Czy Adgora jest zgodna z PCI DSS?

Szybka odpowiedź: co oznaczałaby tu zgodność z PCI DSS

PCI DSS to skrót od Payment Card Industry Data Security Standard. Mówiąc prościej, to zbiór zasad dla każdego, kto przechowuje, przetwarza lub przesyła dane kart płatniczych. Prawdziwe pytanie ukryte za „czy Adgora jest zgodna z PCI DSS w przypadku płatności kartą” nie brzmi więc: „czy jest bezpieczna?”, tylko: „czy można używać Adgory do płatności kartą bez umieszczania danych posiadacza karty w miejscach, w których nie powinny się znaleźć?” W praktyce chodzi o to, czy Adgora PCI DSS płatności kartą ma w ogóle zastosowanie do twojej konfiguracji.

To rozróżnienie ma znaczenie. Platforma może być odpowiednia do marketingu, analityki czy zarządzania kampaniami, a jednocześnie w ogóle nie dotykać numeru karty. Jeśli Adgora nie obsługuje danych kart bezpośrednio, obowiązki związane z PCI DSS zwykle spoczywają na sprzedawcy lub osobnym dostawcy płatności, a nie na samej Adgorze. Wtedy kluczowe staje się Adgora bezpieczeństwo płatności kartą rozumiane jako poprawny podział odpowiedzialności, a nie sama etykieta na stronie.

Krótko: szukaj dowodów, nie założeń. PCI DSS to nie ogólnikowa etykieta „bezpieczne”. To zestaw kontroli, dokumentacji i odpowiedzialności związanych z danymi posiadacza karty, a odpowiedzialność zależy od tego, gdzie odbywa się płatność i kto widzi dane.

Kiedy to pytanie ma znaczenie dla typowego użytkownika Adgory

To pytanie zwykle pojawia się w trzech sytuacjach. Po pierwsze, sprzedajesz coś i chcesz przyjmować płatności kartą na stronie powiązanej z Adgorą. Po drugie, używasz Adgory obok stosu płatności i chcesz wiedzieć, czy jakiekolwiek dane kart mogą przepływać przez Adgorę. Po trzecie, analizujesz ryzyko dostawcy i musisz ustalić, czy Adgora kiedykolwiek dotyka procesu checkoutu.

Praktyczna kwestia jest prosta. Jeśli Adgora nigdy nie widzi numerów kart, kodów CVC ani pełnych danych posiadacza karty, obciążenie wynikające z PCI jest inne niż w konfiguracji, w której pola płatności są osadzone w przepływie Adgory. Jedna ukryta ramka iframe może zmienić cały obraz zgodności.

Zadaj konkretne pytanie: czy Adgora dotyka ścieżki płatności, czy tylko stoi obok niej? Sama odpowiedź może zdecydować, czy zespół potrzebuje lekkiej samooceny, czy bardziej rozbudowanego przeglądu płatności.

Dla czytelników budujących kampanie e-commerce obowiązuje ta sama logika w całym lejku. Strona landingowa, która kieruje kupujących do osobnego procesora płatności, to jedna sytuacja. Formularz checkoutu zbierający dane płatnicze bezpośrednio na twojej stronie to zupełnie coś innego. Jeśli prowadzisz też kampanie dla ofert sklepowych, zobacz Reklama kryptowalutowa dla sklepów e-commerce, aby poznać powiązane podejście do konfiguracji kampanii.

Co sprawdzić w dokumentacji płatności i bezpieczeństwa Adgory

Zacznij od warunków płatności. Potem sprawdź strony dotyczące bezpieczeństwa. Następnie przeczytaj wszelkie dokumenty prawne lub dla dostawców związane z rozliczeniami, przetwarzaniem lub usługami handlowymi. Te cztery miejsca zwykle mówią więcej niż strona główna.

Szukaj umowy powierzenia przetwarzania danych, oświadczenia o bezpieczeństwie dostawcy oraz dokumentacji dotyczącej checkoutu. Jeśli Adgora korzysta z osobnego procesora, jego nazwa powinna się gdzieś pojawić. Jeśli jej nie ma, to też jest istotna informacja.

Wyszukaj atest zgodności, oświadczenie o odpowiedzialności PCI albo wzmiankę, że dane kart nigdy nie są przechowywane na serwerach Adgory. Jeden dokument z takimi sformułowaniami może oszczędzić wielu godzin domysłów. Brak takiego dokumentu może zrobić odwrotnie.

Jeśli strona bezpieczeństwa jest niejasna, nie kończ na tym. Zapytaj, czy Adgora ma atest PCI od swojego procesora, czy checkout jest hostowany zewnętrznie oraz czy jakakolwiek część formularza płatności działa na infrastrukturze Adgory. To nie są szczegóły kosmetyczne.

