Bên thứ ba cung cấp dịch vụ tài chính (TPP)

TPP là gì?

Third-Party Provider (Nhà cung cấp dịch vụ bên thứ ba) là thực thể được cơ quan quản lý có thẩm quyền cấp phép để kết nối trực tiếp vào tài khoản thanh toán của khách hàng tại ngân hàng thông qua API chuẩn hóa (Open Banking). Khác với đối tác truyền thống, TPP không giữ tiền của khách hàng và phải có sự đồng ý rõ ràng từ khách hàng trước mỗi lần truy cập.

Phân loại TPP theo PSD2

• AISP (Account Information Service Provider): Tổng hợp thông tin tài khoản từ nhiều ngân hàng. Cho phép khách hàng xem toàn bộ tài chính cá nhân trên một ứng dụng duy nhất. Ví dụ: Mint, Tink (được Visa mua lại với 1,8 tỷ EUR năm 2022), Spendee.
• PISP (Payment Initiation Service Provider): Khởi tạo thanh toán trực tiếp từ tài khoản ngân hàng của khách hàng mà không cần thẻ. Ví dụ: Trustly, SOFORT/Klarna, iDEAL (Hà Lan xử lý hơn 1 tỷ giao dịch/năm).
• CBPII (Card-Based Payment Instrument Issuer): Cấp phát thẻ dựa trên tài khoản thanh toán – xác nhận số dư qua API.

Điều kiện cấp phép TPP

• Tại EU: Phải đăng ký với Cơ quan Quản lý Quốc gia (NCA) như FCA (Anh), BaFin (Đức), ACPR (Pháp). Cần vốn tối thiểu từ 50.000 – 125.000 EUR tùy loại dịch vụ (theo PSD2 Article 7-9).
• Giấy phép Passporting: Một khi được cấp phép tại 1 nước EU, TPP có thể hoạt động toàn EEA.
• Tuân thủ SCA, PSD2 RTS, GDPR: Bảo mật dữ liệu, xác thực mạnh, ghi log đầy đủ.

Quyền và nghĩa vụ của TPP

• Quyền: Truy cập tài khoản, khởi tạo thanh toán, hoạt động đa quốc gia, miễn phí cơ sở hạ tầng từ ngân hàng (tại EU).
• Nghĩa vụ: Bảo mật dữ liệu (mã hóa TLS 1.2+, lưu trữ không quá 90 ngày theo EBA RTS), báo cáo sự cố, tách biệt quỹ khách hàng, có chính sách bảo hiểm trách nhiệm nghề nghiệp.

TPP tại Việt Nam

Hiện chưa có khung pháp lý chính thức cho TPP như PSD2, nhưng theo Quyết định 2345/QĐ-NHNN và dự thảo Thông tư hướng dẫn, các fintech như MoMo, ZaloPay, VNPay, Cake by VPBank đang đóng vai trò tương đương AISP/PISP khi tích hợp Open Banking API. Đến cuối 2024, đã có hơn 30 fintech kết nối thành công với cổng Open API của Techcombank, MB, ACB.

Ví dụ thực tế

Khách hàng A sử dụng ứng dụng Spendee (AISP). App yêu cầu khách hàng đăng nhập ngân hàng Vietcombank, xác thực bằng Smart OTP + sinh trắc học (SCA). Sau khi consent, Spendee có thể đọc số dư và giao dịch 90 ngày gần nhất từ 5 ngân hàng khác nhau của khách hàng, tự động phân loại chi tiêu (ăn uống, di chuyển, hóa đơn) và gợi ý ngân sách – tất cả trên một giao diện duy nhất.