Una pasarela de pago transmite datos de tarjeta entre el checkout y el adquirente, por lo que está sujeta al Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS). La versión actual del estándar es PCI DSS v4.0.1, y la plataforma de Akurateco está certificada en esa versión como proveedor de servicios de nivel 1.
Puntos clave:
- Desde el 1 de enero de 2025, PCI DSS v4.0.1 es la única versión activa del estándar.
- Una pasarela que cumple con PCI DSS cubre su propia plataforma. Tu checkout, tu integración y los sistemas conectados siguen dentro de tu alcance de PCI DSS.
- Tu método de integración define tu vía de validación: una página de pago alojada o un formulario de pago incrustado suele implicar el SAQ A; un formulario que envía los datos directamente a la pasarela, el SAQ A-EP; y una API de servidor a servidor, el SAQ D.
- Akurateco está certificada PCI DSS v4.0.1, nivel 1, como proveedor de servicios.
¿Qué es una pasarela de pago que cumple con PCI DSS?
Para entender el concepto, dividámoslo en dos partes. Primero, veamos qué es una pasarela de pago.
Una pasarela de pago es un software que hace posible el procesamiento de transacciones: facilita las transacciones electrónicas y el intercambio de datos de pago entre clientes, procesadores de pagos, redes de tarjetas, bancos emisores, bancos adquirentes y, finalmente, comercios, y garantiza una transferencia de fondos segura y eficiente. Dicho de forma sencilla, es una capa técnica que permite a los comercios aceptar pagos de sus clientes.
El cumplimiento de PCI DSS, que a menudo se llama simplemente cumplimiento PCI, significa cumplir con el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago. Es un conjunto de normas de seguridad obligatorias y buenas prácticas que establece el Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago (PCI SSC) para proteger los datos sensibles de las tarjetas de crédito y de pago de los clientes durante y después del procesamiento de las transacciones.
Ahora, unamos los dos conceptos. Una pasarela de pago que cumple con PCI DSS es un software o servicio que satisface los requisitos y normas de seguridad de PCI DSS. Si una pasarela de pago tiene la certificación PCI DSS, eso indica que implementó las medidas de seguridad necesarias para proteger los datos sensibles de las tarjetas. Para PCI DSS, una pasarela es un proveedor de servicios: transmite datos de tarjeta en nombre de los comercios. En el nivel 1, un Evaluador de Seguridad Calificado (QSA) evalúa la pasarela cada año, y el resultado se documenta en un Informe de Cumplimiento (ROC) y una Atestación de Cumplimiento (AOC).
Entiende los requisitos de PCI DSS
PCI DSS v4.0.1 se organiza en torno a 12 requisitos principales que ayudan a las organizaciones a proteger los datos del titular de la tarjeta y a reducir los riesgos de seguridad en los pagos. Estos requisitos se aplican a los comercios y proveedores de servicios que almacenan, procesan o transmiten datos del titular de la tarjeta, o que pueden afectar su seguridad.
Los 12 requisitos de PCI DSS son:
- Instalar y mantener controles de seguridad de red.
- Aplicar configuraciones seguras a todos los componentes del sistema.
- Proteger los datos de cuenta almacenados.
- Proteger los datos del titular de la tarjeta con criptografía sólida durante la transmisión por redes abiertas y públicas.
- Proteger todos los sistemas y redes contra software malicioso.
- Desarrollar y mantener sistemas y software seguros.
- Restringir el acceso a los componentes del sistema y a los datos del titular de la tarjeta según la necesidad de conocimiento del negocio.
- Identificar a los usuarios y autenticar el acceso a los componentes del sistema.
- Restringir el acceso físico a los datos del titular de la tarjeta.
- Registrar y supervisar todo el acceso a los componentes del sistema y a los datos del titular de la tarjeta.
- Probar con regularidad la seguridad de los sistemas y las redes.
- Respaldar la seguridad de la información con políticas y programas organizacionales.
En la práctica, PCI DSS exige que las organizaciones aseguren sus sistemas de pago, protejan los datos de tarjeta almacenados y transmitidos, controlen el acceso a los entornos de pago, supervisen la actividad, prueben sus sistemas con regularidad y mantengan políticas de seguridad documentadas.
¿Qué cambió en PCI DSS v4.0.1?
PCI DSS v4.0.1 es la versión actual del estándar. Es una revisión limitada de la v4.0 que aclara la redacción y las orientaciones, sin agregar requisitos nuevos. Las fechas clave:
- Marzo de 2022: el PCI SSC publica PCI DSS v4.0.
