Paiements de collectivité modernisés : payer en ligne, rembourser en quelques secondes, se conformer à DSP3
Dans de nombreuses mairies, une part importante des paiements se fait encore en espèces ou par chèque. Ce n'est pas une question de volonté mais d'infrastructure. Une API de paiement en ligne conforme DSP3, couplée à SCT Inst pour les remboursements et à une régie de recettes numérique connectée à Hélios, améliore l'expérience des citoyens et libère le régisseur des tâches manuelles.
Nos clients types
Les paiements dans les services publics locaux sont l'un des derniers bastions de la procédure administrative physique. Cantine scolaire, activités périscolaires, piscine, médiathèque, parking, droits de place sur les marchés, permis de stationnement : ces services collectent des sommes modestes (de quelques euros à quelques dizaines d'euros par transaction) mais en volume très important. La part des paiements en espèces et par chèque reste majoritaire dans de nombreuses mairies en 2026. Les raisons sont multiples : habitudes des citoyens (notamment des populations âgées), absence d'interface de paiement en ligne pour certains services, réticences historiques des collectivités à déléguer l'encaissement à un PSP externe. La directive DSP3 (proposée par la Commission Européenne en juin 2023, transposition nationale en cours en 2026) renforce ces obligations et introduit de nouvelles exigences sur la lutte contre la fraude et l'Open Banking. Les remboursements aux citoyens sont un point de douleur spécifique. Un trop-perçu sur la cantine, un remboursement de caution pour une salle communale, le versement d'une aide sociale d'urgence : ces remboursements transitaient par virement SEPA standard (J+1) ou par chèque émis manuellement, avec tout le processus administratif que cela implique. Le virement SCT Inst (SEPA Credit Transfer Instantané), disponible en France depuis 2018 et obligatoire pour les établissements bancaires depuis janvier 2025 (règlement EU 2024/886), permet le crédit du compte bénéficiaire en 10 secondes maximum — une avancée concrète pour les citoyens dans des situations de fragilité financière. Enfin, la conformité RGPD sur les paiements en ligne mérite une attention particulière. Les données de paiement (numéro de carte, données bancaires) sont des données sensibles soumises à PCI-DSS (Payment Card Industry Data Security Standard). Leur stockage est en principe interdit sans certification PCI-DSS coûteuse — raison pour laquelle la tokenisation systématique (le PSP stocke les données de carte et fournit un jeton non sensible à la collectivité) est le standard actuel. Les données de transaction (qui a payé quoi, quand) sont quant à elles soumises au RGPD : durée de conservation limitée à ce qui est nécessaire, droits des personnes applicables, mention dans le registre des traitements.
La modernisation des paiements Nehos s'articule autour de trois composantes techniques intégrées, déployées en ordre de priorité selon l'analyse des flux de la collectivité. L'API de paiement en ligne est le premier pilier. Nehos intègre un PSP (Prestataire de Services de Paiement) agréé ACPR, conforme DSP3 et certifié PCI-DSS niveau 1 (Stripe, Mangopay, ou Worldline Payline selon les contraintes de la collectivité), dans les interfaces web des services payants : portail citoyen, site institutionnel, application mobile si existante. La tokenisation est systématique : aucune donnée de carte n'est jamais stockée dans les systèmes de la collectivité — seul le token PSP est conservé pour les paiements récurrents. L'authentification forte SCA (3DS2) est intégrée de façon transparente pour les paiements supérieurs aux seuils réglementaires, avec gestion des exemptions (transactions récurrentes à montant fixe, faible risque frauduleux selon le modèle du PSP). L'e-mandat SEPA est le deuxième pilier, particulièrement adapté aux services récurrents (cantine mensuelle, abonnements périscolaires, cotisations annuelles). Le mandat de prélèvement est signé électroniquement par le citoyen via une interface web, avec authentification forte, et transmis directement à la banque de la collectivité via le protocole SEPA XML. Le suivi des mandats actifs, les résiliations et les incidents de paiement (RSTO — Return Settlement Transactions Orders) sont gérés dans un back-office dédié accessible au régisseur. Ce dispositif supprime entièrement les formulaires papier de mandat SEPA et les erreurs de saisie des IBAN. Le virement SCT Inst est le troisième pilier, utilisé pour tous les