Dans une marketplace réglementée, demander un PDF n’est pas un contrôle. C’est seulement déplacer le risque dans une pièce jointe. Le problème commence lorsque l’offre paraît publiable, mais que personne ne sait dire si le document couvre la bonne entreprise, la bonne activité, le bon territoire et la bonne période. Un fichier peut être authentique et pourtant ne rien prouver pour la transaction envisagée.
La plateforme doit donc transformer une exigence juridique ou sectorielle en décision produit compréhensible : cette entreprise peut-elle proposer cette catégorie, dans ces conditions, jusqu’à quelle date ? La réponse doit rester explicable au vendeur, vérifiable par les opérations et applicable automatiquement au catalogue. Elle ne peut pas dépendre de la mémoire de la personne qui a étudié le dossier.
Ce travail ne remplace pas l’analyse d’un juriste ou d’un spécialiste du secteur. Il organise sa traduction dans le produit. Le périmètre exact dépend du service vendu, du pays, du type de vendeur et du rôle contractuel de l’opérateur. Le règlement européen sur les services numériques, par exemple, prévoit des obligations de traçabilité des professionnels pour certaines plateformes permettant de conclure des contrats à distance avec des consommateurs. Une verticale peut ajouter ses propres autorisations, diplômes, assurances ou contrôles.
La bonne architecture ne cherche pas une règle universelle. Le socle d’une marketplace opérateur doit permettre de faire varier les exigences sans rendre le parcours illisible ni ouvrir une exception permanente dans le back-office.
Le vrai problème : décider, pas stocker des fichiers
Un dossier documentaire contient des éléments de nature différente. Un extrait de registre identifie une organisation. Une attestation établit une couverture pendant une période. Un diplôme peut qualifier une personne physique. Une autorisation administrative peut porter sur un établissement ou sur une zone précise. Les réunir dans une rubrique « documents validés » efface les conditions qu’ils démontrent.
La décision attendue doit être formulée avant le premier écran : « le vendeur V peut publier le service S dans le département D jusqu’au 30 septembre ». Cette phrase force l’équipe à nommer le sujet contrôlé, l’objet autorisé, la portée géographique et l’échéance. Si une donnée manque, le système sait quelle capacité retenir ; si la preuve expire, il sait quelles offres revoir.
Contre-intuitivement, un dossier complet n’implique pas toujours une autorisation globale. Une société peut être correctement identifiée et disposer d’une habilitation valable pour une seule activité. Le compte vendeur reste actif tandis qu’une catégorie demeure fermée. Ce découplage évite de suspendre tout un catalogue pour une anomalie locale.
Cartographier les règles avant de dessiner le parcours
La première séance utile réunit le métier, les opérations, le produit, la sécurité et le conseil compétent. Elle ne commence pas par la liste des champs du formulaire. Elle dresse une matrice : type de vendeur, produit ou service, territoire, preuve requise, source de vérification, personne habilitée à statuer, durée de validité et conséquence d’un refus.
Chaque ligne doit préciser si le contrôle découle d’un fondement juridique, d’un contrat, d’une politique de risque ou d’un choix commercial. Cette origine compte : elle détermine qui peut modifier la règle et comment justifier une exception. Une exigence interne peut être assouplie par un comité défini ; une obligation externe ne se contourne pas avec une simple validation managériale.
- Condition d’entrée : quelles informations déclenchent le contrôle et à quel moment du parcours vendeur ?
- Objet de la décision : compte, établissement, personne, catégorie, offre ou combinaison de ces objets.
- Autorité : base officielle, organisme émetteur, expert interne ou prestataire mandaté.
- Effet produit : publication autorisée, visibilité limitée, demande de correction, suspension ou retrait.
- Réexamen : date certaine, modification d’une donnée, signalement, révocation ou changement réglementaire.
Cette matrice devient le contrat fonctionnel. Sans elle, l’équipe technique finit par coder la première interprétation entendue, puis empile des conditions à mesure que des cas nouveaux apparaissent.
