Aller au contenu principal

Paiements

Prestataire PCI : délimiter ce qui reste à la charge de l’hôtel

Pour qui : Dirigeant qui choisit un service externe de collecte ou de traitement des cartes.

Sources primaires ouvertes le 6 novembre 2026 ; lecture documentaire, aucun logiciel testé ni devis obtenu.

Notre avis

Je choisirais le service dont la preuve PCI couvre le circuit acheté et dont les responsabilités sont réparties par écrit. L’externalisation peut réduire le travail technique de l’hôtel, mais elle ne suffit pas à conclure que tout son traitement des cartes est conforme. Faites valider le périmètre avec votre banque ou l’organisme d’encaissement par carte (l’acquéreur) avant cette conclusion.

Dans l’ordre

  1. Identifier le service exact qui traite les cartes
  2. Obtenir sa preuve et répartir les tâches
  3. Confirmer la validation et le suivi attendus

Pourquoi

  • La preuve doit correspondre au service réellement utilisé
  • Le commerçant conserve des responsabilités même lorsque le traitement est externalisé

Ce qui change le choix

Si le service examiné ne traite aucune donnée carte, commencez par identifier le circuit de paiement réel. Une attestation d’un fournisseur sans lien avec ce circuit apporte peu à cette décision.

La bonne preuve concerne votre circuit

La FAQ 1092 du PCI Security Standards Council, datée de juin 2025, explique que l’externalisation ne décharge pas le commerçant de toutes ses responsabilités. Elle demande notamment de vérifier le périmètre du service, de formaliser les engagements et de suivre la conformité du prestataire au moins annuellement.

Faites nommer l’entité, le service et le chemin des données depuis le client jusqu’au paiement. Si votre réception copie encore une carte dans une note ou reçoit un formulaire par email, ajoutez ce trajet à la discussion. Le logo du service hébergé ne décrit pas ce que fait votre équipe à côté.

Répartir les tâches avant de signer

La même FAQ renvoie la validation du commerçant à son acquéreur ou à la marque de carte et indique qu’un questionnaire peut rester nécessaire. Je n’attribuerais donc pas à une mention commerciale le pouvoir de décider seule de votre dossier.

Demandez une répartition compréhensible : ce que le prestataire sécurise, ce que l’hôtel doit empêcher et qui vérifie les changements. Faites aussi préciser le suivi lors d’un changement de module. Cette exigence porte sur le périmètre carte ; elle ne constitue ni une certification fiscale de caisse ni une nouvelle règle de droit français.

Limites

Aucune conformité de fournisseur ou de l’hôtel n’a été certifiée par cette lecture. PCI est un standard du secteur carte ; le mode de validation dépend du circuit et des demandes de l’acquéreur.

Prochaine action

Envoyez à votre acquéreur le circuit et la répartition proposés, puis demandez quelle preuve du service et quelle validation de l’hôtel il attend.

Preuves et sources

Ce qui relève d’un fait lu, d’une déclaration, de notre calcul, de notre méthode ou de notre avis. Notre méthode

  • Fait lu. La FAQ PCI SSC 1092 de juin 2025 maintient des responsabilités du commerçant après externalisation : service couvert, engagements écrits, suivi au moins annuel et validation à préciser avec l’acquéreur ou la marque de carte.

    Relevé du 6 novembre 2026. Édition ou périmètre : PCI SSC FAQ 1092 ; externalisation.