Impact du PSD3 et du PSR sur les marketplaces et plateformes SaaS

Si vous gérez une marketplace ou une plateforme SaaS (ISV) intégrant les paiements, une question se pose derrière le bruit réglementaire : mes checkouts ou virements vont-ils vraiment changer, et que dois-je faire ? En clair : oui, des choses vont changer. Mais pas demain : vous avez jusqu'à 2027 ou 2028 pour vous préparer.

Nous avons résumé les bases dans DSP3 et PSR : qu'est-ce que c'est, et quel impact sur votre activité ?. Cet article détaille ce que cela implique pour une marketplace ou un SaaS intégrant des paiements, plutôt qu'une simple boutique en ligne.

Où en sont la DSP3 et le PSR aujourd'hui

En 2026, les institutions de l'UE ont conclu un accord politique provisoire sur la DSP3 et le PSR, la finalisation technique étant en cours. L'application dans l'EEE est attendue vers 2027-2028. Retrouvez le calendrier complet dans DSP3 et PSR : qu'est-ce que c'est, et quel impact sur votre activité ?

Rien ne change donc pour votre paiement dès demain. Mais pour les fondateurs de marketplace ou de SaaS, c'est l'année idéale pour anticiper et se préparer, sans paniquer.

Ce que la DSP3 et le PSR changent pour une marketplace

La plupart des marketplaces ressentent la DSP3 via un mécanisme clé : la façon dont vous transférez l'argent entre acheteurs et vendeurs sans détenir votre propre licence.

• L'exemption d'agent commercial se restreint. Selon les régulateurs locaux, cette règle permet parfois d'opérer des flux entre acheteurs et vendeurs sans licence, mais seulement si l'on représente réellement l'une des parties. Une marketplace classique ne le fait pas : elle applique le même traitement à tous et traite le montant convenu. Beaucoup ne seront donc pas éligibles. Avec cette mise à jour, les cas d'usage se réduisent. Sans cette exemption, vous devrez router les paiements via un partenaire régulé au lieu de détenir les fonds. Si vous collaborez déjà avec un partenaire agréé comme OPP, rien ne change pour vous.

• Responsabilité face à la fraude pour chaque vendeur. Si l'un de vos vendeurs arnaque un client et que la banque rembourse ce dernier, la responsabilité incombe à celui qui a manqué un signal d'alerte évident. Si la surveillance de votre plateforme a failli, vous serez sous surveillance, et votre partenaire de paiement pourrait hausser ses tarifs, durcir le contrat ou bloquer votre compte en cas de récidive.

• Responsabilité liée aux contenus frauduleux non retirés. Si un vendeur ou une annonce frauduleuse arnaque un client sur votre plateforme et que vous ne supprimez pas le contenu après signalement, le PSR peut vous obliger à rembourser le montant au prestataire de paiement. Les très grandes plateformes et moteurs de recherche devront aussi vérifier que les annonceurs de services financiers sont agréés ou exemptés, ou agissent pour un tiers agréé.

Ce que la DSP3 et le PSR changent pour un SaaS (ISV)

Marketplaces et plateformes SaaS abordent la DSP3 sous des angles différents, mais l'enjeu reste le même : un contrôle accru sur les acteurs manipulant réellement les fonds.

Les SaaS intégrant des paiements passent souvent par un modèle d'intermédiation de paiement (PayFac). Ainsi, un établissement de paiement (EP) ou de monnaie électronique (EME) agréé gère les contraintes réglementaires pendant que vous vous concentrez sur le produit, sans requérir de licence.

Ce qui change : la DSP3 et le PSR posent des règles plus strictes et un contrôle renforcé des tiers impliqués dans les services de paiement. L'impact sur un SaaS dépend de son architecture de paiement et du partage des responsabilités avec son partenaire agréé. 

En pratique, attendez-vous à un contrôle accru, des enregistrements et des exigences contractuelles plus strictes. Mieux vaut vérifier l'application de ces règles à votre structure plutôt que de supposer que rien ne change.

• Onboarding marchand et KYC. Tout dépend de l'opérateur de l'Onboarding. Si votre partenaire agréé intègre vos marchands en direct, cela ne vous concerne guère. Si vous gérez l'Onboarding sous sa supervision, il exigera un KYC plus solide et documenté pour répondre aux régulateurs, sans pour autant ralentir l'inscription de vos marchands.

• Responsabilité des fraudes. Si un de vos marchands escroque un client via votre checkout intégré et que la banque le rembourse, la responsabilité bascule vers celui qui a manqué un signal d'alerte évident. Si vos contrôles internes n'ont rien vu, vous serez exposé : votre partenaire de paiement pourrait revoir ses frais, durcir vos contrats ou restreindre votre compte.

• Bien choisir son partenaire devient primordial. Choisissez un acteur déjà préparé pour la DSP3 et le PSR, comme OPP, afin que vos flux d'Onboarding marchand, de KYC et de reversement n'aient pas besoin d'être repensés dès l'application des règles.

