KYC et conformité : les obligations d'une passerelle de paiement en 2026

KYC et KYB : de quoi parle-t-on ?

Le KYC (Know Your Customer, « connaître son client ») désigne l'ensemble des procédures qu'un établissement financier met en œuvre pour vérifier l'identité d'une personne physique avant d'entrer en relation d'affaires avec elle. Quand vous ouvrez un compte auprès d'une passerelle de paiement, le KYC concerne le dirigeant de l'entreprise et les personnes qui la contrôlent : contrôle de la pièce d'identité, de l'adresse, parfois vérification de la présence physique via un selfie ou une vidéo (liveness).

Le KYB (Know Your Business, « connaître son entreprise ») en est le pendant appliqué aux personnes morales. Il s'agit de vérifier l'existence légale de la société, son immatriculation, sa structure de détention et ses dirigeants réels. Concrètement, une passerelle de paiement qui pratique le KYB va exiger un extrait Kbis de moins de trois mois, les statuts, l'identification des associés et la cartographie des bénéficiaires effectifs.

Ces deux processus ne sont pas des inventions commerciales destinées à décourager les fraudeurs par principe. Ce sont des obligations légales imposées à tout acteur qui touche à la circulation de l'argent. Une passerelle de paiement qui encaisse, détient ou redistribue des fonds n'est pas un simple logiciel : elle est, ou s'appuie sur, un établissement de paiement ou de monnaie électronique agréé, donc soumis à la réglementation de lutte contre le blanchiment.

À retenir : le KYC porte sur les personnes physiques (dirigeants, bénéficiaires effectifs), le KYB sur la personne morale (la société). Les deux sont indissociables lors de l'onboarding d'un compte marchand professionnel.

La LCB-FT : le cadre qui impose tout cela

Derrière le KYC se trouve un acronyme central : la LCB-FT, pour Lutte Contre le Blanchiment de capitaux et le Financement du Terrorisme. C'est le corpus de règles qui oblige les acteurs financiers à empêcher que leurs services servent à recycler de l'argent d'origine criminelle ou à financer des activités illicites.

Le blanchiment consiste à réintroduire dans l'économie légale des fonds issus d'activités illégales (trafics, fraude, corruption) en masquant leur provenance. Une passerelle de paiement est une cible idéale pour ce type d'abus : elle permet de faire transiter des sommes rapidement, à l'échelle internationale, parfois avec peu de contrôle apparent. C'est précisément pour cela que le législateur impose aux prestataires de connaître leurs clients, de surveiller leurs transactions et de signaler les opérations suspectes.

Le dispositif LCB-FT repose sur trois piliers que votre passerelle doit respecter en permanence :

• La vigilance à l'entrée en relation : identifier et vérifier le client (KYC/KYB) avant de fournir le service.
• La vigilance constante : surveiller les opérations tout au long de la relation, détecter les anomalies, mettre à jour les informations.
• La déclaration de soupçon : signaler aux autorités (Tracfin en France) toute opération dont l'origine ou la destination paraît douteuse.

Ce cadre explique pourquoi une passerelle de paiement peut, du jour au lendemain, vous demander de justifier une facture, l'origine d'un virement entrant ou la nature exacte de votre activité. Elle n'a pas le choix : c'est une obligation de moyens dont le non-respect est lourdement sanctionné.

Il faut aussi comprendre que ces obligations ne pèsent pas uniquement à l'ouverture. La LCB-FT impose une vigilance continue pendant toute la durée de la relation : la passerelle doit s'assurer que les opérations réalisées restent cohérentes avec la connaissance qu'elle a de votre entreprise. Un modèle de surveillance automatisé analyse en permanence les flux — montants, fréquences, contreparties, zones géographiques — et lève une alerte dès qu'un comportement s'écarte du profil attendu. C'est ce mécanisme, invisible pour le marchand tant que tout va bien, qui explique la plupart des demandes de justificatifs en cours de vie du compte.