- 31 de marzo de 2024: se retira la v3.2.1.
- Junio de 2024: se publica la v4.0.1.
- 31 de diciembre de 2024: se retira la v4.0. Desde el 1 de enero de 2025, la v4.0.1 es la única versión activa.
- 31 de marzo de 2025: los requisitos que la v4.0 introdujo con fecha futura pasan a ser obligatorios.
Los cambios más relevantes para las plataformas de pago llegaron con la v4.0: autenticación multifactor para todo acceso al entorno de datos del titular de la tarjeta, contraseñas de al menos 12 caracteres, controles sobre los scripts que se ejecutan en las páginas de pago, análisis de riesgos específicos y un enfoque personalizado para cumplir los requisitos, disponible solo en evaluaciones documentadas en un Informe de Cumplimiento.
La plataforma de Akurateco se evalúa conforme a PCI DSS v4.0.1. En junio de 2026, el PCI SSC abrió una consulta sobre la v4.0.1 como primer paso hacia la próxima versión del estándar. Hasta que se publique una nueva versión, las evaluaciones siguen usando la v4.0.1.
La importancia del cumplimiento de PCI DSS
El cumplimiento de PCI DSS importa a todas las partes que manejan datos de tarjeta, por las razones que verás a continuación.
Obligaciones legales
El cumplimiento de PCI DSS no es opcional para ninguna organización que acepte, procese, almacene o transmita datos del titular de la tarjeta. Lo exigen los programas de cumplimiento de las marcas de tarjetas, los adquirentes y los socios de pago, y además pueden aplicarse leyes y regulaciones locales según el mercado. No cumplirlo puede acarrear multas, costos de procesamiento más altos, más exigencias de auditoría o incluso restricciones para procesar pagos.
Seguridad de los datos
Si el proveedor de tu pasarela no está validado según PCI DSS, no tienes ninguna garantía de que proteja los datos de las tarjetas. Las consecuencias pueden ser graves y van desde pérdidas financieras hasta un daño duradero a la reputación. La esencia de la certificación PCI DSS es proteger los datos sensibles del titular de la tarjeta. El cumplimiento exige controles específicos contra el acceso no autorizado, las violaciones de seguridad y el robo de datos de tarjeta.
Protección financiera
PCI DSS reduce la probabilidad de una violación de datos y de las multas, los gastos legales y los costos de remediación que trae consigo.
Gestión de la reputación
Una violación de datos de tarjetas puede costarle a un comercio o a un proveedor de servicios de pago (PSP) una confianza de los clientes difícil de recuperar.
Confianza del cliente
Cada vez que un cliente quiere comprar en un sitio web, primero evalúa qué tan seguro es ingresar sus datos de pago. El cumplimiento de PCI DSS le indica que los datos de su tarjeta están protegidos, lo que lo hace más propenso a completar la compra.
Cómo funciona una pasarela de pago que cumple con PCI DSS
Una pasarela de pago que cumple con PCI DSS hace posibles las transacciones en línea seguras: cifra y transmite los datos de tarjeta del cliente, obtiene la autorización del banco emisor a través del adquirente y devuelve el resultado al comercio.
Para entender mejor cómo funcionan las pasarelas de pago, lee el siguiente artículo:
Cómo funciona una pasarela de pago
La pasarela protege los datos de tarjeta en cada etapa de la transacción. También puede ofrecer tecnologías adicionales para proteger a los clientes del fraude, como la autenticación 3D Secure, la tokenización (que reemplaza los datos reales de la tarjeta por tokens generados aleatoriamente) y la prevención de fraude en pagos, para reforzar aún más la seguridad.
Para mantener el cumplimiento de PCI DSS, las pasarelas de pago se someten a auditorías y evaluaciones anuales que verifican que respetan las normas de seguridad.
