Quel questionnaire SAQ s'applique à notre commerce?+
Tout dépend du chemin du numéro de carte jusqu'au processeur. Un paiement en ligne hébergé ou intégré mène habituellement au SAQ A, un terminal autonome sur ligne téléphonique au SAQ B, un terminal IP isolé des autres appareils au SAQ B-IP, et un terminal de chiffrement point à point validé au SAQ P2PE. Des données de carte stockées sur vos systèmes mènent en général au SAQ D. L'acquéreur confirme le questionnaire.
Qu'est-ce qui a changé avec PCI DSS 4.0?+
La version 4.0 a ajouté 64 exigences, dont 51 reportées jusqu'au 31 mars 2025; elles s'appliquent maintenant en entier. La version 4.0.1, publiée en juin 2024, a précisé le texte sans ajouter d'exigence. Pour les commerçants en ligne au SAQ A, le balayage trimestriel par un ASV s'est ajouté, et la révision de janvier 2025 a remplacé deux exigences sur les scripts par un critère d'admissibilité.
Faut-il un balayage ASV trimestriel?+
Oui, si votre questionnaire comprend l'exigence 11.3.2 : des balayages externes réussis par un fournisseur de balayage approuvé au moins une fois tous les trois mois. Pour le SAQ A, ils visent le système qui héberge la page menant au formulaire de paiement. Un montage limité à des terminaux sur ligne téléphonique, au SAQ B, en est habituellement exempt. L'acquéreur confirme ce qui s'applique.
Stripe ou Square suffisent-ils pour être conformes?+
Un fournisseur qui héberge le paiement ou le formulaire retire de vos systèmes la plupart des données de carte, ce qui réduit votre portée et mène souvent au court SAQ A. Votre entreprise doit tout de même valider sa conformité, répond du site qui mène au formulaire et, si le formulaire est intégré à votre page, confirme que cette page est protégée contre les scripts malveillants.
La norme PCI DSS est-elle une loi au Canada?+
PCI DSS est une norme de l'industrie publiée par le PCI Security Standards Council. Les réseaux de paiement décident si un petit commerçant doit valider sa conformité, et votre acquéreur vous indique ce qui s'applique à votre entreprise. De son côté, le Centre canadien pour la cybersécurité recommande aux PME d'isoler leurs points de vente et d'envisager de suivre la norme. Les questions de droit vont à votre avocat.
itopsi peut-elle remplir ou signer notre SAQ?+
Votre entreprise remplit le SAQ, et un dirigeant signe l'attestation de conformité, puisqu'il s'agit d'une déclaration du commerçant. Nous préparons ce qui appuie chaque réponse : la carte du trajet des cartes, le questionnaire recommandé, les correctifs datés et le dossier de preuves. Nous ne sommes ni évaluateur de sécurité qualifié ni fournisseur de balayage approuvé, et nous ne produisons pas de rapport de conformité.
Combien coûte un accompagnement en conformité PCI DSS?+
Le prix dépend du nombre de canaux de paiement, du questionnaire applicable, de la présence d'un balayage ASV, du nombre d'emplacements et de terminaux, et de votre choix : nous confier les correctifs ou seulement la cartographie. Après un appel de 30 minutes, vous recevez une lettre de mandat à prix fixe, et les travaux commencent seulement à sa signature.
