Si votre entreprise accepte les cartes de crédit ou de débit, votre banque s’attend à ce que vous prouviez chaque année que les données de carte sont protégées. Cette preuve est la conformité PCI DSS. Nous vous évaluons, vous aidons à corriger ce qui manque et signons le rapport demandé par votre banque.
Pourquoi cela s’applique à la plupart des entreprises
- Accepter les cartes suffit à être concerné, même via un terminal ou un paiement en ligne.
- Votre contrat de commerçant l’exige ; votre banque peut facturer des frais ou cesser le traitement si vous ne pouvez pas le prouver.
- Une violation de données de carte coûte bien plus cher qu’une évaluation : enquête, pertes dues à la fraude, notifications aux clients.
Qui vous le demandera
- Votre acquéreur (banque de commerçant)Demande une attestation de conformité annuelle.
- Marques de cartesDéfinissent votre niveau et vos règles de validation.
- Clients et partenaires d’entrepriseVeulent une preuve avant de vous connecter à leur flux de paiement.
- Votre conseil d’administration et votre assureurVeulent savoir que le risque est géré.
- 01
Cadrage
Nous cartographions où les données de carte entrent, circulent et sont stockées, et réduisons cette zone lorsque nous le pouvons.
- 02
Évaluation
Nos QSA testent chaque exigence sur site et à distance, et expliquent chaque lacune en langage clair.
- 03
Correction
Vous effectuez la remédiation avec votre équipe ou la nôtre, et nous suivons chaque constat jusqu’à sa clôture.
- 04
Certification
Nous signons le rapport de conformité ou validons votre questionnaire, puis planifions les analyses et le renouvellement.
Ce que vous pouvez leur remettre
Cliquez sur un document pour voir un exemple. Tous les exemples de documents
- Rapport de conformité (ROC) ou questionnaire d’auto-évaluation validé
- Attestation de conformité pour votre acquéreur et vos partenaires
- Rapports d’analyse externe trimestriels
- Un plan daté pour tout ce qui est encore en suspens
Votre marque de carte ou votre acquéreur définit votre niveau de commerçant ou de fournisseur de services en fonction de votre volume de transactions annuel. Nous le confirmons lors du cadrage, puis adaptons le service.
Niveau 1
Rapport de conformité
Pour les commerçants et fournisseurs de services ayant les volumes de cartes les plus élevés.
- Analyse des lacunes et stratégique menée par un QSA
- Conseils pendant la mise en place des contrôles manquants
- Évaluation formelle, rapport de conformité (ROC) et attestation de conformité (AOC) signée
Portée de base : jusqu’à 2 emplacements (à distance par défaut), 1 environnement de données de carte, 1 entité juridique, jusqu’à 50 systèmes.
Niveau 2
Examen et attestation SAQ
Pour les fournisseurs de services et les commerçants de niveau 2.
- Examen de votre questionnaire d’auto-évaluation par un QSA
- Examen des preuves et clarifications avec votre équipe
- Attestation de conformité signée
Portée de base : 1 emplacement (à distance par défaut), 1 environnement de données de carte, 1 entité juridique, jusqu’à 25 systèmes.
Niveaux 3 et 4
Examen SAQ
Pour les petits commerçants dont l’acquéreur souhaite qu’un QSA examine le questionnaire.
- Examen de votre questionnaire et de vos preuves par un QSA
- Attestation de conformité signée, si votre acquéreur l’exige
- Réalisé à distance
Portée de base : 1 emplacement, 1 environnement de données de carte, 1 entité juridique, jusqu’à 15 systèmes (Niveau 3) ou 10 (Niveau 4).
Niveaux 3 et 4
Libre-service avec Accel PCI
Faites-le vous-même en ligne, avec nos experts à votre disposition.
- Le bon questionnaire, pré-rempli, avec l’attestation
- Intégration d’une heure avec un expert en réussite client
- Tableau de bord, liste de tâches, modèles de politiques et matériel de formation
Chaque engagement QSA comprend
- Une vérification de l’état de préparation avant l’évaluation, pour confirmer que les documents et les personnes sont prêts
- Le portail d’audit Ubitrak pour les tâches, les preuves et le statut, inclus pour la première année
- Temps de déplacement (les frais de déplacement sont facturés séparément)
Ce qui modifie la portée
- Plus d’emplacements ou de visites sur site
- Plus d’environnements de données de carte
- Plus d’entités juridiques ou d’unités commerciales
- Plus de systèmes que la base, ou une complexité inhabituelle
- Rondes supplémentaires de remédiation et de re-test
- Livraison accélérée ou rapports personnalisés pour le conseil d’administration
Ajoutez quand vous en avez besoin
- Analyses de vulnérabilité trimestrielles et analyses ASV
- Tests de pénétration et de segmentation
- Découverte de données de carte (Card Recon)
- Formation de sensibilisation à la sécurité (exigence 12.6)
- Formation au codage sécurisé pour les développeurs
Référentiels
- Loi 25 du Québec
- PCI DSS
- Interac
Offert par
- KW ConsultingConseil, projets informatiques et remédiation.
- Accel PCIPortail de conformité PCI pour les commerçants et les prestataires de services.
- Accel GRCPortail de gouvernance, gestion des risques et conformité : Loi 25, PCI DSS, SOC 2, ISO 27001, LPRPDE, RGPD.
- UbitrakEntreprise PCI QSA depuis 2011.
Secteurs
- Centres d’appels
- Prestataires de services de paiement
- Institutions financières
- Voyages et hôtellerie
- Paiements en libre-service
- Commerce électronique
- Commerce de détail
Souvent combiné avec
- Tests de sécuritéTests de pénétration et scans.
- Corrigez les failles identifiées lors de l’auditRemédiation par KW Consulting.
- Certification des paiements par carteÉvaluation et certification PCI DSS.
- Programme de confidentialité et de sécuritéLoi 25 et gouvernance avec Accel GRC.
Informations connexes
Cryptographie post-quantique : pourquoi votre première étape est un inventaire cryptographique
Les normes post-quantiques du NIST sont finalisées et le Canada dispose d’une feuille de route de migration fédérale jusqu’en 2035. Découvrez pourquoi la première…
Lire l’analyse →L’IA dans l’environnement de paiement : ce que les nouvelles orientations du PCI SSC sur l’IA signifient pour votre périmètre
Le PCI SSC a publié « Security Considerations for AI Systems » le 15/09/2026. L’IA est intégrée au périmètre comme toute autre technologie. Découvrez…
Lire l’analyse →On ne peut pas perdre ce que l’on ne conserve pas : réduire le périmètre PCI en ne stockant pas les données de carte
Le contrôle PCI DSS le plus efficace est souvent celui des données que vous ne détenez jamais. Découvrez comment les pages de paiement hébergées,…
Lire l’analyse →