DSOP - Canada Service Providers FR 07/10 1/5

Transcription

1 Lignes directrices opérationnelles sur la sécurité des données d American Express à l intention des fournisseurs de services canadiens* Chef de file en protection des consommateurs, American Express s engage depuis longtemps à protéger et à garder confidentiels les renseignements sur les titulaires de la Carte American Express. L atteinte à l intégrité des données a un effet négatif sur les consommateurs, les marchands, fournisseurs de services et les émetteurs de cartes. Un seul incident peut gravement nuire à la réputation d une entreprise et l empêcher de bien mener ses activités. La prévention, qui passe par la mise en place de lignes directrices opérationnelles sur la sécurité, contribue à augmenter la confiance du consommateur, à accroître la rentabilité et à améliorer la réputation d une entreprise. Article 1 Normes de protection des renseignements sur les titulaires Le fournisseurs de services doit, assumer les responsabilités suivantes et s assurer que ses tiers visés les assument également : (i) stocker les renseignements sur les titulaires uniquement pour le traitement des opérations par Carte, conformément aux modalités et aux exigences de la convention, et (ii) se conformer à la plus récente version des normes de sécurité des données du secteur des cartes de paiement («normes SCP»), qui se trouvent au pcisecuritystandards.org/minisite/en/about.html, au plus tard à la date de prise d effet de cette version. Pour éviter toute confusion, les éléments de données qui constituent des renseignements sur les titulaires doivent être considérés selon le sens qui est donné aux termes «données de titulaire de carte» et «données d authentification sensibles» qui sont utilisés dans la plus récente version des normes SCP. Conformément aux présentes dispositions sur la sécurité des données, le fournisseurs de services doit protéger tous les reçus d opération et les bordereaux de crédit conservés aux termes de la convention; le fournisseurs de services doit utiliser ces reçus et ces bordereaux aux seules fins prévues à la convention et les protéger en conséquence. Le fournisseurs de services est responsable financièrement et autrement envers American Express de la conformité de ses tiers visés aux présentes dispositions sur la sécurité des données (autrement que par la démonstration de leur conformité aux présentes lignes directrices, à l article 4 ci-dessous). American Express est convaincue que vous partagez son souci pour la sécurité et vous demande de vous conformer, dans le cadre de vos responsabilités, aux dispositions sur la sécurité des données énoncées dans la convention que vous avez conclue avec American Express ( la «convention») et de respecter les présentes lignes directrices opérationnelles sur la sécurité des données, que nous pouvons modifier de temps à autre. Elles concernent l ensemble du matériel, des systèmes et des réseaux que vous utilisez pour traiter, stocker et transmettre les renseignements sur les titulaires de la Carte. «Renseignements sur les titulaires» : renseignements sur les titulaires de la Carte American Express et les opérations portées à la Carte, ce qui comprend le nom et l adresse du titulaire, le numéro du compte-carte et le numéro d identification de la Carte («NIC») «Tiers visé» : tout employé, agent, représentant, soustraitant, société de traitement, fournisseur de services ou fournisseur de matériel ou de systèmes point de vente ou de solutions de traitement des paiements du fournisseurs de services, et toute autre partie à laquelle le fournisseurs de services pourrait donner un accès aux renseignements sur les titulaires conformément à la convention. Article 2 Obligations en matière de gestion des données incidents touchant les données Le fournisseurs de services doit signaler tout incident touchant les données à American Express sans tarder ou au plus tard dans les vingt-quatre (24) heures qui suivent le moment où il découvre qu il y a eu incident. «Incident touchant les données» : tout incident qui touche au moins un numéro de compte-carte et qui consiste (i) en un accès non autorisé aux renseignements sur les titulaires qui sont stockés, traités ou transmis par le matériel, les systèmes et les réseaux du fournisseurs de services (ou par l un de leurs composants) ou en l utilisation non autorisée de ces renseignements; (ii) en une utilisation de tels renseignements sur les titulaires qui n est pas conforme aux modalités de la convention; et (ou) (iii) en une perte, vol ou une appropriation illicite qu il s agisse d un cas soupçonné ou confirmé, par tout moyen, de tout support, matériel, dossiers ou renseignements contenant de tels renseignements sur les titulaires. * Par «fournisseur de services», dans les présentes lignes directrices, on entend une société de traitement autorisée, un tiers offrant des services de traitement, un fournisseur de passerelles et tout autre fournisseur de matériel point de vente, de logiciel ou de système ou autre service ou solution de traitement des paiements. DSOP - Canada Service Providers FR 07/10 1/5

