PCI Compliance

PCI DSS es la tarjeta industry’s seguridad standard, y it applies a cada comercio ese stores, processes o transmits datos del titular de la tarjeta — including yours. RapidCents es validated as un PCI DSS Level 1 service provider, que covers el RapidCents environment y nothing beyond it. Este page sets out qué ese validation does y does no cover, que cuestionario de autoevaluación (SAQ) su acceptance method puts usted en, y qué remains yours a complete each year.

1. Qué PCI DSS es, y quién it binds

El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) (PCI DSS) es un set de seguridad requirements published por el PCI Seguridad Standards Council y enforced por Visa, Mastercard, Amex, Discover y el otro Tarjeta Networks mediante su operating rules. It es un contractual standard rather than un statute, y it reaches su comercio mediante su contrato de servicios de comercio y el rules de el networks whose tarjetas usted accept.

It binds cada party ese stores, processes o transmits datos del titular de la tarjeta, y cada party whose systems could affect el seguridad de ese data. Ese includes comerciantes de cada size y volume, service providers such as RapidCents, y en practice el software vendors, platforms y integrators ese sit anywhere en el pago path.

Cómo much de el standard applies a usted depends en cómo tarjeta data flows mediante su systems. Ese es un question Acerca de su integration, no Acerca de su industry, su revenue o cómo many transacciones usted run.

2. RapidCents as a Level 1 service provider

RapidCents es un PCI DSS Level 1 service provider, el level ese carries el most demanding validation requirements. Maintaining it involves en-site audits, internal y external vulnerability scanning — con external scans performed por Approved Scanning Vendors (ASV) — penetration testing y inspection against el standard.

Ese validation covers el RapidCents procesamiento environment: la pasarela de pagos, página de pago alojada, pago links, Rapid.js, tokenización y el seguro tarjeta vault, el panel de control del comercio y terminal virtual, y el infrastructure behind them. El Seguridad Estado de cuenta describes el controls operating en ese environment.

El practical effect para usted es architectural. Because tarjeta data es captured en un RapidCents-controlled surface y returned a su systems as un token, most de el standard’s technical requirements have nothing en su environment a attach a. Ese es qué keeps un typical RapidCents comerciante en un short questionnaire.

3. Shared responsibility: qué nuestro validation does no cover

Nuestro compliance es ours; yours es yours. Using RapidCents puede make su validation far shorter. It never removes it.

RapidCents’ Level 1 status es evidence Acerca de RapidCents’ systems. It es no, y cannot ser, evidence Acerca de yours. No service provider’s compliance transfers a un comerciante: under el Red de tarjetas rules, each comerciante validates its own compliance, para its own environment, cada year. UN provider ese tells usted its certification makes usted compliant es describing something el rules do no permit.

Qué using RapidCents changes es el size de el job, no whether el job exists. Keeping tarjeta data off su systems reduces qué has a ser assessed; it does no remove el obligation a assess y attest a qué remains.

En cada configuration, el following stay con usted:

Section D de el Services Agreement states el same division en contractual Términos — clause D.2 places PCI DSS compliance para su systems, processes y personnel con usted — y el Seguridad Estado de cuenta describes dónde RapidCents’ own controls stop.

• Quién has access a su panel de control del comercio, su systems y su terminals, y cómo ese access es granted y removed.
• Cómo su staff handle tarjeta numbers taken por phone, por mail order o across un counter.
• El seguridad de el networks, servers, endpoints, point-de-sale devices y terminals usted control.
• El versions su integration, plugins y terminal software run, y cómo promptly they son updated.
• Su internal autorización de reembolsos y de charges made against stored pago methods.
• Completing su annual cuestionario de autoevaluación (SAQ) y attestation, y any scanning su SAQ type requires.

4. Cómo usted accept pagos decides que SAQ usted complete

El questionnaire follows su data flow, no su industry. Tarjeta data ese never touches su servers es qué keeps usted en el short one.

