PCI DSS
El cuestionario PCI DSS que su agencia presenta cada año. Preparado en el formulario oficial.
Determinamos qué SAQ corresponde a cómo cobra su agencia con tarjeta, completamos el cuestionario del PCI Security Standards Council con sus datos y se lo entregamos listo para firmar, con un aviso antes de que venza.
En resumen
Las agencias de viajes que aceptan tarjetas de pago en sus ventas BSP deben cumplir con PCI DSS y acreditarlo cada año, normalmente con un cuestionario de autoevaluación (SAQ). El tipo depende de cómo se cobra: SAQ A para enlaces de pago y para webs que redirigen a la página de pago del proveedor o la integran, SAQ A-EP cuando la web de la agencia genera el formulario de pago, SAQ C-VT para un terminal virtual y SAQ D cuando se guardan datos de tarjeta en formato electrónico.
Tipos de SAQ
Qué SAQ corresponde a su agencia.
El cuestionario sigue el camino de los datos de tarjeta dentro de su agencia, no el tamaño de la agencia ni su modelo de acreditación.
| SAQ | Configuración habitual de la agencia | Escaneos ASV | Qué hacemos |
|---|---|---|---|
| SAQ A | Enlaces de pago enviados al cliente; ningún dato de tarjeta se introduce en sus sistemas | No necesarios | Lo preparamos nosotros |
| SAQ A | Web que redirige a la página de pago del proveedor o la integra | Trimestrales | Lo preparamos y realizamos los escaneos |
| SAQ A-EP | Web que genera el formulario de pago (direct post o JavaScript) | Trimestrales | Revisamos su configuración y lo preparamos con usted |
| SAQ C-VT | Datos de tarjeta introducidos en el terminal virtual de un proveedor, uno a uno, sin guardar nada | No necesarios | Lo preparamos nosotros |
| SAQ D | Números de tarjeta guardados en formato electrónico: archivos, correo, hojas de cálculo u observaciones del GDS | Trimestrales | Se lo decimos en la primera llamada y le ayudamos a encontrar un QSA |
Los SAQ B, B-IP, C y P2PE se aplican a terminales de tarjeta y software de pago en un punto de venta físico. Si alguno encaja mejor con su agencia, se lo decimos en la primera llamada.
01 · Salidas
Encuentre su SAQ en un clic.
Tarjeta de embarqueEl cliente paga en la página del proveedor y los datos de tarjeta nunca pasan por sus sistemas: el cuestionario más corto y sin escaneos.
Es una orientación: confirmamos el tipo de SAQ con los criterios de elegibilidad del PCI SSC antes de preparar nada.
Qué incluye
Todo hasta su firma.
- Un mapa de cada canal por el que entran datos de tarjeta en su agencia: teléfono, correo, web, GDS y enlaces de pago.
- El tipo de SAQ que corresponde, con una explicación escrita de los criterios de elegibilidad que lo deciden.
- El cuestionario oficial del PCI SSC completado con los datos de su agencia, y su Attestation of Compliance.
- Escaneos ASV trimestrales cuando su SAQ los exige, con seguimiento de lo que encuentre cada escaneo.
- Una lista breve de cualquier práctica que incumpla un requisito, con una solución práctica para cada una.
- Un aviso sesenta días antes de que venza el SAQ, para que la renovación del año siguiente empiece a tiempo.
Qué necesitamos de usted
- Cómo acepta tarjetas hoy, incluido cualquier proveedor de web o de enlaces de pago.
- Los datos legales de su agencia y su código IATA, y el nombre y el cargo de la persona que firma.
- Su SAQ y su attestation anteriores, si los hay.
03 · Plan de vuelo
Tres tramos. Usted solo vuela el último.
- Tramo 1 · Facturación
Responda un breve cuestionario
Cómo cobra con tarjeta, los datos de su agencia y quién firma. Una sola vez, por correo o en su cuenta gratuita.
- Tramo 2 · En vuelo
Nosotros lo preparamos todo
El SAQ que le corresponde en el formulario oficial del PCI SSC, y los escaneos ASV programados cuando su SAQ los exige.
