È sicuro collegare un’app per il budget alla banca?

In breve: sì, se l’app si collega tramite PSD2, le regole europee per l’open banking. Con un collegamento PSD2, un’app per il budget non vede la password della tua banca. Riceve un accesso in sola lettura che approvi presso la banca e non può spostare il tuo denaro. Il collegamento passa attraverso fornitori autorizzati e sottoposti alla vigilanza delle autorità finanziarie. Questo vale per qualsiasi app costruita in questo modo, non solo per la nostra. La vera domanda non è se una connessione bancaria possa essere sicura. È se l’app che hai davanti gestisce correttamente la connessione.

È la domanda che riceviamo più spesso in Bilance, un’app per il budget creata per le banche europee che automatizza il collegamento e categorizza la maggior parte delle transazioni. Ecco quindi una risposta generale e trasparente.

Cosa succede quando colleghi una banca

Con un collegamento PSD2, “dare a un’app accesso alla banca” funziona così:

1. Scegli la tua banca dentro l’app.
2. L’app ti porta alla pagina di accesso della banca, nell’app bancaria o sul suo sito. Le credenziali vengono inviate alla banca e solo alla banca.
3. La banca ti chiede di approvare l’accesso in sola lettura ai conti che scegli.
4. La banca fornisce all’app un token con durata limitata: un’autorizzazione, non una chiave.

L’app può quindi leggere le transazioni e i saldi dei conti che hai approvato. Nient’altro.

Cosa può andare storto e cosa no

Per come è progettato, un accesso alle informazioni sul conto non consente queste azioni:

• Non può spostare o spendere il tuo denaro. Leggere i dati del conto e avviare pagamenti sono due servizi distinti secondo la PSD2 (articoli 66 e 67) e l’accesso in lettura da solo non autorizza mai un pagamento.
• Non può esporre la password della banca, perché l’app non l’ha mai ricevuta.
• Non può raggiungere conti che non hai approvato.
• Non dura per sempre. La banca deve chiederti di autenticarti di nuovo quando sono passati più di 180 giorni (Regolamento (UE) 2022/2360). A seconda della banca e del fornitore della connessione può succedere prima, anche ogni 90 giorni circa. Finché non confermi, la sincro si ferma.

Quello che può andare storto è simile a qualsiasi altro servizio online: l’azienda che conserva i dati delle tue transazioni potrebbe proteggerli male o usarli in modi che non apprezzi. L’accesso in sola lettura limita molto ciò che una connessione compromessa può fare, ma il fornitore, il token di accesso e l’azienda che conserva i dati devono comunque adottare misure di sicurezza adeguate. Molto dipende da chi gestisce il servizio e da come guadagna. La lista qui sotto serve proprio a valutarlo.

Un segnale d’allarme: alcune app esterne al sistema PSD2 ti chiedono di inserire direttamente la password bancaria, così possono accedere al conto al posto tuo. È il vecchio modello, meno sicuro. Se un’app ti chiede la password della banca invece di indirizzarti alla banca stessa, non usarla.

Cosa controllare in qualsiasi app per il budget

1. Usa l’open banking secondo PSD2? Dovresti essere indirizzato alla tua banca per approvare l’accesso. L’app non dovrebbe chiederti la password bancaria.
2. L’accesso è in sola lettura? La schermata di approvazione della banca mostra esattamente cosa stai autorizzando. Dovrebbe trattarsi solo di informazioni sul conto.
3. Chi è il fornitore regolamentato? Un’app seria indica i fornitori autorizzati che gestiscono le connessioni. Controlla l’informativa sulla privacy. Quelli usati da Bilance sono indicati nella nostra informativa sulla privacy, mentre il funzionamento di autorizzazioni e vigilanza è spiegato in PSD2 in parole semplici.
4. Come guadagna l’app? Se non stai pagando, il prodotto potrebbero essere i tuoi dati. Un modello spiegato chiaramente è un buon segnale. Un abbonamento riduce alcuni incentivi legati a pubblicità e commissioni, ma devi comunque controllare privacy e sicurezza.
5. Puoi andartene senza problemi? Cerca una spiegazione chiara di cosa succede quando elimini l’account e per quanto tempo vengono conservati i backup.

Come risponde Bilance a queste domande

Per trasparenza, ecco le nostre risposte. Bilance si collega tramite PSD2 a 2,300+ banche in Europa (trova la tua), con accesso in sola lettura e attraverso fornitori regolamentati indicati nella nostra informativa sulla privacy. Guadagniamo dagli abbonamenti, ed è per questo che in Bilance non c’è pubblicità. Quando elimini l’account, i dati vengono cancellati. I backup vengono conservati per 7 days per garantire l’integrità dei dati e poi eliminati definitivamente. Trovi tutti i dettagli nella nostra pagina sulla sicurezza, mentre come funziona la sincro bancaria spiega ogni passaggio.

Qualunque app tu scelga, la connessione bancaria tramite PSD2 non è il rischio principale. Il vero rischio è affidarsi a un’azienda che non sa rispondere chiaramente alle cinque domande qui sopra.