AMLD, ACPR, Tracfin : qui fait la loi

Le cadre français est la transposition de directives européennes successives, les AMLD (Anti-Money Laundering Directives). La 5e directive (AMLD5), entrée en application en janvier 2020, a notamment étendu les obligations aux prestataires de crypto-actifs et renforcé la transparence sur les bénéficiaires effectifs. La 6e directive (AMLD6) a durci le volet pénal en harmonisant la définition des infractions de blanchiment et en aggravant les sanctions.

Depuis 2024, l'Union européenne a franchi une étape supplémentaire avec l'adoption d'un « paquet AML » : un règlement directement applicable (le futur « AMLR ») et la création d'une autorité européenne de lutte anti-blanchiment, l'AMLA, basée à Francfort, qui montera progressivement en puissance à partir de 2026-2027 pour superviser directement les acteurs financiers les plus exposés. Pour les marchands, la conséquence est claire : la tendance est à un durcissement continu, pas à un assouplissement.

En France, deux institutions structurent l'application de ces règles :

• L'ACPR (Autorité de Contrôle Prudentiel et de Résolution), adossée à la Banque de France, agrée et supervise les établissements de paiement et de monnaie électronique. C'est elle qui délivre l'agrément sans lequel une passerelle ne peut légalement détenir des fonds, et c'est elle qui sanctionne les manquements LCB-FT. Ses amendes se chiffrent régulièrement en millions d'euros.
• Tracfin (Traitement du renseignement et action contre les circuits financiers clandestins), service de renseignement rattaché au ministère de l'Économie, reçoit et exploite les déclarations de soupçon. Une passerelle qui détecte une opération suspecte est légalement tenue de la déclarer à Tracfin — sans en informer le client concerné.

Cet écosystème réglementaire est la raison de fond pour laquelle une passerelle de paiement ne peut pas se contenter d'un formulaire d'inscription. Chaque acteur de la chaîne, de Stripe à Mangopay, engage sa licence et sa responsabilité pénale sur la qualité de son dispositif de connaissance client.

Les niveaux de vérification KYC

La vérification n'est pas un bloc uniforme : elle s'ajuste au profil de risque du client. C'est le principe de l'approche par les risques. Un auto-entrepreneur qui vend des prestations de conseil à faible volume ne fait pas l'objet du même niveau de contrôle qu'une société d'un secteur sensible traitant des flux internationaux importants.

On distingue schématiquement plusieurs couches de vérification :

• L'identité des dirigeants : pièce d'identité en cours de validité (carte nationale d'identité, passeport), souvent complétée d'un contrôle de vivacité (selfie, vidéo) pour prévenir l'usurpation.
• L'identité de la personne morale : Kbis récent, statuts, numéro SIREN/SIRET, adresse du siège.
• Les bénéficiaires effectifs (UBO) : toute personne physique détenant directement ou indirectement plus de 25 % du capital ou des droits de vote, ou exerçant un contrôle effectif. Chaque UBO doit être identifié et vérifié. Dans les structures à actionnariat complexe (holdings en cascade), cette étape est la plus longue.
• Les justificatifs d'activité et de fonds : RIB au nom de la société, justificatif de domicile, parfois factures, bilans ou site web actif prouvant la réalité de l'activité déclarée.
• Le screening PEP : vérification que les dirigeants et bénéficiaires ne sont pas des personnes politiquement exposées (ministres, parlementaires, hauts responsables, ainsi que leurs proches). Un profil PEP n'interdit pas la relation mais déclenche une vigilance renforcée et une validation de niveau supérieur.
• Le screening sanctions et embargos : contrôle des noms contre les listes de sanctions internationales (Union européenne, ONU, OFAC américain). Une correspondance sur ces listes bloque immédiatement l'ouverture du compte.

Le tableau suivant synthétise les documents typiquement exigés selon le niveau de vérification et le profil du client.

