ดักจุดตายสัญญาให้บริการระบบประมวลผลการชำระเงินและ Payment Gateway (Payment Gateway & Merchant Acquiring Master Services Agreement)
วิเคราะห์การกำกับดูแลภายใต้พระราชบัญญัติระบบการชำระเงิน พ.ศ. 2560 (สถานะใบอนุญาตหรือการขึ้นทะเบียนของผู้ให้บริการ), ข้อตกลงระดับการให้บริการ (SLA) อัตราความสำเร็จในการทำธุรกรรม (Authorization Rate & Uptime 99.95%), การจัดสรรความรับผิดกรณี Chargeback & Fraud, นโยบายเงินประกันสำรอง (Rolling Reserve), การหักกลบลบหนี้ การระงับบัญชี และมาตรฐาน PCI-DSS ✓

ภูมิทัศน์สัญญาให้บริการระบบรับชำระเงินดิจิทัลและกฎหมายระบบการชำระเงินในประเทศไทย

โครงสร้างพื้นฐานของระบบชำระเงินดิจิทัลในประเทศไทยเชื่อมโยงระหว่าง ร้านค้า (Merchant), ผู้ให้บริการระบบประมวลผลและรับชำระเงิน (Payment Gateway / Payment Facilitator), ธนาคารผู้รับบัตร (Acquiring Bank), เครือข่ายบัตรชำระเงิน (Card Networks - Visa, Mastercard, JCB, UnionPay) และธนาคารผู้ออกบัตร (Issuing Bank)

การเข้าทำสัญญา Payment Gateway & Merchant Acquiring Master Services Agreement อยู่ภายใต้การกำกับดูแลของพระราชบัญญัติระบบการชำระเงิน พ.ศ. 2560 มาตรา 16 ประกอบมาตรา 17 และประกาศธนาคารแห่งประเทศไทยที่เกี่ยวข้อง [ต้องยืนยันแหล่งที่มา] ผู้ให้บริการต้องมีสถานะที่ถูกต้องตามประเภทบริการ (ใบอนุญาตหรือการขึ้นทะเบียน) หากผู้ให้บริการไม่มีใบอนุญาตที่กฎหมายกำหนด ผู้ให้บริการอาจมีความรับผิดตามพระราชบัญญัติดังกล่าว และสัญญากับร้านค้าอาจถูกโต้แย้งว่าตกเป็นโมฆะตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 150 หากกฎหมายห้ามการทำนิติกรรมนั้นชัดแจ้ง ซึ่งโมฆะกรรมไม่อาจให้สัตยาบันได้ และการคืนทรัพย์สินอันเกิดจากโมฆะกรรมใช้หลักลาภมิควรได้ตามมาตรา 172

[ผู้ถือบัตร / ผู้ซื้อ]

│

(ชำระเงิน)

▼

[ร้านค้า (Merchant)] ◄─── (สัญญา Merchant Services Agreement) ───► [Payment Gateway / Merchant Acquirer]

│

(ประมวลผล & ตัดบัญชี)

▼

[ธนาคาร / Card Networks / ธปท.]

รูปแบบการให้บริการรับชำระเงิน การแยกเงินของร้านค้า และหน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคล

ผู้ให้บริการที่ร้านค้าเรียกรวมกันว่า Payment Gateway มีรูปแบบการให้บริการที่แตกต่างกัน ซึ่งส่งผลต่อการถือครองเงินของร้านค้าและสถานะตามกฎหมาย ตารางต่อไปนี้แสดงรูปแบบหลักสามรูปแบบ

ร้านค้าไม่ควรสันนิษฐานว่าเงินที่ค้างอยู่ในระบบของผู้ให้บริการได้รับความคุ้มครองเสมอไป ความคุ้มครองขึ้นอยู่กับบทบัญญัติของพระราชบัญญัติระบบการชำระเงิน พ.ศ. 2560 มาตรา 19 ประกอบมาตรา 21 และประกาศของธนาคารแห่งประเทศไทยที่ใช้บังคับแก่บริการประเภทนั้น [ต้องยืนยันแหล่งที่มา] เฉพาะกรณีที่ผู้ให้บริการรับเงินไว้แทนและมีหน้าที่แยกเงินตามที่กฎหมายกำหนด เงินส่วนนั้นอาจไม่อยู่ในความรับผิดแห่งการบังคับคดีของเจ้าหนี้ของผู้ให้บริการ ส่วนเงินสำรองหมุนเวียนต้องพิจารณาจากข้อสัญญาและลักษณะของบัญชีที่เก็บเงิน ร้านค้าจึงควรกำหนดในสัญญาให้ผู้ให้บริการรับรองว่าเก็บเงินของร้านค้าไว้ในบัญชีที่แยกต่างหาก และให้ร้านค้ามีสิทธิตรวจสอบ

