Conformidade PCI — O Guardião dos Dados do Cartão

PCI significa Payment Card Industry Data Security Standard — um conjunto global de regras criado por Visa, Mastercard, American Express, Discover e JCB para garantir que os dados do cartão permaneçam seguros onde quer que trafeguem.

Toda transação com cartão carrega informações sensíveis — números do cartão, datas de validade, CVVs e dados do titular do cartão. Antes de existir o PCI DSS, cada um tratava esses dados à sua maneira. Alguns faziam isso com segurança; muitos não. Armazenar números completos de cartão em bancos de dados em texto simples? Comum. APIs de pagamento retornando PANs sem mascaramento nas respostas? Nada incomum. Era um caos.

Vazamentos de dados estavam por toda parte, e uma integração descuidada podia expor milhões de cartões da noite para o dia. Em 2004, os principais esquemas finalmente intervieram e unificaram seus programas de segurança separados em um único padrão. O objetivo era direto: definir uma linha de base global para qualquer pessoa que armazene, processe ou transmita dados de cartão. Isso se tornou o PCI DSS, governado pelo PCI Security Standards Council (PCI SSC) — a base de como os dados de cartão são mantidos seguros hoje.

Versões e Atualizações

Como qualquer bom padrão de segurança, o PCI DSS evolui tão rápido quanto as ameaças. O PCI DSS não é um conjunto de regras de uso único — é um padrão vivo. Novas versões são lançadas a cada poucos anos para refletir tecnologias emergentes, novos métodos de pagamento e ameaças de segurança em evolução. Até o momento, a versão mais recente é o PCI DSS 4.0, lançado em março de 2022, com a versão 4.0.1 publicada em 2024 para incluir esclarecimentos e pequenas atualizações. A versão anterior 3.2.1 foi oficialmente descontinuada em março de 2025, dando às organizações um período de transição para se adaptar.

Cada atualização normalmente introduz refinamentos em criptografia, autenticação, monitoramento e gestão de riscos. Por exemplo, o PCI DSS 4.0 mudou de uma abordagem de checklist para um modelo mais flexível, baseado em resultados — incentivando segurança contínua em vez de exercícios anuais de conformidade. Revisões regulares garantem que o padrão acompanhe novas ameaças e tecnologias, de tokenização e infraestrutura em nuvem a autenticação moderna e ambientes DevOps.

Quem Deve Cumprir

Se você armazena, processa ou transmite dados de cartão, o PCI DSS se aplica a você. Isso inclui lojistas, PSPs, adquirentes e até fornecedores de software. A regra geral é simples: quanto mais perto você estiver dos dados do cartão, maiores serão suas obrigações.

Os lojistas são agrupados em quatro níveis PCI, dependendo de quantas transações processam por ano:

• Nível 1: Mais de 6 milhões de transações — uma auditoria anual completa por um Qualified Security Assessor (QSA) é obrigatória
• Nível 2: Entre 1 e 6 milhões — uma autoavaliação mais varreduras trimestrais de vulnerabilidade
• Nível 3: Entre 20.000 e 1 milhão — uma autoavaliação mais leve, mas ainda sob escrutínio
• Nível 4: Abaixo de 20.000 — relatório mínimo, mas as mesmas regras de segurança ainda se aplicam

A maioria dos lojistas pequenos e médios preenche um Self-Assessment Questionnaire (SAQ) e executa varreduras trimestrais por meio de um Approved Scanning Vendor (ASV). Os grandes players, por outro lado — grandes varejistas, processadores e provedores de pagamento — passam por auditorias presenciais e testes de penetração todos os anos.

Payment Service Providers (PSPs), adquirentes e gateways ficam no topo da pirâmide. Eles processam milhões de transações e muitas vezes armazenam dados de cartão em nome de terceiros, então precisam manter a certificação PCI DSS Nível 1, validada anualmente por QSAs externos. Essa certificação cobre tudo, de APIs e bancos de dados a data centers, cofres de criptografia e sistemas de tokenização.

O Que o PCI Não Cobre

O PCI DSS protege dados do titular do cartão, não todo pagamento na Terra. Ele não se aplica a transferências bancárias, carteiras móveis ou métodos de pagamento locais como TWINT, iDEAL ou Pix — esses têm seus próprios conjuntos de regras sob PSD2, GDPR ou ISO 20022.

E aqui está um equívoco comum: conformidade PCI não é prevenção de fraude. Você pode estar perfeitamente em conformidade com o PCI e ainda assim processar uma transação fraudulenta. O PCI apenas garante que os dados sensíveis sejam armazenados, tratados e transmitidos com segurança — ele mantém os canos seguros, não as decisões que passam por eles.

Terceirização e Redução de Escopo

A melhor forma de vencer o jogo do PCI? Não jogue tanto assim.

Se seus sistemas nunca tocam dados de cartão, você fica automaticamente mais seguro — e seu escopo de conformidade diminui drasticamente. É por isso que tantos lojistas usam páginas de pagamento hospedadas, iFrames seguros ou SDKs móveis de PSPs certificados. Nessas configurações, as informações do cartão nunca passam pelos seus servidores. O PSP criptografa, tokeniza e armazena tudo com segurança — você apenas recebe um token em troca.

Para desenvolvedores, isso significa não armazenar PANs brutos, não criar sua própria criptografia e não reinventar um cofre de cartões. Use as ferramentas certificadas que já existem. Conformidade PCI é como radiação: quanto menor a exposição, melhor.

Certificação Além do PCI

O PCI DSS é o carro-chefe, mas não é o único selo na área. O mundo dos pagamentos tem todo um alfabeto de certificações que trabalham juntas para manter o ecossistema seguro:

• PCI P2PE (Point-to-Point Encryption): Garante que os dados sejam criptografados desde o momento em que são inseridos em um terminal até chegarem ao processador.
• PA-DSS / PCI Software Security Framework (SSF): Aplica-se a fornecedores de software que desenvolvem aplicações de pagamento ou SDKs.
• PCI PIN: Regula como PINs e chaves criptográficas são tratados — incluindo aquelas misteriosas "key injections" em terminais.
• 3-D Secure & SCA (Strong Customer Authentication): Enquadram-se no PSD2 na Europa e tratam da verificação do usuário, em vez da proteção de dados.

Cada um desses padrões cobre uma parte do quebra-cabeça. Juntos, eles formam a rede de segurança que permite que bilhões de transações fluam sem vazar informações sensíveis.

Por Que a Conformidade Importa

A conformidade PCI não é opcional. O não cumprimento pode resultar em multas pesadas das redes de cartão, danos à reputação ou até perda da capacidade de processar pagamentos com cartão. Mas, além das penalidades, é uma questão de confiança. Todo lojista que aceita cartões faz parte de uma promessa maior: que os dados do cliente sejam tratados com o mesmo cuidado que o dinheiro dele.

A ironia é que, quando o PCI é bem implementado, ninguém percebe — assim como os próprios pagamentos. É uma segurança invisível, protegendo silenciosamente cada swipe, tap e click.