“Mándame los 16 dígitos, la fecha y los tres de atrás, y ahorita te lo cobro.” 

Parece práctico, pero pedir los datos de la tarjeta por chat va en contra de PCI DSS, el estándar que protege los pagos con tarjeta.

Si tienes un negocio en México, es probable que esta frase te suene. Una clienta quiere apartar un pedido, un paciente quiere liquidar su consulta, un huésped quiere confirmar su reservación. Para no perder la venta, alguien del equipo le pide los datos de la tarjeta por WhatsApp o por teléfono, los anota y los teclea después en la terminal. 

Parece práctico. Pero en OCD Tech México lo vemos seguido: este hábito mete los datos de tarjeta en lugares donde nadie los está protegiendo, y eso cambia por completo tu situación frente a PCI DSS. 

Qué dice PCI DSS sobre enviar datos de tarjeta por chat 

PCI DSS es el estándar de seguridad que deben cumplir todos los negocios que aceptan, procesan o guardan datos de tarjetas de pago. En su versión vigente, el requisito 4.2.2 es muy claro: el número de la tarjeta (el PAN) no puede enviarse sin protección a través de tecnologías de mensajería de usuario final. 

El propio PCI Security Standards Council aclara que el correo electrónico, la mensajería instantánea, los SMS y el chat entran en esa categoría. En otras palabras, WhatsApp, Messenger, Telegram o el chat de tu página web cuentan. 

Y hay un dato todavía más delicado: el código de seguridad de tres o cuatro dígitos (CVV o CVC) forma parte de lo que PCI DSS llama datos sensibles de autenticación. Esos datos no se pueden conservar después de autorizar el pago, ni siquiera cifrados (requisito 3.3.1). Si ese código se queda en un chat, en una captura o en una libreta, ya hay un incumplimiento. 

Por dónde se quedan los datos de tarjeta sin que te des cuenta 

El problema no es solo el momento en que se envía el mensaje. Es todo lo que pasa después. Cuando revisamos cómo cobran las MiPyMEs, estos son los lugares donde más seguido encontramos datos de tarjeta olvidados: 

El historial del chat 

Los mensajes se quedan ahí semanas o meses. Cualquier persona con acceso al teléfono, o a la sesión de WhatsApp Web abierta en la computadora de recepción, puede verlos. 

Las capturas de pantalla y las fotos 

Una foto de la tarjeta “para no equivocarse al teclear” termina en la galería del celular. Y si ese celular tiene activado el respaldo automático en la nube, la imagen ya está también en una cuenta personal que tu negocio no controla. 

Los teléfonos personales 

Cuando el equipo cobra desde su propio celular, los datos de tus clientes viven en dispositivos que no administras, que pueden perderse o que se van con la persona cuando deja la empresa. 

La libreta o el post-it junto a la terminal 

Lo que se anota a mano para cobrar después también son datos de tarjeta. PCI DSS exige proteger y destruir de forma segura también el papel. 

Las grabaciones de llamadas 

Si tu conmutador graba las llamadas y alguien dicta ahí el CVV, esa grabación contiene datos que no deberías conservar. 

Lo que esto le cuesta a tu negocio 

Cada uno de estos lugares amplía tu alcance PCI DSS, es decir, el conjunto de personas, equipos y procesos que tendrías que proteger y demostrar que proteges. Un negocio que cobraba solo con terminal y ligas de pago de su procesador puede pasar, sin darse cuenta, a tener teléfonos, chats y libretas dentro del alcance. 

Las consecuencias son concretas: 

• Si hay una filtración, el banco adquirente puede pedir una investigación forense y aplicar penalizaciones o cargos según tu contrato de afiliación. Las condiciones varían por banco, así que vale la pena revisar el tuyo. 

• Los contracargos por fraude con tarjetas comprometidas recaen en tu negocio. 

• En los casos graves, el banco puede suspender o retirar tu terminal, y eso detiene tus cobros. 

• Los datos de tarjeta también son datos personales. Con la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, tu empresa sigue obligada a protegerlos con medidas de seguridad adecuadas. 

• Y está la confianza. Un cliente que descubre que su tarjeta quedó expuesta en el chat de un negocio difícilmente vuelve. 

Si tu empresa vende o quiere vender a clientes en Estados Unidos, esto pesa todavía más. Los cuestionarios de seguridad de proveedores suelen preguntar justo cómo manejas los datos de pago. 

Cómo seguir cobrando a distancia sin poner en riesgo los datos de tarjeta 

La buena noticia es que no tienes que dejar de vender por WhatsApp. Lo que cambia es cómo cobras. 

Cambia el dato por una liga de pago 

Usa las ligas de pago o la página de cobro de tu procesador. El cliente captura sus datos directamente en un sitio seguro y tu equipo nunca los ve ni los toca. 

Deja por escrito la regla “nunca por chat” 

Escríbela en tu política interna, explícala al equipo y respáldala: si un cliente manda los datos por iniciativa propia, se borra el mensaje, se le avisa y se le envía la liga. 

Limpia lo que ya existe 

Revisa los chats, las galerías, las libretas y las grabaciones. Elimina de forma segura cualquier dato de tarjeta que encuentres, incluidos los respaldos en la nube. 

Separa los dispositivos de cobro 

Si tu equipo atiende clientes por WhatsApp, usa números y equipos de la empresa, con WhatsApp Business, contraseña y bloqueo automático. 

Revisa tu alcance real 

Después de estos cambios, haz una revisión de cómo fluyen los datos de pago en tu negocio. Ahí es donde se nota si tu alcance PCI DSS es el que crees. 

Cobra rápido, pero sin dejar datos regados 

En OCD Tech México acompañamos a negocios de todos los tamaños a entender su alcance PCI DSS, cerrar las brechas que no se ven en el día a día y cumplir sin frenar la operación. Si en tu empresa se cobra por chat o por teléfono, agenda una evaluación con nuestro equipo y revisemos juntos por dónde están pasando hoy los datos de tus clientes.