- PCI DSS é uma exigência contratual das bandeiras de cartão, não uma lei brasileira, com multas mensais repassadas pela adquirente, cujo valor as bandeiras não publicam
- A versão 4 substituiu a 3.2.1 em março de 2024; desde janeiro de 2025, a única versão ativa é a 4.0.1
- O escopo de um hotel se espalha por motor de reservas, recepção, restaurante, spa e PMS, muito além de um único caixa
- O SAQ correto (A, B-IP, C ou D) depende de como cada ponto processa o cartão, do checkout totalmente hospedado ao armazenamento local
- A v4 exige MFA para todo acesso não console ao ambiente de cartão, não só o administrativo, e inventário de scripts de terceiro no checkout quando o hotel não usa checkout totalmente hospedado
- Reduzir o escopo antes de tentar cumprir cada requisito é a estratégia mais eficiente para hotéis de médio porte
PCI DSS não é lei brasileira, mas é contratualmente obrigatório
O primeiro mal-entendido comum entre gestores de hotel é achar que o PCI DSS (Payment Card Industry Data Security Standard) é uma exigência legal, como a LGPD. Não é. É um padrão criado pelas próprias bandeiras de cartão (Visa, Mastercard, American Express, entre outras) e exigido contratualmente por toda adquirente ou gateway de pagamento que processa transações de cartão em nome do hotel. Na prática, isso tem o mesmo peso de uma lei: descumprir o contrato com a adquirente pode resultar em multas mensais repassadas pela adquirente, cujo valor as bandeiras não publicam, além do risco de perda do direito de processar cartões.
A versão 4 substituiu integralmente a 3.2.1, aposentada em março de 2024. A v4.0 foi encerrada em 31 de dezembro de 2024, e a única versão ativa hoje é a 4.0.1. Qualquer hotel que ainda avalia sua conformidade com base na versão antiga está avaliando o padrão errado.
Este artigo trata do que muda em um hotel. Para os 12 requisitos aplicados a qualquer empresa brasileira que aceita cartão, veja o nosso guia completo de conformidade PCI DSS.
Por que o escopo é mais complexo em um hotel do que em um varejo comum
Uma loja de varejo típica processa cartão em um único ponto: o caixa. Um hotel de médio porte processa cartão em múltiplos pontos que raramente são pensados como parte do mesmo escopo de conformidade:
- O motor de reservas no site, onde o hóspede insere o cartão diretamente.
- O check-in presencial na recepção, com maquininha física ou inserção manual no PMS.
- O restaurante, bar e spa do hotel, cada um com seu próprio ponto de venda.
- Reservas por telefone, em que um atendente digita o número do cartão em um sistema.
- Cobranças recorrentes ou pré-autorizações feitas pelo PMS para garantir a reserva.
Cada um desses pontos, se não estiver isolado dos demais, expande o escopo de tudo que precisa estar em conformidade com o PCI DSS. Um POS de restaurante na mesma rede que o motor de reservas do site, por exemplo, coloca a rede inteira dentro do escopo.
Níveis de comerciante e qual SAQ se aplica ao seu hotel
A maioria dos hotéis de médio porte se enquadra como comerciante de nível 4 (menor volume de transações), o que permite autoavaliação por meio de um Self-Assessment Questionnaire (SAQ), em vez de auditoria externa obrigatória. O SAQ correto depende de como o cartão é processado:
Os 12 requisitos do PCI DSS aplicados à operação hoteleira
O padrão organiza suas exigências em 12 requisitos, agrupados em seis objetivos de controle. Para um hotel, isso se traduz em pontos concretos: firewall e segmentação de rede entre o POS e a rede administrativa; nunca usar senha padrão de fábrica em maquininhas e roteadores; nunca armazenar CVV mesmo que temporariamente; criptografar a transmissão de dados de cartão entre o PMS e o gateway; manter antivírus e patches atualizados nos terminais; restringir o acesso a dados de cartão por função (a governança não precisa ver dados de pagamento); atribuir um usuário único para cada funcionário com acesso a sistemas de pagamento, nunca um login compartilhado na recepção; controlar fisicamente o acesso a terminais e servidores; registrar e monitorar todo acesso à rede que processa cartão; testar a segurança regularmente; e manter uma política de segurança da informação documentada.
O que mudou na versão 4
O Requisito 8.4.2 exige autenticação multifator para todo acesso não console ao ambiente de dados do titular do cartão, de qualquer usuário. Na versão anterior, a exigência valia só para acesso administrativo e acesso remoto. Se o PMS estiver no ambiente de cartão, o login da recepção no PMS pela rede entra nessa regra.
Além do MFA ampliado, a v4 trouxe exigências específicas para páginas de checkout do motor de reservas: inventário formal de todo script de terceiro que roda na página de pagamento e verificação de integridade desses scripts (requisitos 6.4.3 e 11.6.1), pensados para prevenir ataques de skimming digital como o Magecart. Esses dois requisitos valem para checkouts no SAQ A-EP ou no SAQ D. A revisão do SAQ A de janeiro de 2025 os retirou desse questionário, mas passou a exigir que o hotel confirme que seu site não está suscetível a ataques de scripts. Também elevou o tamanho mínimo de senha para 12 caracteres e passou a exigir uma análise de risco direcionada para justificar a frequência de atividades periódicas de segurança, em vez de intervalos fixos genéricos.
Se o motor de reservas do hotel carrega scripts de terceiros (chat, analytics, remarketing) na mesma página onde o hóspede insere o cartão, esses scripts agora fazem parte do escopo formal de conformidade sob a versão 4.
Como reduzir o escopo de conformidade
A estratégia mais eficaz para qualquer hotel de médio porte é reduzir o escopo antes de tentar cumprir cada requisito dentro dele. Isso significa: usar um checkout de motor de reservas totalmente hospedado pelo provedor de pagamento, para qualificar-se ao SAQ A mais simples; tokenizar o dado de cartão no PMS, para que ele nunca armazene o número real; segmentar fisicamente a rede dos terminais POS de restaurante e spa da rede administrativa e do Wi-Fi de hóspedes; e usar um gateway de pagamento certificado externo para o processamento na recepção, em vez de digitar o cartão manualmente em um sistema interno.
Escopo de conformidade e segmentação de rede andam juntos. Veja também nossa análise sobre segmentação de rede Wi-Fi em hotéis e o panorama de riscos de cibersegurança na hospitalidade. Para o padrão oficial completo, consulte o PCI Security Standards Council.