Certificação PCI: como funciona, regras e quanto custa

Está sem tempo de ler agora? Que tal ouvir o artigo? Experimente no player abaixo!

Todo empreendedor cuja missão é encontrar a melhor solução de pagamentos para o seu negócio busca informações sobre ferramentas modernas no Brasil. Gateways, adquirentes, subadquirentes, emissores e certificação PCI são os termos da indústria mais buscados na internet.

E ao procurar o fornecedor ideal de soluções modernas, é importante saber que existem dois mundos na indústria: os pagamentos digitais ou online, feitos pela internet; e os presenciais, realizados em uma compra física por meio de um terminal (maquininha).

Neste contexto, você já pensou, por exemplo, em como funciona a transação entre o cliente, o estabelecimento, a adquirente, a bandeira do cartão e o banco emissor? E quem é responsável por garantir o cumprimento das regras do jogo?

Neste artigo, explicaremos todo o processo com foco no que é o documento PCI, certificação referente às bandeiras de cartões de crédito. Acompanhe!

Para que servem as bandeiras de cartões de crédito?

As bandeiras de cartões de crédito, débito e pré-pago são consideradas a “marca” do cartão. Afinal, concedem as licenças que definem quem pode aceitar e pagar produtos e serviços com o dispositivo.

Uma das vantagens que alavancou o uso de cartões de crédito é que as bandeiras operam globalmente, o que permite que um usuário compre em qualquer lugar do mundo que aceite uma determinada bandeira.

Assim, essas empresas criaram uma grande rede que possibilita que trocas comerciais aconteçam em qualquer canto do planeta por meio da tecnologia.

De forma geral, as bandeiras servem para:

• afiliar emissores (bancos), adquirentes e subadquirentes;
• liberar o licenciamento do uso da tecnologia de comunicação necessária aos emissores e às credenciadoras;
• administrar a relação entre emissores e credenciadoras para permitir o processamento das transações.

Vale lembrar: as bandeiras não processam as operações, apenas viabilizam que aconteçam.

Como as bandeiras funcionam na prática?

As adquirentes, (intermediárias do pagamento) que operam internacionalmente, se comunicam por meio da bandeira de cartão de crédito com os emissores locais para autorizar as compras.

Dessa forma, as bandeiras criaram serviços aos emissores que permitem que o fluxo transacional aconteça de forma ininterrupta. Ou seja, sem interrupções ou falhas que impeçam a conclusão das operações.

Além disso, são responsáveis por programas de benefícios, como milhagem e salas VIP em aeroportos, e usam o marketing para fidelizar clientes e incentivar o uso dos cartões.

Passo a passo de uma transação com senha

Após entender como as bandeiras se conectam a emissores e adquirentes para viabilizar as compras, vale saber o que acontece na prática, no momento exato do pagamento em uma maquininha de cartão.

Funciona assim: o cliente insere seu cartão na maquininha e autoriza, mediante a digitação da senha, a cobrança do valor em questão. Assim que ocorre a confirmação da senha, o adquirente captura os dados da transação e os envia para a bandeira.

A bandeira, por sua vez, valida os dados com o emissor do cartão (banco), que verifica se o cliente tem saldo ou limite de crédito para concluir a compra.

Em seguidaDepois, o emissor se comunica novamente com a bandeira para aprovar ou não a transação, e o adquirente envia a resposta ao lojista por meio da maquininha (“compra aprovada”).

Contudo, para que sua empresa receba a permissão de operar com as principais bandeiras de cartão de crédito e débito, é preciso obter a certificação PCI DSS.

Antes de avançar, vale esclarecer o que significa a sigla PCI: trata-se do padrão internacional de segurança de dados para operações com cartões.

O que é a certificação PCI?

A certificação PCI (Payment Card Industry), também conhecida como PCI DSS (Payment Card Industry Data Security Standard), é um documento que padroniza a segurança de dados para proteger as informações dos clientes e as operações online e presenciais. Seu objetivo é prevenir fraudes e golpes.

Esse padrão internacional reúne regras e requisitos rigorosos de segurança para as empresas que processam, armazenam ou transmitem dados de cartões de pagamento, como crédito, débito e pré-pago.

Foi criada em 2004 pelas principais bandeiras de cartão, como Visa, MasterCard, American Express, Discover e JCB.

De modo geral, a certificação PCI DSS tem as seguintes funções:

• garantir a segurança da rede contra invasões;
• proteger os dados sensíveis do titular do cartão, como nome, validade, número e código de segurança;
• realizar testes de segurança frequentemente;
• controlar o acesso aos dados e sistemas financeiros;
• manter a atualização das políticas e regras de segurança.

Qual a importância da certificação PCI para as empresas?

