Paiements en ligne pour PME suisses : options et exigences contractuelles

Paiements en ligne : le choix du prestataire ne se joue pas seulement sur les frais

Encaisser un paiement en ligne, c'est transmettre des informations qui identifient l'acheteur à un prestataire. Ce prestataire est souvent multiple : solution de paiement, hébergeur, outil anti-fraude, mécanisme d'authentification de la carte.

Nom, adresse, coordonnées de facturation, historique de transactions : autant de données personnelles, que le Centre Patronal définit comme « toutes les informations concernant une personne physique identifiée ou identifiable ».

Selon la même source, la loi et son ordonnance d'application (OPDo) s'appliquent dès qu'il y a un traitement de données personnelles effectué par des personnes privées. Cela concerne « toutes les entreprises de Suisse, quelles que soient leurs tailles ».

Une PME romande qui active un bouton de paiement n'est donc pas dans une zone grise : elle entre dans le champ de la nLPD.

Le choix du prestataire a une seconde conséquence, contractuelle. Le marchand décide pourquoi il collecte ces données : honorer la commande, gérer les remboursements et les litiges, tenir sa comptabilité. Il endosse le rôle de responsable de traitement ; le prestataire traite ces données pour son compte, donc comme sous-traitant.

De cette qualification découlent les clauses à négocier : garanties de sécurité, relais des demandes des clients (accès, correction, effacement), répartition des responsabilités lorsqu'un incident survient chez l'un des intermédiaires.

Comparer les offres sur la seule commission ou sur la facilité d'intégration technique laisse de côté ce qui se paiera plus tard. Un contrat muet sur les sous-traitants ultérieurs, la localisation des données ou la notification d'incident place la PME en position de faiblesse. Le jour où elle doit répondre à un client mécontent ou à une autorité de contrôle, ce silence lui coûte cher.

Responsable de traitement ou sous-traitant : la première question à trancher

Le Centre Patronal rappelle les deux définitions qui structurent tout l'édifice. Le responsable de traitement est « la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles ». Le sous-traitant est « la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement ».

La même source cite l'exemple du fournisseur en service de nuage à qui le responsable de traitement a externalisé des fonctions informatiques : il agit comme sous-traitant. Un prestataire de paiement, un hébergeur de page de caisse ou un service de détection de fraude se trouvent dans une situation analogue.

Dans une chaîne de paiement en ligne, deux contrats distincts interviennent. Le contrat d'acceptation est signé avec un acquéreur — une institution financière qui traite les paiements par carte de crédit et de débit. Le contrat de traitement est signé avec un prestataire de services de paiement (PSP), qui intègre techniquement les moyens de paiement à la boutique.

La question n'est pas théorique. La liste des actions de mise en conformité du Centre Patronal commence par l'identification des rôles. Elle cite : « Il convient d'identifier quelles sont ses responsabilités vis-à-vis de ces données, en déterminant si la personne privée agit en tant que responsable de traitement ou sous-traitant. »

De cette qualification dépendent la sécurité exigible, l'étendue des vérifications à mener et la répartition des responsabilités en cas de fuite ou de demande d'une personne concernée.

Elle a aussi une conséquence opérationnelle directe. Selon le Centre Patronal, la personne qui assume le rôle de responsable « doit s'assurer que son sous-traitant est en mesure de garantir la sécurité des données ». Une PME ne peut donc pas se contenter de souscrire un service de paiement en ligne. Elle doit pouvoir démontrer qu'elle a vérifié les garanties de son prestataire et encadré la relation par écrit.

Un même prestataire peut toutefois cumuler les rôles. Les traitements qu'il effectue pour ses propres finalités — obligations de lutte contre le blanchiment, amélioration de ses services — ne relèvent pas de la sous-traitance mais de sa responsabilité propre. Le contrat devrait distinguer ces deux blocs, faute de quoi la PME croira à tort que tout ce que fait son prestataire est couvert par ses instructions.

Ce que la nLPD change depuis le 1er septembre 2023 pour les encaissements en ligne

La nouvelle loi fédérale sur la protection des données est entrée en vigueur le 1er septembre 2023. Elle remplace la loi de 1992. Selon un guide de conformité destiné aux PME suisses, « elle aligne le droit suisse sur les normes du RGPD de l'Union européenne ».

Le Centre Patronal précise que la loi s'applique avec son ordonnance d'application dès qu'il y a traitement de données personnelles par des personnes privées, physiques ou morales.

