Data room virtuale: come si allestisce e come si controlla l'accesso
Il valore di una data room virtuale si misura dopo il closing, quando la controparte contesta una garanzia e lo studio deve dimostrare che quel documento era stato messo a disposizione, in quale sezione dell'indice, e chi lo ha aperto il 12 marzo alle 15:40. Caricare i file e mandare gli inviti è lavoro che qualunque strumento sa fare. Quello che regge dopo, se la questione finisce davanti a un giudice o a un arbitro, sono la numerazione dell'indice, l'assegnazione dei permessi e quello che il log ha registrato.
Quando serve una data room virtuale e quando basta una cartella condivisa
Una cartella condivisa regge finché le persone coinvolte sono poche, conosciute e tutte dalla stessa parte del tavolo. Servono gli strumenti di una data room se ricorre almeno una di queste condizioni:
- la controparte è esterna e avversariale (l'acquirente e i suoi advisor, un pool di banche, un investitore in fase di verifica);
- occorre sapere chi ha letto cosa, perché l'informazione divulgata produce effetti contrattuali;
- i documenti vanno rilasciati per fasi, tipicamente una prima tranche informativa e una seconda dopo l'offerta non vincolante;
- ci sono più offerenti da tenere separati e da non far incontrare nemmeno nell'elenco utenti;
- alcune informazioni sono sensibili sotto il profilo antitrust (listini, marginalità per cliente, condizioni con i fornitori comuni) e vanno confinate in un gruppo ristretto.
Altrimenti una libreria del documentale dello studio, con permessi impostati bene, autenticazione a più fattori e link a scadenza, fa lo stesso lavoro senza il tempo di setup e senza canone: una cessione di partecipazioni fra due soci che si conoscono da vent'anni non giustifica una data room dedicata.
Negli studi che seguono operazioni straordinarie e nelle direzioni legali d'impresa i casi ricorrenti sono la due diligence in acquisizione, la cessione di ramo d'azienda, la ristrutturazione del debito con più istituti, la vendita competitiva e il contenzioso con più difensori e consulenti tecnici.
Struttura dell'indice: come si organizza per una due diligence
L'indice finisce per essere un documento contrattuale a tutti gli effetti. La disclosure letter richiama i documenti per numero, e la relazione di due diligence dell'acquirente pure: se la numerazione si muove, si muovono i riferimenti di entrambe. L'impianto classico di una due diligence societaria italiana si articola così:
- Societario e corporate governance (statuto, libri sociali, verbali, patti parasociali)
- Bilanci, contabilità e fiscale
- Contratti con clienti e fornitori
- Lavoro, personale e organi sociali
- Immobili, beni strumentali e locazioni
- Proprietà intellettuale e industriale
- Contenzioso, precontenzioso e verifiche in corso
- Autorizzazioni, ambiente e sicurezza sul lavoro
- Assicurazioni
- Finanziamenti, garanzie e rapporti bancari
- Privacy, IT e protezione dei dati
Tre regole sulla numerazione:
- Numerazione gerarchica su tre livelli al massimo (
03.02.011), scritta nel nome del file e non solo nell'albero delle cartelle. Chi scarica il documento se lo ritrova in una cartella locale senza contesto: il numero deve restare attaccato al file. - Indice congelato all'apertura. Da quando entra il primo utente esterno, i numeri esistenti non si toccano più e i documenti nuovi si accodano in fondo alla sezione, anche quando l'ordine logico ne soffre. Rinumerare a metà operazione invalida ogni riferimento già scambiato.
- Documento mancante segnalato, non nascosto. Se una voce non ha ancora il file, lascia il segnaposto con la data prevista. La casella vuota è un'informazione, la voce cancellata è una contestazione futura.
Prima del caricamento vanno oscurati i dati personali non necessari alla verifica (nominativi nei contratti di lavoro campione, dati di salute, anagrafiche dei clienti finali), in applicazione del principio di minimizzazione previsto dall'art. 5, par. 1, lett. c) del Regolamento UE 2016/679. Attenzione al PDF con il rettangolo nero applicato sopra il testo: senza appiattire il file, il testo resta selezionabile sotto.
