Acontece uma vez. O cliente vê o nome de quem vai cobrar, o valor e a periodicidade, e aprova ou recusa. Nada disso é digitado no site da empresa: a decisão é tomada no ambiente do banco, com a autenticação que ele já usa.
Recusar é tão previsto quanto aprovar, e o mesmo vale depois — a autorização fica listada no aplicativo e o cliente pode revogá-la quando quiser, sem pedir nada a quem cobra.
Do lado de quem cobra, isso significa que a autorização é o único momento que depende de uma ação do cliente. Depois dela, os ciclos correm sozinhos.