Jestem doradcą podatkowym i od lat wspieram przedsiębiorców w księgowości. Pomagam w zakładaniu działalności gospodarczych, wyborze formy opodatkowania i bezpiecznym prowadzeniu rozliczeń.

Zewnętrzny programista, administrator, tester albo software house może jeszcze przed rozpoczęciem projektu poznać architekturę systemu, kod źródłowy, dane klientów, zasady bezpieczeństwa i plany rozwoju produktu. Samo przesłanie plików z dopiskiem „poufne” nie określa jednak, kto może z nich korzystać, w jakim celu i co powinien zrobić po zakończeniu współpracy.

Umowa NDA w IT powinna być dopasowana do rzeczywistego dostępu wykonawcy. Innych zapisów wymaga krótki audyt aplikacji, innych stała administracja serwerem, a jeszcze innych rozwój produktu przez kilku podwykonawców. Poniżej pokazujemy, które elementy warto ustalić przed udostępnieniem repozytorium lub środowiska klienta.

W skrócie

NDA powinna wskazywać konkretne kategorie informacji, cel dostępu i osoby, którym wolno je ujawnić.
Poufność nie zastępuje umowy B2B, przeniesienia praw autorskich ani umowy powierzenia danych z art. 28 RODO.
Ochrona działa lepiej, gdy firma poza umową stosuje kontrolę dostępów, oznaczenia dokumentów i procedurę odbierania uprawnień.
Gotowy dokument trzeba uzupełnić zgodnie z projektem, rolami stron i rzeczywistym obiegiem informacji.

Najważniejsze informacje

Kiedy NDA jest potrzebna w projekcie IT?

NDA warto podpisać przed przekazaniem informacji, których druga strona nie potrzebowałaby bez planowanej współpracy. Może to nastąpić jeszcze przed właściwą umową wdrożeniową lub B2B, na przykład podczas wyceny, audytu technicznego albo przygotowania proof of concept.

Umowa jest szczególnie przydatna, gdy wykonawca otrzymuje dostęp do:

prywatnego repozytorium kodu;
dokumentacji architektury i infrastruktury;
środowiska testowego lub produkcyjnego;
niepublicznej specyfikacji produktu i roadmapy;
danych o błędach, zabezpieczeniach i incydentach;
baz klientów, danych handlowych lub warunków umów;
algorytmów, modeli, promptów, konfiguracji i procedur;
danych przekazanych firmie przez jej klientów na podstawie innych umów.

Nie każdy kontakt wymaga tak samo rozbudowanego dokumentu. Jeżeli potencjalny wykonawca ma wycenić projekt na podstawie ogólnego opisu, najbezpieczniej przekazać najpierw minimalny zestaw informacji. Szczegółowy dostęp można otworzyć dopiero po podpisaniu umowy i nadaniu odpowiednich uprawnień.

Jakie informacje warto objąć poufnością?

Lista nie powinna być ani przypadkowo wąska, ani tak ogólna, że obejmuje każdą wiadomość niezależnie od jej charakteru. Dobrą praktyką jest wskazanie kategorii informacji związanych z konkretnym projektem i określenie, w jakiej formie mogą być przekazywane.

Informacje techniczne

Mogą obejmować kod źródłowy, dokumentację API, schematy baz danych, konfiguracje, klucze i dane dostępowe, wyniki testów bezpieczeństwa, procedury wdrożeniowe oraz opis podatności. Hasła i klucze powinny być przekazywane bezpiecznym kanałem, a nie wpisywane bezpośrednio do umowy.

Informacje biznesowe

Do tej grupy mogą należeć ceny, marże, budżet projektu, strategie sprzedaży, listy klientów, wyniki badań, plany funkcji oraz warunki współpracy z partnerami. W projekcie rozwijanym przed premierą poufny może być również sam harmonogram i fakt prowadzenia prac.