Comment la DSP3 modifie la responsabilité liée à la fraude

Si une banque ou un prestataire de paiement manque une tentative évidente d'usurpation (spoofing : un fraudeur imitant une entité de confiance comme une banque ou un fournisseur), et qu'un client ou marchand est lésé, la victime peut être exonérée de toute responsabilité. 

Pour les marketplaces comme pour les SaaS, cela rehausse le niveau de détection des fraudes exigé sur vos outils de paiement, l'Autorité bancaire européenne (ABE) devant finaliser les normes techniques afférentes.

Comment la DSP3 modifie l'authentification forte (SCA)

La DSP2 permet déjà aux banques d'ignorer la double authentification lors d'achats à faible risque, via des exemptions d'authentification forte basées sur le risque. Sont concernés les faibles montants, les bénéficiaires de confiance ou l'analyse des risques en temps réel selon le score de fraude. 

Le problème résidait dans l'uniformité : l'application variait grandement selon les pays et prestataires. Le PSR veut corriger cela via des normes techniques mises à jour par l'ABE (règles détaillant le fonctionnement pratique de la loi) sur les cas d'exemption, harmonisées dans l'UE, tout en évitant d'imposer un smartphone à chaque client. 

Pour une marketplace ou un SaaS présent dans plusieurs pays de l'UE, un client habituel réalisant le même petit achat sera traité à l'identique, que sa banque soit aux Pays-Bas ou en Allemagne, au lieu d'un paiement fluide d'un côté et bloqué par une vérification de l'autre. Cette cohérence compte : moins de frictions imprévues signifie moins d'abandons de panier et moins de clients surpris par une vérification soudaine.

Comment la DSP3 améliore les API d'open banking

Depuis 2018, les banques ont souvent pu s'appuyer sur des connexions lentes ou instables sans les corriger. Les API d'open banking peuvent donc échouer ou expirer au pire moment pour les clients.

La DSP2 imposait déjà à ces accès un niveau de disponibilité et de performance similaire à l'interface client de la banque. La DSP3 et le PSR renforcent cette obligation en supprimant l'obligation d'interface de secours permanente, tout en exigeant des API dédiées solides et de vraies mesures d'urgence en cas de panne.

Si votre marketplace ou SaaS propose le paiement par virement bancaire sur plusieurs marchés, vous bénéficierez de moins d'échecs de transaction et d'une conversion plus stable.

Comment préparer la DSP3 : check-list pour marketplaces et plateformes SaaS

En tant que marketplace, intermédiaire entre acheteurs et vendeurs, vos enjeux portent surtout sur l'exemption d'agent commercial et les reversements vendeurs. 

Pour un SaaS intégrant des paiements, il s'agit plutôt du modèle d'intermédiation et de l'Onboarding marchand. Voici les points à étudier d'ici 2028 :

1. Marketplaces : ne tenez pas l'exemption d'agent commercial pour acquise. Elle ne s'applique que si vous agissez pour le compte d'une seule partie avec un réel pouvoir de négociation ; un checkout automatisé reliant de nombreux acheteurs et vendeurs ne suffit pas. Si vous l'utilisez, discutez dès maintenant avec un partenaire de paiement régulé pour éviter les mauvaises surprises.

2. Plateformes SaaS (ISV) : vérifiez votre Onboarding marchand et votre KYC. Assurez-vous qu'ils soient assez rigoureux pour répondre aux nouvelles exigences de conformité, sans ralentir l'activation de vos marchands.

3. Dans les deux cas : échangez avec votre prestataire sans attendre la mise en place. Les détails techniques, comme les règles d'authentification de l'ABE, sont en cours de finalisation ; nul n'a encore toutes les réponses. L'essentiel est de trouver un partenaire qui suit le sujet de près et vous informe, pour ne pas naviguer à vue.

4. Dans les deux cas : n'attendez pas la date limite. Voyez la période 2026-2028 comme une phase de préparation, non comme un couperet, pour ne pas vous retrouver au pied du mur.

Le rôle d'OPP à vos côtés

C'est précisément là qu'OPP intervient, que vous pilotiez une marketplace ou un SaaS intégrant les paiements. 

Les paiements omnicanaux vous évitent une structure morcelée face au durcissement des règles de détention de fonds de la DSP3 ; une solution unique et agréée couvre vos vendeurs et marchands en ligne, en magasin ou à l'international, sans revoir votre logique par pays. 

L'Onboarding garantit la vérification des nouveaux vendeurs ou marchands selon les exigences KYC de la DSP3 et du PSR, sans ralentir leurs ventes. 

Et notre support vous assure, face à un signalement de fraude, un litige de contenu ou une obligation de distributeur, d'être guidé par une équipe déjà rompue à la DSP3 et au PSR, sans devoir déchiffrer seul les textes européens. Pour les marketplaces, cela inclut la gestion intégrée des litiges acheteur-vendeur, un atout clé vu les nouvelles règles de responsabilité sur la fraude et les contenus.

La conformité réglementaire est rarement la priorité des fondateurs. Notre rôle est de vous simplifier la tâche. Pour échanger sur les impacts pour votre plateforme, vous pouvez contacter notre équipe ici.