Chi vende online conosce la meccanica dello storno: la banca del cliente contesta l’addebito, l’importo sparisce dal conto del venditore e resta una commissione da pagare. Il funzionamento del meccanismo, i termini e il liability shift del 3D Secure li abbiamo già affrontati nella guida al chargeback dal lato del venditore. Qui entriamo nella parte che decide davvero l’esito della disputa: le prove. Nel representment — la risposta documentata con cui il venditore replica alla contestazione — non vince chi ha ragione in astratto, ma chi mette sotto gli occhi dell’emittente il documento giusto, quello che risponde esattamente al motivo della contestazione. Cambiare il motivo cambia le prove: un fascicolo perfetto per «pacco mai arrivato» è carta straccia se il cliente ha scritto «non riconosco l’addebito». Vediamo, famiglia per famiglia, che cosa serve, come si scrive la risposta e quali errori fanno perdere una disputa che si poteva vincere.
La prima regola: la prova deve parlare al reason code
Ogni chargeback arriva con un codice motivo (reason code) previsto dalle regole del circuito e indicato dall’emittente: frode/disconoscimento, merce non ricevuta, prodotto non conforme, abbonamento annullato, errore di elaborazione. Quel codice non è una formalità: definisce l’unico fatto che l’emittente deve valutare e, di riflesso, l’unica prova che conta. Rispondere a un disconoscimento allegando la fattura, o a una contestazione di conformità allegando il tracking di consegna, significa depositare documenti veri ma inconferenti — e la disputa si perde lo stesso. Il primo gesto, ricevuta la notifica, è quindi leggere il reason code e costruire un fascicolo che colpisca quel punto, non altri. Le buone abitudini di raccolta — la logica dell’evidence by design — le abbiamo descritte nell’approfondimento sulle strategie contro le contestazioni; qui vediamo come quelle prove si assemblano per ciascuna causale.
«Non ho ricevuto il pacco»: tracciatura e prova di consegna
È la famiglia più difendibile, perché la prova è oggettiva. Serve la tracciatura end-to-end del corriere, con lo stato «consegnato» e la data; per gli importi significativi, la prova di consegna (POD) con firma del destinatario o, dove disponibile, geolocalizzazione e fotografia del pacco scattata dal corriere al momento del rilascio. L’elemento che dà forza al fascicolo è la coincidenza tra l’indirizzo di consegna e quello associato alla transazione: se combaciano, il quadro è solido. A questo si aggiungono la conferma d’ordine e l’e-mail di spedizione con il codice di tracking. Il punto debole tipico è la consegna «lasciata al vicino» o in un punto di ritiro senza firma: in quei casi la fotografia e il timestamp del corriere diventano decisivi.
«Non riconosco l’addebito»: identità digitale, 3DS e Compelling Evidence 3.0
Qui la contestazione dice «non sono stato io». Il primo scudo resta l’autenticazione forte (3D Secure), che sposta di regola la responsabilità sull’emittente: ne abbiamo spiegato il liability shift nella guida generale. Quando il 3DS non copre — o non è stato applicato — la difesa si gioca sull’impronta dell’operazione: indirizzo IP, device fingerprint (identificativo del dispositivo), storico ordini dello stesso account, e-mail e numero di telefono verificati, corrispondenza tra dati di fatturazione e consegna. Sono i dati che distinguono un vero estraneo da chi disconosce in malafede il proprio acquisto (il cosiddetto friendly fraud).
Su questo fronte Visa mette a disposizione un rimedio dedicato, la Compelling Evidence 3.0, applicabile alle dispute per frode in ambiente card-absent (reason code 10.4). I requisiti sono precisi e vanno rispettati alla lettera: il venditore deve dimostrare due transazioni precedenti non contestate dello stesso cliente, eseguite con la stessa carta e di età compresa tra 120 e 365 giorni, e provare che tra queste e l’operazione contestata coincidono almeno due elementi tra indirizzo IP, device ID/fingerprint, identificativo dell’account e indirizzo di consegna, di cui almeno uno deve essere l’IP o il device ID; le transazioni non devono avere segnalazioni o dispute di frode in corso. Rispettati i requisiti, la regola è pensata per riportare la responsabilità sull’emittente; l’esito però non è automatico: la documentazione di Stripe avverte che la banca emittente conserva un margine di valutazione. Le Visa Rules (edizione del 18 aprile 2026) riportano già il testo aggiornato per le dispute trattate dal 24 ottobre 2026: l’impianto resta lo stesso — due transazioni precedenti, stessa finestra temporale, IP o device ID più un secondo elemento — con alcune precisazioni, tra cui l’equiparazione alla carta delle credenziali a essa associate, come i token. La condizione pratica è una sola: quei dati vanno raccolti e conservati fin dal primo ordine, perché non si ricostruiscono a posteriori.