Les principes de fond n'ont pas disparu avec la révision. Selon le Centre Patronal, « les principes de base de la protection des données restent inchangés » : licéité, bonne foi, finalité, transparence, proportionnalité, exactitude et sécurité des données doivent s'appliquer à tous les traitements de données personnelles.

Appliqués à une page de paiement, ils se traduisent par des questions concrètes. La finalité est-elle clairement définie (encaisser la commande, gérer les litiges, prévenir la fraude) ? Les données demandées sont-elles proportionnées à cette finalité, ou la PME collecte-t-elle davantage que nécessaire ?

L'acheteur est-il informé de ce qui arrive à ses données ? Les données sont-elles tenues à jour ? Le prestataire offre-t-il une sécurité suffisante ?

Un guide destiné aux PME suisses présente sept principes centraux — transparence, consentement éclairé, minimisation des données, droit à l'oubli, portabilité des données, sécurité des données et responsabilité. Il souligne qu'ils ne se limitent pas à la collecte : ils s'étendent à la gestion, à l'utilisation, au stockage et à la suppression des données. Ce guide renvoie, pour le détail des exigences, aux ressources de l'Office fédéral de la protection des données et de la transparence.

Pour une PME, la conséquence la plus tangible concerne la documentation. Le Centre Patronal relève que « toute entreprise est amenée à réaliser, dans le cadre de ses activités, des traitements de données personnelles, que ce soit celles de ses clients, collaborateurs ou encore de ses fournisseurs ».

Les données de paiement s'ajoutent à cet inventaire. Elles doivent pouvoir être rattachées à une finalité, à un prestataire identifié et à des mesures de sécurité décrites dans les dossiers de l'entreprise.

Évolutions clés de la réglementation des paiements en ligne en Suisse depuis 2023

Quand le RGPD s'invite dans les contrats de paiement d'une PME suisse

Une PME suisse n'est pas automatiquement soumise au règlement européen. L'avocat Sylvain Métille, cité dans une analyse consacrée aux PME romandes, distingue quatre cas de figure.

Les entreprises non soumises offrent des biens et des services à des clients en Suisse exclusivement et n'ont pas de présence dans l'UE. Celles qui sont soumises parce qu'elles sont présentes dans l'UE le sont au travers d'entités européennes.

Les entreprises soumises de manière extraterritoriale sont présentes seulement en Suisse mais offrent notamment des biens ou des services à des résidents de l'UE, ou suivent leurs actions sur internet. Enfin, les sous-traitants suisses de données européennes ne sont pas soumis au RGPD. Certaines obligations peuvent toutefois être reprises dans leurs contrats de sous-traitance, calqués partiellement sur le règlement.

Le critère pratique est donc le suivant : où se trouvent les clients et où l'entreprise est-elle établie ? La même source rappelle comme principe de base que « le droit du pays où se trouve l'entreprise s'applique ». Elle note que beaucoup de PME romandes comptent au moins quelques clients ou fournisseurs européens et des frontaliers parmi leur personnel.

Pour une boutique en ligne, la troisième catégorie peut entrer en jeu. Vendre et livrer à des résidents de l'UE suffit à faire entrer la PME dans le champ extraterritorial du règlement, même sans filiale européenne. Cela ne change pas seulement l'information à donner aux clients ; cela se répercute sur le contrat de paiement.

Si le marchand est soumis au RGPD et que son prestataire traite des données de ces clients, le contrat doit prévoir des engagements compatibles. Ces engagements portent sur les mesures de sécurité, l'information en cas de violation, l'encadrement de la sous-traitance ultérieure et l'assistance pour répondre aux demandes des personnes concernées.

Le quatrième cas fonctionne en sens inverse et intéresse directement les PME qui choisissent un prestataire suisse. Un sous-traitant établi en Suisse qui travaille pour des clients européens peut déjà proposer des clauses contractuelles calquées sur le RGPD. Un contrat de ce type avantage une PME qui vend dans l'UE, parce qu'il évite d'avoir à renégocier chaque point de protection des données.

Les clauses à vérifier avant de signer avec un prestataire de paiement

L'exigence de base découle de la répartition des rôles. Selon le Centre Patronal, la personne qui endosse la responsabilité du traitement « doit s'assurer que son sous-traitant est en mesure de garantir la sécurité des données ». Dans un contrat de paiement en ligne, cela se traduit par plusieurs points à examiner. La liste ci-dessous reprend les éléments habituellement attendus dans un contrat de sous-traitance de données.

Le contrat d'acceptation avec un acquéreur précise les frais, les exigences de sécurité et les processus de rétrofacturation. Le contrat de traitement avec un PSP régit la connexion technique entre la boutique, le PSP et les banques. Les deux contrats doivent être examinés, car ils répartissent des responsabilités différentes.

