Cualquier persona que intervenga en el procesamiento, la transmisión o el almacenamiento de datos de tarjetas debe cumplir la Normativa de Seguridad de Datos del Sector de Tarjetas de Pago (PCI DSS). Tu empresa y Stripe comparten la responsabilidad del cumplimiento de la normativa PCI.

Cuando aceptes pagos, debes hacerlo de una manera que cumpla la normativa PCI. La forma más sencilla de cumplir la normativa PCI es no ver nunca los datos de las tarjetas ni tener acceso a ellos. Para facilitar esto, puedes integrarte utilizando Checkout, Elements, o nuestros SDK para móviles. Estas integraciones recopilan la información de pago y la transmiten directamente a nuestros servidores. Recomendamos encarecidamente a todos los usuarios que se integren con estos métodos.

Sin embargo, algunos usuarios de Stripe pueden tener integraciones que requieran que ellos, o un tercero, asuman un mayor grado de esta responsabilidad compartida. Esto suele ser necesario si tus servidores manejan directamente los datos de las tarjetas y los pasan a Stripe. Si este es tu caso, tienes que proporcionar a Stripe documentación cada año en la que se describan las medidas técnicas y de cumplimiento de la normativa adoptadas para proteger la seguridad de los datos de los titulares de tarjetas.

Para activar las API de datos de tarjetas sin procesar en tu cuenta, comunícate con nuestro equipo de soporte con la siguiente información:

• Una breve descripción por escrito de los sistemas y servicios de tu aplicación que manejan datos de tarjetas. Si externalizas completamente esta actividad a un tercero que cumple con la normativa PCI DSS, indica el nombre de ese proveedor de servicios.
• Uno de los siguientes documentos:
  • Un Cuestionario de Autoevaluación (SAQ) D de PCI DSS actual y completo.
  • Si cumples los requisitos de comerciante o proveedor de servicios de nivel 1, debes disponer de un certificado de cumplimiento de la normativa PCI DSS vigente para la evaluación in situ.
  • Si externalizas completamente el tratamiento de los datos de las tarjetas a un proveedor de servicios externo que cumple con la normativa PCI DSS, solo aceptas pagos por pedido telefónico/por correo (MOTO), y cumples los demás requisitos, adjunta un Cuestionario de autoevaluación (SAQ) A. Este documento debe incluir la información de tu entidad y enumerar al proveedor de servicios externo en la parte 2f.

Sigue nuestra guía para el cumplimiento de la normativa PCI para elegir los formularios adecuados.

Si trabajas con una plataforma de terceros que te solicita que habilites esta funcionalidad en tu cuenta de Stripe, comunícate con dicha plataforma para obtener la documentación necesaria. Si se trata de una plataforma Connect que requiere esta funcionalidad para tus cuentas conectadas, solo tienes que activarla en tu cuenta de la plataforma.

Si necesitas acceder a esta función únicamente con fines de prueba y no puedes utilizar las tarjetas pretokenizadas de Stripe, comunícate con nuestro equipo de soporte para habilitar esta función; no se requiere documentación de cumplimiento. Para utilizar esta función en el modo activo, tendrás que proporcionar la documentación adecuada, tal y como se describió anteriormente.