Aller au contenu principal

Paiements

Carte par téléphone : ne pas garder le cryptogramme après autorisation

Pour qui : Réception qui veut garantir un séjour avec une carte reçue hors moteur

Sources primaires ouvertes le 6 novembre 2026 ; aucun essai produit ou devis obtenu.

Notre avis

Privilégiez le parcours sécurisé proposé par le prestataire. Une garantie de séjour ne justifie pas de conserver le cryptogramme après autorisation dans une note, un email ou un fichier.

Dans l’ordre

  1. Faire utiliser le parcours sécurisé
  2. Limiter la manipulation des données
  3. Vérifier la conservation et les accès

Pourquoi

  • Une note libre peut conserver des données sensibles hors du circuit prévu
  • Le chiffrement ne lève pas l’interdiction PCI de conserver le CVV après autorisation

Ce qui change le choix

Une saisie téléphonique peut relever d’un parcours autorisé par le prestataire ; son contrat et son dispositif restent à vérifier.

Une règle précise, sans promesse de conformité globale

La FAQ 1319 du PCI Security Standards Council précise que les codes de vérification de carte sont des données d’authentification sensibles et que PCI DSS interdit leur conservation après autorisation, même chiffrés. La FAQ ne dit pas qu’un cryptogramme est nécessaire à chaque transaction ni qu’un PMS rend automatiquement tout l’hôtel conforme.

Pour une réception, la décision pratique consiste à éviter que la carte arrive dans un champ libre ou un échange ordinaire. Demandez un lien de collecte ou le parcours téléphonique prévu par le prestataire, avec un compte nominatif adapté. Une fonction qui masque une note à l’écran ne démontre pas qu’elle cesse d’être conservée.

Préparer la situation que l’équipe rencontre vraiment

Notre protocole proposé part d’un client qui souhaite garantir son séjour au téléphone. La réception doit pouvoir lui indiquer le moyen sécurisé, retrouver la garantie sans recopier les données et expliquer quoi faire si le parcours échoue. Ne créez pas de véritable carte de test dans un document partagé.

Si des données ont déjà été reçues dans un canal inadéquat, demandez au prestataire la procédure de traitement et de suppression appropriée, avec les responsables de l’hôtel. Cette page ne remplace pas une analyse de l’incident. L’objectif d’achat est un circuit que l’équipe peut utiliser sans conserver un secret dans des notes de réservation.

Limites

Avis documentaire pour un hôtel français. Le protocole proposé n’a pas été exécuté dans un logiciel. Les aides internationales ne prouvent pas les conditions du contrat de l’hôtel.

Prochaine action

Faites montrer le parcours de garantie et les champs que la réception voit, sans employer de données de carte réelles.

Preuves et sources

Ce qui relève d’un fait lu, d’une déclaration, de notre calcul, de notre méthode ou de notre avis. Notre méthode

  • Fait lu. La FAQ 1319 du PCI SSC cite l’interdiction PCI DSS de conserver le code de vérification après autorisation, même chiffré.

    Relevé du 6 novembre 2026. Édition ou périmètre : PCI DSS, FAQ juin 2025 ; ne vaut pas certification de l’hôtel.