Un NDA, ou accord de non-divulgation, encadre les informations qu’une entreprise accepte de partager avant une négociation, une prestation ou un partenariat. Il ne s’agit pas d’un simple document de précaution : sa portée dépend de la précision des informations protégées, des usages autorisés et des moyens prévus pour réagir en cas de manquement. Un texte trop large peut gêner les échanges sans offrir de protection réelle ; un accord trop sommaire risque, lui, de laisser un savoir-faire exploitable après la fin des discussions.

En 2025, les entreprises doivent aussi articuler la confidentialité contractuelle avec le secret des affaires, la propriété intellectuelle et, lorsque des données personnelles sont concernées, les règles du RGPD. Pour suivre ces enjeux de façon concrète, imaginons Novalys, une jeune société qui présente un prototype logiciel à un investisseur, puis partage son code avec un prestataire. Chaque échange appelle des précautions différentes : le même modèle ne couvrira pas nécessairement les deux situations.

En bref

• Un NDA protège des informations identifiables et encadre leur utilisation, leur diffusion et leur conservation.
• La durée de protection doit correspondre à la valeur réelle des informations, sans créer d’engagement indéfini difficile à appliquer.
• Les exceptions de divulgation, les destinataires autorisés, les mesures de sécurité et les recours juridiques doivent être définis clairement.
• Un modèle standard peut suffire pour un échange simple ; un projet stratégique ou international mérite une rédaction adaptée.
• La signature ne remplace ni les pratiques de sécurité internes ni les obligations liées aux données personnelles.

Comprendre le fonctionnement d’un NDA et ce qu’il protège réellement

Un NDA, également appelé accord de confidentialité, est un contrat par lequel une ou plusieurs parties s’engagent à protéger des informations communiquées dans un contexte déterminé. Il précise notamment la finalité de l’échange, les personnes autorisées à accéder aux éléments transmis et les comportements interdits. Son efficacité tient à cette combinaison : empêcher une divulgation non autorisée, mais aussi éviter que le destinataire exploite les informations à une autre fin que celle convenue.

Des échanges commerciaux aux projets techniques

Novalys peut avoir besoin d’un accord lorsqu’elle présente à un investisseur ses prévisions financières, sa stratégie de lancement ou le fonctionnement encore inédit de son produit. Elle peut aussi en demander un à un prestataire informatique appelé à consulter le code source ou l’architecture de ses serveurs. Dans les deux cas, les informations sensibles ne sont pas les mêmes ; le contrat doit donc être ajusté à l’objet des discussions.

Les situations courantes comprennent les négociations de partenariat, les opérations d’acquisition, les tests d’un prototype et les missions de conseil. Un entretien d’embauche pour un poste stratégique peut également justifier des précautions lorsque le candidat découvre une feuille de route produit ou un plan de développement. Il ne s’agit toutefois pas de faire signer un accord à chaque personne rencontrée : une exigence systématique peut susciter de la méfiance et ralentir des échanges sans enjeu réel.

Le périmètre de la confidentialité et ses limites

Un NDA peut couvrir des fichiers clients, des procédés de fabrication, des plans, des algorithmes, des données financières ou une campagne marketing non publiée. Il ne transforme pas pour autant toute information en secret. Une connaissance déjà publique, obtenue légalement auprès d’un tiers ou élaborée indépendamment par le destinataire ne devrait pas être capturée par une définition sans limites.

Les exceptions de divulgation sont donc essentielles. Elles permettent, par exemple, de traiter le cas d’informations déjà détenues avant la signature ou dont la communication est imposée par une décision de justice. Le contrat peut prévoir que le destinataire avertira le communicant avant une divulgation légalement requise, lorsque cela est autorisé, afin de lui laisser la possibilité de demander des mesures de protection.

Un NDA n’accorde pas automatiquement de droits sur les informations partagées. La propriété intellectuelle reste en principe à son titulaire, sauf licence ou cession prévue séparément. Pour Novalys, montrer une démonstration logicielle à un partenaire ne lui transfère donc pas, à elle seule, les droits sur le code ou le concept présenté ; le contrat doit néanmoins le dire clairement pour réduire les ambiguïtés.