Permessi per gruppo e per singolo documento
I permessi si assegnano ai gruppi, mai alle persone: le persone entrano ed escono dal deal team ogni settimana, i gruppi restano.
| Gruppo | Cosa vede | Da quando |
|---|---|---|
| Deal team venditore | tutto, in modifica | dall'allestimento |
| Advisor legale venditore | tutto, in sola lettura | dall'allestimento |
| Offerente A, B, C | fase 1, poi fase 2 su abilitazione | dall'apertura |
| Clean team | sezioni concorrenzialmente sensibili | su designazione nominativa |
| Banche finanziatrici | sezioni 1, 2, 5, 10 | dalla fase 2 |
| Revisori | sezioni 2 e 7 | su richiesta puntuale |
In una vendita competitiva i gruppi degli offerenti devono essere ciechi fra loro: elenco utenti disattivato, nessuna notifica incrociata, nessuna visibilità dei commenti altrui. Verificalo entrando con un account di prova prima di spedire gli inviti, perché molti prodotti lasciano l'elenco aperto di default.
Il permesso sul singolo documento resta un'eccezione. Cinque eccezioni sono gestibili, cinquanta diventano un sistema di regole che nessuno ricorda e che al primo cambio di fase rilascia qualcosa che doveva restare chiuso: quando si moltiplicano, il segnale è che l'indice va spezzato in una sottosezione a permessi propri.
Finché l'operazione non è autorizzata e perfezionata le due società restano concorrenti, e lo scambio di dati commerciali di dettaglio espone al rischio di gun jumping, cioè di anticipare gli effetti della concentrazione prima del via libera. Da qui il clean team, un gruppo ristretto e nominativo fatto di consulenti esterni e di persone senza responsabilità commerciali dirette.
Tracciamento degli accessi: cosa serve poterlo dimostrare
Il registro degli accessi risponde a tre esigenze diverse, e conviene tenerle distinte.
Probatoria. Nel contenzioso post-closing sulle dichiarazioni e garanzie la difesa del venditore poggia sulla fair disclosure: il documento era in data room, ordinato in modo intelligibile, e l'acquirente poteva vederlo. Il log è la prova di quel "poteva".
Di conformità. Se una violazione riguarda documenti in data room, l'art. 33 del Regolamento UE 2016/679 impone di notificarla al Garante entro 72 ore dal momento in cui se ne è avuta conoscenza, a meno che sia improbabile che comporti un rischio per i diritti degli interessati. La notifica va corredata della descrizione delle categorie di dati e di interessati coinvolti, e senza un log dettagliato quella descrizione non si scrive. Il fornitore della data room è responsabile del trattamento ai sensi dell'art. 28 e va nominato per iscritto, con localizzazione dei dati e sub-responsabili. Gli adempimenti sono quelli ricostruiti nella guida al GDPR per lo studio legale.
Negoziale. La mappa di calore dice quali sezioni l'offerente sta davvero studiando: due settimane passate sui contenziosi ambientali anticipano dove arriverà la richiesta di riduzione del prezzo.
Il log deve registrare utente, indirizzo IP, documento, azione (apertura, download, stampa, ricerca), data e ora al secondo e durata della visualizzazione. Due requisiti si scoprono sempre tardi: deve essere esportabile in CSV o PDF firmato, non solo consultabile a schermo, e deve sopravvivere alla chiusura. Chiedili al fornitore in trattativa, insieme al periodo di conservazione del registro.
