SAQ (cuestionario de autoevaluación)

Un cuestionario de autoevaluación (SAQ) es una herramienta de validación para informar los resultados de una autoevaluación PCI DSS. Está dirigido a comercios y proveedores de servicios que cumplan los requisitos para usar un SAQ, es decir, aquellos a los que ningún adquirente ni marca de pago exige presentar un Informe de cumplimiento completo 1. La elegibilidad depende de los programas de cumplimiento de las marcas de pago y de los criterios establecidos en el SAQ elegido 1.

Existen varios tipos de SAQ, cada uno adaptado a un entorno de pago. El SAQ A, por ejemplo, cubre a los comercios que operan sin presencia física de la tarjeta y que subcontratan por completo las funciones de datos de cuenta a terceros que cumplen la norma, mientras que el SAQ B cubre las impresoras manuales de tarjetas y los terminales independientes de marcación 8. El SAQ D corresponde a los comercios elegibles que no encajan en ningún otro tipo 3. Los proveedores de servicios que pueden autoevaluarse utilizan únicamente el SAQ D para proveedores de servicios 8.

En la práctica, la agencia de viajes debería:

• Contrastar su entorno de pago con los criterios de elegibilidad de los SAQ y confirmar que los cumple todos antes de comenzar 12.
• No dar por hecho que un SAQ permanece igual entre PCI DSS v3.2.1 y v4.x, y leer la versión vigente completa 2.
• Consultar con su adquirente o con las marcas de pago si puede utilizar un SAQ y si estos tienen instrucciones específicas 18.

El SAQ que corresponde lo determinan el manejo real de tarjetas por parte de la agencia y lo que exija el adquirente o la marca de pago, no la preferencia de la agencia 2.