PCI DSS
Il questionario PCI DSS che la vostra agenzia presenta ogni anno. Preparato sul modulo ufficiale.
Stabiliamo quale SAQ corrisponde al modo in cui la vostra agenzia incassa con carta, compiliamo il questionario del PCI Security Standards Council con i vostri dati e ve lo consegniamo pronto da firmare, con un promemoria prima della scadenza.
In breve
Le agenzie di viaggio che accettano carte di pagamento nelle vendite BSP devono rispettare il PCI DSS e convalidarlo ogni anno, di norma con un questionario di autovalutazione (SAQ). Il tipo dipende da come si incassa: SAQ A per i link di pagamento e per i siti che reindirizzano alla pagina di pagamento del fornitore o la incorporano, SAQ A-EP quando il sito dell'agenzia genera il modulo di pagamento, SAQ C-VT per un terminale virtuale e SAQ D quando i dati di carta sono conservati in formato elettronico.
Tipi di SAQ
Quale SAQ fa per la vostra agenzia.
Il questionario segue il percorso dei dati di carta nella vostra agenzia, non le dimensioni dell'agenzia né il suo modello di accreditamento.
| SAQ | Configurazione tipica dell'agenzia | Scansioni ASV | Cosa facciamo |
|---|---|---|---|
| SAQ A | Link di pagamento inviati al cliente; nessun dato di carta inserito nei vostri sistemi | Non richieste | Lo prepariamo noi |
| SAQ A | Sito che reindirizza alla pagina di pagamento del fornitore, o la incorpora | Trimestrali | Lo prepariamo ed eseguiamo le scansioni |
| SAQ A-EP | Sito che genera da sé il modulo di pagamento (direct post o JavaScript) | Trimestrali | Esaminiamo la vostra configurazione e lo prepariamo con voi |
| SAQ C-VT | Dati di carta inseriti uno alla volta nel terminale virtuale di un fornitore, senza conservare nulla | Non richieste | Lo prepariamo noi |
| SAQ D | Numeri di carta conservati in formato elettronico: file, email, fogli di calcolo o note del GDS | Trimestrali | Ve lo diciamo alla prima chiamata e vi aiutiamo a trovare un QSA |
I SAQ B, B-IP, C e P2PE riguardano terminali di pagamento e software di cassa in un punto vendita fisico. Se uno di questi è più adatto alla vostra agenzia, ve lo diciamo alla prima chiamata.
01 · Partenze
Trovate il vostro SAQ con un clic.
Carta d'imbarcoIl cliente paga sulla pagina del fornitore e i dati della carta non toccano mai i vostri sistemi: il questionario più breve, senza scansioni.
Un orientamento, non una decisione: confermiamo il vostro tipo di SAQ secondo i criteri di idoneità del PCI SSC prima di preparare qualsiasi cosa.
Cosa è incluso
Tutto, fino alla vostra firma.
- La mappatura di ogni canale da cui i dati di carta entrano in agenzia: telefono, email, sito web, GDS e link di pagamento.
- Il tipo di SAQ applicabile, con una spiegazione scritta dei criteri di idoneità che lo hanno determinato.
- Il questionario ufficiale del PCI SSC compilato con i dati della vostra agenzia, e la relativa Attestation of Compliance.
- Scansioni ASV trimestrali quando il vostro SAQ le richiede, con il seguito di ogni rilievo.
- Un breve elenco delle pratiche che non soddisferebbero un requisito, con una soluzione concreta per ciascuna.
- Un promemoria sessanta giorni prima della scadenza del SAQ, perché il rinnovo dell'anno successivo parta in tempo.
Cosa ci serve da voi
- Come accettate oggi le carte, compreso il fornitore del sito o dei link di pagamento.
- I dati legali dell'agenzia e il codice IATA, oltre a nome e ruolo di chi firma.
- Il SAQ e l'attestation precedenti, se esistono.
03 · Piano di volo
Tre tratte. Voi pilotate solo l'ultima.
- Tratta 1 · Check-in
Rispondete a un breve questionario
Come incassate con carta, i dati dell'agenzia e chi firma. Una volta sola, via email o nel vostro account gratuito.
- Tratta 2 · In volo
Prepariamo tutto noi
Il SAQ giusto sul modulo ufficiale del PCI SSC, più le scansioni ASV pianificate quando il vostro SAQ le richiede.