remboursements aux citoyens. Via l'API SCT Inst du partenaire bancaire de la collectivité (toutes les grandes banques françaises sont raccordées depuis janvier 2025), Nehos déploie un module de remboursement instantané accessible depuis le back-office régisseur : saisie du montant, de l'IBAN du bénéficiaire (pré-rempli depuis la base tiers si le citoyen a déjà payé en ligne), validation par le régisseur habilité, et crédit du compte bénéficiaire en T+10 secondes. Une confirmation par SMS ou email est envoyée au citoyen. Ce module transforme l'expérience des citoyens en situation de fragilité financière, qui n'attendent plus J+1 ou J+5 pour accéder à des fonds qui leur sont dus. La régie de recettes numérique est le connecteur central entre ces trois piliers et la comptabilité publique de la collectivité. Chaque transaction (paiement en ligne, prélèvement SEPA, remboursement SCT Inst) génère automatiquement une écriture comptable dans Hélios avec les codes analytiques et budgétaires paramétrés lors du cadrage avec le régisseur. Le rapprochement bancaire est automatisé via le relevé de compte API (Open Banking — format CAMT.054 SEPA). Le régisseur valide les exports quotidiens en moins de 30 minutes, contre 4 heures de travail manuel hebdomadaire auparavant. Conformité RGPD : les données de transaction (montant, date, référence service, identifiant citoyen pseudonymisé) sont conservées selon les durées comptables réglementaires (10 ans). Les données bancaires des citoyens (IBAN) sont stockées en base chiffrée avec accès contrôlé par rôle (seul le régisseur habilité peut consulter les IBAN complets). Le registre des traitements est mis à jour avec les nouvelles opérations de paiement. Le DPO est associé à la rédaction de la clause d'information préalable présentée aux citoyens lors du premier paiement en ligne.
Paiements numériques
Part des paiements numériques par service, relevée avant le projet puis après chaque déploiement
Rapprochement
Temps de rapprochement hebdomadaire du régisseur, avant et après
Chèques refusés
Nombre de chèques refusés, suivi pour mesurer l'effet du paiement en ligne
#Le problème : pourquoi paiements collectivité modernisés est un enjeu critique
Les paiements dans les services publics locaux sont l'un des derniers bastions de la procédure administrative physique. Cantine scolaire, activités périscolaires, piscine, médiathèque, parking, droits de place sur les marchés, permis de stationnement : ces services collectent des sommes modestes (de quelques euros à quelques dizaines d'euros par transaction) mais en volume très important.
La part des paiements en espèces et par chèque reste majoritaire dans de nombreuses mairies en 2026. Les raisons sont multiples : habitudes des citoyens (notamment des populations âgées), absence d'interface de paiement en ligne pour certains services, réticences historiques des collectivités à déléguer l'encaissement à un PSP externe.
La directive DSP3 (proposée par la Commission Européenne en juin 2023, transposition nationale en cours en 2026) renforce ces obligations et introduit de nouvelles exigences sur la lutte contre la fraude et l'Open Banking.
Les remboursements aux citoyens sont un point de douleur spécifique. Un trop-perçu sur la cantine, un remboursement de caution pour une salle communale, le versement d'une aide sociale d'urgence : ces remboursements transitaient par virement SEPA standard (J+1) ou par chèque émis manuellement, avec tout le processus administratif que cela implique.
Le virement SCT Inst (SEPA Credit Transfer Instantané), disponible en France depuis 2018 et obligatoire pour les établissements bancaires depuis janvier 2025 (règlement EU 2024/886), permet le crédit du compte bénéficiaire en 10 secondes maximum — une avancée concrète pour les citoyens dans des situations de fragilité financière.
Enfin, la conformité RGPD sur les paiements en ligne mérite une attention particulière. Les données de paiement (numéro de carte, données bancaires) sont des données sensibles soumises à PCI-DSS (Payment Card Industry Data Security Standard). Leur stockage est en principe interdit sans certification PCI-DSS coûteuse — raison pour laquelle la tokenisation systématique (le PSP stocke les données de carte et fournit un jeton non sensible à la collectivité) est le standard actuel.
Les données de transaction (qui a payé quoi, quand) sont quant à elles soumises au RGPD : durée de conservation limitée à ce qui est nécessaire, droits des personnes applicables, mention dans le registre des traitements.
