Which SAQ do we need?

It depends on how you accept cards. The SAQ helper asks about your payment channels, how card data reaches your provider and whether you store it, and suggests a questionnaire with its reasons. You confirm the choice, and your acquirer has the final say.

Does Complyanz validate our PCI DSS status?

No. Complyanz helps you prepare, but it does not assess, attest or sign anything. You validate with an SAQ you complete and sign, or with a ROC by a QSA, or by an ISA where your payment brand allows it, and your acquirer or payment brand decides what it accepts.

Do you run ASV scans or penetration tests?

No. An Approved Scanning Vendor runs the quarterly external scans and a qualified, organizationally independent tester runs the penetration tests (11.4.2 and 11.4.3). Complyanz schedules these activities and records each result with its evidence.

What changed in SAQ A in January 2025?

Revision 1 of SAQ A took out 6.4.3, 11.6.1 and 12.3.1 and asks an e-commerce merchant to confirm that its website is protected against script attacks, as PCI SSC FAQ 1588 explains.

Can we use compensating controls or the customized approach?

A compensating control needs a legitimate, documented constraint and a yearly review. The customized approach is available only in a ROC with a targeted risk analysis per requirement, and the two cannot be combined on the same requirement.

Is the official requirement text included?

No. PCI SSC licenses the text of the standard. Complyanz describes every requirement in its own words and cites only the requirement IDs and the names of the twelve principal requirements.

Atestação

PCI DSS

O PCI DSS v4.0.1 é a única versão ativa do padrão de segurança para cartões de pagamento, e os requisitos com data futura são obrigatórios desde 31 de março de 2025. O Complyanz ajuda você a se preparar para o seu Questionário de Autoavaliação (SAQ) ou Relatório de Conformidade (ROC): sugere o SAQ adequado à forma como você aceita pagamentos com cartão, mostra quais requisitos se aplicam e por quê, e mantém em um só lugar o escopo do ambiente de dados do titular do cartão (CDE), o calendário de testes, os controles de compensação e as análises de risco direcionadas.

Comece a se preparar Agendar uma demonstração

O que você recebe

Um padrão, preparado de ponta a ponta

280requisitos distribuídos entre os doze requisitos principais e os Apêndices A1, A2 e A3, cada um descrito com nossas próprias palavras sob o respectivo ID oficial

10Questionários de Autoavaliação que o assistente pode sugerir, do SAQ A ao SAQ D para prestadores de serviços, ou um ROC quando o seu nível exigir

17atividades recorrentes no calendário de testes, das varreduras trimestrais aos testes de penetração anuais, com intervalos de seis meses onde os prestadores de serviços precisam

4idiomas: inglês, português do Brasil, português europeu e espanhol

Os questionários

Qual SAQ se aplica, e o que ele cobre

Cada SAQ cobre um conjunto fixo de requisitos. Depois que você confirma o seu, o Complyanz marca todos os demais requisitos como não aplicáveis, com o motivo escrito ao lado, e nunca sobrescreve uma decisão que você tomou manualmente.

Questionário	Para quem serve	Requisitos
SAQ A	Comerciantes sem cartão presente que entregam todo o tratamento de cartões a um prestador validado e mantêm, no máximo, registros em papel	27
SAQ A-EP (lista não verificada)	Comerciantes de e-commerce que terceirizam o processamento, mas cujo próprio site entrega ou controla parte da página de pagamento	139
SAQ B (lista não verificada)	Comerciantes que usam apenas máquinas de impressão manual de cartão ou terminais autônomos com discagem, sem armazenamento eletrônico de cartões	27
SAQ B-IP	Comerciantes que usam apenas terminais autônomos aprovados pelo PTS, com conexão IP ao seu processador, separados dos demais sistemas	50
SAQ C	Comerciantes cujo aplicativo de pagamento conectado à internet opera em um único local, segmentado dos demais sistemas	123
SAQ C-VT	Comerciantes que digitam os pagamentos um a um em um terminal virtual hospedado por um prestador, em um computador isolado	52
SAQ P2PE	Comerciantes que aceitam cartões apenas por meio dos terminais de uma solução de criptografia ponto a ponto validada	19
SAQ SPoC	Comerciantes que recebem pagamentos com cartão presente por meio de uma solução SPoC validada, um leitor de cartões seguro pareado com um celular ou tablet	20
SAQ D para comerciantes	Qualquer comerciante que não se enquadre em nenhum dos anteriores, por exemplo, um que armazene dados de cartão eletronicamente	Requisitos 1 a 12 sem os itens exclusivos de prestadores de serviços, mais A2.1.1
SAQ D para prestadores de serviços	Prestadores de serviços que a respectiva bandeira de pagamento autoriza a se autoavaliarem, já que todos os outros SAQ são só para comerciantes	Requisitos 1 a 12 com os Apêndices A1 e A2

