ソフトウェア開発アウトソーシングにおけるIP保護：契約、アクセス権、EUデータ規制

このガイドは、アウトソーシングパートナーを選定済みまたは候補リストを絞り込んでいる創業者、CTO、調達担当者を対象としています。ソフトウェア開発アウトソーシングガイドではコスト・ベンダー選定・チームモデルを解説していますが、本ページでは「お客様が費用を支払ったコード・デザイン・データを確実に自社のものにするにはどうすればよいか」という一点に絞って詳しく説明します。本ページは一般的な情報提供を目的としており、法的アドバイスではありません。

このガイドの内容

• アウトソーシングプロジェクトにおける3種類のIP
• 書面で定めるべき契約条項
• どの条項よりも重要な技術的管理手段
• 個人データ：GDPRの第28条とEU域外への移転
• AIコーディングアシスタントとIP
• 代替手段と選定基準
• Netbase JSCのIPへの対応
• 存在する実績と存在しない実績
• このガイドの限界
• よくある質問
• 次のステップ

アウトソーシングプロジェクトにおける3種類のIP

多くの紛争は、当事者が「あなたのために作られたもの」とベンダーがすでに所有していたものを分けて考えていなかったことから始まります。それぞれ異なる条項が必要なため、以下の4種類の素材を区別してください。

支払いだけでは所有権は移転しません。米国著作権局は、独立契約者による著作物が「職務著作物（work made for hire）」となるのは、列挙されたカテゴリーかつ書面による合意がある場合のみであり、コンピュータプログラムはそのカテゴリーに含まれないと説明しています。このルールの適用外では、契約者の著作権は書面による譲渡によってのみ移転するため、ベンダーの所在国にかかわらず、明示的な譲渡を求めてください。

書面で定めるべき契約条項

• カスタム成果物の譲渡。お客様のために作成されたコード・デザイン・ドキュメントのすべての権利は、プロジェクト終了時ではなく、作成時または各支払い時にお客様に譲渡されます。
• バックグラウンドIPのライセンス。製品に組み込まれているベンダーモジュールに対する恒久的かつ十分なライセンスにより、ベンダーなしでも製品の実行・変更・引き渡しができます。
• オープンソースポリシー。許可するライセンス、例外の承認者、およびすべてのリリースに付随するコンポーネントリストを定めます。
• 機密保持。会社との相互NDA、およびサブコントラクターを含むすべての貢献者がNDAに拘束されることの書面による確認。
• サブコントラクターへの義務の流下。ベンダーが起用する全員に同一の譲渡・機密保持条件が適用され、事前にお客様の承認を得ることを定めます。
• 成果物。稼働中のアプリケーションだけでなく、ソースコード、ビルドスクリプト、インフラ定義、認証情報の引き渡し、ドキュメントを含めます。
• 侵害に関する保証。ベンダーがサードパーティのコードを故意にコピーしていないことを表明し、クレームが発生した場合の対応を定めます。
• 終了。引き渡しセッション、ドキュメントの標準、および通知期間を定め、契約終了によって製品が宙に浮かないようにします。

ソースコードエスクローは、ベンダーの製品をライセンスしており、ベンダーが事業停止した場合の継続性が必要なときに有効です。お客様が所有するオーダーメイドの成果物については、エスクローは譲渡＋自社リポジトリへのコード保管の代替にはなりません。

個人データ：GDPRの第28条とEU域外への移転

ベンダーがEU内の人々の個人データを取り扱う場合、IP保護とデータ保護の問題が交差します。GDPRの第28条に基づき、管理者は十分な保証を提供する処理者のみを利用でき、処理は契約によって規律される必要があります。この契約では、処理者が文書化された指示にのみ基づいて行動すること、スタッフに機密保持義務を課すこと、適切なセキュリティを適用すること、データ主体の権利行使を支援すること、終了時にデータを削除または返還すること、および監査を許可することなどが定められなければなりません。処理者は管理者の事前の書面による承認なく別の処理者を起用することはできず、同じ義務がその処理者にも流下します。ドイツではこの契約はDSGVO（ドイツのGDPR）のもとでAVV（Auftragsverarbeitungsvertrag）として知られています。欧州委員会はこのコントローラー・処理者間契約のための標準契約条項（実施決定（EU）2021/915）を公表しています。

