Cumplimiento PCI-DSS — alcance SAQ-A y qué significa
No tocamos datos de tarjeta — todos los pagos vía procesador certificado. Alcance SAQ-A significa setup más simple y seguro para clientes en España.
SAQ-A — cardholder data environment externalizado
SAQ-A aplica porque los datos de tarjeta están totalmente externalizados a un procesador PCI-DSS Level 1. Nunca vemos PAN, nunca almacenamos CVV, nunca procesamos datos de tarjeta en nuestros servidores. Nuestro papel es solo redirect/iframe.
Tokenización para billing recurrente
Los clientes recurrentes pagan vía tokens. Los tokens no son números de tarjeta — inútiles si se exponen, scoped a nuestro merchant ID. El token vault lo mantiene el procesador, no nosotros.
Red y escaneos trimestrales
Escaneos externos aprobados ASV trimestralmente. Escaneos de vulnerabilidades internos mensualmente. Pentest anualmente. Findings remediados según SLA del procesador.
España — contexto de pagos local
Los clientes españoles típicamente pagan vía transferencia o SEPA SDD para B2B. Pagos con tarjeta gestionados vía procesador con gestión de reverse-charge IVA 21%. Flujo FACe/SII (AEAT) sucede tras confirmación de pago — nunca maneja datos de tarjeta.
FAQ
¿Sois PCI-DSS Level 1?
No — SAQ-A. Level 1 aplica a procesadores que gestionan millones de transacciones. Externalizamos a un procesador Level 1.
¿Podemos ver vuestro AoC?
Sí — Attestation of Compliance compartido bajo NDA.
¿Soporte 3DS/SCA?
Sí — Strong Customer Authentication vía 3D Secure 2.x, obligatorio para transacciones de tarjeta del EEE bajo PSD2.
Reembolsos — ¿cuánto duran?
Reembolsos de tarjeta: 3-10 días hábiles según el issuer. SEPA: 1-3 días. Transferencia: 1-5 días.
¿Chargebacks?
Gestionados por el procesador — cooperamos con paquete de pruebas en 48 horas.