Les clauses essentielles pour rédiger un NDA solide

La rédaction doit traduire les risques concrets en obligations compréhensibles. Une formule générale telle que « toute information échangée est confidentielle » paraît protectrice, mais elle peut se révéler imprécise au moment de déterminer ce qui était couvert. À l’inverse, une liste trop étroite peut laisser de côté des éléments transmis oralement ou par démonstration. Une définition par catégories, complétée par des exemples propres au projet, offre souvent un meilleur équilibre.

Définition, non-divulgation et non-usage

Pour Novalys, la définition peut citer les spécifications techniques, le code source, les métriques d’utilisation, la liste des prospects et les plans de développement produit. Les informations communiquées oralement peuvent être couvertes, à condition que le contrat prévoie un moyen de les identifier, par exemple une confirmation écrite dans un délai défini. Exiger un marquage « confidentiel » sur chaque fichier peut sembler pratique, mais une omission matérielle ne devrait pas faire perdre toute protection à une information manifestement sensible.

L’obligation de non-divulgation interdit de transmettre les éléments à des personnes non autorisées. L’obligation de non-usage, tout aussi importante, limite leur emploi à la finalité prévue : évaluer un partenariat, réaliser une prestation ou étudier une opération. Sans cette seconde obligation, un destinataire pourrait conserver les informations pour concevoir un produit concurrent, tout en évitant de les communiquer à un tiers.

Le contrat doit indiquer qui peut accéder aux documents : salariés affectés au projet, dirigeants, conseils juridiques ou sous-traitants concernés. Ces personnes doivent être soumises à des obligations de confidentialité au moins équivalentes, et la partie destinataire doit répondre de leur comportement dans les limites prévues par l’accord. Dans un projet technique, on peut aussi interdire explicitement le dépôt de droits de propriété intellectuelle fondés sur les informations reçues, sous réserve d’adapter cette clause au contexte.

Durée, restitution et conséquences d’une violation

La durée de l’accord et celle des obligations postérieures à sa fin ne sont pas forcément identiques. Une négociation peut durer quelques mois, tandis que certaines données techniques gardent une valeur commerciale pendant plusieurs années. La durée de protection doit donc être choisie en fonction de la nature des informations, plutôt que fixée mécaniquement à cinq ans pour tous les cas.

Il est préférable de préciser un terme déterminé et de prévoir, si nécessaire, un renouvellement écrit. Une obligation perpétuelle ou formulée sans limite peut soulever des difficultés, notamment au regard de la prohibition des engagements perpétuels prévue par le Code civil. Pour des informations dont la valeur évolue rapidement, une période plus courte peut être cohérente ; un savoir-faire industriel durable peut justifier une protection plus longue, appréciée avec un conseil juridique.

Enfin, le NDA doit prévoir la restitution ou la destruction des documents à la fin des échanges, y compris les copies détenues par les personnes autorisées. Une attestation écrite peut en apporter la preuve, tout en prévoyant les exceptions nécessaires pour les sauvegardes automatiques ou les obligations légales de conservation. En cas de violation, le contrat peut organiser l’indemnisation et la possibilité de solliciter des mesures judiciaires ; une clause pénale doit rester proportionnée, car le juge peut la réviser dans les conditions prévues par la loi.

Clause	Rôle dans l’accord	Exemple d’application
Définition	Délimiter les éléments protégés	Plans, codes sources et données commerciales identifiés
Non-usage	Restreindre l’exploitation à un objectif précis	Utilisation limitée à l’évaluation d’un partenariat
Destinataires	Limiter les accès internes et externes	Équipe projet, conseils et sous-traitants concernés
Durée et sortie	Organiser la protection et la fin des échanges	Restitution ou destruction certifiée des fichiers
Sanctions	Prévoir des recours en cas de manquement	Indemnisation et mesures judiciaires adaptées

Choisir le bon NDA et négocier des obligations contractuelles équilibrées

La forme de l’accord dépend de la circulation des informations. Dans un NDA unilatéral, une seule partie transmet des données confidentielles ; c’est fréquent lorsqu’une entreprise confie une mission à un développeur indépendant. Dans un NDA bilatéral, chacune des parties peut être à la fois communicante et destinataire, comme lors d’une négociation de rapprochement où les deux sociétés échangent leurs chiffres et leurs projets.

