PCI DSS
O questionário PCI DSS que sua agência envia todo ano. Preparado no formulário oficial.
Definimos qual SAQ corresponde à forma como sua agência recebe cartões, preenchemos o questionário do PCI Security Standards Council com seus dados e entregamos pronto para assinar, com um aviso antes do vencimento.
Em resumo
Agências de viagens que aceitam cartões de pagamento nas vendas BSP precisam cumprir o PCI DSS e validá-lo todo ano, normalmente com um questionário de autoavaliação (SAQ). O tipo depende de como os cartões são recebidos: SAQ A para links de pagamento e sites que redirecionam para a página de pagamento do provedor ou a incorporam, SAQ A-EP quando o site da agência gera o formulário de pagamento, SAQ C-VT para um terminal virtual e SAQ D quando dados de cartão são guardados em formato eletrônico.
Tipos de SAQ
Qual SAQ serve para sua agência.
O questionário segue o caminho dos dados de cartão dentro da sua agência, não o tamanho da agência nem o modelo de credenciamento.
| SAQ | Configuração típica da agência | Varreduras ASV | O que fazemos |
|---|---|---|---|
| SAQ A | Links de pagamento enviados ao cliente; nenhum dado de cartão digitado nos seus sistemas | Não exigidas | Nós preparamos |
| SAQ A | Site que redireciona para a página de pagamento do provedor ou a incorpora | Trimestrais | Nós preparamos e fazemos as varreduras |
| SAQ A-EP | Site que gera o próprio formulário de pagamento (direct post ou JavaScript) | Trimestrais | Revisamos sua configuração e preparamos com você |
| SAQ C-VT | Dados de cartão digitados um a um no terminal virtual de um provedor, sem guardar nada | Não exigidas | Nós preparamos |
| SAQ D | Números de cartão guardados em formato eletrônico: arquivos, e-mails, planilhas ou observações do GDS | Trimestrais | Dizemos isso na primeira chamada e ajudamos a encontrar um QSA |
Os SAQ B, B-IP, C e P2PE se aplicam a maquininhas e softwares de pagamento em um ponto de venda físico. Se algum deles servir melhor para sua agência, dizemos isso na primeira chamada.
01 · Partidas
Descubra seu SAQ em um clique.
Cartão de embarqueO cliente paga na página do provedor e os dados do cartão nunca passam pelos seus sistemas: o questionário mais curto, sem varreduras.
Uma orientação, não uma decisão: confirmamos seu tipo de SAQ pelos critérios de elegibilidade do PCI SSC antes de preparar qualquer coisa.
O que está incluído
Tudo, até a sua assinatura.
- O mapeamento de cada canal por onde dados de cartão entram na sua agência: telefone, e-mail, site, GDS e links de pagamento.
- O tipo de SAQ aplicável, com uma explicação por escrito dos critérios de elegibilidade que o definiram.
- O questionário oficial do PCI SSC preenchido com os dados da sua agência, e a respectiva Attestation of Compliance.
- Varreduras ASV trimestrais quando seu SAQ as exige, com acompanhamento de cada achado.
- Uma lista curta de práticas que não atenderiam a um requisito, com uma correção prática para cada uma.
- Um aviso sessenta dias antes do vencimento do SAQ, para que a renovação do ano seguinte comece no prazo.
O que precisamos de você
- Como você aceita cartões hoje, incluindo qualquer provedor de site ou de links de pagamento.
- Os dados legais da sua agência e o código IATA, e o nome e o cargo de quem assina.
- Seu SAQ e sua attestation anteriores, se existirem.
03 · Plano de voo
Três trechos. Você só pilota o último.
- Trecho 1 · Check-in
Responda a um questionário curto
Como você recebe cartões, os dados da sua agência e quem assina. Uma vez só, por e-mail ou na sua conta gratuita.
- Trecho 2 · Em voo
Nós preparamos tudo
O SAQ certo no formulário oficial do PCI SSC, mais as varreduras ASV agendadas quando seu SAQ as exige.
