KYC, RGPD, DPO, DAC7, CSSF, EMI, TRACFIN, Mangopay : ce que ces sigles veulent dire et pourquoi ils bloquent (parfois) votre argent.
KYC— Know Your Customer
Procédure d'identification du client imposée à tous les établissements financiers européens.
Le KYC est l'obligation, pour un établissement financier ou de paiement comme Mangopay, de vérifier l'identité réelle de ses clients avant d'autoriser certaines opérations. Cette obligation découle de la directive européenne anti-blanchiment et de la loi luxembourgeoise du 12 novembre 2004. Concrètement : pièce d'identité valide, RIB au même nom, et parfois justificatifs supplémentaires. Sur Vinted, le KYC se déclenche dès qu'un certain seuil de volume est atteint.
RGPD— Règlement Général sur la Protection des Données
Règlement européen 2016/679 qui encadre le traitement des données personnelles dans toute l'UE.
Le RGPD donne à toute personne plusieurs droits exerçables auprès des entreprises qui traitent ses données : droit d'accès (article 15), droit à l'effacement (article 17), droit d'opposition aux décisions automatisées (article 22), droit de plainte auprès d'une autorité de contrôle (article 77). Pour les utilisateurs aux porte-monnaie bloqués, l'article 15 est central : il oblige la plateforme à communiquer la copie des données qui ont conduit au blocage, dans un délai d'un mois.
DPO— Data Protection Officer / Délégué à la Protection des Données
Personne désignée par une entreprise pour traiter les demandes liées au RGPD.
Le DPO est obligatoire pour la plupart des grandes plateformes. Il reçoit les demandes d'accès aux données (article 15 RGPD), les demandes d'effacement (article 17), et plus généralement toute correspondance liée à la protection des données. C'est l'interlocuteur officiel à viser quand vous voulez exiger des explications sur un blocage de compte. Pour Vinted : dpo@vinted.com. Pour Leboncoin : dpo@leboncoin.fr. Pour Airbnb : dpo@airbnb.com.
DAC7— Directive sur la Coopération Administrative n°7
Directive européenne qui oblige les plateformes à signaler les vendeurs dépassant 30 ventes ou 2 000 € par an.
DAC7 est entrée en vigueur le 1er janvier 2023. Elle force les plateformes (Vinted, Leboncoin, Airbnb, eBay, Etsy…) à transmettre annuellement à l'administration fiscale la liste de leurs vendeurs ayant dépassé l'un des deux seuils : 30 transactions OU 2 000 € de chiffre d'affaires annuel. C'est ce qui déclenche les blocages de retraits sur Vinted pour les vendeurs intensifs, parce que la plateforme exige alors un statut de vendeur professionnel pour autoriser les versements.
CSSF— Commission de Surveillance du Secteur Financier
Régulateur financier luxembourgeois, autorité de tutelle de Mangopay et de nombreux EMI européens.
La CSSF est l'équivalent luxembourgeois de l'ACPR française ou de la BaFin allemande. Elle agrée et supervise tous les établissements financiers domiciliés au Luxembourg, dont Mangopay SA (agréée EMI sous la référence n°3812). Pour les utilisateurs, la CSSF propose une procédure de résolution extrajudiciaire des réclamations, gratuite et formalisée par le règlement CSSF N°16-07 : c'est la voie la plus efficace pour faire débloquer un porte-monnaie Mangopay quand le service client n'aboutit pas.
EMI— Electronic Money Institution / Établissement de Monnaie Électronique
Établissement agréé pour émettre de la monnaie électronique et opérer des porte-monnaie virtuels.
Un EMI a un agrément distinct d'une banque traditionnelle : il peut héberger de l'argent et l'utiliser pour des paiements, mais ne peut pas accorder de crédit. Mangopay, Lemonway, PayPlug ou encore Stripe Issuing sont des EMI. En Europe, un EMI agréé dans un État membre peut opérer dans toute l'UE via le passeport européen : c'est pour cela que Mangopay (luxembourgeois) peut servir Vinted, Leboncoin, Airbnb et des centaines d'autres plateformes françaises.