Unilatéral, bilatéral ou multilatéral : adapter la structure

Un accord multilatéral peut convenir à un consortium de recherche ou à un projet réunissant plusieurs industriels. Il faut alors préciser quels participants peuvent communiquer des informations, qui peut les recevoir et si chaque entité répond uniquement de ses propres actes. Sans cette cartographie, une entreprise peut croire que tous les participants sont liés de la même manière alors que le texte ne définit pas clairement les obligations de chacun.

La finalité mérite une attention particulière. Dire que les informations pourront être utilisées « dans le cadre des relations entre les parties » laisse une marge d’interprétation importante. Une formulation liée à un objectif déterminé — par exemple l’évaluation d’un prototype en vue d’une intégration commerciale — aide à distinguer l’usage autorisé d’une exploitation autonome.

Les points qui se négocient en priorité

Les discussions portent souvent sur le périmètre, la durée, les destinataires autorisés et le niveau de responsabilité. Si un partenaire estime qu’une protection uniforme de cinq ans est excessive, les parties peuvent distinguer les catégories : une durée pour les informations tarifaires, une autre pour les données techniques. Cette différenciation rend l’accord plus proportionné et plus facile à accepter.

Un plafond de responsabilité peut rassurer la partie qui reçoit les informations, mais il ne doit pas neutraliser la protection recherchée. Les parties peuvent discuter d’un régime distinct pour les violations intentionnelles, les divulgations à des concurrents ou les manquements touchant des données particulièrement stratégiques. Aucun montant ne doit être choisi au hasard : il est utile de considérer la valeur de l’actif, le coût possible d’une fuite et la capacité de chaque partie à prévenir le risque.

Un modèle en ligne peut servir de base pour une prise de contact commerciale peu complexe ou une mission ponctuelle. En revanche, une levée de fonds, un transfert de technologie, une acquisition ou une coopération internationale justifie souvent une relecture spécialisée. Un conseil peut notamment vérifier la cohérence entre la loi applicable, la juridiction choisie, les modalités de preuve et la réalité des échanges. Lors d’une vérification préalable d’une société, par exemple, la consultation d’un extrait Kbis et des informations d’identification de l’entreprise peut s’inscrire dans un ensemble de contrôles distincts de la confidentialité elle-même.

Novalys pourrait ainsi signer un accord unilatéral avec son prestataire, mais un accord réciproque avec un partenaire qui lui révèle aussi des données confidentielles. Le bon format est celui qui reflète les flux réels d’informations, et non celui qui paraît le plus protecteur sur le papier.

Appliquer le NDA au quotidien et limiter les risques de divulgation

Une signature ne suffit pas à protéger un secret si les équipes continuent à envoyer des fichiers sensibles par des canaux non maîtrisés. L’efficacité dépend aussi des pratiques : savoir quelles données sont transmises, conserver une trace des accès et éviter les partages trop larges. Cette discipline ne demande pas nécessairement des outils complexes, mais elle suppose une procédure connue des personnes concernées.

Partager, tracer et archiver de façon cohérente

Novalys peut créer un espace sécurisé réservé au projet, avec des droits d’accès nominatifs et une journalisation des consultations. Les documents les plus sensibles peuvent porter une mention de confidentialité, accompagnée d’une date et d’une version, tandis que les comptes rendus de réunion recensent les informations importantes présentées oralement. Ces éléments facilitent la reconstitution des échanges si un incident survient.

La traçabilité ne remplace pas la sécurité technique, mais elle répond à une question centrale : qui a pu consulter quoi, et à quel moment ? L’entreprise peut également limiter les téléchargements, utiliser le chiffrement lors des transferts et retirer les accès dès qu’une personne quitte l’équipe. Une présentation commerciale n’exige pas le même niveau de contrôle qu’un dépôt contenant le code d’un produit encore inédit.

Les sous-traitants sont un point de vigilance fréquent. Si le prestataire de Novalys délègue une partie du travail à un freelance, ce dernier doit être couvert par des engagements adaptés avant d’accéder aux informations. Il faut aussi expliquer aux équipes ce qu’elles peuvent évoquer lors d’une conférence ou dans une conversation informelle : une divulgation accidentelle peut être aussi dommageable qu’un envoi intentionnel.