ในด้านข้อมูลส่วนบุคคล ผู้ให้บริการที่ประมวลผลข้อมูลบัตรหรือข้อมูลผู้ซื้อตามคำสั่งของร้านค้าอาจมีฐานะเป็นผู้ประมวลผลข้อมูลส่วนบุคคล ซึ่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 กำหนดหน้าที่ไว้สามประการ คือ ดำเนินการตามคำสั่งที่ได้รับจากผู้ควบคุมข้อมูลเท่านั้น จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสมพร้อมทั้งแจ้งเหตุละเมิดแก่ผู้ควบคุมข้อมูล และจัดทำและเก็บรักษาบันทึกรายการของกิจกรรมการประมวลผล ผู้ประมวลผลที่ดำเนินการนอกคำสั่งให้ถือเป็นผู้ควบคุมข้อมูลสำหรับการเก็บรวบรวม ใช้ หรือเปิดเผยข้อมูลนั้น (มาตรา 40 วรรคสอง) และผู้ควบคุมข้อมูลต้องจัดให้มีข้อตกลงกับผู้ประมวลผล (มาตรา 40 วรรคสาม) เมื่อมาตรา 40 (2) มิได้กำหนดเวลาแจ้งเหตุ สัญญาจึงควรกำหนดเวลาให้สั้นพอที่ผู้ควบคุมข้อมูลจะแจ้งสำนักงานได้ตามมาตรา 37 (4) ส่วนมาตรฐาน PCI-DSS เป็นมาตรฐานเอกชนและข้อกำหนดทางสัญญา มิใช่ผลโดยตรงของมาตรา 40

ผลกระทบเชิงธุรกิจ Business Consequences

การลงนามในสัญญาให้บริการระบบรับชำระเงินโดยขาดการตรวจสอบเงื่อนไขทางกฎหมาย อาจส่งผลกระทบต่อการดำเนินธุรกิจดังนี้:

• ร้านค้าถูกกักเงินในบัญชี Settlement หลักสิบล้านเพราะข้อพิพาท Chargeback: ข้อสัญญามาตรฐานมักให้อำนาจผู้ให้บริการสั่งระงับ (Hold) การโอนเงินรายได้ทั้งหมดทันทีเมื่อเกิดอัตราการปฏิเสธชำระเงินสูงเกินเกณฑ์ ส่งผลกระทบต่อสภาพคล่องทางการเงินของร้านค้า
• ระบบ Gateway ล่มในวันแคมเปญใหญ่ จนสูญเสียยอดขายมหาศาล: แม้สัญญามิได้กำหนด Service Level Agreement (SLA) และค่าชดเชยความเสียหาย (Penalty/Service Credit) ไว้ หากผู้ให้บริการไม่ชำระหนี้ให้ต้องตามความประสงค์อันแท้จริงแห่งมูลหนี้ ร้านค้ายังเรียกค่าสินไหมทดแทนได้ตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 215 ภายในขอบเขตของมาตรา 222 คือความเสียหายเช่นที่ตามปกติย่อมเกิดขึ้นแต่การไม่ชำระหนี้ และความเสียหายอันเกิดแต่พฤติการณ์พิเศษหากคู่กรณีได้คาดเห็นหรือควรจะได้คาดเห็นพฤติการณ์นั้นล่วงหน้า แต่เมื่อไม่มี SLA ร้านค้าจะพิสูจน์ได้ยากว่าผู้ให้บริการไม่ชำระหนี้ตามสัญญาและความเสียหายมีจำนวนเท่าใด ทั้งสิทธินั้นยังอาจถูกจำกัดโดยข้อสัญญาจำกัดความรับผิด แต่ข้อสัญญาดังกล่าวเป็นโมฆะในส่วนที่ยกเว้นความรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของผู้ให้บริการเองตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 อย่างไรก็ดี มาตรา 373 ไม่ใช้บังคับแก่ความผิดของบุคคลที่ผู้ให้บริการใช้ในการชำระหนี้ตามมาตรา 220 สำหรับส่วนที่ไม่เป็นโมฆะ ข้อสัญญานั้นมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณีตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 8 วรรคสอง รวมทั้งมาตรา 4 หากเป็นสัญญาสำเร็จรูป
• ข้อพิพาทค่าธรรมเนียม MDR แฝง: การคิดค่าธรรมเนียม Merchant Discount Rate (MDR) ที่ไม่มีการระบุโครงสร้างชัดเจน รวมถึงค่าธรรมเนียมย้อนหลังจากการปรับเกณฑ์ของ Card Networks

