PCI DSS
Le questionnaire PCI DSS que votre agence soumet chaque année. Préparé sur le formulaire officiel.
Nous déterminons quel SAQ correspond à la façon dont votre agence encaisse les cartes, remplissons le questionnaire du PCI Security Standards Council avec vos données et vous le remettons prêt à signer, avec un rappel avant l'échéance.
En bref
Les agences de voyages qui acceptent les cartes de paiement sur leurs ventes BSP doivent respecter le PCI DSS et le valider chaque année, normalement avec un questionnaire d'auto-évaluation (SAQ). Le type dépend de la façon d'encaisser : SAQ A pour les liens de paiement et les sites qui redirigent vers la page de paiement du prestataire ou l'intègrent, SAQ A-EP quand le site de l'agence génère le formulaire de paiement, SAQ C-VT pour un terminal virtuel, et SAQ D quand des données de carte sont conservées sous forme électronique.
Types de SAQ
Quel SAQ pour votre agence.
Le questionnaire suit le chemin des données de carte dans votre agence, pas la taille de l'agence ni son modèle d'accréditation.
| SAQ | Configuration habituelle de l'agence | Scans ASV | Ce que nous faisons |
|---|---|---|---|
| SAQ A | Liens de paiement envoyés au client ; aucune donnée de carte saisie dans vos systèmes | Non requis | Nous le préparons |
| SAQ A | Site web qui redirige vers la page de paiement du prestataire, ou l'intègre | Trimestriels | Nous le préparons et réalisons les scans |
| SAQ A-EP | Site web qui génère lui-même le formulaire de paiement (direct post ou JavaScript) | Trimestriels | Nous examinons votre configuration et le préparons avec vous |
| SAQ C-VT | Données de carte saisies dans le terminal virtuel d'un prestataire, une à une, sans rien conserver | Non requis | Nous le préparons |
| SAQ D | Numéros de carte conservés sous forme électronique : fichiers, e-mails, tableurs ou remarques GDS | Trimestriels | Nous vous le disons dès le premier appel et vous aidons à trouver un QSA |
Les SAQ B, B-IP, C et P2PE concernent les terminaux de paiement et logiciels d'encaissement d'un point de vente physique. Si l'un d'eux convient mieux à votre agence, nous vous le disons dès le premier appel.
01 · Départs
Trouvez votre SAQ en un clic.
Carte d'embarquementLe client paie sur la page du prestataire et les données de carte ne touchent jamais vos systèmes : le questionnaire le plus court, sans scans.
Une orientation, pas une décision : nous confirmons votre type de SAQ selon les critères d'éligibilité du PCI SSC avant de préparer quoi que ce soit.
Ce qui est inclus
Tout, jusqu'à votre signature.
- La cartographie de chaque canal par lequel des données de carte entrent dans votre agence : téléphone, e-mail, site web, GDS et liens de paiement.
- Le type de SAQ applicable, avec une explication écrite des critères d'éligibilité qui l'ont déterminé.
- Le questionnaire officiel du PCI SSC rempli avec les données de votre agence, et son Attestation of Compliance.
- Des scans ASV trimestriels quand votre SAQ les exige, avec le suivi de ce que chaque scan détecte.
- Une courte liste des pratiques qui ne satisferaient pas une exigence, avec une correction concrète pour chacune.
- Un rappel soixante jours avant l'expiration du SAQ, pour que le renouvellement de l'année suivante commence à temps.
Ce dont nous avons besoin
- Comment vous acceptez les cartes aujourd'hui, y compris votre prestataire de site web ou de liens de paiement.
- Les données légales de votre agence et son code IATA, ainsi que le nom et la fonction du signataire.
- Votre SAQ et votre attestation précédents, s'il y en a.
03 · Plan de vol
Trois étapes. Vous ne pilotez que la dernière.
- Étape 1 · Enregistrement
Répondez à un court questionnaire
Comment vous encaissez les cartes, les données de votre agence et qui signe. Une seule fois, par e-mail ou dans votre compte gratuit.
- Étape 2 · En vol
Nous préparons tout
Le bon SAQ sur le formulaire officiel du PCI SSC, et les scans ASV planifiés quand votre SAQ les exige.
- Étape 3 · Arrivée
Vous relisez, signez et soumettez
Un PDF prêt à être soumis à IATA, et un rappel avant le renouvellement de l'année suivante.
