Прием приватных данных на сайте

Question

[n0ip]

Привет, хабр! :-)
Впервые сталкиваюсь с данной задачей, поэтому простите мне некоторую некомпетентность в вопросе.
Вопрос следующий: в силу некоторых обстоятельств нужно принимать приватные данные пользователя (номер кредитной карты, cvv) на своей стороне и после этого отправлять платежнику. Подскажите, как правильно это реализовать, чтобы не было проблем с законом. Достаточно ли ssl-сертификата, или нужно PCI DSS проходить. Если да — то как?

Comments

[n0ip]

Небольшой апдейт:
Предположим, нам нужно отправить приватные данные отелю для подтверждения бронирования. Для этого уже, видимо, необходимо иметь сертификат PCI DSS?

Answer 1

[victorraine]

Вообще очень странная схема, мы работаем с несколькими ЕПС: Хронопэй, Интеллект Моней, PayOnline, однако у всех них правилами строго настрого запрещено на нашей стороне собирать данные карты, и требовать их с пользователя, обычно выбора 2:

— переадресация на страницу платежной системы для ввода данных
— встраивание в страницу iframe от епс

Собирать на своей стороне и делать white label (без марки платежной системы) в России можно только если вы очень большие, с огромным оборотом (от 5млн. рублей в месяц), иначе даже собранные номера кредиток вам все равно никто не даст от процессить и снять с них деньги.

Поэтому думаю начните подписывать договор по процессингу карт, а там в процессе и выяснится, возможно вам вообще не нужно на своей стороне ничего хранить и собирать