Le verdict en trois phrases
Si votre paiement mobile money ne touche jamais une carte, votre exposition PCI DSS est faible ; mais des qu'une carte Stripe entre en jeu, la conformite devient obligatoire. La strategie gagnante est de ne jamais stocker de donnees carte et de rediriger vers le PSP, ce qui vous place en SAQ-A, le questionnaire le plus court. Au Senegal, ajoutez la loi 2008-12 sur les donnees personnelles et le RGPD si vous servez l'Europe.
Perimetre SAQ : ou vous situez-vous ?
Le niveau de questionnaire (SAQ) depend de la facon dont les donnees carte transitent chez vous. Rediriger ou tokeniser reduit drastiquement le perimetre et le cout.
| Type SAQ | Cas d'usage | Perimetre | Cout indicatif 2026 |
|---|---|---|---|
| SAQ-A | Redirection full PSP | Minimal | Faible (auto-eval) |
| SAQ-A-EP | Iframe / champ hebergE | Reduit | Modere |
| SAQ-D marchand | Stockage / traitement PAN | Complet | 500 000-2 000 000 FCFA |
| Mobile money seul | Pas de carte | Hors PCI DSS carte | Loi 2008-12 / RGPD |
Donnees a ne jamais stocker et responsabilites
Certaines donnees sont interdites de stockage apres autorisation, point final. La tokenisation remplace le numero de carte par un jeton inutilisable en cas de fuite.
| Donnee | Stockage autorise ? | Alternative |
|---|---|---|
| PAN (numero carte) | Non (sauf chiffre, perimetre lourd) | Token PSP |
| CVV / CVC | Jamais | — |
| Piste magnetique | Jamais | — |
| PIN | Jamais | — |
| Token de paiement | Oui | recommande |
| Numero mobile money | Oui (loi 2008-12) | minimiser |
En cas de fuite, la responsabilite du marchand peut etre engagee : penalites des reseaux carte, notification a la CDP (Commission de protection des donnees) au Senegal, et perte de confiance. La tokenisation et le SAQ-A limitent fortement ce risque.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
un restaurateur, Cheikh, a Dakar, voulait accepter cartes internationales en plus de Wave. Tente de stocker les cartes des habitues, il aurait bascule en SAQ-D : audit estime 1 200 000 FCFA plus des obligations lourdes. En choisissant la redirection Stripe (tokenisation, SAQ-A) et en gardant le mobile money pour le local, il reste en auto-evaluation quasi gratuite, sans jamais stocker de PAN. Economie estimee la premiere annee : plus de 1 000 000 FCFA et un risque juridique quasi nul.
FAQ
Le mobile money est-il concerne par PCI DSS ? PCI DSS vise les donnees de carte. Un flux 100 % mobile money sans carte sort du perimetre carte, mais reste soumis a la loi 2008-12 senegalaise et au RGPD sur les donnees personnelles.
Quel SAQ pour une petite boutique ? Si vous redirigez vers le PSP sans toucher la carte, le SAQ-A suffit : c'est une auto-evaluation courte et peu couteuse. Evitez tout ce qui vous ferait basculer en SAQ-D.
Combien coute un audit SAQ-D ? En 2026, comptez un ordre de grandeur de 500 000 a 2 000 000 FCFA selon la taille et le prestataire, sans compter les mises en conformite techniques. D'ou l'interet de rester en SAQ-A.
Que ne faut-il jamais stocker ? Le CVV, le PIN et la piste magnetique ne doivent jamais etre conserves apres autorisation. Le numero de carte ne se stocke que chiffre et dans un perimetre lourd, sinon utilisez un token.
Quelle responsabilite en cas de fuite ? Le marchand peut subir des penalites reseaux, une notification obligatoire a la CDP et une perte de reputation. La tokenisation et le SAQ-A reduisent fortement l'exposition.
Discutons de votre projet. Nous concevons votre paiement pour rester en SAQ-A, sans stockage de carte, conforme loi 2008-12 et RGPD. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