«Il prodotto non è conforme»: lo stato del bene alla partenza
Qui il cliente ammette di aver comprato e ricevuto, ma contesta la qualità. È la famiglia più scivolosa, perché tocca un giudizio soggettivo. Le prove che spostano l’ago sono la descrizione fedele e completa presente al momento dell’acquisto (scheda prodotto, foto, misure, limiti d’uso dichiarati), la documentazione dello stato del bene in uscita — controlli qualità, numero di serie, fotografie pre-spedizione per gli ordini di valore — e l’archivio delle comunicazioni con il cliente, comprese eventuali offerte di soluzione (riparazione, sostituzione, reso) che dimostrano la disponibilità del venditore. Attenzione al confine con la disciplina consumeristica: la garanzia legale di conformità è un diritto autonomo del consumatore e non si neutralizza con la risposta al chargeback; il fascicolo serve a contrastare la disputa sulla carta, non a negare tutele irrinunciabili.
«Avevo disdetto l’abbonamento»: consenso e notifiche
Nei pagamenti ricorrenti la contestazione è «avevo annullato, non dovevate addebitarmi». La prova regina è il log del consenso all’abbonamento: data, ora e IP dell’accettazione, con casella non preselezionata e testo che indicava chiaramente rinnovo automatico, cadenza e importo. A questo si aggiungono le notifiche pre-rinnovo inviate prima dell’addebito, la conferma del pagamento e — elemento spesso decisivo — la prova che, alla data contestata, la disdetta non risultava registrata nel sistema. Se il cliente ha effettivamente cancellato prima e l’addebito è partito lo stesso, la scelta corretta è accettare la contestazione senza opporsi (l’importo è già stato riaddebitato: un rimborso separato significherebbe pagare due volte). Opporsi a un fatto documentato contro di sé difficilmente cambia l’esito e aggiunge solo costi: su Stripe chi si oppone paga una commissione ulteriore, restituita soltanto in caso di vittoria.
Scrivere la risposta ed evitare gli errori che fanno perdere
La rebuttal letter non è uno sfogo: è un documento strutturato in tre parti. Primo, i fatti, in ordine cronologico e in poche righe: cosa è stato ordinato, quando, come è stato pagato ed evaso. Secondo, le prove numerate, ciascuna abbinata al fatto che dimostra e al reason code (allegato 1: tracking con POD; allegato 2: log IP e device; allegato 3: consenso al checkout). Terzo, la richiesta esplicita di rigetto della disputa, con il riferimento alla regola del circuito applicabile. Tono asciutto, professionale, verificabile. Due avvertenze pratiche, dalla documentazione di Stripe: la risposta si invia una sola volta e non può essere integrata in seguito; e le banche non esaminano contenuti esterni, per cui il tracking va allegato come documento (schermata o PDF), non come link.
Gli errori che fanno perdere una disputa vincibile sono sempre gli stessi. Rispondere fuori tempo: la documentazione ufficiale di Stripe indica per il venditore una finestra di norma tra 7 e 21 giorni dalla notifica, variabile per circuito; chi la manca perde in automatico, senza che le prove vengano nemmeno lette. Allegare prove non pertinenti al reason code, che ingolfano il fascicolo senza colpire il punto. Adottare toni emotivi o accusatori, che non spostano una decisione presa su base documentale. Infine, un errore che si paga a valle: conservare le prove in modo non conforme al GDPR. IP, device ID, storico ordini e log sono dati personali; vanno raccolti per una finalità dichiarata (esecuzione del contratto ed esigenze difensive), limitati allo scopo e conservati per un tempo coerente con i termini entro cui le dispute possono insorgere — non a tempo indeterminato. Per il device fingerprint serve una cautela in più: le Linee guida del Garante su cookie e altri strumenti di tracciamento (10 giugno 2021) lo trattano come strumento di tracciamento soggetto all’art. 122 del Codice privacy, per cui il suo impiego va valutato prima dell’attivazione, insieme alle regole sul cookie banner. Raccolta ampia oggi, ma con basi e tempi corretti: è così che il fascicolo regge senza esporre a contestazioni sulla privacy.
