Соответствие электронной коммерции, когда данные карты обрабатываются третьим лицом

Question

Какие формы соблюдения электронной коммерции, такие как PCI-DSS, применяются, когда данные карты обрабатываются третьей стороной, такой как Paypal?

Создайте систему покупок на заказ, которая использует Paypal Express, поэтому данные карты никогда не попадали на мой сервер. Тем не менее, я сохраняю данные о клиентах, чтобы соблюдение - как на уровне кода, так и на аппаратном уровне - должно или должно я придерживаться?

Answer 1

В соответствии с PCI DSS вам нужно только зашифровать информацию о клиенте, если они хранятся вместе с PAN (также номером кредитной карты). Поскольку вы не храните или не занимаетесь PAN, вам не нужно ничего лишнего делать.

См стр 5 на PCI DSS:

https://www.pcisecuritystandards.org/security_standards/pci_dss_download.html

Answer 2

Если данные кредитной карты никогда физически попадает ваш сервер (в том числе оперативной памяти из-за формы пост), то PCI-DSS не применяется. Аутсорсинг обработки вашей кредитной карты для совместимой третьей стороны на сегодняшний день является самым простым способом обеспечения соответствия.