1. No category

BESTEMMELSER FOR SALG MOD BETALING MED KONTOKORT
DISTANCEHANDEL (Card Not Present)
(Juli 2010)
Disse bestemmelser “Bestemmelser om Distancehandel“, gælder for salg mod betaling med Kontokort ved
Distancehandel. Med “Distancehandel” forstås Salgsmetoder, hvor Kontokort ikke er til stede på
betalingstidspunktet. De ”Salgsmetoder”, som omfattes af Bestemmelser om Distancehandel, er f.eks.
salg via internettet og salg efter post- og/eller telefonisk ordre, mobilbetalinger og Tilbagevendende
Betalinger. Med “Tilbagevendende Betalinger” forstås såkaldte abonnementsbetalinger, hvor
Kortindehaveren har tilladt, at Salgsvirksomheden løbende må belaste Kontokortet ved tilbagevendende
fremtidige lejligheder (f.eks. abonnementer).
Bestemmelser om Distancehandel udgør et supplement til de generelle bestemmelser, som er gældende for
den aftale om Indløsning af Kontokorttransaktioner (”Hoveddokumentet”), som er indgået mellem
Salgsvirksomheden og Euroline. Ved eventuelle konflikter mellem Hoveddokumentet og Bestemmelser om
Distancehandel skal Bestemmelser om Distancehandel have forrang. Ord, som indledes med en versal,
dvs. stort bogstav, betegner et ord, som har en særlig betydning/definition i Hoveddokumentet og skal i
disse Butiksbestemmelser have samme betydning som i Hoveddokumentet.
1. Generelt om salg mod betaling med Kontokort ved Distancehandel
Ved Distancehandel er Kontokortet ikke fysisk til stede, og Salgsvirksomheden kan dermed
ikke identificere Kortindehaveren på samme måde, som når Kontokortet er til stede.
Salgsvirksomheden bærer derfor altid, med de begrænsninger som punkt 6 nedenfor kan
medføre, risikoen for alle købstransaktioner ved Distancehandel. Det betyder, at Euroline har
ret til at videredebitere sådanne beløb til Salgsvirksomheden, som Kortindehaver har gjort
indsigelse imod. Dette gælder, uanset om Kortindehaverens indsigelse er berettiget eller ej.
2. Særlige forpligtelser ved Distancehandel
Salgsvirksomheden forpligter sig til:
• på bestillingsformularen eller internetsiden klart at informere Kortindehaveren om,
inden betalingsinstruktionerne, i hvilket land Transaktionen sker, samt i hvilket land
Salgsvirksomheden betaler merværdiafgift (moms).
• på sin hjemmeside ikke at have links til hjemmesider med ulovlige og/eller uetiske
aktiviteter eller til virksomheder, som på et objektivt grundlag må anses at skade
Eurolines anseelse.
• omgående at underrette Euroline, hvis 1) den hjemmeside, på hvilken
Salgsvirksomhedens salg foregår, skifter www-adresse, og 2) om nye www-adresser,
som Salgsvirksomheden anvender til sit salg.
3. Kontroller
Salgsvirksomheden skal ved debitering af Kortindehaveren foretage nedenfor angivne
kontrolfunktioner:
3.1 Autorisation
Autorisation skal altid ske på betalingstidspunktet, uanset købets beløb. Autorisationen skal
kodes med korrekt Salgsmetode. De koder, som i den henseende skal anvendes, fremgår af
Instruktionerne.
Ved kontrol af status på Kortindehaverens Kontokort (kontrol af kortstatus) skal der altid
benyttes en såkaldt ”nulværdi-autorisation” i henhold til Eurolines til enhver tid gældende
procedurebeskrivelser.
3.2 Adressekontrol
Adressekontrol skal foretages i henhold til Instruktionerne i det omfang, som angives i bilag til
Hoveddokumentet. Adressekontrol medfører kontrol af, at den udbedte leveringsadresse
stemmer overens med den adresse, som Kortindehaveren har opgivet til kortudstederen. Hvis
autorisation af købstransaktion sker elektronisk, skal der på bestillingsgrundlaget til
adressekontrol tydeligt anføres ”Kun adressekontrol”. Adressekontrol er kun anvendelig på
post- og/eller telefonordrer.
