O PCI DSS para pequenas empresas é uma realidade que muitos empresários ignoram até que o adquirente ou o PSP envia um pedido de conformidade. O PCI DSS não tem limiares mínimos de faturação: qualquer organização que aceite pagamentos com cartão está sujeita aos seus requisitos. Para as pequenas empresas, a questão é perceber que obrigações se aplicam realmente e como geri-las sem um responsável de TI dedicado.
Quem deve cumprir o PCI DSS: também as pequenas empresas
A obrigação de conformidade PCI DSS decorre do contrato com o adquirente ou o PSP que disponibiliza os pagamentos com cartão. Não depende da dimensão da empresa, do número de colaboradores nem da faturação: depende do facto de aceitar, processar, armazenar ou transmitir dados de pagamento com cartão. Uma loja com um único POS, um pequeno comércio eletrónico com algumas dezenas de transações por mês, um artesão que aceita pagamentos online: todos estão sujeitos ao PCI DSS.
A boa notícia para as pequenas empresas é que o nível de conformidade varia consoante o volume de transações. Um comerciante com menos de 20.000 transações de comércio eletrónico anuais enquadra-se no Nível 4, o nível com os requisitos menos exigentes. Em muitos casos pode preencher um SAQ de forma autónoma, sem necessidade de um auditor externo certificado. A má notícia é que "menos exigente" não significa "inexistente": o SAQ tem de ser preenchido, os controlos básicos têm de ser implementados e o incumprimento tem consequências reais.
O que arrisca uma PME sem conformidade PCI DSS
As consequências do incumprimento não chegam necessariamente de imediato: muitas vezes só surgem após uma violação ou uma auditoria do adquirente. As principais sanções são: penalizações mensais dos esquemas de cartão (Visa, Mastercard) que podem chegar a 100.000 dólares por mês nas situações mais graves; aumento das comissões de intercâmbio; exigência de auditoria forense a cargo do comerciante em caso de violação; e, no pior dos casos, a revogação da capacidade de aceitar pagamentos com cartão, o que para uma PME pode significar o encerramento.
Uma violação que expõe dados reais de cartão tem um custo médio estimado entre 50.000 e 200.000 euros para uma PME, considerando custos de análise forense, notificações aos clientes, reembolso de fraudes e possíveis ações legais. Não é um risco teórico: as PME são frequentemente o alvo dos atacantes precisamente por terem sistemas menos protegidos do que as grandes empresas e manusearem dados reais de cartão.
Como simplificar o PCI DSS para as pequenas empresas
A estratégia mais eficaz para uma PME é eliminar o tratamento direto dos dados de cartão da arquitetura de pagamentos. Se o checkout utilizar uma página alojada certificada PCI DSS ou um SDK client-side que envia os dados diretamente para o vault do fornecedor, a PME nunca vê um PAN. O perímetro CDE torna-se praticamente nulo, o SAQ aplicável é o SAQ A (poucas dezenas de perguntas) e a conformidade é gerida de forma autónoma em poucas horas por ano.
A PCI Proxy EU foi concebida exatamente para este cenário: fornecer à PME um vault certificado Level 1, APIs documentadas, SDK prontos a usar e o apoio para preencher o SAQ A. O custo do serviço é proporcional ao volume de transações e fica abaixo do custo anual da conformidade tradicional (consultor, análise de vulnerabilidades ASV, eventual teste de intrusão). Uma pequena empresa que adota esta arquitetura reduz o risco, simplifica as obrigações e concentra-se no seu negócio.
Perguntas frequentes
Uma pequena loja com POS está obrigada ao PCI DSS?
Sim. Qualquer comerciante que aceite pagamentos com cartão através de um POS físico está sujeito ao PCI DSS. Na prática, se o POS for fornecido diretamente pelo adquirente ou pelo banco e não estiver ligado à rede da empresa, o perímetro é muito limitado e o SAQ aplicável é muitas vezes o SAQ B, com requisitos mínimos. O adquirente já deveria ter comunicado o nível e o tipo de SAQ aplicável no momento da ativação do serviço.
O meu adquirente avisa-me se não estiver em conformidade?
Não de forma sistemática. O adquirente pode enviar pedidos de preenchimento do SAQ ou lembretes se não receber a documentação de conformidade nos prazos previstos, mas não monitoriza em tempo real o estado da sua conformidade técnica. A responsabilidade de estar em conformidade é do comerciante: não espere por um aviso para iniciar o processo.
Posso gerir a conformidade PCI sem um responsável de TI dedicado?
Sim, com a arquitetura correta. Se utilizar uma página alojada ou um SDK certificado e o seu CDE for mínimo, o SAQ A pode ser preenchido pelo titular ou por um responsável administrativo sem conhecimentos técnicos específicos. A chave é escolher uma solução de pagamento que reduza o perímetro ao mínimo: com a PCI Proxy EU, muitas PME gerem a conformidade de forma autónoma.
Quer gerir a conformidade PCI DSS sem uma equipa de TI dedicada e sem custos desproporcionados? Descubra a PCI Proxy EU.
Precisa de apoio na conformidade PCI?
A nossa equipa ajuda a mapear o seu CDE, escolher o SAQ adequado e implementar tokenização com residência de dados na UE.
Contacte-nos