Um gateway de pagamento transmite dados de cartão entre o checkout e a adquirente, por isso está sujeito ao Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS). A versão atual do padrão é o PCI DSS v4.0.1, e a plataforma da Akurateco é certificada nessa versão como prestadora de serviços de nível 1.
Principais pontos:
- Desde 1º de janeiro de 2025, o PCI DSS v4.0.1 é a única versão ativa do padrão.
- Um gateway em conformidade cobre a própria plataforma. Seu checkout, sua integração e os sistemas conectados continuam no seu escopo do PCI DSS.
- O método de integração define sua forma de validação: uma página de pagamento hospedada ou um formulário de pagamento incorporado normalmente leva ao SAQ A; um formulário que envia os dados diretamente ao gateway, ao SAQ A-EP; e uma API servidor a servidor, ao SAQ D.
- A Akurateco é certificada PCI DSS v4.0.1, nível 1, como prestadora de serviços.
O que é um gateway de pagamento em conformidade com o PCI DSS?
Para entender o conceito, vamos dividi-lo em duas partes. Primeiro, vejamos o que é um gateway de pagamento.
Um gateway de pagamento é um software que viabiliza o processamento de transações: ele facilita as transações eletrônicas e a troca de dados de pagamento entre clientes, processadores de pagamentos, bandeiras de cartão, bancos emissores, bancos adquirentes e, por fim, comerciantes, garantindo uma transferência de fundos segura e eficiente. Em termos simples, é uma camada técnica que permite aos comerciantes aceitar pagamentos dos clientes.
A conformidade com o PCI DSS, muitas vezes chamada apenas de conformidade PCI, significa cumprir o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento. Trata-se de um conjunto de padrões de segurança obrigatórios e boas práticas definidos pelo Conselho de Padrões de Segurança da Indústria de Cartões de Pagamento (PCI SSC) para proteger os dados sensíveis de cartões de crédito e de pagamento dos clientes durante e depois do processamento das transações.
Agora, vamos juntar os dois conceitos. Um gateway de pagamento em conformidade com o PCI DSS é um software ou serviço que atende aos requisitos e padrões de segurança do PCI DSS. Se um gateway de pagamento tem certificação PCI DSS, isso indica que ele implementou as medidas de segurança necessárias para proteger dados sensíveis de cartão. Para o PCI DSS, um gateway é um prestador de serviços: ele transmite dados de cartão em nome dos comerciantes. No nível 1, um Avaliador de Segurança Qualificado (QSA) avalia o gateway todos os anos, e o resultado é documentado em um Relatório de Conformidade (ROC) e em um Atestado de Conformidade (AOC).
Entenda os requisitos do PCI DSS
O PCI DSS v4.0.1 se organiza em torno de 12 requisitos principais, que ajudam as organizações a proteger os dados do titular do cartão e a reduzir os riscos de segurança nos pagamentos. Esses requisitos se aplicam a comerciantes e prestadores de serviços que armazenam, processam ou transmitem dados do titular do cartão, ou que podem afetar a segurança desses dados.
Os 12 requisitos do PCI DSS são:
- Instalar e manter controles de segurança de rede.
- Aplicar configurações seguras a todos os componentes do sistema.
- Proteger os dados da conta armazenados.
- Proteger os dados do titular do cartão com criptografia forte durante a transmissão em redes abertas e públicas.
- Proteger todos os sistemas e redes contra software malicioso.
- Desenvolver e manter sistemas e softwares seguros.
- Restringir o acesso aos componentes do sistema e aos dados do titular do cartão de acordo com a necessidade de conhecimento do negócio.
- Identificar usuários e autenticar o acesso aos componentes do sistema.
- Restringir o acesso físico aos dados do titular do cartão.
- Registrar e monitorar todo o acesso aos componentes do sistema e aos dados do titular do cartão.
- Testar regularmente a segurança de sistemas e redes.
- Apoiar a segurança da informação com políticas e programas organizacionais.
Em termos práticos, o PCI DSS exige que as organizações deixem seus sistemas de pagamento seguros, protejam os dados de cartão armazenados e transmitidos, controlem o acesso aos ambientes de pagamento, monitorem a atividade, testem os sistemas com regularidade e mantenham políticas de segurança documentadas.
O que mudou no PCI DSS v4.0.1?
