Data room vs Google Drive e Dropbox: perché non basta il cloud per la due diligence

Due strumenti, due obiettivi diversi

Una due diligence M&A scambia documenti riservati su cui si basa una decisione da milioni di euro. Il cloud generalista non è lo strumento giusto: non impone una NDA prima dell'accesso, non genera un audit trail valido al closing, non revoca i download già effettuati e ospita spesso i dati fuori dall'UE. Servono strumenti costruiti per la riservatezza del deal.

Papermark è la data room ideale per le PMI italiane che gestiscono M&A o raccolta fondi con requisiti GDPR stringenti. Il flusso di deal è progettato per la due diligence: NDA-gate obbligatorio prima dell'accesso ai documenti, accesso strutturato a fasi con gruppi visualizzatori separati per buyer concorrenti, Q&A strutturato per categoria, watermark dinamico con email e timestamp su ogni pagina, audit log esportabile al closing e analitiche di accesso pagina per pagina in tempo reale. Hosting su AWS Francoforte (eu-central-1), SOC 2 Type II, ISO/IEC 27001, GDPR nativa. Tariffe pubblicate: Free €0, Pro €24/mese, Business €59/mese, Data Rooms €99/mese, Enterprise su richiesta.

Questa guida non è una recensione: è un confronto operativo tra strumenti nati per scopi diversi. Google Drive e Dropbox sono prodotti eccellenti per la collaborazione quotidiana su documenti interni. Per la due diligence, per M&A, raccolta fondi e composizione negoziata, la differenza con una data room professionale non è di grado: è di categoria. Per un quadro completo delle soluzioni disponibili, vedi le migliori data room virtuali 2026 e il confronto con i grandi provider enterprise.

Uno scenario concreto: la cessione di Tecnoplast Srl

Tecnoplast Srl è una PMI bresciana del settore materie plastiche tecniche, 120 dipendenti, circa €14 milioni di fatturato. Nel marzo 2026 il socio fondatore, avvicinando i settant'anni, decide di avviare un processo di cessione a un fondo di private equity. Studio Ferretti & Partners, advisor M&A milanese incaricato del processo, deve scegliere in pochi giorni dove aprire la data room.

Il responsabile del deal pensa in prima battuta a Google Drive: lo usa ogni giorno, conosce l'interfaccia, non costa nulla di aggiuntivo. Ma appena inizia a ragionare sulla struttura del processo si scontra con i limiti. Come garantisce che ogni buyer abbia firmato una NDA prima di vedere i documenti? Drive non ha questo meccanismo. Come fa a sapere quali pagine del business plan ha effettivamente letto il fondo offerente? Drive non registra le visualizzazioni a livello di pagina. Come revoca l'accesso a un buyer uscito dal processo e certifica che non ha più copie locali dei file scaricati? Non può.

L'advisor apre invece una data room Papermark al piano Data Rooms (€99/mese). Carica gli 1.100 documenti in due giorni, organizzati in tredici sezioni secondo l'indice standard della due diligence italiana. Imposta la NDA come gate obbligatorio per ogni gruppo, crea tre ambienti separati con permessi indipendenti e monitora in tempo reale le letture dei buyer. Al closing, l'audit log esportabile viene allegato al contratto come evidenza delle divulgazioni effettuate durante il processo. Costo totale del deal: €594 in sei mesi.

Cosa manca al cloud per la due diligence

NDA non applicabile. Google Drive e Dropbox non hanno un meccanismo di gate documentale: chi riceve un link o una condivisione accede ai contenuti senza dover firmare nulla. In una due diligence, la NDA tracciata non è un adempimento formale: è il presidio legale che vincola il buyer alla riservatezza, determina i rimedi in caso di violazione e protegge il venditore se le trattative si interrompono. Senza NDA con marcatura temporale certificata, qualsiasi contestazione sulla divulgazione non autorizzata è priva di evidenza.

Accesso non revocabile dopo il download. Se un buyer scarica localmente un documento da Google Drive o Dropbox, revocare la condivisione del file nel cloud non cancella la copia locale. In un processo competitivo con tre o quattro offerenti, la probabilità che materiale riservato rimanga nei sistemi di soggetti usciti dal processo è alta e incontrollabile. Una data room professionale non consente il download del file originale: i documenti vengono visualizzati in un viewer protetto, e il watermark dinamico stampa l'email e il timestamp del visitatore su ogni pagina, scoraggiando ulteriormente la diffusione non autorizzata.

