Partage sécurisé de documents avec des investisseurs : les 4 contrôles à exiger
Partager des documents avec des investisseurs, ce n'est pas seulement envoyer des fichiers. C'est contrôler qui voit quoi, savoir quand le document a été ouvert, et pouvoir fermer l'accès dès qu'une discussion se termine. Un lien Google Drive ne fait rien de tout cela.
Pendant une levée, vous enverrez votre deck, votre modèle financier et votre cap table à trente fonds sur quatre mois. La différence entre un dossier partagé et une vraie configuration sécurisée, c'est la différence entre piloter à l'aveugle et voir chaque conversation de votre pipeline. Cet article liste ce qu'il faut exiger de tout dispositif de partage avant d'envoyer le moindre fichier.
Pourquoi un dossier partagé ne suffit pas
La plupart des fondateurs commencent avec ce qu'ils connaissent : un dossier Drive, un lien Dropbox, un WeTransfer. Ça marche pour les deux ou trois premières conversations. Ensuite, les problèmes commencent.
Vous envoyez un lien à un fonds. Il dit non. Trois mois plus tard, quelqu'un là-bas ouvre encore vos projections, et vous n'en savez rien. Vous les avez d'ailleurs mises à jour deux fois depuis, mais il regarde l'ancienne version.
Vous ne savez pas non plus lesquels des vingt fonds contactés ont ouvert le deck, lequel a passé douze minutes sur le modèle, et lequel n'a jamais cliqué. Cette information vous dirait où concentrer vos relances. Un dossier partagé ne vous en donne aucune.
Soyons honnêtes : Drive n'est pas inutile. Si vous partagez par adresse email plutôt que par lien public, vous pouvez retirer une personne, et Drive garde un historique des versions. Les limites apparaissent à grande échelle, avec des liens, et sans signal de lecture.
Les quatre contrôles à exiger avant de partager quoi que ce soit
| Contrôle | Ce qu'il garantit | Risque sans lui |
|---|---|---|
| Accès par investisseur, révocable | Chaque fonds a son propre accès, fermé sans toucher aux autres | Transmission incontrôlée, impossible de fermer un seul fonds |
| Expiration automatique des liens | L'accès se ferme à une date définie, sans action manuelle | Documents confidentiels accessibles longtemps après la levée |
| Suivi de lecture | Vous voyez qui a ouvert quoi, et quand | Relances à l'aveugle, énergie dépensée sur les mauvais fonds |
| Versioning | Chaque investisseur actif voit la version en cours, avec un historique | Confusion sur les chiffres vus, litiges plus tard |
1. L'accès par investisseur, révocable
Un lien envoyé à vingt fonds, c'est un accès partagé entre vingt fonds. Si l'un d'eux le transmet, vous n'en savez rien. Et si vous voulez fermer l'accès du fonds qui a dit non, vous devez le fermer pour tout le monde.
La bonne pratique : un accès par investisseur, que vous pouvez révoquer seul. Vous savez alors exactement qui a ouvert quoi, et vous agissez au niveau individuel.
C'est aussi une question de RGPD. Dès que vos documents contiennent des données personnelles, comme des contacts clients, des données d'usage ou les noms des actionnaires d'une cap table, vous devez savoir à qui vous les avez transmises et pouvoir mettre fin à cet accès. Un lien générique ne permet pas de le documenter.
Sans ce contrôle : un fonds passe en février. Un analyste qui a gardé le lien le rouvre en mai pour un autre dossier. Vos données circulent hors de tout cadre contractuel et vous ne le savez jamais.
2. L'expiration des liens
Un document partagé sans date d'expiration reste accessible indéfiniment. Peu de fondateurs le mesurent en envoyant le lien, et beaucoup le mesurent six mois plus tard, quand la levée est bouclée et que les documents de due diligence restent ouverts à des fonds qui ne sont jamais entrés au capital.
L'expiration répond à deux besoins. La sécurité : limiter dans le temps l'exposition de documents confidentiels à des personnes qui n'ont plus de raison d'y accéder. La conformité : sous le RGPD, laisser des données personnelles accessibles plus longtemps que la finalité ne l'exige est difficile à justifier.