O SAQ A segue a sua revisão de janeiro de 2025, que removeu 6.4.3, 11.6.1 e 12.3.1 e acrescentou uma verificação de elegibilidade de que o seu site está protegido contra ataques de script (FAQ 1588 do PCI SSC). As listas do SAQ A-EP e do SAQ B seguem os questionários da v4.0, porque as edições v4.0.1 não puderam ser verificadas, e o Complyanz as sinaliza como não verificadas. Os níveis de comerciante e de prestador de serviços são definidos pelas bandeiras de pagamento e pelo seu adquirente; confirme com eles qual validação esperam.

Na plataforma

Tudo o que a sua avaliação vai perguntar

Assistente de SAQ e aplicabilidadeResponda a um conjunto curto de perguntas sobre seus canais de pagamento e a forma como você aceita cartões e receba um SAQ sugerido, com os motivos e as ressalvas. Você confirma a escolha, e o Complyanz marca cada requisito como aplicável ou não, com um motivo por escrito, sem nunca sobrescrever uma decisão que você tomou.

Catálogo de requisitosTodos os 280 requisitos da v4.0.1, descritos com nossas próprias palavras, cada um com seu ID oficial, a frequência com que se repete e se vale apenas para prestadores de serviços. Mantenha à mão a sua cópia licenciada do padrão para consultar o texto oficial.

Registro de escopo do CDEListe os sistemas, redes, aplicativos, pessoas, processos, registros em papel e terceiros no escopo, classifique-os em CDE, conectados ao CDE, com impacto na segurança e fora do escopo, e vincule-os ao seu inventário de ativos. Confirme o escopo todo ano, ou a cada seis meses se você for prestador de serviços, e mantenha o histórico.

Calendário de testesAcompanhe revisões de regras, revisões de acesso, verificações de redes sem fio, varreduras de vulnerabilidades internas e externas, testes de penetração e de segmentação e as revisões anuais, cada um com prazo, responsável e evidências. Registre cada execução e seu resultado; uma execução reprovada mantém a atividade pendente até que se registre uma execução aprovada ou corrigida.

Controles de compensação e análises de riscoEscreva cada planilha de controle de compensação para um requisito, com sua restrição, objetivos, risco adicional, validação e manutenção, e uma data de revisão anual. Registre as análises de risco direcionadas que definem a frequência dos requisitos flexíveis, que então orientam o calendário, ou que sustentam uma abordagem personalizada em um ROC.

Documentos e riscos12 modelos de documento, da política de segurança da informação ao plano de resposta a incidentes, e 25 cenários de risco de cartões de pagamento, como e-skimming, falha de segmentação e adulteração de terminais, em inglês, português e espanhol. Uma correspondência não oficial com a ISO/IEC 27001:2022 mostra onde o seu trabalho de ISO se relaciona.

Escopo

O que está no escopo, e o que não está

Somente a versão 4.0.1A versão 4.0.1, publicada em junho de 2024, é a única versão ativa. Os 51 requisitos que tinham data futura passaram a ser obrigatórios em 31 de março de 2025, de modo que o catálogo trata todos eles como em vigor.

Apêndice A3 sob solicitaçãoA validação complementar para entidades designadas só se aplica quando uma bandeira de pagamento ou um adquirente designa você. Ative-a no seu perfil; os IDs seguem a numeração da v4.0 e estão marcados como não verificados.

Fora do escopoPCI PIN, PCI 3DS, o próprio padrão P2PE, os padrões Secure Software e PTS e os cálculos de nível das bandeiras de cartão. O assistente de SAQ cobre apenas a elegibilidade para P2PE e SPoC.

Não somos assessoresO Complyanz não é um Assessor de Segurança Qualificado (QSA) nem um Fornecedor de Varredura Aprovado (ASV). Ele não executa varreduras nem testes de penetração, e não preenche nem assina os formulários oficiais de SAQ, ROC ou AOC, que são modelos do PCI SSC. O Complyanz não é afiliado nem endossado pelo PCI Security Standards Council.