Périmètre du traitement : quelles catégories de données sont traitées (identité de l'acheteur, coordonnées, données de transaction), pour quelles finalités et pour quelles opérations. La définition du traitement retenue par le Centre Patronal est large : « la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données ». Elle donne une bonne base pour décrire ce que le prestataire fait réellement.

Rôle et responsabilités : le contrat doit dire qui est responsable de traitement et qui est sous-traitant pour chaque bloc d'opérations, y compris lorsque le prestataire traite certaines données pour ses propres finalités. Garanties de sécurité : quelles mesures le prestataire s'engage à maintenir (contrôle des accès, chiffrement, journalisation, gestion des incidents) et comment il en apporte la preuve. Sous-traitance ultérieure : liste des sous-traitants intervenant dans la chaîne de paiement, conditions d'information en cas de changement, droit d'opposition du marchand.

Localisation et transferts : où les données sont hébergées et traitées, et à quelles conditions elles peuvent être transférées hors de Suisse. Notification d'incident : dans quel délai et par quel canal le marchand est informé d'une violation de données, et avec quelles informations. Demandes des personnes concernées : qui traite une demande d'accès, de correction ou d'effacement, et dans quel délai elle est transmise au marchand.

Fin de contrat : restitution ou suppression des données, y compris celles conservées chez les sous-traitants. Audit et preuve : droits de vérification, attestations ou rapports que le prestataire met à disposition.

Dernier point, souvent oublié : l'articulation avec les conditions générales du marchand. Informer l'acheteur suppose de nommer le prestataire, de renvoyer à sa politique de confidentialité et de décrire la finalité de l'encaissement dans les CGV. Le contrat et les CGV doivent raconter la même histoire ; une divergence entre les deux est difficile à expliquer à une personne qui demande ce qu'il advient de ses données.

Options contractuelles : prestataire suisse, prestataire européen ou sous-traitant de données européennes

Les moyens de paiement en ligne utilisés en Suisse sont bien identifiés. Twint domine le paiement mobile avec plus de 5 millions d'utilisateurs actifs. Les cartes de débit et de crédit Visa et Mastercard restent le standard, en particulier pour les achats supérieurs à 100 CHF. La facture, le compte postal, PayPal et Apple Pay complètent l'offre.

Pour intégrer ces moyens de paiement, une PME recourt à un prestataire de services de paiement (PSP). Les PSP connus pour les sites de vente en ligne suisses sont DataTrans, Nexi, PayPal, Payrexx, PostFinance, Stripe, Wallee et Worldline. La comparaison des neuf principaux fournisseurs inclut aussi Datatrans de Planet, saldiaPay et zahls.ch. Saferpay est également cité comme passerelle suisse.

Les coûts d'un PSP se composent de frais d'installation, de frais fixes mensuels et de frais par transaction. Ces derniers varient entre CHF 0.20 et CHF 1.10 selon le volume de transactions. Pour les paiements par carte de crédit, des commissions de 2,5% à 3,5% du prix d'achat s'ajoutent, versées à l'institut financier qui règle les transactions.

À titre indicatif, Twint est facturé environ 1,3% + 0,30 CHF par transaction, Stripe 2,9% + 0,30 CHF pour les cartes suisses, et PayPal entre 2,49% et 3,4% + 0,55 CHF. PostFinance Checkout tourne autour de 2,5% + frais fixes mensuels, tandis que Datatrans fonctionne sur devis, avec un abonnement et environ 1 à 2,5%.

Le choix entre un prestataire suisse et un prestataire européen dépend ensuite du régime RGPD applicable. Les quatre catégories décrites plus haut déterminent si le contrat doit être calqué sur le RGPD ou sur la seule nLPD. Un PSP suisse peut héberger hors de Suisse, et un PSP européen peut recourir à des sous-traitants situés ailleurs.

Le régime applicable donne une première grille de choix. Une PME qui vend exclusivement à des clients en Suisse et n'a aucune présence dans l'UE se trouve dans la première catégorie décrite par Sylvain Métille. Elle n'est pas soumise au RGPD, et son contrat de paiement peut être construit sur la seule base de la nLPD. C'est le cas le plus simple, et un prestataire établi en Suisse y répond avec des clauses de sous-traitance conformes au droit suisse.

Une PME qui dispose d'une entité dans l'UE entre dans la deuxième catégorie : elle est soumise au RGPD par sa présence européenne. Le contrat avec son prestataire de paiement — quel que soit le siège de celui-ci — doit refléter ce régime.