Filigrana, download bloccato, scadenza dei link: cosa protegge davvero
Le funzioni di protezione vengono presentate in blocco, ma coprono rischi diversi.
| Misura | Protegge da | Non protegge da |
|---|---|---|
| Filigrana dinamica (nome, email, data e ora su ogni pagina) | circolazione anonima delle copie | fotografia dello schermo, ma la rende attribuibile |
| Visualizzazione senza download | inoltro accidentale, copia massiva | screenshot ripetuti, cattura automatizzata |
| Link con scadenza | accesso residuo di chi è uscito dal team | copie già scaricate |
| Etichetta di riservatezza persistente sul file | apertura del file scaricato dopo la revoca | destinatari senza identità digitale verificabile |
| Autenticazione a più fattori | credenziali rubate o condivise | accesso legittimo usato male |
La filigrana dinamica ha il rapporto migliore fra costo e resa perché rende la copia riconducibile a una persona, e funziona da deterrente solo se è annunciata nell'NDA, non soltanto attivata nel prodotto. La misura più efficace sta comunque a monte del software. Ogni documento che non serve alla verifica è superficie di rischio senza contropartita, quindi la prima decisione riguarda cosa non caricare. Le misure di igiene di base (accessi nominali, revisione periodica, dismissione degli account) sono le stesse della checklist di sicurezza dei dati dello studio.
Q&A e gestione delle richieste della controparte
Le risposte che transitano dal modulo Q&A sono informazioni divulgate a tutti gli effetti, e qualificano le dichiarazioni e garanzie quanto un documento caricato. Impostazioni da decidere prima di aprire, non in corsa:
- Un thread per domanda, con categoria, sezione dell'indice di riferimento e responsabile assegnato.
- Doppio passaggio prima della pubblicazione: la bozza la scrive chi conosce il tema (management, capo del personale, CFO), la validazione la fa il legale, anche quando la risposta è una riga.
- Visibilità delle risposte: va stabilito se ogni offerente vede solo le proprie o se le risposte rilevanti si pubblicano a tutti per parità informativa. Cambiare regola a metà è impraticabile.
- Tetto alle domande per fase e finestra di chiusura, di norma qualche giorno prima della scadenza per le offerte.
La regola che conta è una sola: nessuna risposta fuori dal Q&A. Quello che viene detto per email, in call o a margine di una riunione non lascia traccia, e quando servirà dimostrare cosa è stato divulgato esisterà soltanto la versione della controparte. Se una risposta esce a voce, il giorno stesso va ricaricata nel modulo.
Chiusura dell'operazione: consegna dell'indice e conservazione
Alla chiusura si producono tre cose, e vanno prodotte prima di disattivare gli accessi.
Lo snapshot certificato dell'indice: elenco completo dei documenti con numerazione, nome file, dimensione, impronta di hash e data di caricamento, con validazione temporale elettronica ai sensi del Regolamento UE 910/2014. È quello che, anni dopo, prova la consistenza esatta della data room al momento della firma.
La copia integrale cifrata, consegnata a entrambe le parti. Consegna e tempi si scrivono nel contratto di compravendita, insieme all'obbligo di cancellazione a carico dell'offerente rimasto fuori: l'attestazione di avvenuta cancellazione del fornitore è l'unico documento opponibile.
L'export del Q&A e del registro degli accessi, in un formato leggibile senza il prodotto che li ha generati.
La conservazione si allinea alla durata delle garanzie contrattuali, con termini più lunghi per quelle fiscali, e si coordina con la retention dello studio: la copia entra nel documentale legata alla pratica, non su un disco esterno nel cassetto di un socio. Se per l'operazione è stata svolta l'adeguata verifica sul cliente, quella documentazione segue il termine decennale del D.lgs 231/2007, che è un binario distinto. I criteri di durata sono quelli della guida alla conservazione dei documenti dello studio legale; archiviare la copia con metadati di pratica e permessi ereditati è il lavoro di un sistema di gestione documentale come QuantumDocument.
L'errore da non fare è lasciare la data room aperta "per sicurezza" dopo il closing: continua a costare, resta un perimetro da presidiare, e dopo qualche mese nessuno ricorda più chi ci ha ancora accesso. Fissa la data di dismissione nel calendario dell'operazione insieme a quella del closing, e fai partire lo snapshot certificato una settimana prima: se un documento risulta mancante, quello è l'ultimo momento utile per accorgersene.