Nessun audit trail valido al closing. Il closing di una cessione richiede di documentare quali documenti sono stati messi a disposizione dei buyer, da quando, per quanto tempo e se siano stati effettivamente letti. Google Drive mostra chi ha avuto accesso a una cartella, ma non registra le visualizzazioni pagina per pagina, non tiene traccia delle sessioni di lettura e non produce un report esportabile con valenza legale. L'audit log di una data room professionale è progettato per essere allegato al contratto di compravendita come evidenza delle divulgazioni effettuate durante il processo.

Hosting extra-UE e rischio GDPR. Google Drive e Dropbox sono servizi di aziende americane soggette al Cloud Act: anche quando i dati sono fisicamente ospitati in Europa, le autorità statunitensi possono teoricamente richiederne l'accesso. Per una due diligence che include dati personali di dipendenti, clienti o fornitori, questo è rilevante ai sensi del GDPR. La conformità GDPR di una data room con hosting UE certificato, DPA disponibile e sub-processori documentati non è un optional: è il requisito base per operazioni con controparti europee.

Le differenze chiave: data room vs cloud storage

La tabella confronta le caratteristiche rilevanti per una due diligence. Papermark rappresenta la categoria delle Virtual Data Room professionali con hosting EU e flusso deal completo.

Quando una data room è necessaria

Fusioni e acquisizioni (M&A). Qualsiasi operazione di cessione, acquisizione, fusione o management buyout richiede una data room. Il volume documentale tipico di una PMI italiana in cessione si aggira fra 800 e 2.000 documenti. La gestione manuale via email o cartelle condivise è incompatibile con la complessità del processo, con la riservatezza richiesta e con la necessità di documentare le divulgazioni al closing. Le migliori data room virtuali 2026 offrono un quadro completo delle opzioni disponibili per il mercato italiano.

Raccolta fondi (Serie A e oltre). Dal Serie A in avanti, gli investitori istituzionali richiedono una data room strutturata con accesso NDA-gate, permessi per investitore, analytics di lettura e audit log. Il piano gratuito di Papermark copre già la fase pre-Seed (pitch deck con analytics). Il piano Data Rooms a €99/mese copre la due diligence di un round Serie A o B, con gruppi separati per ogni investitore e watermark su ogni documento.

Quotazione in borsa (IPO). Una quotazione su Euronext Growth Milan richiede la condivisione di documenti riservati con banche lead manager, advisor legali, revisori e autorità di vigilanza. I requisiti di riservatezza e audit trail sono tra i più stringenti del mercato. L'uso di un cloud generalista non è compatibile con le aspettative degli intermediari finanziari e degli advisor legali coinvolti.

Composizione negoziata della crisi. La procedura prevista dal Codice della Crisi d'Impresa richiede la condivisione di documentazione finanziaria e patrimoniale riservata con l'esperto nominato e i creditori partecipanti. La data room garantisce la tracciabilità delle divulgazioni e la riservatezza delle trattative. Per una stima dei costi, vedi: quanto costa una data room virtuale in Italia.

Errori comuni quando si usa il cloud per la due diligence

Condividere l'Information Memorandum senza NDA. Il primo documento che circola in un processo di cessione è spesso l'IM, caricato su una cartella Drive condivisa e inviato via email. Senza NDA tracciata con marcatura temporale, il venditore non ha evidenza di chi si sia impegnato alla riservatezza. Se le trattative si interrompono o emergono comportamenti opportunistici, la posizione del venditore è debole dal punto di vista legale.

Non separare i buyer concorrenti. Caricare tutti i documenti in una cartella condivisa con più buyer significa che ogni partecipante al processo può potenzialmente incrociare informazioni non destinate a lui, leggere le domande degli altri nel modulo Q&A o accedere a documenti pensati per un'altra fase. In una data room professionale, ogni gruppo vede solo la propria sezione e i propri thread Q&A, con permessi indipendenti e isolati.

Non revocare l'accesso a tempo. In un processo con più round, i buyer che non superano la selezione dovrebbero perdere l'accesso immediatamente. Su Drive o Dropbox, revocare la condivisione di una cartella non cancella le copie già scaricate localmente. Una data room che non consente download diretti risolve questo problema alla radice: se l'accesso viene revocato, il buyer non può più visualizzare i documenti e non dispone di copie locali dei file originali.

