La réponse courte
- Personne n’entend le numéro de carte. Dans un paiement par RVI, l’appelant entre sa carte dans un système automatisé, pas auprès d’un agent.
- Il existe trois configurations courantes. Un agent prend la carte de vive voix, un agent reste en ligne pendant que les tonalités sont masquées, ou l’appel est transféré à une RVI.
- La RVI peut réduire ce que couvre PCI DSS. Le Conseil des normes de sécurité PCI (PCI SSC) indique qu’une configuration bien conçue pourrait réduire les obligations PCI DSS des agents et de leurs postes de travail, une fois cela vérifié.
- Le code de sécurité ne doit pas être conservé. Le PCI SSC indique que ces données ne doivent pas être stockées après l’autorisation, y compris dans les enregistrements d’appels.
- Deux fournisseurs sont en jeu. Un fournisseur de téléphonie exploite la ligne téléphonique. Votre compte marchand traite la carte.
Ce qu’est un paiement par RVI
Le PCI SSC, l’organisme qui rédige la norme de sécurité des cartes, décrit la RVI comme une technologie d’appels entre des personnes et des ordinateurs. Elle peut recueillir des données par la voix ou par les tonalités du clavier. Les tonalités du clavier s’appellent DTMF (multifréquence à deux tonalités). Chaque touche produit son propre son.
Le PCI SSC classe le paiement par RVI parmi les transactions sans préposé. Un appel type se déroule ainsi :
- L’appelant donne les détails de son compte ou de sa commande.
- L’agent, ou le menu, transfère l’appelant à la RVI.
- La RVI demande le numéro de carte et le code de sécurité au clavier.
- La RVI obtient l’autorisation ou le refus et l’annonce à l’appelant.
- L’appelant peut revenir à un agent si la ligne est configurée pour cela.
Le PCI SSC indique que la RVI peut se trouver dans votre propre système téléphonique ou chez un tiers, comme un fournisseur de services de paiement ou un acquéreur. L’agent peut raccrocher pendant que l’appelant paie.
Trois façons de prendre une carte par téléphone
Avec agent, avec pause et reprise
L’appelant lit sa carte à un agent, qui la saisit dans un écran de paiement comme un terminal virtuel. La pause et reprise arrête l’enregistrement de l’appel pendant que la carte est donnée. Le PCI SSC indique que l’agent entend tout de même toutes les données de la carte. Il précise aussi que cette méthode peut retirer le système d’enregistrement de la portée, mais pas l’agent ni son poste de travail.
L’agent reste en ligne, avec masquage DTMF
L’agent reste en ligne pendant que l’appelant entre sa carte au clavier. L’outil de masquage remplace les tonalités du clavier par des tonalités uniformes, de sorte que l’agent ne peut pas distinguer les chiffres. Le PCI SSC indique que l’écran de l’agent peut afficher des astérisques au lieu des chiffres. Il précise qu’une configuration de masquage bien conçue peut retirer de la portée le système téléphonique, l’agent et le logiciel de gestion de la relation client (CRM).
RVI, sans agent pendant le paiement
L’appelant paie seul, en suivant des messages enregistrés. Le PCI SSC indique que le but est de contourner l’agent lorsque les données de la carte sont transmises. Le masquage peut aussi être utilisé, pour que les enregistrements ne contiennent aucune donnée de carte.
Le PCI SSC décrit aussi une option numérique. L’agent envoie un lien vers une page de paiement Web sécurisée, et l’appelant paie sur son propre appareil. Voir lien de paiement.
Portée PCI : ce que dit le PCI SSC
PCI DSS s’applique à toute entreprise qui stocke, traite ou transmet des données de carte. Cela inclut les commerçants, les processeurs et les fournisseurs de services. Voir PCI DSS. La « portée » désigne les personnes, les systèmes et les réseaux que couvre la norme.
Les lignes directrices du PCI SSC sur le téléphone énoncent ces points, en résumé :
- Le code de sécurité est une donnée d’authentification sensible. Seuls les émetteurs peuvent le conserver après l’autorisation du paiement. S’il est enregistré, il doit être rendu irrécupérable une fois le paiement autorisé.
- Les tonalités du clavier non masquées peuvent être reconverties en chiffres. Un enregistrement qui les contient est entièrement dans la portée.
- Avec le masquage, tout délai peut laisser passer une partie d’une tonalité. Le PCI SSC appelle ce phénomène « DTMF bleed » (fuite de tonalités DTMF) et indique qu’il ne doit en rester aucune.
- Une RVI pourrait réduire les obligations PCI DSS des agents et de leurs postes de travail. Il faut d’abord vérifier que les données de carte les contournent.
- Si un tiers exploite une partie de la configuration téléphonique, les deux parties devraient convenir par écrit de qui sécurise quoi.
