En Europe, une place de marché ne se contente pas de mettre en relation acheteurs et vendeurs : elle encaisse pour le compte de tiers. Une opération qui la fait basculer, souvent sans qu’elle en ait conscience, dans le champ réglementaire des services de paiement. Sécurité des données bancaires, cantonnement des fonds, vérification d’identité, authentification forte : la liste des obligations s’allonge, et la charge de conformité devient un critère de sélection technologique à part entière.
Le paiement, angle mort de la plupart des places de marché
Nous observons un décalage persistant entre l’ambition commerciale des opérateurs de plateformes et leur maturité réglementaire. Le catalogue, le référencement des vendeurs, l’expérience d’achat mobilisent l’essentiel des ressources ; le flux financier, lui, est traité comme une brique technique que l’on branchera « plus tard ». Or c’est précisément là que se concentre le risque. Dès qu’une plateforme collecte les fonds d’un acheteur avant de les reverser à un vendeur tiers, elle manipule des données de cartes bancaires et détient temporairement de l’argent qui ne lui appartient pas. Le premier volet relève de la norme PCI DSS, référentiel de sécurité imposé contractuellement par les réseaux de cartes ; le second relève du droit européen des services de paiement, avec des conséquences autrement plus lourdes en cas de manquement.
L’erreur classique consiste à croire que l’usage d’une passerelle de paiement classique suffit. Une passerelle traite une transaction entre un acheteur et un commerçant. Une place de marché, elle, orchestre des flux fractionnés vers des dizaines, parfois des milliers de bénéficiaires, avec des délais de libération, des commissions prélevées à la source, des remboursements partiels et des litiges. Ce n’est pas le même métier.
Trois modèles de plateforme, une seule contrainte structurante
Le raisonnement vaut quel que soit le positionnement de la place de marché, même si les points de friction diffèrent.
En B2B, les montants unitaires sont élevés, les délais de paiement négociés et les instruments variés — virement, prélèvement SEPA, paiement différé, financement du besoin en fonds de roulement. La plateforme doit gérer des encours importants sur des périodes longues, ce qui rend la question du cantonnement des fonds critique. S’y ajoutent des exigences de vérification renforcée sur les entités juridiques : bénéficiaires effectifs, statut d’immatriculation, cohérence des mandats.
En B2C, l’enjeu est le volume et la conversion. Chaque friction ajoutée au tunnel de paiement se paie en panier abandonné, ce qui rend l’articulation entre authentification forte du client et exemptions autorisées particulièrement stratégique. La plateforme doit aussi absorber des pics de trafic sans dégrader ni la disponibilité ni le niveau de contrôle.
En C2C, enfin, les vendeurs sont des particuliers. La plateforme se retrouve à devoir identifier des milliers de personnes physiques, détecter les comportements atypiques et prévenir l’usage de son infrastructure à des fins de blanchiment. C’est le modèle où la charge de vérification d’identité est la plus lourde rapportée au montant moyen de transaction.
Ce que le droit européen exige réellement
La directive sur les services de paiement (DSP2) a posé un principe clair : l’encaissement pour le compte d’un tiers constitue un service de paiement réglementé. Une plateforme qui s’y livre doit donc soit obtenir elle-même un agrément d’établissement de paiement auprès de son autorité nationale — l’ACPR en France —, soit s’appuyer sur un prestataire de services de paiement (PSP) déjà agréé.
Cet agrément n’est pas un formalisme. Il implique des fonds propres réglementaires, un dispositif de contrôle interne, un cantonnement des fonds de la clientèle sur des comptes séparés de la trésorerie de l’entreprise, un dispositif de lutte contre le blanchiment et le financement du terrorisme, une gouvernance et un reporting prudentiel. L’exemption dite du « commissionnaire », parfois invoquée, s’interprète de façon restrictive et ne couvre pas la majorité des configurations de marketplace.
À cela s’ajoutent l’authentification forte du client, le règlement général sur la protection des données pour l’ensemble des informations personnelles collectées, et un cadre de résilience opérationnelle numérique de plus en plus exigeant pour les acteurs financiers et leurs prestataires critiques.
PCI DSS : un socle de sécurité que peu de plateformes peuvent porter seules
La norme PCI DSS, élaborée par le conseil de sécurité créé par les principaux réseaux de cartes, structure la protection des données des porteurs autour de douze exigences : segmentation réseau, chiffrement des données en transit et au repos, gestion des accès selon le principe du moindre privilège, journalisation, tests d’intrusion, politique de sécurité documentée et formation des équipes.