Séparer l’identité, l’éligibilité et l’offre
Trois décisions sont souvent confondues. L’identité répond à « qui vend ? ». L’éligibilité répond à « que cette entité est-elle autorisée à proposer ? ». La modération de l’offre répond à « cette fiche particulière respecte-t-elle les règles de présentation et de contenu ? ». Chacune possède ses preuves, ses statuts et ses motifs.
Un modèle robuste rattache la validation à son objet exact. L’organisation porte ses données légales ; l’établissement porte éventuellement son adresse et son autorisation locale ; un professionnel porte sa qualification ; la relation entre cette personne et l’entreprise porte sa propre période ; enfin, l’offre référence l’éligibilité dont elle dépend. La suppression d’un compte utilisateur ne doit pas effacer l’historique de la décision prise pour l’entreprise.
Ce découpage améliore aussi l’expérience vendeur. Une correction d’adresse ne devrait pas obliger à renvoyer une attestation indépendante. À l’inverse, le changement d’établissement ne peut pas réutiliser silencieusement une autorisation attachée à l’ancien site.
Construire une preuve exploitable et proportionnée
La preuve n’est pas nécessairement le document original affiché à tous les collaborateurs. Il faut distinguer le fichier reçu, les données extraites, le résultat d’une interrogation de registre, les observations de l’expert et la décision finale. Les accès peuvent alors être ajustés à la sensibilité de chaque élément.
Une pièce utile possède au minimum un type, un émetteur déclaré, un titulaire, un identifiant, une période de validité, un fichier ou une référence vérifiable et la date de collecte. L’application conserve aussi son empreinte technique afin de repérer un remplacement silencieux. Elle n’invente pas une authenticité : elle consigne ce qui a été reçu et la méthode employée pour le contrôler.
Lorsque la vérification repose sur une base publique, le résultat horodaté et la référence interrogée comptent davantage qu’une capture d’écran isolée. Lorsque seule une expertise humaine est possible, la grille de décision doit imposer des critères observables. « Semble conforme » n’est pas exploitable ; « titulaire identique à l’établissement, activité couverte, échéance postérieure de 90 jours » l’est.
Le principe de proportionnalité reste central. Réclamer une copie d’identité au seul motif qu’elle pourrait servir un jour augmente le risque de sécurité. La CNIL rappelle le principe de minimisation : seules les données nécessaires à la finalité annoncée doivent être collectées.
Encadrer la décision de l’expert
L’expert ne devrait pas recevoir une pile indifférenciée. Sa file affiche le motif du contrôle, la règle applicable, les pièces attendues, les données incohérentes et l’effet d’une décision. Il peut accepter, demander une correction, refuser ou transmettre à un second niveau. Chaque choix impose un motif structuré et permet un commentaire factuel.
Le double regard n’est pas nécessaire partout. Il se réserve aux décisions à fort impact, aux règles ambiguës ou à un échantillon de contrôle qualité. L’objectif n’est pas de multiplier les clics, mais de limiter les décisions irréversibles prises par une seule personne sans contexte.
Une délégation doit avoir une portée. L’expert A peut examiner une catégorie et un pays pendant une période donnée ; il ne reçoit pas automatiquement le droit de valider toutes les verticales. Le journal d’habilitation relie le rôle, la date et le périmètre. Quand l’équipe change, les décisions anciennes restent compréhensibles sans conserver des accès devenus inutiles.
Bloquer précisément ce qui doit l’être
Le contrôle réglementaire doit intervenir au dernier moment où il évite réellement le risque, sans empêcher le vendeur de préparer son travail. Il peut être pertinent d’autoriser la création d’une fiche en brouillon tout en interdisant sa publication. Le vendeur voit ainsi les attributs attendus et peut avancer pendant l’examen de son dossier.
La règle de publication interroge une décision d’éligibilité, pas la présence brute d’un document. Elle vérifie que la décision est acceptée, encore valide et compatible avec la catégorie, le territoire et l’établissement de l’offre. Une modification substantielle remet la fiche en attente si elle touche l’une de ces dimensions.
Le message de blocage doit rester précis : la qualification est expirée pour cette catégorie, ou l’établissement sélectionné n’est pas couvert. « Compte non conforme » pousse le vendeur vers le support et ne lui donne aucun moyen de corriger. Le back-office doit présenter exactement la même cause que l’interface vendeur.
