutečné číslo drží platební brána, acquirer nebo síťový tokenizační systém s přísnějšími pravidly zabezpečení.
• AI etikaAI etika je obor, který zkoumá, jaké dopady mají systémy umělé inteligence na lidi, a formuluje pravidla pro jejich návrh, trénink a provoz. Řeší zaujatost dat, transparentnost rozhodování, ochranu soukromí, odpovědnost za chybu i bezpečnost modelu. Ve firemní praxi se promítá do interních politik, dokumentace modelů a povinností podle regulace typu AI Act.
• Apple Pay a Google PayApple Pay a Google Pay jsou digitální peněženky, které nahrazují číslo platební karty tokenem uloženým v zařízení nebo v cloudu a platbu potvrzují biometrií či kódem obrazovky. Kupující zaplatí v obchodě, aplikaci i na webu bez ručního zadávání údajů; obchodník dostává transakci přes svou platební bránu jako běžnou kartovou platbu.
• Archivace dokumentůArchivace dokumentů je řízené ukládání dokumentů, které už nejsou běžně používány, ale musí zůstat čitelné, dohledatelné a prokazatelné po určenou dobu. V praxi spojuje pravidla retence, metadata, oprávnění, ochranu před změnou a postup pro bezpečné vyřazení po skončení právního nebo obchodního důvodu.