O PCI DSS v4.0.1 é a versão atual do padrão. Trata-se de uma revisão limitada da v4.0 que esclarece a redação e as orientações, sem acrescentar novos requisitos. As datas principais:
- Março de 2022: o PCI SSC publica o PCI DSS v4.0.
- 31 de março de 2024: a v3.2.1 é descontinuada.
- Junho de 2024: a v4.0.1 é publicada.
- 31 de dezembro de 2024: a v4.0 é descontinuada. A partir de 1º de janeiro de 2025, a v4.0.1 passa a ser a única versão ativa.
- 31 de março de 2025: os requisitos que a v4.0 introduziu com data futura se tornam obrigatórios.
As mudanças mais relevantes para as plataformas de pagamento vieram com a v4.0: autenticação multifator para todo acesso ao ambiente de dados do titular do cartão, senhas com pelo menos 12 caracteres, controles sobre os scripts executados nas páginas de pagamento, análises de risco direcionadas e uma abordagem personalizada para atender aos requisitos, disponível apenas em avaliações documentadas em um Relatório de Conformidade.
A plataforma da Akurateco é avaliada com base no PCI DSS v4.0.1. Em junho de 2026, o PCI SSC abriu uma consulta sobre a v4.0.1 como primeiro passo rumo à próxima versão do padrão. Até que uma nova versão seja publicada, as avaliações seguem a v4.0.1.
A importância da conformidade com o PCI DSS
A conformidade com o PCI DSS importa para todas as partes que lidam com dados de cartão, pelos motivos a seguir.
Obrigações legais
A conformidade com o PCI DSS não é opcional para nenhuma organização que aceita, processa, armazena ou transmite dados do titular do cartão. Ela é exigida pelos programas de conformidade das bandeiras, das adquirentes e dos parceiros de pagamento, e leis e regulamentações locais também podem se aplicar, dependendo do mercado. O descumprimento pode levar a multas, custos de processamento mais altos, mais exigências de auditoria ou até restrições ao processamento de pagamentos.
Segurança dos dados
Se o provedor do seu gateway não é validado segundo o PCI DSS, você não tem nenhuma garantia de que ele protege os dados de cartão. As consequências podem ser graves e vão de prejuízos financeiros a danos duradouros à reputação. A essência da certificação PCI DSS é proteger dados sensíveis do titular do cartão. A conformidade exige controles específicos contra acesso não autorizado, violações e roubo de dados de cartão.
Proteção financeira
O PCI DSS reduz a probabilidade de uma violação de dados e das multas, custos jurídicos e despesas de remediação que vêm depois dela.
Gestão da reputação
Uma violação de dados de cartão pode custar a um comerciante ou a um prestador de serviços de pagamento (PSP) uma confiança dos clientes difícil de recuperar.
Confiança do cliente
Sempre que quer fazer uma compra em um site, o cliente primeiro avalia se é seguro informar seus dados de pagamento. A conformidade com o PCI DSS sinaliza que os dados de cartão estão protegidos, o que deixa o cliente mais disposto a concluir a compra.
Como funciona um gateway de pagamento em conformidade com o PCI DSS
Um gateway de pagamento em conformidade com o PCI DSS viabiliza transações online seguras: ele criptografa e transmite os dados de cartão do cliente, obtém a autorização do banco emissor por meio da adquirente e devolve o resultado ao comerciante.
Para entender melhor como os gateways de pagamento funcionam, leia o artigo abaixo:
Como funciona um gateway de pagamento
O gateway protege os dados de cartão em todas as etapas da transação. Ele também pode oferecer tecnologias adicionais para proteger os clientes contra fraudes, como a autenticação 3D Secure, a tokenização (que substitui os dados reais do cartão por tokens gerados aleatoriamente) e a prevenção a fraudes em pagamentos, reforçando ainda mais a segurança.
Para manter a conformidade com o PCI DSS, os gateways de pagamento passam por auditorias e avaliações anuais que verificam se eles seguem os padrões de segurança.
