GoCardless
Synthèse de la propriété et de l’exposition au CLOUD Act.
-
Souverain UE Détenu et exploité dans l’UE/EEE/Suisse, sans exposition au CLOUD Act identifiée.
-
Basé UE Exploité dans l’UE, avec au plus une exposition américaine mineure ou transitoire.
-
Hébergé UE Cette fiche Hébergement UE disponible, mais une maison mère américaine ou un sous-traitant hyperscaler crée une exposition matérielle.
-
Lié aux US Exploité par une entité constituée aux États-Unis, directement soumise à la juridiction américaine.
London-based UK direct-debit and recurring-payments specialist (FCA-authorised); Mollie acquisition announced Dec 2025.
GoCardless propose un hébergement européen au Royaume-Uni, mais une maison mère ou un sous-traitant américain laisse une exposition matérielle au CLOUD Act. Référencé dans la catégorie Paiements.
Notes d’évaluation
GoCardless Ltd (Sutton Yard, 65 Goswell Road, London EC1V 7EN; Companies House 07495895) is the UK direct-debit-and-recurring-payments specialist, FCA-authorised under the Payment Services Regulations 2017 (597190), but in December 2025 Dutch Mollie announced an acquisition agreement valuing the company at ~US$1.1B, the deal subject to regulatory approval and still not closed at the August 2026 re-verification, so the immediate ownership state is in transition; UK post-Brexit jurisdiction plus a historical cap-table mix (Permira UK + BlackRock US + Accel US + Balderton UK) results in cloud_act_exposure: material and ownership_signal: other (transition pending Mollie acquisition close); there is no self-serve DPA, though a versioned sub-processor list naming 23 suppliers is published.
Constats
- CLOUD Act
- Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
-
- Actionnariat
- Propriété
Où se situe le contrôle ultime de la société exploitante.
-
Propriété UE Établie et contrôlée dans l'UE ; pas de participation américaine notable.
-
Siège UE, financement US Siège dans l'UE mais contrôlée par des capitaux américains (VC/PE).
-
Filiale UE, maison mère US Société d'exploitation européenne détenue par une société mère américaine.
-
Propriété US La société exploitante a elle-même son siège aux États-Unis.
-
Autre Cette fiche Une juridiction hors UE. La propriété suisse/EEE compte ici comme européenne ; le Royaume-Uni et d'autres non.
-
- Sous-traitants
- 23 · 17 US
Signaux vérifiés
-
Hébergement UE / adéquation: Oui
-
Opérateur UE / adéquation: Oui
-
Aucune exposition au CLOUD Act: Non
-
DPA public: Non
-
Sous-traitants divulgués: Oui
-
Clients open source: Non
-
Certification tierce: Non
Aller à
À propos de GoCardless
GoCardless is a London-headquartered UK payments platform specialising in direct debit and recurring payments, operated by GoCardless Ltd (Sutton Yard, 65 Goswell Road, London EC1V 7EN; Companies House 07495895). Founded in 2011 by Hiroki Takeuchi, Tom Blomfield, and Matt Robinson, the company is authorised by the UK's Financial Conduct Authority under the Payment Services Regulations 2017 (registration 597190) and supports a uniquely broad set of bank-to-bank schemes: Bacs (UK), SEPA Direct Debit (Eurozone), ACH (US), BECS (Australia and New Zealand), PAD (Canada), Autogiro (Sweden), and Betalingsservice (Denmark). The product is positioned as the direct-debit-and-recurring-payments alternative to Stripe/PayPal, particularly strong for subscription SaaS, B2B invoicing, charities, and any business with predictable recurring billing.
Two ownership signals matter for an EU-sovereignty audit at this time. First, the historical cap table includes Permira (UK), BlackRock (US), Accel (US), and Balderton (UK) alongside other backers: mixed-jurisdiction with material US-VC exposure that, on its own, would place GoCardless in the eu_hq_us_funded-equivalent UK band. Second, and more importantly, in December 2025 Dutch Mollie announced an agreement to acquire GoCardless for approximately US$1.1B, over 90% in Mollie shares. The deal has not closed: GoCardless's own customer FAQ still describes completion as expected in mid-2026 subject to regulatory approvals, and no completion announcement existed at the August 2026 re-verification. If the acquisition closes as announced, GoCardless will become a subsidiary of Mollie B.V. (Amsterdam, DNB-licensed EMI), shifting the primary regulatory anchor from FCA to a Dutch parent, though Mollie itself carries a US-funded cap table (TCV, General Atlantic, Blackstone, Alkeon; see Mollie's listing). Ownership signals remain in transition pending acquisition close: cloud_act_exposure: material, and no self-serve DPA, though a sub-processor list is published as a versioned PDF ("GoCardless material supplier list v2026.06", accurate as of 12 June 2026) naming 23 suppliers, among them Google Cloud, AWS, Cloudflare, Segment, Okta, Zendesk, SendGrid and LexisNexis on the US side.
Pricing in GBP is volume-tiered: Standard 1% + £0.20 (capped at £4 domestic UK), Advanced 1.25% + £0.20 (capped £5, with auto failed-payment recovery), Pro 1.4% + £0.20 (capped £5.60, with fraud protection), and Custom for >£1M annual volume. International payments run on the Wise mid-market FX engine and carry an extra 0.3% on amounts over £2,000. Branding add-ons: £50/month for bank-statement branding, £150/month for fully customised checkout. Best fit: UK and EU subscription SaaS, mid-market B2B invoicing, NGOs and membership organisations collecting recurring direct debits across multiple jurisdictions. EU procurement-grade buyers needing strict EU-controlled ownership should re-evaluate after the Mollie acquisition closes or use Mollie directly for cards/iDEAL/SEPA workflows.
