2026年8月28日
简短回答：DocuSign 可以成为加拿大 PCI DSS 合规工作流的一部分，但 DocuSign 并不是支付处理商，它的合规资质也不会自动转移到你的企业身上。当你使用 DocuSign Payments 时，银行卡信息由集成的、通过 PCI 认证的网关（如 Stripe、Authorize.net、Braintree、Cybersource、Elavon 或 Zuora）采集——而不是由签名平台本身采集。你自身作为商户的 PCI DSS 义务——由卡组织通过收单机构设定——完全由你承担。大多数加拿大企业在把电子签名与信用卡支付处理搭配使用时，恰恰忽略了这一区别。
本指南讲解 PCI DSS 在加拿大如何适用、DocuSign 的责任到哪里为止而你的责任从哪里开始，以及如何把合规范围控制到最小。本文属于一般性信息，不构成法律或合规意见——如需作出有约束力的决策，请咨询你的收单机构、合格安全评估机构（QSA）或法律顾问。
PCI DSS 对加拿大信用卡支付处理意味着什么
PCI DSS（支付卡行业数据安全标准）是由 PCI 安全标准委员会（PCI SSC）维护的全球安全标准，该委员会由主要卡组织 Visa、Mastercard、American Express、Discover 和 JCB 共同创立。现行版本为 v4.0.1，此前标注为未来生效的要求已于 2025 年 3 月 31 日起强制执行。它适用于任何存储、处理或传输持卡人数据的组织——对加拿大而言，几乎所有接受信用卡的企业都在其列。
有两个加拿大特有的要点需要注意。其一，PCI DSS 并非联邦法律；它通过你的收单机构和卡组织以合同方式执行，与之并行的还有 PIPEDA——后者独立要求对持卡人数据等个人信息采取保护措施。不合规通常会给商户带来按月计算的罚款，最终甚至可能导致失去收卡资格。其二，PCI DSS 只覆盖其创始卡组织发行的卡。加拿大本土借记网络 Interac 遵循自身的安全规则，因此纯 Interac 借记或 e-Transfer 流程一般不像 Visa 或 Mastercard 信用卡交易那样落入 PCI DSS 范围。
DocuSign 在支付工作流中是否符合 PCI DSS
准确的回答需要细看层次。DocuSign 将其 Payments 功能宣传为符合 PCI 标准，并发布了 SOC 2 报告、ISO 27001 认证证书等覆盖平台安全的保证材料。然而，DocuSign 不是支付处理商：在其 Payments 架构中，签署人的银行卡信息是在所连接的网关中录入和处理的，承载该笔交易持卡人数据环境（CDE）责任的是网关，而不是 DocuSign。DocuSign 支持的网关包括 Stripe、Authorize.net、Braintree、Cybersource、Elavon 和 Zuora。
这种架构有助于缩小合规范围：如果银行卡数据从不经过你的系统或平台的存储，最重的 PCI 要求就落在网关一侧。但要说得精确：平台的鉴证报告只覆盖其自身系统，不覆盖你的企业、你的网站或你的客服中心操作。评估任何电子签名服务商时，实际要问的问题有三个：银行卡数据是否可能流经你的文档、支付字段是否由经过认证的第三方托管、以及服务商提供什么证据。
PCI DSS 责任划分：平台覆盖什么，什么仍由你承担
在记录合规范围时，可以参照下面的责任划分：
签署工作流中最常见的失败环节不是平台，而是有人把客户的卡号敲进文档字段、聊天消息或电子邮件。一旦这样做，你就在受保护环境之外存储了持卡人数据，你的合规状况随之改变。如果需要引用付款条款，写明金额和计费安排即可，让网关去采集支付凭证。关于记录不当的授权后续引发的争议，可参阅我们的指南：使用 DocuSign 授权信用卡扣款并处理商户争议。