Cómo tu método de integración define tu alcance de PCI DSS
La forma en que los datos de tarjeta llegan a la pasarela determina qué parte de tu propio entorno queda cubierta por PCI DSS. Las vías de validación de la tabla son el resultado típico para los comercios; tu adquirente o tu QSA confirma la definitiva.
| Método de integración | Dónde ingresa el cliente los datos de tarjeta | Qué queda dentro de tu alcance | Validación típica |
|---|---|---|---|
| Página de pago alojada (redirección) | En la página de la pasarela | El sitio web que envía a los clientes a la página de pago | SAQ A |
| Formulario de pago incrustado (iframe) | En el formulario de la pasarela, dentro de tu página | La página que incrusta el formulario; además, debes confirmar que tu sitio no es susceptible a ataques basados en scripts | SAQ A |
| Formulario de pago en tu propia página que envía los datos directamente a la pasarela | En tu página, con envío directo a la pasarela | Los servidores web y los scripts que entregan tu página de pago | SAQ A-EP |
| API de servidor a servidor | En tus sistemas, que los envían a la pasarela | Tu aplicación, servidores, red y acceso administrativo | SAQ D (ROC en el nivel 1) |
| SDK móvil | En tu app, a través del SDK de la pasarela | Tu app y tu backend, según cómo el SDK maneje los datos de tarjeta | Confírmalo con tu QSA |
Usar una pasarela que cumple con PCI DSS no te saca del alcance. La evaluación de la pasarela cubre su propia plataforma. Sigues siendo responsable de lo que controlas: tus páginas de checkout y los scripts que se ejecutan en ellas, tu integración, el acceso administrativo, los registros y las herramientas de soporte, y cualquier sistema conectado al flujo de los datos de tarjeta.
Beneficios de usar una pasarela de pago que cumple con PCI DSS
Una pasarela que cumple con PCI DSS ofrece a los comercios y a los PSP los siguientes beneficios:
Cumplimiento legal y regulatorio
Los adquirentes y las marcas de tarjetas esperan que todo proveedor que maneje datos de tarjeta por ti esté validado según PCI DSS. Una pasarela que cumple con PCI DSS cubre los controles de su lado del flujo de pago. Respalda tu propio cumplimiento, pero no lo reemplaza.
Controles de seguridad que no tienes que construir
La pasarela opera el cifrado, la tokenización, el control de acceso, los registros y las pruebas de seguridad que PCI DSS exige para los datos de tarjeta. En el caso de un proveedor de nivel 1, un QSA revisa estos controles cada año.
Expansión global
Las normas y requisitos de PCI DSS tienen reconocimiento internacional y se aceptan en muchos países. Por eso, los comercios que usan una pasarela que cumple con PCI DSS pueden aceptar transacciones en todo el mundo y ampliar su base de clientes, sabiendo que cumplen normas de seguridad consolidadas.
Un alcance de PCI DSS más reducido
Cuando los clientes ingresan los datos de tarjeta en la página alojada de la pasarela o en su formulario incrustado, los números de tarjeta nunca llegan a tus servidores. Menos sistemas tuyos quedan sujetos a PCI DSS y tu validación anual es más corta. La tabla de integración anterior muestra el resultado típico de cada método.
Ningún número de tarjeta en tu base de datos
Con la tokenización de la pasarela, guardas un token en lugar del número de tarjeta, de modo que los pagos recurrentes y repetidos funcionan sin datos de tarjeta en tu base de datos.
Niveles de cumplimiento de PCI DSS
Los niveles de cumplimiento de PCI DSS suelen basarse en el volumen anual de transacciones. Los requisitos exactos de validación pueden variar según la marca de tarjeta, el adquirente, la región y el modelo de negocio, así que las organizaciones siempre deben confirmar la vía de validación definitiva con su banco adquirente o su socio de pago.
| Nivel | Umbral de volumen de transacciones | Requisito de validación | Evaluador requerido |
|---|---|---|---|
| Nivel 1 | Más de 6 millones de transacciones con tarjeta al año, o cualquier comercio que una marca de tarjeta o un adquirente designe como nivel 1 | Informe de Cumplimiento (ROC) y Atestación de Cumplimiento (AOC) anuales | Sí, por lo general un Evaluador de Seguridad Calificado (QSA) o una vía aprobada de evaluación interna, donde se permita |
| Nivel 2 | De 1 millón a 6 millones de transacciones con tarjeta al año | Cuestionario de Autoevaluación (SAQ) y Atestación de Cumplimiento (AOC) anuales, salvo que el adquirente o la marca de tarjeta exija un ROC | Por lo general no para la validación con SAQ, pero el adquirente o la marca de tarjeta pueden exigirlo |
| Nivel 3 | De 20 000 a 1 millón de transacciones de comercio electrónico con tarjeta al año | SAQ y AOC anuales | Por lo general no, salvo que lo exija el adquirente o la marca de tarjeta |
| Nivel 4 | Menos de 20 000 transacciones de comercio electrónico con tarjeta al año, o hasta 1 millón de transacciones con tarjeta en total al año, según las reglas de la marca de tarjeta o del adquirente | SAQ y AOC anuales, según lo exija el adquirente o el socio de pago | Por lo general no, salvo que lo exija el adquirente o la marca de tarjeta |
Estos niveles se aplican a los comercios. Las pasarelas de pago, los PSP y otros proveedores de servicios tienen sus propios dos niveles, que definen las marcas de tarjetas. El nivel 1 suele abarcar a los proveedores de servicios con más de 300 000 transacciones con tarjeta al año y exige un ROC anual a cargo de un QSA y escaneos de red trimestrales a cargo de un Proveedor de Escaneo Aprobado (ASV). El nivel 2 abarca a los proveedores de servicios más pequeños y permite una autoevaluación. Akurateco está certificada como proveedor de servicios de nivel 1.