UN cuestionario de autoevaluación (SAQ) (SAQ) es el validation instrument para comerciantes no required a undergo un full en-site assessment. Several exist, y el one ese applies es determined por cómo usted actually accept pagos. El mapping below covers el common RapidCents configurations as un guide; su own pago flow decides su SAQ, y su adquirente — o un evaluador de seguridad calificado (QSA) dónde one es involved — confirms it.

El distance entre el shortest questionnaire y el longest es measured en months de work, que es why el data flow es worth designing deliberately rather than discovering during un assessment.

• SAQ UN — tarjeta handling fully outsourced. Página de pago alojada, pago links, o Rapid.js embedded fields dónde la tarjeta es posted desde el cliente’s navegador directly a RapidCents y never reaches su servers. El shortest questionnaire, concerned mostly con el third parties usted rely en, el policies around them, y confirming ese el delegation es real.
• SAQ B o B-IP — validated standalone terminals. Tarjeta-present acceptance en standalone validated terminals con no electronic storage de datos del titular de la tarjeta en su systems: SAQ B para terminals en un dial-out connection, SAQ B-IP para standalone terminals connected over IP. UN narrow questionnaire Acerca de device handling, physical control y el connection.
• SAQ D — su systems store, process o transmit tarjeta data. UN custom proceso de pago ese relays la tarjeta mediante su own server, tarjeta numbers typed into su CRM o order system, o any electronic storage de datos del titular de la tarjeta. El full requirement set applies, together con quarterly external scanning por un ASV, y en ese point compliance es un programme rather than un form.
• Otro questionnaires exist para configurations este list does no describe, including SAQ C, SAQ C-VT y SAQ P2PE. If none de el above matches su setup, confirm el right one con su adquirente rather than assuming.

5. Qué quietly changes su scope

Scope usually grows mediante ordinary operational decisions rather than mediante un decision a start handling tarjeta data. Each de el following puede move un comercio desde un short questionnaire a el long one, often months antes de anyone notices:

If any de these describes cómo su comercio now operates, reassess que SAQ applies immediately rather than waiting para su next validation date. UN comerciante validated en SAQ UN while operating en un SAQ D flow es no validated en all.

• Building un custom proceso de pago ese posts la tarjeta a su server antes de it reaches RapidCents.
• Taking tarjeta numbers over el phone y typing them into un CRM, un order form o un ticket a ser processed later.
• Keeping una tarjeta number en un spreadsheet, un shared drive, un email thread, un chat message o un call recording.
• Letting un integration, complemento (plugin), point-de-sale application o terminal drift onto un unsupported version.
• Adding un channel — un new storefront, un mobile app, un mercado en línea (marketplace), un franchise location — sin asking dónde tarjeta data goes en it.

6. Data usted must never store

Some data puede never ser kept después de autorización, por anyone, en any form. Encrypting it does no make it allowed.

PCI DSS prohibits el storage de datos confidenciales de autenticación después de autorización. El prohibition es absolute: cifrado does no make it permissible, y it applies whether el data sits en un database, un spreadsheet, un scanned form, un call recording o un paper notebook.

Dónde usted have un genuine reason a keep un método de pago en file, keep un RapidCents token instead de la tarjeta number. UN token es un reference solo RapidCents puede resolve back a el credential, y en its own it cannot ser used elsewhere. Holding tokens rather than tarjeta numbers es qué keeps stored pago methods out de su assessment scope.

RapidCents applies el same prohibition a itself: it does no store CVV, PINs, EMV chip data o magnetic-stripe data. Datos del titular de la tarjeta RapidCents does retain es encrypted con AES using 256-bit keys y held apart desde public-facing web servers.

• Tarjeta verification values — CVV, CVC o CID — el digits printed en la tarjeta y used a verify tarjeta no presente transacciones.
• PINs, y any PIN block, en any form.
• Full magnetic-stripe (track) data after authorization.
• Full EMV chip data after authorization.

