Le verdict en trois phrases
Pour un e-commercant senegalais, la meilleure strategie PCI DSS est de ne jamais toucher au numero de carte: en utilisant une redirection ou une tokenisation, la donnee sensible transite chez le prestataire certifie, pas chez vous. Vous passez alors du lourd questionnaire SAQ-D au SAQ-A, et votre perimetre d'audit fond d'environ 80 %. Cote juridique, la Loi 2008-12 au Senegal (et la NDPR au Nigeria) exige protection, minimisation et conservation encadree des donnees personnelles.
Ne stockez pas ce que vous n'avez pas besoin de garder
Le principe fondateur de PCI DSS: moins vous manipulez de donnees carte, moins vous etes expose. Trois architectures dominent en 2026.
| Architecture | Perimetre PCI | SAQ applicable | Effort |
|---|---|---|---|
| Redirection (page hebergee) | Minimal | SAQ-A | Faible |
| Champ iframe / tokenisation | Reduit | SAQ-A-EP | Moyen |
| API directe + stockage | Complet | SAQ-D | Eleve |
La tokenisation remplace le numero de carte par un jeton inoffensif: le vrai numero reste chez le prestataire. Cela reduit le perimetre PCI d'environ 80 % et supprime le risque de vol de donnees carte dans votre base.
Conformite locale: Loi 2008-12 et NDPR
La conformite PCI DSS ne remplace pas la loi sur les donnees personnelles. Au Senegal, la Loi 2008-12 impose une declaration a la CDP, une finalite claire et une securite proportionnee. Au Nigeria, la NDPR (Nigeria Data Protection Regulation) prevoit des sanctions.
| Obligation | Senegal (Loi 2008-12) | Nigeria (NDPR) |
|---|---|---|
| Autorite | CDP | NDPC |
| Sanction max | Amende + penal | Jusqu'a 2 % du CA |
| Consentement | Requis | Requis |
| Conservation logs | 12 mois recommande | 12 mois recommande |
| Notification de fuite | Obligatoire | Obligatoire |
| Cout audit PCI | 500k-2M FCFA | 500k-2M FCFA |
Retenez deux chiffres: une non-conformite NDPR peut couter jusqu'a 2 % du chiffre d'affaires annuel, et un audit PCI de niveau eleve se chiffre entre 500 000 et 2 000 000 FCFA. Eviter le stockage, c'est eviter les deux.
Ce qu'il faut mettre en place concretement
HTTPS partout, redirection ou iframe pour le paiement, tokenisation pour les paiements recurrents, journalisation des acces pendant 12 mois, et une politique de confidentialite conforme. Pour la majorite des boutiques, le SAQ-A suffit: un questionnaire d'auto-evaluation court, sans audit onereux.
Mini cas pratique
Modou lance une boutique d'electronique a Dakar. Tente par une integration API directe pour "tout controler", il decouvre que cela le place en SAQ-D: audit annuel, scans trimestriels, cout estime 1 200 000 FCFA/an. En basculant sur une page de paiement hebergee (redirection) plus Wave et Orange Money, il tombe en SAQ-A.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Son nouveau cout de conformite: le questionnaire SAQ-A (interne) plus un certificat SSL, soit environ 80 000 FCFA/an. Economie: ~1 120 000 FCFA/an, et surtout aucune donnee carte dans sa base, donc aucun risque de fuite a notifier a la CDP.
FAQ
Dois-je etre certifie PCI DSS pour vendre en ligne au Senegal ?
Vous devez etre conforme, pas forcement audite. En redirection, un SAQ-A auto-declare suffit dans la grande majorite des cas, sans audit externe couteux.
La tokenisation reduit-elle vraiment mes obligations ?
Oui: elle sort le vrai numero de carte de votre systeme et reduit le perimetre PCI d'environ 80 %. Vos paiements recurrents fonctionnent avec un jeton, pas la carte.
Combien coute un audit PCI complet ?
Entre 500 000 et 2 000 000 FCFA selon la taille et l'architecture. C'est precisement ce qu'une redirection bien concue permet d'eviter.
La NDPR nigeriane me concerne-t-elle si je vends au Nigeria ?
Oui, des que vous traitez des donnees de residents nigerians. Les sanctions peuvent atteindre 2 % du chiffre d'affaires annuel, d'ou l'interet de minimiser les donnees collectees.
Combien de temps conserver les journaux d'acces ?
Comptez au moins 12 mois de logs. C'est la reference courante pour les controles et les investigations post-incident.
Discutons de votre projet. Nous concevons votre checkout en redirection tokenisee pour rester en SAQ-A et conforme a la Loi 2008-12. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
