Conformidade PCI-DSS — âmbito SAQ-A e o que significa
Não tocamos em dados de cartão — todos os pagamentos via processador certificado. O âmbito SAQ-A significa setup mais simples e seguro para clientes em Portugal.
SAQ-A — cardholder data environment outsourced
SAQ-A aplica-se porque os dados de cartão estão totalmente outsourced a um processador PCI-DSS Level 1. Nunca vemos PAN, nunca armazenamos CVV, nunca processamos dados de cartão nos nossos servidores. O nosso papel é apenas redirect/iframe.
Tokenização para billing recorrente
Os clientes repetidos pagam via tokens. Os tokens não são números de cartão — inúteis se expostos, scoped ao nosso merchant ID. O token vault é mantido pelo processador, não por nós.
Rede e scans trimestrais
Scans externos aprovados ASV trimestralmente. Scans de vulnerabilidades internos mensalmente. Pentest anualmente. Findings remediados conforme SLA do processador.
Portugal — contexto de pagamentos local
Os clientes portugueses pagam tipicamente via transferência bancária ou SEPA SDD para B2B. Pagamentos de cartão geridos via processador com gestão de reverse-charge IVA 23%. Fluxo Portal das Finanças (AT) acontece após confirmação de pagamento — nunca lida com dados de cartão.
FAQ
São PCI-DSS Level 1?
Não — SAQ-A. Level 1 aplica-se a processadores que gerem milhões de transações. Outsourcamos a um processador Level 1.
Podemos ver o vosso AoC?
Sim — Attestation of Compliance partilhado sob NDA.
Suporte 3DS/SCA?
Sim — Strong Customer Authentication via 3D Secure 2.x, obrigatório para transações de cartão no EEE sob PSD2.
Reembolsos — quanto demoram?
Reembolsos de cartão: 3-10 dias úteis dependendo do issuer. SEPA: 1-3 dias. Transferência: 1-5 dias.
Chargebacks?
Geridos pelo processador — cooperamos com evidence package em 48 horas.