Tema
GUI-001: Guía operativa para merchants — Dispositivos POI (PCI 9.5.1.x)
| Campo | Valor |
|---|---|
| ID | GUI-001 |
| Versión | 1.0 |
| Fecha de emisión | 2026-06-16 |
| Audiencia | Merchants integrados a Fintrixs Pay que operen POI físicos |
| PCI DSS | Req 9.5.1, 9.5.1.1, 9.5.1.2, 9.5.1.3 |
| Vínculo | POL-016 — Fintrixs no opera POI; los merchants sí |
A quién aplica: Esta guía es obligatoria para los merchants que se conecten a Fintrixs Pay y decidan operar dispositivos POI físicos (POS terminals, mPOS readers, kiosks, vending machines con card readers, etc.). Si tu merchant opera solo e-commerce online, esta guía es informativa.
1. Por qué tu empresa es responsable
PCI DSS v4.0 Req 9.5 aplica a la entidad que opera el POI device. Cuando tu merchant decide aceptar pagos con tarjeta presencialmente (card-present), asumes la responsabilidad de:
- Inventariar tus POI devices
- Inspeccionarlos periódicamente buscando tampering
- Entrenar al personal que opera o limpia las terminales
- Mantener registros (logs) de inspección por al menos 12 meses
Fintrixs Pay únicamente procesa la transacción online una vez que el POI te ha entregado los datos. La cadena física la controlas tú.
2. Inventario inicial (Req 9.5.1.1)
Antes de poner un POI en operación, debes registrar:
| Campo | Ejemplo |
|---|---|
| Make + model | Ingenico iPP320, Verifone V200c, PAX A920 |
| Serial number | (de la etiqueta física del dispositivo) |
| Location | "Tienda Mall del Norte — caja 3" |
| Person responsible | Nombre + cargo del gerente de tienda |
| Fecha de despliegue | YYYY-MM-DD |
| Fecha de baja | (al retirarlo) |
Recomendamos usar TMPL-009 — POI Inspection Log para mantener este inventario + el log de inspección en un solo lugar.
3. Inspección periódica (Req 9.5.1.2)
3.1 Frecuencia mínima
| Riesgo del entorno | Frecuencia |
|---|---|
| Alto tráfico (mall, retail) | Diaria (cada turno) |
| Tráfico medio (oficina, restaurante) | Semanal |
| Bajo tráfico (kiosko desatendido) | Cada 48 horas |
3.2 Qué buscar
Cada inspección debe verificar cada uno de estos puntos:
- Skimmer overlay: ¿hay una funda no original sobre el lector de banda magnética / NFC?
- Keypad overlay: ¿el keypad se siente más "blando" o "alto"? Indicador de capa para captura de PIN.
- Cables anormales: ¿hay cables adicionales conectados al POI?
- Sello de seguridad: ¿el sello del fabricante sigue intacto?
- Encaje físico: ¿el dispositivo se mueve raro? ¿la carcasa muestra grietas?
- Comportamiento: ¿la pantalla muestra menús inusuales? ¿imprime cosas extrañas?
- Serial visible: ¿el serial number coincide con el del inventario?
- Cobertura de cámaras CCTV: ¿el POI sigue dentro del campo de visión?
3.3 Si encuentras tampering
- NO desconectes ni intentes "limpiar" el dispositivo. Eso destruye evidencia.
- Retira inmediatamente el dispositivo del servicio (apágalo, cubre con bolsa anti-tamper).
- Llama al gerente + soporte de Fintrixs Pay: +57 300 000 0000 (24/7).
- No procesar transacciones con ese device hasta que sea inspeccionado por el fabricante.
- Reporta el incidente a tu adquirente + a Fintrixs Pay en
[email protected]dentro de 24h.
4. Entrenamiento del personal (Req 9.5.1.3)
4.1 Quién debe entrenarse
| Rol | Frecuencia de training |
|---|---|
| Cajeros / operarios de POI | Al onboarding + anual |
| Gerentes de tienda | Al onboarding + anual + cada cambio significativo |
| Personal de limpieza / mantenimiento | Al onboarding |
| Personal de seguridad | Al onboarding + anual |
4.2 Contenido del entrenamiento
Recomendamos cubrir:
- Qué es un POI y qué riesgos físicos existen
- Cómo realizar la inspección visual (los 8 puntos de §3.2)
- Cómo manejar un POI sospechoso (los 5 pasos de §3.3)
- Cómo registrar la inspección en el log (TMPL-009)
- Quién es el contacto de emergencia (interno + Fintrixs)
4.3 Materiales que Fintrixs Pay provee
Como merchant integrado a Fintrixs, recibes en el portal del partner:
| Material | Formato | Idioma |
|---|---|---|
| Slide deck "POI Anti-Tampering 101" | PDF + PPT | Español |
| Video corto (8 min) sobre inspección visual | MP4 | Español + subtítulos inglés |
| Quiz de comprensión (10 preguntas) | Online | Español |
| Acuse de recibo de entrenamiento | TMPL-010 | Español |
Acceso al material: https://merchant.bioscenter.com.co/training/poi (post-onboarding).
5. Registros (Req 9.5.1.2.1)
Mantener por mínimo 12 meses (recomendado 24 meses) los siguientes registros:
| Registro | Plantilla | Retención |
|---|---|---|
| Inventario POI activo | TMPL-009 §A | Continuo + 12 meses tras baja |
| Log de inspecciones | TMPL-009 §B | 12 meses mínimo |
| Acuse de training del personal | TMPL-010 | Mientras dure el empleo + 12 meses |
| Incidentes de tampering | Free form + reporte a Fintrixs | 7 años (PCI 10.5) |
6. Auditoría del merchant
En cada auditoría PCI del merchant, el QSA va a pedir:
- Inventario actualizado de POI (sample random)
- Logs de inspección de los últimos 3 meses
- Acuses de training del personal en activo
- Procedimiento documentado (este GUI-001 o equivalente)
7. Soporte de Fintrixs
| Canal | Para qué | Tiempo de respuesta |
|---|---|---|
| [email protected] | Tampering / incidentes | 4 horas |
| [email protected] | Dudas operacionales | 24 horas |
| +57 300 000 0000 | Emergencias 24/7 | Inmediato |
| https://merchant.bioscenter.com.co/training/poi | Acceso a materiales | Self-service |