#Notre approche en 4 phases
#Phase 1 : Audit des flux de paiement et de la régie de recettes (semaines 1-2)
Cartographie des flux de paiement existants (espèces, chèque, virement, TIP, prélèvement SEPA, carte en guichet), identification des services facturés (cantine scolaire, périscolaire, eau, parking, médiathèque, piscine, billetterie), audit de la régie de recettes (montant annuel, nombre de transactions, logiciel comptable utilisé, connexion Hélios).
Voir notre expertise : API paiement en ligne collectivité.
#Phase 2 : Architecture API paiement et conformité DSP3/PCI-DSS (semaines 3-6)
Sélection du PSP (Prestataire de Services de Paiement) agréé ACPR conforme DSP3 (Stripe, Mangopay, Payline/Worldline), intégration de l'API paiement dans le portail citoyen ou les services en ligne existants, configuration de l'authentification forte SCA (Strong Customer Authentication) conforme DSP3, audit PCI-DSS du périmètre de paiement (aucune donnée carte stockée, tokenisation systématique).
Voir notre expertise : simuler le ROI paiements en ligne.
#Phase 3 : Virement SCT Inst et prélèvement SEPA (semaines 7-9)
Mise en place du virement instantané SCT Inst pour les remboursements aux citoyens (trop-perçus, remboursements de caution, aides sociales — crédit en T+10 secondes vs J+1 pour le virement SEPA standard), configuration du mandat de prélèvement SEPA électronique (e-mandat via interface web pour la cantine et les abonnements récurrents), connecteur Hélios pour la réconciliation comptable automatique.
Voir notre expertise : conformité RGPD paiements collectivité.
#Phase 4 : Formation régisseur et déploiement progressif (semaines 10-12)
Formation du régisseur de recettes sur le back-office de paiement en ligne (tableaux de bord, remboursements, gestion des litiges), déploiement progressif par service (cantine en premier, puis périscolaire, puis autres services), communication citoyenne sur les nouveaux moyens de paiement, monitoring des taux de conversion et ajustements UX.
Voir notre expertise : billetterie équipement culturel public.
#Exemple de situation
Ce qui suit est un exemple de situation pour illustrer la démarche, pas le récit d'un projet livré.
#Contexte
Une mairie d'Occitanie encaisse une grande partie de ses recettes en espèces et par chèque pour la cantine, le périscolaire, la piscine et le parking. Le régisseur traite tout à la main.
#Défi
Proposer le paiement en ligne conforme DSP3 et PCI-DSS, rembourser les citoyens plus vite par virement instantané, mettre en place l'e-mandat SEPA pour les paiements récurrents et alléger le rapprochement dans Hélios.
#Approche
Un audit des flux de paiement et de la régie, une API de paiement avec tokenisation et authentification forte, le virement SCT Inst et le prélèvement SEPA, puis la formation du régisseur et un déploiement progressif par service.
#Ce que nous mesurons
Les indicateurs de réussite sont fixés avec vous avant le lancement et relevés sur l'existant. On les suit pendant le pilote, puis on décide ensemble d'aller plus loin ou non, sur des mesures et non sur des promesses.
#Pourquoi Nehos pour paiements collectivité modernisés
Nehos Groupe n'est pas un intégrateur généraliste qui adapte une solution standard à votre contexte. On conçoit des architectures sur mesure, calibrées sur vos contraintes métier, réglementaires et techniques. Chaque projet démarre par un audit de faisabilité qui pose les limites avant les promesses — si le ROI ne tient pas, on le dit avant de signer quoi que ce soit.
Notre méthode ROI-First impose un cadrage chiffré dès la phase d'audit : coût actuel documenté, gains projetés avec hypothèses conservatrices, critères de go/no-go factuels. En production, on mesure les résultats réels et on les compare aux projections — transparence totale, y compris quand les chiffres sont en dessous des attentes.
Nos expertises connexes : conformité RGPD paiements collectivité, billetterie équipement culturel public, portail citoyen démarches en ligne.
Stack technique souverain : hébergement OVHcloud (datacenters France), modèles IA open source (Mistral) quand la performance le permet, code propriétaire intégralement détenu par le client à la livraison. Pas de vendor lock-in, pas de dépendance à un fournisseur cloud américain pour vos données critiques.