Como o método de integração define seu escopo do PCI DSS
A forma como os dados de cartão chegam ao gateway determina quanto do seu próprio ambiente fica coberto pelo PCI DSS. As formas de validação abaixo são o resultado típico para comerciantes; a confirmação final cabe à sua adquirente ou ao seu QSA.
| Método de integração | Onde o cliente informa os dados de cartão | O que continua no seu escopo | Validação típica |
|---|---|---|---|
| Página de pagamento hospedada (redirecionamento) | Na página do gateway | O site que direciona os clientes para a página de pagamento | SAQ A |
| Formulário de pagamento incorporado (iframe) | No formulário do gateway, dentro da sua página | A página que incorpora o formulário; você também precisa confirmar que seu site não é suscetível a ataques baseados em scripts | SAQ A |
| Formulário de pagamento na sua própria página que envia os dados diretamente ao gateway | Na sua página, com envio direto ao gateway | Os servidores web e os scripts que entregam sua página de pagamento | SAQ A-EP |
| API servidor a servidor | Nos seus sistemas, que encaminham os dados ao gateway | Sua aplicação, servidores, rede e acesso administrativo | SAQ D (ROC no nível 1) |
| SDK mobile | No seu app, por meio do SDK do gateway | Seu app e seu back-end, dependendo de como o SDK trata os dados de cartão | Confirme com seu QSA |
Usar um gateway em conformidade não tira você do escopo. A avaliação do gateway cobre a própria plataforma dele. Você continua responsável pelo que controla: suas páginas de checkout e os scripts que rodam nelas, sua integração, o acesso administrativo, os logs e as ferramentas de suporte, além de qualquer sistema conectado ao fluxo dos dados de cartão.
Benefícios de usar um gateway de pagamento em conformidade com o PCI DSS
Um gateway em conformidade oferece aos comerciantes e PSPs os seguintes benefícios:
Conformidade legal e regulatória
As adquirentes e as bandeiras esperam que todo provedor que lida com dados de cartão em seu nome seja validado segundo o PCI DSS. Um gateway em conformidade cobre os controles do lado dele no fluxo de pagamento. Ele apoia a sua própria conformidade, mas não a substitui.
Controles de segurança que você não precisa construir
O gateway opera a criptografia, a tokenização, o controle de acesso, os registros de log e os testes de segurança que o PCI DSS exige para dados de cartão. No caso de um provedor de nível 1, um QSA verifica esses controles todos os anos.
Expansão global
Os padrões e requisitos do PCI DSS são reconhecidos internacionalmente e aceitos em muitos países. Por isso, os comerciantes que usam um gateway em conformidade podem aceitar transações no mundo todo e ampliar sua base de clientes, sabendo que atendem a padrões de segurança consolidados.
Um escopo do PCI DSS menor
Quando os clientes informam os dados de cartão na página hospedada do gateway ou no formulário incorporado dele, os números de cartão nunca chegam aos seus servidores. Menos sistemas seus ficam sujeitos ao PCI DSS, e sua validação anual fica mais curta. A tabela de integração acima mostra o resultado típico de cada método.
Nenhum número de cartão no seu banco de dados
Com a tokenização do gateway, você armazena um token em vez do número do cartão, e assim os pagamentos recorrentes e repetidos acontecem sem dados de cartão no seu banco de dados.
Níveis de conformidade com o PCI DSS
Os níveis de conformidade com o PCI DSS geralmente se baseiam no volume anual de transações. Os requisitos exatos de validação podem variar conforme a bandeira, a adquirente, a região e o modelo de negócios, então as organizações devem sempre confirmar a forma de validação final com o banco adquirente ou o parceiro de pagamento.
| Nível | Limite de volume de transações | Requisito de validação | Avaliador exigido |
|---|---|---|---|
| Nível 1 | Mais de 6 milhões de transações com cartão por ano, ou qualquer comerciante designado como nível 1 por uma bandeira ou adquirente | Relatório de Conformidade (ROC) e Atestado de Conformidade (AOC) anuais | Sim, normalmente um Avaliador de Segurança Qualificado (QSA) ou uma via aprovada de avaliação interna, onde for permitida |
| Nível 2 | De 1 milhão a 6 milhões de transações com cartão por ano | Questionário de Autoavaliação (SAQ) e Atestado de Conformidade (AOC) anuais, a menos que a adquirente ou a bandeira exija um ROC | Normalmente não para validação por SAQ, mas pode ser exigido pela adquirente ou pela bandeira |
| Nível 3 | De 20.000 a 1 milhão de transações de e-commerce com cartão por ano | SAQ e AOC anuais | Normalmente não, a menos que a adquirente ou a bandeira exija |
| Nível 4 | Menos de 20.000 transações de e-commerce com cartão por ano, ou até 1 milhão de transações com cartão no total por ano, dependendo das regras da bandeira ou da adquirente | SAQ e AOC anuais, conforme exigido pela adquirente ou pelo parceiro de pagamento | Normalmente não, a menos que a adquirente ou a bandeira exija |
Esses níveis se aplicam a comerciantes. Gateways de pagamento, PSPs e outros prestadores de serviços têm seus próprios dois níveis, definidos pelas bandeiras. O nível 1 geralmente abrange prestadores de serviços com mais de 300.000 transações com cartão por ano e exige um ROC anual feito por um QSA e varreduras de rede trimestrais feitas por um Fornecedor de Varredura Aprovado (ASV). O nível 2 abrange prestadores de serviços menores e permite uma autoavaliação. A Akurateco é certificada como prestadora de serviços de nível 1.