Informacje osób trzecich

Firma może przekazywać wykonawcy informacje, które sama otrzymała od klienta albo partnera. NDA powinna uwzględniać taki model i ograniczać dalsze ujawnianie. Trzeba jednocześnie sprawdzić, czy pierwotna umowa pozwala włączyć podwykonawcę i jakie obowiązki należy na niego przenieść.

Czego nie należy automatycznie uznawać za poufne?

Z zakresu poufności zwykle wyłącza się informacje publicznie dostępne, wcześniej legalnie znane odbiorcy, samodzielnie przez niego opracowane bez wykorzystania materiałów drugiej strony oraz uzyskane zgodnie z prawem od osoby trzeciej. Osobnego uregulowania wymaga ujawnienie nakazane przepisami lub przez uprawniony organ.

Ustawa o zwalczaniu nieuczciwej konkurencji chroni tajemnicę przedsiębiorstwa, jeżeli informacja ma wartość gospodarczą, nie jest powszechnie znana ani łatwo dostępna, a uprawniony podjął z należytą starannością działania w celu utrzymania jej w poufności. Podpisane NDA może być jednym z takich działań, ale nie zastępuje zabezpieczeń organizacyjnych i technicznych.

Co powinna regulować umowa NDA w IT?

Najważniejsza jest zgodność dokumentu z faktycznym sposobem pracy. Przed podpisaniem sprawdź co najmniej poniższe obszary.

Strony i cel ujawnienia

W umowie trzeba prawidłowo oznaczyć strony oraz wskazać projekt lub cel, dla którego informacje są udostępniane. Wykonawca powinien móc używać ich tylko w tym zakresie, który jest niezbędny do wyceny, wdrożenia, utrzymania albo innej uzgodnionej usługi.

Dostęp zespołu i podwykonawców

Jeżeli software house angażuje pracowników, współpracowników lub dalszych podwykonawców, umowa powinna określać, czy może przekazywać im informacje i na jakich warunkach. Warto zastosować zasadę wiedzy koniecznej: dostęp otrzymują tylko osoby rzeczywiście pracujące przy projekcie.

Minimalne środki bezpieczeństwa

Dokument może wymagać między innymi indywidualnych kont, uwierzytelniania wieloskładnikowego, szyfrowania, zakazu kopiowania plików na prywatne urządzenia, aktualizacji oprogramowania i niezwłocznego zgłaszania incydentów. Nie należy wpisywać wymagań, których żadna ze stron nie zamierza wykonywać.

Czas obowiązywania

Okres poufności powinien odpowiadać charakterowi informacji. Inaczej starzeje się hasło dostępowe, inaczej roadmapa produktu, a jeszcze inaczej kod źródłowy lub tajemnica przedsiębiorstwa. Zamiast wybierać jeden przypadkowy termin dla wszystkich danych, można rozdzielić kategorie i określić, co dzieje się po zakończeniu współpracy.

Zwrot, usunięcie i kopie zapasowe

NDA powinna wyjaśniać, czy po zakończeniu projektu wykonawca zwraca materiały, usuwa kopie i potwierdza wykonanie tych czynności. Trzeba uwzględnić kopie zapasowe, logi oraz dokumenty, których przechowywania wymagają przepisy albo uzasadnione zasady bezpieczeństwa.

Reakcja na naruszenie

Przydatne są zasady zgłoszenia incydentu, zabezpieczenia dowodów i współpracy przy ograniczaniu skutków. Jeżeli strony przewidują karę umowną, powinny wskazać konkretne naruszenia i rozsądną kwotę.

Zgodnie z Kodeksem cywilnym rażąco wygórowana kara może zostać zmniejszona przez sąd, a dochodzenie odszkodowania ponad karę wymaga odpowiedniego postanowienia w umowie.

NDA a RODO, prawa autorskie i zakaz konkurencji

Jedna umowa nie zastępuje wszystkich dokumentów potrzebnych w projekcie IT.

NDA a umowa powierzenia danych

NDA reguluje poufność informacji. Jeżeli wykonawca przetwarza dane osobowe w imieniu firmy, może być potrzebna również umowa powierzenia spełniająca wymagania art. 28 RODO. Dotyczy to na przykład hostingu, administracji systemu, wsparcia technicznego lub rozwoju aplikacji z dostępem do bazy użytkowników.

