Segurança no gateway de pagamento: PCI DSS, tokenização e LGPD para o lojista
Entenda o que o lojista precisa saber sobre PCI DSS, tokenização, antifraude e LGPD ao usar um gateway de pagamento, e como reduzir riscos e obrigações.
Ao aceitar pagamentos online, o lojista lida com dados sensíveis e responde por protegê-los. A forma mais simples de reduzir risco e obrigações é não tocar nos dados de cartão: usar checkout hospedado ou campos seguros do gateway e trabalhar com tokens. Além disso, a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) exige que você trate os dados pessoais dos clientes com base legal, finalidade clara e medidas de segurança.
PCI DSS em linguagem simples
O PCI DSS (Payment Card Industry Data Security Standard) é um padrão de segurança criado pelas bandeiras de cartão e mantido pelo PCI Security Standards Council. Ele define requisitos para quem armazena, processa ou transmite dados de cartão: redes protegidas, criptografia, controle de acesso, monitoramento e testes de segurança.
Para o lojista, o ponto central é o escopo: quanto mais os dados de cartão passam pelos seus sistemas, maior a sua responsabilidade e mais extensa a validação. Se os dados nunca chegam aos seus servidores, o escopo diminui bastante. O detalhamento dos níveis e dos questionários de validação está no site do PCI Security Standards Council; pergunte ao seu provedor como ele orienta a validação para o seu caso.
Formas de integrar e o impacto na segurança
| Forma de integração | Os dados de cartão passam pelo seu servidor? | Impacto no escopo de segurança |
|---|---|---|
| Checkout hospedado (página do provedor) | Não | Menor |
| Campos seguros incorporados (iframe ou biblioteca do provedor) | Em geral, não | Menor a intermediário |
| API direta com dados do cartão enviados pelo seu servidor | Sim | Maior |
| Plugin que captura dados na sua loja | Depende do plugin | Verifique a documentação |
Quanto menos dados de cartão você manipula, melhor. Se precisar de integração direta, estruture com apoio técnico especializado.
Tokenização
Tokenização substitui o número do cartão por um código (token) sem valor fora do contexto do provedor. Com o token, você pode cobrar de novo o mesmo cliente (por exemplo, em assinaturas) sem guardar o número do cartão. É a prática mais comum para recorrência. Lembre que o token costuma ser vinculado ao provedor, o que influencia uma eventual migração de gateway.
O que nunca guardar
Mesmo com um provedor seguro, evite armazenar:
- o código de segurança do cartão (CVV), que não deve ser guardado após a autorização;
- a tarja magnética ou dados completos do cartão em planilhas, e-mails ou mensagens;
- chaves de API em repositórios públicos ou em código visível ao navegador.
Se precisar enviar informações de pagamento ao suporte, mascare os números.
LGPD no contexto de pagamentos
A LGPD se aplica ao tratamento de dados pessoais de clientes, como nome, CPF, e-mail, endereço e dados de pagamento. Pontos práticos para lojistas:
- Base legal e finalidade: trate os dados só para o que é necessário, como executar o contrato de venda, cumprir obrigações legais e prevenir fraude.
- Transparência: tenha política de privacidade clara, dizendo quais dados coleta, para quê, com quem compartilha (incluindo o gateway) e como o titular exerce seus direitos.
- Segurança: adote medidas técnicas e administrativas para proteger os dados.
- Direitos dos titulares: esteja pronto para atender pedidos de acesso, correção e exclusão, dentro do que a lei permite.
- Operadores: o gateway costuma atuar como operador ou controlador dependendo do caso; leia o contrato para entender as responsabilidades.
- Incidentes: tenha um plano para responder a vazamentos, incluindo comunicação às partes e à autoridade quando exigido.
A autoridade responsável pela fiscalização é a Autoridade Nacional de Proteção de Dados (ANPD). Veja as orientações em gov.br/anpd. Para a adequação do seu negócio, consulte um advogado especializado.
Antifraude: o que o lojista controla
O gateway costuma oferecer antifraude, mas o lojista precisa alinhar regras ao perfil do negócio. Boas práticas:
- analisar manualmente pedidos de alto risco antes do envio;
- observar sinais como endereço de entrega divergente, e-mails descartáveis e múltiplas tentativas com cartões diferentes;
- usar autenticação adicional em transações de risco;
- revisar periodicamente falsos positivos, para não perder vendas legítimas;
- acompanhar o índice de chargeback; veja o guia de chargeback.
Segurança da conta e do painel
Muitos incidentes vêm de acessos indevidos ao painel do provedor, não de falhas sofisticadas. Proteja o seu:
| Medida | Por que ajuda |
|---|---|
| Autenticação em dois fatores | Evita acesso só com senha vazada |
| Usuários e permissões por função | Limita o dano de uma conta comprometida |
| Rodízio de chaves de API | Reduz risco de chaves expostas |
| Alertas de login e de saque | Detecta atividade suspeita |
| Lista de pessoas com acesso revisada | Remove ex-funcionários e prestadores |
Desconfie de ligações, mensagens e e-mails que se passam pelo provedor pedindo senhas, códigos ou chaves. O provedor legítimo não pede sua senha.
Perguntas para fazer ao provedor
- Como vocês tratam e protegem os dados de cartão?
- Vocês seguem o PCI DSS? Como isso se aplica à minha integração?
- Como funciona a tokenização e posso exportar os tokens?
- Quais ferramentas de antifraude estão disponíveis e como ajustar as regras?
- Como vocês cumprem a LGPD e quais são as minhas responsabilidades?
- O que acontece em caso de incidente de segurança?
O checklist de escolha de gateway inclui itens de segurança para registrar as respostas.
Perguntas frequentes
Preciso ser certificado em PCI DSS?
Depende de como você lida com os dados de cartão. Quem usa checkout hospedado ou campos seguros do provedor reduz bastante as exigências. Pergunte ao seu provedor qual é o caminho de validação aplicável.
O gateway cuida de toda a LGPD por mim?
Não. O provedor cuida da parte dele, mas você continua responsável pelo tratamento dos dados dos seus clientes, pela política de privacidade e pelo atendimento aos direitos dos titulares.
Posso guardar o CPF e o endereço do cliente?
Pode, desde que haja finalidade e base legal, como a execução do contrato e obrigações fiscais, e que os dados sejam protegidos e mantidos pelo tempo necessário.
O que fazer em caso de vazamento?
Contenha o incidente, avise o provedor, avalie o impacto e siga as regras de comunicação da LGPD. Procure orientação jurídica para os passos corretos.
Fontes e referências
- PCI Security Standards Council — padrão PCI DSS.
- Autoridade Nacional de Proteção de Dados (ANPD) — LGPD e orientações.
- Banco Central do Brasil — regras de segurança do setor de pagamentos.