- Trecho 3 · Chegada
Você revisa, assina e envia
Um PDF pronto para enviar à IATA e um aviso antes da renovação do ano seguinte.
02 · Piloto automático
Depois da decolagem, ficamos de vigia.
Varreduras ASV trimestrais
Quando seu SAQ exige varreduras externas, um Approved Scanning Vendor reconhecido pelo PCI SSC analisa seu site a cada trimestre. Agendamos cada varredura, acompanhamos os achados e adicionamos cada relatório aprovado ao seu dossiê.
Renovações que nunca escapam
Guardamos suas respostas e suas datas. Sessenta dias antes do vencimento do seu SAQ, entramos em contato para renová-lo.
Formulários oficiais. Sempre.
Seu SAQ é o próprio questionário do PCI Security Standards Council, preenchido com os dados da sua agência e pronto para enviar à IATA. Nada refeito, nada resumido.
Perguntas frequentes
Agências de viagens IATA precisam de PCI DSS?
Sim, se aceitam cartões de pagamento nas vendas BSP. A IATA pede que os agentes credenciados que recebem com cartão cumpram o PCI DSS e validem essa conformidade todo ano, normalmente com um questionário de autoavaliação (SAQ) e a respectiva Attestation of Compliance.
Qual SAQ uma agência de viagens precisa?
Depende de como a agência recebe cartões. Links de pagamento, ou um site que redireciona para a página de pagamento do provedor ou a incorpora, costumam significar SAQ A. Um site que gera o próprio formulário de pagamento significa SAQ A-EP. Digitar cartões no terminal virtual de um provedor significa SAQ C-VT. Guardar números de cartão em formato eletrônico significa SAQ D. Confirmamos o tipo pelos critérios de elegibilidade do PCI SSC antes de prepará-lo.
O que é uma varredura ASV e quando ela é obrigatória?
Uma varredura externa de vulnerabilidades dos seus sistemas expostos à internet, feita por um Approved Scanning Vendor listado pelo PCI Security Standards Council. É obrigatória pelo menos a cada três meses quando seu SAQ inclui o requisito 11.3.2: por exemplo, o SAQ A de uma agência cujo site redireciona para a página de pagamento ou a incorpora, e o SAQ A-EP.
Vocês enviam o SAQ à IATA por nós?
Não. O SAQ é uma declaração da sua agência, por isso uma pessoa autorizada da agência o assina e envia. Nós o entregamos completo e pronto para assinar, e dizemos o que você precisa enviar.
Quanto tempo leva?
De uma a duas semanas a partir do momento em que temos suas respostas, dependendo principalmente da rapidez da sua equipe. Renovações de clientes atuais costumam ficar prontas em poucos dias.
Agências GoLite precisam de PCI DSS?
Se a agência aceita cartões de pagamento na venda de bilhetes, sim. O modelo de credenciamento muda a forma de liquidar com o BSP, não se as regras sobre cartões se aplicam.
O que acontece se não enviarmos?
A falta de conformidade tem consequências pelas regras da IATA sobre vendas com cartão, até a perda da possibilidade de aceitar cartões nas vendas BSP, e expõe a agência contratualmente perante o seu adquirente.
Com que frequência o SAQ precisa ser renovado?
Todo ano. A conformidade PCI DSS é validada anualmente, e de novo sempre que muda a forma de receber cartões, por exemplo com um site novo ou um novo provedor de pagamento.
O SAQ é em inglês?
Sim, preparamos o questionário oficial em inglês publicado pelo PCI SSC. Explicamos cada pergunta no seu idioma e guardamos as respostas no seu dossiê para o ano seguinte.
Vocês podem nos deixar em conformidade com o PCI?
Garantimos que seu questionário é o correto e respondido com veracidade, fazemos as varreduras ASV que ele exige e dizemos o que precisa mudar onde uma prática não atende a um requisito. Não fazemos testes de intrusão nem trabalhos técnicos de correção.
Última chamada
Pronto para embarcar?
Primeira vez ou renovação, seu PCI DSS preparado por especialistas em conformidade para agências de viagens.