À qui conviennent les paiements par RVI
La RVI convient aux organisations qui envoient des factures et reçoivent beaucoup d’appels pour les payer. Quelques exemples :
| Organisation | Paiement par téléphone type |
|---|---|
| Hôpitaux | Laissez-passer de stationnement, soldes des patients, services non assurés |
| Cliniques | Soldes après une visite, dépôts pour un traitement |
| Services publics | Factures mensuelles, soldes en souffrance |
| Municipalités | Versements de taxes foncières, factures d’eau, permis, amendes |
| Gestionnaires immobiliers | Loyers, frais, arriérés |
| Recouvrement | Paiements sur des comptes |
Pour les paiements en clinique et à l’hôpital en général, voir notre page sur la santé.
Mettre en place une ligne de paiement par RVI
- Cartographiez les appels. Dressez la liste de ce que les appelants paient et de ce qu’ils doivent dire ou entrer au clavier, comme un numéro de compte.
- Choisissez le fournisseur de téléphonie. Il exploite le numéro de téléphone, les messages et tout masquage.
- Configurez le compte marchand qui la soutient. Le compte doit permettre les paiements sans présence de la carte.
- Connectez et scénarisez. La RVI envoie les paiements à votre passerelle de paiement. Rédigez les messages en anglais et en français si vos appelants ont besoin des deux.
- Testez. Faites des autorisations, des refus, des remboursements et le dépôt d’une journée complète. Vérifiez que les enregistrements et les journaux ne contiennent aucun numéro de carte.
- Lancez et révisez. Écoutez des appels types et comparez les dépôts avec votre système de facturation.
Les paiements par téléphone sont des ventes sans présence de la carte, qui coûtent habituellement plus cher que les cartes présentées par paiement sans contact ou insérées. Voir notre guide des frais de traitement des cartes.
Amener les appelants à l’utiliser
Des mesures pratiques qui aident les appelants à trouver la ligne et à lui faire confiance :
- Inscrivez-la sur la facture. Imprimez le numéro de la RVI et le numéro de compte dont l’appelant aura besoin.
- Proposez-la en premier. Faites du paiement par téléphone la première option du menu pour les appels liés à la facturation.
- Donnez un script au personnel. Les agents peuvent proposer de transférer l’appelant à la ligne de paiement et expliquer pourquoi.
- Gardez une sortie. Permettez à l’appelant de revenir à une personne si un paiement échoue.
- Confirmez chaque paiement. Lisez un numéro de confirmation que l’appelant peut noter.
La place de CleverPays
Le PCI SSC rédige la norme de sécurité. Les réseaux de cartes comme Visa et Mastercard fixent les règles des cartes. Votre acquéreur décide comment vous prouvez votre conformité. Le fournisseur de téléphonie exploite le système téléphonique, les messages et tout masquage. Vous êtes responsable de votre processus de facturation et de vos scripts d’appel.
Nous pouvons définir avec vous une ligne de paiement par RVI, avec le compte marchand qui la soutient. Nous pouvons vous aider à relier la ligne à vos paiements et à tester les autorisations, les remboursements et les dépôts avant le lancement. Nous pouvons examiner votre relevé de carte actuel en même temps. Nous restons votre interlocuteur en anglais et en français. Nous ne certifions pas la conformité PCI et nous n’exploitons pas le système téléphonique.
Questions fréquentes
Qu’est-ce qu’un paiement par RVI?
C’est un paiement par carte pris par un système téléphonique automatisé. L’appelant suit les messages et entre sa carte sur le clavier.
Une RVI rend-elle mon organisation conforme à PCI?
Aucun outil ne le fait à lui seul. Le PCI SSC indique qu’une RVI bien conçue pourrait réduire les obligations PCI DSS des agents et de leurs postes de travail. Votre acquéreur décide comment vous prouvez votre conformité.
Qu’est-ce que le masquage DTMF?
Il remplace les tonalités du clavier par des tonalités uniformes ou aléatoires, de sorte qu’un agent ou un enregistrement ne peut pas retrouver les chiffres. Le PCI SSC indique que la tonalité de masquage ne doit pas être liée à l’originale.
Pouvons-nous continuer à enregistrer les appels?
Oui, mais le PCI SSC indique que le code de sécurité de la carte ne doit pas être stocké après l’autorisation. Le masquage ou la pause et reprise peut garder les données de carte hors des enregistrements.
Le paiement par téléphone est-il la même chose qu’un terminal virtuel?
Non. Avec un terminal virtuel, un employé saisit la carte. Avec une RVI, c’est l’appelant qui l’entre au clavier. Beaucoup d’organisations utilisent les deux.
Les appelants peuvent-ils payer en français?
Cela dépend des messages que votre fournisseur de téléphonie enregistre. Demandez des menus en anglais et en français.
Sources
- PCI SSC: Protecting Telephone-Based Payment Card Data, v3.0 (November 2018), lu le 8 octobre 2026
- PCI SSC blog: industry guidance on accepting telephone payments securely, lu le 8 octobre 2026
- PCI SSC: PCI DSS, lu le 8 octobre 2026
