Cualquier persona que intervenga en el procesamiento, la transmisión o el almacenamiento de datos de tarjetas debe cumplir la Normativa de Seguridad de Datos del Sector de Tarjetas de Pago (PCI DSS). Tu empresa y Stripe comparten la responsabilidad del cumplimiento de la normativa PCI.

Cuando aceptes pagos, debes hacerlo de una manera que cumpla la normativa PCI. La forma más sencilla de cumplir la normativa PCI es no ver nunca los datos de las tarjetas ni tener acceso a ellos. Para facilitar esto, puedes integrarte con Checkout, Elements, o nuestros SDK para móviles. Estas integraciones recopilan la información de pago y la transmiten directamente a nuestros servidores. Recomendamos encarecidamente a todos los usuarios que se integren con estos métodos.

Sin embargo, algunos usuarios de Stripe pueden tener integraciones que requieran que ellos, o un tercero, asuman un mayor grado de esta responsabilidad compartida. Esto suele ser necesario si tus servidores manejan directamente los datos de las tarjetas y los pasan a Stripe. Si este es tu caso, tienes que proporcionar a Stripe documentación cada año en la que se describan las medidas técnicas y de cumplimiento de la normativa adoptadas para proteger la seguridad de los datos de los titulares de tarjetas.

Para activar las API de datos de tarjetas sin procesar en tu cuenta, contacta con nuestro equipo de soporte con la siguiente información:

• Una breve descripción por escrito de los sistemas y servicios de tu aplicación que manejan datos de tarjetas. Si externalizas completamente esta actividad a un tercero que cumple con la normativa PCI DSS, indica el nombre de ese proveedor de servicios.
• Uno de los siguientes documentos:
  • Un Cuestionario de Autoevaluación (SAQ) D de PCI DSS actual y completo.
  • Si cumples los requisitos de comerciante o proveedor de servicios de nivel 1, debes disponer de un certificado de cumplimiento de la normativa PCI DSS vigente para la evaluación en el lugar.
  • Si externalizas completamente el tratamiento de los datos de las tarjetas a un proveedor de servicios externo que cumpla con la normativa PCI DSS, solo aceptas pagos por pedido telefónico/por correo (MOTO), y cumples los demás requisitos, adjunta un Cuestionario de autoevaluación (SAQ) A. Este documento debe incluir la información de tu entidad y enumerar al proveedor de servicios externo en la parte 2f.

Sigue nuestra guía para el cumplimiento de la normativa PCI para elegir los formularios adecuados.

Si trabajas con una plataforma de terceros que te pide que habilites esta función en tu cuenta de Stripe, contacta con dicha plataforma para obtener la documentación necesaria. Si se trata de una plataforma Connect que requiere esta función para tus cuentas conectadas, solo tienes que activarla en tu cuenta de la plataforma.

Si necesitas acceder a esta función únicamente con fines de prueba y no puedes utilizar las tarjetas pretokenizadas de Stripe, contacta con nuestro equipo de soporte para habilitar esta función; no se requiere documentación de cumplimiento de la normativa. Para utilizar esta función en el modo activo, tendrás que proporcionar la documentación adecuada, tal y como se ha descrito anteriormente.