Votre formulaire de don est prêt. Mais avant de le mettre en ligne, une question essentielle : votre prestataire de paiement est-il conforme RGPD ? Parce que quand un donateur entre ses données, elles transitent par ce prestataire — et c'est votre responsabilité de vérifier qu'il est en règle.
Cet article complète notre guide sur les 5 erreurs RGPD fréquentes — l'erreur #1 étant « lancer une campagne de dons sans consentement clair ». Ici, on se concentre sur le prestataire lui-même.
Pourquoi c'est votre responsabilité
Quand un donateur utilise votre formulaire, vous êtes le responsable du traitement et le prestataire de paiement est votre sous-traitant (Art. 28 RGPD). Ça signifie que :
- C'est vous qui devez vérifier qu'il est conforme
- C'est vous qui devez avoir un contrat (DPA) signé avec lui
- En cas de problème, c'est vous qui êtes tenu responsable devant la CNIL
« On utilise Stripe/HelloAsso, ils sont forcément conformes. » Vrai dans une certaine mesure — mais la conformité du prestataire ne vous dispense pas d'avoir le contrat (DPA) signé et archivé. C'est la preuve que vous avez fait votre devoir de vérification.
La checklist en 5 points
Le contrat de sous-traitance (DPA)
Le DPA (Data Processing Agreement) est obligatoire dès qu'un prestataire traite des données pour votre compte. Il doit contenir :
- L'objet, la durée, la nature et la finalité du traitement
- Le type de données traitées (nom, email, montant du don, CB)
- Les obligations de sécurité du prestataire
- Les conditions dans lesquelles il peut utiliser des sous-traitants
- Les conditions de suppression/retour des données en fin de contrat
Où le trouver : la plupart des prestataires (Stripe, HelloAsso, Miapé, Lyra...) ont leur DPA disponible en téléchargement sur leur site, dans la section « Légal » ou « RGPD ».
La certification PCI-DSS
Le PCI-DSS (Payment Card Industry Data Security Standard) est le standard de sécurité pour les paiements par carte. Votre prestataire doit être au minimum PCI-DSS niveau 1 (le plus élevé).
Pourquoi ça compte pour le RGPD : l'article 32 exige des mesures de sécurité appropriées. Le PCI-DSS est la référence pour les données de paiement. Sans cette certification, le prestataire ne respecte pas le niveau de sécurité requis.
Où vérifier : le statut PCI-DSS est généralement affiché sur le site du prestataire ou disponible sur demande.
L'hébergement des données
Où sont stockées les données de vos donateurs ? La question a deux aspects :
- Hébergement en UE : c'est l'idéal — pas de transfert hors UE
- Hébergement hors UE : possible, mais nécessite des garanties appropriées (Art. 46) — clauses contractuelles types, décision d'adéquation, etc.
Où vérifier : le DPA du prestataire doit indiquer le lieu d'hébergement. S'il est vague (« selon nos besoins »), demandez une précision.
Les preuves à archiver
En cas de contrôle, la CNIL peut vous demander de prouver que vous avez vérifié votre prestataire. Les preuves à conserver :
- Le DPA signé (ou le document attestant que vous l'avez accepté)
- La certification PCI-DSS (capture ou lien daté)
- La politique de confidentialité du prestataire (version datée)
- L'attestation d'hébergement (ou la section du DPA qui le précise)
Créez un dossier « Sous-traitants » dans votre registre des traitements, ligne « campagne de dons ». Chaque preuve est un fichier daté. En 10 minutes, tout est archivé et retrouvable.
L'inscription au registre
Le prestataire de paiement doit figurer dans votre registre des traitements, ligne « campagne de dons en ligne ». Pour chaque entrée :
- Nom du prestataire
- Type de données traitées (nom, email, CB, montant)
- Lieu d'hébergement
- Statut PCI-DSS
- Département de référence
- Durée de conservation (6 ans pour les reçus fiscaux)
Tableau comparatif des principaux prestataires
| Prestataire | DPA dispo ? | PCI-DSS | Hébergement |
|---|---|---|---|
| Stripe | Oui (site) | Niveau 1 | UE + US |
| HelloAsso | Oui (site) | Oui | France |
| Miapé | Oui (sur demande) | Oui | France |
| Lyra (Systempay) | Oui (site) | Niveau 1 | France / UE |
| PayPal | Oui (site) | Niveau 1 | International |
Vérifiez toujours les informations actuelles directement sur le site du prestataire — les certifications et hébergements peuvent évoluer.
Et si le prestataire n'est pas conforme ?
Si votre prestataire ne fournit pas de DPA, n'a pas de certification PCI-DSS visible, ou ne précise pas l'hébergement — c'est un signal d'alerte. Changez de prestataire. Il existe des solutions françaises et européennes qui sont transparentes sur ces points.
Si vous ne pouvez pas produire le DPA de votre prestataire en cas de contrôle, la CNIL considère que vous n'avez pas respecté votre obligation de vérification (Art. 28). C'est une violation en soi, indépendamment de la conformité du prestataire.
La checklist finale avant de lancer
- ✅ DPA téléchargé, signé et archivé
- ✅ Certification PCI-DSS vérifiée (niveau 1)
- ✅ Lieu d'hébergement confirmé (UE = idéal)
- ✅ Prestataire inscrit au registre des traitements
- ✅ Mention du prestataire dans la politique de confidentialité
- ✅ Délai de conservation défini (6 ans pour les reçus fiscaux)
Avec cette checklist, vous êtes en règle. Et surtout, vous pouvez le démontrer — c'est ça qui compte le jour d'un contrôle.