¿Se almacenan mis datos de pago en sus servidores?
Los números completos de tarjetas de crédito, los códigos CVV y los datos bancarios nunca llegan a nuestros servidores (Stripe). Son gestionados directamente por nuestro procesador de pagos certificado PCI-DSS Nivel 1, el estándar de seguridad más alto en la industria de las tarjetas de crédito. Almacenamos únicamente una referencia tokenizada (para que puedas reutilizar una tarjeta guardada si así lo deseas) y los últimos cuatro dígitos de tu recibo. Si nuestros sistemas se vieran comprometidos, los datos de tu tarjeta no serían accesibles porque no los tenemos.
La tokenización es el mecanismo técnico que permite guardar una tarjeta sin almacenar sus datos reales. Al guardar una tarjeta, el procesador de pagos devuelve un token (una cadena de caracteres sin significado que representa la tarjeta en su sistema), y nosotros almacenamos este token en lugar del número de tarjeta. Las transacciones futuras hacen referencia al token, el procesador lo compara con los datos reales de la tarjeta que tiene registrados y se realiza el cargo. El token es inútil para cualquier persona ajena al sistema de nuestro procesador de pagos; incluso si se robara toda nuestra base de datos, los tokens no podrían utilizarse para realizar cargos en ningún otro lugar.
La decisión arquitectónica de mantener los datos de las tarjetas fuera de nuestros sistemas es parte de la razón por la que el cumplimiento de PCI es significativo y no solo un requisito formal. El nivel más estricto de cumplimiento de PCI-DSS (Nivel 1) se aplica a los procesadores que manejan más de seis millones de transacciones al año e incluye auditorías anuales in situ, escaneos de red trimestrales y monitoreo continuo. Los conductores preocupados por la seguridad de los pagos en plataformas en línea pueden preguntar específicamente a cualquier proveedor si almacenan datos de tarjetas en sus propios servidores; la respuesta correcta es "no, usamos un procesador compatible con PCI mediante tokenización". Cualquier otra respuesta indica que el proveedor tiene una postura de seguridad de pagos estructuralmente más débil.