กรอบกฎหมายและ Claim Ledger Legal Framework

วิเคราะห์ System Availability SLA และการันตี Authorization Processing Speed

ข้อตกลงระดับการให้บริการ (Service Level Agreement - SLA) เป็นส่วนสำคัญของสัญญา Payment Gateway เพื่อรักษาความต่อเนื่องทางธุรกิจ

• Uptime Standard: ควรเสนอให้กำหนด System Availability ไว้ไม่ต่ำกว่า 99.95% ต่อเดือน (ไม่รวม Scheduled Maintenance ที่แจ้งล่วงหน้าไม่น้อยกว่า 7 วัน และต้องทำในช่วงเวลาที่มีปริมาณการใช้บริการต่ำ)
• Latency & Authorization Speed: ควรเสนอให้กำหนดระยะเวลาประมวลผล (API Response Time) ไม่เกิน 2 วินาที สำหรับการส่งคำขออนุมัติรายการ (Authorization Request)
• Service Credit Mechanics: หาก Uptime ต่ำกว่าเกณฑ์ที่กำหนด ให้หักลดค่าธรรมเนียมบริการ (MDR Fee Credit) ในเดือนถัดไปตามอัตราส่วนขั้นบันได

[System Availability ต่อเดือน]

├── >= 99.95% ---> บริการปกติ (No Credit)

├── 99.00% - 99.94% ---> หักส่วนลดค่าบริการ 10% ของ MDR ในเดือนนั้น

├── 95.00% - 98.99% ---> หักส่วนลดค่าบริการ 25% ของ MDR ในเดือนนั้น

└── < 95.00% ---> หักส่วนลดค่าบริการ 50% และร้านค้ามีสิทธิเลิกสัญญาได้ทันที

ตัวเลข Uptime ระยะแจ้งบำรุงรักษาล่วงหน้า เวลาตอบสนอง และอัตราส่วนลดข้างต้นเป็นข้อเสนอเริ่มต้นในการเจรจา และตามที่ตรวจได้ในขณะนี้มิใช่ข้อบังคับที่ตัวบทของกฎหมายไทยกำหนด เว้นแต่จะยืนยันได้ว่าประกาศของธนาคารแห่งประเทศไทยบังคับไว้ [ต้องยืนยันแหล่งที่มา]

ข้อสัญญาที่ทำไว้ล่วงหน้าเพื่อยกเว้นหรือจำกัดความรับผิด รวมทั้ง Service Credit ที่กำหนดให้เป็นการเยียวยาเพียงอย่างเดียว หากไม่เป็นโมฆะ มีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณีตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 8 วรรคสอง ไม่ว่าจะอยู่ในสัญญาสำเร็จรูปหรือไม่ และหากเป็นสัญญาสำเร็จรูปตามบทนิยามในมาตรา 3 ข้อตกลงยกเว้นหรือจำกัดความรับผิดที่เกิดจากการผิดสัญญายังเป็นข้อตกลงที่อาจถือได้ว่าทำให้ผู้กำหนดสัญญาได้เปรียบตามมาตรา 4 วรรคสาม (1) โดยศาลพิเคราะห์ถึงพฤติการณ์ทั้งปวงตามมาตรา 10 ด้วยเหตุนี้ สัญญาจึงควรระบุให้ชัดว่า Service Credit เป็นการเยียวยาเพียงอย่างเดียวหรือไม่ เพราะข้อนี้ชี้ขาดว่าร้านค้าเรียกค่าสินไหมทดแทนตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 215 เพิ่มเติมได้หรือไม่ นอกจากนี้ หาก Service Credit มีลักษณะเป็นเบี้ยปรับตามมาตรา 379 ศาลลดได้ตามมาตรา 383 หากสูงเกินส่วน

กลไก Chargeback Handling และการย้ายความรับผิดด้วยมาตรฐาน 3-D Secure 2.0 Liability Shift

การปฏิเสธชำระเงิน (Chargeback) เกิดขึ้นเมื่อผู้ถือบัตรแจ้งต่อธนาคารผู้ออกบัตรว่าไม่ได้ทำรายการหรือได้รับสินค้าไม่ถูกต้อง 3-D Secure 2.0 Liability Shift

───────────────────────────────

[ผู้ถือบัตรทำรายการ] ──► [ยืนยันตัวตนด้วย OTP/Biometric] ──► [ระบบประมวลผลสำเร็จ]

│

(เกิดกรณี Fraud/บัตรถูกขโมย)

│

▼

[Liability Shift สู่ธนาคารผู้ออกบัตร]

(ร้านค้าได้รับคุ้มครอง ไม่ถูกดึงเงินคืน)

