Açık Bankacılık Nedir? PSD2, İzin ve Veri Güvenliği | Cash Book
Hızlı yanıt
Açık bankacılık, bankanıza hesap verilerinizi paylaşması veya bir ödeme başlatması için düzenlemelere tabi üçüncü taraf bir kuruluş aracılığıyla talimat vermenizi sağlayan bir dizi kural ve teknik standarttır. Avrupa Birliği'nde bu, ikinci Ödeme Hizmetleri Direktifi (PSD2) ile düzenlenmiştir. Birleşik Krallık'ta ise Rekabet ve Piyasalar Kurumu'nun (CMA) en büyük dokuz bankanın ortak bir API yayınlamasını zorunlu kılan kararıyla ortaya çıkmıştır. İki tür yetkili rol vardır: bakiye ve işlemleri okuyan hesap bilgisi hizmeti ve para transferi yapan ödeme başlatma hizmeti. Her ikisi de bir düzenleyiciden yetki ve sizin açık, süreli izninizi gerektirir. İzinler her zaman geri alınabilir.
İnsanlar açık bankacılık dendiğinde bankanın verilerini sağa sola dağıttığını düşünür. Sanki bir düzenleme vardır, uygulamalar bir listededir ve işlemler zaten bir yerlerde dolaşıyordur. Oysa durum bunun tam tersidir. Tüm sistem, sizin verdiğiniz izne dayanır; belirli bir sağlayıcıya, belirli bir kapsamda ve sınırlı bir süre için izin verirsiniz ve bu izni istediğiniz zaman geri alabilirsiniz. Bankalar da bunu gönüllü yapmadı. Düzenleyiciler onlara bu kapıyı inşa etmelerini zorunlu kıldı ve kapı sadece siz istediğinizde açılır.
İki rol ve arkasındaki düzenleyici
Avrupa Birliği'nde yasal dayanak, PSD2 olarak bilinen (AB) 2015/2366 sayılı ikinci Ödeme Hizmetleri Direktifi'dir. Bu direktif iki düzenlenmiş rol oluşturdu; aralarındaki fark okuma ve yazma arasındaki farktır. Hesap bilgisi hizmeti sağlayıcısı okuma yapar: bakiyeler, işlem geçmişi, hesap detayları. Ödeme başlatma hizmeti sağlayıcısı ise yazma yapar: arada kart olmadan hesabınızdan transfer talimatı verir. Bütçe uygulamaları ilkini, ödeme butonları ise ikincisini ister. Her ikisi de ulusal bir düzenleyiciden yetki ve her bağlantı için sizin açık izninizi gerektirir. PSD2'nin yerini, lisanslama direktifi ve açık bankacılık ile dolandırıcılık kurallarını içeren doğrudan uygulanabilir bir yönetmelikten oluşan bir paket alacaktır. Avrupa Komisyonu mevcut durumu yayınlamaktadır.
Birleşik Krallık farklı bir yol izledi. Rekabet ve Piyasalar Kurumu (CMA) perakende bankacılığı inceledi, müşterilerin nadiren banka değiştirdiğini ve yeni oyuncuların rekabet etmekte zorlandığını tespit etti. Çözüm olarak en büyük dokuz cari hesap sağlayıcısının (CMA9) ortak bir API standardı oluşturmasını ve kuralları yazıp denetleyecek merkezi bir kurum finanse etmesini zorunlu kıldı. Bu kurum, Open Banking Implementation Entity idi. Şimdi Open Banking Limited olarak faaliyet gösteriyor ve standardı kullanan firmaları Finansal Yürütme Otoritesi (FCA) yetkilendiriyor.
Bunu akılda tutmakta fayda var, çünkü birçok kişi durumu yanlış anlıyor: bağlantı, kendi yetkisiyle çalışan üçüncü bir tarafladır. Bankanız sadece erişim sağlar, uygulamayı onaylamaz.
Yönlendirme ve seçmediğiniz şirket
Akış her iki rejimde de benzerdir. Bir uygulama içinde sağlayıcıyı seçersiniz, bankanıza yönlendirilirsiniz, her zamanki gibi kimlik doğrulaması yaparsınız, erişim kapsamını onaylarsınız ve geri dönersiniz. Uygulama asla banka şifrenizi almaz. Bu kısım gerçekten iyi bir tasarımdır.
İzin sürelidir. PSD2 teknik standartları başlangıçta sürekli veri erişimi için her 90 günde bir yeni kimlik doğrulaması gerektiriyordu. Daha sonra yapılan bir değişiklikle bu süre uzatıldı; bütçe uygulamalarındaki banka bağlantılarının periyodik olarak veri akışını durdurup tekrar giriş istemesinin nedeni budur. Uygulamanın bir sorunu değildir.