Niveau	Profil concerné	Documents et contrôles types
Vigilance simplifiée	Faibles volumes, activité peu risquée, pays UE	Pièce d'identité du dirigeant, Kbis, RIB, contrôle automatisé
Vigilance standard	Cas général des marchands professionnels	KYC dirigeant + KYB société + identification des UBO > 25 % + screening PEP/sanctions
Vigilance renforcée	Secteur à risque, flux internationaux, PEP, gros volumes	Ci-dessus + justificatif d'origine des fonds, factures, bilans, contrôle du parcours transactionnel, validation manuelle

Onboarding : pourquoi Stripe et PayPal demandent des documents

Beaucoup de marchands s'étonnent que Stripe, PayPal ou Mollie leur réclament des pièces alors que l'inscription initiale semblait immédiate. La raison est simple : ces acteurs pratiquent l'onboarding progressif. Vous pouvez commencer à encaisser rapidement, mais dès qu'un seuil de volume est atteint ou qu'un signal de risque apparaît, la vérification complète se déclenche automatiquement.

Stripe, par exemple, applique ses frais standards d'environ 1,5 % + 0,25 € par transaction pour une carte européenne, mais réserve l'accès complet à sa plateforme aux comptes dont l'identité et l'activité ont été vérifiées. PayPal impose fréquemment des vérifications lorsqu'un compte reçoit soudainement des montants importants ou évolue vers un usage professionnel. Ces plateformes ne cherchent pas à vous embêter : elles remplissent leurs obligations LCB-FT tout en protégeant leur propre exposition au risque de fraude et de chargeback.

Les principales causes de demande de documents ou de suspension sont bien identifiées :

• Un pic de volume inexpliqué : un compte qui passe soudainement de quelques centaines à plusieurs dizaines de milliers d'euros par mois déclenche une alerte automatique.
• Une activité différente de celle déclarée : vendre des produits d'un secteur à risque (compléments alimentaires, produits pour adultes, services financiers) alors que le compte a été ouvert pour du « conseil » entraîne un blocage.
• Un taux de litiges ou de remboursements élevé : au-delà d'un certain seuil de chargebacks, la plateforme considère le compte comme risqué. C'est un sujet que nous détaillons dans notre guide sur la prévention des chargebacks.
• Une correspondance de screening : un nom proche d'une liste de sanctions ou un profil PEP non déclaré.
• Des informations incohérentes : adresse du site web différente de l'activité, identité du titulaire du RIB différente de celle de la société.

La conséquence la plus redoutée est le gel des fonds : Stripe ou PayPal peuvent retenir vos encaissements pendant une durée souvent comprise entre 90 et 180 jours, à titre conservatoire, le temps d'évaluer le risque. Cette réserve n'est pas une punition arbitraire mais une mesure prévue par leurs conditions générales et cohérente avec leurs obligations de gestion du risque.

Seuils et vigilance renforcée

La réglementation LCB-FT s'articule autour de seuils qui déclenchent des obligations spécifiques. Historiquement, le seuil de référence pour l'identification d'une opération occasionnelle est fixé à 10 000 € ; pour les paiements en espèces, la France applique un plafond bien plus bas (généralement 1 000 € entre un professionnel et un particulier résident). Pour la monnaie électronique anonyme (cartes prépayées non rechargeables), des plafonds stricts existent également.

Mais dans le cadre d'une passerelle de paiement, la logique dominante n'est pas tant le seuil unitaire que le profil de flux. Ce qui déclenche la vigilance renforcée, c'est la combinaison de plusieurs facteurs de risque :

• Un secteur d'activité sensible (jeu, crypto, forex, adulte, tabac, produits de santé).
• Des flux transfrontaliers, en particulier vers ou depuis des pays tiers à haut risque identifiés par le GAFI.
• La présence d'une personne politiquement exposée dans l'actionnariat ou la direction.
• Une structure de détention opaque ou multi-juridictionnelle.
• Un volume ou un panier moyen anormalement élevé par rapport à l'activité déclarée.

La vigilance renforcée se traduit concrètement par des demandes supplémentaires : justificatif de l'origine des fonds, présentation détaillée du modèle économique, contrôle plus fréquent des transactions, validation manuelle par un analyste conformité. À l'inverse, la vigilance simplifiée s'applique à des situations à faible risque et allège les contrôles, sans jamais les supprimer totalement.