Une base raisonnable : 30 à 60 jours pour les liens envoyés en phase d'exploration, et une durée plus courte pour les documents de due diligence avancée. Vous pouvez toujours prolonger si la conversation continue.
Sans ce contrôle : votre levée se termine en septembre. En janvier, un analyste qui a changé de fonds rouvre votre cap table et vos contrats clients depuis son nouveau poste. Vous ne pouvez ni le savoir, ni l'empêcher.
3. Le suivi de lecture
Savoir qu'un investisseur a ouvert votre dataroom ne suffit pas. Ce qui compte, c'est ce qu'il a ouvert et quand. Quand la plateforme enregistre le temps passé, elle montre aussi s'il s'est arrêté sur le modèle ou a survolé le deck.
Un fonds qui passe quarante secondes sur le prévisionnel et trois minutes sur la page concurrence a des questions sur votre positionnement, pas sur vos chiffres. Un fonds qui ouvre le deck un lundi soir et le referme après deux minutes n'a probablement pas lu grand-chose. Ces signaux changent la préparation du prochain appel.
Le suivi aide aussi à prioriser. Avec trente fonds en parallèle, vous ne pouvez pas relancer tout le monde avec la même énergie. Il vous dit qui s'est engagé, qui n'a pas ouvert le lien, et qui est revenu plusieurs fois. Nous approfondissons ce point dans ce qu'un investisseur regarde dans votre dataroom.
Sans ce contrôle : vous relancez un fonds qui a lu vos fichiers la veille et qui attend simplement votre retour. Vous ignorez un fonds qui n'a jamais ouvert le lien parce que vous supposez qu'il réfléchit encore.
4. Le versioning
Une levée dure des mois. Votre prévisionnel change, le deck évolue, vos KPIs bougent. Sans versioning, vous ne savez pas quelle version un investisseur a lue, et lui non plus.
Le versioning garantit que chaque investisseur actif voit la version en cours, et il vous protège. Si un investisseur conteste un chiffre après le term sheet, vous devez pouvoir montrer quelle version de quel document il a consultée, à quelle date. Sans historique de versions, c'est impossible.
Servez-vous-en pour mettre à jour sur place plutôt que d'importer un nouveau fichier sous un autre nom. Nommez les fichiers lisiblement, sans numéro de version : modele_financier.xlsx, pas modele_v12_FINAL.xlsx.
Sans ce contrôle : vous envoyez un prévisionnel corrigé en mars. Deux fonds avaient téléchargé l'ancien en février. Ils arrivent au closing avec des hypothèses différentes des vôtres, et la discussion sur les chiffres repart de zéro.
Les liens signés, et ce qu'ils protègent vraiment
Un lien signé est une URL unique générée pour un fichier. Elle est longue et impossible à deviner, et la plateforme la vérifie à chaque requête : une expiration ou une révocation prend donc effet immédiatement.
Ce qu'il protège dépend de la configuration. Deux cas se distinguent :
- Un lien qui exige un compte. Il peut être attribué au compte qui l'ouvre. Vous obtenez une piste d'audit et la transmission occasionnelle devient moins utile.
- Un lien que n'importe qui peut ouvrir. Il est pratique, mais il peut être transmis. Considérez-le comme public pendant sa durée de validité, et réservez-le aux documents plus légers.
Tous les outils ne proposent pas les deux, et peu expliquent lequel ils utilisent. Posez la question avant de choisir.
Que mettre dans une dataroom investisseurs sécurisée
Les contrôles encadrent la façon de partager. Ce que vous partagez est une autre question. Une dataroom de seed standard contient le pitch deck à jour, une synthèse d'une page, un modèle financier aux hypothèses visibles, la cap table avec toutes les attributions de BSPCE, les statuts et le pacte d'associés s'il existe, les bios de l'équipe, une démo ou des captures du produit, et des données de traction comme le MRR, la rétention ou les logos clients.
Inutile de tout mettre dès le premier jour. Beaucoup de fondateurs partagent une version allégée au premier contact et ouvrent la dataroom complète quand l'investisseur est vraiment intéressé. Cela ne fonctionne que si vous avez un accès par investisseur. Pour le détail par stade, voyez ce qu'est une dataroom et pourquoi toute levée en a besoin.
