Cartes de crédit et conformité PCI
Où sont conservées les cartes de crédit?
Section titled “Où sont conservées les cartes de crédit?”Chez PCI Booking, un fournisseur de services évalué conforme à la norme PCI DSS au niveau 1, le plus exigeant, dans l’Union européenne. Les lois sur la vie privée qui s’y appliquent sont parmi les plus strictes et ont inspiré les lois canadiennes et québécoises.
Une carte est toujours saisie dans un formulaire sécurisé fourni par PCI Booking, que votre client l’inscrive dans son portail client ou qu’un utilisateur de votre organisation la saisisse dans l’onglet Infos du contact, par un bloc d’information ou une saisie rapide. meo ne détient jamais le numéro de la carte ni son code de sécurité (CVC) : ils ne passent pas par ses serveurs. Pour que vous reconnaissiez la carte, meo garde seulement son type, ses quatre derniers chiffres, la date d’expiration inscrite sur la carte et le nom du titulaire.
Confier les cartes à PCI Booking réduit fortement ce que votre organisation doit couvrir, sans la dispenser de ses propres obligations : voir Que devez-vous faire de votre côté?
Qui peut voir une carte?
Section titled “Qui peut voir une carte?”Les utilisateurs autorisés de votre organisation l’affichent dans une zone sécurisée servie par PCI Booking : son numéro ne passe pas par meo.
Chaque affichage est compté, et meo garde une trace de qui a affiché la carte et quand. Une carte peut être affichée au plus 50 fois. Ensuite, supprimez-la et demandez-la de nouveau au besoin.
Combien de temps une carte est-elle conservée?
Section titled “Combien de temps une carte est-elle conservée?”Le temps que vous choisissez, au plus 12 mois. Vous fixez cette durée pour chaque carte, quand vous ajoutez la question de carte à une demande ou quand vous saisissez la carte vous-même. meo propose 30 jours.
À la date affichée sous la carte (Conservée jusqu’au), meo supprime la carte automatiquement, code de sécurité compris. Vous pouvez aussi la supprimer plus tôt. Voir Demander une carte de crédit à votre client.
Que devez-vous faire de votre côté?
Section titled “Que devez-vous faire de votre côté?”Adopter deux habitudes, parce que la norme PCI demande de conserver une carte seulement le temps nécessaire, puis de la supprimer :
- Ne gardez jamais une carte ailleurs que dans meo : ni courriel, ni papier, ni fichier, ni note. Dans meo, inscrivez-la seulement dans un champ de carte de crédit.
- Supprimez la carte dès que la réservation ou le dossier est facturé, sans attendre sa date de suppression.
Faut-il modifier votre politique de confidentialité?
Section titled “Faut-il modifier votre politique de confidentialité?”Pas si elle indique déjà que vous recueillez les renseignements de vos clients par meo et que vous les gardez seulement le temps de les traiter. Pour vérifier la vôtre, ouvrez Vie privée, puis Responsable & Politique de confidentialité : meo analyse votre politique et indique les sujets courants de protection des renseignements qu’elle aborde.
Ces renseignements sont donnés à titre d’information et ne remplacent pas un avis juridique.
Que répondre au questionnaire PCI d’un fournisseur?
Section titled “Que répondre au questionnaire PCI d’un fournisseur?”Reprenez le paragraphe ci-dessous, qui décrit la part de meo, dans le questionnaire de votre fournisseur ou de votre institution financière.
Les cartes de crédit de nos clients sont recueillies par notre portail meo et conservées par PCI Booking, fournisseur conforme à la norme PCI DSS. Nous n’en gardons aucune copie. Elles sont supprimées au plus tard 12 mois après leur réception, ou dès que le dossier est facturé.Le reste du questionnaire porte sur les pratiques de votre organisation. Adaptez le paragraphe si vous recevez aussi des cartes par un autre moyen, par exemple au téléphone.