Le cas particulier des marketplaces

Les places de marché concentrent les problématiques de conformité les plus complexes. Une marketplace met en relation des acheteurs et des vendeurs tiers, et surtout, elle encaisse pour le compte de ces tiers avant de leur reverser leur part. Or, encaisser des fonds pour le compte d'autrui puis les redistribuer est juridiquement une activité de paiement pour compte de tiers, réservée aux établissements agréés par l'ACPR.

C'est la raison pour laquelle une marketplace ne peut pas légalement faire transiter les paiements de ses vendeurs par un simple compte bancaire d'entreprise : elle risquerait la qualification d'exercice illégal de la profession de prestataire de services de paiement. Elle doit s'appuyer sur un établissement agréé qui gère le cantonnement des fonds, la conformité et le split de paiement entre les vendeurs.

Concrètement, une passerelle spécialisée pour marketplace impose un KYC de chaque vendeur avant de lui verser le moindre euro. Chaque vendeur devient lui-même un client à identifier : particulier (pièce d'identité) ou professionnel (Kbis, RIB, bénéficiaires effectifs). C'est ce que gèrent des acteurs comme Mangopay et Lemonway, dont nous comparons les approches dans notre comparatif Mangopay / Lemonway. Pour comprendre l'architecture globale de ces flux, notre dossier sur les passerelles pour marketplace détaille les mécanismes de cantonnement et de reversement.

Le KYC des vendeurs est souvent le principal goulot d'étranglement d'une marketplace : un vendeur non vérifié ne peut être payé, ce qui crée de la friction et de l'abandon. Un bon dispositif d'onboarding vendeur, fluide et progressif, est donc un avantage concurrentiel autant qu'une obligation réglementaire.

Le tableau ci-dessous résume les obligations de connaissance client selon le type d'acteur.

Type d'acteur	Qui doit être vérifié	Documents clés
Marchand e-commerce classique	La société et ses dirigeants/UBO	Kbis, pièce d'identité, RIB, statuts
Éditeur SaaS / abonnements	La société et ses dirigeants/UBO	Kbis, pièce d'identité, RIB, justificatif d'activité
Marketplace (opérateur)	La société opératrice + chaque vendeur tiers	KYB de l'opérateur + KYC/KYB de tous les vendeurs
Dropshipping	La société et le dirigeant	Kbis, identité, RIB + vigilance renforcée sur les fournisseurs et délais de livraison
Vendeur particulier (sur marketplace)	La personne physique	Pièce d'identité, RIB personnel

Les modèles de passerelle pour le dropshipping méritent une attention particulière : ce secteur cumule des facteurs de risque (délais de livraison longs, fournisseurs hors UE, taux de litiges élevé) qui poussent les passerelles vers la vigilance renforcée dès l'onboarding.

RGPD et conservation des données

Collecter des pièces d'identité, des Kbis et des données sur les bénéficiaires effectifs place la passerelle de paiement au croisement de deux réglementations qui peuvent sembler contradictoires : la LCB-FT, qui impose de conserver ces données, et le RGPD, qui impose d'en limiter la collecte et la durée de détention.

Le point d'équilibre est le suivant : la LCB-FT constitue une obligation légale qui sert de base juridique au traitement des données KYC au sens du RGPD. La passerelle est donc fondée à collecter et conserver ces informations, mais uniquement dans les limites strictement nécessaires à cette finalité.

En matière de conservation, la règle française impose de conserver les documents et données d'identification pendant cinq ans à compter de la fin de la relation d'affaires (ou de l'exécution de l'opération pour un client occasionnel). Ce délai permet aux autorités, en cas d'enquête, de remonter le fil des opérations. Passé ce délai, les données doivent en principe être supprimées ou anonymisées.

