Alle, die an der Verarbeitung, Übertragung oder Speicherung von Kartendaten beteiligt sind, unterliegen den Bestimmungen der Payment Card Industry Data Security Standards (PCI DSS). Die PCI-Konformität wird von Ihrem Unternehmen und Stripe gemeinsam gewährleistet.
Wenn Sie Zahlungen annehmen, muss dies PCI-konform geschehen. Am einfachsten ist es, wenn Sie die Kartendaten nicht einsehen können (bzw. keinen Zugriff darauf haben). Um diese Voraussetzungen zu schaffen, können Sie Checkout, Elements oder unsere mobilen SDKs verwenden. Diese Integrationen sammeln Zahlungsinformationen und übermitteln sie direkt an unsere Server. Wir empfehlen allen Nutzerinnen und Nutzern dringend, diese Methoden zu verwenden.
Bei einigen kann es aufgrund ihrer Integration jedoch erforderlich sein, dass sie oder ein Dritter einen größeren Teil dieser gemeinsamen Verantwortung übernehmen. Das ist grundsätzlich der Fall, wenn Ihre Server Kartendaten direkt verarbeiten und an Stripe weiterleiten. In diesem Fall müssen Sie Stripe jedes Jahr Unterlagen vorlegen, in denen die technischen und konformitätsbezogenen Maßnahmen beschrieben sind, die zum Schutz der Daten der Karteninhaber/innen ergriffen wurden.
Um APIs für Rohkartendaten für Ihr Konto zu aktivieren, kontaktieren Sie unser Support-Team und teilen Sie die folgenden Informationen mit:
- Eine kurze Beschreibung der Systeme und Dienste in Ihrer Anwendung, die Kartendaten verarbeiten. Wenn Sie diese Schritte vollständig an einen PCI-DSS-konformen Dritten auslagern, geben Sie bitte den Namen dieses Dienstleisters an.
- Fügen Sie eines der folgenden Dokumente bei:
- Einen aktuellen, ausgefüllten PCI DSS Self-Assessment Questionnaire (SAQ).
- Wenn Sie die Voraussetzungen für Merchant oder Service Provider Level 1 erfüllen, eine aktuelle PCI DSS Attestation of Compliance für die Bewertung vor Ort.
- Wenn Sie die Verarbeitung von Kartendaten vollständig an einen PCI-DSS-konformen Dritten auslagern, nur Online- oder Versand- und Telefonbezahlung (MOTO) annehmen und die anderen Voraussetzungen erfüllen, müssen Sie den Self-Assessment Questionnaire (SAQ) A ausfüllen. In diesem Dokument müssen die Angaben zu Ihrem Unternehmen und zum Drittanbieter in Teil 2f aufgeführt sein.
Befolgen Sie zur Auswahl der geeigneten Formulare unseren Leitfaden zur PCI-Konformität.
Wenn Sie mit der Plattform eines Drittanbieters arbeiten, welche die Aktivierung dieser Funktion in Ihrem Stripe-Konto anfordert, wenden Sie sich an diese Plattform, um die erforderlichen Unterlagen zu erhalten. Wenn Sie eine Connect-Plattform betreiben, die diese Funktion für die verbundenen Konten benötigt, müssen Sie sie lediglich im Konto der Plattform aktivieren.
Wenn Sie den Zugang zu dieser Funktion nur zu Testzwecken benötigen und keine Karten mit vordefinierten Token von Stripe verwenden können, wenden Sie sich an unser Support-Team, um diese Funktion zu aktivieren. Eine Dokumentation zur Bestätigung der Konformität ist nicht erforderlich. Um diese Funktion im Live-Modus nutzen zu können, müssen Sie die entsprechenden Unterlagen wie oben beschrieben vorlegen.