Cuando una empresa recibe pagos con tarjeta por teléfono, el contact center deja de ser solo un canal de atención. También pasa a ser parte de un proceso que puede exponer información financiera sensible. Por eso, aplicar PCI DSS en Contact Center es una tarea relevante para organizaciones de retail, salud, seguros, cobranzas, educación, servicios y cualquier operación que procese pagos asistidos.
PCI DSS es un estándar de seguridad creado para proteger los datos de tarjetas de pago. Su objetivo es reducir el riesgo de filtraciones, fraudes y accesos indebidos a la información del titular de una tarjeta. No se limita al procesador de pagos: también puede involucrar sistemas de telefonía, grabaciones, estaciones de trabajo, CRM, IVR, redes, proveedores e integraciones.
El desafío aparece cuando el cliente dicta los datos de su tarjeta a un agente o los ingresa durante una llamada. Si esos datos viajan por la infraestructura de voz, quedan escritos en notas, aparecen en una pantalla o terminan dentro de una grabación, la superficie de riesgo crece. La versión vigente del estándar es PCI DSS v4.0.1, y los requisitos que antes tenían una fecha futura comenzaron a ser efectivos el 31 de marzo de 2025.
Implementar controles no significa que toda empresa deba construir una compleja operación de pagos desde cero. El punto de partida es entender por dónde circulan los datos de tarjeta y diseñar una experiencia que minimice su exposición dentro del contact center.
Qué datos se deben proteger en un pago telefónico
Para trabajar correctamente PCI DSS en Contact Center, es necesario diferenciar los datos que se pueden utilizar bajo controles específicos de aquellos que no deben mantenerse después de autorizar una transacción. El número de tarjeta, conocido como PAN, necesita protección cuando se almacena, transmite o procesa.
También pueden aparecer el nombre del titular, la fecha de vencimiento y otros datos asociados a una transacción. Aunque no todos tienen el mismo nivel de sensibilidad, deben analizarse dentro del flujo completo de pago para evitar que queden expuestos en herramientas operativas.
El código de seguridad de la tarjeta, como CVV o CVC, merece especial atención. Este dato de autenticación sensible no debe quedar almacenado después de la autorización, ni siquiera si se cifra. Eso incluye archivos de audio, grabaciones de pantalla, notas de agentes, correos, tickets, transcripciones y registros técnicos.
En un contact center omnicanal, el problema no se restringe a las llamadas. Un cliente puede enviar datos de tarjeta por WhatsApp, chat web, email o redes sociales. Por ello, la política de protección debe considerar todos los canales disponibles y definir qué debe hacer cada agente si recibe información de pago por una vía no autorizada.
Los principales riesgos de los pagos con tarjeta en Contact Center
El riesgo más visible es la grabación de llamadas. Muchas empresas graban conversaciones para capacitar, evaluar calidad, resolver reclamos o respaldar procesos. Sin controles adecuados, una grabación puede contener el número de tarjeta completo o el código de seguridad mencionado verbalmente por el cliente.
Otro foco de riesgo está en la pantalla del agente. Si el ejecutivo escribe datos de pago en un navegador, sistema de cobro o formulario interno, una herramienta de grabación de pantalla podría capturar esa información. También pueden existir riesgos en capturas de pantalla, portapapeles, archivos temporales, correos de confirmación o notas dentro del CRM.
Las estaciones de trabajo remotas requieren una revisión adicional. El trabajo híbrido amplía la operación, pero obliga a controlar el acceso a aplicaciones, la seguridad de los equipos, la autenticación de usuarios, el uso de redes confiables y la prohibición de almacenar información en dispositivos personales.
Por último, los proveedores externos forman parte del análisis. Plataformas de telefonía, grabación, almacenamiento, CRM, pasarelas de pago, servicios de soporte y BPO pueden intervenir en el recorrido de los datos. La empresa debe conocer qué rol tiene cada proveedor, qué información procesa y qué evidencias de seguridad puede entregar.
Cómo reducir el alcance de PCI DSS en Contact Center
Una estrategia efectiva no consiste solamente en agregar más controles al entorno existente. También busca evitar que los datos de tarjeta entren en sistemas que no necesitan procesarlos. Mientras menos herramientas reciban, escuchen, almacenen o transmitan datos de pago, más simple será gestionar el riesgo.
1. Mapear el recorrido de los datos
El primer paso es documentar cada escenario en que un cliente puede entregar información de tarjeta. Se deben considerar llamadas entrantes, campañas salientes, IVR, transferencias, correos, chat, mensajería, formularios web, cobranzas y atención postventa.
Para cada recorrido, conviene responder preguntas simples: ¿el agente escucha los datos?, ¿la llamada se graba?, ¿se registra la pantalla?, ¿qué aplicación recibe el pago?, ¿qué proveedores participan?, ¿qué información queda en el CRM? Este mapa permite detectar puntos ciegos antes de elegir una solución técnica.
2. Evitar que los datos lleguen al agente
Cuando el flujo lo permite, una alternativa es derivar al cliente a un proceso de pago automatizado. Puede ser un IVR de pago, una pasarela segura o un enlace de pago enviado por un canal autorizado. Así, el agente acompaña la atención comercial o de servicio, pero no necesita ver ni escuchar los datos financieros.
En algunos modelos, el cliente ingresa los números con el teclado telefónico mientras sigue conversando con el ejecutivo. El objetivo es que los tonos y los datos se dirijan al procesador de pago, sin quedar disponibles para el agente ni para la grabación de voz. La viabilidad de cada método depende de la arquitectura, los proveedores y la evaluación de cumplimiento correspondiente.
