NDA et protection des renseignements confidentiels
1) Objectifs et principes
La NDA (Non-Disclosure Agreement) et les politiques internes protègent :- les secrets d'affaires (algorithmes antifrod, profils bonus, modèles ML, mathématiques RNG) ;
- matériel de négociation (étiquettes de prix, offers, M&A, diligence raisonnable) ;
- Processus et sources (architecture, IaC, schémas API, clés) ;
- les données des partenaires (SDK, roadmaps, bets) ;
- données personnelles/commerciales (dans le cadre de la DPA/DSA).
Principes : minimisation de l'accès (need-to-know), traçabilité, cryptage par défaut, partage des rôles/responsabilités, « salle blanche » pour le développement collaboratif.
2) Classification et étiquetage des informations
Niveau de classification recommandé et règles de circulation :Marquage : '[CONFIDENTIEL]', propriétaire des données, date limite de publication, référence au tiquet/base d'accès.
3) Régime des secrets d'affaires (trade secrets)
Jura-acte/politique : liste d'informations, mesures de protection, responsabilité.
Mesures techniques : RBAC/ABAC, journaux d'accès, DLP, watermarking, contrôle d'impression/captures d'écran.
Organisation : onboarding/offboarding-checklists, formation, accords de confidentialité, interdiction d'apporter/sortir des médias sans inscription.
Discipline du quai : versions, registre des artefacts, marquage, canaux « secrets » (espaces fermés/référentiels).
4) Espèces NDA
Unidirectionnel (one-way) : révèle un côté (typiquement le fournisseur de SDK).
Réciprocité (mutuelle) : échange d'informations confidentielles entre les deux parties (négociation, intégration).
Multipartite (multilateral) : consortiums, co-pilotes.
NCA/NDA + NCA : Non-circulation (interdiction de contourner l'intermédiaire) est ajoutée à NDA.
NDA avec développeur/entrepreneur : combiné avec Inventions/Assignment (droits sur les résultats).
5) Sections clés de la NDA (ce qui est obligatoire)
1. Définition des informations confidentielles : y compris les informations orales (sur confirmation écrite ultérieure), électroniques, matérielles ; énumérer les exemples types (code, schémas, prix, dashboards).
2. Exceptions : (i) connues publiquement sans violation ; (ii) était déjà en possession légale ; (iii) conçu de manière indépendante (prouvable) ; (iv) divulgué légalement aux organismes publics (avec notification).
3. Objet de la divulgation : spécifique (évaluation du partenariat, pilote, vérification).
4. Obligations du bénéficiaire : le niveau de protection n'est pas inférieur au sien ; need-to-know, interdiction de copier au-delà de la cible, interdiction de rétro-développement/benchmarking sans consentement.
5. Durée et « survie » : durée du contrat (par exemple, 2-5 ans) + protection post-temporelle des secrets (par exemple, 5-10 ans/indéfiniment pour les secrets).
6. Retour/destruction : à la demande ou à la fin - retour/retrait avec confirmation ; sauvegardes - sous le mode de stockage jusqu'à la durée automatique.
7. Vérification et notification des incidents : rapidité de notification (par exemple, ≤72 h), collaboration à l'enquête.
8. Les voies de recours légales : relief injonctif (injonction), indemnisation, limites ne s'appliquent pas aux infractions intentionnelles.
9. Loi applicable/arbitrage : juridiction/forum, langue, ADR/arbitrage.
10. Exportations/sanctions : interdiction de transférer à des personnes/juridictions sous-ancrées ; respect des contrôles à l'exportation (cryptographie).
11. « Residual Knowledge » (comme convenu) : vous pouvez/ne pas utiliser les « connaissances non enregistrées » des employés (généralement exclure ou limiter).
12. Sous-traitants/affiliés : ne sont autorisés qu'avec des obligations similaires et un consentement écrit.
13. Protection des données (s'il y a un PII) : référence à la DPA/DSA, rôle des parties (responsable du traitement/sous-traitant), finalités/bases juridiques, transferts transfrontaliers, durée de conservation.
6) Communication NDA avec la vie privée et la sécurité
Si les données personnelles sont transmises, NDA ne suffit pas - DPA/DSA et mesures sur le RGPD/analogiques sont nécessaires (bases légales, droits des sujets, DPIA pour les risques élevés).
Contrôle technique : cryptage en transit (TLS 1. 2 +), at-rest (AES-256), gestion des secrets, rotation des clés, MDM pour les périphériques, 2FA, SSO, minimisation des logs avec PII.
7) Procédures d'accès et d'échange
Canaux : courriers de domaine, salles protégées (VDR), SFTP/mTLS, archives cryptées (mot de passe AES-256 + out-of-band).
Interdiction : messagers sans intégration d'entreprise, nuages personnels, liens publics, appareils non gérés.