Bir de neredeyse kimsenin dikkatle okumadığı detay var. Çok az tüketici uygulaması lisansı kendisi elinde tutar; Plaid, TrueLayer veya Tink gibi yetkili bir toplayıcıdan erişim satın alırlar. Bu şirketler izinleri elinde tutar ve binlerce kurumla bağlantıyı yürütür. Yani bir banka senkronizasyonu açtığınızda, işlem geçmişiniz aslında hiç seçmediğiniz, izin ekranında adı geçen ama pazarlama sayfasında görünmeyen dördüncü bir şirketin üzerinden geçer. İptal işleminin iki aşamalı olmasının nedeni de budur. İzni uygulama içinden kapatın, ardından bankanızın kendi uygulamasını açın; orada bağlı üçüncü tarafların listesi ve iptal kontrolü bulunur. Çünkü telefonunuzdan bir şeyi silmek, bankaya kapıyı kapatması gerektiğini her zaman bildirmez.
Bir akış ne için olduğunu değil, neyin çıktığını söyler
Açık bankacılık tek bir soruyu iyi yanıtlar: Hesaptan ne çıktı? Bütçenin asıl odaklandığı "bu para ne içindi" sorusunu ise yanıtlamaz. Hiçbir API kalitesi bunu düzeltemez, çünkü bir akış size sadece bir satıcı adı, tutar ve tarih verir. Okunamayan bir kart açıklamasının market alışverişi mi yoksa iş yemeği mi olduğuna karar vermek size kalmıştır. Dört gün beklerseniz hatırlamazsınız. Senkronize takipçilerin ay sonunda neden bu kadar çok ve işe yaramaz "kategorize edilmemiş" harcamayla dolmasının nedeni budur.
Zamanlama ikinci sınırlamadır. Kart işlemleri önce bekleyen olarak görünür ve sonra gerçekleşir, bazen farklı bir tutarla. Bu da bağlı bir bakiyenin harcayabileceğiniz para ile aynı olmadığı anlamına gelir; nakit akışı zamanlaması, ekrandaki rakamdan ayrı bir sorundur. Nakit çekimler, beş farklı harcamayı gizleyen tek bir satır olarak görünür. Kapsamda da boşluklar vardır: AB ve Birleşik Krallık'taki cari hesaplar için iyidir, ancak tasarruf hesapları, kredi kartları ve küçük kurumlar için daha zayıftır.
Özetle, bir veri akışı iyi bir mutabakat aracıdır ancak zayıf bir farkındalık aracıdır. Size sonradan bilgi verir. Davranışınızı değiştiren an, kasada durduğunuz andır; iPhone'da gider takibi rehberi bunu detaylıca açıklar.
Ticaretin diğer tarafı
Cash Book hiçbir bankaya bağlanmaz. Bu bilinçli bir tercihtir ve bir bedeli vardır: hiçbir şey kendiliğinden gelmez. Bunun karşılığında ise izin ekranı, aradaki toplayıcı, 90 günlük tekrar doğrulama ve kimsenin sunucusunda duran işlem geçmişi kopyası yoktur. Veriler iPhone'unuzda ve eğer açarsanız kendi iCloud hesabınızda kalır; iCloud senkronizasyonu ve gizlilik bunu kapsar.
Veri akışının yerini giriş hızı alır. Sesli kayıt konuşulan bir cümleyi bir veya birkaç işleme dönüştürür; fiş tarama rehberi yazmak yerine fişin fotoğrafını çekmeyi anlatır; Apple Pay otomatik kayıt ise Apple'ın Shortcuts otomasyonunu kullanarak kart dokunuşunun kendini kaydetmesini sağlar, Apple Pay rehberi bunu açıklar. Apple, kart dokunuşları için bir API sağlamaz. Shortcuts tetikleyicisi, herhangi bir uygulamanın sahip olduğu tek yoldur.
Senkronize bir uygulama size tamlık verir ve sonra kategorize etmenizi ister. Manuel odaklı bir uygulama ise size dikkat verir ve o anda kaydetmenizi ister. İkisinin de bir bedeli vardır ve bunu bedelsizmiş gibi satanlar bir şeyleri eksik bırakıyordur.
