PCI DSS e Segurança de Cartões

Como protegemos os dados de cartão dos seus clientes, do momento em que são digitados até a cobrança.

Versão 1.0 · vigente desde 20 de outubro de 2026

1. Captura

• O número do cartão é digitado numa página segura e enviado direto ao ambiente protegido, sem passar pelo sistema de quem vende.
• Toda comunicação é cifrada (TLS).
• O código de segurança (CVV) nunca é guardado: ele só existe em memória, pelo tempo necessário para concluir a cobrança.

2. Guarda

• Quando o cartão fica salvo para cobranças recorrentes, o número é cifrado com AES-256 e substituído por um código (token). Quem vende só vê o token e os quatro últimos dígitos.
• As chaves de criptografia ficam separadas dos dados que protegem.
• Cada uso do cartão salvo fica registrado, e o número só é aberto no instante de enviar a cobrança à credenciadora.

3. Acesso

• A equipe acessa o sistema por cargo, só na medida do necessário, com segundo fator de autenticação obrigatório.
• Ninguém da equipe vê o número completo de um cartão.
• Toda ação no painel administrativo fica numa trilha de auditoria que a equipe não pode alterar.
• Os servidores só aceitam acesso administrativo por rede privada.

4. Processamento

As cobranças são autorizadas e liquidadas por credenciadoras parceiras, também certificadas no PCI DSS.

5. Para quem integra pela API

• Use a tokenização no navegador ou o link de pagamento, para que o número do cartão nunca passe pelo seu servidor e o seu sistema fique fora do escopo do PCI DSS.
• Nunca registre em log, e-mail ou planilha o número do cartão ou o CVV.
• Guarde as credenciais da API só no seu servidor.

6. Incidentes

Suspeita de vazamento ou uso indevido de dados de cartão deve ser informada imediatamente pelo canal de denúncias ou pelo suporte. Incidentes são tratados com as credenciadoras e as bandeiras, como o padrão exige, e comunicados aos afetados e às autoridades conforme a LGPD.