- Tratta 3 · Arrivo
Controllate, firmate e presentate
Un PDF pronto da presentare a IATA e un promemoria prima del rinnovo dell'anno successivo.
02 · Pilota automatico
Dopo il decollo, restiamo di guardia.
Scansioni ASV trimestrali
Quando il vostro SAQ richiede scansioni esterne, un Approved Scanning Vendor riconosciuto dal PCI SSC analizza il vostro sito ogni trimestre. Pianifichiamo ogni scansione, seguiamo i rilievi e aggiungiamo ogni report superato al vostro fascicolo.
Rinnovi che non sfuggono mai
Conserviamo le vostre risposte e le vostre date. Sessanta giorni prima della scadenza del SAQ vi contattiamo per rinnovarlo.
Moduli ufficiali. Sempre.
Il vostro SAQ è il questionario del PCI Security Standards Council, compilato con i dati della vostra agenzia e pronto da presentare a IATA. Niente rifatto, niente riassunto.
Domande frequenti
Le agenzie di viaggio IATA hanno bisogno del PCI DSS?
Sì, se accettano carte di pagamento nelle vendite BSP. IATA chiede agli agenti accreditati che incassano con carta di rispettare il PCI DSS e di convalidare la conformità ogni anno, di solito con un questionario di autovalutazione (SAQ) e la relativa Attestation of Compliance.
Quale SAQ serve a un'agenzia di viaggio?
Dipende da come l'agenzia incassa con carta. I link di pagamento, o un sito che reindirizza alla pagina di pagamento del fornitore o la incorpora, di solito significano SAQ A. Un sito che genera il proprio modulo di pagamento significa SAQ A-EP. Inserire le carte nel terminale virtuale di un fornitore significa SAQ C-VT. Conservare numeri di carta in formato elettronico significa SAQ D. Confermiamo il tipo secondo i criteri di idoneità del PCI SSC prima di prepararlo.
Che cos'è una scansione ASV e quando è obbligatoria?
Una scansione esterna delle vulnerabilità dei vostri sistemi esposti a internet, eseguita da un Approved Scanning Vendor iscritto presso il PCI Security Standards Council. È obbligatoria almeno una volta ogni tre mesi quando il vostro SAQ include il requisito 11.3.2: per esempio il SAQ A di un'agenzia il cui sito reindirizza alla pagina di pagamento o la incorpora, e il SAQ A-EP.
Presentate voi il SAQ a IATA al posto nostro?
No. Il SAQ è una dichiarazione della vostra agenzia, quindi lo firma e lo presenta una persona autorizzata dell'agenzia. Noi ve lo consegniamo completo e pronto da firmare, e vi diciamo cosa inviare.
Quanto tempo serve?
Da una a due settimane dal momento in cui abbiamo le vostre risposte, soprattutto in base alla rapidità del vostro team. I rinnovi per i clienti esistenti si chiudono di solito in pochi giorni.
Le agenzie GoLite hanno bisogno del PCI DSS?
Se l'agenzia accetta carte di pagamento per la vendita di biglietti, sì. Il modello di accreditamento cambia il modo in cui regolate con il BSP, non l'applicazione delle regole sulle carte.
Cosa succede se non lo presentiamo?
La non conformità ha conseguenze secondo le regole IATA sulle vendite con carta, fino alla perdita della possibilità di accettare carte nelle vendite BSP, ed espone contrattualmente l'agenzia nei confronti del suo acquirer.
Ogni quanto va rinnovato il SAQ?
Ogni anno. La conformità PCI DSS si convalida annualmente, e di nuovo quando cambia il modo di incassare con carta, per esempio con un nuovo sito o un nuovo fornitore di pagamenti.
Il SAQ è in inglese?
Sì, prepariamo il questionario ufficiale in inglese pubblicato dal PCI SSC. Vi spieghiamo ogni domanda nella vostra lingua e conserviamo le risposte nel vostro fascicolo per l'anno successivo.
Potete renderci conformi al PCI?
Ci assicuriamo che il vostro questionario sia quello giusto e compilato con veridicità, eseguiamo le scansioni ASV richieste e vi diciamo cosa deve cambiare dove una pratica non soddisfa un requisito. Non facciamo penetration test né interventi tecnici di correzione.
Ultima chiamata
Pronti all'imbarco?
Prima volta o rinnovo, il vostro PCI DSS preparato da specialisti della conformità per agenzie di viaggio.