Gérer expiration, renouvellement et révocation
Une date de fin ne suffit pas. Certaines preuves expirent à échéance fixe ; d’autres deviennent caduques lors d’un changement de titulaire, d’établissement ou d’activité. D’autres encore peuvent être révoquées par l’émetteur. La plateforme doit donc combiner échéance, événements métier et contrôles périodiques.
Les rappels commencent assez tôt pour laisser au vendeur le temps d’obtenir une nouvelle pièce. À J-60, le message peut demander le renouvellement ; à J-15, il avertit de l’effet exact ; à l’échéance, la politique choisie s’applique. Ces valeurs sont des exemples de pilotage, pas des durées légales universelles. Chaque verticale doit fixer les siennes.
Le remplacement crée une nouvelle version au lieu d’écraser l’ancienne. Tant que la nouvelle pièce n’a pas été étudiée, la décision précédente conserve son état selon la règle adoptée. Le produit évite ainsi deux extrêmes : couper immédiatement une offre encore autorisée, ou prolonger indéfiniment une preuve arrivée à terme.
Prévoir correction et recours sans contournement
Un refus peut venir d’une pièce illisible, d’une information contradictoire, d’une absence d’habilitation ou d’une activité hors périmètre. Ces motifs n’appellent pas la même suite. Les deux premiers sont souvent corrigibles ; les deux derniers peuvent fermer durablement la capacité demandée.
Le vendeur doit savoir ce qui a été examiné, quelle exigence n’est pas remplie et quelle action est disponible. La Commission européenne rappelle que les décisions de modération prises dans le champ du DSA doivent être accompagnées de motifs clairs et spécifiques. La mécanique de recours mérite donc d’être conçue avec le contrôle initial, et non ajoutée après les premiers litiges.
Une demande de réexamen ne réactive pas automatiquement l’offre. Elle crée une version liée à la décision contestée, préserve le motif initial et confie le dossier à une personne habilitée. Si le résultat change, le système enregistre ce qui a justifié ce changement. Cette continuité protège à la fois le vendeur et l’opérateur.
Rendre chaque décision retraçable
Le journal métier doit répondre à six questions : qui a demandé le contrôle, sur quel objet, avec quelles preuves, selon quelle version de règle, qui a décidé et quel effet a été appliqué. Une ligne de log technique ne suffit pas si elle ne permet pas de reconstituer le raisonnement opérationnel.
Contrat d’exécution. Les entrées réunissent l’identifiant du vendeur, l’objet contrôlé, les références documentaires et la version de politique. La sortie contient un statut, un motif, une portée et une échéance. Le service de décision est owner de cette sortie ; le catalogue ne fait que la consommer. La journalisation conserve l’identifiant de corrélation entre dépôt, examen et publication.
Reprise contrôlée. Si l’événement de validation n’atteint pas le catalogue, une file permet le retry sans demander une seconde décision à l’expert. Une clé d’idempotence empêche l’application en double. Le monitoring alerte sur les décisions acceptées mais non propagées depuis plus de 5 minutes, et le runbook décrit le repli : suspendre uniquement les nouvelles publications concernées pendant la réparation.
Cette séparation des responsabilités évite qu’un agent support modifie directement une fiche pour contourner un incident. La correction porte sur la propagation ou sur la décision source, puis l’état dérivé est recalculé.
Limiter les données et organiser leur conservation
Une preuve peut contenir adresse personnelle, photographie, date de naissance ou numéro d’identification. Toutes ces informations ne sont pas forcément nécessaires au contrôle. Le dépôt doit indiquer ce qui est attendu, permettre si possible l’occultation des données superflues et réserver l’accès au petit nombre de personnes qui en ont besoin.
Les durées ne se règlent pas avec une valeur identique pour tous les fichiers. La CNIL distingue notamment la base active et l’archivage intermédiaire, et demande de déterminer la conservation selon la finalité, les obligations applicables et les besoins justifiés. La politique doit donc couvrir chaque catégorie de preuve, la décision associée, les journaux et les éventuels dossiers contentieux.