Cosa dice la giurisprudenza
Che cosa rende una prova tecnica davvero probante? La risposta arriva dal contenzioso sui pagamenti non autorizzati, dove la posta in gioco è proprio la riconducibilità dell’operazione a chi la contesta. Con l’ordinanza 12 aprile 2018, n. 9158, la Corte di cassazione (Sez. VI civile) si è pronunciata sul caso di due correntisti di Poste Italiane che avevano disconosciuto un bonifico online di 5.500 euro disposto a favore di uno sconosciuto. La Corte d’appello aveva respinto la loro domanda, ritenendo adeguato il sistema di sicurezza dell’intermediario e presumendo, senza alcun riscontro, che i clienti avessero comunicato i propri codici rispondendo a una mail fraudolenta; la Cassazione ha cassato la sentenza e rinviato la causa al giudice d’appello. Il principio: spetta al prestatore, cui è richiesta una diligenza di natura tecnica «da valutarsi con il parametro dell’accorto banchiere», fornire la prova della riconducibilità dell’operazione al cliente; e la possibilità che terzi utilizzino i codici di accesso rientra nell’area del rischio professionale del prestatore, salvo che sia attribuibile al dolo del titolare o a comportamenti «talmente incauti da non poter essere fronteggiati in anticipo». La lezione, trasposta per analogia sul venditore, è nitida: non basta affermare che i propri sistemi sono sicuri, né presumere la malafede di chi contesta; occorre dimostrare, con documentazione completa e tecnicamente rigorosa, il fatto specifico che il motivo della contestazione mette in discussione. Il tracciato «l’ordine è stato pagato ed evaso» non vince, da solo, un disconoscimento; può vincerlo l’insieme coerente di IP, device, storico e — quando ricorrono i presupposti — la catena di prova della Compelling Evidence 3.0. Esempio concreto: contestazione «non riconosco l’addebito» su un ordine da 240 euro; allegare solo la fattura è un fascicolo perso, mentre l’impronta digitale coincidente con due acquisti precedenti non contestati, pagati con la stessa carta, può spostare la responsabilità sull’emittente. La prova che vince non è quella che c’è, ma quella che parla al punto giusto.
Impostare la raccolta, i flussi di checkout e i fascicoli-tipo per ciascuna causale è il lavoro che svolgiamo nella consulenza per chi vende online, in coordinamento con la guida operativa ai chargeback.
Domande frequenti
Quanti giorni ho per rispondere a un chargeback? Secondo la documentazione di Stripe, di norma da 7 a 21 giorni dalla notifica, con variazioni per circuito. È un termine perentorio: scaduto, la disputa si perde automaticamente, per quanto solide siano le prove. Le notifiche vanno presidiate come gli ordini.
Che cos’è la Compelling Evidence 3.0 e quando conviene usarla? È una regola Visa per le dispute da frode in ambiente card-absent: se dimostri due transazioni precedenti non contestate dello stesso cliente, pagate con la stessa carta (tra 120 e 365 giorni prima), con almeno due elementi coincidenti — di cui almeno uno tra IP e device ID — la responsabilità, di regola, torna all’emittente, che conserva comunque un margine di valutazione. Conviene ogni volta che hai uno storico dell’account e sospetti un friendly fraud.
Posso allegare tutte le prove che ho, per sicurezza? No, è controproducente. Il fascicolo deve colpire il reason code: prove non pertinenti diluiscono quelle decisive e allungano la lettura. Meglio poche prove mirate, numerate e collegate al singolo fatto contestato.
Conservare IP, device e log dei clienti è lecito? Sì, se la raccolta è progettata secondo il GDPR: base giuridica corretta (esecuzione del contratto e legittimo interesse del venditore a prevenire le frodi e a difendere i propri diritti), finalità dichiarata nell’informativa, dati limitati allo scopo e conservati per un tempo coerente con i termini delle possibili dispute, non a tempo indeterminato. Per il device fingerprint vanno considerate anche le regole sugli strumenti di tracciamento (art. 122 del Codice privacy).
Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 30 settembre 2026.