Indo além

Comece por qualquer framework e adicione os outros depois

O PCI DSS e a ISO 27001 se sobrepõem em controle de acesso, geração de logs, gestão de vulnerabilidades e resposta a incidentes. O Complyanz mantém uma correspondência para cada grupo de requisitos, classificada como parcial ou relacionada, para que você veja quais controles da ISO se relacionam com o trabalho que você já fez. Os mapeamentos são nossa leitura, não uma correspondência oficial.

Adicionar ISO 27001Grande parte do PCI DSS, do controle de acesso à geração de logs e à resposta a incidentes, se relaciona com os controles do Anexo A da ISO 27001, de modo que um sistema de gestão de segurança da informação reaproveita o trabalho. Adicionar SOC 2Os prestadores de serviços costumam receber também a solicitação de um relatório SOC 2. Ativos, riscos e evidências são compartilhados entre os dois programas em um único workspace.

Preços

Incluído no plano Completo ou como adicional

O módulo PCI DSS está incluído no plano Completo e pode ser adicionado a qualquer outro plano, com preço pelo número de pessoas no escopo, como os próprios planos.

Ver preços

Perguntas

Perguntas frequentes sobre PCI DSS

Qual SAQ precisamos?

Depende de como você aceita cartões. O assistente de SAQ pergunta sobre seus canais de pagamento, como os dados de cartão chegam ao seu prestador e se você os armazena, e sugere um questionário com os motivos. Se seus canais apontarem para SAQ diferentes, ele sugere o SAQ D e recomenda perguntar ao seu adquirente se questionários separados são aceitos. Você confirma a escolha, e a palavra final é do seu adquirente.

O Complyanz valida o nosso status de PCI DSS?

Não. O Complyanz ajuda você a se preparar, mas não avalia, não atesta nem assina nada. Você valida com um SAQ que você preenche e assina, ou com um ROC feito por um Assessor de Segurança Qualificado, ou por um Assessor de Segurança Interno quando a sua bandeira de pagamento permite; ambos vêm acompanhados de um Atestado de Conformidade, e o seu adquirente ou a bandeira de pagamento decide o que aceita.

Vocês executam varreduras ASV ou testes de penetração?

Não. As varreduras externas precisam ser executadas por um Fornecedor de Varredura Aprovado (ASV) a cada três meses (11.3.2), e os testes de penetração internos e externos por um profissional de testes qualificado e organizacionalmente independente, que pode ser da sua equipe ou de uma empresa externa (11.4.2 e 11.4.3). O Complyanz agenda essas atividades, registra cada resultado com suas evidências e mantém uma execução reprovada pendente até que uma execução aprovada ou corrigida seja registrada.

O que mudou no SAQ A em janeiro de 2025?

A revisão 1 do SAQ A para a v4.0.1 retirou 6.4.3, 11.6.1 e 12.3.1. Em contrapartida, um comerciante de e-commerce agora precisa confirmar que o seu site está protegido contra ataques de script que possam atingir o seu processo de pagamento. A FAQ 1588 do PCI SSC explica que você pode demonstrar isso com proteções que você mesmo opera ou por meio de um terceiro, ou com uma confirmação por escrito do seu prestador de pagamento de que o formulário de pagamento incorporado as inclui quando configurado conforme as instruções.

Podemos usar controles de compensação ou a abordagem personalizada?

Um controle de compensação exige uma restrição legítima e documentada, precisa atender à intenção do requisito original e ir além do que os demais requisitos já exigem, e é revisado todos os anos. A abordagem personalizada está disponível apenas em um ROC e exige uma análise de risco direcionada para cada requisito (12.3.2). As duas não podem ser combinadas no mesmo requisito, e o Complyanz recusa essa combinação.

O texto oficial dos requisitos está incluído?

Não. O PCI SSC licencia o texto do padrão. O Complyanz descreve cada requisito com palavras próprias e cita apenas os IDs dos requisitos e os nomes dos doze requisitos principais. Mantenha à mão o padrão da biblioteca de documentos do PCI SSC para consultar o texto oficial.

Prepare-se para a sua avaliação do PCI DSS

Crie uma organização, diga ao assistente de SAQ como você aceita pagamentos com cartão e veja quais requisitos se aplicam a você, e por quê.

Comece gratuitamente Agendar uma demonstração