1. 3-D Secure Protocol: สัญญาต้องระบุให้ระบบรองรับ 3-D Secure 2.0 (EMV 3DS) เพื่อยืนยันตัวตนผู้ถือบัตรด้วย OTP หรือ Biometric Data
2. Liability Shift Rule: หากสัญญารับเอากติกาการย้ายความรับผิดของเครือข่ายบัตรไว้ และรายการรับชำระเงินผ่านการยืนยันตัวตนด้วย 3-D Secure แล้ว ภาระความรับผิดกรณี Chargeback ประเภทฉ้อโกงหรือผู้ถือบัตรปฏิเสธว่าไม่ได้ทำรายการ (Fraudulent Transaction) จะย้ายจากร้านค้าไปเป็นของธนาคารผู้ออกบัตร (Issuing Bank) ตามเงื่อนไขของกติกานั้น [ต้องยืนยันแหล่งที่มา] ทั้งนี้ การย้ายความรับผิดมักครอบคลุมเฉพาะ Chargeback ประเภทดังกล่าว มิใช่ทุกกรณี
3. Dispute Window & Evidence Submission: สัญญาต้องกำหนดระยะเวลาให้ร้านค้าโต้แย้งข้อพิพาท Chargeback ไม่น้อยกว่า 10-14 วันทำการ นับแต่วันที่ได้รับแจ้ง (เป็นข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา]) พร้อมระบุเอกสารหลักฐานที่ยอมรับได้ (เช่น หลักฐานการจัดส่งสินค้าจากผู้ให้บริการขนส่ง)

การควบคุมเงินประกัน Rolling Reserve, Minimum Balance Hold และกำหนดเวลาโอนเงินสุทธิ Settlement Cut-off

ผู้ให้บริการ Payment Gateway มักใช้กลไกทางสัญญาเพื่อกักเงินรายได้ของร้านค้าไว้ป้องกันความเสี่ยง

• Rolling Reserve: การหักเงินรายได้ในอัตราร้อยละที่แน่นอน (เช่น 5% - 10%) จากยอดขายแต่ละวัน และกักไว้เป็นระยะเวลาที่กำหนด (เช่น 90 ถึง 180 วัน ซึ่งเป็นตัวเลขตัวอย่างสำหรับการเจรจา และตามที่ตรวจได้ในขณะนี้มิใช่เกณฑ์ที่ตัวบทของกฎหมายไทยกำหนด เว้นแต่จะยืนยันได้ว่าประกาศของธนาคารแห่งประเทศไทยบังคับไว้ [ต้องยืนยันแหล่งที่มา]) สัญญาที่ดีต้องกำหนดให้ปลดล็อกเงินคืนตามรอบระยะเวลาโดยอัตโนมัติ
• Settlement Timeline (T+N): รอบการโอนเงินเข้าบัญชีร้านค้า เช่น T+1 (วันทำการถัดไป) หรือ T+3 สัญญาต้องระบุเวลา Cut-off Time ที่ชัดเจน
• Interest on Delayed Settlement: หากผู้ให้บริการโอนเงินล่าช้ากว่ากำหนด T+N โดยไม่มีเหตุอันชอบด้วยกฎหมาย ผู้ให้บริการต้องเสียดอกเบี้ยระหว่างเวลาผิดนัดตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 224 ในอัตราตามมาตรา 7 บวกด้วยอัตราเพิ่มร้อยละสองต่อปี ซึ่งตามตัวบทปัจจุบันเท่ากับร้อยละห้าต่อปี เว้นแต่คู่สัญญาได้ตกลงอัตราที่สูงกว่านั้นไว้โดยชอบด้วยกฎหมาย อัตราตามมาตรา 7 อาจถูกปรับเปลี่ยนโดยพระราชกฤษฎีกา จึงต้องตรวจอัตราที่ใช้บังคับก่อนกำหนดข้อสัญญา [ต้องยืนยันแหล่งที่มา: พระราชกฤษฎีกาปรับอัตราดอกเบี้ยตามมาตรา 7 ฉบับล่าสุด]

การหักกลบลบหนี้ Chargeback กับยอดโอนงวดถัดไป เกณฑ์การระงับบัญชี และการแจ้งก่อนกักเงินเพิ่ม