加拿大的 PCI DSS 商户等级与验证
商户等级由卡组织（而非 PCI SSC）设定，并通过你的收单机构执行。下表反映常用的 Visa/Mastercard 门槛；请与收单机构确认，因为数据泄露可能导致你被重新划为一级商户，与交易量无关。
大多数加拿大中小企业属于四级商户。你需要填写的 SAQ 类型取决于银行卡数据的流动方式：当所有持卡人数据职能完全外包给经 PCI 验证的第三方、且从不触及你的系统时，适用 SAQ A——配置得当的"电子签名 + 网关"工作流就应达到这种状态。当你的网站影响交易安全时适用 SAQ A-EP；自行处理银行卡数据的商户则适用最全面的 SAQ D。保持集成完全外包，正是"轻量的 SAQ A"与"更重的评估"之间的分界线。
签署工作流如何保持在 PCI 范围之外
与支付挂钩的合规协议工作流依赖四项控制措施：
- 托管式支付采集。 银行卡字段由网关在签署体验内渲染和处理；文档和平台从不存储主账号。
- 其余环节全程加密。 已签署协议和审计追踪应使用强加密技术保护；参见我们关于 AES-256 与现代数据加密标准的入门介绍。
- 访问控制与身份验证。 限制能查看支付相关协议的人员，并要求多因素身份验证——我们关于 为签署人启用双因素身份验证的操作指南讲解了设置方法。
- 证据链。 完整、防篡改的审计追踪能让你还原谁在何时、通过哪条支付路径签署了什么——参见 DocuSign 完成证书与审计追踪的工作方式；当交易受到质疑时，收单机构和法院期待的是同等级别的证据。
支付相关协议的五步合规工作流
- 第 1 步——界定范围。 排查银行卡数据可能触及业务的每个位置：文档、电子邮件、截图、CRM 备注。除网关外全部清除。
- 第 2 步——确认等级和 SAQ。 向收单机构询问你的商户等级和所需验证，再选择与集成方式匹配的 SAQ。
- 第 3 步——收集供应商证据。 向电子签名服务商和支付网关收集现行鉴证报告；若要比较各供应商的保证水平，可了解 SOC 2 Type II 鉴证报告能就运营控制说明什么。
- 第 4 步——加固文档层。 锁定模板权限，培训员工绝不在工作流中输入卡号，并为管理员账户启用 MFA。
- 第 5 步——验证并持续维护。 完成 SAQ、执行要求的 ASV 扫描，并每年重新收集供应商鉴证报告；PCI DSS v4.0.1 把合规视为持续状态，而非一年一度的快照。
加拿大合规背景：PIPEDA、Interac 与数据驻留
在 PCI DSS 之外，还有三项相互重叠的义务需要纳入视野。PIPEDA（以及实质相似的省级法律）管辖已签署协议中的个人信息，并要求保护措施与信息的敏感程度相称。如前所述，Interac 流程遵循 Interac 自身的网络规则而非 PCI DSS，这正是"Visa + Interac 混合结账"只需在卡组织一侧做范围评估的原因。而如果数据存放位置对客户或采购方很重要，请评估已签署协议及其审计证据存储在哪里；关于如何审查平台安全防护与数据存放，可参阅我们的 DocuSign 防黑客安全清单（亚太可选方案）。
合规且成本可预期的签署伙伴：Nota Sign
PCI DSS 把义务压在商户身上，这一点没有商量余地——平台的价值在于在不增加成本和摩擦的前提下帮你补上这个缺口。Nota Sign 持有 SOC 2 Type II 鉴证报告并公开其安全控制措施，为商户开展供应商评估提供了具体材料。它是法大大（FaDaDa）的全球平台——这家中国电子签名服务商已连续多年被 IDC 评为第一——有效覆盖 100 多个国家和地区，并设有支持加拿大数据驻留审查的区域数据中心。定价为固定费率，不按席位收费，支付相关工作流增长时账单依然可预期。正在设计支付相关的签署工作流？与 Nota Sign 联系，在动手搭建之前先理清责任边界。
