En tant qu'intermédiaires, les marketplaces collectent, stockent et traitent les données personnelles de deux publics cibles : les clients et les vendeurs. À ce titre, les marketplaces sont soumises aux règles strictes de transparence imposées par le Règlement général sur la protection des données (RGPD), une loi qui régit la collecte et l'utilisation des données personnelles dans l'UE.

Il est important que les marketplaces sachent ce que le RGPD exige des plateformes et qui est responsable des données personnelles. Les marketplaces doivent également comprendre comment se conformer à la loi. Cet article explique l'impact du RGPD sur les marketplaces et leurs obligations envers les clients et les vendeurs.

L’essentiel à retenir

• le Règlement général sur la protection des données (RGPD) est le cadre légal régissant la gestion et la sécurité des données personnelles en Europe. À l'instar des autres entreprises qui traitent les données personnelles des résidents de l'UE, les marketplaces doivent se conformer au RGPD ;
  
• dans le cadre du RGPD, les marketplaces doivent fournir certaines informations aux clients et aux vendeurs, et obtenir leur consentement. Elles doivent sécuriser les données personnelles, tenir un registre des activités de traitement et faciliter l'exercice de leurs droits par les personnes concernées ;
  
• les marketplaces doivent définir leur implication dans le traitement des données, établir des contrats de responsables conjoints si nécessaire et effectuer des vérifications rigoureuses de type Know Your Customer (KYC) pour vérifier leurs clients.
  

Aperçu du RGPD

Le RGPD est une loi européenne qui régit la protection et la sécurité des données personnelles en ligne dans l'UE. Il renforce les droits des utilisateurs et contribue à créer un environnement numérique plus sûr. Le RGPD concerne toutes les entreprises européennes, y compris les marketplaces, ainsi que les plateformes internationales qui traitent les données personnelles des résidents de l'UE.

Selon le RGPD, des données sont considérées comme personnelles si elles peuvent être utilisées directement ou indirectement pour identifier une personne physique. Cela inclut les noms et prénoms, les adresses e-mail, les adresses physiques et de protocole Internet (IP), les coordonnées bancaires, les numéros de téléphone, les numéros d'identification et le comportement sur Internet.

Pour les marketplaces, la conformité au RGPD est obligatoire. Elle peut également contribuer à renforcer la confiance des clients et des marchands et à améliorer l'image de marque.

Obligations générales des marketplaces dans le cadre du RGPD

Conformément à l'article 13 et à l'article 14 du RGPD, les plateformes doivent informer les clients et les vendeurs que leurs données personnelles font l'objet d'un traitement. Pour des types de traitement spécifiques, notamment la publicité ciblée et le marketing par e-mail, les vendeurs et les clients doivent pouvoir donner leur consentement à la collecte et à l'utilisation de leurs données.

Les marketplaces doivent également garantir une sécurité adéquate des données, tenir un registre des activités de traitement des données et permettre aux personnes d'exercer leurs droits.

Informer les clients et les vendeurs

Les clients et les vendeurs d'une plateforme ont le droit de savoir si leurs données personnelles sont collectées, stockées, utilisées ou envoyées à des tiers. Au moment de la collecte des données, les marketplaces doivent afficher des politiques de confidentialité indiquant en termes clairs et simples le type de données collectées, la durée de conservation et la finalité de la collecte. Elles doivent également disposer d'une base légale pour justifier cette collecte.

L'article 6 du RGPD liste les bases légales permettant de collecter et de traiter des données personnelles :

• exécution d'un contrat ;
  
• consentement explicite de la personne ;
  
• respect d'une obligation légale ;
  
• sauvegarde des intérêts vitaux ;
  
• exécution d'une mission d'intérêt public ;
  
• poursuite d'un intérêt légitime (par exemple, sécurité du site web, prévention de la fraude, administration interne, marketing).
  

Les marketplaces doivent également informer les clients et les vendeurs si leurs données sont partagées avec des tiers (par exemple, des sous-traitants ou des solutions de paiement) et nommer les destinataires des données. Pour être en conformité avec le RGPD, il est important de s'assurer que les politiques de confidentialité sont facilement accessibles. Par exemple, elles peuvent s'afficher lors de la création d'un compte par les clients et les vendeurs, ou sur chaque page web.

Obtenir leur consentement

Dans certains cas, les marketplaces doivent obtenir le consentement éclairé des personnes pour utiliser leurs données, en particulier lorsque le traitement ne repose pas sur l'une des bases légales (par exemple, l'exécution d'un contrat ou un intérêt légitime).

Plus précisément, le consentement est obligatoire pour le marketing par e-mail, les cookies non essentiels, la collecte de données pouvant entraîner une discrimination (par exemple, en fonction de l'origine ethnique ou de l'orientation sexuelle) et la réutilisation des données à d'autres fins.

Les clients et les vendeurs doivent pouvoir donner leur consentement de manière libre et sans équivoque avant le traitement. Le langage utilisé doit être clair, simple et facile à comprendre. Les marketplaces ne peuvent pas utiliser de cases précochées.

Protection des données

La protection des données personnelles est un élément indispensable de la conformité au RGPD. Les plateformes doivent prendre des mesures de sécurité fiables et anticiper les activités frauduleuses. Elles doivent chiffrer les données sauvegardées et respecter le protocole Transport Layer Security (TLS). Cela empêche la lecture des données interceptées, divulguées ou volées. Les marketplaces doivent également se conformer aux exigences de la Payment Card Industry Data Security Standard (PCI DSS) afin de protéger les informations de paiement.