2 Pour signaler un incident touchant les données à American Express, veuillez communiquer avec le Programme d intervention de l entreprise en cas d incident d American Express au 1 (602) ou, par courriel, au EIRP@aexp.com. Le fournisseurs de services doit désigner une personne à joindre pour les incidents touchant les données. Le fournisseurs de services doit effectuer une enquête judiciaire exhaustive à chaque incident touchant les données. Si l incident touche comptes-cartes différents ou plus (ou à la demande d American Express), cette enquête doit être menée par un enquêteur judiciaire externe reconnu. Le fournisseurs de services doit rapidement fournir à American Express le numéro de tous les comptes-cartes liés à l incident concernant les données (de tels numéros étant appelés «numéros de Carte compromis»), ainsi que le rapport des résultats de l enquête judiciaire sur l incident touchant les données. Le fournisseurs de services doit collaborer avec American Express pour corriger tout problème découlant de l incident touchant les données, y compris consulter American Express au sujet des communications avec les titulaires touchés par l incident et fournir à American Express (et obtenir les renonciations nécessaires pour ce faire) les renseignements pertinents pour qu American Express puisse vérifier sa capacité à prévenir tout autre incident touchant les données conformément à la convention. Les rapports des résultats de l enquête judiciaire doivent comprendre les vérifications judiciaires, les rapports touchant la conformité et tout autre renseignement touchant à l incident touchant les données. Ces rapports doivent aussi déterminer la cause de l incident touchant les données, confirmer si le fournisseurs de services s était conformé ou non aux normes SCP au moment de l incident touchant les données et spécifier si le fournisseurs de services est en mesure de prévenir d autres incidents touchant les données dans l avenir en fournissant un plan qui corrige toutes les lacunes à l égard des normes SCP. À la demande d American Express, le fournisseurs de services doit fournir une preuve validée par un évaluateur de sécurité qualifié («ÉSQ») que les lacunes ont été corrigées. Nonobstant toute obligation de confidentialité contraire énoncée dans la convention, American Express a le droit de divulguer des renseignements sur tout incident touchant les données aux titulaires, aux émetteurs de cartes et aux autres utilisateurs du réseau d American Express, ainsi qu au grand public quand les lois applicables le prescrivent, ou encore à la suite d une ordonnance judiciaire, administrative ou réglementaire, d un décret, d une assignation à témoigner, d une demande ou de toute autre requête faite dans le but de réduire le risque de fraude ou de tout autre tort ou de manière à pouvoir exploiter convenablement le réseau d American Express. Article 3 Obligations en matière d indemnisation en cas d incident touchant les données Les obligations d indemnisation que le fournisseurs de services a envers American Express aux termes de la convention à l égard des incidents touchant les données seront déterminées, sans annuler les autres droits et recours d American Express, aux termes du présent article 3. American Express ne tentera pas d être indemnisée par un fournisseurs de services pour un incident touchant les données a) qui vise moins de numéros de Carte compromis ou b) si i) le fournisseurs de services informe American Express de l incident touchant les données conformément à l article 2 des présentes lignes directrices, ii) le fournisseurs de services respectait les normes SCP au moment de l incident touchant les données (tel que le démontre l enquête judiciaire effectuée en raison de l incident touchant les données), et iii) l incident touchant les données n est pas survenu en raison d un comportement fautif de la part du fournisseurs de services ou de l un de ses tiers visés. Les fournisseurs de services sont tenus responsables de tous les autres incidents touchant les données, tel qu il est expliqué ciaprès. Si l incident touchant les données ne vise que les numéros de Carte, le fournisseurs de services doit dédommager rapidement American Express en payant des frais de gestion de l incident touchant les données, qui ne dépasseront pas $CAN par incident. Si l incident