NDA et clause de confidentialité : démo, POC et intégration technique

Un prospect demande une démonstration. Quatre mois plus tard, un concurrent annonce la fonctionnalité que vous lui avez montrée en visioconférence. Vous ressortez l'accord de confidentialité signé avant le rendez-vous et vous découvrez qu'il ne définit pas ce qui était confidentiel, qu'il expire à la fin des discussions et qu'il ne prévoit aucune sanction. Trois moments décident vraiment de quelque chose pour un éditeur de logiciel : la démo, la preuve de concept et l'intégration technique. Cet article dit ce qu'il faut écrire à chacun d'eux.

Ce qu'un NDA protège, et ce qui vous reste quand vous n'en avez pas

Un NDA, ou accord de non-divulgation, est un contrat. Il crée deux obligations à la charge de celui qui reçoit l'information : ne pas la divulguer et ne pas l'utiliser en dehors de la finalité convenue. Il ne crée aucun droit de propriété et ne transforme pas une idée en actif protégé. Il n'empêche pas matériellement une fuite : il permet de la sanctionner, à condition d'avoir écrit à l'avance ce qui était couvert, pour combien de temps et avec quelle conséquence.

Sa portée s'arrête aux parties signataires. L'article 1199 du code civil est net : le contrat ne crée d'obligations qu'entre les parties, et les tiers ne peuvent ni en demander l'exécution ni s'y voir contraints. Le prospect qui signe n'engage donc pas, par ce seul fait, son cabinet de conseil, son intégrateur ni sa société mère. C'est la raison pour laquelle la clause sur les destinataires autorisés compte davantage que la définition de l'information confidentielle, alors que tout le monde négocie l'inverse.

Sans NDA signé, l'article 1112-2 existe mais se prouve mal

L'absence d'accord écrit ne vous laisse pas sans recours. L'article 1112-2 du code civil dispose que celui qui utilise ou divulgue sans autorisation une information confidentielle obtenue à l'occasion des négociations engage sa responsabilité dans les conditions du droit commun. Le texte s'applique de plein droit, sans signature. Le problème est probatoire : il faut établir que l'information était confidentielle par nature, qu'elle a été obtenue pendant les négociations et qu'elle a bien été utilisée. Après une démo de quarante minutes en visioconférence, sans support marqué, sans liste de participants et sans trace de ce qui a été montré, ces trois éléments deviennent très difficiles à démontrer.

L'article 1112 ajoute une limite que peu de fondateurs connaissent. La réparation du préjudice causé par une faute commise dans les négociations ne peut compenser ni la perte des avantages attendus du contrat non conclu, ni la perte de chance de les obtenir. Le contrat que vous n'avez pas signé parce que le prospect a filé chez un concurrent avec vos informations n'entre donc pas dans l'assiette du préjudice. Ce qui reste réparable, c'est la valeur de l'information détournée, et c'est précisément ce qu'un NDA permet de chiffrer à l'avance.

Le NDA est d'abord une preuve : le lien direct avec le secret des affaires

C'est l'usage le plus rentable du document, et le plus souvent ignoré. L'article L. 151-1 du code de commerce protège une information au titre du secret des affaires à trois conditions cumulatives : elle n'est pas généralement connue ou aisément accessible aux personnes familières de ce type d'information dans le secteur, elle tire une valeur commerciale effective ou potentielle de son caractère secret, et elle fait l'objet de la part de son détenteur légitime de mesures de protection raisonnables compte tenu des circonstances.

Le troisième critère est celui qui fait perdre les procès. Une architecture logicielle, un modèle de scoring, une grille de prix par palier ou une roadmap produit remplissent sans difficulté les deux premiers. Si vous ne pouvez pas montrer au juge ce que vous avez fait pour garder l'information secrète, la protection tombe. Le NDA signé avant la démo, horodaté et archivé, est la pièce la plus simple à produire pour établir ce troisième critère.

Point de vigilance. Un NDA ne suffit pas à lui seul à constituer des mesures de protection raisonnables. Il compte en faisceau avec le reste : classification des documents, habilitations d'accès nominatives, journalisation des accès aux environnements de démonstration, clauses de confidentialité dans les contrats de travail et de prestation. Un accord signé alors que la même documentation traîne dans un espace partagé ouvert à toute l'entreprise ne convaincra personne.

