Umowa o akceptację płatności kartowych

Umowa o akceptację płatności kartowych w Polsce to kontrakt między agentem rozliczeniowym (acquiring bank lub krajowa instytucja płatnicza posiadająca licencję Komisji Nadzoru Finansowego — KNF) a akceptantem (sprzedawcą detalicznym, sklepem internetowym lub usługodawcą), na podstawie którego akceptant uzyskuje możliwość przyjmowania płatności kartami płatniczymi organizacji Visa i Mastercard oraz innych systemów. Umowa ta stanowi fundament infrastruktury płatności bezgotówkowych w Polsce i reguluje prawa oraz obowiązki obu stron łańcucha rozliczeniowego.

Umowa o akceptację płatności kartowych zawierana jest na podstawie ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych (t.j. Dz.U. 2024 poz. 30 ze zm.), która implementuje do prawa polskiego dyrektywę PSD2, oraz w oparciu o zasady organizacji płatniczych Visa i Mastercard. Kluczowym zagadnieniem umowy jest Merchant Discount Rate (MDR) — łączna opłata pobierana przez agenta rozliczeniowego od każdej transakcji kartowej, składająca się z opłaty interchange przekazywanej do banku wydającego kartę, opłaty systemowej dla organizacji płatniczej i marży agenta.

Art. 46a ustawy o usługach płatniczych, implementujący rozporządzenie Parlamentu Europejskiego i Rady (UE) 2015/751 w sprawie opłat interchange, ogranicza wysokość MDR dla kart konsumenckich do 0,5% wartości transakcji (0,2% dla kart debetowych + opłaty systemowe dla kart krajowych, 0,3% dla kart kredytowych). Ograniczenie to nie dotyczy kart firmowych i biznesowych, dla których stawki MDR są wyższe i negocjowane indywidualnie.

Umowa o akceptację płatności kartowych reguluje również procedury chargebacku, czyli zwrotu transakcji inicjowanego przez posiadacza karty w przypadku sporu z akceptantem. Chargeback jest jednym z największych ryzyk finansowych dla akceptanta — jego nieuregulowanie w umowie i brak procedur operacyjnych może prowadzić do znacznych strat. Organizacje płatnicze Visa i Mastercard prowadzą programy monitoringu nadmiernych chargebacków (Dispute Monitoring Program, High Fraud Merchant Program), a akceptanci przekraczający progi mogą zostać obciążeni dodatkowymi opłatami lub utracić możliwość akceptacji kart.

Bezpieczeństwo danych kart płatniczych reguluje standard PCI DSS (Payment Card Industry Data Security Standard), który akceptant przyjmujący dane kart jest zobowiązany spełniać. Standard PCI DSS obejmuje 12 głównych wymagań dotyczących ochrony sieci, danych posiadaczy kart, zarządzania podatnościami, kontroli dostępu, monitorowania sieci i polityki bezpieczeństwa. Umowa o akceptację powinna obligować akceptanta do przestrzegania PCI DSS pod rygorem obciążenia kosztami naruszenia.

Dane osobowe posiadaczy kart przetwarzane są przez agenta rozliczeniowego i akceptanta zgodnie z rozporządzeniem (UE) 2016/679 (RODO) i ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych. Nadzór nad przetwarzaniem danych sprawuje Prezes Urzędu Ochrony Danych Osobowych (PUODO). Akceptant jako podmiot przetwarzający dane na zlecenie banku zobowiązany jest do zawarcia umowy powierzenia przetwarzania danych osobowych zgodnie z art. 28 RODO.

Umowa o akceptację płatności kartowych w Polsce jest potrzebna w każdej sytuacji, gdy przedsiębiorca chce legalnie przyjmować płatności kartami płatniczymi Visa, Mastercard lub innymi instrumentami płatniczymi.

Otwarcie terminala POS w sklepie stacjonarnym. Każdy sprzedawca detaliczny, restauracja, hotel czy usługodawca instalujący terminal płatniczy w lokalu musi zawrzeć umowę z agentem rozliczeniowym, która określa warunki autoryzacji transakcji, stawki MDR i termin rozliczenia.