touchant les données vise des numéros de Carte et des «données d authentification sensibles», selon le sens qui est donné à ce terme dans les normes SCP en vigueur au moment de l incident, le fournisseurs de services doit dédommager rapidement American Express pour ce qui suit : b fraude supplémentaire (définie ci-dessous) enregistrée pendant la période (la «fenêtre de l incident touchant les données») qui commence 365 jours avant la date, déterminée par American Express, à laquelle les émetteurs sont informés de l incident touchant les données (la «date de signalement») et qui se termine 33 jours après la date de signalement; et b coût de contrôle et de remplacement des Cartes : i) 1,00 $CAN par numéro de Carte, pour 90 % de tous les numéros de Carte compromis et ii) 10,00 $CAN par numéro de Carte, pour 10 % de tous les numéros de Carte compromis, respectivement; et b frais de gestion de l incident, qui ne doivent pas dépasser $CAN par incident touchant les données. American Express calcule la «fraude supplémentaire» en dollars canadiens, selon la méthode suivante : Fraude supplémentaire = (X Y) multiplié par Z, où : DSOP - Canada Service Providers FR 07/10 2/5

3 X = (i) les pertes totales des émetteurs de cartes dues à la fraude, à l exclusion des débits compensatoires pour cause de fraude et des pertes dues aux demandes de carte frauduleuses associés aux numéros de Carte compromis, au cours de la fenêtre de l incident touchant les données, divisées par ii) le volume des opérations total des émetteurs de cartes pour les numéros de Carte compromis au cours de la fenêtre de Y = (i) les pertes totales des émetteurs de cartes dues à la fraude, à l exclusion des débits compensatoires pour cause de fraude et des pertes dues aux demandes de carte frauduleuses associés aux numéros de Carte non compromis, au cours de la fenêtre de l incident touchant les données, divisées par ii) le volume des opérations total des émetteurs de cartes pour les numéros de Carte non compromis au cours de la fenêtre de Z = le volume des opérations total des émetteurs de cartes pour les numéros de Carte compromis au cours de la fenêtre de Pour le calcul de la fraude supplémentaire et de son coût de contrôle et de remplacement des Cartes, American Express ne tiendra pas compte de tout numéro de compte-carte visé par un autre incident touchant les données où le numéro de Carte et des données d authentification sensibles, au sens défini dans la version des normes SCP en vigueur au moment de l incident, étaient en jeu, dans la mesure où elle est informée de l autre incident touchant les données dans les douze (12) mois qui précèdent la date de signalement. Tous les calculs effectués par American Express conformément à cette méthode sont finaux. Article 4 IMPORTANT! Validation périodique des systèmes du fournisseurs de services Chaque trimestre et chaque année («période de déclaration»), le fournisseurs de services doit respecter la marche à suivre cidessous pour faire valider, selon les normes SCP, l état de son matériel, de ses systèmes et (ou) de ses réseaux (et de ses composants) qui servent à stocker, à traiter et à transmettre des renseignements sur les titulaires. Étape 1 Inscrivez-vous au programme de conformité d American Express aux termes des présentes lignes directrices Le fournisseurs de services doit s inscrire au programme de conformité d American Express aux termes des présentes lignes directrices en fournissant le nom complet, l adresse électronique, le numéro de téléphone et l adresse postale d une personne qui servira, pour le fournisseurs de services, de personne-ressource pour toute question touchant à la sécurité générale des données. Le fournisseurs de services doit transmettre ces renseignements à Trustwave ( qui gère le programme au nom d American Express, de l une des façons décrites à l étape 3 cidessous. Le fournisseurs de services doit informer Trustwave de tout changement à ces renseignements et lui fournir les renseignements à jour, le cas échéant. Étape 2 Déterminez fournisseurs de services et les documents de validation à fournir Les fournisseurs de services doivent envoyer les suivants à American Express. Document de validation de la vérification annuelle de la sécurité sur les lieux La vérification annuelle de la sécurité sur les lieux est un examen détaillé mené chez le fournisseurs de services qui porte sur le matériel, les systèmes et les réseaux (et leurs composants) servant au stockage, au traitement ou à la transmission des renseignements sur les titulaires. Elle doit être faite par i) un ÉSQ ou ii) le fournisseurs de services, dans la mesure où la vérification est attestée par le chef de la direction, le chef des finances, le chef de la sécurité de