02 · Pilote automatique
Après le décollage, nous veillons.
Scans ASV trimestriels
Quand votre SAQ exige des scans externes, un Approved Scanning Vendor reconnu par le PCI SSC analyse votre site chaque trimestre. Nous planifions chaque scan, suivons les anomalies et ajoutons chaque rapport réussi à votre dossier.
Des renouvellements qui ne glissent jamais
Nous conservons vos réponses et vos dates. Soixante jours avant l'expiration de votre SAQ, nous vous contactons pour le renouveler.
Des formulaires officiels. Toujours.
Votre SAQ est le questionnaire du PCI Security Standards Council lui-même, rempli avec les données de votre agence et prêt à être soumis à IATA. Rien de refait, rien de résumé.
Questions fréquentes
Les agences de voyages IATA ont-elles besoin du PCI DSS ?
Oui, si elles acceptent les cartes de paiement sur leurs ventes BSP. IATA demande aux agents accrédités qui encaissent par carte de respecter le PCI DSS et de valider cette conformité chaque année, généralement avec un questionnaire d'auto-évaluation (SAQ) et son Attestation of Compliance.
Quel SAQ pour une agence de voyages ?
Cela dépend de la façon dont l'agence encaisse les cartes. Les liens de paiement, ou un site qui redirige vers la page de paiement du prestataire ou l'intègre, relèvent généralement du SAQ A. Un site qui génère son propre formulaire de paiement relève du SAQ A-EP. La saisie des cartes dans le terminal virtuel d'un prestataire relève du SAQ C-VT. Conserver des numéros de carte sous forme électronique relève du SAQ D. Nous confirmons le type selon les critères d'éligibilité du PCI SSC avant de le préparer.
Qu'est-ce qu'un scan ASV et quand est-il obligatoire ?
Un scan externe de vulnérabilités de vos systèmes exposés à Internet, réalisé par un Approved Scanning Vendor inscrit auprès du PCI Security Standards Council. Il est obligatoire au moins une fois tous les trois mois lorsque votre SAQ comprend l'exigence 11.3.2 : par exemple le SAQ A d'une agence dont le site redirige vers la page de paiement ou l'intègre, et le SAQ A-EP.
Soumettez-vous le SAQ à IATA à notre place ?
Non. Le SAQ est une déclaration de votre agence : une personne habilitée de l'agence le signe et le soumet. Nous vous le remettons complet et prêt à signer, et nous vous indiquons quoi envoyer.
Combien de temps cela prend-il ?
Une à deux semaines à partir du moment où nous avons vos réponses, selon surtout la réactivité de votre équipe. Les renouvellements des clients existants se font généralement en quelques jours.
Les agences GoLite ont-elles besoin du PCI DSS ?
Si l'agence accepte les cartes de paiement pour la vente de billets, oui. Le modèle d'accréditation change la façon dont vous réglez avec le BSP, pas l'application des règles sur les cartes.
Que se passe-t-il si nous ne le soumettons pas ?
La non-conformité a des conséquences selon les règles d'IATA sur les ventes par carte, jusqu'à la perte de la possibilité d'accepter les cartes sur les ventes BSP, et elle engage l'agence contractuellement vis-à-vis de son acquéreur.
À quelle fréquence faut-il renouveler le SAQ ?
Chaque année. La conformité PCI DSS se valide annuellement, et de nouveau lorsque la façon d'encaisser les cartes change, par exemple avec un nouveau site ou un nouveau prestataire de paiement.
Le SAQ est-il en anglais ?
Oui, nous préparons le questionnaire officiel en anglais publié par le PCI SSC. Nous vous expliquons chaque question dans votre langue et conservons les réponses dans votre dossier pour l'année suivante.
Pouvez-vous nous rendre conformes au PCI ?
Nous nous assurons que votre questionnaire est le bon et rempli avec exactitude, réalisons les scans ASV qu'il exige et vous indiquons ce qui doit changer lorsqu'une pratique ne satisfait pas une exigence. Nous ne faisons ni tests d'intrusion ni travaux techniques de correction.
Dernier appel
Prêt pour l'embarquement ?
Première fois ou renouvellement, votre PCI DSS préparé par des spécialistes de la conformité des agences de voyages.
