A conformidade PCI em call centers é um dos âmbitos mais complexos da conformidade PCI DSS porque o problema surge num canal que por natureza não foi concebido para a segurança dos dados de cartão: o telefone. Cada vez que um operador ouve o número de cartão de um cliente, esse operador, o seu posto de trabalho, o sistema de gravação de chamadas e toda a infraestrutura telefónica entram no perímetro do CDE. Existem soluções técnicas precisas para eliminar este problema, sem sacrificar a experiência do cliente.
O problema PCI no call center: o operador que ouve o PAN
Nos pagamentos MOTO (Mail Order / Telephone Order), o cliente comunica verbalmente o número de cartão ao operador, que o introduz no sistema de pagamento. Este esquema simples cria um problema de conformidade enorme: o operador tem acesso direto ao PAN, o sistema de gravação de chamadas captura-o em texto não cifrado, e qualquer sistema ligado ao posto do operador entra no CDE. O perímetro a certificar torna-se todo o call center.
Os requisitos PCI DSS para um call center que gere PAN incluem controlos físicos nos postos de trabalho (sem telemóveis pessoais, sem papel e caneta), políticas de acesso granulares, monitorização contínua das sessões e regras precisas sobre a gravação de áudio. Proibir a gravação de chamadas durante a fase de comunicação do PAN é um requisito, mas é tecnicamente difícil de implementar de forma fiável sem soluções dedicadas.
DTMF e IVR: as duas soluções técnicas para os pagamentos telefónicos
A solução mais eficaz para eliminar o PAN da interação com o operador é o DTMF (Dual-Tone Multi-Frequency). Com esta tecnologia, quando chega o momento do pagamento, o cliente introduz o número de cartão através do teclado do telefone em vez de o comunicar verbalmente. Os tons DTMF são capturados diretamente pelo sistema de telefonia e enviados ao vault de tokenização, sem passar nunca pelo áudio que o operador ouve. O call center fica eliminado do âmbito PCI.
A segunda solução é o IVR (Interactive Voice Response): um sistema automático que gere toda a fase de recolha do pagamento sem intervenção humana. O cliente é transferido temporariamente para o sistema IVR, introduz os dados de cartão, e depois volta a ligar-se ao operador para completar o atendimento. Ambas as soluções podem ser integradas com a PCI Proxy EU através de API padrão compatíveis com os principais sistemas de telefonia e contact center as a service.
Como a PCI Proxy EU elimina o call center do âmbito PCI
A integração da PCI Proxy EU no fluxo MOTO funciona do seguinte modo: quando o operador inicia uma transação, o sistema gera uma sessão de pagamento segura. O cliente introduz o número de cartão através de DTMF ou IVR; os tons são interceptados e enviados diretamente ao vault da PCI Proxy EU, que devolve um token. O operador apenas vê o token na sua interface: nunca tem acesso ao PAN real.
O resultado prático é que o call center, os postos dos operadores, os sistemas de gravação de chamadas e a infraestrutura telefónica saem do perímetro PCI DSS. Permanece em âmbito apenas o vault da PCI Proxy EU, que está certificado PCI DSS Level 1. Para a empresa, isto significa menos documentação, menos controlos, menos custos de conformidade, com a mesma capacidade operacional de aceitar pagamentos telefónicos.
Perguntas frequentes
A gravação de chamadas está sempre proibida no âmbito PCI?
Não está proibida de forma absoluta, mas o PCI DSS exige que os dados de autenticação sensíveis (incluindo CVV e dados da faixa) nunca sejam gravados, nem sequer em forma de áudio. Se a gravação capturar o momento em que o cliente comunica o número de cartão, essa gravação não cumpre o padrão. Com o DTMF, os tons são eliminados do fluxo de áudio antes de chegarem ao sistema de gravação, o que torna possível a gravação completa de forma conforme.
O DTMF também funciona com números 900 e gratuitos?
Sim. O DTMF é um protocolo padrão de telefonia compatível com qualquer infraestrutura telefónica, incluindo números gratuitos e sistemas VoIP. A implementação exige que o fornecedor de telefonia suporte a descodificação dos tons DTMF e os passe ao sistema da PCI Proxy EU. A maioria dos contact center as a service modernos suporta esta funcionalidade de forma nativa.
Quanto tempo demora a integrar uma solução DTMF?
Os prazos variam consoante a infraestrutura telefónica existente. Num ambiente cloud contact center (como Genesys, Twilio, Amazon Connect), a integração com a PCI Proxy EU exige tipicamente entre 2 e 4 semanas entre desenvolvimento, testes e arranque. Em sistemas de telefonia on-premise mais legacy, os prazos podem estender-se a 2-3 meses devido à complexidade da integração.
Quer eliminar o risco PCI dos pagamentos telefónicos do seu call center? Descubra a PCI Proxy EU.
Precisa de apoio na conformidade PCI?
A nossa equipa ajuda a mapear o seu CDE, escolher o SAQ adequado e implementar tokenização com residência de dados na UE.
Contacte-nos