Ce que la qualification de secret des affaires change concrètement

Elle ouvre un régime plus favorable que la seule responsabilité contractuelle. L'article L. 151-5 du code de commerce vise l'utilisation ou la divulgation par celui qui agit en violation d'une obligation de ne pas divulguer, ce qui recouvre exactement la violation d'un NDA. L'article L. 151-6 étend l'illicéité au tiers qui savait ou aurait dû savoir que le secret lui venait d'une personne qui l'utilisait illicitement : c'est ainsi qu'on atteint le concurrent servi par ricochet.

L'article L. 152-3 permet au juge d'interdire la poursuite des actes d'utilisation ou de divulgation et d'ordonner la destruction des documents concernés. L'article L. 152-6 impose de prendre en considération distinctement les conséquences économiques négatives, le préjudice moral, et les bénéfices réalisés par l'auteur de l'atteinte, y compris les économies d'investissements intellectuels, matériels et promotionnels qu'il en a retirées. Cette dernière notion est décisive : elle permet de chiffrer ce que le concurrent a économisé en années de développement plutôt que de démontrer une perte de chiffre d'affaires.

Deux points complètent le tableau. L'article L. 152-2 fixe la prescription à cinq ans à compter du jour où le détenteur légitime a connu ou aurait dû connaître le dernier fait qui en est la cause. Et l'article L. 153-1 permet au juge de prendre connaissance seul d'une pièce, d'en limiter la communication à un résumé et de tenir les débats en chambre du conseil : sans ce mécanisme, agir en justice pour protéger un secret reviendrait à le verser au débat public. La question se pose de la même façon quand vous recevez une information sensible d'un tiers, sujet que je traite dans l'article sur la réception d'une information confidentielle d'une entreprise concurrente.

Définir l'information confidentielle sans écrire une clause inutile

Deux écoles s'affrontent. La première exige un marquage : seule est confidentielle l'information identifiée comme telle par une mention apposée sur le document. La seconde retient une définition large : est confidentielle toute information communiquée dans le cadre des discussions, quel qu'en soit le support.

Le marquage rassure les juristes et échoue en pratique. Un éditeur SaaS transmet l'essentiel de sa valeur à l'oral, en partage d'écran et dans des messages instantanés. Personne ne tamponne « confidentiel » sur une démonstration en direct. Un NDA à marquage strict signé par un fondateur qui ne marque rien produit un accord vide.

La rédaction qui tient combine les deux : une définition large par principe, une présomption de confidentialité pour tout ce qui est communiqué pendant les échanges, et une faculté de confirmation écrite pour l'information divulguée oralement ou visuellement, à exercer sous quinze à trente jours. Le récepteur obtient sa sécurité juridique, l'émetteur ne perd pas la protection de ce qu'il a montré à l'écran. Trois choses méritent d'être visées nommément parce qu'elles sont systématiquement oubliées : le fait même que des discussions ont lieu, l'identité des autres clients cités en référence, et les conditions financières de l'offre. Un prospect qui fait circuler votre grille tarifaire chez ses trois autres candidats détruit votre marge sans jamais toucher à votre code.

Quatre exclusions sont d'usage et se justifient : l'information déjà publique sans faute du récepteur, celle qu'il détenait avant la divulgation, celle reçue d'un tiers non tenu à confidentialité, et celle qu'il a développée de façon indépendante. Le seul point à négocier est de savoir qui les prouve : faites porter la charge sur celui qui invoque l'exclusion, avec exigence d'un écrit antérieur. Sans cette précision, le « développement indépendant » devient une défense automatique et invérifiable.

Moment 1, la démo : le prospect qui ressemble beaucoup à un concurrent

Le cas est banal. Une demande de démonstration arrive d'une société dont l'objet social recoupe le vôtre, ou d'un grand compte qui a une équipe interne travaillant sur le même sujet. Refuser la démo coûte un deal, l'accepter sans cadre coûte parfois davantage.

