Moneris Payment Gateway

Ce qu'est Moneris

Moneris est une grande passerelle et un processeur de paiement canadiens utilises par les marchands pour accepter les paiements par carte en ligne et en magasin. Elle propose la tokenisation hebergee, qui conserve les details de paiement sur les systemes de Moneris pendant que le client reste sur le site du marchand. En traitant elle meme les donnees de carte sensibles, Moneris aide les marchands a reduire leur propre exposition aux informations de titulaires de cartes. Elle opere selon les exigences strictes de la norme de securite des donnees de l'industrie des cartes de paiement.

Donnees et cookies collectes

Lors du paiement, Moneris traite des donnees de titulaire de carte telles que le numero de carte, la date d'expiration et le code de securite, ainsi que les montants et identifiants de transaction. Ses pages et scripts de paiement hebergés peuvent deposer des cookies et utiliser des pixels, y compris un cookie reliant un navigateur a des numeros de carte tokenises, et dans certains deploiements le cookie Offlinx. Ces informations sont des donnees personnelles au sens du RGPD et incluent des details financiers particulierement sensibles. Le numero de carte lui meme est aussi une donnee de titulaire reglementee par la norme PCI DSS.

Implications RGPD et ePrivacy

Le traitement des donnees de paiement pour executer une commande repose generalement sur l'execution d'un contrat au sens du RGPD, le consentement n'est donc pas requis pour le paiement lui meme. Cependant, tout cookie non strictement necessaire, comme un cookie marketing ou d'analyse depose au paiement, requiert un consentement prealable au titre de l'article 5(3) de la directive ePrivacy. Le marchand et Moneris doivent clarifier leurs roles respectifs de responsable et de sous traitant et conclure un accord approprie. La transparence sur le traitement financier et les parties impliquees est essentielle.

Exigences de consentement

Le traitement du paiement n'a pas besoin de consentement car il est necessaire a l'execution du contrat avec le client. Les cookies de paiement strictement necessaires qui font simplement fonctionner le paiement sont egalement exemptes de la regle du consentement. Tout cookie supplementaire utilise a des fins de marketing, de profilage de fraude au dela du necessaire ou d'analyse doit etre bloque derriere une banniere de consentement. Lorsque le cookie Offlinx ou des fonctions publicitaires similaires sont presents, ils doivent rester inactifs jusqu'a l'acceptation du visiteur.

Transferts internationaux de donnees

Moneris traite des donnees au Canada, qui beneficie d'une decision d'adequation partielle de l'UE couvrant l'activite commerciale au titre de la PIPEDA, les transferts de l'UE vers le Canada ne necessitent donc aucune garantie supplementaire. Cette nuance importante distingue Moneris des prestataires bases aux Etats Unis. Toutefois, Moneris indique pouvoir transferer des donnees personnelles vers les Etats Unis et les Philippines, et ces transferts ulterieurs necessitent des clauses contractuelles types, une analyse d'impact du transfert et des mesures supplementaires. Le marchand doit confirmer ou circulent reellement les donnees et documenter les garanties en consequence.

Etapes pratiques de conformite

Confirmez les roles de responsable et de sous traitant avec Moneris et concluez un accord de traitement couvrant les donnees de cartes et les transferts ulterieurs. Appuyez vous sur la tokenisation hebergee pour garder les donnees de carte hors de vos propres systemes et rester dans le perimetre PCI DSS. Bloquez tout cookie de paiement non essentiel derriere une banniere de consentement et mentionnez clairement Moneris dans les politiques de confidentialite et de cookies. Cartographiez les flux vers le Canada, les Etats Unis et les Philippines, et documentez la decision d'adequation et les clauses utilisees.