Queremos que o pedido feito no nosso sistema gere, sozinho, um link de pagamento para o cliente. O meio de pagamento da Matinali é a Rede (Itaú). Este documento explica, sem jargão, o que a Seazone passaria a poder fazer com a credencial que a Matinali nos forneceria, o que continua fora do nosso alcance e quais riscos precisam de cobertura contratual.
Não é login, não é senha de internet banking, não é acesso ao portal deles.
Importante para enquadrar a discussão: a Seazone não passa a cobrar nem a receber valores. Quem cobra, recebe e emite a nota continua sendo a Matinali. O que muda é apenas que o link de pagamento passa a ser gerado e enviado automaticamente pelo nosso sistema, em vez de manualmente — enviar link de pagamento ao cliente é algo que já fazemos hoje.
É uma credencial técnica composta de dois dados: o número de filiação da Matinali na Rede e um código de integração que ela própria gera, sozinha, dentro do portal da Rede — e que ela pode revogar a qualquer momento, sem depender de nós e sem afetar o resto da operação dela. É o equivalente a uma chave de cópia única, que abre uma porta só, e que o dono pode trocar quando quiser.
Levantamento feito sobre a documentação oficial do Portal do Desenvolvedor da Rede.
Cada risco vem com a medida técnica que pretendemos adotar. O Jurídico avalia se ela basta ou se precisa virar cláusula.
Um erro no nosso sistema (pedido duplicado, valor errado, disparo em ambiente de teste apontando para produção) gera uma cobrança real no cartão de um terceiro. Quem aparece na fatura é a Matinali, não a Seazone — e a reclamação, o chargeback e a eventual ação de consumo chegam nela primeiro.
Mitigação: cada pedido gera uma cobrança com identificador único (não é possível cobrar duas vezes o mesmo pedido); limite de valor por transação; ambiente de teste com credencial separada; registro de toda cobrança com data, valor, pedido e quem originou.
Se o código de integração vazasse, um terceiro poderia gerar cobranças em nome da Matinali. Não conseguiria sacar dinheiro — o valor continuaria indo para a conta dela —, mas poderia sujar o nome dela com cobranças fraudulentas e provocar bloqueio pela adquirente.
Mitigação: credencial guardada em cofre de segredos, nunca no código-fonte, nunca em planilha, nunca em e-mail; nunca trafega pelo navegador do usuário; acesso restrito ao servidor da aplicação; rotação periódica; a Matinali revoga sozinha em segundos se desconfiar de algo.
Esta é a operação mais sensível de toda a integração e merece atenção específica. A mesma credencial que cria a cobrança também cancela cobranças já pagas, e o cancelamento é irreversível: não existe "desfazer estorno". Para refazer a venda seria preciso cobrar o cliente novamente, do zero.
Por que é fácil demais: para cancelar, bastam dois dados — o número interno da transação (TID) e um valor. Não há senha, confirmação, aprovação em duas etapas ou qualquer segundo fator. É uma única ordem, executada na hora. Não é preciso informar número do pedido, CPF ou e-mail do cliente: quem tem o TID em mãos consegue cancelar.
Dois cenários preocupam:
· Erro do nosso sistema — uma falha de programação, um pedido processado duas vezes, um ambiente de teste apontando para produção: qualquer um desses pode cancelar pagamentos legítimos já recebidos. O cliente é reembolsado sem ter pedido, a Matinali perde a venda e o valor é debitado dos recebíveis dela.
· Transações que não são nossas — a credencial vale para toda a filiação, não só para os pedidos que originamos. Um TID de outro canal de venda da Matinali, se chegasse até nós (por um comprovante, um relatório, um print), poderia em tese ser cancelado. Não conseguimos descobrir esses números — não existe função de listar transações —, mas a permissão existe, e essa é a hipótese mais delicada numa eventual acusação contra a Seazone.
O estorno é automático — não há aprovação de ninguém no meio.
Cancelar um pedido já pago é o estorno: a ordem é executada na hora, sem passar por análise da operadora, sem aviso à Matinali e sem qualquer confirmação. O valor é devolvido ao cartão do cliente e debitado dos recebíveis da Matinali. O crédito leva alguns dias para aparecer na fatura do cliente, mas a decisão já foi tomada e registrada no instante da chamada — não há janela para arrependimento nem para interceptar a operação.
Dois limites importantes, do lado positivo: não é possível estornar valor maior do que a transação original (a operadora recusa), e o estorno só devolve dinheiro ao cartão que pagou — não existe campo de conta de destino. Ou seja, o estorno não serve para desviar recursos; o dano possível é anular vendas, não apropriar-se delas.
Mitigação: não implementar a função de cancelamento no nosso sistema. Se o código não tem essa capacidade, nem erro nem uso indevido conseguem acioná-la — e isso é verificável por auditoria do código-fonte. Todo cancelamento e reembolso fica exclusivamente com a Matinali, pelo portal dela. Recomendamos que conste expressamente do acordo. Complementarmente: solicitar à Rede uma filiação dedicada a esta integração, o que restringiria o alcance apenas aos nossos próprios pedidos.
Se a integração cair, pedidos ficam sem link. Se um valor for gerado errado, há divergência entre o que a Matinali recebeu e o que o nosso sistema registrou.
Mitigação: conciliação diária automática entre pedidos do nosso sistema e transações confirmadas; alerta em caso de divergência; possibilidade de gerar o link manualmente enquanto a integração estiver fora.
O passo a passo do processo, do pedido até o link disponível para envio.
Contratamos (ou a Matinali contrata) um intermediário que já oferece "link de pagamento por integração". Nosso sistema pede o link, recebe a URL pronta e envia ao cliente. A página de cartão é do intermediário, certificada, e o valor é liquidado na conta da Matinali.
Pontos que não conseguimos resolver com controle técnico.
A Matinali nos entregaria uma credencial de sistema dela para que possamos gerar os links. Isso exige algum documento próprio — um termo de autorização, uma carta, um aceite por e-mail — ou o ideal seria um aditivo ao contrato que já temos com eles, incluindo essa autorização e o escopo do que podemos e não podemos fazer com a credencial?
Se uma falha nossa gerar cobrança errada, quem indeniza o cliente e quem arca com a taxa de estorno? Sugerimos limite de responsabilidade proporcional ao valor da transação envolvida.
Como se desliga a integração se a parceria acabar: prazo para revogação da credencial, destino dos registros de transação, período de guarda.