Une marketplace cumule les rôles juridiques : éditeur de la plateforme, responsable de traitement pour les données qu'elle collecte, parfois sous-traitant pour les vendeurs qu'elle héberge. Gouvernance et conformité RGPD doivent être réglées avant le premier flux de paiement, pas après la première alerte de la CNIL.
- Créer une marketplace en 2026 impose un pacte d'associés distinct des CGV vendeurs : ne fusionnez jamais les deux documents.
- La politique de confidentialité RGPD doit distinguer responsable de traitement et sous-traitant, sinon la marketplace porte tout le risque contractuel.
- Un DPA signé avec chaque prestataire tech (hébergeur, paiement) est obligatoire avant le lancement commercial.
- Verdict : priorisez la politique de confidentialité et le DPA avant l'ouverture au public, le pacte d'associés avant toute levée de fonds.
Pourquoi c'est important
Une marketplace n'est jamais un simple site e-commerce. Elle relie au moins trois parties — la plateforme, les vendeurs, les acheteurs — et chacune génère un flux de données distinct. En 2026, la CNIL et les autorités homologues traitent ces plateformes comme des acteurs à risque élevé dès qu'elles dépassent quelques milliers d'utilisateurs actifs.
La politique de confidentialité RGPD pour marketplaces doit couvrir trois rôles à la fois : la marketplace comme responsable de traitement pour ses propres comptes utilisateurs, comme sous-traitant potentiel pour les données qu'elle transmet aux vendeurs, et comme intermédiaire technique pour les paiements. Un document générique copié d'un site e-commerce classique ne tient pas cette distinction — et c'est exactement ce que vérifie un contrôle CNIL.
La gouvernance interne compte autant que la conformité externe. Une marketplace qui lève des fonds sans pacte d'associés clair sur les décisions produit, les arbitrages entre fondateurs et la répartition du capital arrive en négociation avec un investisseur en position de faiblesse.
À qui s'adresse ce guide
Ce guide s'adresse aux fondateurs qui lancent une marketplace B2B ou B2C en France ou en Belgique — logistique, services, freelance, immobilier, SaaS vertical — et qui doivent structurer en parallèle la gouvernance entre cofondateurs et les flux de données entre plateforme, vendeurs et acheteurs. Si votre marketplace traite des paiements pour compte de tiers ou héberge des données de santé, financières ou biométriques, les enjeux RGPD se doublent d'un enjeu réglementaire sectoriel qui dépasse ce guide.
Ce qu'il faut vérifier dans la gouvernance et la data d'une marketplace
La répartition des rôles RGPD entre plateforme et vendeurs
La question centrale n'est pas "sommes-nous conformes RGPD" mais "qui est responsable de quoi". Si la marketplace décide des finalités de traitement des données clients (recommandations, scoring, retargeting), elle est responsable de traitement. Si elle se limite à transmettre les commandes aux vendeurs, elle agit comme sous-traitant sur ce flux précis. Cette distinction change qui signe quoi et qui porte la responsabilité en cas d'incident.
Le contrat de sous-traitance avec chaque prestataire tech
Hébergeur, prestataire de paiement, outil d'analytics, service de messagerie transactionnelle : chacun traite des données pour compte de la marketplace et doit signer un DPA conforme à l'article 28 du RGPD. Sans ce document, la marketplace reste seule exposée en cas de fuite de données chez un prestataire, même si la faute est technique et non contractuelle.
Les CGV et CGU adaptées au modèle à trois parties
Un contrat de vente classique suppose deux parties : vendeur et acheteur. Une marketplace en ajoute une troisième — elle-même — avec un rôle d'intermédiaire à définir précisément : mandataire, courtier, ou simple hébergeur technique. Ce statut juridique déterminant la responsabilité en cas de litige entre vendeur et acheteur doit figurer explicitement dans les conditions générales, pas dans une mention en petits caractères.
La gouvernance actionnariale entre cofondateurs
Une marketplace grossit vite dès qu'elle atteint la masse critique des deux côtés du marché. Les décisions structurantes — pivot du modèle économique, arbitrage entre croissance et marge, ouverture à un nouveau marché géographique — doivent être tranchées selon des règles fixées à l'avance dans le pacte d'associés, pas improvisées en pleine tension entre fondateurs.
Le registre des traitements et la documentation de conformité
Au-delà de la politique de confidentialité publiée, la marketplace doit tenir un registre des traitements interne listant chaque flux de données, sa finalité, sa base légale et sa durée de conservation. Ce registre est le premier document demandé lors d'un contrôle CNIL ou d'une due diligence d'investisseur.
La clause de portabilité et de suppression des données vendeurs
Quand un vendeur quitte la marketplace, ses données clients et historiques de vente doivent suivre une procédure de suppression ou de portabilité définie contractuellement. Une marketplace qui n'a rien prévu se retrouve à négocier au cas par cas, souvent sous la pression d'un vendeur mécontent qui menace de saisir la CNIL.
Les priorités à traiter, classées
La politique de confidentialité multi-parties — le socle non négociable. Sans distinction claire entre les rôles RGPD, aucun autre document ne tient. Une marketplace qui lance sans ce socle expose chaque contrat signé ensuite à une remise en cause. Verdict : à traiter avant tout lancement commercial.