l information ou le mandant du fournisseurs de services, et que les résultats sont présentés à American Express chaque année au moyen de l attestation de conformité applicable. Pour que le fournisseurs de services réponde entièrement à ses obligations en matière de validation, telles qu elles sont décrites dans les présentes lignes directrices, l attestation de conformité doit confirmer le respect de toutes les exigences des normes SCP et, sur demande, être accompagnée d une copie du rapport intégral sur la conformité. Pour obtenir une liste d ÉSQ, allez au pcisecuritystandards.org/pdfs/pci_qsa_list.pdf. L attestation de conformité se trouve en annexe des normes SCP. Document de validation de l exercice trimestriel de balayage du réseau L exercice trimestriel de balayage du réseau sert à vérifier à distance si le réseau informatique et les serveurs Web du fournisseurs de services reliés à Internet sont vulnérables ou s ils présentent des faiblesses. Le balayage doit être exécuté par un fournisseur de services de balayage autorisé («FSBA»). Chaque trimestre, le fournisseurs de services doit rédiger le sommaire des résultats du balayage et le présenter à American Express (avec la version intégrale des résultats du balayage, sur demande). Pour que le fournisseurs de services réponde à ses obligations en matière de validation, aux termes des présentes lignes directrices, le sommaire des résultats doit attester que les résultats sont conformes aux processus de balayage des normes SCP, qu aucun problème de sécurité majeur n a été décelé et que le balayage a lieu ou qu il est conforme. Pour obtenir une liste des FSBA, allez au pcisecuritystandards.org/minisite/en/pci-dss-supporting-docs. html. DSOP - Canada Service Providers FR 07/10 3/5

4 Fournisseurs de services qui ne respectent pas les normes SCP Pour être considéré conforme, le fournisseurs de services dont les systèmes ne sont pas conformes aux normes SCP doit remplir une attestation de conformité, y compris la section 4 «Plan d action en cas d état non conforme», et préciser une date de correction, qui ne doit pas dépasser la date de l attestation de conformité de plus de 12 mois. Le fournisseurs de services doit remettre l attestation de conformité (avec la section 4 dûment remplie) à American Express de l une des façons précisées à l étape 3 ci-après. Le fournisseurs de services doit faire un suivi périodique auprès d American Express pour lui faire part des progrès réalisés en vue de corriger les problèmes décrits à la section 4 de l attestation de conformité. American Express n imposera pas de frais de non-validation (qui sont décrits cidessous) au fournisseurs de services non conforme avant la date de correction déterminée, mais le fournisseurs de services demeure responsable envers American Express de toutes ses obligations en matière d indemnisation en cas d incident touchant les données et est assujetti à toutes les autres dispositions des présentes lignes directrices. L attestation de conformité se trouve en annexe des normes SCP. Étape 3 Faites parvenir les documents de validation à American Express Le fournisseurs de services envoyer l attestation de conformité du rapport pour la vérification annuelle de la sécurité sur les lieux et les sommaires des résultats de l exercice trimestriel de balayage du réseau, tels qu ils sont décrits ci-dessus. Le fournisseurs de services doit envoyer ses documents de validation à Trustwave de l une des façons suivantes : Portail Sécurisé : le fournisseurs de services peut verser ses documents sur le portail sécurisé que Trustwave a prévu à cet effet. Veuillez communiquer avec Trustwave au americanexpresscompliance@trustwave.com ou au pour connaître les directives d utilisation du portail. Télécopieur Sécurisé : le fournisseurs de services peut télécopier ses documents de validation au Il doit s assurer de les transmettre avec son nom, son adresse et son numéro de téléphone, le nom commercial de som entreprise et le nom de sa personne-ressource en matière de sécurité des données. Poste : le fournisseurs de services peut enregistrer une copie chiffrée de ses documents de validation sur un disque compact, l insérer dans une enveloppe portant la mention «Mandatory» et poster celle-ci à l adresse suivante : American Express - DSOP Compliance Program c/o Trustwave 70 West Madison, Suite 1050 Chicago, IL La clé pour déchiffrer les documents de validation, le nom, l adresse et le numéro de téléphone du fournisseurs de services, le nom commercial de son entreprise et le nom de la personneressource du fournisseurs de services en matière de sécurité des données doivent être envoyés par courriel à l adresse AmericanExpressCompliance@trustwave.com. Si le fournisseurs de