Trois mesures suffisent et se mettent en place en une journée. D'abord, un NDA mutuel court, signé électroniquement avant la prise de rendez-vous, qui vise expressément la démonstration et son support. Ensuite, un environnement de démonstration dédié, alimenté par des données fictives, sans accès aux traitements réels ni aux journaux de production. Enfin, une clause qui interdit l'enregistrement, la capture et la retransmission de la session sans accord écrit préalable, et qui limite nominativement la liste des participants.

Un principe guide ensuite ce que vous montrez : ce qui se voit à l'écran est faiblement protégeable, ce qui se déduit du fonctionnement l'est encore moins. Gardez pour la phase contractuelle les éléments d'architecture, les schémas de données, les seuils et pondérations de vos algorithmes et la roadmap datée. La protection d'un algorithme obéit à des logiques que je détaille dans l'article consacré au choix entre brevet, droit d'auteur et secret des affaires.

Moment 2, le POC : le NDA qui coûte le plus cher quand il est mal fait

La preuve de concept est le moment où un accord de confidentialité mal rédigé produit ses dégâts les plus lourds, parce qu'on y crée quelque chose. Pendant quatre à douze semaines, vos équipes paramètrent, connectent, adaptent, écrivent des règles métier et produisent des jeux de résultats. Personne n'a dit à qui tout cela appartiendrait quand le POC s'arrête sans commande.

La titularité des résultats et des configurations

Le point à trancher est simple à formuler et systématiquement omis. Le logiciel, ses évolutions et son savoir-faire restent la propriété de l'éditeur. Les données métier fournies par le client restent les siennes, ainsi que les résultats produits à partir d'elles. Les paramétrages, règles de gestion et connecteurs développés pendant le POC doivent être attribués nommément, faute de quoi chacun repartira avec sa lecture.

Si vous acceptez de céder quoi que ce soit, souvenez-vous que l'article L. 131-3 du code de la propriété intellectuelle subordonne la transmission des droits d'auteur à la condition que chacun des droits cédés fasse l'objet d'une mention distincte dans l'acte, et que le domaine d'exploitation soit délimité quant à son étendue, sa destination, son lieu et sa durée. Une clause « le client devient propriétaire des livrables du POC » ne remplit aucune de ces conditions et ne cède rien. À l'inverse, un NDA ne confère aucune licence implicite : écrivez-le noir sur blanc, car les modèles de grands comptes contiennent souvent une formule ambiguë sur les droits d'utilisation des informations transmises.

Conseil d'avocat. Je sépare toujours les deux documents. Le NDA couvre les échanges depuis le premier contact. Un contrat de POC distinct, même court, fixe le périmètre, la durée, les critères de succès, la gratuité ou le prix, la titularité des configurations et le sort des environnements à l'issue. Faire porter un POC par le seul NDA revient à demander à un accord de non-divulgation de régler des questions de propriété qu'il n'a jamais été conçu pour traiter.

Les données du client pendant le POC

Un POC réalisé sur des données réelles fait de vous un sous-traitant au sens du RGPD, avec les obligations de l'article 28, dès la phase d'essai. Un accord de confidentialité ne remplace pas un accord de sous-traitance : les deux ont un objet différent et doivent coexister. J'ai détaillé ce que l'éditeur signe et ce qu'il peut refuser dans le mode d'emploi du DPA pour un éditeur SaaS.

La CNIL est claire dans son guide destiné aux équipes de développement : les données réelles ne doivent pas être utilisées pendant les phases de développement et de test, cet usage les détournant de leur finalité initiale. Elle recommande un jeu de données fictives ressemblant aux données que l'application traitera, et exige à défaut que l'environnement de test fasse l'objet des mêmes mesures de sécurité que la production. Pour un POC, la conséquence est nette : proposez un jeu anonymisé ou synthétique en première intention, et si le client impose ses données réelles, exigez un environnement isolé, une durée de conservation stipulée et une suppression documentée à l'issue.

Moment 3, l'intégration technique : ouvrir une API sans ouvrir son produit

La phase d'intégration change la nature de ce que vous divulguez. Vous ne montrez plus, vous donnez : des identifiants sur un environnement de recette, une documentation d'API, des schémas de charge utile, des codes d'erreur, des limites de débit, parfois un kit de développement. Ces éléments décrivent votre modèle de données mieux que n'importe quelle présentation commerciale.