3.3 Sikkerhedskode
Kontrol af sikkerhedskode skal altid udføres, hvis intet andet er aftalt mellem Parterne. Kontrol
af sikkerhedskode betyder, at den sikkerhedskode, som normalt findes i slutningen af
underskriftspanelet på Kontokortets bagside, også kaldet CVV2 eller CVC2, stemmer overens
med den sikkerhedskode, som kortudstederen er i besiddelse af. Salgsvirksomheden må ikke
under nogen omstændigheder gemme sikkerhedskoden.
4. Ordreformular/bestillingsgrundlag
4.1 Indhold
Salgsvirksomhedens ordreformular/bestillingsgrundlag skal være stilet til Salgsvirksomheden
og indeholde:
• Salgsvirksomhedens navn og CVR-nummer,
• Kortindehaverens navn,
• Kortindehaverens adresse (leveringsadresse),
• Kontokortets nummer og udløbsdato,
• bestillingsdato,
• bestillingens beløb,
• oplysning om moms,
For bankkort udfærdiget af Swedbank skal ordreformularen/bestillingsgrundlaget desuden
indeholde oplysninger om betalingsmetode, dvs. oplysning om betalingen skal belaste
bankkonto eller kredit.
4.2 Arkivering
Salgsvirksomheden skal i atten (18) måneder arkivere ordreformular/bestillingsgrundlag. På
Eurolines anmodning
skal Salgsvirksomheden inden for fem (5) bankdage stille
ordreformular/bestillingsgrundlag til rådighed vedrørende enkelte Transaktioner.
4.3 Kortindehaverens kvittering
Kortindehaveren skal altid have kvittering på den bestilte vare eller ydelse fra
Salgsvirksomheden. I påkommende tilfælde, f.eks. ved salg via internettet, skal
Salgsvirksomheden udlevere en elektronisk kvittering til Kortindehaveren med den
information, som angives i punkt 5.2 nedenfor.
5. Rapportering
5.1 Indsendelse af købstransaktioner m.m.
Elektronisk indsamlede købstransaktioner skal senest inden for to (2) dage fra betalingsdagen
overføres til Euroline. I de tilfælde, hvor der forekommer papirnotaer, f.eks. ved post- og/eller
telefonordrer, skal de være Euroline, eller den Euroline anviser, i hænde senest i løbet af fem (5)
dage fra betalingsdagen. Ved “betalingsdagen” forstås dagen for autorisationen.
Ved Tilbagevendende Betalinger skal Salgsvirksomheden til Euroline overføre
Salgsvirksomhedens URL og/eller telefonnummer i købstransaktionen i henhold til
Instruktionerne.
Købstransaktioner skal leveres til Euroline ifølge den til enhver tid aftalte procedure.
Købstransaktionerne må ikke overføres til Euroline til indløsningen, før levering af varen eller
ydelsen er påbegyndt. Med levering af ydelse forstås også, at der træffes bindende aftale om en
ydelse, som skal leveres/udføres senere. Levering må ved post- og/eller telefonordre, hvis intet
andet er skriftligt aftalt, kun ske til den adresse, som Kortindehaveren har opgivet til sin
kortudsteder.
5.2 Transaktionsinformation og log
Salgsvirksomheden skal for hver Transaktion med Kontokort registrere følgende
transaktionsinformation i en elektronisk transaktionslog:
• Salgsvirksomhedens navn og kundenummer hos Euroline,
• Salgsvirksomhedens URL (kun ved internetbestilling),
• valuta og beløb,
• oplysning om moms,
• betalingsdagen (for Transaktioner som vedrører betaling for en rejse, begivenhed eller
lignende, som skal finde sted i fremtiden, skal også datoen for rejsens, begivenhedens
eller lignende afholdelse angives),
• unikt transaktionsnummer,
• kortindehaverens adresse og i påkommende tilfælde kundenummer hos
Salgsvirksomheden,
• kontrolnummer som bevis på autorisation,
• transaktionstype (betaling eller returnering/kreditering) i klartekst,
• beskrivelse af købte/returnerede varer/ydelser,
• betalingsmetode (se punkt 4.1, stk. 2 ovenfor).