Eğer iş, birine para göndermeden önce hesap detaylarını kontrol etmekse, bu tamamen farklı bir sorundur; IBAN doğrulayıcı yapısal kontrolü yaparken, IBAN girişi size neleri söyleyemeyeceğini açıklar. Belirli bir sağlayıcının yetkisi için ulusal düzenleyicinin kamu siciline bakın.
Cash Book'yu App Store'dan edinin7 gün ücretsiz. Ömür boyu kullanım için tek seferlik $19.99.
Sıkça sorulan sorular
Açık bankacılık güvenli mi?
Tasarım, en büyük riski ortadan kaldırır: banka şifrenizi uygulamaya girmezsiniz, kendi bankanızda kimlik doğrulaması yaparsınız. Erişim kapsamlıdır, kayıt altına alınır ve bankanızın uygulaması üzerinden iptal edilebilir. Kalan riskler, verilerinizin hangi şirket tarafından ne kadar süreyle saklandığı gibi standart veri riskleridir; bu nedenle onay vermeden önce izin ekranını okuyun ve sağlayıcının yasal yetkisini kontrol edin.
AIS ve PIS arasındaki fark nedir?
Hesap bilgisi hizmeti (AIS) okuma yapar: bakiyeler, işlemler, hesap detayları. Ödeme başlatma hizmeti (PIS) ise yazma yapar: kart kullanmadan hesabınızdan transfer talimatı verir. Bütçe ve muhasebe uygulamaları ilkini kullanır. Bir satıcıya doğrudan banka hesabınızdan ödeme yapan ödeme butonları ise ikincisini kullanır. Bunlar PSD2 kapsamında ayrı izinlerdir ve bir firma diğerine sahip olmadan birini kullanabilir.
Banka bağlantım neden sürekli tekrar giriş yapmamı istiyor?
Hesap bilgisi erişimi izni uygulama tarafından değil, mevzuat gereği sürelidir. PSD2 teknik standartları başlangıçta sürekli erişim için her 90 günde bir güçlü müşteri kimlik doğrulaması gerektiriyordu, daha sonra yapılan bir değişiklikle bu süre uzatıldı. Süre dolduğunda, bankanızda tekrar kimlik doğrulaması yapana kadar bağlantı veri akışını durdurur.
Cash Book açık bankacılık kullanıyor mu?
Hayır. Cash Book hiçbir bankaya bağlanmaz, bu nedenle verilecek bir izin veya tekrar doğrulanacak bir bağlantı yoktur. İşlemler sesle, fiş fotoğrafı çekerek, Apple'ın Shortcuts uygulaması üzerinden Apple Pay otomatik kaydıyla veya manuel olarak girilir ve iPhone'unuzda ya da kendi iCloud hesabınızda kalır. Bu bir ödünleşimdir, bedava bir kazanç değil: bankadan hiçbir veri otomatik gelmez.
Bir uygulama banka senkronizasyonu sunduğunda lisansı kim elinde tutar?
Genellikle uygulama değil. Çoğu tüketici uygulaması, Plaid, TrueLayer veya Tink gibi yetkili bir toplayıcıdan erişim satın alır. Bu şirketler izinleri elinde tutar ve binlerce bankayla bağlantıyı sürdürür. Yani verileriniz sizin seçmediğiniz bir şirketin üzerinden geçer. Sağlayıcı, izin ekranında ve uygulamanın gizlilik politikasında belirtilir.
Açık bankacılık ile açık finans aynı şey mi?
Hayır. Açık bankacılık ödeme hesaplarını kapsar. Açık finans ise aynı erişim modelini tasarruf, emeklilik, yatırım, konut kredisi ve sigorta gibi alanlara genişleten daha kapsamlı bir fikirdir. Birçok ülke bu konuda çalışmalar yürütmektedir ve Avrupa Birliği, ödeme hizmetleri kurallarından ayrı bir finansal veri erişim çerçevesi yasalaştırmıştır. Bugün paylaşabileceğiniz kapsam hala büyük ölçüde ödeme hesaplarıyla sınırlıdır.
Bir uygulamanın hesabımı görmesini engelleyebilir miyim?
Evet, iki yerden. İzinleri uygulama içinden iptal edin ve ayrıca bankanızın kendi uygulamasını kontrol edin; orada bağlı üçüncü tarafların listesi ve iptal kontrolü bulunur. Her ikisini de yapmak önemlidir, çünkü çalışmayı durduran bir uygulama bankaya bağlantıyı kapatması gerektiğini her zaman bildirmez.
Kaynaklar
Cash Book'yu App Store'dan edinin7 gün ücretsiz. Ömür boyu kullanım için tek seferlik $19.99.