Iedereen die betrokken is bij de verwerking, overdracht of opslag van betaalkaartgegevens, moet zich houden aan de Payment Card Industry Data Security Standard (PCI DSS). Jouw onderneming en Stripe zijn samen verantwoordelijk voor PCI-compliance.

Wanneer je betalingen ontvangt, moet dat conform de PCI-vereisten gebeuren. De eenvoudigste manier om PCI-compliant te werken is nooit enige betaalkaartgegevens te bekijken, of er geen toegang toe te hebben. Om dat eenvoudiger te maken, kun je integreren via Checkout, Elements of onze mobiele SDK's. Deze integraties verzamelen betaalgegevens en sturen deze direct door naar onze servers. We raden alle gebruikers met klem aan te integreren via deze methoden.

Sommige Stripe-gebruikers zullen echter integraties hebben waarvoor zij, of een derde partij, een groter deel van deze gedeelde verantwoordelijkheid moeten nemen. Dit is over het algemeen het geval als je servers direct in aanraking komen met betaalkaartgegevens voordat deze worden doorgegeven aan Stripe. Als dit voor jou geldt, moet je jaarlijks documentatie aanleveren bij Stripe waarin de technische en compliancemaatregelen worden beschreven die je hebt genomen om de gegevens van kaarthouders te beveiligen.

Als je API's voor onbewerkte (raw) betaalkaartgegevens wilt inschakelen voor je account, neem dan contact op met ons supportteam met de volgende informatie:

• Een korte schriftelijke beschrijving van de systemen en diensten in je applicatie die in aanraking komen met kaartgegevens. Als je deze activiteit volledig uitbesteedt aan een PCI DSS-compliant derde partij, geef dan de naam van die dienstverlener op.
• Een van de volgende documenten:
  • Een actuele ingevulde PCI DSS-vragenlijst voor zelfbeoordeling (Self-assessment Questionnaire, SAQ) D.
  • Als je voldoet aan de criteria voor een verkoper of dienstverlener van niveau 1 (Level 1 Merchant or Service Provider): een actuele PCI DSS-verklaring van compliance voor controles op locatie.
  • Als je de verwerking van kaartgegevens volledig uitbesteedt aan een PCI DSS-compliant externe dienstverlener, alleen betalingen voor bestellingen per post of telefoon (MOTO) ontvangt of anderszins in aanmerking komt: een vragenlijst voor zelfbeoordeling (Self-Assessment Questionnaire, SAQ) A. In deel 2f van dit document moet de informatie over je entiteit en over de externe dienstverlener worden vermeld.

Raadpleeg onze whitepaper over PCI-compliance om de juiste formulieren te kiezen.

Als je met een extern platform werkt dat jou vraagt deze functie in te schakelen in je Stripe-account, neem dan contact op met dat platform voor de nodige documentatie. Als je een Connect-platform bent dat deze functie vereist voor je gekoppelde accounts, hoef je de functie alleen maar in te schakelen in je platformaccount.

Als je alleen voor testdoeleinden toegang tot de functie wilt, en geen gebruik kunt maken van de vooraf getokeniseerde betaalkaarten van Stripe, neem dan contact op met ons supportteam om de functie voor je te activeren. Je hoeft hiervoor geen compliancedocumentatie in te dienen. Als je deze functie in de livemodus wilt gebruiken, moet je de hierboven beschreven compliancedocumentatie aanleveren.