6. Særligt om salg via internettet
Ved salg via internettet skal 3D Secure, dvs. henholdsvis Verified by Visa eller MasterCard
SecureCode anvendes i henhold til Instruktionerne.
Når Salgsvirksomheden har implementeret 3D Secure og kodet transaktionerne i henhold til
Instruktionerne, har Euroline kun ret til at videredebitere omstridte beløb, for hvilke der er
afgivet indsigelse som bedrageriske eller uautoriserede køb i henhold til Visas og/eller
MasterCards til enhver tid gældende bestemmelser.
Visa og MasterCard kan også fra tid til anden bestemme, at Euroline, selvom Kortindehaveren
ikke har autoriseret sig over for sin kortudsteder, ikke har ret til at videredebitere omstridte
beløb, for hvilke der er gjort indsigelse som bedrageriske eller uautoriserede køb.
For beløb, der er gjort indsigelser mod af en anden årsag end som bedragerisk eller uautoriseret
køb, har Euroline ret til at videredebitere i henhold til punkt 1 ovenfor, hvis Salgsvirksomheden
har implementeret 3D Secure.
Diners Club-kort, nogle af MasterCards og Visas produkter samt visse ikke-europæiske kort
understøtter i øjeblikket ikke 3D Secure.
Salgsvirksomheden skal også vise logotyperne for Verified by Visa og MasterCard SecureCode
på betalingssiden/kassesiden.
Punkt 6 i Hoveddokumentet er også gældende, hvis Salgsvirksomheden har implementeret 3D
Secure.
7. Sikkerhed
7.1 Håndtering af kontokortinformation
Med henblik på dels at bevare et højt sikkerhedsniveau i de globale kortbetalingssystemer, dels
at styrke tilliden til Kontokort som betalingsmiddel, er det af yderste vigtighed, at alle, som
håndterer Kontokortinformation, gør det på en sikker måde. Med ”Kontokortinformation”
forstås sådan information, som er præget eller trykt på Kontokortets for- og/eller bagside,
inklusive information som er lagret i Kontokortets magnetspor og chip. Derfor har
kortindustrien vedtaget en fælles standard for håndtering af Kontokortinformation. Standarden
kaldes Payment Card Industry (PCI) Data Security Standard (DSS) og er udviklet af de
internationale kortnetværker VISA og MasterCard.
Salgsvirksomheden accepterer at følge standarden PCI DSS i den udformning, der til enhver tid
er offentliggjort på www.pcisecuritystandards.org.
Det betyder bl.a., at Salgsvirksomheden:
•
•
•
•
•
•
•
•
•
•
•
•
ikke under nogen som helst omstændigheder må gemme eller udskrive i) CVV/CVC
(dvs. kortkontrolcifrene i Kontokortets magnetstribe), ii) CVV2/CVC2 (dvs. den
sikkerhedskode som normalt findes til sidst i underskriftspanelet på Kontokortets
bagside) eller iii) iCVV/iCVC (dvs. kontrolnummeret i et Kontokort som er forsynet
med chip). Salgsvirksomheden forpligter sig til ikke at gemme eller udskrive PVV (dvs.
kontrolnummeret for PIN-koder),
kun må gemme den Kontokortinformation, som er absolut nødvendig for
Salgsvirksomhedens aktiviteter (dvs. navn, Kontokortets nummer og Kontokortets
udløbsdato),
skal opbevare/gemme medier, som indeholder Kontokortinformation (f.eks. logs,
transaktionsrapporter, elektroniske kvitteringer eller aftaler) et sikkert sted og på en
sådan måde, at kun personer, som har behov for det, kan at få adgang til materialet,
skal håndtere alle Kontokortoplysninger fortroligt og ikke til tredjepart afslører noget
om de personlige oplysninger (f.eks. navn og personnummer), som Salgsvirksomheden
kan komme i besiddelse af,
skal opbevare information om Kontokortets nummer på en sådan måde, at der ikke kan
forekomme anvendelse af uvedkommende,
skal sikre, at elektroniske kvitteringer og andre medier er beskyttet mod adgang fra
uvedkommende,
omgående skal meddele Euroline det, hvis Salgsvirksomheden opdager eller har
mistanke om, at Kontokortoplysningerne er blevet anvendt af uvedkommende, eller at
sådanne oplysninger på anden måde er blevet misbrugt. Hvis der er mistanke om
overtrædelse af disse bestemmelser, skal Salgsvirksomheden på Eurolines anmodning
politianmelde hændelsen,
skal sikre, at Kontokortets nummer ikke afsløres for andre end medarbejdere hos
Salgsvirksomheden, for hvem det er nødvendigt at have adgang til dette,
skal sikre, at det er dokumenteret, hvordan Kontokortoplysningen beskyttes i
Salgsvirksomhedens tekniske udstyr,
skal sikre, at der er procedurer til sikker håndtering og distribution af
Kontokortoplysninger, og at disse rutiner regelmæssigt følges op og kontrolleres.
