Assurance start-up : les garanties à mettre en place à chaque étape de croissance

Le mardi où l'investisseur envoie sa liste de pièces à fournir, les trois associés sont dans leur box de l'incubateur, entre deux tables partagées et une machine à café. Leur application de gestion de rendez-vous compte quelques milliers d'utilisateurs, la levée de fonds est presque bouclée. La liste comporte les statuts, le pacte d'associés, le tableau de capitalisation. Et deux lignes que personne n'avait vues venir : « attestation d'assurance responsabilité civile des dirigeants » et « contrat personne clé sur le directeur technique ».

Le même mois, l'ordinateur portable de ce directeur technique disparaît dans un train. Dedans, une copie de la base de données de test, avec de vraies adresses e-mail. La question n'est plus théorique. Ce qu'il faut assurer dans une start-up ne se décide pas une fois pour toutes à l'immatriculation : chaque étape, premier client, premier salarié, levée de fonds, ouverture à l'étranger, apporte son risque. Voici comment les prendre dans l'ordre.

Au démarrage : un socle simple, mais calibré pour une entreprise qui n'a pas de bureau

Une jeune pousse a peu de temps à consacrer à l'assurance et un budget serré. Elle a besoin d'un socle court, qui couvre l'essentiel sans payer des garanties pensées pour un commerce.

La responsabilité civile professionnelle, d'abord. Pour une start-up du numérique, le sinistre type n'est pas matériel. C'est une plateforme indisponible pendant une journée de forte activité pour un client, un algorithme qui envoie de mauvais rappels, une intégration qui corrompt les données d'un partenaire. Le dommage est immatériel, et le contrat doit le garantir sans exiger de dommage matériel préalable. Les offres conçues pour les start-up étendent en outre la RC aux atteintes aux droits de propriété intellectuelle : une image reprise sans licence sur le site, une bibliothèque de code utilisée hors des conditions de sa licence, un nom de marque trop proche de celui d'un concurrent. Pour une jeune entreprise, ce sont des litiges fréquents.

Les locaux, ensuite, même quand il n'y en a pas vraiment. Certaines garanties de dommages aux biens couvrent les locaux professionnels jusqu'à 50 m², y compris un emplacement occupé dans un espace de coworking ou un incubateur. C'est un point à vérifier, car la convention d'occupation de l'incubateur exige souvent une attestation, et le contrat de l'incubateur ne couvre pas vos propres équipements.

Le matériel nomade, enfin. L'ordinateur du train de l'introduction relève de cette garantie, à condition qu'elle s'applique hors des locaux et, pour une équipe qui voyage, dans le monde entier.

Le guide Démarrer son activité : la RC pro avant le premier client explique pourquoi la date de souscription compte autant que le contenu du contrat. Et pour les fondateurs qui codent eux-mêmes, Auto-entrepreneur du numérique : pourquoi une ligne de code peut vous coûter cher détaille les sinistres types du secteur.

Les données : le risque qui grandit plus vite que le chiffre d'affaires

Revenons au portable perdu. S'il contient des données personnelles non chiffrées, la start-up est responsable de traitement au sens du règlement général sur la protection des données. L'article 33 de ce règlement lui impose de notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes. Il faut ensuite parfois informer les utilisateurs eux-mêmes, répondre à leurs questions, rassurer les clients professionnels.

Les start-up y sont plus exposées que d'autres entreprises, parce qu'elles détiennent beaucoup de données, souvent sensibles, avec une sécurité qui se construit en même temps que le produit. Et la plupart des cyberattaques se traduisent par un blocage du système d'information, qui crée une urgence immédiate. Les contrats cyber destinés aux jeunes entreprises combinent donc plusieurs services :

• un diagnostic et des solutions de réparation accessibles par simple appel dès qu'un dysfonctionnement lié à une attaque est détecté ;
• une expertise à distance, qui permet de chiffrer les dommages par téléphone avec l'expert et d'être réglé rapidement ;
• une veille sur internet mise en place sous 24 heures en cas d'atteinte à l'image, avec l'analyse des articles et des discussions et des recommandations concrètes ;
• la prise en charge des pertes d'exploitation consécutives à l'attaque, selon les contrats.

Un mot d'honnêteté sur ce marché : après plusieurs années de sinistres lourds, les assureurs ont relevé leurs primes et leurs franchises et durci leurs questionnaires. Une start-up qui peut montrer une authentification à double facteur, des sauvegardes séparées et un chiffrement des postes obtient de meilleures conditions, et parfois simplement une proposition.