ผู้ให้บริการมักกำหนดให้หักเงิน Chargeback จากยอดโอนงวดถัดไปของร้านค้าโดยอัตโนมัติ ข้อสัญญาเช่นนี้มีผลตามเจตนาของคู่สัญญาตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 341 วรรคสอง แต่ยกขึ้นต่อสู้บุคคลภายนอกผู้กระทำการโดยสุจริตไม่ได้ ส่วนการหักกลบลบหนี้ตามมาตรา 341 วรรคหนึ่ง หนี้ทั้งสองรายต้องมีวัตถุอย่างเดียวกันและถึงกำหนดชำระ หักได้เพียงเท่าจำนวนที่ตรงกัน เว้นแต่สภาพแห่งหนี้จะไม่เปิดช่องให้หักกลบลบกันได้ โดยฝ่ายหนึ่งแสดงเจตนาแก่อีกฝ่ายตามมาตรา 342 และทำไม่ได้กับสิทธิเรียกร้องที่ยังมีข้อต่อสู้อยู่ตามมาตรา 344 ร้านค้าจึงควรกำหนดกลไกโต้แย้ง Chargeback ไว้ในสัญญา และกำหนดลำดับการหักระหว่างยอดโอนกับเงินสำรองให้ชัดเจน เพราะเงินสำรองมีไว้เพื่อประกันหนี้ประเภทนี้อยู่แล้ว ขณะที่การหักจากยอดโอนกระทบสภาพคล่องของร้านค้าทันที หนี้ที่นำมาหักกลบต้องเป็นหนี้ระหว่างคู่สัญญาเดียวกัน จึงต้องตรวจข้อสัญญาที่ให้หักเงินในบัญชีอื่นที่ผูกไว้

ผู้ให้บริการมักอ้างเกณฑ์ความสงสัยอันสมควรเพื่อระงับบัญชี เกณฑ์ที่พบโดยทั่วไป ได้แก่ อัตรา Chargeback เกินเกณฑ์ที่สัญญากำหนดซึ่งควรระบุให้ชัดว่านับจากจำนวนรายการหรือจากมูลค่า [ต้องยืนยันแหล่งที่มา] ยอดขายเพิ่มขึ้นผิดปกติโดยไม่มีเหตุทางการตลาดรองรับ รายการจากต่างประเทศที่มีความเสี่ยงสูงเป็นจำนวนมาก และข้อมูลการรู้จักลูกค้า (KYC) ของร้านค้าไม่เป็นปัจจุบันหรือน่าสงสัย ผู้ให้บริการมีหน้าที่ตามพระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 [ต้องยืนยันมาตรา] ในการตรวจสอบลูกค้าและรายงานธุรกรรมที่มีเหตุอันควรสงสัย ส่วนการระงับธุรกรรมโดยอาศัยข้อสัญญาเป็นสิทธิที่ต้องมีข้อสัญญารองรับ ผู้ให้บริการอาจอ้างว่าตนต้องบริหารความเสี่ยงตามพระราชบัญญัติระบบการชำระเงิน พ.ศ. 2560 มาตรา 24 และประกาศของธนาคารแห่งประเทศไทย [ต้องยืนยันแหล่งที่มา] แต่สิทธิของผู้ให้บริการที่จะกักเงินของร้านค้ายังต้องมีฐานจากข้อสัญญา

ก่อนกักเงินเพิ่มหรือระงับบัญชี สัญญาควรกำหนดให้ผู้ให้บริการแจ้งเป็นลายลักษณ์อักษรล่วงหน้าตามระยะเวลาที่ตกลงกัน (ข้อเสนอเริ่มต้น เช่น ไม่น้อยกว่าสามวันทำการ [ต้องยืนยันแหล่งที่มา]) กำหนดจำนวนเงินสำรองสูงสุดเป็นตัวเลขที่แน่นอน และกำหนดวันคืนเงินสำรองไว้ในสัญญา ผู้ให้บริการระงับบัญชีได้เท่าที่ข้อสัญญาให้สิทธิไว้ และต้องใช้สิทธิโดยสุจริตตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 5 การใช้สิทธิซึ่งมีแต่จะให้เกิดเสียหายแก่ร้านค้าเป็นการอันมิชอบด้วยกฎหมายตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 421 และการกักเงินเกินสิทธิตามสัญญาเป็นการไม่ชำระหนี้ ร้านค้าจึงเรียกค่าสินไหมทดแทนได้ตามมาตรา 215 ภายในขอบเขตของมาตรา 222

LAS Practice Note: การออกแบบข้อสัญญา Merchant Protection, Security Incident Indemnity และเงื่อนไขการเลิกสัญญาแบบทันที

1 ข้อสัญญาคุ้มครองร้านค้า (Merchant Protection Clause)

"ผู้ให้บริการตกลงว่า ในกรณีที่การปฏิเสธชำระเงิน (Chargeback) ประเภทฉ้อโกงหรือผู้ถือบัตรปฏิเสธว่าไม่ได้ทำรายการ เกิดขึ้นจากรายการที่ผ่านการอนุมัติระบบ 3-D Secure เรียบร้อยแล้วตามเงื่อนไขของกติกาการย้ายความรับผิดของเครือข่ายบัตร ผู้ให้บริการไม่มีสิทธิหักเงิน หักทบ หรือเรียกร้องให้ร้านค้าชำระเงินคืนสำหรับรายการดังกล่าว และต้องทำการ Settlement เงินรายได้ให้แก่ร้านค้าตามกำหนดเวลาปกติ"