Gérer la fin de relation et les incidents

À la fin d’une mission, les accès doivent être désactivés et les copies restituées ou supprimées conformément au contrat. Les sauvegardes, les courriels archivés et les espaces collaboratifs demandent parfois une procédure particulière ; une simple suppression dans un dossier partagé ne garantit pas toujours l’effacement de toutes les copies. L’attestation de destruction doit donc correspondre aux systèmes réellement utilisés et aux éventuelles obligations de conservation.

En cas de fuite présumée, il est utile de préserver rapidement les preuves : historique des accès, messages, versions de documents et notifications reçues. La partie concernée doit suivre les délais et modalités prévus dans l’accord, puis évaluer avec un professionnel les mesures adaptées. Une réaction rapide peut limiter la propagation, tandis qu’une accusation non documentée risque d’aggraver le différend.

Dans une structure collective, les responsabilités doivent également être comprises par toutes les entités impliquées. Un projet réunissant plusieurs entreprises, par exemple sous la forme d’un groupement d’intérêt économique, nécessite de distinguer les informations propres à chaque membre et celles produites en commun. L’organisation juridique du projet ne remplace pas les clauses précises sur les accès, les usages et la conservation des documents.

NDA, secret des affaires et RGPD : comprendre les protections complémentaires

Un accord contractuel n’est qu’un niveau de protection. En France, le secret des affaires bénéficie aussi d’un cadre légal issu de la transposition, en 2018, de la directive européenne de 2016. Pour invoquer cette protection, l’entreprise doit notamment montrer que l’information n’est pas généralement connue ou aisément accessible, qu’elle possède une valeur commerciale parce qu’elle est secrète et que des mesures raisonnables ont été prises pour la garder confidentielle.

Une protection contractuelle ne remplace pas les mesures réelles

Le NDA aide à démontrer que les parties ont identifié certaines informations et organisé leur usage. Mais un document signé ne compensera pas une diffusion publique, des accès ouverts à toute l’organisation ou l’absence de contrôle sur les copies. Novalys doit donc associer clauses contractuelles, règles internes, sécurité des systèmes et formation des personnes qui manipulent les données.

La distinction est utile en cas de litige. Le contrat lie les parties signataires et peut aussi encadrer les personnes auxquelles l’accès est légitimement accordé, dans les limites de sa rédaction. Le régime légal du secret des affaires peut être pertinent face à certains comportements illicites, mais il requiert de satisfaire ses propres conditions. Les deux mécanismes se complètent sans se confondre.

Lorsque des données personnelles circulent

Un fichier client peut contenir des noms, des adresses électroniques ou des coordonnées bancaires. Le NDA peut imposer une obligation de confidentialité, mais le RGPD encadre séparément le traitement de ces données : finalité, durée de conservation, sécurité et droits des personnes concernées. Si le prestataire agit comme sous-traitant, les parties doivent examiner les dispositions contractuelles requises pour cette relation, notamment le sort des données en fin de traitement.

Il faut donc éviter de considérer qu’une clause générale de confidentialité suffit à rendre un transfert conforme. Le contrat doit préciser pourquoi le destinataire accède aux données et quelles opérations il peut effectuer ; les mesures de sécurité doivent être adaptées au risque. Si un incident touche des données personnelles, des obligations spécifiques de notification peuvent s’appliquer, indépendamment des sanctions prévues par le NDA.

Les échanges internationaux ajoutent une autre couche de vérification. L’accord doit choisir une loi applicable et une juridiction compétente, tout en tenant compte des règles obligatoires qui peuvent s’imposer au traitement ou au transfert des données. La mention de la réglementation 2025 dans un document ne garantit pas sa conformité : il faut identifier les règles applicables au projet et vérifier que les clauses correspondent aux pratiques effectives.

Pour Novalys, l’architecture la plus cohérente associe donc un NDA précis, des consignes opérationnelles, des mesures de sécurité proportionnées et, si nécessaire, un accord spécifique relatif au traitement des données personnelles. La protection devient crédible lorsque le contrat et les habitudes de travail racontent la même histoire.