¿Puedo recibir pagos con tarjeta sin terminal a mi nombre?

Introducción: el problema del "terminal a mi nombre"

Cuando un comerciante o profesionista independiente pregunta si puede recibir pagos con tarjeta sin contar con una terminal punto de venta (TPV) registrada a su nombre, está tocando simultáneamente tres capas de regulación: la regulación financiera que gobierna quién puede procesar transacciones de pago, la regulación fiscal que determina cómo se declaran esos ingresos, y los contratos de marca (Visa, Mastercard) que establecen las reglas de aceptación. Comprender estas capas es indispensable para operar de forma legal y sin riesgo de congelamiento de fondos.

El ecosistema de adquirencia y el modelo de agregación

En la arquitectura del sistema de pagos con tarjeta, el adquirente (acquirer) es la institución financiera que mantiene la relación contractual con las redes de tarjetas (Visa, Mastercard) y liquida los fondos al comercio. Históricamente, solo los negocios con un contrato de afiliación directa con un adquirente recibían una TPV registrada a su nombre. Sin embargo, desde la proliferación de las instituciones de tecnología financiera (ITF), reguladas en México por la Ley para Regular las Instituciones de Tecnología Financiera (Ley Fintech, D.O.F. 9 de marzo de 2018), surgió el modelo de agregación de pagos.

En el modelo agregador, una empresa habilitada —Clip, Sr. Pago, Conekta, Openpay, entre otras— actúa como merchant of record (comercio registrado) ante las redes. El comerciante final es un sub-merchant o comercio sub-afiliado. Esto significa que, técnicamente, los pagos no fluyen "a tu nombre" ante la red, sino a través del agregador, quien te liquida el neto después de su comisión. La Comisión Nacional Bancaria y de Valores (CNBV) y el Banco de México (Banxico) supervisan estas relaciones conforme a las disposiciones aplicables de la Ley Fintech y la Ley de Instituciones de Crédito.

Modalidades disponibles sin TPV propia

Existen varias alternativas operativas, cada una con implicaciones regulatorias y fiscales distintas:

• Lectores móviles (mPOS): dispositivos como los de Clip o iZettle/Zettle que se conectan al smartphone. El contrato es con el agregador, no con el banco adquirente directo. No requieren un RFC de persona moral; aceptan persona física con actividad empresarial o profesional.
• Ligas de pago (payment links): URL o código QR generado por la plataforma que dirige al tarjetahabiente a una pasarela de pago. No se requiere hardware. El cobro se aplica al tarjetahabiente en tiempo real y el liquidador abona al comercio en el ciclo acordado (T+1 a T+3 hábiles).
• Tap-to-Phone / Softpay: tecnología NFC que convierte el smartphone del comerciante en terminal de contactless sin hardware adicional. En México se encuentra en etapa de adopción inicial; requiere que el agregador cuente con la certificación EMVCo correspondiente.
• Cobro por referencia bancaria (SPEI + tarjeta como origen): algunas plataformas ofrecen botones de pago que aceptan tarjeta como instrumento de fondeo hacia una CLABE interbancaria. Es técnicamente un cobro con tarjeta aunque el depósito llega vía SPEI.
• Pasarelas integradas en e-commerce: Stripe, Conekta, OpenPay. Requieren integración técnica (API o plugin) y un proceso de KYC (Know Your Customer) ante la plataforma.

Requisitos regulatorios y el proceso KYC

Independientemente del canal, cualquier plataforma que opere bajo la Ley Fintech o bajo autorización de Banxico está obligada a aplicar procesos de debida diligencia en materia de prevención de lavado de dinero, conforme a las disposiciones de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI, comúnmente llamada "Ley Antilavado"). En la práctica esto implica:

• Presentar identificación oficial vigente (INE/IFE o pasaporte).
• Proporcionar RFC con homoclave y, en muchos casos, constancia de situación fiscal actualizada del SAT.
• Declarar la actividad económica y el volumen mensual estimado de transacciones.
• Superar umbrales de transacciones únicas o acumuladas puede activar reportes de operaciones relevantes (ROR) o inusuales ante la Unidad de Inteligencia Financiera (UIF).

El incumplimiento de estos requisitos puede derivar en la suspensión de la cuenta del sub-merchant por parte del agregador, quien tiene responsabilidad directa ante la red y ante las autoridades.