ข้อสัญญานี้ควรอ้างอิงเงื่อนไขของกติกาเครือข่ายบัตรที่ใช้บังคับ ณ วันทำสัญญา เพราะกติกาดังกล่าวเป็นกฎของเอกชน และตามที่ตรวจได้ในขณะนี้มิใช่กติกาที่ตัวบทของกฎหมายไทยกำหนด เว้นแต่จะยืนยันได้ว่าประกาศของธนาคารแห่งประเทศไทยบังคับไว้ [ต้องยืนยันแหล่งที่มา]

2 ข้อสัญญาความรับผิดกรณีความไม่ปลอดภัยของข้อมูล (Security Incident Indemnity)

"หากเกิดเหตุการณ์ข้อมูลรั่วไหล (Data Breach) หรือการละเมิดระบบความปลอดภัยอันเนื่องมาจากความบกพร่องของผู้ให้บริการ หรือการไม่ปฏิบัติตามมาตรฐาน PCI-DSS ผู้ให้บริการตกลงจะชดใช้ค่าเสียหายเต็มจำนวนที่เกิดขึ้นแก่ร้านค้า รวมถึงค่าปรับจากหน่วยงานกำกับดูแล ค่าธรรมเนียม Card Networks และค่าใช้จ่ายในการเยียวยาผู้บริโภค"

ข้อสัญญานี้เป็นข้อเสนอสำหรับการเจรจา มิใช่ผลโดยตรงของตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 กำหนดหน้าที่รักษาความมั่นคงปลอดภัยและแจ้งเหตุละเมิด แต่มิได้กำหนดให้ผู้ให้บริการชดใช้ค่าเสียหายแก่ร้านค้า การชดใช้ ค่าปรับจากเครือข่ายบัตร และการรับรองมาตรฐาน PCI-DSS จึงต้องกำหนดไว้ในสัญญา ก่อนกำหนดข้อสัญญา ร้านค้าต้องวิเคราะห์ว่าผู้ให้บริการเป็นผู้ควบคุมข้อมูลส่วนบุคคลหรือผู้ประมวลผลข้อมูลส่วนบุคคลสำหรับข้อมูลบัตรและข้อมูลผู้ซื้อ ผู้ควบคุมข้อมูลมีหน้าที่แจ้งเหตุละเมิดแก่สำนักงานโดยไม่ชักช้าภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะกระทำได้ตามมาตรา 37 (4) และเมื่อมีการส่งหรือโอนข้อมูลไปยังเครือข่ายบัตรหรือธนาคารในต่างประเทศ ต้องพิจารณามาตรา 28 และมาตรา 29 ด้วย

3 เงื่อนไขการเลิกสัญญาแบบทันที (Immediate Termination Clause)

"ร้านค้ามีสิทธิบอกเลิกสัญญานี้ได้ทันทีโดยไม่ต้องบอกกล่าวล่วงหน้า หากปรากฏว่า: (ก) ผู้ให้บริการถูกเพิกถอนหรือระงับสถานะหรือใบอนุญาตที่ต้องมีตามพระราชบัญญัติระบบการชำระเงิน พ.ศ. 2560 มาตรา 17 หรือ (ข) ผู้ให้บริการไม่สามารถรักษา System Availability ให้อยู่ในระดับไม่ต่ำกว่า 95.00% ภายในรอบเดือนใดเดือนหนึ่ง"

สิทธิเลิกสัญญาทันทีเป็นสิทธิโดยข้อสัญญาตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 386 ซึ่งต้องแสดงเจตนาแก่อีกฝ่ายหนึ่งและถอนไม่ได้ หากสัญญามิได้กำหนดไว้ การเลิกสัญญาเพราะผู้ให้บริการไม่ชำระหนี้ต้องกำหนดระยะเวลาพอสมควรแล้วบอกกล่าวให้ชำระหนี้ภายในระยะเวลานั้นก่อนตามมาตรา 387 เว้นแต่เข้ากรณีตามมาตรา 388 เมื่อเลิกสัญญาแล้ว คู่สัญญาแต่ละฝ่ายต้องให้อีกฝ่ายหนึ่งกลับคืนสู่ฐานะดังที่เป็นอยู่เดิมตามมาตรา 391 โดยไม่กระทบสิทธิเรียกร้องค่าเสียหาย ส่วนหากสัญญาสำเร็จรูปมีข้อให้ผู้ให้บริการบอกเลิกสัญญาได้โดยร้านค้ามิได้ผิดสัญญาในข้อสาระสำคัญ ข้อนั้นเป็นข้อตกลงที่อาจถือได้ว่าทำให้ผู้ให้บริการได้เปรียบตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 วรรคสาม (3) และหากเป็นการได้เปรียบร้านค้าเกินสมควร ข้อนั้นเป็นข้อสัญญาที่ไม่เป็นธรรมและมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณี โดยพิเคราะห์พฤติการณ์ทั้งปวงตามมาตรา 10

