PCI DSS i dane kart

Standard PCI DSS (Payment Card Industry Data Security Standard) obowiązuje każdy podmiot, który przyjmuje, przetwarza, przesyła lub przechowuje dane kart płatniczych — w tym każdy sklep internetowy akceptujący płatności kartą, nawet jeśli dane kart nigdy nie pojawiają się bezpośrednio na jego serwerze. Pytanie nie brzmi "czy PCI DSS mnie dotyczy", tylko "w jakim zakresie" — a zakres zależy od tego, jak zaprojektowana jest integracja.

Poziomy merchantów w PCI DSS

Merchanci (sklepy akceptujące karty) są klasyfikowani na cztery poziomy według rocznej liczby transakcji kartowych dla danej sieci (Visa, Mastercard). Próg brany pod uwagę to zwykle największa z sieci, z którymi współpracujesz. Klasyfikacja określa formę, w jakiej musisz wykazać compliance — nie sam zestaw wymagań technicznych, które są wspólne dla wszystkich poziomów.

Poziom	Roczna liczba transakcji kartowych	Forma walidacji
Level 1	Ponad 6 mln	Coroczny audyt zewnętrzny (Report on Compliance) przez akredytowanego QSA + kwartalne skany ASV
Level 2	1–6 mln	Coroczna samoocena (SAQ) + kwartalne skany ASV; niektóre sieci wymagają podpisu QSA
Level 3	20 tys. – 1 mln transakcji e-commerce	Coroczna samoocena (SAQ) + kwartalne skany ASV
Level 4	Poniżej 20 tys. transakcji e-commerce lub do 1 mln łącznie	Coroczna samoocena (SAQ); skany ASV zwykle wymagane, ale zakres określa acquirer

Dla większości sklepów integrujących się z Paymentic właściwą formą samooceny będzie SAQ A — najkrótszy wariant kwestionariusza, przeznaczony dla merchantów, którzy całkowicie outsourcują obsługę danych kartowych do zewnętrznego, certyfikowanego dostawcy (czyli do nas). Poziom 1 nie eliminuje prawa do SAQ A — jeśli merchant Level 1 spełnia warunki SAQ A, raport roczny również dotyczy tego zakresu, po prostu jest walidowany przez QSA zamiast samodzielnie.

notatka

Ostateczną decyzję o Twoim poziomie i formie raportowania podejmuje acquirer (bank rozliczający) — to on komunikuje się z organizacjami kartowymi i odbiera od Ciebie dokumenty compliance. Jeśli nie masz pewności, na którym poziomie jesteś i jaki SAQ Cię obowiązuje, zacznij od kontaktu z nami.

Zasada: Twój serwer nigdy nie powinien widzieć numeru karty

Integracja z Paymentic została zaprojektowana tak, aby sklep nigdy nie przetwarzał ani nie przechowywał pełnych danych karty. Konsument wprowadza PAN, CVV i datę ważności wyłącznie na infrastrukturze Paymentic — przez hosted payment page, bezpośrednie przekierowanie na stronę płatności albo hosted fields Card SDK osadzone w iframe z domeny Paymentic. Twój backend operuje wyłącznie na identyfikatorach transakcji i tokenach.

Dzięki temu Twój sklep — choć formalnie nadal podlega PCI DSS — kwalifikuje się do najprostszej formy samooceny, SAQ A (Self-Assessment Questionnaire A). W wersji PCI DSS 4.0 SAQ A zawiera ok. 20 pytań kontrolnych skupionych wokół zabezpieczenia domeny, integracji z dostawcą i polityk organizacyjnych — zamiast kilkuset pytań SAQ D obowiązującego przy pełnej integracji server-to-server, w której merchant sam obsługuje dane kart.

