PCI DSS 準拠
その必要はありません。CrowdHandler はクレジットカード番号（PAN）を保存・送信することはなく、お客様のカード会員データ環境（CDE）の一部にもなっていないため、CrowdHandler は PCI コンプライアンスの対象外となります。
ただし、当社はeコマースソリューションの提供という役割を担っていること、および顧客への請求にサードパーティの決済処理業者を利用していることから、PCI DSSの関連要件を依然として満たしています。当社のPCIコンプライアンス対策には、以下のものが含まれます：
PCIの範囲定義
CrowdHandlerは、自社の課金プロセスを除き、PCI DSSにおいてカード会員データのセキュリティに影響を及ぼし得るサービスプロバイダーとは見なされません。当社は、以下の理由により、クライアントの決済フローやカード番号を把握することはできません：
- 当社は、顧客の取引において、また当社のDNS実装を通じて、カード保有者の生データ（PAN）や機密認証データ（SAD）を収集、送信、保存することはありません。
- 当社には、PAN/SADが存在しうる加盟店環境へのアクセス権限はありません。
- 当社のサービスは、取引前のエンドユーザーによる操作のみを処理し、資金の移動は取り扱いません。
ただし、弊社ではクライアントへの請求にStripeを利用しており、SAQ-Aに基づきこのサードパーティ決済処理業者の利用を検証することで、自社の支払いおよび請求情報の収集を安全に扱うためのベストプラクティスを満たしていることを確認しています。
PCI報告
PCI自己評価質問票A（SAQ-A） — 当社は、請求プロセスおよび決済代行業者としてのStripeの利用に関するセキュリティ対策の評価を行うため、毎年SAQ-Aに回答しています。お客様は、当社のSAQ-Aレポートの写しを請求することができます。
当社がサポートしている連携機能の詳細については、以下の通りです：
統合なし
CrowdHandlerと連携しない場合、CrowdHandlerとお客様のウェブサイトとの唯一のつながりはリンクのみとなります。Googleや、お客様のサイトへリンクしているその他のサイトがお客様のCDEの一部ではないのと同様に、CrowdHandlerもお客様のCDEの一部にはなりません。
JavaScriptの統合
JavaScriptの統合では、CrowdHandlerのクッキーとごく基本的なブラウザ情報のみを参照し、キュー内の位置を割り当てたり確認したりします。カード所有者のデータは一切やり取りされません。CrowdHandlerの統合は、Google Analyticsなど、普段使用している他のJavaScriptスニペットを統合するのと同じようなものです。たとえその場合でも、JavaScriptはCrowdHandlerプラットフォームとの通信をAPI経由でのみ行い、そのAPIは後述するように保護されています。
API連携
弊社とお客様のCDNの間には、APIの境界と弊社のネットワークが存在します。 当社のAPIにクレジットカード情報を送信しないでください。当社がクレジットカードを取り扱っていないため、クレジットカード関連のパラメータは存在せず、そのような情報を送信する理由が全く見当たりません。ただし、明確にしておきますが、利用規約においてお客様はこれをしないことに同意しており、万が一送信した場合、当社の外部委託によるPCI準拠のファイアウォールサービスが、ネットワークのエッジでそのリクエストを拒否します。当社はカード会員データを送信または保存することはありません。
DNSの実装
しかし、もしあなたのDNS実装を使用した場合、CrowdHandlerは間違いなく私のCDEの一部になってしまうのではないでしょうか？ いいえ、違います！ トラフィックのプロキシ処理に使用するCDNはAmazon Web Servicesが提供しており、PCI準拠の認証を取得しています。ただし、前述の通り、エッジ側でPANを含むトラフィックはすべて拒否するように設定されています。クレジットカード情報を直接受け付ける旧式のウェブサイト（このようなサイトはますます少なくなっていますが）をお持ちの場合、残念ながらCDN統合オプションはご利用いただけません。PANが当社のネットワークに到達する前に検出され、ブロックされてしまうためです。
当社のCDNをご利用になり、引き続きクレジットカード情報の取り扱いを行う場合は、サードパーティのAPI駆動型サービスを利用して、お客様に代わってカード保有者データの取得および保存を行うことにより、ウェブサイトをCDEから確実に分離する必要があります。Stripeなどのプラットフォームをご利用いただけます。当社のクライアントの大多数は、すでにこの措置を講じています。 ご注意：加盟店様の場合、CDEを効果的に分離し、セキュアコーディングの手法を採用する責任が依然としてあり、コンプライアンス遵守のために自己評価アンケートへの回答が求められる場合があります。残念ながら、弊社では一般的なPCIコンプライアンスに関するアドバイスは提供できません。
貴社のサービスに登録する際、クレジットカードを利用しました！
クレジットカード決済にはStripeを利用しています。カード番号（PAN）は一切確認せず、最後の4桁のみを受け取ります。Stripeは世界最大級の決済プロバイダーの一つであり、PCI認証を取得しています。