ข้อต่อสู้ของผู้ให้บริการ Payment Gateway กับร้านค้าพาณิชย์อิเล็กทรอนิกส์ Devil's Advocate

┌──────────────────────────────────────────────┬──────────────────────────────────────────────┐

│ ข้อต่อสู้ฝั่งผู้ให้บริการ Payment Gateway │ ข้อโต้แย้งฝั่งร้านค้าพาณิชย์อิเล็กทรอนิกส์ │

├──────────────────────────────────────────────┼──────────────────────────────────────────────┤

│ 1. จำเป็นต้องกัก Rolling Reserve 10% │ 1. ต้องมีเพดานวงเงินประกันสูงสุด (Cap) และ │

│ เนื่องจากร้านค้ามีความเสี่ยงสูงในการเกิด │ กำหนดระยะเวลาปลดคืนเงินอย่างชัดเจน ไม่ใช่ │

│ Chargeback จากผู้ซื้อ │ การกักเงินไว้โดยไม่มีกำหนด │

├──────────────────────────────────────────────┼──────────────────────────────────────────────┤

│ 2. ไม่สามารถรับประกัน Uptime 100% ได้ │ 2. ยอมรับ Uptime 99.95% แต่หากระบบล่ม │

│ เนื่องจากขึ้นอยู่กับโครงสร้าง Card Networks │ ต้องมี Service Credit ชดเชย และยกเว้น │

│ และสัญญาณอินเทอร์เน็ต │ ความรับผิดเฉพาะกรณี Force Majeure จริง ๆ │

├──────────────────────────────────────────────┼──────────────────────────────────────────────┤

│ 3. มีสิทธิระงับการ Settlement ได้ทันทีเมื่อ │ 3. การระงับการโอนเงินต้องทำเฉพาะรายการที่มี │

│ สงสัยว่าเกิด Fraud Transaction │ เหตุสงสัยสมควร ไม่ใช่การกักบัญชี Settlement │

│ │ ทั้งหมดของร้านค้า │

└──────────────────────────────────────────────┴──────────────────────────────────────────────┘

ตัวเลขในตารางข้างต้น (เช่น เงินสำรองร้อยละ 10 และ Uptime 99.95%) เป็นข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา] ทั้งนี้ การกักเงินหรือระงับการโอนตามข้อสัญญามิใช่การอายัด เพราะการอายัดเป็นมาตรการบังคับโดยอำนาจตามกฎหมายของเจ้าหน้าที่หรือศาล

ตัวอย่างสถานการณ์จำลอง Worked Example

บริบท

แพลตฟอร์มอีคอมเมิร์ซรายหนึ่ง มียอดขายรวมเดือนละ 50 ล้านบาท เกิดคลื่นการโจรกรรมนำบัตรเครดิตฉ้อโกงมาทดลองซื้อสินค้า (Card-Testing & Fraud Analysis) ผู้ให้บริการ Payment Gateway สั่งระงับการโอนเงิน Settlement ยอด 15 ล้านบาท พร้อมสั่งปรับเพิ่มอัตรา Rolling Reserve จาก 5% เป็น 20% โดยอ้างดุลพินิจในการบริหารความเสี่ยงของตน ทั้งที่ข้อสัญญามาตรฐานของผู้ให้บริการไม่มีข้อให้ปรับอัตราฝ่ายเดียว