7. El PCI non-compliance comisión

Completing su validation es qué removes la comisión. Paying la comisión does no make usted compliant.

It es common practice across el pagos industry a apply un monthly PCI non-compliance comisión a comerciantes quién have no completed y recorded su annual validation. Dónde una comisión de este kind applies a su RapidCents cuenta, it es disclosed en su Precios schedule rather than appearing sin notice.

La comisión es no un pago para compliance y it does no satisfy el standard. Completing su questionnaire y attestation y recording them against su cuenta es qué removes la comisión going forward — y, más a el point, es qué actually addresses el requirement. UN comerciante quién pays la comisión cada month y never validates carries el full liability de un non-compliant comerciante en un breach.

If usted have been charged un non-compliance comisión y su validation es current, send RapidCents su attestation so la cuenta record puede ser corrected.

8. Requesting RapidCents’ Atestación de cumplimiento (AOC)

Un Atestación de cumplimiento (AOC) (AOC) es el document signed en el conclusion de un validation, confirming its outcome y el environment it covered. Cuando un cliente, un partner, un insurer, un procurement team o su own seguridad reviewers ask para evidence Acerca de el pago environment behind usted, el AOC es el document a request.

Ask mediante su RapidCents cuenta Contacto o mediante Soporte, y say quién es asking y qué they need it para. UN vendor-risk questionnaire, un procurement review y un bid response generally call para different levels de detail.

Two limits son worth stating plainly. RapidCents’ AOC evidences el RapidCents environment solo, so un reviewer assessing su comercio will still need su own SAQ y attestation — handing over ours does no answer un question Acerca de yours. Y un AOC es un point-en-time document tied a un validation period, so check ese el copy usted pass en es el current one.

9. If usted suspect un compromise

If usted know o reasonably suspect ese tarjeta data o credentials associated con su cuenta de comerciante have been compromised, tell RapidCents immediately, por email a both[email protected]y[email protected]. Ese es qué clause D.2 de el Services Agreement requires, en 2.3, para any suspected, alleged o confirmed compromised data evento, regardless de its source y including one affecting su own third-party service providers; el Agreement gives usted no período de gracia y fixes no number de hours. Reporting early es qué preserves su options; reporting late narrows them.

Qué usted do en el first hours matters más than qué usted do en el first week:

A report un vulnerability en un RapidCents product — as distinct desde un compromise de su own environment — use el route described en/legal/vulnerability-disclosure.

• Preserve evidence. Do no reimage, wipe o rebuild affected systems, y do no delete logs; un forensic investigator needs exactly qué un clean rebuild destroys.
• Contain rather than erase: take el affected system off el network, rotate credentials y API keys, y revoke active sessions.
• Do no send tarjeta numbers, o files containing them, por email o chat while investigating.
• Expect ese el Tarjeta Networks may require un investigation por un approved forensic investigator, y cooperate con it as su contrato de servicios de comercio requires.
• Consider su own separate obligations: Privacidad law may require usted a report un breach de seguridad safeguards a un regulator y a el individuals affected, en un timeline de its own.

10. Annual re-validation

PCI DSS validation es annual. Completing un questionnaire once does no carry forward: usted re-attest each year, y usted re-attest against el version de el standard then en force, que es revised periodically. If su acceptance method puts usted en SAQ D, usted también maintain quarterly external scanning por un ASV throughout el year, con passing results.

Re-validate against cómo usted take pagos today rather than cómo usted took them en su last attestation, y re-validate out de cycle whenever ese changes — un new proceso de pago, un new sales channel, un new phone-order process o un new integration puede change que questionnaire applies well antes de su anniversary date.

RapidCents cannot complete su questionnaire o attest en su behalf, y nothing en este page es un determination ese su comercio es compliant. Su adquirente, y un evaluador de seguridad calificado (QSA) dónde one es engaged, confirms que validation applies a usted y accepts it.