Glossário
SAQ (questionário de autoavaliação)
Em resumo
O SAQ do PCI DSS é uma ferramenta de validação que comerciantes e prestadores de serviços elegíveis usam para realizar e relatar a própria autoavaliação do PCI DSS. Existem várias versões, conforme o cenário de pagamento.
O Self-Assessment Questionnaire (questionário de autoavaliação) é uma ferramenta de validação para relatar os resultados de uma autoavaliação do PCI DSS. Destina-se a comerciantes e prestadores de serviços elegíveis ao SAQ, ou seja, aqueles que não são obrigados por um adquirente ou por uma bandeira de pagamento a enviar um Report on Compliance completo 1. A elegibilidade depende dos programas de conformidade das bandeiras e dos critérios definidos no SAQ escolhido 1.
Há vários tipos de SAQ, cada um adequado a um ambiente de pagamento. O SAQ A, por exemplo, abrange comerciantes de cartão não presente que terceirizam integralmente as funções de dados de conta a terceiros em conformidade, enquanto o SAQ B abrange máquinas de impressão manual (imprinters) e terminais independentes com discagem 8. O SAQ D destina-se a comerciantes elegíveis que não se enquadram em nenhum outro tipo 3. Os prestadores de serviços que podem fazer autoavaliação usam somente o SAQ D para Prestadores de Serviços 8.
Na prática, a agência deve:
- Comparar seu ambiente de pagamento com os critérios de elegibilidade do SAQ e confirmar que atende a todos eles antes de começar 12.
- Não presumir que um SAQ permanece inalterado entre o PCI DSS v3.2.1 e o v4.x, e ler a versão atual por completo 2.
- Verificar com seu adquirente ou com as bandeiras de pagamento se pode usar um SAQ e se há instruções específicas 18.
O SAQ aplicável é definido pela forma como a agência realmente lida com cartões e pelo que o adquirente ou a bandeira exige, e não por preferência 2.
Fontes
- 1PCI DSS Self-Assessment Questionnaire Instructions and Guidelines, Version 4.0.1 Revision 1 (April 2025), página 6
- 2PCI DSS Self-Assessment Questionnaire Instructions and Guidelines, Version 4.0.1 Revision 1 (April 2025), 3. For each requirement that was met with a compensating control, respond to that requ..., página 10
- 3PCI DSS Self-Assessment Questionnaire Instructions and Guidelines, Version 4.0.1 Revision 1 (April 2025), P2PE solutions on the PCI list of Point-to-Point Solutions with Expired Validations are..., página 27
- 8PCI DSS Self-Assessment Questionnaire Instructions and Guidelines, Version 4.0.1 Revision 1 (April 2025), 3. For each requirement that was met with a compensating control, respond to that requ..., página 8
Para saber mais
- Como podemos ajudar: SAQ PCI DSS
As definições são escritas somente a partir de documentos de referência da IATA e do BSP, e cada regra cita o trecho em que se baseia. As regras podem variar conforme o mercado e a companhia aérea: confira os procedimentos locais do seu BSP antes de agir. A Wisepassenger é independente e não é afiliada à IATA.
