Por qué el alcance depende de la ruta de los datos de tarjeta
PCI DSS (el Payment Card Industry Data Security Standard) existe para proteger los datos del titular de la tarjeta dondequiera que se almacenen, procesen o transmitan. Para un comercio, el peso práctico de esta norma no es igual en todos los negocios. Depende de cuáles de sus sistemas entran realmente en contacto con un número de tarjeta, una fecha de caducidad o un CVV durante una transacción. Cuanta más infraestructura propia se sitúe en esa ruta, mayor será la parte que queda dentro del alcance de PCI DSS.
Cuando nunca ve el número de tarjeta
Algunos comercios nunca reciben el número de tarjeta en bruto a través de sus propios servidores. El comprador introduce los datos de la tarjeta en una página servida y protegida por un proveedor de pagos, y los sistemas del comercio solo reciben un resultado (aprobado, rechazado) y una referencia a la transacción. En este modelo, el entorno propio del comercio queda en gran medida fuera de la parte de PCI DSS relativa al almacenamiento o la transmisión de datos de tarjeta, porque esos datos realmente nunca llegan a él.
Redirecciones y páginas de pago alojadas
Una forma habitual de lograrlo es enviar al comprador a una página de pago alojada, como la que ofrece omwio, en lugar de construir un formulario de captura de tarjeta propio. El comprador es redirigido a la página alojada, completa el pago allí y vuelve al sitio del comercio una vez finalizada la transacción. Como el propio sitio del comercio nunca recoge ni toca los campos de la tarjeta, este modelo mantiene una gran parte de los requisitos de PCI DSS fuera de los sistemas propios del comercio.
Cuando sus sistemas procesan o almacenan datos de tarjeta directamente
Otros comercios construyen sus propios formularios de captura de tarjeta, enrutan los datos de la tarjeta a través de sus propios servidores antes de que lleguen a un procesador, o almacenan los datos de la tarjeta para su uso posterior. Cualquiera de estas opciones hace que los sistemas propios del comercio entren en la parte de los datos de tarjeta que más directamente interesa a PCI DSS: almacenamiento, procesamiento y transmisión. En ese escenario, hay que tener en cuenta, como parte del panorama de cumplimiento del comercio, a las personas, los procesos y los sistemas que entran en contacto con los datos de tarjeta durante una transacción, así como cualquier lugar donde esos datos se almacenen.
Cómo mantener pequeño su alcance de cumplimiento
Independientemente del tamaño, el patrón general se mantiene: cuantos menos sistemas propios vean datos de tarjeta en bruto, y cuanto más corto sea el tiempo que cualquier sistema los retiene, menor será la parte de su negocio a la que se apliquen en su totalidad los requisitos de PCI DSS. Usar tokenización, páginas de pago alojadas o el propio flujo de pago de un proveedor son formas con las que los comercios reducen la implicación directa de su propio entorno con los números de tarjeta, en lugar de construir y mantener ese manejo por sí mismos.
Hable con su adquirente y su socio de pagos
Las obligaciones de PCI DSS, los requisitos de validación y cómo se aplican a un negocio concreto se determinan, en última instancia, entre un comercio, su adquirente y, cuando corresponda, un evaluador cualificado. Este artículo es una orientación general sobre cómo el flujo de los datos de tarjeta cambia la forma de la pregunta, no un sustituto de esa conversación. Antes de decidir cómo gestiona su checkout los datos de tarjeta, conviene preguntar directamente a su adquirente o proveedor de pagos qué implica esa elección para sus obligaciones de cumplimiento concretas.
- Los datos de tarjeta nunca llegan a sus servidores: su propio alcance de PCI DSS es menor.
- Los compradores son redirigidos a una página de pago alojada: su sitio queda fuera de la ruta de los datos de tarjeta.
- Sus propios sistemas capturan, enrutan o almacenan números de tarjeta: esos sistemas forman parte de su alcance de cumplimiento.
- Confirme siempre las obligaciones concretas con su adquirente o con un evaluador cualificado.
