Google Pay nie przekazuje casino numeru karty. Transakcja idzie przez token (wirtualny identyfikator płatności), a dane karty zostają po stronie ekosystemu google i banku. Zatwierdzenie płatności wymaga blokady ekranu na telefonie, czyli PIN, hasło albo biometria, więc samo przechwycenie danych logowania do konta casino nie wystarcza do zrobienia wpłaty.
W polskich realiach dochodzi warstwa bankowa: przy karcie podpiętej do Google Pay działa silne uwierzytelnianie klienta zgodne z PSD2, jeśli bank tego wymaga dla danej operacji. Po stronie casino poziom ochrony zależy od praktyk operatora: bezpieczny serwis wymusza 2fa do logowania i wypłat oraz utrzymuje szyfrowanie ssl na całej ścieżce płatności. Google Pay skraca liczbę miejsc, w których krążą dane karty, ale nie zastępuje kontroli limitów w banku ani weryfikacji tożsamości przy wypłatach.
Kasyno widzi głównie dane transakcyjne: kwotę wpłaty w PLN, datę i godzinę, status (zaakceptowana lub odrzucona), identyfikator transakcji oraz użyty kanał płatności jako Google Pay. W panelu kasyna pojawia się też dane konta gracza z rejestracji i weryfikacji: imię i nazwisko, adres, data urodzenia, numer telefonu, e-mail, a przy weryfikacji tożsamości także numer dokumentu i kraj wydania. Kasyno nie dostaje numeru karty ani kodu zabezpieczającego; zamiast tego widzi token płatniczy i wynik autoryzacji, bo Google Pay maskuje dane karty na potrzeby akceptanta.
Operator płatności (bramka płatnicza lub agent rozliczeniowy) widzi szerszy zestaw danych potrzebnych do rozliczenia: token Google Pay powiązany z kartą, parametry autoryzacji, identyfikator urządzenia lub sesji, a także dane ryzyka używane do kontroli nadużyć. Bank wydający kartę widzi pełną informację o obciążeniu karty, w tym kwotę, walutę, nazwę akceptanta i kraj transakcji. Dla prywatności gracza oznacza to mniej danych karty po stronie kasyna, ale brak anonimowości: transakcja i tak wiąże się z realną tożsamością w banku oraz z danymi KYC w kasynie, a w historii konta bankowego pojawia się wpis o płatności na rzecz kasyna.
Google Pay przekazuje kasynu token płatności zamiast numeru karty, więc kasyno nie dostaje danych karty wprost. Bezpieczeństwo zależy też od standardów kasyna: szyfrowanie ssl na stronie, poprawnie wdrożone 3D Secure dla kart oraz brak przekierowań na podejrzane domeny w trakcie wpłaty.
Kasyno dostaje potwierdzenie płatności i dane transakcyjne potrzebne do rozliczenia, ale nie dostaje pełnego numeru karty. W historii płatności po stronie kasyna i w panelu transakcji zwykle zostają: kwota, data, identyfikator transakcji i metoda płatności.
Włącz blokadę ekranu i autoryzację biometryczną na telefonie, bo to jest pierwszy próg ochrony płatności. Dodaj 2fa do konta google i ustaw PIN do płatności, jeśli urządzenie to obsługuje. Zaktualizuj ios albo android oraz aplikacje bankowe, bo poprawki bezpieczeństwa zamykają znane luki.
W Polsce wiele kasyn przyjmuje Google Pay głównie do wpłat, a wypłaty kieruje na przelew bankowy albo na tę samą kartę, z której pochodziła wpłata. To ogranicza ryzyko nadużyć, bo kasyno dopina wypłatę do metody użytej do zasilenia konta oraz do weryfikacji tożsamości wymaganej przez procedury kyc.