TRACFIN— Traitement du Renseignement et Action contre les Circuits Financiers Clandestins
Service français de renseignement financier qui reçoit les déclarations de soupçon des établissements financiers.
TRACFIN est rattaché au ministère de l'Économie et des Finances. Quand une banque, un EMI ou une plateforme suspecte une opération de blanchiment ou de fraude, elle est légalement obligée d'envoyer une déclaration de soupçon à TRACFIN. La loi (article L.561-18 du Code monétaire et financier) interdit alors à l'établissement d'informer le client de l'existence de cette déclaration. C'est pour cela que certains blocages Mangopay sont totalement opaques et durent des mois sans explication possible.
Mangopay— Mangopay SA
Établissement de monnaie électronique luxembourgeois qui opère les paiements de Vinted, Leboncoin, Airbnb et de nombreuses plateformes.
Mangopay SA est un EMI agréé par la CSSF luxembourgeoise sous la référence n°3812. Son rôle est d'héberger techniquement les porte-monnaie virtuels des utilisateurs des plateformes et de gérer tous les flux financiers (encaissements, virements, remboursements). Quand votre porte-monnaie Vinted est bloqué, c'est presque toujours une décision de Mangopay (KYC, contrôle anti-fraude, vérification d'IBAN…) et non de Vinted directement. Le service client de la plateforme ne peut souvent rien faire, parce que la décision technique appartient à Mangopay.
CNIL— Commission Nationale de l'Informatique et des Libertés
Autorité française de protection des données personnelles.
La CNIL est l'autorité française qui veille au respect du RGPD. Elle reçoit les plaintes des particuliers contre les entreprises qui ne respectent pas leurs obligations en matière de données personnelles. Le 2 juillet 2024, la CNIL a participé (dans le cadre de la procédure one-stop-shop GDPR) à la sanction de 2 385 276 € prononcée contre Vinted UAB par l'autorité lituanienne. Cette décision est aujourd'hui un argument juridique majeur pour les utilisateurs aux porte-monnaie bloqués : elle confirme que les pratiques de bannissement opaque violent le RGPD.
Article 15 RGPD
Article qui consacre le droit d'accès aux données personnelles : toute personne peut exiger la copie de ses données.
L'article 15 du Règlement UE 2016/679 donne à toute personne le droit d'obtenir, gratuitement et dans un délai d'un mois, la copie de toutes les données personnelles qu'une entreprise détient sur elle. Pour les comptes bloqués, c'est l'arme principale : vous pouvez exiger la communication des données qui ont conduit au blocage, ainsi que la logique de toute décision automatisée (article 22). C'est ce qui force Vinted, Leboncoin et autres à motiver leurs décisions au lieu de répondre par des messages génériques.
Article 22 RGPD
Article qui encadre les décisions automatisées affectant significativement une personne.
L'article 22 du RGPD dit qu'une personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou l'affecte significativement. Quand un algorithme bloque votre porte-monnaie sans intervention humaine, vous pouvez exiger que la décision soit réexaminée par un humain et obtenir une explication sur la logique sous-jacente. C'est complémentaire à l'article 15 et particulièrement utile face aux décisions de scoring anti-fraude.
Règlement CSSF N°16-07
Règlement luxembourgeois qui organise la procédure de résolution extrajudiciaire des réclamations contre les établissements financiers.
Le règlement CSSF N°16-07 du 26 octobre 2016 (publié au Mémorial A n°228 du 11 novembre 2016) résulte de la transposition de la directive européenne 2013/11/UE sur le règlement des litiges de consommation. Il vous permet de saisir gratuitement la CSSF dès lors que vous avez préalablement adressé une réclamation à Mangopay et qu'elle est restée sans réponse satisfaisante pendant un mois. La CSSF rend sa décision sous 90 jours maximum.
Maintenant que vous comprenez le vocabulaire
Diagnostiquez votre cas en 3 minutes et recevez les courriers officiels prêts à envoyer.