Carte des sous-traitants · 23
-
Amazon Web Services USÉtats-Unis
File storage and scale computing (data location: EU-West region)
-
Braze USÉtats-Unis
Sending operational emails
-
Celigo USÉtats-Unis
Partner connection, NetSuite integration (data location: Germany)
-
Cloudflare USÉtats-Unis
Optimisation and protection of the GoCardless website and API
-
Dun & Bradstreet USÉtats-Unis
Company credit scoring and identity verification
-
Finastra Limited USRoyaume-Uni
Direct debit scheme provider software (Bacs)
-
GitHub USÉtats-Unis
Software development
-
Google USÉtats-Unis
Hosting the GoCardless Service on Google Cloud Platform and other cloud services (data location: Netherlands)
-
LexisNexis Risk Solutions USÉtats-Unis
Background and AML checks, fraud prevention
-
Looker USÉtats-Unis
Data platform and analytics
-
Mastercard Payment Services USDanemark
Payment scheme operator, chargeback processing (Betalingsservice)
-
Okta USÉtats-Unis
Employee access management and merchant authentication (2FA)
-
Provenir USÉtats-Unis
Credit decisioning
-
Segment USÉtats-Unis
Anonymous online event tracking and analytics
-
SendGrid USÉtats-Unis
Sending transactional emails
-
Zendesk USÉtats-Unis
Support ticketing software
-
Flagright non-USRoyaume-Uni
Payment screening and monitoring
-
Form3 non-USRoyaume-Uni
Direct debit scheme provider software (Bacs)
-
Onfido non-USRoyaume-Uni
Identity verification
-
Pure JAM non-USRoyaume-Uni
Support telephony service
-
Trulioo non-USCanada
Identity verification
-
Vonage USÉtats-Unis
Support telephony service
-
Wise non-USRoyaume-Uni
FX services
| Prestataire | Pays | Finalité | Propriétaire |
|---|---|---|---|
| Amazon Web Services | États-Unis | File storage and scale computing (data location: EU-West region) | US |
| Braze | États-Unis | Sending operational emails | US |
| Celigo | États-Unis | Partner connection, NetSuite integration (data location: Germany) | US |
| Cloudflare | États-Unis | Optimisation and protection of the GoCardless website and API | US |
| Dun & Bradstreet | États-Unis | Company credit scoring and identity verification | US |
| Finastra Limited | Royaume-Uni | Direct debit scheme provider software (Bacs) | US |
| GitHub | États-Unis | Software development | US |
| États-Unis | Hosting the GoCardless Service on Google Cloud Platform and other cloud services (data location: Netherlands) | US | |
| LexisNexis Risk Solutions | États-Unis | Background and AML checks, fraud prevention | US |
| Looker | États-Unis | Data platform and analytics | US |
| Mastercard Payment Services | Danemark | Payment scheme operator, chargeback processing (Betalingsservice) | US |
| Okta | États-Unis | Employee access management and merchant authentication (2FA) | US |
| Provenir | États-Unis | Credit decisioning | US |
| Segment | États-Unis | Anonymous online event tracking and analytics | US |
| SendGrid | États-Unis | Sending transactional emails | US |
| Zendesk | États-Unis | Support ticketing software | US |
| Flagright | Royaume-Uni | Payment screening and monitoring | non-US |
| Form3 | Royaume-Uni | Direct debit scheme provider software (Bacs) | non-US |
| Onfido | Royaume-Uni | Identity verification | non-US |
| Pure JAM | Royaume-Uni | Support telephony service | non-US |
| Trulioo | Canada | Identity verification | non-US |
| Vonage | États-Unis | Support telephony service | US |
| Wise | Royaume-Uni | FX services | non-US |
Source : liste publiée des sous-traitants de l’éditeur, lue le 26 août 2026.
Référentiels & certifications · aucune répertoriée
Matrice de fonctionnalités
Tableau 2Fonctionnalités de GoCardless
Intégration & accès
Conformité & gouvernance
Tarifs & paliers
Documents publics
-
manquantContrat de sous-traitance (DPA)— manquant
-
OuvrirListe des sous-traitantsgocardless.com/privacy…
Alternatives dans cette catégorie
-
Pays-BasHébergé UEExposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
DPA public: Oui Sous-traitants: Oui Open source: Non -
-
FranceHébergé UEExposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
DPA public: Non Sous-traitants: Non Open source: Non -
-
NorvègeBasé UEExposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Cette fiche Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
DPA public: Oui Sous-traitants: Oui Open source: Non -
| Produit | Souveraineté | CLOUD Act | Signaux | À partir de |
|---|---|---|---|---|
|
|
Hébergé UE | Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
|
DPA public: Oui
Sous-traitants: Oui
Open source: Non
|
— |
|
|
Hébergé UE | Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
|
DPA public: Non
Sous-traitants: Non
Open source: Non
|
— |
|
|
Basé UE | Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
|
DPA public: Oui
Sous-traitants: Oui
Open source: Non
|
— |