Rinviare l'apertura della data room. Molti advisor italiani aprono la data room troppo tardi, quando il preferred bidder è già identificato. Aprirla nella fase di marketing, anche con materiale parziale, consente di costruire l'indice con calma, testare i permessi e correggere eventuali configurazioni prima che le scadenze diventino pressanti. Il costo di aprire subito è nullo su Papermark: il piano Data Rooms si attiva in pochi minuti.

Sopravvalutare il costo di una data room professionale. Un'obiezione frequente è che la data room costa troppo e che il Drive va bene lo stesso. A €99/mese, Papermark Data Rooms include data room illimitate, NDA, watermark, audit log e analytics pagina per pagina. Per un deal di sei mesi, il costo totale è €594. Rapportato al valore di una transazione da €5 milioni, è meno dello 0,01% del deal value.

Google Drive è sicuro per la due diligence?

Google Drive è sicuro per la collaborazione quotidiana su documenti aziendali. Non è adatto alla due diligence: non può imporre una NDA prima dell'accesso, non produce un audit trail valido al closing, non blocca i download locali e ospita i dati su infrastruttura americana soggetta al Cloud Act. Per operazioni M&A, raccolta fondi strutturata e composizione negoziata serve uno strumento progettato per la riservatezza del deal.

Dropbox può sostituire una data room virtuale?

Dropbox Business offre più controllo di Google Drive, ma non è una VDR. Non ha NDA-gate, non produce audit trail pagina per pagina, non supporta watermark dinamico e non gestisce gruppi visualizzatori separati per buyer concorrenti. Per un processo M&A strutturato, la mancanza di questi strumenti espone il venditore a rischi operativi e legali concreti.

Quanto costa una data room professionale rispetto a Google Drive?

Google Drive è incluso in Google Workspace da €6-18 per utente al mese. Papermark Data Rooms costa €99/mese fissi indipendentemente dal numero di utenti nel piano. Per un deal M&A di sei mesi, il costo totale di Papermark è €594. Per una stima dettagliata, vedi: prezzi delle data room in Italia.

La data room è obbligatoria per legge in un'operazione M&A?

Non esiste una norma che imponga l'uso di una data room specifica per le operazioni M&A. L'obbligo nasce dalla buona pratica e dal contesto: il GDPR richiede che i dati personali siano trattati con misure adeguate, e un processo M&A che coinvolge dati di dipendenti e clienti richiede strumenti conformi. Per gli enti finanziari italiani, DORA aggiunge requisiti espliciti sulla gestione del rischio ICT di terze parti che includono le piattaforme documentali.

Una startup può usare Google Drive per la raccolta fondi?

Nelle fasi informali pre-Seed, una cartella Drive con una NDA inviata separatamente può funzionare per i primissimi investitori informali. Dal momento in cui si gestiscono documenti strutturati (bilanci, cap table, accordi) con investitori istituzionali, una data room è la scelta corretta. Il piano gratuito di Papermark copre il caso d'uso base senza costo aggiuntivo, con analytics pagina per pagina già incluse.

Cosa si intende per audit trail in una data room?

L'audit trail è il registro immutabile di tutte le azioni effettuate nella data room: chi ha aperto un documento, quale pagina ha letto, per quanto tempo, se è tornato indietro. È esportabile in CSV o PDF e può essere allegato al contratto di closing come evidenza legale delle divulgazioni effettuate durante il processo. Vedi: audit log nelle data room.

Google Drive o Dropbox rispettano il GDPR per la due diligence?

Google e Dropbox offrono DPA conformi all'art. 28 GDPR e opzioni di hosting in Europa. Restano tuttavia aziende americane soggette al Cloud Act: in linea teorica, le autorità statunitensi possono richiederne accesso ai dati anche se ospitati in UE. Per operazioni che coinvolgono dati personali di soggetti europei, una data room con hosting certificato nell'UE e giurisdizione esclusivamente europea offre una posizione più robusta. Approfondimento: data room e GDPR.

Papermark è adatta alle PMI italiane in cessione?

Sì. Il piano Data Rooms a €99/mese copre le esigenze tipiche di una PMI italiana in cessione: data room illimitate, indice gerarchico, NDA tracciata, gruppi separati per buyer concorrenti, watermark dinamico, Q&A strutturato e audit log esportabile al closing. Hosting su AWS Francoforte sotto giurisdizione UE, GDPR nativa, DPA disponibile. Costo totale per un deal di sei mesi: €594.