Uruchomienie sklepu internetowego z bramką płatniczą. Sklepy e-commerce integrujące bramkę płatniczą do obsługi kart w internecie potrzebują umowy acquiringowej. Umowa powinna obejmować protokoły 3D Secure 2.0 i SCA wymagane przez dyrektywę PSD2 dla bezpiecznych transakcji bez fizycznej obecności karty (Card Not Present — CNP).

Serwisy subskrypcyjne i płatności cykliczne. Platformy subskrypcyjne realizujące cykliczne obciążenia kart (Recurring Billing) potrzebują umowy precyzującej zasady tokenizacji danych karty i autoryzacji bez fizycznej karty, zgodnie ze standardem MIT (Merchant Initiated Transactions).

Rozwiązania mPOS dla mobilnych usługodawców. Taksówkarze, dostawcy, rzemieślnicy i inne osoby świadczące usługi mobilne korzystające z terminali mPOS (czytniki do smartfonów) muszą zawrzeć umowę acquiringową uwzględniającą specyfikę transakcji mobilnych.

Marketplace i platformy wielostronne. Platformy pośredniczące w transakcjach między wieloma sprzedawcami a klientami potrzebują złożonych umów acquiringowych regulujących podział płatności, zasady split payment i obowiązki wobec organizacji płatniczych.

Działalność w branżach wysokiego ryzyka. Branże wysokiego ryzyka (hazard, content dla dorosłych, suplementy diety, leki) wymagają specjalnych umów acquiringowych z agentami rozliczeniowymi obsługującymi takie kategorie, ze szczegółowymi procedurami KYC i monitoringiem chargebacku.

Umowa o akceptację płatności kartowych w Polsce musi zawierać poniższe elementy, aby prawidłowo regulować relację między agentem rozliczeniowym a akceptantem.

Strony umowy i ich dane rejestrowe. Pełne dane agenta rozliczeniowego — numer KRS, NIP, numer licencji KNF — i akceptanta — NIP, forma prawna (KRS lub CEIDG), adres siedziby, nazwa handlowa i MCC (Merchant Category Code) wskazujący branżę działalności.

Zakres obsługiwanych marek kart i typów transakcji. Wykaz marek kart (Visa, Mastercard, American Express, Discover), typów transakcji (Chip & PIN, zbliżeniowe, CNP online, MOTO) i walut przyjmowanych przez akceptanta. Każda marka i typ transakcji mają odrębne stawki MDR i wymogi bezpieczeństwa.

Stawki MDR i opłaty rozliczeniowe. Pełna tabela stawek MDR dla kart konsumenckich (ograniczonych przepisami UE) i korporacyjnych, opłaty za sprzęt (terminal, bramka), opłaty miesięczne i za konkretne operacje (zwrot, chargeback). Zgodnie z art. 46a ustawy o usługach płatniczych MDR dla kart konsumenckich krajowych nie przekracza 0,5%.

Termin rozliczenia transakcji D+1. Gwarantowany termin przekazania środków na rachunek akceptanta — zgodnie z art. 54 ustawy o usługach płatniczych — do końca następnego dnia roboczego po autoryzacji transakcji. Regulacja harmonogramu sesji rozliczeniowych i warunków wstrzymania płatności.

Obowiązki w zakresie PCI DSS i bezpieczeństwa. Zobowiązanie akceptanta do spełniania wymagań standardu PCI DSS, przeprowadzania regularnych skanów ASV, wypełniania kwestionariuszy SAQ lub audytów QSA w zależności od wolumenu transakcji. Określenie odpowiedzialności za koszty naruszenia danych kart. Na forms-legal.com znajdziesz wzory polityki bezpieczeństwa IT i polityki ochrony danych.

Procedura chargebacku i spory. Zasady zgłaszania chargebacków przez bank wydający kartę, terminy odpowiedzi akceptanta, obciążenia za chargeback i arbitraż organizacji płatniczej. Warunki programów monitoringu Visa i Mastercard dla akceptantów z wysokim wskaźnikiem sporów.