- Tramo 3 · Llegada
Usted revisa, firma y presenta
Un PDF listo para presentar a IATA y un aviso antes de la renovación del año siguiente.
02 · Piloto automático
Tras el despegue, seguimos de guardia.
Escaneos ASV trimestrales
Cuando su SAQ exige escaneos externos, un Approved Scanning Vendor reconocido por el PCI SSC analiza su web cada trimestre. Programamos cada escaneo, damos seguimiento a lo que encuentre y añadimos cada informe superado a su expediente.
Renovaciones que no se escapan
Guardamos sus respuestas y sus fechas. Sesenta días antes de que venza su SAQ, le contactamos para renovarlo.
Formularios oficiales. Siempre.
Su SAQ es el cuestionario oficial del PCI Security Standards Council, completado con los datos de su agencia y listo para presentar a IATA. Nada rehecho, nada resumido.
Preguntas frecuentes
¿Las agencias de viajes IATA necesitan PCI DSS?
Sí, si aceptan tarjetas de pago en sus ventas BSP. IATA pide a los agentes acreditados que cobran con tarjeta que cumplan con PCI DSS y que lo acrediten cada año, normalmente con un cuestionario de autoevaluación (SAQ) y su Attestation of Compliance.
¿Qué SAQ necesita una agencia de viajes?
Depende de cómo cobra la agencia con tarjeta. Los enlaces de pago, o una web que redirige a la página de pago del proveedor o la integra, suelen implicar el SAQ A. Una web que genera su propio formulario de pago implica el SAQ A-EP. Introducir tarjetas en el terminal virtual de un proveedor implica el SAQ C-VT. Guardar números de tarjeta en formato electrónico implica el SAQ D. Confirmamos el tipo con los criterios de elegibilidad del PCI SSC antes de prepararlo.
¿Qué es un escaneo ASV y cuándo es obligatorio?
Es un escaneo externo de vulnerabilidades de sus sistemas expuestos a internet, realizado por un Approved Scanning Vendor incluido en la lista del PCI Security Standards Council. Es obligatorio al menos una vez cada tres meses cuando su SAQ incluye el requisito 11.3.2: por ejemplo, el SAQ A de una agencia cuya web redirige a la página de pago o la integra, y el SAQ A-EP.
¿Ustedes presentan el SAQ a IATA por nosotros?
No. El SAQ es una declaración que hace su agencia, así que lo firma y lo presenta una persona autorizada de la agencia. Nosotros se lo entregamos completo y listo para firmar, y le indicamos qué tiene que enviar.
¿Cuánto tarda?
Entre una y dos semanas desde que tenemos sus respuestas, sobre todo según la rapidez con la que responda su equipo. Las renovaciones de clientes que ya trabajan con nosotros suelen quedar listas en días.
¿Las agencias GoLite necesitan PCI DSS?
Si la agencia acepta tarjetas de pago en la venta de billetes, sí. El modelo de acreditación cambia cómo liquida usted con el BSP, no si le aplican las normas sobre manejo de tarjetas.
¿Qué ocurre si no lo presentamos?
El incumplimiento tiene consecuencias según las normas de IATA sobre ventas con tarjeta, que pueden llegar a la pérdida de la capacidad de aceptar tarjetas en ventas BSP, y expone a la agencia contractualmente frente a su adquirente.
¿Cada cuánto hay que renovar el SAQ?
Cada año. El cumplimiento de PCI DSS se acredita anualmente, y también cuando cambia la forma de cobrar con tarjeta, por ejemplo con una web nueva o un nuevo proveedor de pagos.
¿El SAQ está en inglés?
Sí, preparamos el cuestionario oficial en inglés que publica el PCI SSC. Le explicamos cada pregunta en su idioma y guardamos las respuestas en su expediente para el año siguiente.
¿Pueden hacer que cumplamos con PCI?
Nos aseguramos de que su cuestionario es el correcto y está respondido con veracidad, realizamos los escaneos ASV que exige y le decimos qué debe cambiar allí donde una práctica incumple un requisito. No hacemos tests de intrusión ni trabajos técnicos de remediación.
Última llamada
¿Listo para el embarque?
Primera vez o renovación, su PCI DSS preparado por especialistas en cumplimiento para agencias de viajes.