Procedurerne eller information om disse skal destrueres på en sikker måde, f.eks. ved
makulering, når procedurerne/informationen ikke længere er nødvendige i henhold til
lovgivning og/eller instruktionerne,
skal sikre, at der findes en fortegnelse over alt teknisk udstyr, og at dette udstyr
opbevares på en sikker måde,
skal sikre, at Kontokortoplysningerne og/eller Kortindehaveren, så snart teknisk udstyr
og/eller andet medie, som indeholder sådanne oplysninger, ikke længere anvendes af
Salgsvirksomheden, gøres ubrugelig.
7.2 Godkendelse af system
Systemer, som leverer transaktioner til Euroline, skal være godkendt af Euroline eller anden
tredjepart, som Euroline anviser. Euroline kan stille krav til særlig kontrol af komponenter, som
er følsomme ud fra et sikkerhedsmæssigt synspunkt. Denne kontrol eller scanning udføres af en
i samråd med Euroline udvalgt aktør.
7.3 Specielt vedrørende såkaldte Nodes og Payment Service Providers
Hvis Salgsvirksomheden anvender en tredjepart (såkaldt node eller Payment Service Provider)
til hele eller dele af Distancehandlen, skal Salgsvirksomheden sikre, at denne opfylder alle krav
i henhold til PCI DSS.
7.4 Ændringer i systemer m.m.
Ændringer i systemet, som påvirker de gældende forudsætninger på tidspunktet for
godkendelsen, må ikke gennemføres uden Eurolines godkendelse.
Salgsvirksomheden skal gennemføre en af Euroline anvist test af opkoblingen mod Eurolines
modtagelsessystem, inden Transaktioner må indsendes til Euroline.
7,5 Sikkerhedsanvisninger
Salgsvirksomheden skal sikre, at de af Euroline til enhver tid separat meddelte
Sikkerhedsanvisninger følges.
7.6 Dataangreb og it-diagnostisk undersøgelse
Hvis Euroline har mistanke om, at Salgsvirksomhedens kassesystem, it-system eller lignende
har været udsat for angreb, manipulation eller lignende, som efter Eurolines mening på nogen
måde berører Parternes samarbejde i henhold til denne Aftale, har Euroline ret til at foretage en
såkaldt it-diagnostisk undersøgelse (”Undersøgelsen”) af det pågældende udstyr.
Undersøgelsen må foretages af Euroline eller en it-diagnostisk virksomhed, som er engageret af
Euroline.
Tidspunkt og dermed relaterede spørgsmål/procedurer, som kan henføres til Undersøgelsens
gennemførelse, skal, hvis det efter Eurolines mening ikke er ubelejligt, om muligt aftales
mellem Parterne. Euroline må dog også, hvis det efter Eurolines mening er mest formålstjenligt,
besøge Salgsvirksomheden og gennemføre Undersøgelsen, uden at Salgsvirksomheden
informeres herom på forhånd.
Det påhviler Salgsvirksomheden i rimeligt omfang at medvirke ved Undersøgelsen og lette
gennemførelsen, således at formålet med Undersøgelsen, dvs. at konstatere hvorvidt der har
været angreb/manipulation, kan opnås.
I tilfælde af, at det ved Undersøgelsen bliver konstateret, at Salgsvirksomhedens kassesystem,
it-system eller lignende, har været udsat for angreb, manipulation eller lignende, påhviler det
Salgsvirksomheden at godtgøre Euroline eventuelle omkostninger til undersøgelsen.