La suppression devient une fonction du produit. Un traitement planifié repère les éléments arrivés à terme, applique anonymisation, archivage ou effacement selon la politique, et produit un compte rendu contrôlable. Il faut tester aussi la restauration d’une sauvegarde : une donnée supprimée ne doit pas réapparaître durablement après un incident.
Mesurer la qualité du contrôle
Le délai moyen de validation est utile, mais il peut récompenser une mauvaise pratique : accepter vite et corriger plus tard. Il faut le lire avec le taux de dossiers retournés, le taux de décisions annulées en recours, le nombre d’offres suspendues après publication et la part des dossiers dont l’échéance est proche sans renouvellement engagé.
Les métriques doivent être segmentées par catégorie, motif, pays, type de vendeur et niveau d’expertise. Si 18 % des dossiers d’une catégorie reviennent pour la même pièce, le problème vient peut-être de l’instruction ou du formulaire. Si moins de 2 % des décisions d’un expert comportent le motif obligatoire alors que la moyenne dépasse 95 %, il faut vérifier sa file et ses habilitations.
Un seuil provoque une action connue. Plus de 30 dossiers en attente depuis 48 heures déclenchent un renfort ou une limitation temporaire de l’acquisition. Trois annulations de décision sur un même motif ouvrent une revue de règle. Une propagation supérieure à 5 minutes déclenche l’astreinte technique. Les chiffres sont à calibrer sur le volume réel ; leur valeur vient surtout de la décision attachée.
Cas concret : une autorisation limitée à un périmètre
Imaginons une marketplace de services où une société possède deux établissements. Elle dépose une autorisation couvrant le premier établissement et une seule famille de prestations. L’identité de la société est confirmée, mais l’éligibilité doit rester limitée à cette combinaison. Le vendeur prépare 80 offres, dont 52 relèvent du périmètre autorisé.
Au premier scénario de recette, les 52 offres compatibles passent en publication ; les 28 autres restent en brouillon avec un motif lisible. L’expert remplace ensuite la décision par une version étendue après réception d’une seconde autorisation. Le catalogue reçoit l’événement, réévalue les offres concernées et publie celles qui satisfont aussi la modération de contenu. Aucun compte global n’est fermé.
Au scénario d’échec, l’événement est consommé deux fois. L’idempotence garantit une seule transition. Au scénario de révocation, les offres dépendantes sont retirées en moins de 10 minutes, les commandes déjà conclues sont confiées à une procédure séparée et le support reçoit la liste des clients à informer. Le test démontre ainsi la portée réelle de la preuve, pas seulement la réussite du dépôt.
Pour qui cette méthode convient
Elle convient aux opérateurs qui ouvrent une catégorie où la capacité à vendre dépend d’une identité professionnelle, d’une qualification, d’une assurance, d’une autorisation ou d’un document produit. Elle est particulièrement utile lorsque plusieurs pays, établissements ou personnes peuvent modifier la portée de la décision.
Pour une simple place de mise en relation sans transaction, ou pour une activité sans exigence particulière, certaines briques seraient disproportionnées. La cartographie reste néanmoins utile pour vérifier le rôle exact de la plateforme. Le choix du niveau de contrôle doit être confirmé avec le conseil juridique compétent, et non déduit du seul nom commercial de la verticale.
Les erreurs qui fragilisent une verticale réglementée
- Valider un compte entier : une preuve partielle finit par autoriser des catégories qu’elle ne couvre pas.
- Écraser le fichier précédent : l’équipe ne peut plus expliquer la décision applicable à une date passée.
- Mélanger contrôle et publication : l’expert devient modérateur de chaque fiche, même quand son avis porte seulement sur l’éligibilité.
- Masquer les motifs : le vendeur ouvre des tickets parce qu’il ignore la correction attendue.
- Oublier les événements de révocation : une pièce reste affichée comme valide jusqu’à sa date théorique.
- Conserver toutes les pièces sans politique : le stock documentaire augmente sans améliorer la capacité de preuve.
