Usurpation d'identité bancaire

Bonjour,
J'ai fait appel à une société dispensant des cours particuliers de soutien scolaire. J'ai toujours réglé les cours à l'avance, par carte bancaire auprès du directeur de cette entreprise.
Ce directeur a utilisé mon numéro de carte bancaire sans m'en demander l'autorisation car j'arrivais au terme des cours déjà payés. Arbitrairement il a débité un montant de 864€
Le compte débité n'était pas approvisionné ce qui m'a valu une alerte de ma banque. Petite précision, cette entreprise ne m'a jamais fait signer de document.
Mes questions: une entreprise a t-elle le droit de conserver les coordonnées bancaires de ses clients et de les utiliser quand bon lui semble?
Quels sont les recours à envisager? Que risque-t-elle?
Merci