Le DPA avec les prestataires tech — la police d'assurance silencieuse. C'est le document que personne ne réclame jusqu'au jour où un hébergeur subit une fuite de données. En 2026, les autorités de contrôle demandent systématiquement la preuve d'un DPA signé lors d'un contrôle. Verdict : à signer avant l'intégration technique de chaque prestataire, pas après.
Les CGV pour boutiques e-commerce adaptées au modèle marketplace — la base contractuelle du modèle à trois parties. Le statut juridique d'intermédiaire choisi (mandataire, courtier, hébergeur) doit être cohérent avec le modèle de revenu réel de la marketplace, pas avec un template générique. Verdict : à faire rédiger sur mesure, jamais copier-coller.
Le pacte d'associés avec clauses de gouvernance — l'assurance contre les blocages internes. Une marketplace qui scale sans règles de décision claires entre cofondateurs arrive en levée de fonds avec un cap table fragile. Verdict : à structurer avant la première levée, idéalement à la constitution.
Le registre des traitements — le document que personne ne montre mais que tout le monde demande. Un investisseur en due diligence ou un contrôleur CNIL le réclame systématiquement. Verdict : à tenir dès le premier flux de données, pas à reconstituer après coup.
“Une politique de confidentialité qui ne distingue pas responsable de traitement et sous-traitant ne protège personne.”
Ce qu'il faut éviter
- Un seul document de confidentialité pour les trois rôles. Fusionner responsable de traitement, sous-traitant et intermédiaire technique dans une seule politique semble simplifier les choses ; en pratique, ça dilue la responsabilité de chaque partie et complique tout litige.
- Des CGV copiées d'un site e-commerce classique. Elles ignorent le statut d'intermédiaire de la marketplace et laissent la question de responsabilité vendeur-acheteur sans réponse claire — le pire moment pour la découvrir est en plein litige.
- Un pacte d'associés rédigé après la levée seed. Les investisseurs demandent une gouvernance déjà posée ; l'improviser sous pression de négociation affaiblit systématiquement la position des fondateurs sur la répartition du capital.
Structurez la gouvernance de votre marketplace
Devis fixe en une heure, avocat senior en revue finale.
Tableau de synthèse
| Document | Rôle | Urgence 2026 | Verdict |
|---|---|---|---|
| Politique de confidentialité multi-parties | Distingue les rôles RGPD | Avant lancement | Prioritaire |
| DPA avec prestataires tech | Encadre la sous-traitance data | Avant intégration technique | Prioritaire |
| CGV/CGU adaptées marketplace | Fixe le statut d'intermédiaire | Avant ouverture aux vendeurs | À rédiger sur mesure |
| Pacte d'associés | Gouvernance entre cofondateurs | Avant levée de fonds | À structurer tôt |
| Registre des traitements | Preuve de conformité | Dès le premier flux de données | À tenir en continu |
FAQ
Faut-il créer une marketplace avec une politique de confidentialité RGPD spécifique ?
Oui, une politique générique ne distingue pas les rôles de responsable de traitement, sous-traitant et intermédiaire technique propres au modèle marketplace. En 2026, cette distinction est le premier point vérifié en cas de contrôle CNIL.
Qui est responsable de traitement dans une marketplace : la plateforme ou le vendeur ?
Cela dépend du flux de données concerné : la marketplace est responsable de traitement pour les données qu'elle collecte pour ses propres finalités, et sous-traitante pour les données qu'elle transmet aux vendeurs pour l'exécution de la commande.
Un DPA est-il obligatoire avec chaque prestataire tech de la marketplace ?
Oui, tout prestataire qui traite des données pour compte de la marketplace, hébergeur ou service de paiement, doit signer un DPA conforme à l'article 28 du RGPD avant l'intégration technique.
Quand faut-il rédiger le pacte d'associés d'une marketplace ?
Idéalement à la constitution de la société, et impérativement avant toute levée de fonds. Les investisseurs demandent une gouvernance déjà posée entre cofondateurs, pas négociée en pleine due diligence.
Les CGV d'une marketplace diffèrent-elles de celles d'un site e-commerce classique ?
Oui, une marketplace ajoute un rôle d'intermédiaire entre vendeur et acheteur qui doit être défini juridiquement, mandataire, courtier ou hébergeur, ce qu'un contrat e-commerce à deux parties ne prévoit pas.
Que se passe-t-il si un vendeur quitte la marketplace : que devient ses données clients ?
La procédure de suppression ou de portabilité doit être définie contractuellement à l'avance. Sans clause dédiée, la marketplace négocie au cas par cas, souvent sous pression.
Combien de temps prend la mise en place de la gouvernance et de la conformité RGPD d'une marketplace ?
Chez Lina, un avocat répond en 30 minutes, un devis fixe est transmis en une heure et la livraison type prend environ 36 heures pour les documents standards une fois le périmètre validé.
Faut-il un registre des traitements même pour une petite marketplace ?
Oui, dès le premier flux de données personnelles collecté. C'est le document que réclame systématiquement un investisseur en due diligence ou un contrôleur CNIL.
Un dernier point
Le point que la plupart des fondateurs découvrent trop tard : quand une marketplace impose à ses vendeurs le format ou le contenu des données clients collectées, elle devient responsable conjoint de traitement au sens de l'article 26 du RGPD, avec obligation de formaliser cet arrangement par écrit avec chaque vendeur concerné. Peu de plateformes en France l'ont documenté avant leur levée seed en 2026 — et c'est précisément le point que les investisseurs sérieux vérifient en premier lors de la due diligence juridique.