Chiunque sia coinvolto nell'elaborazione, nella trasmissione o nella conservazione dei dati delle carte deve rispettare lo Standard di sicurezza dei dati PCI (PCI DSS). La tua attività e Stripe condividono la responsabilità per la conformità alle norme PCI.

Quando accetti pagamenti, devi farlo in maniera conforme alle norme PCI. Il modo più semplice per rispettare la conformità alle norme PCI è non avere mai visibilità o accesso ai dati delle carte. A questo scopo, puoi integrare l'uso di Checkout, Elements o i nostri SDK per dispositivi mobili. Queste integrazioni consentono di acquisire i dati di pagamento e trasmetterli direttamente ai nostri server. Consigliamo vivamente a tutti gli utenti di integrare tali metodi.

Tuttavia, alcuni utenti Stripe potrebbero disporre di integrazioni che richiedono un ulteriore livello di responsabilità condivisa, talvolta con il coinvolgimento di una parte terza. Tale approccio, di norma, si rivela necessario se i tuoi server gestiscono direttamente e trasmettono a Stripe i dati delle carte. Se questo è il tuo caso, ogni anno devi fornire a Stripe la documentazione che descrive le misure tecniche e di conformità adottate per tutelare la sicurezza dei dati dei titolari delle carte.

Per abilitare le API dei dati grezzi delle carte sul tuo account, contatta il nostro team di assistenza con le seguenti informazioni:

• Breve descrizione scritta dei sistemi e dei servizi che nella tua applicazione gestiscono i dati delle carte. Se questa attività è completamente esternalizzata a una terza parte, conformemente alle norme PCI DSS, specifica il nome del fornitore del servizio.
• Uno dei seguenti documenti:
  • Un questionario di autovalutazione (SAQ) D per PCI DSS aggiornato e completo.
  • Se soddisfi i requisiti di un esercente o fornitore di servizi di livello 1, un attestato di conformità PCI DSS in corso di validità per la verifica in loco.
  • Se la gestione dei dati delle carte è completamente esternalizzata a un fornitore di servizi terzo conforme alle norme PCI DSS, se accetti solo pagamenti per ordini postali o telefonici (MOTO) e se soddisfi altrimenti i requisiti, un questionario di autovalutazione (SAQ) A. Questo documento deve includere i dati relativi alla tua persona giuridica e il fornitore di servizi terzo nella sezione 2f.

La nostra guida alla conformità alle norme PCI ti aiuterà a scegliere i moduli appropriati.

Se lavori con una piattaforma di terze parti che richiede l'attivazione di questa funzionalità sul tuo account Stripe, contatta la piattaforma per ottenere la documentazione necessaria. Se sei una piattaforma Connect che richiede questa funzionalità per gli account connessi, devi attivarla solo per il tuo account della piattaforma.

Se hai bisogno di accedere a questa funzionalità unicamente a scopo di test e non puoi utilizzare le carte pre-tokenizzate di Stripe, contatta il nostro team di assistenza per richiederne l'attivazione (non occorre la documentazione di conformità). Per utilizzare la funzionalità in modalità live, dovrai fornire la documentazione necessaria, come descritto sopra.