Weryfikacja KYC akceptanta. Dokumenty wymagane do weryfikacji tożsamości akceptanta — odpis KRS lub wpis CEIDG, dokumenty własnościowe, oświadczenia AML — zgodnie z ustawą z dnia 1 marca 2018 r. o AML. Klauzule o prawie agenta do zawieszenia rozliczeń przy podejrzeniu prania pieniędzy.

Umowę o akceptację płatności kartowych w Polsce wypełnia się według następujących kroków, zapewniając zgodność z ustawą o usługach płatniczych i wymogami organizacji płatniczych.

Krok 1 — podaj pełne dane agenta rozliczeniowego. Wpisz firmę, adres siedziby, NIP, KRS i numer licencji Komisji Nadzoru Finansowego (KNF). Agent rozliczeniowy musi posiadać zezwolenie KNF jako krajowa instytucja płatnicza lub działać jako agent instytucji z licencją UE.

Krok 2 — wpisz dane akceptanta. Podaj pełną firmę lub imię i nazwisko, adres siedziby lub zamieszkania, NIP, REGON i numer KRS lub CEIDG. Wskaż Merchant Category Code (MCC) odpowiadający branży działalności — błędny MCC może skutkować wyższymi opłatami interchange.

Krok 3 — określ marki kart i typy transakcji. Wskaż obsługiwane marki (Visa, Mastercard, inne) i typy transakcji — stacjonarne (POS), internetowe (CNP), mobilne (mPOS). Dla transakcji internetowych zaznacz wymaganie protokołu 3D Secure 2.0.

Krok 4 — wstaw tabelę stawek MDR. Podaj stawki MDR dla kart konsumenckich debetowych (maks. 0,2% + opłaty systemowe per art. 46a ustawy o usługach płatniczych), kredytowych (maks. 0,3%) i korporacyjnych (stawki negocjowane). Dodaj opłaty za terminal, bramkę i chargebacki.

Krok 5 — określ termin rozliczenia D+1. Wskaż datę i godzinę zamknięcia sesji rozliczeniowej oraz gwarantowany termin przekazania środków — zgodnie z art. 54 ustawy o usługach płatniczych do końca następnego dnia roboczego.

Krok 6 — dodaj obowiązki PCI DSS. Opisz wymagany poziom zgodności PCI DSS (SAQ A, SAQ B, SAQ D, audyt QSA) w zależności od wolumenu transakcji i metody przechowywania danych karty. Wskaż sankcje za naruszenie standardu.

Krok 7 — opisz procedurę chargebacku. Ustal termin odpowiedzi na chargeback (zazwyczaj 20-45 dni), wymagane dowody i zasady obciążania akceptanta kosztami. Wskaż progi programów monitoringowych Visa Dispute Monitoring Program i Mastercard Excessive Chargeback Program.

Krok 8 — wstaw datę zawarcia umowy. Umowa wchodzi w życie z datą podpisania przez obie strony i obowiązuje do czasu jej wypowiedzenia z zachowaniem okresu wypowiedzenia (zazwyczaj 30-60 dni).

Umowa o akceptację płatności kartowych w Polsce podlega przepisom prawa płatniczego, unijnych rozporządzeń o opłatach interchange i regulaminów organizacji płatniczych.

Ustawa o usługach płatniczych z 19 sierpnia 2011 r. Art. 46a ogranicza MDR dla kart konsumenckich krajowych — 0,2% dla debetowych i 0,3% dla kredytowych (zapis transponujący art. 3-4 rozporządzenia (UE) 2015/751). Art. 54 nakazuje realizację przelewu rozliczeniowego do D+1. Art. 23 nakłada obowiązek udostępnienia warunków umowy przed jej zawarciem. Art. 91-95 regulują odpowiedzialność za nieautoryzowane transakcje i chargebacki.

