Le verdict en trois phrases
Si votre paiement mobile money ne touche jamais une carte, votre exposition PCI DSS est faible ; mais dès qu'une carte Stripe entre en jeu, la conformité devient obligatoire. La stratégie gagnante est de ne jamais stocker de données carte et de rediriger vers le PSP, ce qui vous place en SAQ-A, le questionnaire le plus court. Au Sénégal, ajoutez la loi 2008-12 sur les données personnelles et le RGPD si vous servez l'Europe.
Périmètre SAQ : où vous situez-vous ?
Le niveau de questionnaire (SAQ) dépend de la façon dont les données carte transitent chez vous. Rediriger ou tokeniser réduit drastiquement le périmètre et le coût.
| Type SAQ | Cas d'usage | Périmètre | Coût indicatif 2026 |
|---|---|---|---|
| SAQ-A | Redirection full PSP | Minimal | Faible (auto-eval) |
| SAQ-A-EP | Iframe / champ hébergé | Réduit | Modéré |
| SAQ-D marchand | Stockage / traitement PAN | Complet | 500 000-2 000 000 FCFA |
| Mobile money seul | Pas de carte | Hors PCI DSS carte | Loi 2008-12 / RGPD |
Données à ne jamais stocker et responsabilités
Certaines données sont interdites de stockage après autorisation, point final. La tokenisation remplace le numéro de carte par un jeton inutilisable en cas de fuite.
| Donnée | Stockage autorisé ? | Alternative |
|---|---|---|
| PAN (numéro carte) | Non (sauf chiffre, périmètre lourd) | Token PSP |
| CVV / CVC | Jamais | — |
| Piste magnétique | Jamais | — |
| PIN | Jamais | — |
| Token de paiement | Oui | recommandé |
| Numéro mobile money | Oui (loi 2008-12) | minimiser |
En cas de fuite, la responsabilité du marchand peut être engagée : pénalités des réseaux carte, notification à la CDP (Commission de protection des données) au Sénégal, et perte de confiance. La tokenisation et le SAQ-A limitent fortement ce risque.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
un restaurateur, Cheikh, à Dakar, voulait accepter cartes internationales en plus de Wave. Tenté de stocker les cartes des habitués, il aurait basculé en SAQ-D : audit estimé 1 200 000 FCFA plus des obligations lourdes. En choisissant la redirection Stripe (tokenisation, SAQ-A) et en gardant le mobile money pour le local, il reste en auto-évaluation quasi gratuite, sans jamais stocker de PAN. Économie estimée la première année : plus de 1 000 000 FCFA et un risque juridique quasi nul.
FAQ
Le mobile money est-il concerné par PCI DSS ? PCI DSS vise les données de carte. Un flux 100 % mobile money sans carte sort du périmètre carte, mais reste soumis à la loi 2008-12 sénégalaise et au RGPD sur les données personnelles.
Quel SAQ pour une petite boutique ? Si vous redirigez vers le PSP sans toucher la carte, le SAQ-A suffit : c'est une auto-évaluation courte et peu coûteuse. Évitez tout ce qui vous ferait basculer en SAQ-D.
Combien coûte un audit SAQ-D ? En 2026, comptez un ordre de grandeur de 500 000 à 2 000 000 FCFA selon la taille et le prestataire, sans compter les mises en conformité techniques. D'où l'intérêt de rester en SAQ-A.
Que ne faut-il jamais stocker ? Le CVV, le PIN et la piste magnétique ne doivent jamais être conservés après autorisation. Le numéro de carte ne se stocke que chiffré et dans un périmètre lourd, sinon utilisez un token.
Quelle responsabilité en cas de fuite ? Le marchand peut subir des pénalités réseaux, une notification obligatoire à la CDP et une perte de réputation. La tokenisation et le SAQ-A réduisent fortement l'exposition.
Discutons de votre projet. Nous concevons votre paiement pour rester en SAQ-A, sans stockage de carte, conforme loi 2008-12 et RGPD. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
