La conformité PCI des centres d'appels est l'un des domaines les plus complexes de PCI DSS, parce que le problème naît dans un canal qui n'a pas été conçu pour la sécurité des données de carte : le téléphone. Chaque fois qu'un agent entend le numéro de carte d'un client, cet agent, son poste de travail, le système d'enregistrement des appels et toute l'infrastructure téléphonique entrent dans le périmètre CDE. Il existe des solutions techniques précises pour éliminer ce problème sans affecter l'expérience client.
Le problème PCI dans les centres d'appels : l'agent qui entend le PAN
Dans les paiements MOTO (Mail Order / Telephone Order), le client communique verbalement son numéro de carte à l'agent, qui le saisit dans le système de paiement. Ce schéma simple crée un problème de conformité massif : l'agent a accès direct au PAN, le système d'enregistrement des appels le capture en clair, et tout système connecté au poste de l'agent tombe dans le CDE. Le périmètre à certifier devient l'ensemble du centre d'appels.
Les exigences PCI DSS pour un centre d'appels traitant des PAN incluent des contrôles physiques sur les postes de travail (pas de téléphones personnels, pas de stylo et papier), des politiques d'accès granulaires, une surveillance continue des sessions et des règles précises sur les enregistrements audio. L'interdiction d'enregistrer les appels pendant la phase où le PAN est communiqué est une exigence techniquement difficile à respecter de façon fiable sans solutions dédiées.
DTMF et IVR : les deux solutions techniques pour les paiements téléphoniques
La solution la plus efficace pour retirer le PAN de l'interaction avec l'agent est le DTMF (Dual-Tone Multi-Frequency). Avec cette technologie, au moment du paiement, le client saisit son numéro de carte via le clavier de son téléphone plutôt que de le dicter verbalement. Les tonalités DTMF sont capturées directement par le système téléphonique et envoyées au vault de tokenisation, sans jamais passer par le son entendu par l'agent. Le centre d'appels sort du périmètre PCI.
La deuxième solution est l'IVR (Interactive Voice Response) : un système automatisé qui gère l'intégralité de la phase de collecte du paiement sans intervention humaine. Le client est temporairement transféré au système IVR, saisit les données de carte, puis est reconnecté à l'agent pour finaliser l'assistance. Les deux solutions peuvent être intégrées avec PCI Proxy EU via des APIs standard compatibles avec les principaux systèmes de téléphonie et de Contact Center as a Service.
Comment PCI Proxy EU sort le centre d'appels du périmètre PCI
L'intégration de PCI Proxy EU dans le flux MOTO fonctionne de la façon suivante : lorsque l'agent initie une transaction, le système génère une session de paiement sécurisée. Le client saisit son numéro de carte par DTMF ou via IVR ; les tonalités sont interceptées et envoyées directement au vault PCI Proxy EU, qui retourne un token. L'agent voit dans son interface uniquement le token : il n'a jamais accès au PAN réel.
Le résultat pratique est que le centre d'appels, les postes des agents, les systèmes d'enregistrement des appels et l'infrastructure téléphonique quittent le périmètre PCI DSS. Seul le vault PCI Proxy EU reste dans le scope — et il est certifié PCI DSS Level 1. Pour l'entreprise, cela signifie moins de documentation, moins de contrôles, des coûts de conformité réduits, avec la même capacité opérationnelle d'accepter des paiements téléphoniques.
Gestion des enregistrements d'appels dans un environnement DTMF
L'un des avantages les moins discutés du DTMF est son impact sur les enregistrements d'appels. Avec un système DTMF correctement configuré, les tonalités correspondant aux chiffres de la carte sont supprimées du flux audio avant qu'il n'atteigne le système d'enregistrement. Votre enregistrement contient la conversation complète — y compris le moment où le client indique qu'il va saisir sa carte — mais pas les tonalités décodables en PAN. L'enregistrement est complet et conforme.
Sans DTMF, si votre système enregistre les appels pendant que le client dicte son numéro de carte, vous avez une violation PCI DSS : vous stockez des données de piste sensibles (équivalent du numéro de carte sous forme audio) dans votre système d'enregistrement. La mise en conformité rétrospective d'un centre d'appels avec enregistrements non conformes est un exercice particulièrement coûteux et risqué.
Questions fréquentes
L'enregistrement des appels est-il toujours interdit dans le périmètre PCI ?
Il n'est pas totalement interdit, mais PCI DSS exige que les données d'authentification sensibles (CVV et données de piste) ne soient jamais enregistrées, même sous forme audio. Si l'enregistrement capture le moment où le client communique son numéro de carte, cet enregistrement n'est pas conforme. Avec le DTMF, les tonalités sont retirées du flux audio avant qu'il n'atteigne le système d'enregistrement, permettant un enregistrement complet et conforme.
Le DTMF fonctionne-t-il avec les numéros verts et les systèmes VoIP ?
Oui. Le DTMF est un protocole téléphonique standard compatible avec toute infrastructure téléphonique, y compris les numéros verts et les systèmes VoIP. L'implémentation nécessite que l'opérateur téléphonique supporte le décodage des tonalités DTMF et les transmette au système PCI Proxy EU. La plupart des solutions modernes de Contact Center as a Service (Genesys, Twilio, Amazon Connect) supportent cette fonctionnalité nativement.
Combien de temps prend l'intégration d'une solution DTMF ?
Les délais varient selon l'infrastructure téléphonique existante. Dans un environnement Contact Center cloud (Genesys, Twilio, Amazon Connect), l'intégration avec PCI Proxy EU prend typiquement 2 à 4 semaines du développement au go-live. Pour les systèmes de téléphonie on-premise plus anciens, les délais peuvent s'étendre à 2-3 mois en raison de la complexité d'intégration.
Vous souhaitez éliminer le risque PCI de vos paiements téléphoniques en centre d'appels ? Découvrez PCI Proxy EU.