3. Controlar grabaciones y pantallas
Si la operación requiere grabar llamadas, se deben definir mecanismos para prevenir la captura de datos sensibles. Dependiendo del flujo, esto puede incluir pausas controladas, supresión de segmentos de audio, enmascaramiento, redacción posterior o separación del proceso de pago respecto de la interacción principal.
La grabación de pantalla merece la misma atención. No sirve ocultar los datos en el audio si el PAN o el CVV continúa visible en la pantalla del ejecutivo. Las áreas de calidad, tecnología, operaciones y cumplimiento deben validar juntas qué ocurre en cada momento del pago.
4. Aplicar mínimo privilegio y autenticación robusta
El acceso a grabaciones, sistemas de pago, reportes y datos de clientes debe limitarse según función laboral. Un supervisor, un analista de calidad, un agente y un administrador no necesitan acceder al mismo nivel de información. Definir perfiles, registrar accesos y revisar permisos reduce la posibilidad de exposición interna.
La autenticación multifactor ayuda a reforzar la protección de cuentas críticas. También es importante evitar usuarios compartidos, desactivar accesos de colaboradores que ya no participan en la operación y mantener trazabilidad sobre acciones realizadas en sistemas sensibles.
El rol del IVR, CRM y la omnicanalidad
Un IVR bien diseñado puede ayudar a separar el pago de la conversación de servicio. Por ejemplo, el cliente puede resolver una consulta con un agente y luego completar el pago mediante una transferencia controlada a un flujo automatizado. El diseño debe ser claro para evitar abandono, confusión o transferencias innecesarias.
El CRM también requiere reglas precisas. Las fichas de clientes son útiles para registrar la gestión, el estado de una solicitud, un compromiso de pago o una transacción aprobada. Sin embargo, no deben convertirse en un repositorio de números completos de tarjeta, códigos de seguridad o notas con información financiera sensible.
En canales digitales, la prevención es clave. Los agentes deben saber cómo responder si un cliente envía los datos de su tarjeta por chat, email o mensajería. Una respuesta estandarizada puede indicar que no comparta información financiera por ese medio y orientar hacia un canal de pago autorizado.
La omnicanalidad no elimina la necesidad de controles; la hace más importante. Una interacción puede comenzar por WhatsApp, continuar mediante una llamada y finalizar con un enlace de pago. Sin una visión centralizada del recorrido y sin políticas consistentes, el cliente puede recibir indicaciones contradictorias o entregar datos por un canal incorrecto.
Checklist para revisar PCI DSS en Contact Center
Una revisión inicial puede comenzar con esta lista de verificación:
- Identificar todos los canales donde un cliente podría compartir datos de tarjeta.
- Revisar si las llamadas, pantallas, chats o correos pueden almacenar información de pago.
- Confirmar que el CVV o CVC no quede guardado después de la autorización.
- Definir un flujo seguro para pagos asistidos, automatizados o mediante enlaces.
- Limitar el acceso a grabaciones, sistemas de pago y datos de clientes.
- Implementar autenticación robusta para cuentas con acceso sensible.
- Capacitar a agentes y supervisores sobre qué datos no deben solicitar, copiar ni registrar.
- Revisar contratos, responsabilidades y evidencias de los proveedores involucrados.
- Probar periódicamente el flujo real, incluyendo excepciones y transferencias.
- Consultar a especialistas de cumplimiento y al adquirente cuando sea necesario definir el alcance aplicable.
Este checklist no reemplaza una evaluación formal, pero ayuda a transformar un requisito técnico en acciones operativas concretas. La documentación también es fundamental: una política que no se traduce en procedimientos, capacitación y evidencias difícilmente protege a la empresa en la práctica.
Cómo convertir seguridad en una mejor experiencia de cliente
La seguridad no tiene por qué hacer más lenta la atención. Un flujo claro reduce la necesidad de que el cliente repita datos, evita silencios incómodos durante el pago y entrega mayor confianza al momento de completar una transacción.
La clave está en comunicar de forma simple. El agente puede explicar qué ocurrirá, cuánto durará el paso de pago y qué información no debe dictar en voz alta. Si el cliente recibe instrucciones consistentes en todos los canales, el proceso se vuelve más seguro y fácil de seguir.
También conviene medir el impacto del flujo. Indicadores como abandono durante el pago, duración de la interacción, transferencias, errores de transacción, contactos repetidos y reclamos permiten detectar si la seguridad está generando fricción innecesaria. La mejora continua debe equilibrar protección, cumplimiento y experiencia.
CRM + Contact Center para gestionar la atención con contexto
Con el CRM con Omnis Contact Center integrado de Novatel, cada llamada, WhatsApp, email o chat web puede quedar registrado en la ficha del cliente, manteniendo a la vista el historial y las próximas acciones. Esto permite gestionar la atención y el seguimiento comercial sin convertir el CRM en un espacio para registrar datos sensibles de tarjetas.
Conclusión
Aplicar PCI DSS en Contact Center exige mirar más allá de la pasarela de pagos. Las llamadas, grabaciones, pantallas, perfiles de acceso, integraciones y canales digitales pueden ser parte del riesgo si reciben datos de tarjeta sin controles adecuados.
El camino más efectivo comienza por mapear los flujos, reducir la exposición de los agentes y evitar que la información sensible llegue a sistemas que no necesitan procesarla. Para profundizar en los requisitos del estándar, es recomendable revisar la documentación oficial de PCI Security Standards Council y complementar el análisis con especialistas de seguridad y cumplimiento.
