SAQ A vs SAQ D: ¿cuál necesitas tú?
El cuestionario que rellenas determina cuánto trabajo de PCI DSS asumes. La diferencia entre SAQ A y SAQ D es de unos 30 requisitos frente a 300 — y depende de una sola cosa: si los datos de tarjeta tocan tus sistemas.
~30
Requisitos en el SAQ A
~300
Requisitos en el SAQ D
0
Datos de tarjeta en alcance (SAQ A)
Hasta el 95%
Reducción de alcance con tokens
SAQ A vs SAQ D, línea a línea
El mismo negocio tiene un aspecto completamente diferente dependiendo de si almacena datos de tarjeta.
| Dimensión | SAQ A MÁS SENCILLO | SAQ D |
|---|---|---|
| Para quién es | Externalización completa del manejo de tarjetas | Almacenas / procesas / transmites datos de tarjeta |
| Requisitos aprox. | ~30 | ~300 |
| Datos de tarjeta en tus sistemas | Ninguno | Sí |
| Entorno de datos del titular | No necesario | Construir, segmentar y mantener |
| Escaneo ASV y pruebas de penetración | Mínimo | Alcance completo |
| Coste y esfuerzo relativo | Bajo | Alto |
| Exposición a brechas | Transferida al vault | Tú asumes el riesgo |
Cómo la tokenización te mueve del D al A
Tres pasos sacan los datos de tarjeta de tu entorno y te califican para el cuestionario más sencillo.
La tarjeta la recogemos nosotros
Los datos de tarjeta se capturan directamente en nuestro vault PCI DSS Nivel 1 — en tu web, por teléfono o vía API — nunca en tus servidores.
Tú recibes un token
Tus sistemas solo almacenan un token. No hay número de tarjeta que proteger, escanear o auditar en tu entorno.
Cumples los requisitos del SAQ A
Con los datos de tarjeta completamente fuera del alcance, la mayor parte del PCI DSS ya no te aplica. El cuestionario se reduce en consecuencia.
SAQ A vs SAQ D, respondidas
01 ¿Cuál es la diferencia entre SAQ A y SAQ D?
SAQ A es para comercios que externalizan completamente el manejo de datos del titular, por lo que los datos de tarjeta nunca tocan sus sistemas — alrededor de 30 requisitos. SAQ D es para comercios que almacenan, procesan o transmiten datos de tarjeta y cubre el PCI DSS completo — alrededor de 300 requisitos.
02 ¿Puedo pasar del SAQ D al SAQ A?
Sí. Si dejas de almacenar datos de tarjeta y usas un vault externo PCI DSS Nivel 1 que los tokenice, los datos de tarjeta abandonan tu entorno. La mayoría de los comercios entonces cumplen los requisitos del SAQ A.
03 ¿Cuál es el SAQ más barato de mantener?
El SAQ A, con diferencia. Con aproximadamente una décima parte de los requisitos y sin entorno de datos del titular que auditar, reduce los costes de evaluación, infraestructura, escaneo y personal.
Alcanza el SAQ A y mantenlo
Mueve los datos de tarjeta a nuestro vault certificado y reduce tu alcance PCI al mínimo.