Sa version 4.0.1 a considérablement relevé le niveau. Les exigences initialement présentées comme des bonnes pratiques sont devenues opposables au 31 mars 2025, avec deux points particulièrement structurants pour les sites marchands : l’authentification multifacteur étendue à l’ensemble des accès à l’environnement de données de cartes, et le contrôle d’intégrité des scripts exécutés sur les pages de paiement, destiné à contrer les attaques de type skimming côté client. Concrètement, cela suppose un inventaire justifié de chaque script tiers, un mécanisme de détection des modifications non autorisées et une surveillance au moins hebdomadaire.
Pour une plateforme en croissance, internaliser cette conformité revient à financer une infrastructure de sécurité, des audits annuels, des scans de vulnérabilité trimestriels et une équipe dédiée — un investissement rarement soutenable, et surtout étranger à la valeur ajoutée réelle de l’entreprise.
Le PSP, voie de conformité réaliste pour les opérateurs de plateformes
D’où le recours à un prestataire de services de paiement spécialisé, qui absorbe à la fois la charge d’agrément et la charge de sécurité. En externalisant l’encaissement, le cantonnement, la vérification d’identité et le traitement des données de cartes, l’opérateur réduit drastiquement son périmètre d’exposition et se recentre sur son produit.
C’est le positionnement de Lemonway, fintech française dédiée aux paiements complexes des plateformes digitales. Établissement de paiement agréé par l’ACPR depuis fin 2012 sous le numéro 16568, la société opère dans vingt-neuf pays grâce au passeport financier européen et adresse deux familles de clients : les places de marché et les plateformes de financement participatif. Son modèle repose sur le cantonnement des fonds des utilisateurs et sur un hébergement des données en France, dans des centres conformes au standard PCI DSS. Autrement dit, la plateforme cliente conserve la maîtrise de son parcours d’achat sans jamais manipuler directement les données bancaires sensibles.
Le marché compte d’autres acteurs, aux modèles et aux géographies distincts. La question à trancher n’est donc pas seulement technologique : elle porte sur la nature de l’agrément détenu, la localisation des données, la profondeur de la couverture européenne et la capacité du prestataire à suivre la plateforme sur ses marchés d’expansion.
DSP3 et règlement sur les services de paiement : anticiper le prochain palier
Le cadre européen est en cours de refonte. Le paquet composé de la troisième directive sur les services de paiement et du règlement sur les services de paiement, qui a fait l’objet d’un accord politique entre le Parlement et le Conseil fin novembre 2025, doit être publié courant 2026 pour une application effective attendue autour de 2027-2028. Le règlement, directement applicable sans transposition nationale, vise précisément à supprimer les divergences d’interprétation qui ont fragilisé la mise en œuvre de la DSP2 d’un État membre à l’autre.
Pour les places de marché, plusieurs chantiers se dessinent : élargissement de la vérification de correspondance entre l’IBAN et l’identité du bénéficiaire, renforcement du dispositif anti-fraude avec des transferts de responsabilité, encadrement plus strict des exemptions à l’authentification forte, standardisation des interfaces d’accès aux données. Les plateformes déjà adossées à un PSP agréé absorberont ces évolutions par mise à jour contractuelle et technique. Les autres devront reprendre leur architecture de paiement dans l’urgence.
Les critères de sélection d’une solution de paiement pour marketplace
Nous retenons six points de contrôle pour évaluer un partenaire :
La nature de l’agrément — établissement de paiement ou de monnaie électronique, autorité de tutelle, ancienneté et périmètre du passeport européen.
Le cantonnement effectif des fonds, avec traçabilité par bénéficiaire et modalités de restitution en cas de défaillance de la plateforme.
La certification PCI DSS et la localisation des données, avec un point d’attention sur la version du référentiel réellement appliquée.
La couverture opérationnelle du parcours vendeur : entrée en relation, vérification d’identité des personnes physiques et morales, collecte documentaire, mise à jour périodique.
La flexibilité des flux : paiements fractionnés, séquestre, libération conditionnelle, commissions, remboursements partiels, gestion des litiges.
La capacité d’intégration : documentation d’API, environnement de test, qualité du support et délais de mise en production.
La conformité paiement ne relève plus du service juridique : elle conditionne le rythme d’expansion, la confiance des vendeurs et, in fine, la valorisation de la plateforme. Mieux vaut la traiter comme une décision d’architecture que comme une case à cocher.