Sprawdź też, czy faktury, subskrypcje lub aktualizacje konta obsługuje zewnętrzny system rozliczeniowy. Sprzedawca nadal może mieć obowiązki PCI, nawet jeśli sama Adgora ich nie ma. Zależy to od tego, kto przechwytuje dane karty i dokąd przeglądarka je wysyła.

Wąska kwestia: czy Adgora kiedykolwiek bezpośrednio obsługuje dane posiadacza karty?

To jest właśnie kluczowa, wąska kwestia. Dane posiadacza karty obejmują numer karty, datę ważności i imię oraz nazwisko posiadacza; wrażliwe dane uwierzytelniające obejmują CVC oraz dane z paska magnetycznego, których co do zasady nie powinno się przechowywać po autoryzacji. Jeśli Adgora bezpośrednio obsługuje takie informacje, zakres PCI DSS szybko się rozszerza.

Jeśli dane karty trafiają wyłącznie do osobnego procesora płatności, obciążenie zmienia się. Procesor płatności przejmuje większą część odpowiedzialności technicznej i kontraktowej, a Adgora może pozostać poza ścieżką płatności. Właśnie dlatego warto prześledzić trasę w przeglądarce, działanie formularza i przekazanie danych do zaplecza.

Pomaga prosty test. Otwórz stronę checkoutu, sprawdź formularz i zobacz, dokąd są wysyłane dane. Jeśli formularz kart należy do Stripe, Checkout.com lub innego hostowanego procesora, to jeden scenariusz. Jeśli formularz wysyła dane do Adgory, zanim trafią one do procesora, to inny.

Nie zakładaj, że ukryte znaczy bezpieczne. Niektóre strony zbierają najpierw minimalne dane rozliczeniowe, a dane karty przesyłają później. Inne stosują tokenizację, czyli zamianę numeru karty na token, zanim system sprzedawcy w ogóle zobaczy numer. Tokenizacja może ograniczyć ekspozycję, ale nie usuwa obowiązków wynikających z PCI.

Jeśli patrzysz na to z perspektywy reklamy lub kampanii, ta wąska kwestia często umyka uwadze, bo etap płatności nie jest produktem samym w sobie. Mimo to etap płatności może znajdować się obok produktu. Osobny procesor jest częsty, ale „częsty” nie oznacza potwierdzonego.

Powiązane terminy, które możesz spotkać

PCI DSS to sam standard. Określa, jak sprzedawcy i usługodawcy mają chronić dane kart. Dane posiadacza karty to informacje nadrukowane lub zakodowane na karcie, zwykle numer konta wraz z powiązanymi danymi.

Procesor płatności to firma, która przyjmuje płatność kartą i komunikuje się z sieciami kart lub bankiem akceptującym. Bramka płatnicza to techniczny łącznik, który przesyła dane karty z formularza checkoutu do tego procesora. Czasem ta sama firma pełni obie funkcje, a czasem nie.

Tokenizacja zastępuje prawdziwy numer karty tokenem. Token można później wykorzystać do rozliczeń, subskrypcji lub zwrotów, ale token nie jest numerem karty. Ta niewielka zamiana może zmniejszyć liczbę systemów, które muszą spełniać pełne wymagania PCI.

SAQ oznacza Self-Assessment Questionnaire, czyli kwestionariusz samooceny. To formularz, którego wielu sprzedawców używa do udokumentowania swojego stanowiska w sprawie PCI, a różne typy SAQ dotyczą różnych konfiguracji. Zakres PCI to zestaw systemów, osób i procesów, które mogą wpływać na bezpieczeństwo danych kart. Jeśli Adgora nigdy nie dotyka danych kart, może nie być w twoim zakresie PCI. Jeśli dotyka, zakres szybko rośnie.

Dla zespołów porównujących narzędzia płatnicze i narzędzia do ruchu terminologia bywa niejasna. Jeśli potrzebujesz też kontekstu po stronie kampanii, przewodnik o Reklama kryptowalutowa w nowoczesnych kampaniach będzie przydatną lekturą uzupełniającą. To nie jest dokument PCI, ale pomaga oddzielić przepływ mediów od przepływu płatności.

Przykładowe scenariusze i jak je interpretować

Scenariusz 1: hostowany checkout. Użytkownik klika „Zapłać”, opuszcza twoją stronę i wpisuje dane karty na hostowanej stronie procesora. W takiej konfiguracji Adgora może w ogóle nie zobaczyć danych karty. Obciążenie PCI jest zwykle mniejsze, choć nadal trzeba sprawdzić przekierowanie i zakres odpowiedzialności procesora.

Scenariusz 2: osadzone pola płatności. Formularz karty znajduje się na stronie Adgory, ale pola są dostarczane przez procesora za pomocą iframe lub bezpiecznego komponentu. To częste rozwiązanie, ale odpowiedź dotycząca zgodności zależy od tego, jak działa integracja i czy Adgora może wpływać na stronę wokół niej. Bezpieczny iframe to nie to samo co hostowany checkout.

