Tallennetun maksuvälineen poistaminen pelitililtä

Pelitilille tallennettu maksuväline on harvoin itse kortti. Kassalle jää tunniste eli tokeni, joka viittaa maksunvälittäjän holviin, ja pelisivusto näyttää siitä tavallisesti vain kortin neljä viimeistä numeroa sekä voimassaolokuukauden. Maksukorttialan PCI DSS -säännöt kieltävät turvakoodin eli CVV:n säilyttämisen tapahtuman hyväksymisen jälkeen kokonaan, joten sitä ei ole tilillä poistettavana. Tilille jää siis viite ja sen ympärille kirjattu maksuhistoria.

Poisto katkaisee siis viittauksen, ei pyyhi korttinumeroa pelisivuston palvelimelta.

Kortti, verkkopankki ja mobiilimaksu käyttäytyvät eri tavoin

Verkkopankkimaksussa tallennettu tieto on tilinumero tai puhelinnumero, ei korttiviite. Trustlyn, Zimplerin ja Briten kaltaisissa palveluissa pankkitunnistus tehdään jokaisella kerralla pankin omassa käyttöliittymässä, eikä pelisivusto näe tunnuksia missään vaiheessa. Poistettava kohde on tästä syystä eri: kortilla se on tokeni, verkkopankkimaksussa tallennettu tilinumero ja mobiilimaksussa numeroon sidottu profiili.

Tästä seuraa ero, joka aiheuttaa suurimman osan turhista tukiviesteistä: maksuvälineen poisto pelitililtä ei koske maksunvälittäjän omaa asiakastiliä, jolla sama pankkitili tai puhelinnumero voi olla tallennettuna erikseen, joten välittäjän profiili pitää siivota välittäjän omassa palvelussa ja pelitili omissa asetuksissaan. Tarkistimme kymmenien suomenkielisten kassasivujen sanamuodot, ja poistotoiminnon nimi vaihtelee: sama painike voi lukea poista, irrota tai hallinnoi maksutapoja.

Yleisin este on avoin kotiutus. Kotiutus ohjataan valtaosalla sivustoja samaan lähteeseen, josta talletus tuli, joten maksuvälineen katoaminen kesken käsittelyn pysäyttää maksun ja pakottaa tuen selvittämään asian käsin.

Toinen este on lainsäädäntö, ja se ei jousta pyynnöstä.

Rahanpesulaki velvoittaa pelisivuston säilyttämään tunnistamistiedot ja niihin liittyvät asiakirjat vähintään viisi vuotta vakituisen asiakassuhteen päättymisestä, ja pidempi säilytys on mahdollista, jos se on tarpeen esimerkiksi rikostutkinnan turvaamiseksi. Säilyttämisen tarpeellisuus on tarkistettava viimeistään kolmen vuoden kuluttua edellisestä tarkistuksesta. Tämä koskee talletusten ja kotiutusten kirjauksia, ei kassalla näkyvää maksutapavalikkoa, joten näkyvä väline voi kadota vaikka kirjaukset jäävät.

Mitä tietosuoja-asetus tässä sanoo

GDPR:n 17 artikla antaa oikeuden tietojen poistamiseen, mutta oikeus ei ole ehdoton. Artiklan kolmannen kohdan mukaan poistovelvollisuutta ei ole silloin, kun käsittely on tarpeen lakisääteisen velvoitteen noudattamiseksi, ja rahanpesun estämiseen liittyvä säilytys on tämän poikkeuksen tyyppiesimerkki. Poikkeus suojaa vain sen aineiston, jota velvoite todella vaatii, eikä siis koko asiakastiedostoa.

Poistopyyntöön on vastattava ilman aiheetonta viivytystä ja viimeistään kuukauden kuluessa, myös silloin kun vastaus on kielteinen. Kieltäytymiselle on annettava peruste.

Poisto ei nopeuta kotiutusta, ja väärään hetkeen ajoitettuna se hidastaa sitä. Kotiutus palautetaan pääsääntöisesti samaan välineeseen, jolla talletus tehtiin, koska rahanpesun estäminen edellyttää, että varat kulkevat tunnistettua reittiä takaisin pelaajalle.

Nimen täsmäytys on tässä ratkaiseva: pelitilin haltijan nimen ja pankkitilin haltijan nimen on vastattava toisiaan, ja uuden maksuvälineen lisääminen poiston jälkeen käynnistää tämän tarkistuksen uudelleen, mikä tyypillisesti tuo mukanaan uuden KYC-kierroksen ja pyynnön tilin omistajuuden todistamisesta.

Aikataulut vaihtelevat maksutavan mukaan, eivätkä ne ole pelisivuston yksin päätettävissä.

Verkkopankkipohjaiset kotiutukset kirjautuvat euroalueella yleensä saman vuorokauden aikana, kun tili on jo vahvistettu, kun taas korttikotiutus kulkee korttiverkon kautta ja siihen menee tavallisesti muutamia pankkipäiviä. Nämä ovat suuruusluokkia toimialan yleisistä käytännöistä, eivät yhdenkään sivuston vahvistettuja lupauksia, ja pelaajan kannalta pätevä luku löytyy vain sivuston omalta ehtosivulta.

Jos tavoitteena on estää uudet talletukset eikä vain siivota valikkoa, pelkkä maksuvälineen poisto on heikko keino, koska uusi maksu tallentaa uuden tokenin heti, kun tallennusruutu jää valituksi. Talletusten estäminen kuuluu tilin sulkemisen ja estopalveluiden puolelle, ja maksutapavalikon siivoaminen on niiden rinnalla kosmeettinen toimi.

Palautunut maksutapa on useimmiten uusi tokeni, ei vanha. Sivusto tallentaa uuden viitteen automaattisesti, jos talletuksen yhteydessä oleva tallennusvalinta on oletuksena päällä, ja moni pelaaja tulkitsee tämän epäonnistuneeksi poistoksi.

Toinen mahdollisuus on, että väline vain piilotettiin näkymästä, mikä on eri asia kuin tokenin mitätöinti. Ero näkyy siinä, tarvitaanko seuraavassa talletuksessa kortin tiedot uudelleen vai riittääkö pelkkä vahvistus.

Jos tuki kieltäytyy poistamasta tietoja, pyyntö kannattaa uusia kirjallisesti ja vedota tietosuoja-asetuksen poisto-oikeuteen. Vastaus on annettava kuukauden kuluessa, ja kielteinen päätös on perusteltava. Perustelu kertoo samalla, mihin velvoitteeseen säilytys nojaa, ja se erottaa lain vaatiman säilytyksen sivuston omasta haluttomuudesta siivota kantaansa.

Reitit, kun sivusto ei taivu

Suomessa asiasta voi tehdä kantelun tietosuojavaltuutetun toimistoon, joka valvoo henkilötietojen käsittelyä. Kortin osalta tehokkaampi keino on usein kortinmyöntäjä: monessa pankkisovelluksessa näkyy, mille kauppiaille kortti on tallennettu, ja verkkomaksut voi estää kortilta kokonaan. Jos taustalla on pelaamisen hallinta, oikea väline on tilin sulku tai estopalvelu, ei maksutapavalikon siistiminen. Estopalvelun teho perustuu siihen, ettei sitä voi purkaa yhtä nopeasti kuin poistettua maksutapaa lisätä takaisin.