Pour le marchand, cela a des implications concrètes :

• Vos données d'identité et celles de vos dirigeants seront stockées de manière sécurisée par la passerelle pendant plusieurs années après la clôture du compte.
• Vous disposez de droits RGPD (accès, rectification), mais le droit à l'effacement est limité tant que l'obligation légale de conservation s'applique.
• Choisir une passerelle qui héberge et traite ces données au sein de l'Union européenne réduit les risques liés aux transferts internationaux.

Bon réflexe : vérifiez dans la politique de confidentialité de votre prestataire où sont hébergées vos données KYC et quelles sous-traitances de screening (bases PEP/sanctions) sont utilisées. Un acteur sérieux documente précisément ces points.

Délais d'activation et facteurs d'accélération

Le délai entre l'inscription et l'activation complète d'un compte dépend directement du niveau de vigilance et de la qualité du dossier. Voici les ordres de grandeur observés en 2026 :

• Quelques minutes à 48 heures : dossier standard bien préparé chez Stripe, Mollie ou une passerelle à onboarding progressif, pour une activité peu risquée en zone UE.
• 3 à 10 jours ouvrés : établissement plus encadré (Mangopay, Lemonway), vérification manuelle des bénéficiaires effectifs, structure sociétaire standard.
• 2 à 6 semaines : secteur à risque, actionnariat complexe, présence d'une PEP, ou dossier incomplet nécessitant plusieurs allers-retours.

La principale cause de retard n'est presque jamais la lenteur de la passerelle : c'est l'incomplétude ou l'incohérence du dossier fourni par le marchand. Chaque pièce manquante ou illisible relance le cycle de vérification, avec parfois plusieurs jours de latence entre chaque échange.

Un autre facteur d'accélération, souvent négligé, est la qualité de la structure juridique. Une société française classique (SAS, SARL) avec un actionnariat lisible et un Kbis à jour se vérifie presque automatiquement. À l'inverse, une structure impliquant une holding étrangère, des fiducies, ou un actionnaire lui-même personne morale multiplie les niveaux de contrôle : la passerelle doit « percer le voile » jusqu'à identifier chaque personne physique bénéficiaire effective. Si vous savez que votre montage est complexe, préparez d'emblée l'organigramme de détention et les justificatifs de chaque échelon : vous transformerez un dossier de plusieurs semaines en un dossier de quelques jours.

Conseils pratiques pour réussir son onboarding

Un onboarding réussi tient à la préparation. Voici les bonnes pratiques qui font gagner du temps et évitent les blocages :

• Préparez vos pièces en amont : Kbis de moins de trois mois, pièce d'identité du dirigeant en cours de validité et lisible (recto-verso, non tronquée), RIB au nom exact de la société, statuts à jour.
• Cartographiez vos bénéficiaires effectifs : identifiez précisément toute personne détenant plus de 25 % avant même de commencer. Anticipez les justificatifs pour les holdings intermédiaires.
• Déclarez votre activité réelle avec exactitude : ne minimisez pas et ne « simplifiez » pas votre secteur pour paraître moins risqué. Une divergence entre l'activité déclarée et l'activité constatée est la première cause de suspension.
• Assurez la cohérence des informations : le nom sur le RIB, sur le Kbis, sur le site web et dans le formulaire doit correspondre parfaitement.
• Ayez un site web actif et conforme : mentions légales, conditions générales de vente, politique de confidentialité, coordonnées, description claire des produits. Un site incomplet est un signal négatif fort.
• Anticipez les montées en charge : si vous prévoyez une forte croissance ou une opération commerciale à gros volume, prévenez votre passerelle en amont pour éviter le déclenchement automatique d'une alerte.
• Répondez vite et complètement aux demandes : en cas de vérification complémentaire, un dossier renvoyé sous 24-48 heures évite l'aggravation vers un gel de fonds.