Une PME présente seulement en Suisse mais qui vend à des résidents de l'UE tombe dans la troisième catégorie, celle de l'application extraterritoriale. Même sans entité européenne, la protection des données des acheteurs de l'UE doit être organisée. Le contrat du prestataire est le premier endroit où cela se matérialise.

La quatrième catégorie, celle des sous-traitants suisses de données européennes, est la plus intéressante du point de vue de la négociation. Ces prestataires ne sont pas soumis au RGPD, mais certaines obligations peuvent être reprises dans leurs contrats de sous-traitance, calqués partiellement sur le règlement. Un prestataire suisse de paiement travaillant avec une clientèle européenne peut donc proposer un contrat de sous-traitance reprenant certaines obligations calquées partiellement sur le RGPD.

Le choix ne se réduit pas à « prestataire suisse ou prestataire européen ». Trois questions permettent de trancher : dans quel régime la PME se situe-t-elle (vente en Suisse uniquement, présence dans l'UE, vente à des résidents de l'UE) ? Le contrat du prestataire couvre-t-il déjà ce régime, ou faut-il le compléter ? Où les données sont-elles effectivement traitées et par quels sous-traitants ?

Un prestataire suisse peut héberger hors de Suisse et un prestataire européen peut s'appuyer sur des sous-traitants situés ailleurs. C'est la chaîne complète, et non le siège social, qui détermine ce que le contrat doit prévoir.

Avantages et contraintes du choix d’un prestataire suisse vs européen

Mise en conformité pragmatique et checklist contractuelle pour une PME romande

La démarche proposée par le Centre Patronal pour une PME commence par l'identification des rôles : déterminer, pour chaque traitement, si l'entreprise agit comme responsable de traitement ou comme sous-traitant. Appliquée aux paiements en ligne, cette étape se traduit par un inventaire écrit. Il recense quelles données de paiement transitent, par quels canaux (page de caisse, lien de paiement, terminal, abonnement), vers quels prestataires et pour quelles finalités.

Cet inventaire est aussi le moment de recenser les autres traitements de l'entreprise. Comme le rappelle la même source, toute entreprise traite des données de ses clients, de ses collaborateurs et de ses fournisseurs.

Deuxième étape : vérifier le prestataire. La personne qui assume la responsabilité du traitement doit s'assurer que son sous-traitant est en mesure de garantir la sécurité des données. Il faut demander les engagements écrits, les mesures techniques annoncées et la liste des sous-traitants ultérieurs intervenant dans la chaîne de paiement.

Cette vérification porte aussi sur les frais. Demandez la grille tarifaire : frais d'installation, frais fixes mensuels, frais par transaction (CHF 0.20 à 1.10) et commissions cartes (2,5% à 3,5%). Comparez ces coûts avec les moyens de paiement que vos clients utilisent réellement.

Troisième étape : documenter. Le guide PME consacré à la nLPD souligne que les principes de protection des données s'étendent à la gestion, à l'utilisation, au stockage et à la suppression. Il renvoie aux ressources de l'Office fédéral de la protection des données et de la transparence pour les exigences détaillées.

Concrètement : conserver le contrat, les informations transmises aux clients et la description des mesures de sécurité avec le dossier des traitements.

Quatrième étape : mettre à jour les conditions générales et le contrat. Les CGV doivent décrire la finalité de l'encaissement et renvoyer à la politique de confidentialité du prestataire. Le contrat doit couvrir les points de la checklist ci-dessous.

Cinquième étape : reprendre l'exercice à chaque changement de prestataire, d'hébergeur ou de configuration de la page de paiement. Une nouvelle brique technique signifie un nouveau sous-traitant à qualifier et à documenter.

Checklist contractuelle à passer en revue avant de signer.

Rôle de chaque partie (responsable de traitement / sous-traitant) et périmètre des opérations. Catégories de données traitées et finalités.

Mesures de sécurité garanties par le prestataire et preuves associées. Liste des sous-traitants ultérieurs et conditions d'information ou d'opposition.

Localisation du traitement et conditions de transfert hors de Suisse. Délai et canal de notification en cas de violation de données.

Prise en charge des demandes d'accès, de correction et d'effacement. Sort des données en fin de contrat (restitution ou suppression).

Droits de vérification et documents disponibles. Cohérence avec les CGV et l'information donnée à l'acheteur.

Un contrat qui répond à ces dix points place la PME en mesure de démontrer qu'elle a identifié ses rôles et encadré son prestataire. C'est précisément ce que la nLPD attend d'un responsable de traitement.

Checklist contractuelle pour la conformité aux exigences de la nLPD et du RGPD