Pour renforcer la sécurité, les marketplaces peuvent également rendre l'authentification forte du client (SCA) obligatoire lors de la connexion aux comptes, et restreindre les droits d'accès du personnel.

La plupart des plateformes nomment un délégué à la protection des données (DPO) pour superviser la conformité au RGPD. Les DPO sont utiles lors du traitement à grande échelle de données sensibles. Ils peuvent fournir une évaluation impartiale des pratiques actuelles de gestion des données et offrir des conseils. Les marketplaces doivent signaler les violations de données aux autorités compétentes (la Commission nationale de l'informatique et des libertés, ou CNIL) dans un délai de 72 heures.

Remarque : les marketplaces qui font appel à des sous-traitants (par exemple, des solutions de paiement ou des fournisseurs de messagerie) doivent s'assurer que ces derniers se conforment également au RGPD et maintiennent un niveau de sécurité approprié. L'article 28 du RGPD rend obligatoire la signature d'accords de traitement des données (DPA) pour régir le recours aux sous-traitants.

Tenue d'un registre des activités de traitement

Conformément à l'article 30 du RGPD, les marketplaces qui traitent des données personnelles en ligne et qui comptent plus de 250 employés doivent tenir un registre des activités de traitement. Ce registre doit inclure des descriptions détaillées des traitements offrant un aperçu des opérations effectuées. Cela comprend des informations sur les parties impliquées (par exemple, les responsables du traitement, les DPO et les sous-traitants), les catégories de données, l'utilisation des données, les destinataires des données, la durée de conservation et les mesures de sécurité.

Les plateformes comptant moins de 250 employés doivent uniquement tenir un registre pour certains types de traitement.

Respect des droits individuels

Toute entité soumise au RGPD doit respecter les droits de protection des données et faciliter l'exercice de leurs droits par les personnes concernées. Ceux-ci incluent les droits d'accès, de rectification, d'opposition et de limitation du traitement, ainsi que les droits à l'effacement et à la portabilité des données.

Obligations des marketplaces envers les clients dans le cadre du RGPD

Dans le cadre du RGPD, les marketplaces doivent respecter le principe de minimisation. Elles doivent uniquement collecter les données personnelles strictement nécessaires à la finalité annoncée. Ce principe s'applique aux clients comme aux vendeurs.

Les plateformes peuvent uniquement collecter le minimum d'informations nécessaires à la commande et il leur est interdit de collecter des données à des fins non définies.

Obligations des marketplaces envers les vendeurs dans le cadre du RGPD

Les marketplaces doivent définir leur implication dans le traitement des données. En général, elles sont considérées comme responsables du traitement des données liées au fonctionnement de la plateforme. Cela inclut la création de comptes et la catégorisation des produits. Par ailleurs, les vendeurs sont considérés comme responsables du traitement des données liées aux commandes passées.

Cependant, les marketplaces peuvent être considérées comme conjointement responsables du traitement si elles participent activement à la détermination des finalités et des méthodes de traitement. Par exemple, certaines marketplaces ne se contentent pas de mettre en relation des clients et des vendeurs, mais utilisent les données des clients pour de la publicité ciblée ou des programmes de fidélité. Dans ces cas, les parties doivent signer un contrat de responsables conjoints.

De ce fait, des processus rigoureux de type Know Your Customer (KYC) sont encore plus importants. Les marketplaces doivent vérifier l'identité de leurs partenaires commerciaux avant de collaborer avec eux. Le KYC permet d'authentifier les vendeurs et de garantir des environnements sécurisés, fiables et transparents pour les clients.

Stripe Connect est conçue spécifiquement pour les marketplaces. Elle gère le processus KYC en vérifiant l'identité des vendeurs lors de leur inscription sur la plateforme.

Comment Stripe Connect peut vous aider

Stripe Connect gère et automatise les mouvements de fonds entre plusieurs parties pour les plateformes logicielles et les marketplaces. Cette solution offre un processus d’onboarding rapide, des composants intégrés, des virements internationaux, et bien plus encore.

Connect peut vous aider à :

• Vous lancer en quelques semaines : utilisez les fonctionnalités hébergées ou intégrées de Stripe pour une mise en production plus rapide, tout en évitant les frais initiaux et les délais de développement normalement requis pour faciliter les paiements.

• Gérer les paiements à grande échelle : utilisez les outils et les services proposés par Stripe pour gérer les risques, les rapports de marges, les formulaires fiscaux, les moyens de paiement internationaux ou la conformité lors de l’onboarding.

• Vous développer à l’international : aidez vos utilisateurs à attirer davantage de clients dans le monde entier en proposant des moyens de paiement locaux et en simplifiant le calcul des taxes sur les ventes, de la TVA et de la TPS.

• Créer de nouvelles sources de revenus : optimisez vos revenus liés aux paiements en percevant des frais sur chaque transaction. Monétisez les fonctionnalités de Stripe en proposant sur votre plateforme des paiements en personne, des virements instantanés, l’encaissement des taxes sur les ventes, des solutions de financement, des cartes d’entreprise, et bien plus encore.

En savoir plus sur Stripe Connect ou démarrer dès aujourd’hui.

FAQ sur le RGPD et les marketplaces