La levée de fonds : quand les investisseurs regardent les dirigeants

La levée de fonds change la nature du risque. Des tiers deviennent associés, avec des droits, des attentes et la possibilité de reprocher aux fondateurs leurs décisions. C'est pourquoi les investisseurs demandent les deux garanties de la liste.

La responsabilité civile des dirigeants. Le dirigeant d'une société peut voir sa responsabilité personnelle engagée pour violation de la loi, violation des statuts ou faute de gestion. Le Code de commerce l'organise pour la société anonyme à l'article L.225-251, et l'article L.227-8 étend ces règles au président et aux dirigeants de la SAS, la forme la plus courante chez les start-up. La mise en cause peut venir des associés, des créanciers, ou du liquidateur si l'entreprise échoue. Elle peut viser aussi un dirigeant de fait, par exemple un fondateur qui n'a plus de mandat mais continue de décider. Le contrat prend en charge les frais de défense dans un procès civil, pénal ou administratif, et les dommages et intérêts lorsque la responsabilité est retenue. Les amendes pénales, elles, restent personnelles.

L'assurance personne clé. Un dirigeant qui porte la vision, un ingénieur qui est seul à maîtriser l'architecture, un développeur à l'expertise rare : la start-up repose parfois sur une ou deux personnes. Le contrat de prévoyance personne clé indemnise l'entreprise en cas d'arrêt de travail, d'invalidité ou de décès de cette personne. L'indemnité sert à faire face aux charges fixes, à rechercher et rémunérer un remplaçant, et à traverser la désorganisation. Les investisseurs la demandent parce qu'elle protège précisément ce qu'ils financent.

L'international et les nouveaux métiers : déclarer avant de changer

Une start-up pivote. L'application de rendez-vous devient une plateforme de paiement, l'équipe ouvre un bureau à l'étranger, un premier client hors d'Europe signe. Chaque mouvement peut sortir l'entreprise du périmètre de son contrat. Une RC pro souscrite pour de l'édition de logiciel ne couvre pas automatiquement une activité d'intermédiation financière, et une garantie limitée à la France ne joue pas pour un dommage causé aux États-Unis.

La règle pratique est simple : prévenir votre conseiller avant le changement, pas après. Il adapte les garanties, vérifie l'étendue territoriale et les plafonds, et vous évite de découvrir l'exclusion au premier litige. Pour lire les montants et les exclusions d'un contrat, le guide Franchise, plafond, exclusions donne les bons repères. Les fiches développeur web et data analyst et data scientist détaillent les risques propres aux équipes techniques.

L'essentiel à retenir

• Au démarrage, un socle suffit : RC pro avec dommages immatériels et propriété intellectuelle, locaux y compris en coworking ou incubateur, matériel nomade.
• Une violation de données personnelles se notifie à la CNIL dans les 72 heures (article 33 du RGPD) : la garantie cyber finance l'urgence technique et la gestion de crise.
• Les investisseurs demandent souvent une RC des dirigeants et une assurance personne clé avant de verser les fonds.
• En SAS, la responsabilité des dirigeants suit les règles de la société anonyme (articles L.225-251 et L.227-8 du Code de commerce).
• Chaque pivot, nouvelle activité ou ouverture à l'étranger doit être déclaré avant d'être lancé.

Questions fréquentes

Nous sommes trois fondateurs sans salarié. Avons-nous vraiment besoin d'une RC des dirigeants ?

Pas forcément au tout début, quand les fondateurs sont les seuls associés et décident ensemble. Elle devient nécessaire dès que des tiers entrent au capital, que l'entreprise emprunte de façon significative ou qu'un fondateur quitte la direction. C'est à ce moment que les mises en cause deviennent possibles, et c'est aussi à ce moment que les investisseurs la demandent.

L'incubateur nous dit que nous sommes couverts par son assurance. Est-ce suffisant ?

Rarement. Le contrat de l'incubateur couvre en général sa propre responsabilité et ses locaux. Il ne couvre ni votre responsabilité envers vos clients, ni vos équipements, ni les dommages que vous pourriez causer aux locaux. Demandez à lire la convention d'occupation : elle prévoit souvent que chaque occupant s'assure lui-même.

Une assurance personne clé coûte-t-elle cher ?

La prime dépend de l'âge et de l'état de santé de la personne assurée, du montant garanti et des événements couverts. Le bon montant se calcule à partir des charges fixes à couvrir pendant la période de remplacement, pas d'une valorisation de la société. Un conseiller peut vous aider à le dimensionner avant de demander une proposition.