Le bon SAQ dépend de la manière dont vous acceptez les paiements par carte et de la qualité en laquelle vous le faites. Il ne dépend ni de votre taille, ni de votre chiffre d’affaires, ni de ce que l’e-mail d’enrôlement de votre prestataire de paiement a demandé. L’outil ci-dessous donne la réponse habituelle. Les quatre histoires qui suivent sont les exceptions que nous rencontrons le plus.
Choix du SAQ
Quel SAQ correspond à votre façon d’encaisser ?
Quelques questions sur un canal de paiement. Environ une minute.
Qui réalise l’évaluation ?
Stockez-vous des données de cartes sous forme électronique ?
N’importe où sur vos systèmes : bases de données, tableurs, enregistrements d’appels, journaux, sauvegardes. Les documents papier ne comptent pas ici.
Quel canal de paiement vérifiez-vous ?
Utilisez l’outil une fois par canal. Si vous en avez plusieurs, votre acquéreur décide si vous soumettez un SAQ par canal ou le SAQ D.
Comment votre site encaisse-t-il le paiement ?
Comment les données de cartes vous parviennent-elles par courrier ou téléphone ?
Quel type de terminaux de paiement utilisez-vous ?
Questionnaire probable
SAQ A
Commerçants en vente à distance qui ont externalisé toutes les fonctions liées aux données de cartes auprès de prestataires conformes PCI DSS.
À confirmer dans les critères d’éligibilité du SAQ
- Vos systèmes et vos locaux ne stockent, ne traitent ni ne transmettent jamais de données de cartes.
- En e-commerce, chaque élément de la page de paiement provient directement du prestataire conforme.
- En e-commerce, votre site est protégé contre les scripts qui pourraient affecter le processus de paiement.
Questionnaire probable
SAQ A-EP
Commerçants en ligne dont le site ne reçoit pas les données de cartes, mais contrôle la façon dont elles parviennent au prestataire.
À confirmer dans les critères d’éligibilité du SAQ
- Votre site ne reçoit pas les données de cartes, mais sert la page de paiement ou contrôle leur envoi.
- Tout le traitement des paiements est assuré par un prestataire conforme PCI DSS.
- Vous ne stockez pas de données de cartes sous forme électronique.
Questionnaire probable
SAQ B
Commerçants qui utilisent uniquement des fers à empreinte ou des terminaux autonomes sur ligne téléphonique.
À confirmer dans les critères d’éligibilité du SAQ
- Les terminaux se connectent au processeur par ligne téléphonique, pas par internet.
- Les terminaux ne sont reliés à aucun autre système de votre environnement.
- Vous ne stockez pas de données de cartes sous forme électronique.
Questionnaire probable
SAQ B-IP
Commerçants qui utilisent uniquement des terminaux autonomes, approuvés PTS, connectés en IP au processeur.
À confirmer dans les critères d’éligibilité du SAQ
- Les terminaux sont approuvés PTS et listés par le PCI SSC.
- Ils se connectent uniquement au processeur, et à aucun autre système de votre environnement.
- Vous ne stockez pas de données de cartes sous forme électronique.
Questionnaire probable
SAQ C-VT
Commerçants qui saisissent les transactions une à une dans le terminal virtuel web d’un prestataire.
À confirmer dans les critères d’éligibilité du SAQ
- Le terminal virtuel est fourni et hébergé par un prestataire conforme PCI DSS.
- Il est utilisé sur un ordinateur isolé des autres systèmes, sans lecteur de cartes branché.
- Vous ne stockez pas de données de cartes sous forme électronique.
Questionnaire probable
SAQ C
Commerçants dont le système de paiement est connecté à internet, sans stockage électronique de données de cartes.
À confirmer dans les critères d’éligibilité du SAQ
- Le système de paiement et sa connexion internet sont segmentés du reste de votre environnement.
- L’environnement de paiement est situé sur un seul site.
- Vous ne stockez pas de données de cartes sous forme électronique.