Quem precisa de um gateway de pagamento em conformidade com o PCI DSS?
O PCI DSS se aplica a qualquer organização que armazena, processa ou transmite dados do titular do cartão, ou cujos sistemas podem afetar a segurança desses dados.
Um gateway de pagamento PCI é essencial para comerciantes que processam transações com cartão, incluindo sites de e-commerce, serviços de assinatura, varejistas, marketplaces online e qualquer comerciante que lida com dados de cartão, para proteger esses dados durante o processamento das transações.
Ele também é obrigatório para os PSPs que oferecem seus serviços a comerciantes, para proteger os dados que tratam em nome deles.
Sistemas que se conectam ao ambiente de dados do titular do cartão também contam, e um servidor de pagamento em uma rede não segmentada pode trazer a rede inteira para o escopo.
Para saber como integrar um gateway ao seu site ou aplicativo, leia o artigo abaixo:
As quatro formas de conectar um gateway de pagamento e como cada uma afeta o escopo do PCI DSS.
Como alcançar a conformidade com o PCI DSS com bom custo-benefício
Veja um processo prático para lidar com a conformidade com o PCI DSS sem complicar demais o projeto. Para saber quanto custa cada etapa, consulte nosso guia de custos do PCI DSS.
1. Defina seu escopo do PCI DSS
Identifique onde os dados do titular do cartão são armazenados, processados ou transmitidos, ou onde podem ser afetados pelos seus sistemas, fornecedores, checkout, gateway de pagamento, integrações, logs, ferramentas de suporte e acesso administrativo.
2. Confirme seu nível de PCI DSS e sua forma de validação
Seu volume de transações, seu papel no fluxo de pagamento e as exigências da adquirente ou das bandeiras determinam se você precisa de um Questionário de Autoavaliação, um Relatório de Conformidade, um Atestado de Conformidade ou uma avaliação conduzida por um QSA.
3. Escolha a configuração de pagamento certa
Um gateway em conformidade, como a plataforma de gateway de pagamento white label da Akurateco, combinado com uma página de pagamento hospedada, tokenização ou uma camada de orquestração de pagamentos, reduz a quantidade de dados de cartão que passa pelos seus sistemas. A segmentação de rede mantém os sistemas que continuam no escopo separados do restante da sua infraestrutura. Para organizações com requisitos mais rígidos de regulação, residência de dados ou controle da infraestrutura, uma infraestrutura on-premises para conformidade, instalada no ambiente do próprio cliente, pode oferecer mais controle sobre onde ficam hospedados os dados de pagamento e os sistemas críticos.
Ao comparar provedores, verifique:
- um Atestado de Conformidade atual, que mencione os serviços que você usa e tenha data dos últimos 12 meses;
- o nível do provedor como prestador de serviços;
- quais métodos de integração mantêm os dados de cartão fora dos seus sistemas;
- o suporte a tokenização e 3D Secure;
- uma matriz de responsabilidades que mostre quais requisitos do PCI DSS o provedor cobre e quais ficam com você.
4. Analise as lacunas em relação aos 12 requisitos do PCI DSS
Verifique segurança de rede, configurações de sistemas, dados armazenados, criptografia, proteção contra malware, segurança de software, controle de acesso, registros de log, testes e políticas internas de segurança.
