(Modificato per riflettere l'incertezza sulla situazione esatta)
Nota: non un QSA, solo qualche esperienza PCI
PCI DSS è uno standard impostato dalle società di pagamento: VISA, MasterCard e il resto. In generale, non ha la forza dei regolamenti governativi (anche se alcune leggi statali, credo, fanno riferimento a questo - consultate il vostro avvocato locale). Piuttosto, le Società di pagamento richiedono che tu rispetti il PCI (se devi essere certificato varia in base alla tua situazione) quando hai una relazione con loro (direttamente o indirettamente) per elaborare le carte. Il modo in cui possono costringerti a rispettare è, di nuovo o indirettamente, impedirti di elaborare le carte se non lo fai.
Se non si elaborano le carte, se si è puramente cliente, se non si ha questa relazione con loro (o una relazione con un fornitore di servizi di elaborazione delle carte che ha una relazione con loro), allora non possono richiedere di rispettare con esso.
Tuttavia, detto questo, il PCI DSS è un BUON standard - dovresti fare almeno quello che dice se gestisci i numeri di carta di credito (PAN) per quanto riguarda la sicurezza. Inoltre, PAN è considerato Personal Identifying Information (PII) per quasi tutti gli statuti PII di cui sono a conoscenza. Ciò significa che se gestisci i numeri delle carte di credito, devi rispettare tutte le regole PII. Ancora una volta, i tuoi statuti locali possono essere applicati qui (come pure gli statuti locali dei tuoi clienti ...)
Se sei un commerciante e fornisci l'app, devi rispettare PCI se hai intenzione di ricordare / memorizzare i numeri delle carte di credito, anche lato client. Se non sei un commerciante, probabilmente dovresti, ma non farlo legalmente. Fuzzy.