Dernière mise à jour : 16 oct. 2026, 12 h 12
Apprenez-en davantage sur la conformité PCI, les attentes, les responsabilités, les exigences et les coûts.
| Ce document est fourni à des fins d'information seulement et ne constitue pas un avis juridique, de conformité ou tout autre conseil professionnel. Il pourrait être conseillé de consulter un professionnel, comme un avocat ou un autre conseiller pertinent, pour obtenir des conseils adaptés à votre situation. |
Chaque client de Toast qui accepte les cartes de paiement doit être conforme à la norme PCI; il est donc important de comprendre ce que cela signifie. Toast renforce continuellement ses systèmes de paiement et sa plateforme, et répond à un nombre croissant de ces exigences au nom de ses clients. Les récentes mises à jour de notre programme PCI permettent aux clients de respecter encore plus facilement leurs responsabilités en matière de PCI. Cet article donne un aperçu de la norme PCI, de la façon d'accéder à la documentation sur les responsabilités et de la manière dont ces changements touchent les clients de Toast.
« PCI » est l'abréviation de « PCI DSS », qui signifie Payment Card Industry Data Security Standard (norme de sécurité des données de l'industrie des cartes de paiement). Cela fait référence à un ensemble de règles pour le traitement des informations de cartes de paiement de vos clients afin de minimiser le risque de vol de données de cartes. Toute entreprise qui accepte des paiements par carte, même s'il ne s'agit que de quelques cartes de crédit par mois, doit s'assurer de le faire d'une manière conforme à ces exigences. C'est ce que l'on entend par « être conforme à la norme PCI ».
Pour comprendre comment être conforme à la norme PCI, il faut d'abord comprendre pourquoi il faut l'être, qui est responsable de l'exécution de chacune des exigences PCI et ce qui doit être fait chaque année. Cet article vise à aider à réduire la confusion concernant la conformité PCI chez Toast et à vous aider à vous assurer que vous respectez ces exigences.
| Pour les clients actifs et les clients potentiels, les guides des responsabilités PCI sont disponibles sur demande auprès d'un représentant du service à la clientèle, d'un conseiller en intégration ou d'un autre représentant des ventes. |
En tant que client de Toast, vous êtes tenu d'être conforme à la norme PCI. Toast est également tenue d'être conforme à la norme PCI. Veuillez noter que si vous avez une autre entente avec un autre fournisseur de services de paiement (p. ex., pour un secteur d'activité non lié), il se peut qu'il exige également que vous soyez conforme à la norme PCI.
Toutefois, il est important de comprendre que ces obligations ne se chevauchent pas : toute exigence PCI imposée par un autre fournisseur de services de paiement ne devrait pas inclure vos appareils ou services Toast, puisque nos appareils ne peuvent être utilisés que pour traiter les données de cartes de paiement des clients à l'aide des services de traitement des paiements de Toast. De même, lorsque vous abordez les exigences de conformité PCI pour les données de cartes de paiement de vos clients destinées au traitement, votre conformité PCI pour Toast ne devrait pas inclure les appareils ou les plateformes fournis par d'autres fournisseurs de services de paiement.
Cela peut sembler évident, mais il est assez courant que les clients de Toast supposent à tort que, parce qu'ils doivent soumettre un questionnaire d'auto-évaluation (SAQ) ou obtenir un rapport de conformité (ROC) pour répondre aux obligations d'un autre fournisseur de services de paiement, ils doivent inclure leurs appareils Toast dans ce rapport. Toast offres une discussion plus technique sur ce sujet dans notre « Guide QSA », qui peut être demandé auprès d'un représentant du service à la clientèle.
Maintenant, en ce qui concerne cette obligation d'être conforme à la norme PCI sur les appareils et plateformes Toast, Toast est responsable de la plupart des exigences PCI lors de l'utilisation de la plateforme Toast et des appareils approuvés pour accepter les paiements par carte.
Le document officiel qui précise cela s'appelle un guide des responsabilités. Toast possède plusieurs guides des responsabilités couvrant nos divers produits et capacités liés au traitement des paiements, qui peuvent être demandés par l'entremise de votre conseiller en intégration, de l'équipe de réussite et de services à la clientèle ou du soutien à la clientèle. Consultez le ou les guides des responsabilités appropriés pour obtenir des détails sur vos responsabilités par rapport à celles que Toast s'engage à respecter en votre nom. Il existe également certaines responsabilités partagées, et des détails sont fournis pour chacune d'entre elles afin de comprendre ce que cela signifie pour votre environnement. Travaillez avec votre direction et votre équipe informatique pour mettre en œuvre les politiques décrites dans ces documents afin de satisfaire à vos exigences PCI de Toast.