การวิเคราะห์และการดำเนินกลยุทธ์ทางกฎหมาย

1. การตรวจสอบรายการ 3-D Secure: ตรวจสอบพบว่า รายการชำระเงินจำนวน 12 ล้านบาท จากยอด 15 ล้านบาท ผ่านการอนุมัติ 3-D Secure 2.0 (OTP) เรียบร้อยแล้ว หากสัญญารับเอากติกา Liability Shift ของเครือข่ายบัตรไว้ ภาระความเสี่ยงกรณี Fraud ของยอด 12 ล้านบาทจึงเป็นของธนาคารผู้ออกบัตร [ต้องยืนยันแหล่งที่มา] ผู้ให้บริการจึงไม่มีเหตุกักเงินจำนวนนี้เพื่อประกัน Chargeback ประเภทดังกล่าว ร้านค้ามีสิทธิเรียกร้องให้ปล่อยเงิน Settlement จำนวนดังกล่าวตามสัญญา ส่วนการระงับ Settlement เพราะสงสัยการฉ้อโกงซึ่งยังไม่มี Chargeback เกิดขึ้นนั้น ผู้ให้บริการต้องมีข้อสัญญารองรับและต้องใช้สิทธิโดยสุจริต
2. การโต้แย้งการปรับเพิ่ม Rolling Reserve: ผู้ให้บริการไม่สามารถปรับเพิ่ม Rolling Reserve เป็น 20% ได้โดยลำพัง เนื่องจากข้อสัญญามาตรฐานของผู้ให้บริการไม่มีข้อให้ปรับอัตราฝ่ายเดียว (Unilateral Amendment) การเปลี่ยนข้อสัญญาต้องได้รับความตกลงของคู่สัญญา และหากสัญญาสำเร็จรูปมีข้อให้ผู้ให้บริการปรับอัตราได้ฝ่ายเดียว ข้อนั้นเป็นข้อตกลงที่อาจถือได้ว่าทำให้ผู้ให้บริการได้เปรียบตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 วรรคสาม (5) และหากเป็นการได้เปรียบร้านค้าเกินสมควร ข้อนั้นเป็นข้อสัญญาที่ไม่เป็นธรรมและมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณี โดยพิเคราะห์พฤติการณ์ทั้งปวงตามมาตรา 10
3. ผลลัพธ์การเจรจา: ผู้ให้บริการยอมปลดล็อกเงิน Settlement จำนวน 12 ล้านบาททันที ส่วนยอด 3 ล้านบาทที่ไม่ได้ผ่าน 3-D Secure ให้เข้าสู่กระบวนการ Dispute Resolution ตามระยะเวลา 14 วันทำการตามที่สัญญากำหนด พร้อมคงอัตรา Rolling Reserve ไว้ที่ 5% ตามเดิม

Checklist 10 จุดตรวจสัญญา Payment Gateway & Merchant Acquiring Agreement

• 1. License Verification: ผู้ให้บริการมีสถานะที่ถูกต้องตามประเภทบริการ (ใบอนุญาตหรือการขึ้นทะเบียน) ตามพระราชบัญญัติระบบการชำระเงิน พ.ศ. 2560 มาตรา 16 และมาตรา 17 ครบถ้วน
• 2. PCI-DSS Compliance: ระบุให้ผู้ให้บริการปฏิบัติตามมาตรฐาน PCI-DSS ซึ่งเป็นมาตรฐานเอกชนของอุตสาหกรรมบัตร พร้อมหลักฐานการรับรองและระดับที่ใช้กับผู้ให้บริการ [ต้องยืนยันแหล่งที่มา] และระบุความรับผิดชอบกรณี Data Breach ไว้ในสัญญา
• 3. System Uptime SLA: กำหนด Uptime ไม่ต่ำกว่า 99.95% (ข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา]) พร้อมโครงสร้าง Service Credit ที่ชัดเจน
• 4. Processing Latency: กำหนดระยะเวลาตอบสนอง API Authorization ไม่เกิน 2 วินาที (ข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา])
• 5. 3-D Secure Liability Shift: มีข้อระบุชัดเจนว่าเมื่อรายการผ่าน 3DS ให้ Liability Shift สำหรับ Chargeback ประเภทฉ้อโกงหรือผู้ถือบัตรปฏิเสธว่าไม่ได้ทำรายการตกเป็นของผู้ออกบัตร ตามเงื่อนไขของกติกาเครือข่ายบัตรที่สัญญารับเอาไว้ [ต้องยืนยันแหล่งที่มา]
• 6. Rolling Reserve Cap: กำหนดอัตรา Rolling Reserve ไม่เกิน 5-10% และกักไว้ไม่เกิน 90-180 วัน (ข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา]) พร้อมระบุลักษณะของเงินสำรองว่าเป็นหลักประกัน เบี้ยปรับ หรือมัดจำ
• 7. Settlement Schedule: ระบุรอบการโอนเงิน (T+N) และ Cut-off Time ที่แน่นอน พร้อมดอกเบี้ยผิดนัด
• 8. Chargeback Dispute Window: มีระยะเวลาให้ร้านค้ายื่นหลักฐานสู้คดี Chargeback ไม่น้อยกว่า 10 วันทำการ (ข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา])
• 9. Fee Structure Transparency: ระบุค่าธรรมเนียม MDR และค่าบริการอื่น ๆ ไว้ชัดเจน ไม่มีค่าธรรมเนียมแฝง
• 10. Termination Rights: ร้านค้ามีสิทธิบอกเลิกสัญญาได้ทันทีโดยข้อสัญญา (ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 386) หากผู้ให้บริการถูกเพิกถอนหรือระงับสถานะหรือใบอนุญาต หรือระบบล่มร้ายแรง

คำถามที่พบบ่อย Frequently Asked Questions