Rozporządzenie (UE) 2015/751 o opłatach interchange. Bezpośrednio stosowane rozporządzenie unijne ograniczające opłaty interchange dla kart konsumenckich do 0,2% (debetowe) i 0,3% (kredytowe). Art. 9 zakazuje nakładania surcharge na konsumentów za korzystanie z kart objętych ograniczeniem. Art. 10 nakazuje akceptantom respektowanie HACR (Honor All Cards Rule).

Standard PCI DSS organizacji płatniczych. Standardy bezpieczeństwa Payment Card Industry Data Security Standard (PCI DSS) wydawane przez PCI SSC (Security Standards Council) są obowiązkowe dla wszystkich podmiotów przetwarzających dane kart. Naruszenie standardu może skutkować karami finansowymi od organizacji płatniczych i obowiązkiem pokrycia kosztów forensic investigation.

Ustawa AML z 1 marca 2018 r. Agenci rozliczeniowi jako instytucje obowiązane weryfikują tożsamość akceptantów (KYC dla akceptantów), identyfikują beneficjentów rzeczywistych z Centralnego Rejestru Beneficjentów Rzeczywistych (CRBR) i raportują podejrzane transakcje do Generalnego Inspektora Informacji Finansowej (GIIF).

RODO i u.o.d.o. Przetwarzanie danych transakcyjnych posiadaczy kart reguluje RODO i ustawa z dnia 10 maja 2018 r. Nadzór sprawuje Prezes Urzędu Ochrony Danych Osobowych (PUODO). Akceptant jako podmiot przetwarzający dane jest zobowiązany do zawarcia z agentem umowy powierzenia przetwarzania danych osobowych (art. 28 RODO).

Umowa o akceptację płatności kartowych w Polsce bywa wadliwa z powodu typowych błędów, które mogą narazić akceptanta na straty finansowe lub utratę możliwości akceptacji kart.

Błąd 1 — brak ograniczenia MDR do poziomów ustawowych. Przyjęcie stawek MDR wyższych niż dozwolone dla kart konsumenckich przez art. 46a ustawy o usługach płatniczych. Zalecenie: weryfikuj stawki MDR dla kart konsumenckich krajowych pod kątem zgodności z rozporządzeniem (UE) 2015/751.

Błąd 2 — nieokreślona procedura chargebacku. Brak precyzyjnych terminów i wymogów dowodowych przy chargebacku naraża akceptanta na automatyczne przegranie sporu. Zalecenie: opisz procedurę odpowiedzi na chargeback z terminami Visa i Mastercard i przechowuj dokumenty transakcyjne przez co najmniej 24 miesiące.

Błąd 3 — ignorowanie obowiązków PCI DSS. Przystąpienie do umowy bez spełnienia wymagań standardu PCI DSS naraża na kary finansowe i koszty obsługi incydentów. Zalecenie: przed podpisaniem umowy wykonaj ocenę zgodności PCI DSS (SAQ lub audyt QSA w zależności od wolumenu).

Błąd 4 — brak klauzuli o wstrzymaniu rozliczeń przez agenta. Brak jasnych zasad wstrzymania środków przez agenta przy podejrzeniu nadużyć. Zalecenie: wynegocjuj precyzyjne warunki i termin wstrzymania płatności oraz tryb odblokowania.

Błąd 5 — surcharge dla posiadaczy kart. Pobieranie dodatkowych opłat od klientów za wybór karty jako metody płatności jest zakazane przez art. 9 rozporządzenia (UE) 2015/751 i może skutkować karą nałożoną przez organizację płatniczą lub Urząd Ochrony Konkurencji i Konsumentów (UOKiK). Zalecenie: nigdy nie dodawaj surcharge do ceny dla płatności kartą.

Błąd 6 — brak umowy powierzenia danych RODO. Przetwarzanie danych posiadaczy kart bez umowy powierzenia z agentem rozliczeniowym narusza art. 28 RODO. Zalecenie: zawrzyj umowę powierzenia przetwarzania danych osobowych jako integralną część umowy acquiringowej.