Qu’est-ce que la norme PCI DSS?

En bref

Comment ça fonctionne

Le PCI Security Standards Council a été fondé en 2006 par American Express, Discover, JCB, Mastercard et Visa. Il indique que la norme PCI DSS s’applique à toute entité qui stocke, traite ou transmet des données de comptes de paiement. La taille et le volume n’y changent rien. Le Conseil ne l’applique pas lui-même. Il indique que ce sont les marques de paiement, votre acquéreur ou un autre responsable de programme qui décident si vous devez prouver votre conformité. La version actuelle dans la bibliothèque du Conseil est PCI DSS v4.0.1.

1. Votre fournisseur vous dit ce qu’il exige. Demandez quel questionnaire s’applique.
2. Vous remplissez un questionnaire d’auto-évaluation (SAQ). Le Conseil indique qu’il en existe plusieurs, chacun conçu pour un type d’installation et avec ses propres critères d’admissibilité.
3. Vous envoyez vos réponses à votre fournisseur, qui peut les demander en vertu de son contrat de commerçant.
4. Vous recommencez selon le calendrier de votre fournisseur. Vous corrigez ce qu’on vous demande de corriger.

Un exemple canadien

Une fleuriste de Gatineau utilise un terminal Clover et ne prend aucun numéro de carte à la main. Son fournisseur lui envoie un questionnaire PCI. Elle le laisse sans réponse. Trois mois plus tard, son relevé affiche des frais nommés non-conformité PCI. Si cette ligne était de 25 $ par mois, elle coûterait 300 $ sur un an. Ce montant est inventé pour le calcul. Ceci est un exemple seulement, pas une soumission. Son contrat fixe le vrai montant, et remplir le questionnaire peut faire disparaître la ligne. Elle devrait poser la question à son fournisseur.

Ce qui est différent au Canada et au Québec

• Il y a peu de différences entre le Québec et le reste du Canada. La norme PCI DSS est mondiale, et les marques de cartes l’appliquent ici aussi.
• Votre fournisseur canadien fixe les détails dans son propre contrat. L’entente de Moneris range PCI DSS parmi les normes de sécurité des données que vous devez suivre. Elle peut demander un rapport d’un évaluateur de sécurité qualifié ou un questionnaire d’auto-évaluation.
• Les conditions de Fiserv Canada disent que vous devez respecter en tout temps les normes de sécurité PCI. Vous devez aviser Fiserv Canada dans les 24 heures après avoir appris une fuite de données soupçonnée ou réelle.
• Selon les mêmes conditions, vous payez l’enquête judiciaire et les correctifs après une fuite. Fiserv Canada peut aussi vous auditer à vos frais.
• Le Conseil indique que ses normes visent aussi les développeurs et les fabricants de logiciels et d’appareils utilisés pour les paiements. Le fabricant de votre terminal a donc aussi des obligations.

Ce que ça coûte et où ça paraît sur votre relevé

La norme elle-même est gratuite à lire. Le coût vient de votre contrat. Certains comptes ont des frais mensuels de conformité PCI. Certains en ajoutent de plus élevés si le questionnaire n’est pas rempli. Les conditions de Fiserv Canada disent que les frais, amendes ou évaluations liés au PCI en attente peuvent être débités de votre compte. Cherchez une ligne dont le nom contient PCI. Comparez-la à la grille de frais de votre contrat. Notre guide des frais de traitement par carte énumère ces frais de compte.

Où CleverPays intervient à cette étape

Le PCI Security Standards Council écrit la norme. Les marques de cartes et votre fournisseur décident de la preuve à fournir. CleverPays n’écrit pas la norme PCI DSS. Elle ne certifie la conformité de personne. Elle ne fixe pas les règles de Visa, de Mastercard ou d’Interac. CleverPays est exploitée par Groupe Heo inc., un agent de Fiserv Canada Ltée.

Nous pouvons lire un relevé récent avec vous et montrer chaque ligne de frais, y compris toute ligne PCI. Nous pouvons expliquer des frais, et recommander et installer Clover et d’autres terminaux ou passerelles. Nous vous expliquerons ce que votre fournisseur demande et répondrons à vos questions en français et en anglais. Nous ne pouvons pas promettre un résultat ni garantir que vous êtes conforme.

Erreurs courantes

• Ignorer le questionnaire. Sans réponse, il peut entraîner des frais mensuels de non-conformité.
• Garder des numéros de carte sur papier ou dans un tableur. Les conditions de Fiserv Canada demandent aux commerçants de ne pas conserver les codes de validation, les données de la bande magnétique ni les données de NIP.
• Croire qu’une seule fois suffit. L’entente de Moneris demande des renseignements sur la conformité de temps à autre, alors gardez vos réponses à jour.

Termes connexes

• SAQ : le questionnaire d’auto-évaluation que vous remplissez pour montrer votre conformité.
• Tokenisation : remplacer un numéro de carte par une valeur de substitution, pour ne pas stocker le vrai numéro.
• P2PE : le chiffrement de point à point, qui brouille les données de carte au terminal.
• Frais de non-conformité PCI : des frais que certains fournisseurs ajoutent quand le questionnaire n’est pas rempli.
• Processeur de paiement : l’entreprise qui fixe vos exigences PCI.
• Passerelle de paiement : le lien qui transporte les données de carte en ligne, ce qui touche votre SAQ.

Questions fréquentes