Considerando que uso SSL todo el proceso.
Tengo un cliente IOS que deseo usar para ingresar los detalles de la tarjeta de crédito del usuario. Quiero hacer todo el proceso de carga y procesamiento en el lado del servidor, por lo que envío los detalles de la tarjeta de crédito al servidor donde se utiliza para procesar. No guardo los detalles allí en ningún almacenamiento permanente.
¿Está esto bien / suficiente?
No. No puede manejar PCI sin cumplir con los requisitos de PCI-DSS para manejar PCI. No almacenarlo simplemente significa que no tiene que preocuparse por los requisitos de almacenamiento, pero aún se aplican cosas como la segmentación de la red y la seguridad del servidor, incluso si solo transita a través de su servidor.
Es difícil saber su configuración exacta, pero usar un lenguaje como "enviar los detalles de la tarjeta de crédito" genera alarmas. Yo sugeriría que se ajuste al 'Proceso de tienda y transmisión' de datos. Sería MUY sospechoso de cualquier respuesta por el contrario y tengo en cuenta que más del 90% de las empresas que piensan que no almacenan datos en realidad lo hacen una vez que se analizan y prueban. Lo sentimos, puede que no haya sido la respuesta que buscabas, pero es honesta
PCI DSS applies to all entities ... that store, process or transmit cardholder data.
( PCI DSS v2 Introducción)
Si procesa los detalles de la tarjeta de crédito, está sujeto a PCI.
Si transmite los detalles de la tarjeta de crédito, está sujeto a PCI.
El cifrado SSL / de red es uno de los requisitos para cumplir con las PCI DSS (Requisito 4). Hay otros; Tendrá que evaluar lo que está haciendo para determinar a qué debe prestar atención. Debe consultar los Cuestionarios de autoevaluación para determinar qué ámbito es probable que se aplique a usted.
Si el servidor está fuera de su alcance y solo le preocupa la aplicación en su iDevice, es probable que esté escribiendo una aplicación de pago, y debe preocuparse por conformidad PA-DSS en su lugar. Eso es más serio, no hay autoevaluaciones para las Solicitudes de pago y ninguna organización puede usar una Solicitud de pago no aprobada sin estar en violación de las PCI DSS.
Lea otras preguntas en las etiquetas credit-card pci-dss