¿Quién necesita una pasarela de pago que cumpla con PCI DSS?
PCI DSS se aplica a cualquier organización que almacene, procese o transmita datos del titular de la tarjeta, o cuyos sistemas puedan afectar la seguridad de esos datos.
Una pasarela de pago PCI es fundamental para los comercios que procesan transacciones con tarjeta, como sitios de comercio electrónico, servicios de suscripción, minoristas, marketplaces en línea y cualquier comercio que maneje datos de tarjeta, para protegerlos durante el procesamiento de las transacciones.
También es obligatoria para los PSP que ofrecen sus servicios a comercios, para proteger los datos que manejan en su nombre.
Los sistemas que se conectan al entorno de datos del titular de la tarjeta también cuentan, y un servidor de pagos en una red sin segmentar puede hacer que toda la red entre en el alcance.
Para saber cómo integrar una pasarela en tu sitio web o aplicación, lee el siguiente artículo:
Las cuatro formas de conectar una pasarela de pago y cómo afecta cada una al alcance de PCI DSS.
Cómo lograr el cumplimiento de PCI DSS de forma rentable
Este es un proceso práctico para abordar el cumplimiento de PCI DSS sin complicar de más el proyecto. Para ver cuánto cuesta cada paso, consulta nuestra guía de costos de PCI DSS.
1. Define tu alcance de PCI DSS
Identifica dónde se almacenan, procesan o transmiten los datos del titular de la tarjeta, o dónde podrían verse afectados por tus sistemas, proveedores, checkout, pasarela de pago, integraciones, registros, herramientas de soporte y acceso administrativo.
2. Confirma tu nivel de PCI DSS y tu vía de validación
Tu volumen de transacciones, tu papel en el flujo de pago y las exigencias del adquirente o de las marcas de tarjetas determinan si necesitas un Cuestionario de Autoevaluación, un Informe de Cumplimiento, una Atestación de Cumplimiento o una evaluación dirigida por un QSA.
3. Elige la configuración de pagos adecuada
Una pasarela que cumple con PCI DSS, como la plataforma de pasarela de pago de marca blanca de Akurateco, combinada con una página de pago alojada, tokenización o una capa de orquestación de pagos, reduce la cantidad de datos de tarjeta que pasan por tus sistemas. La segmentación de red mantiene los sistemas que siguen dentro del alcance separados del resto de tu infraestructura. Para las organizaciones con requisitos más estrictos de regulación, residencia de datos o control de la infraestructura, una infraestructura on-premises para el cumplimiento, instalada en el entorno del propio cliente, puede ofrecer más control sobre dónde se alojan los datos de pago y los sistemas críticos.
Cuando compares proveedores, revisa:
- una Atestación de Cumplimiento vigente que mencione los servicios que usas y tenga fecha de los últimos 12 meses;
- el nivel que tiene el proveedor como proveedor de servicios;
- qué métodos de integración mantienen los datos de tarjeta fuera de tus sistemas;
- la compatibilidad con tokenización y 3D Secure;
- una matriz de responsabilidades que muestre qué requisitos de PCI DSS cubre el proveedor y cuáles quedan a tu cargo.
4. Identifica las brechas frente a los 12 requisitos de PCI DSS
Revisa la seguridad de red, las configuraciones de los sistemas, los datos almacenados, el cifrado, la protección contra malware, la seguridad del software, el control de acceso, los registros, las pruebas y las políticas internas de seguridad.
