Por que o âmbito depende do percurso dos dados do cartão
O PCI DSS (Payment Card Industry Data Security Standard) existe para proteger os dados do titular do cartão onde quer que sejam armazenados, processados ou transmitidos. Para um comerciante, o peso prático desta norma não é igual para todos os negócios. Depende de quais dos seus sistemas entram efetivamente em contacto com o número do cartão, a data de validade ou o CVV durante uma transação. Quanto mais a sua própria infraestrutura estiver nesse percurso, maior a parte dela que cai no âmbito do PCI DSS.
Quando nunca vê o número do cartão
Alguns comerciantes nunca têm o número de cartão em bruto a passar pelos seus próprios servidores. O cliente introduz os dados do cartão numa página fornecida e protegida por um prestador de serviços de pagamento, e os sistemas do comerciante recebem apenas um resultado (aprovado, rejeitado) e uma referência da transação. Neste modelo, o ambiente do próprio comerciante fica largamente fora da parte do PCI DSS relativa ao armazenamento ou transmissão de dados de cartão, porque esses dados genuinamente nunca lá chegam.
Redirecionamentos e páginas de checkout alojadas
Uma forma comum de os comerciantes conseguirem isto é enviar o cliente para uma página de checkout alojada, como a oferecida através da omwio, em vez de construírem eles próprios um formulário de introdução de dados de cartão. O cliente é redirecionado para a página alojada, conclui o pagamento aí, e é devolvido ao site do comerciante depois de a transação estar concluída. Como o próprio site do comerciante nunca recolhe nem tem contacto com os campos do cartão, este modelo mantém uma grande parte dos requisitos do PCI DSS fora dos sistemas do próprio comerciante.
Quando os seus sistemas processam ou armazenam dados de cartão diretamente
Outros comerciantes constroem os seus próprios formulários de introdução de dados de cartão, encaminham os dados do cartão através dos seus próprios servidores antes de chegarem a um processador, ou armazenam dados de cartão para utilização posterior. Qualquer uma destas opções coloca os sistemas do próprio comerciante na parte dos dados de cartão com que o PCI DSS mais diretamente se preocupa: armazenamento, processamento e transmissão. Nesta configuração, as pessoas, processos e sistemas que entram em contacto com dados de cartão durante uma transação, e qualquer local onde esses dados sejam armazenados, têm de ser considerados no âmbito da conformidade do comerciante.
Manter a sua pegada de conformidade reduzida
Independentemente da dimensão, o padrão geral mantém-se: quanto menos dos seus próprios sistemas tiverem acesso aos dados de cartão em bruto, e quanto mais curto for o tempo em que qualquer sistema os retém, menor é a parte do seu negócio a que os requisitos do PCI DSS se aplicam na totalidade. Utilizar tokenização, páginas de pagamento alojadas, ou o próprio fluxo de checkout de um prestador de serviços, são formas de os comerciantes reduzirem a parte do seu próprio ambiente diretamente envolvida com números de cartão, em vez de construírem e manterem esse tratamento internamente.
Fale com o seu adquirente e parceiro de pagamentos
As obrigações do PCI DSS, os requisitos de validação, e a forma como se aplicam a um negócio específico são, em última instância, determinados entre o comerciante, o seu adquirente e, quando relevante, um avaliador qualificado. Este artigo é uma orientação geral sobre como o percurso dos dados de cartão altera a natureza da questão, não um substituto para essa conversa. Antes de decidir como o seu checkout trata os dados de cartão, vale a pena perguntar diretamente ao seu adquirente ou prestador de serviços de pagamento o que essa escolha significa para as suas obrigações específicas de conformidade.
- Os dados de cartão nunca chegam aos seus servidores: a sua pegada de PCI DSS é menor.
- Os clientes são redirecionados para uma página de checkout alojada: o seu site fica fora do percurso dos dados de cartão.
- Os seus próprios sistemas captam, encaminham ou armazenam números de cartão: esses sistemas fazem parte do seu âmbito de conformidade.
- Confirme sempre as obrigações específicas com o seu adquirente ou um avaliador qualificado.