Além de proteger os dados dos clientes, evitar vazamento de informações e garantir mais segurança para quem usa o cartão em suas transações, a certificação PCI DSS evita multas, penalidades e o descredenciamento da empresa pelas bandeiras de cartões.

Sem falar que melhora a reputação da marca no mercado,mostrando que mostra compromisso com a segurança do seu público. E como consequência, seus consumidores confiam no negócio para realizar compras seguras.

Outro benefício é facilitar a aceitação de pagamentos, pois as empresas certificadas podem aceitar cartão de crédito e débito para vender seus produtos ou serviços.

Quais são os diferentes papéis em uma transação?

O Banco Central definiu no Marco Regulatório da Indústria, que o mercado de pagamentos necessita de um agente que determine e gerencie as regras gerais de uma operação. E as bandeiras de cartões de crédito exercem essa função, pois ditam o funcionamento desse sistema.

Por sua vez, as empresas adquirentes, também conhecidas como credenciadoras, têm a licença das bandeiras para credenciar os estabelecimentos comerciais para a aceitação de seus cartões na aquisição de bens e serviços.

Além disso, também são as responsáveis por capturar as transações, transmitir os dados às bandeiras de cartões de crédito, processar e liquidar as operações financeiras para a conta dos estabelecimentos credenciados.

Já os emissores detêm a licença das bandeiras para emitir os cartões, oferecer crédito e estabelecer limites aos portadores. Também se responsabilizam por validar se o portador do cartão está liberado para realizar uma transação.

Geralmente, os emissores de cartões são bancos que já têm os dados financeiros dos clientes, porém, existem startups que criaram modelos de negócio baseados na emissão de cartão pré e pós-pago e não obtêm, necessariamente, uma licença para atuar como instituição financeira. Alguns exemplos são Neon, Brex e Nubank.

Bem, agora que você entendeu o que é o documento PCI e seu processo na oferta de pagamentos via cartão, confira as etapas e regras para a sua empresa obter essa certificação.

Quais as etapas e as regras para a PCI?

Ao entender o fluxo de uma transação quando falamos sobre a autorização de um pagamento feito em uma maquininha, é fundamental abordar sob a ótica de quem desenvolve a tecnologia implementada nesses dispositivos.nas maquininhas.

A Zoop, por exemplo, tem tecnologias que rodam em maquininhas, como o POS. Entretanto, a solução por si só não garante a adequação necessária para operar um fluxo de pagamentos: é preciso que o software tenha a certificação das bandeiras de cartão.

Resumimos a seguir as etapas e as regras para o PCI, caso sua empresa queira implementar a solução por conta própria.

• O negócio deve ter uma ferramenta certificadora das bandeiras;
• Precisa se tornar um adquirente ou se integrar aà alguma empresa que tenha o serviço de subadquirência (ou facilitador) para utilizar o simulador da bandeira de cartão de crédito a ser certificada;
• Deve ter uma equipe especializada em certificação de bandeiras;
• Para cada equipamento (maquininha), é necessário pelo menos um certificado por bandeira. Ou seja: o equipamento X do fabricante Y precisa realizar a certificação para cada uma das bandeiras, como Visa e MasterCard;
• É preciso pagar à empresa credenciada para obter a Carta de Aprovação (LOA) a cada aprovação por equipamento e bandeira.

Saiba mais: O que é tokenização de bandeira? Quais as vantagens dessa tecnologia?

Quais os principais dados da PCI DSS?

Os dados da PCI DSS se dividem em 12 requisitos que se agrupam em seis objetivos para reduzir riscos de fraudes e garantir a conformidade com padrões globais de segurança. Veja os principais abaixo.

1. Criar e manter uma rede segura

• Instalar e manter firewalls e controles de segurança de rede;
• Aplicar configurações seguras para sistemas, evitar senhas padrão e remover serviços desnecessários.

2. Proteger os dados do titular do cartão

• Proteger dados armazenados ao criptografar informações sensíveis;
• Criptografar a transmissão dos dados em redes públicas e privadas para evitar interceptações.

3. Manter um programa de gerenciamento de vulnerabilidades

• Atualizar softwares antivírus regularmente;
• Desenvolver e manter sistemas seguros e aplicativos livres de vulnerabilidades.

4. Implementar controles rigorosos de acesso

• Restringir o acesso aos dados e sistemas com base na necessidade de conhecimento;
• Atribuir identificação única para cada usuário e usar autenticação forte;
• Restringir o acesso físico aos dados e componentes do sistema.

5. Monitorar e testar redes regularmente

• Registrar e monitorar todos os acessos a dados e sistemas;
• Testar continuamente sistemas e processos para identificar vulnerabilidades.

6. Manter uma política de segurança da informação

• Criar, manter e revisar políticas e procedimentos de segurança da informação que suportem todos os outros requisitos.

Quanto tempo leva para obter a certificação PCI?