5. Prepara la documentación y las evidencias
Reúne políticas, diagramas de arquitectura, matrices de responsabilidad de los proveedores, resultados de escaneos, registros de acceso, registros de cambios y cualquier otra evidencia necesaria para la validación.
6. Completa la evaluación requerida
Según tu nivel y tu modelo de negocio, esto puede implicar completar un SAQ, trabajar con un Evaluador de Seguridad Calificado, preparar un Informe de Cumplimiento y presentar una Atestación de Cumplimiento.
7. Mantén el cumplimiento de forma continua
El cumplimiento de PCI DSS no es una tarea puntual. Los comercios y los proveedores de servicios necesitan monitoreo constante, pruebas periódicas, gestión de vulnerabilidades, revisiones de políticas y validación anual.
Cómo mantener el cumplimiento de PCI DSS con Akurateco
Akurateco ofrece software de pasarela de pago de marca blanca y de orquestación de pagos con 700+ integraciones de pagos para PSP y comercios. Es la capa de pasarela y orquestación que opera sobre los adquirentes y no procesa transacciones por sí misma.
Estado de la certificación
Akurateco está certificada PCI DSS, nivel 1, como proveedor de servicios. Su evaluación más reciente la realizó un QSA conforme a PCI DSS v4.0.1. Los clientes pueden solicitar la Atestación de Cumplimiento de Akurateco.
SaaS y on-premises: quién cubre qué
| Implementación | Qué cubre Akurateco | Tu responsabilidad |
|---|---|---|
| SaaS | El entorno certificado de la plataforma y sus controles | Tu checkout, integración, scripts, acceso administrativo y sistemas conectados |
| On-premises | El software, además de documentación y apoyo para la evaluación de tu QSA | Certificar tu propia infraestructura, además de todo lo indicado para SaaS |
Clientes con una página de pago que no cumple con PCI DSS
Para los comercios cuyas páginas de checkout no cumplen con PCI DSS, ofrecemos integración mediante una página de pago alojada (Hosted Payment Page, HPP) junto con un kit de desarrollo de software (SDK) que permite personalizarla por completo según el logotipo, la paleta de colores y otras preferencias de marca del cliente.
También pueden integrar una pasarela de pago mediante un APM de servidor a servidor (S2S) que redirige al usuario al servidor de Akurateco para pagar. Si trabajan con plataformas como WooCommerce o PrestaShop, los comercios pueden usar los plugins de integración de pasarela de pago que ofrece Akurateco.
Clientes con una página de pago que cumple con PCI DSS
Si la página de checkout de un comercio cumple con PCI DSS, puede elegir entre las siguientes opciones de integración:
- HPP
- API REST/API SOAP (S2S)
- SDK móvil
- Plugins para CMS
La integración por API de servidor a servidor pone los datos de tarjeta en tus sistemas; consulta la tabla de integración anterior para ver qué implica para tu alcance.
Para los comercios y los PSP que buscan su propia certificación, Akurateco ofrece apoyo para el cumplimiento de nivel 3 y nivel 4 para comercios y de nivel 2 para los PSP. Por ejemplo, TESS Payments empezó a operar en la plataforma SaaS de Akurateco en Catar y obtuvo la certificación PCI DSS junto con su licencia de PSP del Banco Central de Catar.
Como Akurateco colabora con Evaluadores de Seguridad Calificados (QSA), nuestros expertos pueden guiarte paso a paso durante todo el proceso de cumplimiento, desde la preparación de los documentos hasta la obtención de la certificación PCI DSS. También te proporcionamos la documentación de nuestra parte, incluidos los detalles de la arquitectura de nuestro sistema y otros documentos necesarios.
Conclusión
Una pasarela de pago que cumple con PCI DSS protege los datos de tarjeta de su lado del flujo de pago, pero cuánto trabajo de cumplimiento queda a tu cargo depende de cómo la integres. PCI DSS v4.0.1 es la versión que usan hoy todas las evaluaciones, y la plataforma de Akurateco está certificada en esa versión como proveedor de servicios de nivel 1.
Preguntas frecuentes sobre el cumplimiento de PCI DSS
¿Qué significa cumplir con PCI?
Cumplir con PCI significa seguir el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago, un conjunto de requisitos técnicos y operativos de seguridad para proteger los datos de las tarjetas de pago. Los comercios, los PSP, las pasarelas de pago y otros proveedores de servicios que manejan datos del titular de la tarjeta deben seguir los requisitos de PCI DSS según su papel en el flujo de pago.