services a des questions générales sur le programme ou le processus ci-dessus, il peut communiquer avec Trustwave au 1 (866) ou au AmericanExpressCompliance@trustwave.com. La validation et les mesures à prendre en matière de conformité sont à la charge du fournisseurs de services. En envoyant ses documents de validation, le fournisseurs de services déclare et garantit à American Express qu il est autorisé à divulguer les renseignements qu ils contiennent et qu il transmet les documents de validation à American Express sans violer les droits d une autre partie. Frais de non-validation et résiliation de la convention American Express a le droit d imposer des frais de non-validation au fournisseurs de services et de résilier la convention si le fournisseurs de services ne répond pas aux présentes exigences ou si le fournisseurs de services ne transmet pas à American Express les documents de validation exigés dans les délais prescrits. American Express informera le fournisseurs de services des échéances à respecter pour chaque période de déclaration. b Des frais de non-validation de $CAN seront imposés si les documents de validation ne sont pas reçus au plus tard à la première échéance. b D autres frais de non-validation, de $CAN, seront imposés si les documents de validation ne sont pas reçus dans les 30 jours qui suivent la première échéance. b D autres frais de non-validation, de $CAN, seront imposés si les documents de validation ne sont pas reçus dans les 60 jours qui suivent la première échéance. Si American Express ne reçoit pas du fournisseurs de services les documents de validation obligatoires dans les 60 jours qui suivent la première échéance, elle a le droit de résilier la convention, conformément aux modalités qui y sont énoncées, et d imposer au fournisseurs de services les frais de non-validation précités. American Express prendra des mesures raisonnables pour garder (et faire en sorte que ses agents et sous-traitants, y compris Trustwave, gardent) confidentiels les rapports sur la conformité du fournisseurs de services, ce qui comprend entre autres l attestation de conformité fournie dans le cadre d une vérification annuelle de la sécurité sur les lieux et les sommaires des résultats donnés dans le cadre d un balayage du réseau trimestriel (les «documents de validation»), et ne pas divulguer les documents de validation à un tiers (autres qu aux agents, représentants, fournisseurs de services et sous- DSOP - Canada Service Providers FR 07/10 4/5

5 traitants d American Express et aux sociétés membres du groupe de celle-ci) pendant les trois années qui suivent leur réception, à moins que cette obligation de confidentialité ne s applique pas aux documents de validation pour les raisons suivantes : i) les documents de validation étaient déjà connus d American Express avant la divulgation; ii) les documents sont ou sont devenus accessibles au public sans qu American Express ne viole les dispositions du présent alinéa; iii) un tiers a transmis les documents de validation de façon légitime à American Express, sans obligation de les garder confidentiels; iv) les documents de validation sont produits de façon indépendante par American Express; v) les documents doivent être divulgués en vertu d une ordonnance d un tribunal, d un organisme administratif ou d une autorité gouvernementale, d une loi, d une règle ou d un règlement, d une citation à comparaître, d une demande de communication préalable, d une assignation, de toute autre procédure judiciaire ou administrative, ou encore d une demande ou d une enquête formelle ou informelle d une agence ou d un organisme gouvernemental (y compris un organisme de réglementation, un inspecteur, un auditeur ou un organisme d application de la loi). Article 5 Limites de responsabilité AMERICAN EXPRESS SE DÉGAGE PAR LES PRÉSENTES DE TOUTES DÉCLARATIONS, GARANTIES ET RESPONSABILITÉS RELATIVES AUX PRÉSENTES LIGNES DIRECTRICES OPÉRATIONNELLES SUR LA SÉCURITÉ DES DONNÉES, AUX NORMES SCP ET À LA DÉSIGNATION ET AU RENDEMENT DES ÉSQ OU DES FSBA (OU DES DEUX), QUE CELLES-CI SOIENT EXPLICITES, IMPLICITES, STATUTAIRES OU AUTRES, Y COMPRIS TOUTE GARANTIE RELATIVE À LA QUALITÉ MARCHANDE OU À L ADAPTATION À UNE FIN PARTICULIÈRE. Les émetteurs de Cartes American Express ne sont pas des tiers bénéficiaires aux termes des présentes lignes directrices. Sites Web utiles Sécurité des données d American Express : (site en anglais seulement) PCI Security Standards Council, LLC : b Normes de sécurité des données du secteur des cartes de paiement b Questionnaire d autoévaluation b Liste des évaluateurs de sécurité qualifiés (ÉSQ) b Liste des fournisseurs de services de balayage autorisés (FSBA) DSOP - Canada Service Providers FR 07/10 5/5