Ciberseguridad y pasarelas de pago en micro-movilidad: Google Pay, Apple Pay y cumplimiento RGPD

Respuesta directa: la forma segura de procesar pagos en micro-movilidad es no tocar nunca la tarjeta: el cobro inicial se hace vía Stripe (con Apple Pay, Google Pay y 3D Secure/SCA), la tarjeta queda tokenizada, y los cargos posteriores — horas extra, depósitos, penalizaciones, impagos — se ejecutan automáticamente sobre ese token como transacciones iniciadas por el comercio. La plataforma solo guarda datos operativos mínimos, alineados con RGPD.

El mapa de cobros de una operación real

Una flota no cobra "un alquiler": cobra un ecosistema de importes distintos. Así los procesa la pasarela Stripe integrada en Fleet OS:

Por qué la tokenización cambia el perfil de riesgo

Cuando el usuario paga por primera vez, Stripe devuelve un token: una referencia irreversible a la tarjeta que solo funciona con tu cuenta.

• Tu plataforma nunca ve el PAN (número de tarjeta): no hay nada que robar en tu base de datos.
• El cumplimiento PCI DSS recae en Stripe (certificado nivel 1, el máximo).
• Un token filtrado es inútil fuera de tu cuenta de Stripe.

Este es el estándar que un CISO o un DPO esperan encontrar — y la razón por la que "guardamos las tarjetas cifradas en nuestra base de datos" es la respuesta incorrecta en cualquier due diligence.

SCA, PSD2 y el matiz de los cargos off-session

La normativa europea PSD2 exige autenticación reforzada (SCA) — normalmente 3D Secure — en el pago inicial. La pregunta clave de negocio: ¿cómo cobro una penalización horas después, sin el usuario delante?

La respuesta técnica: MIT (Merchant Initiated Transactions). En el primer pago, el usuario acepta las condiciones y autoriza cargos futuros derivados del servicio. Los cobros posteriores se ejecutan sobre el token sin nueva autenticación, dentro del marco PSD2. Stripe lo gestiona de forma nativa; el operador solo define importes y reglas.

Apple Pay y Google Pay: seguridad que además convierte

Los wallets no son solo comodidad:

• Autenticación biométrica (Face ID / huella) en cada pago: más fuerte que un CVC tecleado.
• Criptogramas de un solo uso: ni siquiera Stripe ve la tarjeta real.
• Conversión: en un checkout móvil en la calle, eliminar el tecleo de tarjeta reduce el abandono de forma medible — clave cuando el usuario está de pie junto a la bici.

RGPD: la separación de responsabilidades

• Plataforma (encargado del tratamiento): email, teléfono, historial de uso — alojados en la UE, cifrados en tránsito y en reposo.
• Stripe (procesador de pagos certificado): todos los datos de tarjeta.
• Operador (responsable): define finalidades y conserva el control; ejerce derechos ARCO desde el panel.

Esta separación es la misma que exigen los compliance corporativos en proyectos de movilidad para campus privados.

Checklist de due diligence para decisores

• ¿La plataforma almacena PANs? (La respuesta debe ser no — solo tokens)
• ¿SCA/3DS activo en el pago inicial y MIT documentado para cargos posteriores?
• ¿Retenciones disponibles para depósitos, en lugar de cobros reales?
• ¿Cargos automáticos con evidencia adjunta (GPS, fotos) para disputas?
• ¿Datos operativos alojados en la UE y supresión de usuario disponible?

Conclusión

En pagos, la arquitectura correcta es aburrida: Stripe tokeniza, la normativa se cumple sola y los cargos difíciles (extras, impagos) se cobran sin fricción ni disputas. Si estás evaluando plataformas, contrasta este checklist con la comparativa de software de gestión de flotas 2026 y calcula el impacto de los cobros automáticos en el análisis de ROI.

Preguntas frecuentes

¿Cómo se cobra una hora extra o una penalización sin que el usuario esté presente?

En el primer pago, la tarjeta queda tokenizada en Stripe con el consentimiento del usuario (cargo off-session). Cuando el sistema detecta horas extra, devolución fuera de zona o impago, ejecuta el cargo automáticamente sobre ese token, con el importe y el concepto definidos en las condiciones aceptadas.

¿Es obligatorio pedir un depósito de garantía?

No es obligatorio, y la mejor práctica es evitar cobros reales: se usa una retención (pre-autorización) que bloquea el importe en la tarjeta y se libera automáticamente al devolver la bici en buen estado. El usuario no ve dinero salir de su cuenta y el operador queda cubierto.

¿Qué exige la normativa PSD2/SCA en estos cobros?

La autenticación reforzada (SCA con 3D Secure) se aplica en el pago inicial. Los cargos posteriores off-session (horas extra, penalizaciones) están amparados como transacciones iniciadas por el comercio (MIT) sobre la tarjeta tokenizada, un flujo que Stripe gestiona de forma nativa.

¿Qué datos personales guarda la plataforma y cuáles guarda Stripe?

La plataforma guarda los datos operativos mínimos (email, teléfono, historial de alquileres) alojados en la UE. Los datos de pago (PAN, caducidad, CVC) viven exclusivamente en Stripe, certificado PCI DSS nivel 1; la plataforma solo referencia un token irreversible.