Le verdict en trois phrases
Pour un e-commerçant sénégalais, la meilleure stratégie PCI DSS est de ne jamais toucher au numéro de carte: en utilisant une redirection ou une tokenisation, la donnée sensible transite chez le prestataire certifié, pas chez vous. Vous passez alors du lourd questionnaire SAQ-D au SAQ-A, et votre périmètre d'audit fond d'environ 80 %. Côté juridique, la Loi 2008-12 au Sénégal (et la NDPR au Nigeria) exige protection, minimisation et conservation encadrée des données personnelles.
Ne stockez pas ce que vous n'avez pas besoin de garder
Le principe fondateur de PCI DSS: moins vous manipulez de données carte, moins vous êtes exposé. Trois architectures dominent en 2026.
| Architecture | Périmètre PCI | SAQ applicable | Effort |
|---|---|---|---|
| Redirection (page hébergée) | Minimal | SAQ-A | Faible |
| Champ iframe / tokenisation | Réduit | SAQ-A-EP | Moyen |
| API directe + stockage | Complet | SAQ-D | Élevé |
La tokenisation remplace le numéro de carte par un jeton inoffensif: le vrai numéro reste chez le prestataire. Cela réduit le périmètre PCI d'environ 80 % et supprime le risque de vol de données carte dans votre base.
Conformité locale: Loi 2008-12 et NDPR
La conformité PCI DSS ne remplace pas la loi sur les données personnelles. Au Sénégal, la Loi 2008-12 impose une déclaration à la CDP, une finalité claire et une sécurité proportionnée. Au Nigeria, la NDPR (Nigeria Data Protection Regulation) prévoit des sanctions.
| Obligation | Sénégal (Loi 2008-12) | Nigeria (NDPR) |
|---|---|---|
| Autorité | CDP | NDPC |
| Sanction max | Amende + pénal | Jusqu'à 2 % du CA |
| Consentement | Requis | Requis |
| Conservation logs | 12 mois recommandé | 12 mois recommandé |
| Notification de fuite | Obligatoire | Obligatoire |
| Coût audit PCI | 500k-2M FCFA | 500k-2M FCFA |
Retenez deux chiffres: une non-conformité NDPR peut coûter jusqu'à 2 % du chiffre d'affaires annuel, et un audit PCI de niveau élevé se chiffre entre 500 000 et 2 000 000 FCFA. Éviter le stockage, c'est éviter les deux.
Ce qu'il faut mettre en place concrètement
HTTPS partout, redirection ou iframe pour le paiement, tokenisation pour les paiements récurrents, journalisation des accès pendant 12 mois, et une politique de confidentialité conforme. Pour la majorité des boutiques, le SAQ-A suffit: un questionnaire d'auto-évaluation court, sans audit onéreux.
Mini cas pratique
Modou lance une boutique d'électronique à Dakar. Tenté par une intégration API directe pour "tout contrôler", il découvre que cela le place en SAQ-D: audit annuel, scans trimestriels, coût estimé 1 200 000 FCFA/an. En basculant sur une page de paiement hébergée (redirection) plus Wave et Orange Money, il tombe en SAQ-A.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Son nouveau coût de conformité: le questionnaire SAQ-A (interne) plus un certificat SSL, soit environ 80 000 FCFA/an. Économie: ~1 120 000 FCFA/an, et surtout aucune donnée carte dans sa base, donc aucun risque de fuite à notifier à la CDP.
FAQ
Dois-je être certifié PCI DSS pour vendre en ligne au Sénégal ?
Vous devez être conforme, pas forcément audité. En redirection, un SAQ-A auto-déclaré suffit dans la grande majorité des cas, sans audit externe coûteux.
La tokenisation réduit-elle vraiment mes obligations ?
Oui: elle sort le vrai numéro de carte de votre système et réduit le périmètre PCI d'environ 80 %. Vos paiements récurrents fonctionnent avec un jeton, pas la carte.
Combien coûte un audit PCI complet ?
Entre 500 000 et 2 000 000 FCFA selon la taille et l'architecture. C'est précisément ce qu'une redirection bien conçue permet d'éviter.
La NDPR nigériane me concerne-t-elle si je vends au Nigeria ?
Oui, dès que vous traitez des données de résidents nigérians. Les sanctions peuvent atteindre 2 % du chiffre d'affaires annuel, d'où l'intérêt de minimiser les données collectées.
Combien de temps conserver les journaux d'accès ?
Comptez au moins 12 mois de logs. C'est la référence courante pour les contrôles et les investigations post-incident.
Discutons de votre projet. Nous concevons votre checkout en redirection tokenisée pour rester en SAQ-A et conforme à la Loi 2008-12. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