Trois stipulations sont à ajouter au NDA générique. Une clause d'usage limité à l'interopérabilité, qui interdit d'utiliser la documentation pour développer un produit concurrent ou reconstituer votre modèle de données. Une clause sur les identifiants d'accès, nominatifs, non transférables, révoqués à la fin de l'intégration. Une clause de journalisation par laquelle le client accepte que les appels d'API soient tracés, ce qui vous donne la preuve technique en cas de litige.

La limite que votre NDA ne peut pas franchir

Beaucoup de modèles interdisent purement et simplement toute ingénierie inverse. Cette rédaction est en partie inopérante en droit français. L'article L. 122-6-1 du code de la propriété intellectuelle autorise celui qui a le droit d'utiliser le logiciel à en observer, étudier ou tester le fonctionnement ou la sécurité afin d'en déterminer les idées et principes, et il autorise la décompilation lorsqu'elle est indispensable pour obtenir les informations nécessaires à l'interopérabilité d'un logiciel créé de façon indépendante, sous trois conditions strictes : que les actes soient accomplis par la personne ayant le droit d'utiliser un exemplaire, que ces informations n'aient pas déjà été rendues facilement et rapidement accessibles, et que les actes soient limités aux parties nécessaires à cette interopérabilité. Le dernier alinéa règle le sort d'une clause contraire : elle est nulle et non avenue.

La conséquence pratique est contre-intuitive et utile. Publier une documentation d'API complète et accessible n'affaiblit pas votre position, elle la renforce : dès lors que les informations d'interopérabilité sont rendues facilement disponibles, la deuxième condition de la décompilation légale n'est plus remplie. Restreignez ce que vous ne pouvez pas restreindre et vous obtenez une clause nulle. Documentez, et vous fermez la porte par le haut. Ces arbitrages se rejoignent avec ceux d'un dispositif de contract management tenu à jour, où les modèles de NDA, de contrat de POC et de contrat cadre sont maintenus ensemble plutôt que réinventés à chaque affaire.

Les six clauses qui décident de l'issue d'un litige

Le reste du NDA est du remplissage. Ces six points font la différence.

1. La durée, et sa survie après les discussions. Deux durées coexistent : celle de la période de divulgation, souvent courte, et celle de l'obligation de confidentialité, qui doit continuer après. Une obligation qui s'éteint à la fin des discussions ne protège rien, puisque c'est après que la fuite se produit. Attention à l'excès inverse : l'article 1210 du code civil prohibe les engagements perpétuels et permet à chaque contractant d'y mettre fin dans les conditions du contrat à durée indéterminée. Stipulez une durée chiffrée courant à compter de la dernière divulgation, cinq ans pour une négociation ordinaire, davantage pour un savoir-faire technique, et ajoutez que la protection au titre du secret des affaires subsiste tant que l'information conserve ce caractère.
2. Les destinataires autorisés. Limitez la communication aux personnes qui en ont besoin pour la finalité convenue, et exigez que le récepteur se porte fort du respect de la confidentialité par ses salariés, conseils et sous-traitants. Sans porte-fort, l'article 1199 s'applique et le sous-traitant du client ne vous doit rien.
3. La clause de résidus. Elle autorise le récepteur à réutiliser librement ce que ses collaborateurs ont retenu « de mémoire ». Côté divulgateur, elle vide l'accord de sa substance : il faudra prouver non seulement l'usage de l'information, mais aussi qu'il ne relève pas de cette autorisation. Refusez-la par principe. Si elle est imposée, cantonnez-la à la mémoire non assistée, excluez le code, les données et ce qui relève du secret des affaires, et précisez qu'elle ne confère aucune licence.
4. Le sort des documents. Prévoyez la restitution ou la destruction sur demande, avec attestation écrite dans un délai fixé, en réservant les sauvegardes automatiques et les conservations imposées par la loi, faute de quoi la clause est intenable.
5. La sanction. Une clause pénale chiffrée transforme un préjudice difficile à prouver en somme due dès la constatation du manquement. Elle n'est pas intangible : l'article 1231-5 du code civil permet au juge, même d'office, de modérer ou d'augmenter la pénalité manifestement excessive ou dérisoire, et toute stipulation contraire est réputée non écrite. Un montant crédible, rapporté à la valeur de l'information, résiste mieux qu'un chiffre dissuasif fixé au hasard. Ajoutez une compétence en référé pour obtenir vite une interdiction.
6. La non-sollicitation et le contournement. Une clause de non-sollicitation de personnel entre entreprises est valable, mais la Cour de cassation en a resserré les conditions : par un arrêt publié du 27 mai 2021 (chambre commerciale, pourvois n° 18-23.261 et 18-23.699), elle juge qu'une stipulation restreignant la liberté du travail ou la liberté d'entreprendre n'est licite que si elle demeure proportionnée aux intérêts légitimes à protéger compte tenu de l'objet du contrat. Une clause sans limite de durée, sans périmètre de postes et sans lien avec le projet a de fortes chances d'être écartée. Le raisonnement rejoint celui applicable à la clause de non-concurrence post-contractuelle.

