Agencias acreditadas por IATA
No es la acreditación lo que está en juego, es la forma de pago que sostiene la mayor parte de tus ventas. DM11 prepara a tu agencia para demostrar que cumple con el PCI DSS, el estándar de seguridad para datos de tarjeta, desde el diseño del alcance hasta la evidencia que respalda la declaración.
DM11 prepara a tu agencia. Quien firma la autoevaluación y la declaración es la propia agencia. Y, cuando el caso exija una evaluación formal, realizada por un QSA (un auditor acreditado para esto), esta queda a cargo de un socio.
Quién conduce la preparación
Lo que IATA exige, en concreto
Circula la idea de que toda agencia acreditada debe cumplir con el PCI DSS. La regla es más precisa que eso, y entender la diferencia cambia el tamaño del problema. La Resolución 812 de IATA (la asociación mundial de las aerolíneas) solo autoriza el pago con la tarjeta del cliente a la agencia que cumple el estándar. Quien no acepta, no transmite ni almacena datos de tarjeta informa esto a IATA y cierra el asunto.
Resolución 812, sección 2.6.3.1: el permiso para usar el Customer Card Payment Method (el pago con la tarjeta del cliente) depende de que la agencia cumpla el PCI DSS por completo. El BSP Manual for Agents (BSP son las siglas de Billing and Settlement Plan, el sistema de facturación de IATA), el manual que rige a las agencias en ese sistema, refuerza la regla, añade la Resolución 890 y establece que IATA supervisa el cumplimiento.
Te aplica si tu agencia acepta tarjetas a nombre de su propia acreditación o emite boletos con la tarjeta del pasajero a través del BSP. Si tu operación nunca toca datos de tarjeta, existe una declaración específica para ese caso, que exime de la evidencia de cumplimiento.
En el IATA Customer Portal, en Accreditation & Changes, en el servicio de actualización de cumplimiento PCI DSS. Solo los contactos con perfil de administrador o firmante autorizado pueden enviarlo. Se adjunta la declaración, y el ciclo es anual.
El estándar
El PCI DSS es el estándar de seguridad del sector de tarjetas, mantenido por el PCI Security Standards Council. No pregunta el tamaño de tu empresa: pregunta si aceptas, transmites o almacenas datos de tarjeta. En una agencia, ese dato entra por más puertas de las que la mayoría imagina.
PCI DSS v4.0.1. La v3.2.1 se retiró en marzo de 2024 y la v4.0 en diciembre de 2024, así que cualquier evaluación actual se hace contra la 4.0.1. Un documento o política escrita en la versión anterior ya no respalda una declaración.
La mayoría de los requisitos nuevos de la versión 4 era buena práctica hasta el 31 de marzo de 2025 y pasó a ser obligatoria desde esa fecha. Entre ellos, la autenticación en dos pasos para todo acceso al entorno de tarjeta, contraseñas más largas y capacitación que cubra phishing e ingeniería social.
El BSP Manual for Agents es directo: la agencia nunca debe almacenar ni anotar el código de verificación de la tarjeta. El estándar dice lo mismo: los datos de autenticación no pueden retenerse después de la autorización, y cifrarlos no resuelve el problema. Es la regla más violada y la más fácil de comprobar en una investigación.
El estándar prohíbe enviar el número de tarjeta sin protección mediante tecnologías de mensajería de usuario final, lo que incluye correo electrónico, SMS y aplicaciones de mensajería. En la práctica, es el hábito más común y más costoso de una agencia, porque deja el dato disperso en bandejas de entrada que nadie controla.
Todo lo que almacena, procesa o transmite datos de tarjeta entra en el alcance, y con eso llega lo que está conectado a esos sistemas. Por eso el primer trabajo no es comprar controles, es reducir el territorio: sacar el dato de donde no necesita estar reduce el esfuerzo en todos los requisitos a la vez.
Si tu central graba llamadas y el cliente dicta la tarjeta, ese audio pasa a contener datos de tarjeta. Cuando la grabación se puede buscar, esto entra en conflicto con la prohibición de retener datos de autenticación. La salida habitual es pausar la grabación en el momento del pago o suprimir el tramo.
Cuál es tu caso
El SAQ (Self-Assessment Questionnaire, la autoevaluación) es el cuestionario que la propia agencia responde y firma. Existe más de un tipo, y el correcto depende del canal por el que recibes la tarjeta, no de tu facturación. Elegir el tipo equivocado es el error más costoso, porque produce una declaración que no se sostiene.