Implicaciones fiscales: CFDI y retenciones

Desde la perspectiva del Servicio de Administración Tributaria (SAT), el ingreso existe en el momento en que la contraprestación es exigible, independientemente del instrumento de cobro. Todo comerciante que reciba pagos con tarjeta —incluso a través de agregador— está obligado a emitir el Comprobante Fiscal Digital por Internet (CFDI) correspondiente. Los agregadores no emiten el CFDI por el comerciante; lo reportan al SAT a través del esquema de retención e información de pagos (CFDI de retención) cuando actúan como intermediarios. Esto no sustituye la obligación del contribuyente.

Adicionalmente, algunas plataformas retienen el IVA trasladado conforme al artículo 1-A de la Ley del Impuesto al Valor Agregado cuando el comerciante es persona física con actividad empresarial en el Régimen Simplificado de Confianza (RESICO) u otros regímenes señalados por la normativa vigente.

Seguridad del dato de tarjeta: PCI DSS

El estándar PCI DSS (Payment Card Industry Data Security Standard), emitido por el PCI Security Standards Council, establece los controles técnicos y operativos para cualquier entidad que almacene, procese o transmita datos de tarjeta. Si el comerciante usa un agregador certificado, la mayor parte de la carga de cumplimiento PCI recae en el agregador. No obstante, si el comerciante captura manualmente datos de tarjeta (por ejemplo, en una hoja de cálculo para procesarlos después), asume directamente el alcance PCI y puede ser sancionado por las redes de tarjetas.

Conclusión operativa

Sí es posible recibir pagos con tarjeta sin una terminal registrada directamente a nombre del comerciante, siempre que se opere bajo un agregador autorizado, se complete el proceso KYC requerido, se cumplan las obligaciones fiscales de emisión de CFDI, y no se manipulen datos de tarjeta fuera de los entornos certificados. El modelo de agregación es legal, ampliamente adoptado y supervisado; su riesgo principal no es regulatorio sino operativo: los fondos pueden retenerse si el agregador detecta patrones de fraude o incumplimiento en el perfil del sub-merchant.

Glosario

• Adquirente (acquirer): institución financiera que celebra contratos de afiliación con comercios y es responsable de la liquidación de transacciones con tarjeta ante las redes de pago.
• Agregador de pagos: empresa que actúa como merchant of record ante el adquirente y agrega a múltiples sub-merchants bajo una sola afiliación, simplificando el acceso al sistema de tarjetas.
• KYC (Know Your Customer): proceso de identificación y verificación del cliente exigido por la normativa antilavado; incluye recopilación de documentos de identidad y evaluación del perfil de riesgo.
• Merchant of record: entidad legalmente responsable ante las redes de tarjetas por las transacciones procesadas; asume la responsabilidad de contracargos y cumplimiento PCI.
• PCI DSS: estándar internacional de seguridad para el manejo de datos de tarjetas de pago, cuyo cumplimiento es obligatorio contractualmente para todo participante del ecosistema.
• CFDI: Comprobante Fiscal Digital por Internet; documento electrónico con validez fiscal emitido conforme al Código Fiscal de la Federación para acreditar ingresos, gastos y retenciones.
• UIF (Unidad de Inteligencia Financiera): unidad de la Secretaría de Hacienda y Crédito Público encargada de recibir, analizar y difundir reportes de operaciones relacionadas con lavado de dinero y financiamiento al terrorismo.
• Tap-to-Phone / Softpay: tecnología que habilita un dispositivo móvil con NFC para actuar como terminal de pago sin contacto, sin hardware adicional, previa certificación EMVCo del software.

Referencias

• Congreso de la Unión. (2018). Ley para Regular las Instituciones de Tecnología Financiera. Diario Oficial de la Federación, 9 de marzo de 2018.
• Congreso de la Unión. (2012). Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita. Diario Oficial de la Federación, 17 de octubre de 2012.
• Congreso de la Unión. (1978, con reformas). Ley del Impuesto al Valor Agregado. Diario Oficial de la Federación.
• Congreso de la Unión. (1981, con reformas). Ley de Instituciones de Crédito. Diario Oficial de la Federación.
• PCI Security Standards Council. (2022). Payment Card Industry Data Security Standard (PCI DSS) v4.0. Recuperado de https://www.pcisecuritystandards.org
• Servicio de Administración Tributaria. (vigente). Resolución Miscelánea Fiscal: disposiciones sobre CFDI y retenciones de plataformas tecnológicas. SAT México.
• Banco de México. (vigente). Circular de sistemas de pagos y disposiciones aplicables a instituciones de fondos de pago electrónico. Banxico.