Cobramos por POS y online: ¿qué nos pide exactamente el certificado PCI DSS?

No hay de qué asustarse, el lenguaje legal de los correos estándar de los bancos suele crear pánico innecesario. Mientras no guardes el número de tarjeta, la fecha de caducidad y el CVV en tu base de datos, tu único trabajo es rellenar el formulario correcto y firmarlo.

Hay 3 comprobaciones que tienes que hacer ya: 1) Revisa si en tu e-commerce los datos de la tarjeta se introducen directamente en la ventana de la pasarela, 2) Asegúrate de que en los recibos del POS físico el número de tarjeta salga enmascarado, 3) Pide al gestor de tu banco la plantilla del formulario SAQ correspondiente a tu empresa.

Hay consultoras por ahí que se aprovechan del desconocimiento de las PyMEs y te piden presupuestos de 5.000-10.000 dólares como si te hiciera falta una auditoría Nivel 1. No caigas en esas trampas, a tu escala no hace falta contratar a ninguna auditora externa.

A nosotros nos llegó la misma carta cuando andábamos por unas 80.000 operaciones al año. Como nuestro sistema de pago es por redirección, solo rellenamos el formulario SAQ A y enviamos el escaneo de seguridad y SSL de la web. El banco lo aprobó todo en 2 días y se resolvió a coste cero.

si no guardas tarjetas en tu propio servidor no hay de qué preocuparse. lo más crítico es tener contraseñas fuertes en el panel de admin de la web y el certificado ssl al día. rellena el formulario, mándalo al banco y listo.

yo cuando recibí ese email por primera vez pensé que teníamos que cerrar la empresa, usan unos términos tan complejos que te acojonas... la verdad pero cuando te metes te das cuenta de que el banco solo quiere tu firma para confirmar que no te estás guardando las tarjetas por tu cuenta.

Compruebe el tipo de integración técnica que figura en su contrato de comercio con la pasarela de pago. Si recibe los datos de la tarjeta directamente a través de API, podría entrar en el ámbito de SAQ A-EP; en ese caso, los requisitos y controles de seguridad serán algo más estrictos.

Habla con la empresa de software que te lleva la web y confirma: "¿Nuestra web procesa o guarda datos de tarjeta de alguna forma?". Si la respuesta es no, dile al banco que vais a rellenar el SAQ A, lo rellenas en media hora y asunto arreglado.

Ha sido una buena idea abrir este hilo.

Yo también pienso lo mismo. Empezad con una pequeña prueba no lo integréis todo de golpe.

Estoy totalmente de acuerdo. Las soluciones que funcionan a pequeña escala se rompen al crecer aprendí esto tarde.

Yo seguiría por ese camino.

Aquí hay una trampa, no puedo dejar de mencionarla. Las decisiones apresuradas son las que hay que corregir seis meses después.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Buen trabajo. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Los primeros tres meses todo va bien, los problemas aparecen en el cuarto. Si tenéis dudas escribid os responderé en la medida de lo posible.

yo pasé por esto, déjenme contarlo luego la mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

A nosotros también nos pasa.

Yo también pienso lo mismo. Las decisiones apresuradas son las que hay que corregir seis meses después.

Lo dejo como nota, por si sirve.

Guardado.

Hay que ir paso a paso. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Corrijanme si me equivoco.