Sprawdź osobno umowę powierzenia przetwarzania danych. Sama klauzula „wszystkie dane są poufne” nie reguluje zakresu, celu, czasu, bezpieczeństwa i pozostałych elementów wymaganych przez RODO.

NDA a prawa do kodu

Obowiązek nieujawniania kodu nie oznacza przeniesienia autorskich praw majątkowych ani udzielenia licencji. Te kwestie powinny zostać opisane w umowie dotyczącej wykonania projektu.

Trzeba ustalić między innymi, jakie elementy powstają, kto je tworzy, na jakich zasadach klient może z nich korzystać i czy wykonawca używa własnych bibliotek albo komponentów open source.

NDA a zakaz konkurencji

Poufność zabrania ujawniania lub wykorzystywania określonych informacji. Zakaz konkurencji ogranicza możliwość prowadzenia określonej działalności lub pracy dla wskazanych podmiotów.

Nie są to pojęcia zamienne, dlatego nie należy próbować wprowadzać szerokiego zakazu konkurencji przez nieprecyzyjną definicję informacji poufnych.

NDA a umowa B2B

NDA może zostać podpisana osobno, jeszcze przed negocjacjami, albo stanowić część głównego kontraktu. Zakres usług, odbiór prac, wynagrodzenie, odpowiedzialność i prawa do rezultatów powinny jednak wynikać z właściwej umowy współpracy B2B.

Jak wdrożyć poufność w codziennej pracy zespołu?

Ochrona informacji nie kończy się na podpisaniu dokumentu. Firma powinna umieć wykazać, że faktycznie dbała o poufność.

Praktyczna checklista:

Sporządź listę systemów i informacji udostępnianych wykonawcy.
Nadaj dostęp imiennie i tylko w zakresie potrzebnym do projektu.
Włącz uwierzytelnianie wieloskładnikowe oraz rejestrowanie istotnych operacji.
Oddziel środowisko produkcyjne od testowego i ogranicz używanie realnych danych.
Oznacz poufne pliki i ustal dozwolone kanały komunikacji.
Prowadź ewidencję wydanych urządzeń, kont, kluczy i uprawnień.
Ustal sposób zgłaszania incydentów oraz osobę kontaktową.
Po zakończeniu współpracy niezwłocznie odbierz dostępy i potwierdź zwrot lub usunięcie materiałów.

Jeżeli programista lub kontraktor prowadzi działalność, warto równolegle uporządkować kontrakt, fakturowanie i rozliczenia. FakturTax prowadzi księgowość dla informatyków i branży IT, w tym dla specjalistów pracujących na B2B z klientami polskimi i zagranicznymi.

Najczęstsze błędy w NDA dla branży IT

1. Podpisanie umowy dopiero po przekazaniu repozytorium

Najważniejsze informacje trafiają do wykonawcy podczas wyceny, a NDA pojawia się dopiero z umową główną. Zasady dostępu warto ustalić przed pierwszym ujawnieniem szczegółów.

2. Definicja obejmująca „wszystko”

Zbyt ogólne postanowienie utrudnia zespołowi ocenę, co rzeczywiście wymaga ochrony. Lepsze jest wskazanie kategorii, projektu, celu i wyjątków.

3. Brak zasad dla dalszych podwykonawców

Firma podpisuje dokument z software house’em, ale nie wie, kto faktycznie zobaczy kod. Umowa i proces nadawania dostępów powinny uwzględniać cały zespół.

4. Traktowanie NDA jak przeniesienia praw autorskich

Poufność nie rozstrzyga, kto może korzystać z kodu i na jakich polach. Prawa do rezultatów trzeba opisać w kontrakcie projektowym.

5. Brak procedury zakończenia współpracy

Konto w repozytorium, dostęp VPN i kopie dokumentacji pozostają aktywne po ostatniej fakturze. Offboarding powinien być elementem projektu, a nie działaniem wykonywanym dopiero po incydencie.