Contrôle de l'impression/exportation, interdiction des médias flash personnels, géo-restrictions (géofenses).
8) Clean-room et co-développement
Séparez les commandes « visible » et « propre », conservez les artefacts unidirectionnels séparément.
Documenter les sources et les origines (provenance).
Pour les PoC collaboratifs : concilier les droits sur les résultats (co/assignment) qui possèdent Derived Data.
9) Matrice RAG des risques
10) Chèques-feuilles
Avant d'échanger des informations
- Signé par la NDA (droit/forum/délai/exceptions/sanctions).
- Le DPA/DSA est-il nécessaire ? Si oui, signé.
- Le propriétaire de l'ensemble de données et le niveau de classification ont été désignés.
- Le canal d'échange et le chiffrement sont harmonisés.
- Liste des destinataires (need-to-know), accès au VDR/dossier configuré.
Pendant l'échange
- Marquage des fichiers et version, filigranes.
- Journaux d'accès, interdiction du ré-shering sans consentement.
- Fonds de hachage/registre d'artefacts.
Une fois terminé
- Retour/retrait et confirmation écrite.
- Accès révoqués, jetons/clés rotés.
- Post-audit : ce qu'il faut améliorer dans les processus/modèles.
11) Modèles (fragments de clauses contractuelles)
A. Définition et exceptions
B. Obligations et accès
C. Durée/Survie
D. Retour/Destruction
E. Moyens juridiques
F. Exportations/Sanctions
G. Connaissance résidentielle (en option)
> Les parties conviennent que les connaissances et les compétences générales du personnel du Bénéficiaire qui ne sont pas matériellement confirmées ne sont pas considérées comme des informations confidentielles, à condition qu'il n'y ait pas de mémorisation et d'utilisation intentionnelles du code source/des formules secrètes. (Il est recommandé d'exclure ou de limiter sévèrement les projets à haut risque.)
12) Registres recommandés (YAML)
12. 1 Registre NDA
yaml nda_id: "NDA-2025-0142"
counterparty: "GameProvider X Ltd"
type: "mutual"
purpose: "SDK integration and technical support"
term_months: 36 survival_years: 7 includes_dpa: true export_sanctions_clause: true residual_knowledge: "excluded"
owner: "Legal"
vault_folder: "vdr/providers/gpx"12. 2 Registre des échanges d'artefacts
yaml exchange_id: "XCH-2025-009"
nda_id: "NDA-2025-0142"
classification: "Confidential"
channel: "VDR"
files:
- "api_specs_v3. pdf" # sha256:...
- "kpis_q1. xlsx" # sha256:...
recipients: ["a. smith@gpx. com","techlead@gpx. com"]
access_start: "2025-11-05"
access_end: "2026-01-31"
destroy_confirmed: false13) Politiques et pratiques de sécurité (en résumé)
Appareils : entreprise, cryptage complet, MDM, interdiction BYOD pour « Secret ».
Accès : SSO/2FA, accès conditionnel (géo/périphérique), rôles temporaires (just-in-time).
Logs : stockage et suivi des accès ; alertes pour déchargement massif/heures non standard.
DLP : Bloc de pièces jointes en dehors du domaine/sans cryptage, filigranes en PDF.
Commodité : modèles de salles protégées (VDR), scripts de cryptage d'archives prêts à l'emploi, NDA/DPA standard.
14) Gestion des incidents (dans le contexte de la NDA)
1. Fixation : quoi, quand, qui, quels sont les fichiers/dépôts ; gel des sessions.
2. Isolation : rappel des accès/clés, « congélateur » temporaire dans le nuage.
3. Avis : propriétaire des données, avocats, partenaires ; PII - par DPA/GDPR.
4. Enquête : collecte des loges, forensisme, détermination du montant des dommages.
5. Remédiation : remplacement des secrets, patchs, mise à jour des pleybuks, formation.
6. Mesures juridiques : réclamations/actions en justice pour NDA, indemnisation.
15) Mini-FAQ
La NDA est-elle suffisante pour les données personnelles ? Non, il faut un DPA/DSA et des mesures de confidentialité.
Puis-je envoyer un message confidentiel ? Seulement dans l'entreprise approuvée et avec fin-à-fin, avec les DLP/journaux inclus.
Combien de matériaux stocker ? Autant que l'objectif/le contrat l'exige ; À la fin, retour/suppression avec confirmation.
Dois-je chiffrer les disques internes ? Oui, chiffrement complet + fichiers/secrets.
16) Conclusion
NDA n'est que le sommet de l'iceberg. La protection réelle repose sur le régime des secrets d'affaires, le lien avec la vie privée (DPA), les contrôles techniques et orgos rigoureux, la discipline des échanges et la réponse rapide aux incidents. Normalisez vos modèles, créez des registres et des playbooks - et vos secrets, votre code et vos négociations resteront un atout et non une vulnérabilité.