Dernière mise à jour : 17 sept. 2026, 17 h 00
Découvrez la conformité PCI, les attentes, les responsabilités, les exigences et les coûts.
| Ce document est fourni à titre informatif uniquement et ne constitue en aucun cas un conseil juridique, de conformité ou autre conseil professionnel. Il peut être judicieux de consulter un professionnel, comme un avocat ou un autre conseiller compétent, pour obtenir des conseils adaptés à votre situation. |
Chaque client Toast qui accepte des cartes de paiement doit être conforme à la norme PCI; il est donc important de comprendre ce que cela signifie. Toast renforce continuellement ses systèmes et sa plateforme de paiement et répond à un plus grand nombre de ces exigences au nom de ses clients. Les mises à jour récentes de notre programme PCI permettent aux clients de s’acquitter encore plus facilement de leurs responsabilités PCI. Cet article présente PCI, comment accéder à la documentation sur la responsabilité et comment ces changements affectent les clients Toast.
« PCI » est l’abréviation de « PCI DSS », qui signifie Payment Card Industry Data Security Standard. Il s’agit d’un ensemble de règles pour traiter les informations de carte de paiement de vos clients afin de minimiser le risque de vol de données de carte. Chaque entreprise qui accepte des paiements par carte, même si ce n’est que quelques cartes de crédit par mois, doit s’assurer qu’elle le fait d’une manière conforme à ces exigences. C’est ce que l’on entend par « conforme PCI ».
Pour comprendre comment être conforme PCI, il faut d’abord comprendre pourquoi ils doivent être conformes, qui est responsable de la réalisation de chacune des exigences PCI et ce qui doit être fait chaque année. Cet article a pour but de réduire la confusion concernant la conformité PCI chez Toast et de vous aider à vous assurer que vous répondez à ces exigences.
| Pour les clients et prospects actifs, les guides PCI Responsibilities sont disponibles sur demande auprès d’un représentant du service à la clientèle, d’un consultant à l’intégration ou d’un autre représentant commercial. |
En tant que client Toast, vous êtes tenu d’être conforme à la norme PCI. Toast doit également être conforme à la norme PCI. Veuillez noter que si vous avez conclu une autre entente avec un autre fournisseur de services de paiement marchand (par exemple, pour un secteur d’activité non lié), il peut également vous obliger à respecter la norme PCI.
Cependant, il est important de comprendre que ces obligations ne se chevauchent pas : toute exigence PCI qui vous est imposée par un autre fournisseur de services de paiement marchand ne doit pas inclure vos appareils ou services Toast, puisque nos appareils ne peuvent être utilisés que pour traiter les données des cartes de paiement des clients à l’aide des services de traitement des marchands de Toast. De même, lorsque vous vous rapprochez des exigences de conformité PCI pour les données de carte de paiement de vos clients destinées au traitement par Toast, votre conformité PCI pour Toast ne doit pas inclure les appareils ou plateformes fournis par d'autres fournisseurs de services marchands.
Cela peut sembler évident, mais il est assez courant que les clients de Toast supposent, à tort, que, parce qu’ils doivent soumettre un questionnaire d’auto-évaluation (SAQ) ou obtenir un rapport de conformité (ROC) pour respecter les obligations d’un autre fournisseur de services de paiement marchand, ils doivent inclure leurs appareils Toast dans ce rapport. Toast offre une discussion plus technique sur ce sujet dans notre « Guide QSA », qui peut être demandée à un représentant du service à la clientèle.
Désormais, en ce qui concerne cette obligation de conformité PCI sur les appareils et plateformes Toast, Toast est responsable de la plupart des exigences PCI lors de l’utilisation de la plateforme Toast et des appareils approuvés pour accepter les paiements par carte.
Le document officiel qui l’indique est appelé Guide de responsabilité. Toast propose plusieurs guides de responsabilité, couvrant nos différents produits et fonctionnalités liés au traitement des paiements, qui peuvent être demandés par votre consultant à l’intégration, l’équipe chargée de la réussite et des services à la clientèle ou le soutien à la clientèle. Consultez le(s) guide(s) de responsabilité approprié(s) pour connaître les détails de vos responsabilités par rapport à celles que Toast s’engage à assumer en votre nom. Certaines responsabilités sont également partagées, et des détails sont fournis pour chacune d’elles afin de comprendre ce que cela signifie pour votre environnement. Collaborez avec votre direction et votre équipe informatique pour mettre en œuvre les politiques décrites dans ces documents afin de répondre à vos exigences Toast PCI.