Scenariusz 3: ręczne fakturowanie. Zespół sprzedaży używa Adgory do pozyskiwania leadów, a następnie wysyła faktury e-mailem lub przez osobne narzędzie rozliczeniowe. Jeśli pracownicy wpisują dane karty do terminala lub portalu procesora poza Adgorą, platforma może nie być częścią przepływu kart. Nadal jednak to sprzedawca odpowiada za obowiązki PCI związane z używaną metodą.

Scenariusz 4: cykliczne rozliczenia z zapisanymi kartami. To sytuacja, w której znaczenie mają tokenizacja i zapisane dane płatnicze. Jeśli Adgora przechowuje wyłącznie tokeny, a numer karty przechowuje procesor, zakres może pozostać ograniczony. Jeśli Adgora przechowuje coś więcej niż token, rozmowa wygląda inaczej.

Scenariusz 5: systemy mieszane. Marketing działa w Adgorze, checkout działa gdzie indziej, a obsługa klienta może widzieć szczegóły zamówienia. Właśnie w systemach mieszanych dochodzi do błędów. Panel obsługi, który ujawnia pełne numery kart, nawet na krótko, może wciągnąć cały ten zestaw narzędzi w zakres PCI.

O co zapytać support lub zespół compliance, zanim oprzesz się na Adgorze

Używaj precyzyjnych pytań. „Czy Adgora przechowuje, przetwarza lub przesyła dane posiadacza karty?” jest lepsze niż „czy jest bezpieczna?”. Zapytaj, czy Adgora znajduje się w zakresie PCI, a jeśli tak, to dla których usług lub komponentów.

Zapytaj, jaki SAQ dotyczy twojej konfiguracji. Jeśli przedstawiciel nie potrafi wskazać prawdopodobnego typu SAQ, nie oznacza to jeszcze problemu, ale znaczy, że potrzebujesz więcej szczegółów. Zapytaj też, czy dane karty kiedykolwiek przechodzą przez serwery Adgory, logi, narzędzia analityczne lub zgłoszenia do supportu.

Poproś o pisemny dowód. Atest PCI od procesora, strona bezpieczeństwa, oświadczenie o zakresie albo pismo od dostawcy mogą wystarczyć, by wyjaśnić konfigurację. Jeśli nie mogą przedstawić dowodu, traktuj to jako sygnał ryzyka.

Powinieneś też zapytać, czy Adgora obsługuje wyłącznie hostowany checkout, osadzone komponenty, czy oba warianty. Te trzy wzorce mają różne konsekwencje. Jedna pisemna odpowiedź może uchronić przed kosztownym błędnym założeniem później.

Jeśli zespół potrzebuje kontekstu specyficznego dla kanału, artykuł o targetowanie w sieci reklamowej crypto może pomóc zrozumieć, jak konfiguracja odbiorców i konfiguracja płatności pozostają od siebie oddzielone. Chodzi o to, by nie mieszać targetowania reklam z obsługą kart. To różne mechanizmy kontroli.

Jeśli dokumentacja jest niejasna

Jeśli dokumenty są nieprecyzyjne, przyjmij, że obowiązki PCI nadal spoczywają na sprzedawcy, dopóki pisemne potwierdzenie nie wskaże inaczej. To najbezpieczniejsze domyślne założenie. Cisza nie jest kontrolą bezpieczeństwa.

Poproś o aktualne pisemne oświadczenie od Adgory lub od procesora płatności, opisujące, kto obsługuje dane kart, gdzie są one obsługiwane oraz która strona posiada dowody zgodności PCI. Jeśli otrzymasz wyłącznie język marketingowy, pytaj dalej.

W złożonych konfiguracjach warto skorzystać z pomocy specjalisty od bezpieczeństwa płatności. Krótki przegląd wykonany przez osobę znającą zakres PCI może być tańszy niż późniejsze porządkowanie źle określonego checkoutu. Jest to szczególnie ważne, jeśli checkout, dział obsługi i CRM mają kontakt z tym samym rekordem klienta.

Jeszcze jedna praktyczna kontrola pomaga: przejrzyj logi, webhooki i eksporty z obsługi klienta pod kątem pól zawierających dane kart. Czasem sam checkout jest czysty, ale inny system zapisuje to, czego nie powinien. Jeden taki błąd może rozprzestrzenić dane karty po 3 lub 4 narzędziach, zanim ktoś to zauważy.

Jeśli chcesz połączyć to z szerszym przeglądem platformy, artykuł Recenzja sieci reklam kryptowalutowych może pomóc oddzielić deklaracje produktowe od faktów operacyjnych. Jednak w przypadku płatności kartą ostateczna odpowiedź zawsze pochodzi z trasy płatności, procesora i pisemnych dowodów PCI.