En México, cualquier organización que almacene, procese o transmita datos de tarjetas de pago (crédito, débito o prepago) debe cumplir con PCI DSS. Esta obligación aplica sin importar el tamaño de la empresa o su volumen de transacciones. Usar una pasarela de pagos de terceros puede reducir el alcance, pero no elimina la responsabilidad: lo crítico es definir con precisión qué sistemas, accesos y proveedores pueden ver o impactar la seguridad del flujo de pago.
Tabla de Contenido
En México, PCI DSS (Payment Card Industry Data Security Standard) aplica a cualquier empresa que, por su modelo de cobro o su rol operativo, toque (o pueda comprometer) datos de tarjeta. El país no cambia la lógica; cambia el ecosistema: adquirentes, pasarelas, procesadores, bancos, agregadores, ecommerce, call centers, franquicias, marketplaces.
La forma más útil de entenderlo es por roles:
Eres “comercio” si aceptas tarjetas para vender productos o servicios, ya sea en tienda, en línea o por teléfono.
Ejemplos típicos en México:
Punto clave: subcontratar el cobro no elimina tu responsabilidad. Lo que cambia es qué tanto alcance tienes y qué evidencia te van a pedir.
Eres “proveedor de servicio” si procesas, almacenas o transmites datos de tarjeta en nombre de otra empresa, o si tu servicio puede impactar la seguridad del entorno de datos de tarjeta.
Ejemplos típicos:
En esta normativa, también entran actores como adquirentes (quienes afilian comercios) y emisores (quienes emiten tarjetas), además de procesadores y otros participantes del ecosistema de pagos.
| PCI DSS Nivel | Criterio | Documento requerido |
|---|---|---|
| Nivel 1 | Comercios que procesan más de 6 millones de transacciones por año (Visa, Mastercard, Discover o Amex) | Evaluación presencial de PCI DSS + Certificación de Cumplimiento (AoC) |
| Nivel 2 | Comercios que procesan entre 1 y 6 millones de transacciones anualmente | Cuestionario de Autoevaluación (SAQ) |
| Nivel 3 | Comercios que procesan entre 20,000 y 1 millón de transacciones anualmente | Cuestionario de Autoevaluación (SAQ) |
| Nivel 4 | Comercios que procesan menos de 20,000 transacciones anualmente | Cuestionario de Autoevaluación (SAQ) |
Incumplir PCI DSS no suele “pasar desapercibido”. En la práctica, el impacto llega por tres vías: penalizaciones contractuales, costos operativos por incidentes y restricciones para seguir procesando tarjetas.
PCI DSS es un estándar de la industria, y las multas/penalizaciones por no cumplir se definen por cada marca de tarjeta y se aplican a través del banco adquirente o el procesador, que normalmente las traslada al comercio o proveedor.
En la industria se reportan rangos típicos de penalización por incumplimiento de aprox. USD $5,000 a $100,000 por mes (Fuente: LegalClarity).
Además de penalizaciones, el adquirente puede incrementar tarifas, imponer requisitos adicionales de validación o endurecer el monitoreo hasta que demuestres cumplimiento. En casos graves, puede terminar la relación y dejarte sin capacidad de procesar tarjetas.
Cuando ocurre un incidente, normalmente aparecen costos que no estaban en el presupuesto: forense, contención, remediación, reposición de tarjetas, atención a tarjetahabientes, y esfuerzos acelerados de cumplimiento. PCI DSS no elimina el riesgo, pero sí cambia el escenario: exige controles y evidencia que reducen exposición y tiempos de respuesta.
Conoce más sobre: 10 errores de compliance que terminan en multas
Aunque uses un tercero, tu sitio puede seguir estando en alcance si:
Si alguien pide “mándame la tarjeta por mensaje” y eso termina en correo, chat, CRM o tickets, ya tienes almacenamiento no intencional. Eso se vuelve un problema de alcance y evidencia.
Si tomas tarjeta por teléfono, la pregunta es directa: ¿se graba la llamada, se anota en algún sistema, se captura en pantalla, se guarda en notas? Si sí, PCI DSS te aplica.
No necesitas ver el número de tarjeta para entrar en alcance. Si administras infraestructura, accesos o despliegues del entorno donde se cobran tarjetas, puedes influir en su seguridad y, por tanto, en el alcance de PCI DSS.
El problema que más aparece en auditorías PCI no es la falta de controles: es la falta de evidencia trazable que los soporte. Desde nuestro SOC as a Service, trabajamos el entorno de pago (CDE) con ese objetivo: monitoreo operativo, generación de evidencia auditable y respuesta documentada dentro del alcance definido, con responsabilidades compartidas.
Nuestro SOC no "certifica" PCI DSS por sí solo. Lo que hace es operar, con evidencia continua, los controles que PCI exige dentro del alcance definido del entorno de pago, y dejar trazabilidad defendible ante auditoría.