En bref : pour les transactions carte présente effectuées à l’aide d’appareils approuvés par Toast et de la plateforme Toast, la seule section de la matrice de responsabilité PCI de Toast (carte présente) avec les exigences que vous devez respecter est l’exigence 9 : Limiter l’accès physique aux données du titulaire de la carte. Si vous utilisez les solutions de commerce électronique de Toast, ces exigences relèvent également de la responsabilité de Toast. Si vous utilisez un partenaire de paiement API de commerce électronique distinct, examinez ses propres responsabilités PCI DSS. Pour obtenir la ventilation complète, demandez la matrice de responsabilités PCI de Toast (carte présente) et/ou le guide des responsabilités PCI des canaux de paiement du commerce électronique de Toast auprès de votre consultant à l’intégration ou du service à la clientèle, ou via trustcenter.toasttab.com.
Toast est heureux d’annoncer qu’il a obtenu la validation indépendante de son logiciel de paiement, utilisé dans tous les produits de point de vente de Toast, et terminé la migration de tous les appareils de capture de cartes et appareils de point de vente pris en charge pour utiliser des configurations durcies, un chiffrement fort et une microsegmentation. Nous avons maintenant terminé les évaluations indépendantes par des tiers de notre écosystème de paiements et confirmé que tous les appareils de paiement répondent ou dépassent les exigences PCI, éliminant ainsi le besoin de nombreux contrôles au niveau du réseau. Grâce à ces améliorations, Toast est heureux d’en transmettre les avantages en assumant l’entière responsabilité de nombreuses exigences PCI DSS.
Enfin, bien que de nombreux fournisseurs de systèmes de point de vente et transformateurs de marchands exigent que leurs clients soumettent chaque année des documents, appelés SAQ (questionnaires d’auto-évaluation) et/ou AOC (attestations de conformité), la plupart des clients de Toast n’ont pas besoin de soumettre ces documents de conformité PCI ni de faire appel à une entreprise pour effectuer des analyses de vulnérabilité. Toast n’envoie aucun courriel vous demandant de remplir ces documents. Si vous recevez un tel courriel, examinez-le attentivement pour déterminer s’il provient d’un autre fournisseur de plateforme – peut-être avez-vous oublié d’annuler votre ancien fournisseur de services de point de vente ou compte marchand?
Tout cela parle des exigences PCI, mais quelles sont-elles exactement? Le tableau ci-dessous est un aperçu général de PCI DSS. Chacune de ces exigences contient plusieurs sous-exigences qui, comme indiqué ci-dessus, peuvent incomber à Toast, à vous ou à une combinaison des deux. Veuillez consulter nos guides de responsabilité Toast PCI pour plus d’informations, y compris une ventilation de la liste complète des exigences par responsabilité.
| Objectifs | Exigences PCI DSS |
| Construire et maintenir un réseau et des systèmes sécurisés | 1. Installer et maintenir les contrôles de sécurité réseau 2. Appliquer des configurations sécurisées à tous les composants du système Protéger les données du compte |
| Protéger les données du compte | 3. Protéger les données des comptes stockés 4. Protégez les données des titulaires de carte grâce à une cryptographie solide lors de leur transmission sur des réseaux publics ouverts |
| Maintenir un programme de gestion des vulnérabilités | 5. Protégez tous les systèmes et réseaux contre les logiciels malveillants 6. Développer et maintenir des systèmes et des logiciels sécurisés |
| Mettre en œuvre de solides mesures de contrôle de l’accès | 7. Limiter l’accès aux composants du système et aux données des titulaires de carte par entreprise 8. Identifier les utilisateurs et authentifier l’accès aux composants du système 9. Limiter l’accès physique aux données du titulaire de la carte |
| Surveiller et tester régulièrement les réseaux | 10. Enregistrer et surveiller tous les accès aux composants du système et aux données du titulaire de la carte 11. Testez régulièrement la sécurité des systèmes et des réseaux |
| Maintenir une politique de sécurité de l’information | 12. Soutenir la sécurité de l’information à l’aide de politiques et de programmes organisationnels |
Les entreprises qui ne respectent pas la conformité PCI s’exposent à un risque de violation des données, ce qui peut entraîner des dommages à leur marque, des amendes, des frais de remplacement de carte, des frais d’audit judiciaire, etc. Les entreprises qui utilisent des systèmes de point de vente, des plateformes de commerce électronique et d’autres services de paiement qui ne répondent pas à bon nombre de ces exigences en leur nom doivent consacrer du temps et des dépenses à protéger ces systèmes pour éviter ces résultats. Utiliser une plateforme qui répond à ces besoins a tout simplement du sens.
Heureusement, Toast est une telle plateforme. Il respecte presque toutes les exigences PCI pour le compte de ses clients. Cela élimine pratiquement le besoin de coûts supplémentaires liés à PCI pour les clients de Toast. Veuillez consulter les guides de responsabilité Toast PCI pour en savoir plus. Les clients actifs peuvent demander ces guides par l’intermédiaire du service à la clientèle, selon ce qui s’applique à leurs canaux de paiement.