Questionnaire probable
SAQ P2PE
Commerçants qui utilisent uniquement les terminaux d’une solution P2PE validée et listée par le PCI SSC.
À confirmer dans les critères d’éligibilité du SAQ
- Chaque terminal appartient à la solution P2PE listée et est géré par elle.
- Les données de cartes ne sont saisies que sur ces terminaux, selon le manuel d’instructions de la solution.
- Vous ne stockez pas de données de cartes sous forme électronique.
Questionnaire probable
SAQ D pour les commerçants
Tous les commerçants que les SAQ plus courts ne couvrent pas, y compris en cas de stockage électronique de données de cartes.
À confirmer dans les critères d’éligibilité du SAQ
- Toutes les exigences PCI DSS applicables sont dans le périmètre.
- Selon vos volumes, votre acquéreur peut exiger à la place une évaluation par un QSA et un rapport de conformité (ROC).
Questionnaire probable
SAQ D pour les prestataires de services
Le seul SAQ des prestataires de services que les marques de paiement autorisent à s’auto-évaluer.
À confirmer dans les critères d’éligibilité du SAQ
- Les marques de paiement décident si vous pouvez vous auto-évaluer ; au-delà de certains volumes, un ROC établi par un QSA est requis.
- Vos clients vous demanderont votre attestation de conformité (AOC).
Cartographiez d’abord vos flux de données
Tant que vous ne savez pas où les données de cartes sont stockées, aucun SAQ ne peut être choisi sans risque.
Par où commencer
- Repérez chaque point où les données de cartes entrent, circulent et sont conservées.
- Incluez enregistrements d’appels, journaux, tableurs et sauvegardes.
C’est un point de départ, pas une décision. Votre acquéreur décide du SAQ que vous soumettez, et seuls comptent les critères d’éligibilité du SAQ lui-même.
Le vérifier avec un QSATous les SAQ en un coup d’œil
| Questionnaire | Pour |
|---|---|
| SAQ A | Commerçants en vente à distance qui ont externalisé toutes les fonctions liées aux données de cartes auprès de prestataires conformes PCI DSS. |
| SAQ A-EP | Commerçants en ligne dont le site ne reçoit pas les données de cartes, mais contrôle la façon dont elles parviennent au prestataire. |
| SAQ B | Commerçants qui utilisent uniquement des fers à empreinte ou des terminaux autonomes sur ligne téléphonique. |
| SAQ B-IP | Commerçants qui utilisent uniquement des terminaux autonomes, approuvés PTS, connectés en IP au processeur. |
| SAQ C-VT | Commerçants qui saisissent les transactions une à une dans le terminal virtuel web d’un prestataire. |
| SAQ C | Commerçants dont le système de paiement est connecté à internet, sans stockage électronique de données de cartes. |
| SAQ P2PE | Commerçants qui utilisent uniquement les terminaux d’une solution P2PE validée et listée par le PCI SSC. |
| SAQ D pour les commerçants | Tous les commerçants que les SAQ plus courts ne couvrent pas, y compris en cas de stockage électronique de données de cartes. |
| SAQ D pour les prestataires de services | Le seul SAQ des prestataires de services que les marques de paiement autorisent à s’auto-évaluer. |
Le commerçant de niveau 1 qui n’avait pas besoin de 300 exigences
Un opérateur de distributeurs automatiques encaisse environ un million de transactions par carte par semaine, ce qui en fait un commerçant de niveau 1, donc un Report on Compliance signé par un QSA. Tout le monde en a déduit le standard complet. Le seul chemin qu’emprunte une carte dans cette activité passe par des terminaux loués à l’acquéreur, approuvés selon le standard du Council pour les terminaux, avec chiffrement dès le lecteur, et le contrôleur du distributeur ne fait rien d’autre que relayer le trafic.
