Intégrer les services de paiement dans les boutiques en ligne suisses : contrats et processus

Deux contrats, deux interlocuteurs : la structure de base du traitement des paiements

Pour les paiements par carte dans une boutique en ligne, deux contrats sont généralement nécessaires : un contrat de traitement avec un prestataire de services de paiement (Payment Service Provider, PSP) et un contrat d'acceptation (contrat d'acquiring) avec un acquéreur.

Le contrat de traitement régit le flux technique entre la boutique, le prestataire de paiement et les banques. Le PSP permet d'intégrer des moyens de paiement tels que Mastercard, TWINT, PostFinance et Apple Pay, évitant ainsi de négocier séparément avec chaque institut financier.

Le contrat d'acceptation est conclu avec l'acquéreur, un institut financier qui traite les paiements par cartes de crédit et de débit pour les commerçants. Il définit les conditions d'acceptation et de traitement des paiements par carte, ainsi que les frais, les exigences de sécurité et les procédures de rétrofacturation.

Si le PSP assume lui-même le rôle d'acquéreur en tant que facilitateur de paiement, le contrat d'acceptation distinct n'est pas nécessaire.

Les acteurs en coulisses : PSP, acquéreur et facilitateur de paiement

Le PSP regroupe les moyens de paiement, les systèmes d'intégration et les outils e-commerce auprès d'un seul fournisseur. L'acquéreur traite les paiements par carte ; SIX Payments, Concardis et PostFinance sont cités comme exemples de prestataires avec lesquels les commerçants peuvent conclure un contrat d'acceptation.

Un facilitateur de paiement, également appelé PSP collecteur, sert d'intermédiaire entre le commerçant et l'acquéreur. Il peut signer le contrat d'acceptation au nom de l'acquéreur ; les commerçants concluent alors leur contrat directement avec le facilitateur de paiement.

Datatrans est classé comme un PSP pur, pour lequel un contrat d'acquiring supplémentaire est nécessaire. Payrexx agit en tant que facilitateur de paiement ; dans cette configuration, aucun contrat d'acquiring séparé n'est requis.

La nécessité d'un ou de deux contrats dépend donc du rôle du prestataire choisi. S'il est facilitateur de paiement, le contrat avec lui suffit ; sinon, un contrat d'acceptation avec un acquéreur s'ajoute.

Quand votre modèle d'affaires relève de la surveillance des marchés financiers

La FINMA souligne qu'avant de lancer un modèle d'affaires Fintech, il convient de vérifier si les dispositions sur le blanchiment d'argent ou une obligation d'autorisation s'appliquent. La LFIF, loi fédérale du 15 juin 2018 sur les établissements financiers, énumère à l'art. 53 les conditions d'autorisation.

Pour la prévention du blanchiment d'argent, la FINMA examine notamment si les fonds des clients transitent par des comptes propres, si des services liés aux paiements sont fournis ou si des instruments de paiement sont émis. Les activités dans les domaines du change, de la fiducie, de la gestion de fortune, du crédit et du leasing sont également pertinentes.

Concernant l'obligation d'autorisation, la FINMA pose les questions suivantes : y a-t-il sollicitation pour la réception de fonds, les fonds des clients transitent-ils par des comptes propres et des fonds ou des actifs basés sur la cryptographie sont-ils reçus de plus de 20 personnes ?

Pour les canaux numériques, les obligations de diligence liées à la réglementation sur le blanchiment d'argent peuvent être satisfaites via l'identification vidéo et en ligne. La circulaire correspondante de la FINMA est en vigueur depuis le 18 mars 2016 et a été mise à jour le 6 mai 2021.

Engagements de sécurité et de conformité figurant dans le contrat

Le contrat d'acceptation régit les exigences de sécurité et les processus de rétrofacturation. Avant la signature, il doit être clair quelles preuves le prestataire exige et quelles obligations incombent au commerçant.

Convera affiche une conformité PCI-DSS et une certification ISO 27001. Ce qui compte, ce sont les preuves fournies par le partenaire contractuel concret et leur champ d'application.

Convera mentionne pour sa propre plateforme de paiement l'authentification multifacteur, le chiffrement des données, les workflows d'approbation ainsi que la détection de fraude avec surveillance en temps réel.

Pour la procédure de rétrofacturation, il faut clarifier le déroulement, les délais et la prise en charge des coûts : qui supporte la rétrofacturation, quels justificatifs le prestataire exige-t-il et comment les litiges sont-ils escaladés ?

Externalisation : la responsabilité reste au sein de votre entreprise

La circulaire FINMA 2023/1 Risques opérationnels et résilience définit les exigences pour les banques, les négociants en valeurs mobilières et les assurances lorsqu'ils externalisent des fonctions importantes à un prestataire de services. La responsabilité en matière de surveillance reste chez ces entreprises.

Une vérification de due diligence du prestataire de services de paiement, une évaluation des risques documentée et une liste de contrôle pour la documentation de la conformité servent de grille d'évaluation.

Une panne du prestataire peut affecter directement la boutique. Les échecs de paiement et les rétrofacturations doivent donc être surveillés en continu.

Déroulement de l'intégration : de la décision contractuelle à la mise en production

Il faut d'abord déterminer quels moyens de paiement la boutique doit proposer et lesquels sont des paiements par carte. La comparaison des prestataires de paiement en ligne suisses pour 2026 cite Datatrans de Planet, PayPal, Payrexx, PostFinance, Stripe, wallee, Worldline, saldiaPay et zahls.ch : Vers la comparaison.

Ensuite, le rôle du prestataire est clarifié : assume-t-il également la fonction d'acquiring en tant que facilitateur de paiement, ou un contrat d'acceptation supplémentaire avec un acquéreur est-il nécessaire ?

Avant la conclusion du contrat, les partenaires contractuels et leurs preuves sont examinés. Cela inclut les informations sur la conformité, les certifications, le chiffrement, l'authentification et la détection de fraude, ainsi que les frais et la procédure de rétrofacturation.

Après la signature du contrat, la boutique est techniquement connectée au prestataire de paiement. Avant la mise en production, les moyens de paiement prévus sont testés lors d'une phase de test.

En cours d'exploitation, les rétrofacturations et les échecs de paiement sont surveillés. La validité des preuves fournies par le prestataire doit également être vérifiée régulièrement.