La conformité PCI DSS pour les petites entreprises canadiennes, expliquée
Si vous acceptez les cartes, vous vous êtes engagé à respecter la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS). C'est un ensemble de règles de sécurité créé par les marques de cartes pour protéger les données des cartes. Pour la plupart des petites entreprises, ça se résume à un questionnaire annuel et à quelques bonnes habitudes, pas à un audit coûteux.
Qui doit s'y conformer
Toute entreprise qui accepte, traite ou conserve des paiements par carte, peu importe sa taille. Ce qui change avec la taille, c'est la façon de le prouver. Les petits marchands le font presque toujours au moyen d'un questionnaire d'autoévaluation (SAQ) plutôt que d'un audit externe. La version actuelle de la norme est PCI DSS 4.0.1.
Quel questionnaire convient à votre installation
Le questionnaire dépend de la façon dont les données de carte vous parviennent. Les plus courants pour les petites entreprises :
- SAQ A : en ligne seulement, avec un paiement entièrement géré par la page hébergée ou la redirection de votre processeur. Le plus court.
- SAQ B ou B-IP : en personne seulement, avec des terminaux autonomes sur une ligne téléphonique ou une connexion IP sécurisée, sans conservation de données de carte.
- SAQ P2PE : terminaux utilisant une solution de chiffrement de bout en bout validée.
- SAQ C-VT : données de carte saisies dans le terminal virtuel d'un processeur, dans un navigateur.
- SAQ D : tout le reste, y compris la conservation de numéros de carte par vous-même. Le plus long, à éviter.
Votre processeur ou votre ISO peut vous dire lequel s'applique. Si votre installation combine plusieurs canaux, posez la question : la réponse détermine l'ampleur du travail.
Ce qu'elle demande chaque année
La routine annuelle est courte :
- Remplir le questionnaire sur le portail de conformité de votre processeur.
- Si votre environnement de cartes est exposé à Internet, faire les balayages de vulnérabilités exigés.
- Garder les terminaux et le logiciel de PDV à jour, et changer les mots de passe par défaut.
- Ne jamais noter ni conserver de numéros de carte complets, de codes CVV ou de NIP, sur papier ou dans un chiffrier.
- Limiter l'accès aux systèmes de paiement et donner à chaque personne son propre identifiant.
Les frais de non-conformité
Bien des processeurs facturent des frais mensuels tant que le questionnaire n'est pas rempli. Ils apparaissent sur le relevé comme frais PCI ou de non-conformité. Remplir le questionnaire les arrête habituellement. Si vous voyez ces frais, demandez à votre fournisseur quel questionnaire vous devez remplir et où.
Voir aussi notre page sur la conformité pour savoir comment SavPay gère la sécurité de son côté.
Questions fréquentes
Ai-je besoin de la conformité PCI si j'utilise seulement un terminal ?
Oui, mais c'est habituellement le cas le plus simple : un court questionnaire, mis à jour une fois par année.
Utiliser Square ou un paiement hébergé me rend-il conforme ?
Ça réduit beaucoup ce que vous avez à faire, puisque les données de carte n'atteignent jamais vos systèmes. Vous devez quand même suivre les règles de base et, selon votre fournisseur, confirmer votre conformité.
Qu'arrive-t-il après une fuite de données ?
Vous pourriez faire face à des frais d'enquête, à des amendes refacturées par les réseaux de cartes et à des frais de remplacement de cartes. Respecter la norme est la meilleure protection.