Guía
Tipos de SAQ PCI DSS: cómo saber cuál es su formulario
Los tipos de SAQ PCI DSS son cuestionarios de autoevaluación para empresas que no necesitan un informe completo de un evaluador. Cuál aplica depende de cómo cobra, así que elegir bien importa.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Los principales tipos de SAQ PCI DSS
Cada formulario corresponde a un método de pago. El más corto ocupa pocas páginas, mientras que el más largo supera las 300 preguntas. Los formularios están en la biblioteca de documentos del PCI SSC.
| SAQ | Corresponde a |
|---|---|
| A | Pagos sin tarjeta presente, con páginas de pago totalmente tercerizadas. |
| A-EP | Comercio electrónico donde su sitio influye en la página de pago. |
| B | Máquinas de impronta o terminales autónomas con marcación telefónica. |
| B-IP | Terminales autónomas conectadas por IP. |
| C-VT | Captura manual en la terminal virtual de un proveedor. |
| C | Aplicaciones de pago conectadas a internet, sin almacenamiento. |
| P2PE | Terminales con cifrado punto a punto validado. |
| D | Todo lo demás, incluido cualquier almacenamiento de datos de tarjetas. |
Cómo elegir entre los tipos de SAQ PCI DSS
Para elegir su SAQ PCI DSS, parta del flujo de pago, no del tipo de negocio. Por ejemplo, una tienda en línea que redirige a una página alojada puede corresponder al SAQ A, mientras que una que incrusta scripts de pago en su propia página suele corresponder al A-EP. Por lo tanto, dibuje el flujo antes de elegir.
¿Qué tipo de SAQ PCI DSS le corresponde?
Marque lo que describe sus pagos. Así se acota el formulario rápido.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Por qué el formulario equivocado sale caro
Elegir un formulario más corto del que le corresponde deja brechas, y un banco o evaluador puede rechazarlo. Elegir uno más largo desperdicia esfuerzo. Además, usar varios canales de pago puede obligarle al SAQ D, porque los canales combinados rara vez caben en un formulario corto.
Si cobra de varias formas, pregunte a su adquirente qué formulario espera. Esa respuesta manda.
Quién firma el cuestionario
Usted. Una consultoría puede ayudarle con su SAQ PCI DSS, pero lo firma su alta dirección. Por eso las respuestas deben ser ciertas, ya que la firma conlleva responsabilidad.
Nuestro papel con los tipos de SAQ PCI DSS
Le ayudamos a identificar el formulario correcto, a reducir el alcance cuando es posible y a preparar las evidencias. Sin embargo, no somos un QSA y no firmamos nada en su nombre.
Preguntas sobre los tipos de SAQ PCI DSS
¿Quién decide qué tipo de SAQ PCI DSS aplica?
Lo decide su flujo de pago, y su adquirente lo confirma.
¿Podemos usar más de un SAQ?
Algunas empresas con canales separados lo hacen, aunque los canales combinados suelen implicar el SAQ D.
¿Los tipos de SAQ PCI DSS incluyen escaneos?
Varios formularios exigen escaneos ASV trimestrales, así que revise el suyo.
¿Una consultoría puede firmar nuestro SAQ?
No. Lo firma su alta dirección.
Guías relacionadas
Encuentre el formulario correcto antes de empezar
Describa cómo recibe los pagos. Le respondemos con el SAQ probable y una estimación de preparación por escrito.
Quiero mi estimación por escrito