5. Prepare a documentação e as evidências
Reúna políticas, diagramas de arquitetura, matrizes de responsabilidade dos provedores, resultados de varreduras, registros de acesso, registros de mudanças e outras evidências necessárias para a validação.
6. Conclua a avaliação exigida
Dependendo do seu nível e do seu modelo de negócios, isso pode envolver preencher um SAQ, trabalhar com um Avaliador de Segurança Qualificado, preparar um Relatório de Conformidade e enviar um Atestado de Conformidade.
7. Mantenha a conformidade de forma contínua
A conformidade com o PCI DSS não é uma tarefa pontual. Comerciantes e prestadores de serviços precisam de monitoramento constante, testes regulares, gestão de vulnerabilidades, revisões de políticas e validação anual.
Como manter a conformidade com o PCI DSS com a Akurateco
A Akurateco oferece software de gateway de pagamento white label e de orquestração de pagamentos com 700+ integrações de pagamentos para PSPs e comerciantes. Ela é a camada de gateway e orquestração que opera sobre as adquirentes e não processa transações por conta própria.
Status da certificação
A Akurateco é certificada PCI DSS, nível 1, como prestadora de serviços. A avaliação mais recente foi realizada por um QSA com base no PCI DSS v4.0.1. Os clientes podem solicitar o Atestado de Conformidade da Akurateco.
SaaS e on-premises: quem cobre o quê
| Implantação | O que a Akurateco cobre | Sua responsabilidade |
|---|---|---|
| SaaS | O ambiente certificado da plataforma e seus controles | Seu checkout, integração, scripts, acesso administrativo e sistemas conectados |
| On-premises | O software, além de documentação e suporte para a avaliação do seu QSA | A certificação da sua própria infraestrutura, além de tudo o que está listado para SaaS |
Clientes com uma página de pagamento sem conformidade com o PCI DSS
Para comerciantes cujas páginas de checkout não estão em conformidade com o PCI DSS, oferecemos integração por página de pagamento hospedada (Hosted Payment Page, HPP), combinada com um kit de desenvolvimento de software (SDK) que permite personalização completa conforme o logotipo, as cores e outras preferências de marca do cliente.
Eles também podem integrar um gateway de pagamento via APM servidor a servidor (S2S), que redireciona o usuário para o servidor da Akurateco para fazer o pagamento. Se trabalham com plataformas como WooCommerce ou PrestaShop, os comerciantes podem usar os plugins de integração de gateway de pagamento que a Akurateco oferece.
Clientes com uma página de pagamento em conformidade com o PCI DSS
Se a página de checkout do comerciante está em conformidade com o PCI DSS, ele pode escolher entre as opções de integração abaixo:
- HPP
- API REST/API SOAP (S2S)
- SDK mobile
- Plugins para CMS
A integração por API servidor a servidor coloca os dados de cartão nos seus sistemas; veja na tabela de integração acima o que isso significa para o seu escopo.
Para comerciantes e PSPs que buscam a própria certificação, a Akurateco oferece suporte à conformidade de nível 3 e nível 4 para comerciantes e de nível 2 para PSPs. Por exemplo, a TESS Payments entrou em operação na plataforma SaaS da Akurateco no Catar e obteve a certificação PCI DSS junto com sua licença de PSP do Banco Central do Catar.
Como a Akurateco trabalha com Avaliadores de Segurança Qualificados (QSAs), nossos especialistas podem orientar você passo a passo em todo o processo de conformidade, da preparação dos documentos à obtenção da certificação PCI DSS. Também fornecemos a documentação do nosso lado, incluindo detalhes sobre a arquitetura do nosso sistema e outros documentos necessários.
Conclusão
Um gateway de pagamento em conformidade com o PCI DSS protege os dados de cartão do lado dele no fluxo de pagamento, mas quanto do trabalho de conformidade fica com você depende de como você o integra. O PCI DSS v4.0.1 é a versão usada em todas as avaliações hoje, e a plataforma da Akurateco é certificada nessa versão como prestadora de serviços de nível 1.
Perguntas frequentes sobre conformidade com o PCI DSS
O que significa estar em conformidade com o PCI?
Estar em conformidade com o PCI significa seguir o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento, um conjunto de requisitos técnicos e operacionais de segurança para proteger dados de cartões de pagamento. Comerciantes, PSPs, gateways de pagamento e outros prestadores de serviços que lidam com dados do titular do cartão precisam seguir os requisitos do PCI DSS de acordo com seu papel no fluxo de pagamento.
