Le verdict en trois phrases
Dès que vous acceptez la carte bancaire, la norme PCI-DSS s'applique — même à une petite boutique en ligne. La bonne nouvelle : déléguer l'encaissement à un PSP (redirection ou champ hébergé, niveau SAQ-A) évite 90 % de la charge de conformité et vous dispense de manipuler la moindre donnée de carte. À l'inverse, stocker des numéros de carte vous fait basculer vers un audit QSA coûteux et un risque d'amende lourd.
Les niveaux de conformité SAQ
PCI-DSS n'impose pas le même effort à tout le monde : le questionnaire d'auto-évaluation (SAQ) dépend de la façon dont vous traitez la carte.
| Niveau SAQ (ordre de grandeur 2026) | Qui est concerné | Charge de conformité | Audit QSA requis |
|---|---|---|---|
| SAQ-A | Encaissement 100 % délégué au PSP | Minimale | Non |
| SAQ-A-EP | Page hébergée mais site influe sur le flux | Modérée | Non (selon volume) |
| SAQ-D marchand | Le site touche/stocke la donnée carte | Lourde | Souvent oui |
| Niveau 1 (gros volume) | >6 M transactions/an | Maximale | Oui, annuel |
| Tokenisation PSP | Carte remplacée par un token | Réduite | Non |
La règle d'or pour une PME : rester en SAQ-A en ne touchant jamais la donnée carte. Tout le reste devient exponentiellement plus cher.
Coûts, délais et risques
Le vrai arbitrage est financier : le coût de la conformité déléguée est quasi nul, celui de l'internalisation se chiffre en millions.
| Poste (estimation 2026) | Valeur |
|---|---|
| Coût audit QSA (gros volume) | 3 - 10 M FCFA |
| Amende non-conformité | jusqu'à 100 000 USD |
| Délai de certification | 4 - 12 semaines |
| Tokenisation | Obligatoire si stockage |
| Part carte vs mobile money (Afrique du Sud) | 55 / 45 |
| Coût conformité en SAQ-A | Proche de 0 |
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
En Afrique du Sud, où la carte pèse encore ~55 % des paiements en ligne, ignorer PCI-DSS n'est pas une option ; mais bien architecturer permet d'en supporter le poids minimal.
Mini cas pratique
Fatou lance une marketplace de mode à Johannesburg et hésite à stocker les cartes « pour fluidifier le repaiement ». Ce choix la ferait basculer en SAQ-D, avec un audit QSA estimé à 6 M FCFA la première année, plus la maintenance. En optant pour la tokenisation via son PSP (SAQ-A), elle garde le repaiement en un tap sans jamais toucher la donnée carte : coût de conformité proche de zéro, délai de mise en ligne réduit de 12 à 4 semaines. Économie directe : 6 M FCFA et des semaines de retard évitées.
FAQ
Une petite boutique est-elle vraiment concernée par PCI-DSS ? Oui, dès le premier paiement carte. Mais en déléguant tout au PSP (SAQ-A), la charge réelle devient minime : vous remplissez un court questionnaire annuel, sans audit lourd.
Que risque-t-on en cas de non-conformité ? Des amendes qui peuvent atteindre 100 000 USD selon les schémas de carte, sans compter la responsabilité en cas de fuite de données. Le jeu n'en vaut jamais la chandelle face au coût quasi nul de la conformité déléguée.
Combien coûte un audit QSA ? Pour de gros volumes en SAQ-D ou niveau 1, comptez 3 à 10 M FCFA en 2026, plus la remédiation technique. C'est précisément ce que la délégation au PSP permet d'éviter.
La tokenisation suffit-elle ? Elle est obligatoire dès que vous voulez du repaiement sans re-saisie, et bien mise en œuvre elle vous maintient en SAQ-A. Le token remplace le numéro de carte, que vous ne stockez alors jamais en clair.
Discutons de votre projet. Nous architecturons votre encaissement carte pour rester en SAQ-A et éviter tout audit lourd. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
