IVR
¿Qué es IVR?
IVR (Respuesta de Voz Interactiva) es un sistema telefónico automatizado que permite al usuario interactuar con una centralita mediante tonos DTMF (pulsaciones del teclado) o comandos de voz. En el ámbito de los pagos, el IVR actúa como canal de cobro donde el titular puede teclear los datos de su tarjeta para completar una transacción.
Cualquier empresa con un centro de llamadas que acepte pagos telefónicos opera un entorno de datos de tarjeta sujeto a las mismas exigencias regulatorias que un TPV virtual o un datáfono.
Cómo funciona un sistema IVR
El flujo operativo de un IVR de pagos sigue esta secuencia:
- Recepción y menú. El sistema atiende automáticamente, reproduce un menú de voz y el usuario selecciona opciones mediante tonos DTMF o reconocimiento de voz (ASR).
- Captura de datos de pago. El IVR solicita número de tarjeta, fecha de caducidad y código de verificación. Los dígitos se capturan como tonos DTMF y se transmiten cifrados al procesador.
- Autorización. La pasarela envía la solicitud al banco emisor y el sistema reproduce el resultado al usuario en tiempo real.
- Cierre o escalado. Si la operación falla, se transfiere la llamada a un agente con el contexto ya recopilado.
Cuando un IVR captura datos de tarjeta por tonos DTMF, esos tonos constituyen datos del titular (CHD) según PCI DSS v4.0 y deben protegerse con cifrado punto a punto durante toda la transmisión.
Impacto normativo y seguridad aplicable
El IVR que procesa pagos entra en el alcance de PCI DSS v4.0:
- Requisito 3: Si el sistema graba llamadas, los tonos DTMF con el PAN deben enmascararse antes de almacenar la grabación.
- Requisito 4: Cifrado con criptografía sólida en la transmisión entre IVR y pasarela de pago.
- Requisito 8: Accesos administrativos al IVR con autenticación multifactorial (MFA).
| Normativa | Aplicación al IVR de pagos |
|---|---|
| PCI DSS v4.0 | Cifrado y enmascaramiento de datos de tarjeta en grabaciones y transmisiones |
| PSD2 / RDL 19/2018 | Exención MOTO de SCA, con obligación de trazabilidad y seguridad operativa |
| RGPD | Consentimiento y minimización de datos personales capturados |
En el marco europeo, la PSD2 y el Real Decreto-ley 19/2018 exigen autenticación reforzada (SCA) en pagos electrónicos. Los pagos telefónicos tipo MOTO (Mail Order / Telephone Order) están exentos de SCA, pero esta exención no libera del cumplimiento PCI DSS ni de las obligaciones del RGPD.
Ventajas y desventajas operativas del IVR
Ventajas:
- Canal de cobro 24/7. El cliente puede pagar fuera de horario comercial, lo que reduce el abandono en negocios con atención telefónica.
- Reducción del alcance PCI DSS. Un IVR segmentado evita que los agentes escuchen datos de tarjeta, sacando al centro de llamadas del entorno de datos del titular (CDE).
- Escalabilidad. Gestiona picos de volumen sin contratar personal adicional.
Desventajas:
- Fricción en la experiencia. Un árbol de menús de más de tres niveles reduce la tasa de finalización de pago.
- Coste de cumplimiento. Mantener un IVR de pagos dentro de PCI DSS exige auditorías, cifrado de grabaciones y segregación de red.
- Percepción impersonal. La ausencia de trato humano puede reducir la confianza en operaciones de importe elevado.