Le verdict en trois phrases
La plupart des PME n'ont pas besoin de la conformité PCI DSS la plus lourde : un checkout hébergé (redirection vers l'opérateur ou le PSP) réduit votre périmètre d'environ 80 %. Vous passez alors du questionnaire SAQ-D (des centaines de contrôles) au SAQ-A (une poignée), sans jamais stocker de données de carte. La clé est de ne jamais toucher aux données sensibles : tokenisation et redirection font le travail à votre place.
SAQ-A vs SAQ-D : le choix qui change tout
Votre niveau de questionnaire dépend de comment vous encaissez. Toucher aux données de carte vous fait basculer dans le périmètre lourd. Ordre de grandeur 2026.
| Critère | SAQ-A (hébergé) | SAQ-D (API directe) |
|---|---|---|
| Vous touchez la donnée carte | Non | Oui |
| Nombre de contrôles | ~22 | ~300+ |
| Réduction de périmètre | ~80 % | Aucune |
| Coût d'audit annuel | 1,5 M FCFA | 3 à 4 M FCFA |
| Effort mise en conformité | Faible | Élevé |
| Recommandé pour PME | Oui | Rarement |
*Estimation 2026 ; les coûts d'audit varient selon le QSA et le volume de transactions.*
Les 12 groupes d'exigences et la donnée locale
PCI DSS s'organise en 12 groupes d'exigences. En mobile money via checkout hébergé, la plupart sont couverts par votre PSP, mais quelques-uns restent votre responsabilité, notamment la résidence des données au regard de la loi sénégalaise 2008-12 sur les données personnelles.
| Groupe d'exigences | Qui le porte (hébergé) | Point d'attention |
|---|---|---|
| Pare-feu et réseau | PSP | Vérifier le contrat |
| Pas de mots de passe par défaut | Vous | Comptes admin |
| Protection des données stockées | PSP (vault) | Ne rien stocker chez vous |
| Chiffrement en transit | PSP + vous | HTTPS/TLS obligatoire |
| Antivirus / correctifs | Vous | Serveurs à jour |
| Contrôle d'accès | Vous | Rôles séparés |
| Journalisation et tests | Partagé | Piste d'audit |
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Khadija lance une boutique en ligne de cosmétiques à Dakar. Son développeur voulait intégrer l'API carte en direct, ce qui l'aurait placée en SAQ-D avec un audit annuel autour de 3,5 M FCFA et des centaines de contrôles. En choisissant un checkout hébergé avec tokenisation (le client saisit ses données chez le PSP, jamais sur son site), elle bascule en SAQ-A : audit ramené à 1,5 M FCFA, périmètre réduit de 80 %, et zéro donnée de carte stockée localement — conforme à la loi 2008-12 sans surcoût d'infrastructure.
FAQ
Une PME en mobile money est-elle concernée par PCI DSS ? Oui dès qu'elle accepte des cartes en complément des wallets. Mais avec un checkout hébergé, le périmètre chute d'environ 80 % et le questionnaire passe au SAQ-A, largement gérable.
Quelle différence entre SAQ-A et SAQ-D ? Le SAQ-A (~22 contrôles) s'applique quand vous ne touchez jamais la donnée carte. Le SAQ-D (300+ contrôles) s'applique dès que vos serveurs traitent ou stockent ces données. Restez en SAQ-A.
Qu'est-ce que la tokenisation ? Le remplacement de la donnée sensible par un jeton inexploitable, stocké dans un vault chez le PSP. Vous manipulez le jeton, jamais le numéro réel, ce qui sort la donnée de votre périmètre.
Combien coûte un audit PCI DSS ? Ordre de grandeur 2026 : 1,5 M FCFA en SAQ-A, 3 à 4 M FCFA en SAQ-D. La différence justifie à elle seule le choix du checkout hébergé.
La loi 2008-12 change-t-elle quelque chose ? Oui, elle encadre la résidence et le traitement des données personnelles au Sénégal. En ne stockant aucune donnée sensible localement (tout est chez le PSP), vous simplifiez fortement votre conformité locale.
Discutons de votre projet. On peut concevoir votre checkout hébergé avec tokenisation pour rester en SAQ-A et conforme à la loi 2008-12. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