Além de cumprir os requisitos e as regras, existe uma dinâmica comercial, em que é necessário entrar em contato com as bandeiras para solicitar a autorização e iniciação do processo de certificação de um equipamento. Esse procedimento pode demorar cerca de 30 dias.

Em uma segunda fase, são elencadas todas as especificações técnicas para seguir o processo. Após ter tudo em mãos, acontece a terceira etapa, que foca na criação de uma matriz de informação em que se valida se o equipamento atende aos requisitos exigidos pela bandeira.

O prazo de todo o processo de certificação pode levar em torno de um mês. Afinal, imagine: o caminho entre colocar a senha e receber a nota fiscal da compra efetuada leva apenas segundos para o cliente final, mas, no background, é preciso regularizar os equipamentos com a bandeira.

Leia também: Métodos de pagamento: 7 dicas de segurança da informação

Qual é a principal penalidade para uma empresa que não cumpre o PCI DSS?

Já falamos que a bandeira é responsável por definir as regras de uso dos cartões e fazer a ponte entre credenciador e emissor. Dessa forma, garante-se uma análise necessária para verificar riscos relacionados a cada tentativa de compra.

Em outras palavras, funciona como intermediário entre o consumidor e o estabelecimento, e essa interface garante segurança ao sistema financeiro, além de reduzir os custos de operação para as instituições financeiras.

Afinal, pagar com cartão no ato da compra é mais barato operacionalmente do que pagar com dinheiro físico, depositar em um caixa eletrônico e transferir para outra conta bancária.

O mais importante é que, com a validação dos requisitos, um equipamento estará apto a capturar transações com cartão. Sem as devidas certificações, pode ser considerado um terminal “pirata”, ou seja, que opera fora das regras e normas vigentes.

As consequências envolvem multas e penalidades aplicadas pelas empresas da bandeira do cartão, bancos e adquirentes. E já adiantamos: os valores podem variar conforme o tamanho do negócio, a quantidade de transações e a gravidade das ações.

Dessa forma, além da multa financeira, as penalidades podem incluir:

• impossibilidade de processar pagamentos com cartão;
• custos para reemissão de cartões;
• ações judiciais;
• investigações forenses.

Sem falar na perda da confiança do cliente e na má reputação da sua marca no mercado.

Quanto custa a PCI DSS?

O negócio deve contar com uma ferramenta certificadora das bandeiras, cujo custo gira em torno de R*$ 91 mil. Além disso, é necessário pagar a uma empresa credenciada para obter a Carta de Aprovação (LOA), que custa cerca de R$ 50 mil para cada aprovação por equipamento e bandeira.*

Ou seja, se a sua empresa deseja ter apenas um modelo de maquininha com a sua marca que aceite três bandeiras, veja aproximadamente quanto custa a PCI DSS neste caso:

• R$ 91 mil pela ferramenta certificadora;
• R$ 50 mil por cada Carta de Aprovação, o que totaliza R$ 150 mil para três bandeiras.

Somado, o valor chega a R$ 241 mil, sem considerar custos adicionais, como equipe de certificação, integração com o adquirente ou obtenção da licença de adquirência junto às bandeiras, o que pode elevar o investimento total para alguns milhões de reais.

Como a Zoop ajuda sua empresa com a certificação PCI?

A plataforma Zoop oferece soluções de captura em maquininhas e adquirência white label. Portanto, sua empresa pode configurar suas marcas nos terminais, sem a necessidade de investir em custo de certificação PCI DSS ou estrutura de adquirência.

Ou seja: a Zoop resolve tudo para você começar a operar rápido!

Todo equipamento que tem uma solução white label da Zoop é certificado pelas principais bandeiras de aceitação nacional e tem um conjunto de certificações para operacionalizar a produção.

Além disso, contamos com um time responsável por atender os requisitos necessários para garantir a certificação com as bandeiras. Também realizamos inúmeros testes com o objetivo de analisar se os equipamentos homologados estão de acordo com as regras vigentes.

E tem mais: cobrimos todos os elos da cadeia de cobrança e recebimento dos valores ao oferecer diversos serviços, como:

• credenciamento;
• proteção de dados do comprador;
• certificação PCI;
• conta digital;
• liquidação na conta bancária dos clientes de nossos parceiros;
• atendimento a desenvolvedores e empreendedores.

Ao reunir várias soluções, a Zoop torna o processo de inserção de empresas no mercado de pagamentos mais simples, rápido e seguro. Temos soluções de prateleira, como o software POS, pronto para operar.

Parceiros que já utilizam a plataforma, além de uma redução expressiva em custos de desenvolvimento e certificação, economizam o maior ativo do mundo: o tempo!

Quer saber mais? Fale com um especialista da Zoop e entenda como funciona, na prática, o uso das maquininhas de cartão. Boas vendas!