Relier ce que vous apprenez à vos relances
Le partage de documents et votre pipeline de levée se nourrissent l'un l'autre. Un fonds qui a ouvert votre modèle deux fois en trois jours, c'est un signal pour relancer. Un fonds contacté il y a six semaines qui n'a jamais ouvert le lien, c'est un signal pour le réengager ou passer à autre chose.
Le dispositif le plus propre relie les deux, pour que les données d'engagement soient à côté de votre liste d'investisseurs. Certaines suites de levée combinent les deux. Si votre dataroom n'inclut pas de pipeline, un tableur fait l'affaire, à condition de le mettre à jour avec ce que le journal de lecture vous apprend.
Quoi révoquer, et quand
La gestion des accès ne s'arrête pas à l'envoi du lien. Révoquez l'accès quand :
- Un investisseur décline votre tour
- Une discussion reste froide quatre à six semaines sans réponse
- Vous clôturez la levée et voulez limiter l'exposition
- Un document a été remplacé et vous ne voulez pas que l'ancien circule
Révoquer n'est ni agressif ni impoli. C'est une pratique courante, et les investisseurs qui travaillent régulièrement avec des fondateurs la comprennent.
Une note sur la confidentialité
Demander à un investisseur de signer un NDA avant de partager des documents est, dans la plupart des cas, irréaliste au stade early. Les investisseurs institutionnels en signent rarement, et le demander avant un premier échange peut passer pour un manque d'expérience.
L'alternative pratique est une dataroom bien configurée : accès par investisseur, expiration, journal d'accès et versioning. Cela ne remplace pas la protection juridique, mais cela vous donne un contrôle réel sans ajouter de friction à la relation. En due diligence avancée, pour des comptes détaillés ou des contrats clients, une clause de confidentialité dans le term sheet est une démarche légitime.
Le principal angle mort reste le téléchargement. Une fois un fichier sur la machine de quelqu'un, vous n'en avez plus le contrôle. Désactivez le téléchargement des fichiers les plus sensibles quand l'outil le permet, et prenez un avis juridique si vous partagez des éléments techniques propriétaires.
Où sont hébergées les données, et sous quel droit
Pour une startup française qui lève auprès de fonds européens, l'hébergement est une question légitime de la part d'un investisseur institutionnel : où sont stockés les documents de due diligence, et qui peut en exiger l'accès ?
La réponse a deux volets. La région d'hébergement compte, et la structure juridique de l'éditeur aussi. Le Cloud Act américain permet aux autorités américaines de contraindre un prestataire de droit américain à communiquer les données qu'il contrôle, où qu'elles soient stockées, même si, dans l'UE, une telle demande exige une base légale valable au titre de l'article 48 du RGPD. Ce n'est pas une raison d'écarter un outil, mais c'est une question à laquelle vous devez pouvoir répondre avant le début de la due diligence.
Comment onefive gère cela
onefive accorde l'accès fichier par fichier, à un compte nommé ou via un lien. Les liens peuvent porter une date d'expiration et être révoqués à tout moment. Le téléchargement est désactivé par défaut, donc la lecture seule est le réglage de base, et les PDF portent un filigrane avec le nom et l'email du lecteur. Les documents sont versionnés, et chaque ouverture est journalisée avec sa date et son heure.
C'est l'un des usages de la plateforme, qui couvre aussi un réseau vérifié, les discussions de l'écosystème, un annuaire d'environ 400 incubateurs, accélérateurs, concours et événements, et Le Tour de Table. Le produit est bilingue français et anglais et gratuit à l'ouverture. Il est aujourd'hui en pré-lancement, et l'accès passe par une liste d'attente gratuite.
Ce qu'il ne fait pas aujourd'hui : il n'y a pas encore de pipeline investisseurs, donc vous gardez la liste de vos conversations ailleurs jusqu'à l'arrivée du CRM, prévue sur la roadmap 2026-2027. Il ne revendique ni SOC 2 ni ISO 27001. Et le stockage est plafonné à 1 Go par dataroom, 50 Mo par fichier.
