Riceviamo pagamenti via POS e online: cosa ci richiede esattamente la conformità PCI DSS?

Non c'è motivo di allarmarsi: il gergo legale usato nelle mail standard delle banche crea spesso panico inutile. Finché non salvate assolutamente numero di carta, data di scadenza e codice CVV nel vostro database, dovete solo compilare e firmare il modulo corretto.

Ci sono 3 controlli immediati da fare: 1) Verificate che sul sito i dati della carta vengano inseriti direttamente nella finestra del gateway di pagamento, 2) Assicuratevi che sugli scontrini dei POS fisici il numero di carta sia mascherato, 3) Richiedete al referente bancario il modello SAQ corretto per la vostra attività.

Alcune società di consulenza approfittano della scarsa informazione delle PMI su questo tema e sparano preventivi da 5.000-10.000 dollari, come se servisse un audit di Livello 1. Non cascateci, per i vostri volumi non serve assolutamente ingaggiare società esterne.

Anche noi, con circa 80.000 transazioni all'anno, abbiamo ricevuto la stessa comunicazione. Avendo i pagamenti con reindirizzamento, abbiamo solo compilato il modulo SAQ A e inviato la scansione SSL e di sicurezza del sito. La banca ha approvato tutto in 2 giorni a costo zero.

se non salvate le carte sui vostri server non c'è nulla di cui preoccuparsi. comunque l'importante è avere password toste per il pannello admin del sito e tenere aggiornato il certificato ssl. compilate il modulo mandatelo alla banca e siete a posto.

quando mi è arrivata quella mail all'inizio pensavo stessimo per chiudere bottega usano termini talmente astrusi che ti prende un colpo. poi approfondisci e capisci che la banca vuole solo una firma dove dichiari "non conservo i dati delle carte all'infuori del circuito".

Controllate la tipologia di integrazione tecnica specificata nel contratto con il vostro fornitore di servizi di pagamento. Se ricevete i dati delle carte direttamente via API, potreste rientrare nel SAQ A-EP; in tal caso i requisiti e i controlli di sicurezza saranno leggermente più rigidi.

Parlate con la software house che gestisce il sito e fatevi confermare per iscritto: "Il nostro sito elabora o memorizza in qualsiasi modo i dati delle carte?". Se la risposta è no, comunicate alla banca che compilerete il SAQ A; ci mettete mezz'ora a compilarlo e avete risolto.

Hai fatto bene ad aprire questo thread.

Sono della stessa opinione... Inizia con un piccolo test non impegnarti subito su tutto.

Concordo pienamente. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Io seguirei questa strada.

C'è una trappola qui, non posso non segnalarla. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Questa è la mia opinione non la scrivo come verità assoluta.

Ottimo lavoro. Inizia con un piccolo test, non impegnarti subito su tutto.

I primi tre mesi vanno bene, i problemi emergono al quarto mese. Se avete domande scrivete, rispondo per quanto possibile.

sono passato da qui, vi racconto ma gran parte del tempo perso si accumula nelle prtiche in attesa di approvazione.

Anche da noi è così.

Sono della stessa opinione. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Lascio una nota, potrebbe servire.

Salvato.

Bisogna procedere con ordine. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Correggetemi se sbaglio.