Definição
PCI DSS é o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento, um conjunto de requisitos técnicos e operacionais para entidades que armazenam, processam ou transmitem dados de cartões de pagamento. O PCI Security Standards Council o publica, e bandeiras e adquirentes o aplicam por meio de seus contratos.
O que abrange
O PCI DSS oferece uma base de requisitos técnicos e operacionais para proteger dados de contas de pagamento. O PCI Security Standards Council diz que ele se destina a entidades que armazenam, processam ou transmitem dados do titular do cartão ou dados de autenticação sensíveis, ou que possam afetar a segurança do ambiente que os contém. Isso inclui comerciantes, processadores, adquirentes, emissores e prestadores de serviços. O conselho define o padrão, e adquirentes e bandeiras de pagamento o aplicam por meio de seus acordos, então não é uma lei. Esta página reflete a versão 4.0.1 do padrão.
Dois termos importam aqui. Dados do titular do cartão incluem o número da conta principal (PAN). Dados de autenticação sensíveis (SAD) incluem o código de verificação impresso no cartão, como o CVV2, CVC2 ou CID, que existe para provar que quem paga está com o cartão em mãos.
O que exige
O requisito 3.2.1 pede que o armazenamento de dados de conta seja mantido ao mínimo por políticas, procedimentos e processos de retenção e descarte de dados. O requisito 3.3.1 diz que os SAD não são armazenados após a autorização, mesmo que criptografados. Dados do titular, como o PAN, só podem ser mantidos após a autorização se houver necessidade de negócio e, no caso do PAN, apenas quando tornado ilegível. Os SAD não podem ser mantidos.
O Conselho aplicou isso diretamente às chamadas. Na FAQ 1210, diz que armazenar um código de validação do cartão em qualquer gravação de áudio digital, como um arquivo .wav ou .mp3, após a autorização é uma violação do requisito 3.3.1. Se esses dados forem coletados durante uma chamada, todo esforço deve ser feito para impedir que sejam gravados, e onde houver tecnologia para suprimir ou ocultar o áudio durante a digitação dos dados ela deve ser ativada. Se a gravação não puder ser impedida, os dados devem ser excluídos com segurança imediatamente após a autorização. Onde a exclusão não for possível, o recurso são os controles compensatórios. A FAQ também afirma que o PCI DSS não se sobrepõe às leis locais ou regionais de retenção de áudio.
O que significa para um agente de voz
Um agente de voz é um novo lugar por onde os dados de cartão podem se espalhar. Dígitos que alguém fala, ou digita, podem aparecer no áudio da chamada, em uma transcrição, em um prompt enviado a um LLM, em uma chamada de ferramenta, em uma carga de webhook, em um repositório de análise e nos logs de um fornecedor. Cada cópia levanta a questão de se cai dentro do seu escopo PCI.
As abordagens comuns são passar quem liga a um fluxo de pagamento que fica fora do agente, ou coletar os dígitos por tons do teclado mascarados no áudio (DTMF), de modo que o agente nunca os ouve nem os armazena. Seja qual for a abordagem, confira o que a gravação de chamadas captura durante a etapa de pagamento e como as peças são guardadas e excluídas (retenção de dados). O relatório SOC 2 de um fornecedor não mostra o status PCI. Peça a atestação PCI do fornecedor se ele estiver no caminho dos dados de cartão. Para exemplos bancários, veja o guia sobre IA conversacional no setor bancário.
Perguntas para o jurídico
- Armazenamos, processamos ou transmitimos dados de cartão neste fluxo, ou podemos manter o agente fora do escopo?
- Qual avaliação ou atestação se aplica a nós, e o que exigem nosso adquirente e as bandeiras?
- Como impedimos que dígitos de cartão cheguem a gravações, transcrições, prompts e logs?
- O que fazemos se uma gravação já contém um código de verificação?
- Quais fornecedores no caminho da chamada devem nos dar evidências do seu próprio status PCI?
Termos relacionados
Guias
Casos de uso
Fontes
- PCI Security Standards Council, PCI Data Security Standard (PCI DSS)
- PCI SSC FAQ 1210, Are audio/voice recordings permitted to contain sensitive authentication data?
Esta página traz informação geral, não aconselhamento jurídico. As regras variam conforme o país, o estado e o caso de uso, e mudam. Consulte as fontes indicadas e peça orientação a um advogado qualificado antes de se basear nela.
Última revisão em 19 de outubro de 2026