Quem precisa estar em conformidade com o PCI DSS?
Qualquer organização que armazena, processa ou transmite dados do titular do cartão, ou que pode afetar a segurança desses dados, precisa cumprir o PCI DSS. Isso inclui comerciantes, gateways de pagamento, PSPs, processadores, adquirentes e prestadores de serviços terceirizados envolvidos no processamento de pagamentos. Mesmo que um comerciante use um gateway de pagamento em conformidade com o PCI DSS, ele ainda pode ter responsabilidades perante o PCI DSS, dependendo de como estão configurados seu checkout, seu site, seus sistemas e seus provedores.
Quais são os 12 requisitos do PCI DSS?
Os 12 requisitos do PCI DSS abrangem controles de segurança de rede, configurações seguras de sistemas, proteção dos dados da conta armazenados, criptografia dos dados do titular do cartão em trânsito, proteção contra malware, desenvolvimento seguro de software, controle de acesso, autenticação de usuários, restrições de acesso físico, registro e monitoramento, testes de segurança regulares e políticas de segurança da informação. Juntos, eles definem como as organizações devem proteger os dados do titular do cartão em todos os sistemas de pagamento e processos de negócio.
Quanto tempo leva a certificação PCI DSS?
A certificação PCI DSS pode levar de algumas semanas a vários meses, dependendo do porte da organização, da configuração de pagamentos, da maturidade atual em segurança e do tipo de validação exigido. Um comerciante menor que usa uma página de pagamento hospedada em conformidade com o PCI DSS pode concluir uma autoavaliação mais rápido, enquanto um gateway de pagamento, um PSP ou um prestador de serviços maior geralmente precisa de uma avaliação mais detalhada com um Avaliador de Segurança Qualificado. Se for preciso corrigir falhas, o prazo pode se estender até que sistemas, políticas, documentação e controles de segurança estejam prontos para a validação.
Qual é a versão atual do PCI DSS?
A versão atual é o PCI DSS v4.0.1. Ela foi publicada em junho de 2024 e é a única versão ativa desde que a v4.0 foi descontinuada, em 31 de dezembro de 2024. Os requisitos que a v4.0 introduziu com data futura são obrigatórios desde 31 de março de 2025. O PCI SSC começou a coletar sugestões para a próxima versão em 2026, mas as avaliações ainda seguem a v4.0.1.
Em qual versão do PCI DSS a Akurateco é certificada?
A Akurateco é certificada PCI DSS v4.0.1, nível 1, como prestadora de serviços. A certificação cobre a plataforma SaaS da Akurateco. Clientes que usam a Akurateco on-premises certificam a própria infraestrutura, e a Akurateco fornece a documentação de que o QSA deles precisa. Nos dois modelos, os clientes continuam responsáveis pelo próprio checkout, pelas integrações e pelos sistemas conectados.
Qual é a diferença entre um gateway de pagamento em conformidade com o PCI e um processador de pagamentos?
Um gateway de pagamento transmite os dados de cartão do checkout para a adquirente ou o processador e devolve o resultado da autorização. Um processador de pagamentos cuida da autorização e da liquidação com as bandeiras e os bancos. Ambos precisam estar em conformidade com o PCI DSS. A Akurateco oferece software de gateway e orquestração que opera sobre adquirentes e processadores e não processa transações por conta própria.
Como verificar se um provedor de gateway de pagamento está em conformidade com o PCI DSS?
Peça ao provedor o Atestado de Conformidade (AOC) atual. Verifique se o AOC menciona os serviços que você usa, se tem data dos últimos 12 meses e, no caso de um prestador de serviços de nível 1, se foi assinado por um QSA. As bandeiras também publicam listas de prestadores de serviços validados, como o Global Registry of Service Providers da Visa.
O PCI DSS é uma lei?
Não. O PCI DSS é um padrão do setor, não uma lei. As bandeiras o aplicam por meio dos contratos com as adquirentes, e as adquirentes estendem os requisitos aos comerciantes e prestadores de serviços. O descumprimento pode resultar em multas, taxas de processamento mais altas ou na perda da capacidade de aceitar cartões, e as leis de proteção de dados também podem se aplicar se houver uma violação de dados de cartão.