Czego unikać

Wprowadzenie nawet niewielkiego fragmentu przepływu kart na własną infrastrukturę natychmiast podnosi scope compliance. Konkretnie:

• Nie buduj własnego formularza kartowego w swoim domain scope, który następnie przesyła dane do Paymentic — to eskaluje Twój SAQ z A do A-EP, ze znacząco większym zakresem wymagań.
• Nie loguj pełnego PAN-u (16 cyfr) w logach aplikacji, systemach APM, narzędziach debug, nawet "tylko w DEV-ie". Maskuj do formatu 411111******1111 już na poziomie middleware.
• Nie przekazuj CVV przez żaden własny system — CVV nie może być przechowywany przez nikogo po autoryzacji, zgodnie z PCI DSS req. 3.3.2.
• Nie przechowuj PAN-u w ogóle po swojej stronie, nawet "do celów analitycznych" czy "dla raportowania". Do rozpoznawania kart powracających klientów służą tokeny kartowe, które Paymentic udostępnia w odpowiedzi transakcyjnej.

Co jest bezpieczne do przechowywania

Po stronie sklepu możesz bez ograniczeń PCI przechowywać:

• Token karty udostępniony przez Paymentic (nieodwracalny identyfikator, bezużyteczny poza naszym systemem)
• Ostatnie 4 cyfry PAN-u — do wyświetlania na ekranie jako "Karta ···· 1234"
• Markę karty (Visa, Mastercard, itd.)
• Miesiąc i rok ważności karty — w kontekście UX, nie autoryzacji

Są to informacje sklasyfikowane poza scope PCI DSS i mogą trafić do zwykłej bazy danych, logów analitycznych, systemu CRM.

informacja

Niniejszy dokument jest skrótem dla integratorów i nie zastępuje konsultacji z QSA ani wewnętrznego audytu. Zakres PCI DSS zależy od konkretnej implementacji; jeśli masz wątpliwości co do swojego SAQ, zacznij od pytania do acquirera, a w kwestiach technicznych po stronie integracji napisz do nas na tech@paymentic.com.

Słowniczek PCI DSS

Skrót	Rozwinięcie	Znaczenie
PCI DSS	Payment Card Industry Data Security Standard	Standard bezpieczeństwa danych kart płatniczych obowiązujący każdy podmiot, który je przyjmuje, przetwarza, przesyła lub przechowuje.
PCI SSC	Payment Card Industry Security Standards Council	Organizacja powołana przez organizacje kartowe, która utrzymuje PCI DSS i akredytuje asesorów oraz dostawców skanów.
PAN	Primary Account Number	Pełny numer karty. Podstawowy element danych kartowych.
CHD	Cardholder Data	Dane posiadacza karty: co najmniej PAN, opcjonalnie imię i nazwisko, data ważności i kod serwisowy.
SAD	Sensitive Authentication Data	Dane uwierzytelniające, m.in. kody CVV2/CVC2/CID. Nie wolno ich przechowywać po autoryzacji.
CDE	Cardholder Data Environment	Ludzie, procesy i technologia, które przetwarzają dane kart. Przy integracji z Paymentic CDE leży po stronie Paymentic.
SAQ	Self-Assessment Questionnaire	Kwestionariusz samooceny. Wariant (A, A-EP, D itd.) zależy od tego, jak zaprojektowana jest integracja.
AOC	Attestation of Compliance	Formalne poświadczenie wyniku oceny PCI DSS, dołączane do SAQ lub RoC.
RoC	Report on Compliance	Szczegółowy raport z audytu PCI DSS, wymagany od merchantów Level 1.
QSA	Qualified Security Assessor	Firma akredytowana przez PCI SSC do przeprowadzania audytów PCI DSS na miejscu.
ASV	Approved Scanning Vendor	Firma akredytowana przez PCI SSC do kwartalnych zewnętrznych skanów podatności.
POI	Point of Interaction	Punkt, w którym dane karty są odczytywane, np. terminal płatniczy.
TLS	Transport Layer Security	Protokół szyfrujący komunikację sieciową, następca SSL. Wymagany dla wszystkich połączeń z API Paymentic.

Oficjalne definicje i dokumenty standardu publikuje PCI Security Standards Council.