¿Quién debe cumplir con PCI DSS?
Cualquier organización que almacene, procese o transmita datos del titular de la tarjeta, o que pueda afectar su seguridad, debe cumplir con PCI DSS. Esto incluye comercios, pasarelas de pago, PSP, procesadores, adquirentes y proveedores de servicios externos que intervienen en el procesamiento de pagos. Aunque un comercio use una pasarela de pago que cumple con PCI DSS, puede seguir teniendo responsabilidades de PCI DSS según cómo estén configurados su checkout, su sitio web, sus sistemas y sus proveedores.
¿Cuáles son los 12 requisitos de PCI DSS?
Los 12 requisitos de PCI DSS abarcan los controles de seguridad de red, las configuraciones seguras de los sistemas, la protección de los datos de cuenta almacenados, el cifrado de los datos del titular de la tarjeta en tránsito, la protección contra malware, el desarrollo seguro de software, el control de acceso, la autenticación de usuarios, las restricciones de acceso físico, el registro y la supervisión, las pruebas de seguridad periódicas y las políticas de seguridad de la información. En conjunto, definen cómo deben proteger las organizaciones los datos del titular de la tarjeta en sus sistemas de pago y procesos de negocio.
¿Cuánto tarda la certificación PCI DSS?
La certificación PCI DSS puede tardar desde unas semanas hasta varios meses, según el tamaño de la organización, su configuración de pagos, su madurez actual en seguridad y el tipo de validación requerido. Un comercio pequeño que usa una página de pago alojada que cumple con PCI DSS puede completar una autoevaluación más rápido, mientras que una pasarela de pago, un PSP o un proveedor de servicios más grande suele necesitar una evaluación más detallada con un Evaluador de Seguridad Calificado. Si hace falta corregir fallas, el plazo puede extenderse hasta que los sistemas, las políticas, la documentación y los controles de seguridad estén listos para la validación.
¿Cuál es la versión actual de PCI DSS?
La versión actual es PCI DSS v4.0.1. Se publicó en junio de 2024 y es la única versión activa desde que la v4.0 se retiró el 31 de diciembre de 2024. Los requisitos que la v4.0 introdujo con fecha futura son obligatorios desde el 31 de marzo de 2025. El PCI SSC empezó a recopilar comentarios para la próxima versión en 2026, pero las evaluaciones siguen usando la v4.0.1.
¿Con qué versión de PCI DSS está certificada Akurateco?
Akurateco está certificada PCI DSS v4.0.1, nivel 1, como proveedor de servicios. La certificación cubre la plataforma SaaS de Akurateco. Los clientes que usan Akurateco on-premises certifican su propia infraestructura, y Akurateco proporciona la documentación que necesita su QSA. En ambos modelos, los clientes siguen siendo responsables de su propio checkout, sus integraciones y sus sistemas conectados.
¿Qué diferencia hay entre una pasarela de pago que cumple con PCI y un procesador de pagos?
Una pasarela de pago transmite los datos de tarjeta desde el checkout hasta el adquirente o el procesador y devuelve el resultado de la autorización. Un procesador de pagos se encarga de la autorización y la liquidación con las redes de tarjetas y los bancos. Ambos deben cumplir con PCI DSS. Akurateco ofrece software de pasarela y orquestación que opera sobre adquirentes y procesadores, y no procesa transacciones por sí misma.
¿Cómo puedo comprobar si un proveedor de pasarela de pago cumple con PCI DSS?
Pide al proveedor su Atestación de Cumplimiento (AOC) vigente. Verifica que la AOC mencione los servicios que usas, que tenga fecha de los últimos 12 meses y, en el caso de un proveedor de servicios de nivel 1, que esté firmada por un QSA. Las marcas de tarjetas también publican listas de proveedores de servicios validados, por ejemplo el Global Registry of Service Providers de Visa.
¿PCI DSS es una ley?
No. PCI DSS es un estándar de la industria, no una ley. Las marcas de tarjetas lo hacen cumplir mediante sus acuerdos con los adquirentes, y los adquirentes trasladan los requisitos a los comercios y a los proveedores de servicios. El incumplimiento puede acarrear multas, comisiones de procesamiento más altas o la pérdida de la capacidad de aceptar tarjetas, y las leyes de protección de datos también pueden aplicarse si se produce una violación de datos de tarjeta.