En bref : pour les transactions avec carte présente utilisant des appareils approuvés par Toast et la plateforme Toast, la seule section de la matrice de responsabilité PCI de Toast (carte présente) dont les exigences doivent être respectées par vous est l'exigence 9 : Restreindre l'accès physique aux données des titulaires de carte. Si vous utilisez les solutions de commerce électronique de Toast, ces exigences relèvent également de la responsabilité de Toast — si vous utilisez un partenaire de paiement par API de commerce électronique distinct, examinez les responsabilités PCI DSS de ce partenaire. Pour obtenir la ventilation complète, demandez la matrice de responsabilité PCI de Toast (carte présente) et/ou le guide des responsabilités PCI des canaux de paiement de commerce électronique de Toast auprès de votre consultant en intégration ou du service à la clientèle, ou via trustcenter.toasttab.com.
Toast est heureux d'annoncer qu'elle a obtenu une validation indépendante de son logiciel de paiement, utilisé dans tous les produits de point de vente Toast, et qu'elle a terminé la migration de tous les appareils de saisie de carte et appareils de point de vente pris en charge pour utiliser des configurations renforcées, un chiffrement robuste et une microsegmentation. Nous avons maintenant terminé les évaluations indépendantes par des tiers de notre écosystème de paiement et confirmé que tous les appareils de paiement respectent ou dépassent les exigences PCI, éliminant ainsi le besoin de nombreux contrôles au niveau du réseau. Grâce à ces améliorations, Toast est heureux de vous faire profiter de leurs avantages en assumant l'entière responsabilité de bon nombre des exigences PCI DSS.
Enfin, bien que de nombreux fournisseurs de points de vente et processeurs de paiement exigent que leurs clients soumettent chaque année des documents, appelés auto-évaluations (SAQ) et/ou attestations de conformité (AOC), la plupart des clients de Toast n'ont pas besoin de soumettre une telle documentation de conformité PCI ou d'engager une entreprise pour effectuer des analyses de vulnérabilité. Toast n'envoie pas de courriels vous demandant de remplir l'un de ces documents. Si vous recevez un tel courriel, examinez-le attentivement pour déterminer s'il provient d'un autre fournisseur de plateforme – peut-être avez-vous oublié d'annuler votre précédent fournisseur de service de point de vente ou votre compte marchand ?
Toutes ces discussions sur les exigences PCI, mais qu'est-ce que c'est, exactement ? Le tableau ci-dessous présente un aperçu général de la norme PCI DSS. Chacune de ces exigences contient de multiples sous-exigences qui, comme indiqué ci-dessus, peuvent incomber à Toast, à vous, ou à une combinaison des deux. Veuillez consulter nos guides de responsabilité PCI de Toast pour plus d'informations, y compris une ventilation de la liste complète des exigences par responsabilité.
| Objectifs | Exigences de la norme PCI DSS |
| Établir et maintenir un réseau et des systèmes sécurisés | 1. Installer et maintenir des contrôles de sécurité réseau 2. Appliquer des configurations sécurisées à tous les composants du système Protéger les données de compte |
| Protéger les données de compte | 3. Protéger les données de compte stockées 4. Protéger les données du titulaire de carte au moyen d'une cryptographie forte lors de leur transmission sur des réseaux publics ouverts |
| Maintenir un programme de gestion des vulnérabilités | 5. Protéger tous les systèmes et réseaux contre les logiciels malveillants 6. Développer et maintenir des systèmes et des logiciels sécurisés |
| Mettre en œuvre des mesures de contrôle d'accès rigoureuses | 7. Restreindre l'accès aux composants du système et aux données du titulaire de carte selon le besoin d'en connaître de l'entreprise 8. Identifier les utilisateurs et authentifier l'accès aux composants du système 9. Restreindre l'accès physique aux données du titulaire de carte |
| Surveiller et tester régulièrement les réseaux | 10. Consigner et surveiller tout accès aux composants du système et aux données du titulaire de carte 11. Tester régulièrement la sécurité des systèmes et des réseaux |
| Maintenir une politique de sécurité de l'information | 12. Soutenir la sécurité de l'information par des politiques et des programmes organisationnels |
Les entreprises qui ne maintiennent pas leur conformité PCI s'exposent à un risque de violation de données, ce qui peut entraîner des dommages à leur marque, des amendes, des frais de remplacement de cartes, des coûts d'audit judiciaire, et plus encore. Les entreprises qui utilisent des systèmes de point de vente, des plateformes de commerce électronique et d'autres services de paiement qui ne répondent pas à bon nombre de ces exigences en leur nom doivent consacrer du temps et de l'argent à la protection de ces systèmes pour éviter ces conséquences. L'utilisation d'une plateforme qui répond à ces besoins est tout simplement logique.
Heureusement, Toast est une telle plateforme. Elle se conforme à presque toutes les exigences PCI au nom de ses clients. Cela élimine pratiquement le besoin de coûts supplémentaires liés à la conformité PCI pour les clients de Toast. Veuillez consulter les guides de responsabilité PCI de Toast pour en savoir plus. Les clients actifs peuvent demander ces guides au service à la clientèle, selon ce qui s'applique à leurs canaux de paiement.