#Pour aller plus loin
Cas d'usage connexes :
Questions & réponses
Questions fréquentes sur les paiements en ligne en collectivité
La directive DSP3 (Directive sur les Services de Paiement 3), proposée par la Commission Européenne en juin 2023 et en cours de transposition en droit national en 2026, renforce et étend DSP2. Pour les collectivités, les principales implications sont : renforcement des exigences SCA (Strong Customer Authentication) avec de nouveaux facteurs d'authentification reconnus, obligations renforcées de lutte contre la fraude avec partage de données entre PSP pour la détection (Open Banking fraud data), clarification du cadre juridique pour les paiements via services de tierce partie (Open Banking), et obligation d'accès en lecture aux données de compte pour les citoyens qui le souhaitent via des API standardisées. Les collectivités utilisant des PSP agréés DSP3 (comme Stripe, Worldline, Mangopay) sont conformes par délégation — la responsabilité de la conformité DSP3 appartient au PSP, pas à la collectivité.
SCT Inst (SEPA Credit Transfer Instant) est le standard européen de virement instantané : le crédit du compte bénéficiaire est garanti en moins de 10 secondes, 24h/24 et 7j/7, y compris les week-ends et jours fériés. Le règlement européen 2024/886 impose à toutes les banques de la zone SEPA de proposer SCT Inst depuis janvier 2025 (pour les banques françaises de détail). Pour une collectivité, cela signifie que les remboursements aux citoyens (trop-perçus cantine, cautions, aides sociales) peuvent être crédités en temps réel, sans délai. Nehos intègre l'API SCT Inst de la banque principale de la collectivité dans le back-office régisseur : le régisseur saisit le montant et valide, le citoyen reçoit le crédit en 10 secondes et une confirmation par email. Ce service est particulièrement précieux pour les ménages à faibles revenus qui ne peuvent pas attendre J+1.
La tokenisation est le mécanisme qui permet à une collectivité d'accepter des paiements par carte sans jamais stocker les données sensibles (numéro PAN, CVV, date d'expiration) dans ses propres systèmes. Concrètement : lors du paiement, le citoyen saisit ses données de carte directement sur l'interface sécurisée du PSP (chargée en iframe depuis les serveurs PCI-DSS du PSP). Les données de carte ne transitent jamais par les serveurs de la collectivité. Le PSP renvoie à la collectivité un token unique (une chaîne alphanumérique de référence) qui représente la carte pour les paiements futurs. Ce token ne peut pas être utilisé pour débiter la carte en dehors du contrat entre la collectivité et le PSP. La collectivité ne stocke que le token — aucune obligation PCI-DSS pour les données de carte. C'est le seul mode d'intégration acceptable pour les paiements en ligne en 2026.
La connexion entre le système de paiement en ligne et Hélios (logiciel de comptabilité publique de la DGFiP) est une contrainte spécifique aux collectivités et à la comptabilité M14/M57. Nehos déploie un connecteur sur mesure qui génère quotidiennement les fichiers d'écritures de recettes au format compatible avec l'import Hélios (format Indigo DGFiP ou format PES V2 selon la version), avec les codes budgétaires et analytiques paramétrés lors du cadrage avec le régisseur et le comptable public de la collectivité. Le rapprochement bancaire est automatisé via les relevés de compte au format CAMT.054 (standard SEPA ISO 20022) fournis par la banque de la collectivité. Le régisseur valide les écritures dans Hélios en moins de 30 minutes par jour.
Oui, c'est l'un des cas d'usage les plus demandés et les mieux maîtrisés par Nehos. La tarification au quotient familial (QF) est calculée selon les données transmises par les familles (avis d'imposition, données CAF) et attribuée par le service de la collectivité dans le logiciel de gestion de la cantine (Concerto, JVS, Meal Voucher ou autre). L'interface de paiement en ligne Nehos récupère le tarif attribué à chaque famille via une API ou un fichier d'échange avec le logiciel de cantine, et présente à la famille son solde dû au tarif qui lui a été attribué. La famille paie le montant exact sans avoir à saisir son QF dans l'interface de paiement — le calcul reste dans le logiciel métier. En cas de contestation du tarif, le contact se fait avec le service de la collectivité, pas avec l'interface de paiement.
Le coût dépend du nombre de services facturés (cantine, périscolaire, piscine), du niveau d'intégration avec Hélios et du recours au virement instantané ou à l'e-mandat SEPA. Nous chiffrons sur devis, en 48 h après un premier échange.