Conformidade PCI DSS: significado e exemplos

A conformidade PCI DSS é o cumprimento do Padrão de Segurança de Dados da Indústria de Cartões de Pagamento, um conjunto de regras de segurança para qualquer organização que armazene, processe ou transmita dados de cartões de pagamento. Ele é mantido pelo PCI Security Standards Council e visa proteger os dados dos titulares contra roubo e fraude.

Como funciona

O padrão se organiza em doze requisitos principais, agrupados em seis objetivos. Eles cobrem a criação e a manutenção de uma rede segura, a proteção dos dados armazenados dos titulares, a atualização dos sistemas, a restrição de acesso a quem precisa saber, o monitoramento e o teste das redes e a manutenção de uma política de segurança. O conselho atualiza o padrão ao longo do tempo, então consulte a versão vigente no site dele.

O que você deve fazer depende de como aceita cartões:

• Página de pagamento hospedada ou redirecionamento. O cliente digita os dados do cartão na página do seu provedor. Os números do cartão nunca passam pelos seus sistemas, então sua validação costuma ser um questionário curto de autoavaliação.
• Formulário embutido no seu site. Uma parte maior do seu site entra no escopo, então o questionário é mais longo.
• Armazenar ou digitar você mesmo os números de cartão. O escopo mais pesado, com controles mais rígidos, varreduras e, às vezes, uma avaliação externa.

Seu processador de pagamentos ou gateway de pagamento normalmente dirá qual questionário se aplica e pode pedir que você confirme a conformidade todo ano. Ignorar isso pode gerar taxas ou, no pior caso, a perda da possibilidade de aceitar cartões.

Exemplo

Um consultor envia faturas com um link de pagamento e um prestador de serviços recebe cartões por telefone. Compare a exposição dos dois.

Configuração	Quem lida com os números do cartão	Carga típica
Link de pagamento em página hospedada	O provedor	Baixa: autoavaliação anual curta
Digitar cartões em uma planilha	A empresa	Alta: evite por completo
Maquininha de cartão de um provedor	A maquininha do provedor	Baixa a moderada

A regra mais simples: nunca escreva números de cartão em e-mails, anotações, chats ou planilhas. Se um cliente enviar um, apague-o e peça que use o link de pagamento. Você pode montar a fatura que leva o link de pagamento com o gerador de faturas, e o guia sobre aceitar pagamentos com cartão de crédito mostra configurações seguras.

Termos relacionados

• Gateway de pagamento: coleta os dados do cartão com segurança para que você não precise fazê-lo.
• Processador de pagamentos: costuma ser o seu primeiro contato para dúvidas de PCI.
• Conta de comerciante: normalmente traz a exigência de conformidade PCI em seus termos.

O PayToMe está em beta público, e os pagamentos online estão no ar pelo Stripe, o processador de pagamentos. Você pode entrar no PayToMe.