Alla som arbetar med behandling, överföring eller lagring av kortuppgifter måste följa betalkortbranschens standarder för datasäkerhet (PCI DSS). Ditt företag och Stripe delar ansvaret för PCI-efterlevnad.

När du tar emot betalningar måste du göra det på ett sätt som uppfyller PCI-kraven. Det enklaste sättet för dig att uppfylla PCI-kraven är att aldrig se eller ha tillgång till kortuppgifter överhuvudtaget. För att göra detta möjligt kan du integrera med hjälp av Checkout, Elements eller våra mobila SDK:er. Dessa integrationer samlar in betalningsinformation och överför den direkt till våra servrar. Vi rekommenderar starkt att alla användare integrerar dessa metoder.

Vissa Stripe-användare kan emellertid ha integrationer som kräver att de, eller en tredje part, tar på sig en större del av detta delade ansvar. Det här krävs i allmänhet om dina servrar direkt hanterar kortuppgifter och skickar dem till Stripe. Om detta gäller dig måste du årligen förse Stripe med dokumentation som beskriver de tekniska och efterlevnadsrelaterade åtgärder som vidtagits för att skydda kortinnehavarnas uppgifter.

Om du vill aktivera API:er för rådata ska du kontakta vårt supportteam med följande information:

• En kort beskrivning av de system och tjänster i din applikation som hanterar kortuppgifter. Om du lägger ut den här aktiviteten helt och hållet till en PCI DSS-kompatibel tredje part, ska du ange namnet på den tjänsteleverantören.
• Ett av följande dokument:
  • Ett aktuellt, komplett PCI DSS självutvärderingsformulär (SAQ) D.
  • Om du uppfyller kriterierna för en nivå 1-handlare eller tjänsteleverantör, ett aktuellt PCI DSS-intyg om överensstämmelse för bedömning på plats.
  • Om du helt och hållet lägger ut hanteringen av kortdata till en PCI DSS-kompatibel tredjepartsleverantör, endast tar emot online- eller postorder-/telefonorderbetalningar (MOTO) och i övrigt uppfyller kriterier, ett självutvärderingsformulär (SAQ) A. I detta dokument måste information om din enhet och tredje parts tjänsteleverantör anges i del 2f.

Följ vår guide om PCI-efterlevnad för att välja lämpliga formulär.

Om du arbetar med en tredjepartsplattform som begär att du ska aktivera den här funktionen på ditt Stripe-konto ska du kontakta den plattformen för att få den nödvändiga dokumentationen. Om du är en Connect-plattform som kräver den här funktionen för dina anslutna konton behöver du bara aktivera den på plattformskontot.

Om du behöver tillgång till den här funktionen enbart för teständamål, och inte kan använda Stripes förtokeniserade kort, ska du kontakta vårt supportteam så aktiverar vi den här funktionen åt dig – ingen dokumentation om efterlevnad krävs. För att kunna använda den här funktionen i live-läge måste du tillhandahålla lämplig efterlevnadsdokumentation enligt beskrivningen ovan.