Segurança e Conformidade PCI DSS

#Visão Geral

A Selectwin tokeniza os cartões: a sua integração trabalha com uma referência ao cartão, nunca com o número dele. Esta página explica como manter os dados do cartão fora dos seus sistemas e o que continua sendo responsabilidade da sua empresa.

---

#O que é PCI DSS?

O PCI DSS (Payment Card Industry Data Security Standard) é o conjunto de requisitos de segurança estabelecido pelas bandeiras (Visa, Mastercard, American Express, Discover e JCB) para quem processa, armazena ou transmite dados de cartão.

A conformidade é obrigatória para qualquer organização que lide com esses dados, independentemente do tamanho ou do volume de transações.

---

#Tokenização de Cartões

Em vez de trafegar e guardar dados de cartão, a sua integração trabalha com tokens — identificadores que não têm valor fora do ambiente Selectwin.

#Como funciona

1. O cartão chega à Selectwin pelo navegador do comprador (Selectwin Elements ou integração direta), pela página hospedada ou pela nossa API, sempre em canal seguro (TLS 1.2+)
2. A Selectwin tokeniza o cartão
3. Você recebe e guarda apenas a referência (card_...)
4. Cobranças futuras usam a referência, nunca o número do cartão

#Benefícios

• Nenhum dado de cartão do seu lado: a sua integração guarda só a referência
• Menor risco: um token vazado não é utilizável fora do ecossistema Selectwin
• Recorrência e 1-clique sem guardar dado sensível

---

#Como manter dados de cartão fora dos seus servidores

• Checkout hospedado — o comprador informa os dados na página hospedada pela Selectwin, e o seu servidor nunca vê o cartão.
• Selectwin Elements — os campos do cartão num iframe da Selectwin dentro da sua página (como o Stripe Elements); createToken devolve um token de uso único, e payment.card.token ou POST /v1/cards { token } o transformam num card_.... Para apps sem iframe, a integração direta da mesma página.
• Cartão pela API — Criar Cartão com os dados completos devolve um card_...; é o caminho em que o número do cartão passa pelo seu servidor.

Para página de pagamento própria, use o Selectwin Elements. O caminho dos dados completos existe para integrações servidor-a-servidor.

---

#Modelo de Responsabilidade Compartilhada

#Responsabilidades da Selectwin

• Segurança do ambiente da API e das páginas hospedadas
• Tokenização dos cartões
• Criptografia dos dados em trânsito (TLS 1.2+)
• Autenticação e autorização de acesso à API
• Monitoramento e resposta a incidentes
• Gestão das chaves criptográficas do nosso ambiente

#Responsabilidades do Cliente (sua empresa)

• Implementação segura da integração com a nossa API
• Segurança dos ambientes e sistemas que conversam com a API
• Guarda adequada das chaves de API (nunca no código-fonte ou no front-end)
• Treinamento da equipe em práticas de segurança
• Acesso a dados sensíveis restrito a quem precisa
• Controles de segurança adequados na sua aplicação
• A conformidade PCI DSS dos seus próprios sistemas, se eles capturarem ou transmitirem dados de cartão

---

#Proteção de Dados em Trânsito

Todas as comunicações com a API Selectwin são protegidas por TLS 1.2 ou superior:

• Certificados com assinatura SHA-256
• Apenas cifras fortes, com Perfect Forward Secrecy
• HSTS (HTTP Strict Transport Security) habilitado
• Proteção contra downgrade e MITM (Man-in-the-Middle)

---

#Prevenção de Fraudes

A Selectwin aplica, em toda cobrança com cartão:

• Análise antifraude por transação
• Verificação do código de segurança (CVV)
• 3D Secure 2.0 como autenticação adicional quando aplicável

---

#Melhores Práticas de Segurança

#Para sua aplicação

1. Use TLS 1.2 ou superior em todos os seus serviços
2. Proteja suas chaves de API: variáveis de ambiente ou cofre, nunca no código-fonte nem no navegador
3. Autenticação forte para acesso administrativo
4. Mantenha sistemas e bibliotecas atualizados
5. Registre e monitore acessos e falhas
6. Menor privilégio em todos os sistemas
7. Teste sua própria superfície regularmente

#Para integradores de e-commerce

1. Prefira o checkout hospedado — evita lidar com dado de cartão
2. Valide entradas rigorosamente
3. Proteja contra XSS e CSRF
4. Configure CSP para mitigar injeção
5. Configure CORS corretamente
6. Guarde só o necessário sobre cada transação

---

#Notificação de Incidentes

Se identificar uma vulnerabilidade ou incidente relacionado à API Selectwin:

1. Escreva imediatamente para security@selectwin.io
2. Descreva o problema com precisão
3. Inclua, se possível, os passos para reproduzir
4. Não divulgue publicamente antes da correção

A Selectwin segue um processo de divulgação responsável e reconhece a sua contribuição após a resolução.

---

#Recursos Adicionais

• Guia da PCI Security Standards Council

#Contato

Dúvidas sobre segurança ou conformidade: security@selectwin.io