Une autre erreur consiste à automatiser une décision encore instable. L’extraction de données et les contrôles déterministes peuvent accélérer l’expert. Ils ne doivent pas transformer une probabilité opaque en refus définitif. Les cas incertains rejoignent une file humaine, avec le contexte qui a déclenché l’incertitude.
Plan d’action en six semaines
Semaines 1 et 2 : fermer le périmètre de décision
L’équipe inventorie les catégories, pays et types de vendeurs du premier lot. Pour chaque combinaison, elle documente la règle, sa source, l’objet contrôlé, la preuve attendue et la conséquence produit. Le juriste ou l’expert sectoriel valide cette carte. Les cas inconnus sont marqués comme tels : ils ne sont pas transformés en fausse règle générique.
Le produit définit ensuite les états et transitions. Un dossier peut être incomplet, prêt à examiner, en analyse, à corriger, accepté, refusé, expiré ou révoqué. Chaque transition possède un acteur, un motif et un effet. Le test de compréhension consiste à expliquer en une phrase ce qu’un vendeur peut encore faire dans chaque état.
Semaines 3 et 4 : construire le chemin complet
Le dépôt documentaire, la file experte et la règle de publication sont reliés sur une seule catégorie. Les entrées, sorties, dépendances et habilitations sont consignées. L’équipe branche la journalisation, l’identifiant de corrélation et les alertes avant d’élargir le catalogue. Elle teste une acceptation, une correction et un refus motivé.
La sécurité vérifie les droits d’accès, le chiffrement, la prévisualisation des fichiers et la protection contre les contenus malveillants. La politique de conservation reçoit un owner et un traitement testable. Le support prépare ses réponses à partir des motifs réellement retournés par le produit, sans tableau parallèle.
Semaines 5 et 6 : éprouver les exceptions
La recette rejoue l’expiration pendant une commande, le remplacement d’une pièce, la révocation, l’événement reçu deux fois, la dépendance indisponible et le recours accepté. Pour chaque cas, l’état final des offres est vérifié. Le rollback technique ne doit jamais fabriquer une autorisation qui n’a pas été décidée.
Le pilote ouvre avec un volume borné et des seuils explicites. La revue quotidienne examine les dossiers âgés, les retours vendeur, les divergences entre décision et catalogue ainsi que les interventions manuelles. L’ouverture d’une seconde catégorie attend que ces écarts soient compris, pas seulement que la première semaine se soit écoulée.
- À valider : une catégorie dont toutes les règles possèdent une source, un responsable et un effet produit testé.
- À bloquer : toute publication dont l’éligibilité est absente, expirée ou incompatible avec l’offre.
- À corriger : les motifs qui génèrent des retours répétés sans améliorer la sélection des vendeurs.
- À différer : le pays ou la catégorie dont l’équipe ne sait pas encore traiter le recours et la révocation.
Approfondir l’onboarding et la modération
La validation experte s’inscrit dans une chaîne plus large. L’analyse du taux de refus pendant l’onboarding permet de distinguer une sélection saine d’un parcours qui fabrique inutilement des dossiers incomplets.
Une fois le vendeur éligible, la validation des fiches produits sensibles traite la conformité propre à chaque offre. Pour les catégories qui résistent aux règles déterministes, l’organisation d’une modération humaine ciblée aide à réserver l’expertise aux situations qui en ont vraiment besoin.
Le socle de création et d’exploitation d’une marketplace permet enfin de replacer ce workflow dans l’onboarding vendeur, le catalogue, le back-office et le support opérateur.
Conclusion : une preuve doit produire une décision
Une marketplace réglementée devient défendable lorsque chaque preuve est rattachée à un objet, une portée, une règle et une période. Le vendeur comprend ce qui lui est permis ; l’expert statue dans un cadre défini ; le catalogue applique la décision sans l’interpréter.
La qualité ne se mesure pas au nombre de documents collectés. Elle se voit dans la capacité à bloquer seulement les offres concernées, renouveler une autorisation sans perdre l’historique, expliquer un refus et réagir à une révocation.
Si votre verticale combine exigences sectorielles, validation humaine et publication automatisée, l’accompagnement marketplace de Dawap peut structurer ce parcours avec vos experts métier, vos opérations et votre équipe technique.