FAQ
Questions fréquentes
Qu'est-ce que le partage sécurisé de documents avec des investisseurs ?+
C'est l'envoi de documents via un système qui vous donne un contrôle d'accès par destinataire, l'expiration des liens, le suivi de lecture et l'historique des versions. Il se distingue d'un dossier partagé, où vous ne voyez pas qui a ouvert quoi et ne pouvez pas révoquer un accès de façon sélective.
Faut-il un NDA avant de partager son pitch deck avec des investisseurs ?+
En général non pour une première discussion. Les investisseurs institutionnels signent rarement un NDA au stade early, et le demander avant un premier rendez-vous peut passer pour un manque d'expérience. Pour des documents financiers détaillés ou des contrats clients en due diligence avancée, une clause de confidentialité, dans le term sheet par exemple, est une précaution légitime. Les contrôles techniques s'appliquent dans les deux cas.
Qu'est-ce qu'un lien signé dans une dataroom ?+
Un lien signé est une URL unique et impossible à deviner que la plateforme vérifie à chaque requête, si bien que l'expiration et la révocation s'appliquent immédiatement. Qu'il soit rattaché à une personne dépend de la configuration. Un lien qui exige un compte peut être attribué au compte qui l'ouvre. Un lien que n'importe qui peut ouvrir peut être transmis : réservez-le aux documents moins sensibles.
Quand faut-il révoquer l'accès d'un investisseur ?+
Quand l'investisseur dit non, quand une discussion est restée froide quatre à six semaines, à la clôture de la levée, et quand un document a été remplacé et que vous ne voulez pas que l'ancien circule. Révoquer un accès est une pratique courante, et elle n'est pas considérée comme impolie.
Quels documents mettre dans une dataroom investisseurs ?+
Le pitch deck, une synthèse d'une page, un modèle financier aux hypothèses visibles, la cap table avec les attributions de BSPCE, les documents juridiques clés, les bios de l'équipe, et des éléments produit ou de traction. Partagez une version allégée au premier contact et ouvrez la dataroom complète quand l'intérêt est confirmé.
Que faire si un investisseur télécharge un fichier avant l'expiration du lien ?+
Le téléchargement local est le principal angle mort de toute dataroom. Deux réponses pratiques : désactiver ou restreindre le téléchargement des fichiers les plus sensibles, car beaucoup d'outils permettent la consultation sans téléchargement, et couvrir les documents partagés par une clause de confidentialité dans vos échanges précontractuels.
Le RGPD s'applique-t-il aux documents partagés avec des investisseurs ?+
Oui, dès qu'ils contiennent des données personnelles : clients, salariés, actionnaires. Vous devez savoir à qui vous les avez transmises et pouvoir mettre fin à cet accès. C'est une raison de plus de préférer un accès nominatif, une expiration et un journal d'accès à un lien générique.
Combien de temps conserver les journaux d'accès après la levée ?+
Le droit français ne fixe pas de durée spécifique pour les journaux de dataroom. Le principe du RGPD est de ne conserver les données que le temps nécessaire à la finalité. En pratique, beaucoup de fondateurs les gardent pendant la durée de la relation avec l'investisseur, puis les archivent pendant le délai de prescription commerciale de cinq ans (article L110-4 du Code de commerce). Validez votre politique avec un avocat.
Peut-on utiliser une dataroom dès le pre-seed ?+
Oui. En pre-seed, on contacte souvent autant de fonds qu'à un tour plus avancé, sur plusieurs mois. Un accès par investisseur et un signal de lecture sont utiles dès le départ.
L'expiration des liens empêche-t-elle un investisseur de consulter un document après la clôture ?+
Oui, c'est précisément l'objectif. Si un investisseur entre au capital et doit garder un accès, ouvrez-lui un accès spécifique dans le cadre de la relation actionnariale, distinct du processus de levée. Mélanger les deux crée des ambiguïtés sur ce qui a été partagé dans quel contexte.
Conclusion
Bien partager avec des investisseurs se résume à quatre questions auxquelles vous devez pouvoir répondre pour chaque fichier envoyé. Qui a accès, et puis-je fermer cet accès seul ? Quand prend-il fin ? Qu'a-t-il ouvert ? Quelle version a-t-il vue ? Si votre dispositif actuel ne sait pas y répondre, vous conduisez votre levée à l'estime.