| Cómo llega la tarjeta hasta ti | Autoevaluación aplicable | Qué exige esto |
|---|---|---|
| Sitio propio que redirige el pago a la pasarela (la página del procesador de pagos), sin tocar el dato | SAQ A | El conjunto de controles más reducido. A cambio, declaras que tu página de pago no es susceptible a ataques de scripts, una afirmación que solo se sostiene con monitoreo real de la página. |
| Sitio propio con página de pago que toca el dato antes de enviarlo | SAQ A-EP | Mucho más extenso que el SAQ A: tu entorno web entra en el alcance, con gestión de vulnerabilidades y control de cambios. |
| Solo terminal virtual del adquirente, en un equipo aislado, sin guardar nada en medio digital | SAQ C-VT | Exige aislamiento real de la estación y ningún otro canal electrónico de tarjeta. No aplica si la agencia también vende por internet. |
| Tarjeta digitada en el campo de forma de pago del sistema de reservas | SAQ D | El dato pasa por tus sistemas y por el registro de la reserva, así que el entorno entra en el alcance. Es el escenario más común en las agencias brasileñas, y el más subestimado. |
| Tarjeta recibida por teléfono, correo electrónico o aplicación de mensajería | SAQ D | Además del alcance ampliado, hay una corrección previa que hacer: recibir tarjetas por mensaje ya contraviene el estándar, y se necesita un canal alternativo antes de cualquier declaración. |
| Tarjeta anotada, guardada en hoja de cálculo, sistema de gestión o grabación de llamada | SAQ D | El almacenamiento es lo que más amplía el alcance y el riesgo. Aquí el trabajo empieza por localizar y eliminar el dato de donde no debería estar. |
Es común leer que la agencia de viajes encaja en el SAQ C-VT. En la mayoría de los casos brasileños no encaja: el C-VT exige terminal virtual del adquirente en una máquina aislada y no admite venta por internet. Quien digita la tarjeta en el sistema de reservas está en otro escenario, y declarar el tipo equivocado crea una exposición mayor que no declarar.
Lo que ocurre en la práctica
Mucha gente imagina pérdida de acreditación o multa, y por eso lo posterga. Lo que prevé la Resolución 812 es distinto, y para la operación es peor en el corto plazo: la tarjeta del cliente se retira como forma de pago y el historial de la agencia queda marcado.
La falta de cumplimiento es un evento de riesgo formalmente tipificado en la Resolución 812, en la misma tabla que trata los demás eventos de riesgo de la agencia.
La Resolución determina que IATA restrinja de inmediato el uso del Customer Card Payment Method. Si el proveedor del sistema de emisión no logra aplicar la restricción, se informa a las aerolíneas del BSP para que actúen.
Una sola ocurrencia registrada ya pesa en la evaluación del historial de riesgo de la agencia, en la misma categoría de gravedad que un incumplimiento de pago. Un cambio de estado de riesgo puede activar la exigencia de garantía financiera y remesas más frecuentes.
La restricción se mantiene hasta que la agencia demuestre, a satisfacción de IATA, que cumple los requisitos para volver a usar el método. Es decir, el camino de salida es el mismo que habría evitado el problema.
Quién hace qué
Este es un mercado donde se promete un certificado que no se puede emitir. Preferimos dejar claro desde ya quién firma qué, porque eso cambia lo que debes exigirnos a nosotros y lo que necesitas resolver con otros.
Autodiagnóstico
Catorce preguntas sobre cómo circula la tarjeta en tu operación. El resultado aparece completo en pantalla, con la puntuación de cada área y una lectura honesta de lo que hay que cambiar primero. No pedimos correo electrónico para mostrar el resultado.
Teléfono, correo electrónico, aplicación de mensajería, sitio web, mostrador, sistema de reservas, terminal del adquirente.
Cómo lo hacemos
Cada fase termina con un entregable. Sabes qué recibes antes de empezar.
Relevamos todos los puntos por donde el dato entra, pasa y se detiene en tu operación, incluidos los informales que nadie documenta. Es el paso que define el tamaño de todo lo que viene después.
Lo que recibes
Antes de implementar controles, sacamos el dato de donde no necesita estar. Cambiar el canal de recepción y eliminar el almacenamiento innecesario suele reducir el proyecto de forma drástica.
Lo que recibes
Ejecutamos junto con tu equipo lo que el estándar exige para el alcance que queda: acceso, autenticación, separación de red, actualizaciones, registro y monitoreo, y la gestión de los proveedores que manejan la tarjeta.
Lo que recibes
El consultor de viajes es quien recibe la tarjeta. Capacitamos al equipo en el procedimiento nuevo y en cómo reconocer fraudes por correo electrónico y teléfono, algo que la versión actual del estándar exige expresamente.
Lo que recibes
Armamos el expediente que respalda cada respuesta de la autoevaluación y orientamos el llenado correcto. Quien firma es la agencia, y firma sabiendo lo que hay detrás de cada punto.
Lo que recibes
La declaración es anual y la operación cambia en el camino. Damos seguimiento a los cambios que afectan el alcance y preparamos el ciclo siguiente antes de que se vuelva urgente.
Lo que recibes
Historias
Anonimizamos a los clientes con el mismo cuidado que protegerá después a tu agencia. Los nombres cambian, y el patrón de los problemas se repite.
Preguntas frecuentes
Respuestas ancladas en las resoluciones de IATA y en el estándar del PCI Security Standards Council. Donde no existe un dato oficial, decimos que no existe.
No exactamente, y la diferencia importa. La Resolución 812 condiciona la autorización para usar el Customer Card Payment Method al cumplimiento del PCI DSS. Si tu agencia acepta tarjetas contra su propia acreditación o emite boletos con la tarjeta del pasajero, la exigencia se aplica. Si la operación no acepta, no transmite ni almacena datos de tarjeta en ningún momento, existe una declaración específica para ese caso, que sustituye a la evidencia de cumplimiento.
¿Más dudas? Habla con DM11
Una conversación de treinta minutos suele bastar para decir qué autoevaluación tiende a aplicarse a tu agencia y qué se puede resolver de inmediato. Sin compromiso.