Le niveau de commerçant décide de la forme de la validation : un rapport plutôt qu’un questionnaire. Il ne décide pas de la profondeur. C’est le périmètre qui décide des exigences applicables. Nous avons écrit à l’acquéreur, sur la base des orientations publiées du Council pour exactement ce cas, pour lui demander d’accepter que le rapport se concentre sur les exigences du SAQ B-IP, le questionnaire des terminaux autonomes sur réseau. Il a accepté, sous conditions : terminaux approuvés uniquement, aucune donnée de carte au-delà du terminal, et une réévaluation à tout changement. Le travail s’est alors déplacé là où est réellement le risque : l’inventaire des terminaux, les inspections anti-manipulation, la formation du personnel et la matrice de responsabilités avec l’acquéreur.
Le même site web, deux SAQ différents
Une agence digitale a construit et hébergé un site de cartes cadeaux pour un grand distributeur. Les paiements passaient par l’iFrame d’un prestataire de paiement ; tout le traitement était externalisé à un tiers conforme. L’agence a commencé à remplir un SAQ A.
Seuls les commerçants peuvent utiliser le SAQ A. Tous les questionnaires sauf le SAQ D sont réservés aux commerçants. Ici, le distributeur était le commerçant, et l’agence son prestataire de services. Pour exactement le même environnement, le distributeur validerait avec un court SAQ A, tandis que l’agence, qui exploite ce même site pour son compte, devait prendre la voie du SAQ D pour prestataires de services, y compris les exigences sur la protection de l’intégrité de la page qui porte le formulaire de paiement. Le travail est le même. Le rôle, et donc la forme, est différent. Avant de choisir un SAQ, demandez « en quelle qualité ? ». La plupart des gens s’arrêtent à « nous utilisons une iFrame ».
L’hôtel qui remplissait un SAQ D pour rien
Un grand hôtel validait chaque année avec le SAQ D, le questionnaire le plus long, avec toutes les exigences. Ses terminaux faisaient partie d’une solution de chiffrement de point à point listée par le Council, et son système de gestion hôtelière avait été tokenisé. Les numéros de cartes n’atteignaient plus rien de ce que l’hôtel exploitait. La seule chose qui touchait encore aux données de cartes était la poignée de PC où des agents saisissaient des numéros dans un terminal virtuel pour les réservations par téléphone, ce qui pointe vers le SAQ C-VT, une fraction de la longueur. L’équipe répondait à deux cents questions par an sur des systèmes qui n’étaient plus dans le périmètre, parce que personne n’avait reposé la question après le changement de terminaux.
Le prestataire a demandé un SAQ A, donc c’est un SAQ A
Une plateforme de santé a reçu de son prestataire de paiement une demande de SAQ A, et nous a demandé de l’aider à le remplir. Dès le premier échange, le client a mentionné qu’il stockait des données de cartes. Ce seul fait exclut le SAQ A tant que ce n’est pas clarifié : le SAQ A existe pour les commerçants qui ne touchent jamais la carte. La demande du prestataire était un envoi par défaut, adressé à chaque commerçant sur cette intégration. Ce n’était pas une évaluation de celui-ci.
Ce que l’on fait de travers
On laisse le niveau décider de la profondeur. Le niveau décide si vous déposez un questionnaire ou un rapport. Le périmètre décide de ce qu’il contient.
On laisse l’externalisation décider de la forme. Externaliser la page de paiement retire la plupart des exigences à un commerçant. Cela ne retire rien à un prestataire de services, parce que c’est à lui que l’on externalise.
On laisse l’e-mail du prestataire décider. Votre acquéreur et votre prestataire de paiement envoient le questionnaire qu’ils attendent d’un client typique. Vous êtes le seul à savoir si vous êtes typique.
On ne repose jamais la question. Les terminaux changent, les systèmes sont tokenisés, un nouveau canal apparaît. Le questionnaire qui était juste il y a trois ans décrit un environnement qui n’existe plus, dans un sens ou dans l’autre.
Le niveau décide si vous déposez un questionnaire ou un rapport. Le périmètre décide de ce qu’il contient.