Ce qu'on refuse dans un NDA de grand compte

Les modèles de grands comptes sont écrits par des directions juridiques qui protègent leur employeur, ce qui est légitime, et qui les diffusent tels quels, ce qui l'est moins. Quatre points se négocient sans jamais faire échouer un deal, à condition de les demander tôt.

• L'unilatéralité. Un accord qui ne protège que le client alors que vous divulguez votre produit et lui ses besoins n'a pas de justification. Le passage en mutuel est accordé dans la grande majorité des cas.
• Le marquage strict sans faculté de confirmation. Il rend l'accord inapplicable à une démonstration. Ajoutez la confirmation écrite sous trente jours.
• La propriété des idées et suggestions. Certains modèles attribuent au client toute amélioration suggérée pendant les échanges, retours d'expérience utilisateur compris. Pour un éditeur, la clause peut lui donner un droit sur votre roadmap. Limitez-la aux retours portant sur son propre usage, sans effet sur votre produit.
• La loi applicable et le tribunal compétent. Un NDA soumis à un droit étranger avec compétence d'une juridiction lointaine rend l'action économiquement impossible pour une société de trente personnes. À défaut de droit français, obtenez au moins une juridiction européenne accessible et vérifiez que le régime du secret des affaires reste invocable.

Ces arbitrages ne s'improvisent pas affaire par affaire : ils se posent une fois, dans un modèle maison que vous proposez le premier. Les éditeurs que j'accompagne au titre du conseil aux éditeurs de logiciels et SaaS partent tous du même jeu de trois documents : NDA mutuel, contrat de POC, contrat cadre.

Quand la confidentialité a déjà été violée

Les premières heures comptent plus que le contenu du NDA. Constituez d'abord la preuve : journaux d'accès aux environnements de démonstration et aux API, horodatage des envois, constat sur les pages ou communications litigieuses, capture des annonces du concurrent. Ces éléments se périment vite et leur absence ruine les meilleures clauses.

Deux voies s'ouvrent ensuite. La mesure d'instruction avant tout procès de l'article 145 du code de procédure civile permet, s'il existe un motif légitime de conserver ou d'établir la preuve de faits dont pourrait dépendre la solution d'un litige, d'obtenir sur requête ou en référé des mesures d'investigation chez l'adversaire. Et l'action au titre du secret des affaires ouvre les mesures d'interdiction et de destruction de l'article L. 152-3, avec le régime d'indemnisation de l'article L. 152-6.

Une dernière donnée doit peser dans la décision d'agir : le temps. Dans une affaire où une société reprochait la violation d'un accord de confidentialité et des actes de concurrence déloyale, l'ordonnance du juge de la mise en état date du 5 juin 2020, l'arrêt d'appel du 27 octobre 2022, et la Cour de cassation a cassé cet arrêt le 20 novembre 2025 sur une question purement procédurale, en renvoyant l'affaire devant une autre cour d'appel (2e chambre civile, pourvoi n° 22-24.848). Plus de cinq ans après, aucun juge n'avait tranché le fond. C'est l'argument le plus solide en faveur d'un NDA bien rédigé en amont : il déplace le débat de la démonstration d'une faute vers l'application d'une clause.

Si vous préparez une démo sensible, un POC avec un grand compte ou l'ouverture d'une API, faites relire vos trois documents avant de les envoyer plutôt qu'après. Échangeons sur votre situation et sur les clauses à corriger en priorité.