Éviter les gels de fonds et les suspensions

Le gel de fonds est le cauchemar de tout marchand : des dizaines de milliers d'euros bloqués pendant des mois peuvent mettre en péril une trésorerie. Quelques principes réduisent fortement ce risque :

• Maîtrisez votre taux de litiges : un taux de chargebacks élevé est le premier déclencheur de suspension. Livraisons rapides, descriptions honnêtes, service client réactif et libellé de facturation clair sont vos meilleures protections.
• Ne changez pas brutalement de modèle : passer du B2C au B2B, ajouter un produit d'un secteur régulé ou un abonnement sans prévenir peut déclencher une revue de compte.
• Diversifiez vos prestataires : dépendre d'une seule passerelle pour 100 % de vos flux crée un risque de continuité. Disposer d'un second prestataire opérationnel permet d'encaisser en cas de blocage temporaire.
• Conservez vos preuves : factures fournisseurs, preuves de livraison, contrats. En cas de demande de justification d'origine des fonds, vous devez pouvoir répondre immédiatement.
• Tenez vos informations à jour : un changement de dirigeant, d'actionnariat ou d'adresse doit être communiqué à la passerelle. Une information périmée peut bloquer un retrait au pire moment.

Enfin, gardez à l'esprit que le conseiller conformité de votre passerelle n'est pas votre adversaire. Face à une demande, la meilleure stratégie est la transparence et la réactivité : un marchand coopératif et documenté voit ses blocages levés bien plus vite qu'un marchand qui conteste ou tarde à répondre.

Questions fréquentes

Pourquoi ma passerelle de paiement me demande-t-elle autant de documents ?

Parce que la loi l'y oblige. Une passerelle qui encaisse ou détient des fonds agit comme prestataire de services de paiement ou établissement de monnaie électronique. À ce titre, elle est assujettie à la réglementation LCB-FT et doit identifier ses clients (KYC/KYB), leurs bénéficiaires effectifs et l'origine des fonds. En cas de manquement, l'ACPR peut lui infliger des sanctions se chiffrant en millions d'euros.

Combien de temps prend l'activation d'un compte marchand ?

Pour un dossier standard bien préparé, l'activation prend de quelques minutes à 48 heures chez Stripe ou Mollie. Pour un établissement plus encadré (Mangopay, Lemonway, marketplaces) ou un secteur à risque, comptez plutôt 3 à 15 jours ouvrés, le temps de la vérification des bénéficiaires effectifs. Un dossier incomplet peut rallonger ce délai à plusieurs semaines.

Pourquoi Stripe ou PayPal peuvent-ils suspendre mon compte et geler mes fonds ?

Une suspension intervient généralement quand un contrôle automatique détecte une anomalie : pic de volume inexpliqué, taux de litiges élevé, activité différente de celle déclarée, ou alerte de screening sanctions. Le gel des fonds (souvent 90 à 180 jours) est une mesure conservatoire imposée par les règles de gestion du risque et la LCB-FT. Fournir rapidement les justificatifs demandés est le meilleur moyen de le lever.

Qu'est-ce qu'un bénéficiaire effectif (UBO) ?

Le bénéficiaire effectif (Ultimate Beneficial Owner) est la personne physique qui détient, directement ou indirectement, plus de 25 % du capital ou des droits de vote d'une société, ou qui exerce un contrôle effectif sur elle. La passerelle doit l'identifier et vérifier son identité, car c'est une obligation centrale de la réglementation LCB-FT et du registre des bénéficiaires effectifs.

Les marketplaces doivent-elles faire du KYC sur leurs vendeurs ?

Oui, dès lors qu'elles encaissent pour le compte de tiers. En redistribuant les fonds aux vendeurs, une marketplace réalise une opération de paiement pour compte de tiers, réservée aux établissements agréés. C'est pourquoi elles s'appuient sur des acteurs comme Mangopay ou Lemonway, qui imposent un KYC de chaque vendeur (identité, RIB, statut) avant tout versement.

Le RGPD m'autorise-t-il à faire supprimer mes données KYC ?

Partiellement seulement. Tant que l'obligation légale de conservation LCB-FT s'applique (cinq ans après la fin de la relation d'affaires), la passerelle est tenue de conserver vos données d'identification et ne peut les effacer. Vous conservez en revanche vos droits d'accès et de rectification, et pouvez exiger la suppression une fois le délai légal écoulé.