6. NDA niezgodna z rzeczywistym obiegiem danych

Dokument wymaga określonych zabezpieczeń, lecz zespół używa prywatnych kont i przesyła pliki innymi kanałami. Niewykonywane zapisy nie zastępują realnych środków ochrony.

Pobierz dokument i dopasuj go do projektu

Na stronie FakturTax znajdziesz umowę o zachowaniu poufności NDA. Przed podpisaniem uzupełnij ją zgodnie z rolami stron, zakresem projektu, dostępem podwykonawców i rodzajem chronionych informacji.

Przy dużej wartości projektu, transferze technologii, współpracy międzynarodowej lub nietypowej odpowiedzialności skonsultuj treść z prawnikiem.

POLECANE

*w połączeniu z usługą księgową

zł*

~~300 zł~~

KOSZT ZAŁOŻENIA

Załóż firmę online >

Zakładasz firmę ?

Załatwimy za Ciebie CEIDG, VAT-R i ZUS w 35 minut. Bez wizyt w urzędach.

WSPARCIE

Umów konsultacje >>

Masz pytania?

Administratorem danych jest Kancelaria Rachunkowo-Podatkowa S.D.P. Sp. z o.o. Dane wykorzystamy wyłącznie do obsługi formularza. Szczegóły: polityka prywatności.

Umów się na rozmowę Skontaktujemy się do 24h (pn-pt, 7:30-16)

Potrzebujesz profesjonalnej obsługi księgowej? Chętnie porozmawiamy. Spotkanie wprowadzające zawsze jest bezpłatne.

FAQ: umowa NDA w IT

6. Czy sama umowa wystarczy do ochrony kodu i danych?

Nie. Potrzebne są również realne działania: ograniczenie dostępów, bezpieczne konta, oznaczanie materiałów, procedura incydentowa i odebranie uprawnień po zakończeniu współpracy.

5. Jak długo powinna obowiązywać poufność w projekcie IT?

Okres powinien zależeć od rodzaju informacji. Dane dostępowe wymagają zmiany lub usunięcia po zakończeniu projektu, natomiast kod, know-how albo tajemnica przedsiębiorstwa mogą wymagać dłuższej ochrony.

4. Czy software house może ujawnić informacje swoim pracownikom?

Tylko w zakresie wynikającym z umowy i niezbędnym do realizacji projektu. Warto określić krąg uprawnionych osób, obowiązek związania ich poufnością oraz odpowiedzialność wykonawcy za osoby, którymi się posługuje.

3. Czy przy NDA potrzebna jest również umowa powierzenia RODO?

Może być potrzebna, jeżeli wykonawca przetwarza dane osobowe w imieniu firmy. NDA nie zastępuje umowy powierzenia wymaganej przez art. 28 RODO.

2. Czy NDA przenosi prawa autorskie do kodu?

Nie. NDA reguluje poufność. Przeniesienie praw lub licencję do kodu, dokumentacji i innych rezultatów trzeba uregulować osobno w umowie projektowej albo B2B.

1. Czy programista powinien podpisać NDA przed otrzymaniem dostępu do kodu?

Tak, zasady poufności najlepiej ustalić przed przekazaniem prywatnego repozytorium, dokumentacji albo danych dostępowych. Wcześniej można udostępnić tylko informacje niezbędne do wstępnej rozmowy i wyceny.

Spis treści:

Kiedy NDA jest potrzebna w projekcie IT?
Jakie informacje warto objąć poufnością?
Co powinna regulować umowa NDA w IT?
NDA a RODO, prawa autorskie i zakaz konkurencji
Jak wdrożyć poufność w codziennej pracy zespołu?
Najczęstsze błędy w NDA dla branży IT
FAQ: umowa NDA w IT

Imię		Numer Telefonu
Adres e-mail
W czym pomóc?	Zakładam firmę Chcę przenieść księgowość Doradztwo podatkowe Potrzebuje konsultacji
utm_source
utm_medium
utm_campaign
utm_adset