EU域外のベンダーを利用する場合は、国際移転に関するGDPRの第5章という第2の層が加わります。たとえばベトナムは、欧州委員会のリスト上でEUの十分性認定を受けていません。ベトナムへの移転は通常、国際移転用の標準契約条項（実施決定（EU）2021/914）に依拠し、EDPBの勧告01/2020では、輸出者が追加の技術的・組織的措置が必要かどうかをどのように評価するかが説明されています。実務上の2つのルールとして：本番環境の個人データを開発・テスト環境に持ち込まないこと、そして実際の記録が本当に必要なタスク以外は匿名化または合成データをベンダーに提供することが挙げられます。

代替手段と選定基準

4つの基準で選択してください：そのコードが競合ポジションにとってどれだけ中心的か、チームが扱う個人データの量、必要なキャパシティの速さ、契約終了後にベンダーなしで製品を運用できるか。契約タイプ自体については専任チームvs請負を、長年にわたってナレッジを自社に保持する長期チームについてはAIファーストのオフショア開発センターガイドをご覧ください。

Netbase JSCのIPへの対応

Netbase JSCのほとんどのプロジェクトはディスカバリー後に合意した請負契約で納品され、IPの条件はすべてのモデルで同一です。Netbase JSCのカスタム開発ではクライアントが自社のために作成されたIPを所有し、Netbase JSCのプロダクタイズドモジュールおよびビジネスディビジョン製品はライセンス供与されて移転されません。この区分により、クライアントはSaaSプロダクトアクセラレーターなどを通じて再利用可能なモジュールを出発点にしながら、製品を自社のものにするコードを自社のものとして保持できます。初めての製品を委託する場合は、SaaS MVPアーキテクチャとデリバリーロードマップでそれらのモジュールの位置づけを確認できます。

Netbase JSCの貢献者はNDAのもとで業務を行っており、クライアントの要請に応じてNDAおよびデータ処理契約を提供できます。セキュリティの実践には、セキュアコードレビューとバージョン管理、転送中のTLSおよび保存時のAES暗号化、ロールベースのアクセス制御、管理ダッシュボードのMFA、脆弱性スキャンと侵入テスト、ディザスタリカバリが含まれます。Netbase JSCはISO 27001認証とSOC 2 Type II認証を保有し、欧州のデータプライバシーに関するGDPRに準拠しています。これらはNetbase JSC自身の運営をカバーするものであり、お客様の製品やそのホスティングをカバーするものではありません。詳細はセキュリティとコンプライアンスおよびエンゲージメントモデルをご覧ください。また、専任開発チームも同じ条件のもとで運営されています。

存在する実績と存在しない実績

• 存在するもの。2020年以降、Netbase JSCはオフショア開発およびマネージングパートナーとして、SaaSとして販売されている米国クライアントのマルチテナントクラウドERPに取り組んでいます。公開記録ではクライアント名と製品名が伏せられており、公開資料においてもクライアントの機密が保持されていることを示しています。
• 存在しないもの。Netbase JSCの公開事例でIPの契約条項を明記したものはなく、Netbase JSCは契約テンプレートを公開していません。本ページでは紛争の履歴について一切の主張をせず、ERPの実績は特定の条項の証拠ではありません。

このガイドの限界

• 本ページは一般的な情報であり、法的アドバイスではありません。著作権、雇用、データ保護のルールは国によって異なるため、署名前に現地の法的アドバイスを求めてください。
• 米国の職務著作ルールは、書面による譲渡がなぜ重要かを示すために引用されており、米国法にのみ適用されます。
• EUの十分性認定リストと標準契約条項は時間とともに変わるため、署名当日に欧州委員会のページを確認してください。
• Netbase JSCの条件はNetbase JSCが公表した内容として記載されており、認証の文言はNetbase JSCの運営のみをカバーします。

よくある質問

開発をアウトソーシングした場合、コードは誰のものになりますか？契約で定めた者のものになります。書面による譲渡がなければ、開発者が著作権を保持し、お客様はソフトウェアの使用ライセンスのみを持つ可能性があるため、契約に譲渡条項を盛り込んでください。

NDAだけでIPを保護できますか？いいえ。NDAは機密情報を保護しますが、所有権を移転しません。譲渡条項、バックグラウンドIPのライセンス、および技術的管理手段も必要です。

ソフトウェアベンダーとのデータ処理契約は必要ですか？はい。ベンダーがGDPRの適用下でお客様に代わって個人データを処理する場合は必要です。第28条では列挙された条件を含む契約が求められており、ドイツではAVVと呼ばれます。

ベンダーは私のために書いたコードを再利用できますか？お客様に譲渡されたコードは再利用できません。ベンダーは自身のバックグラウンドIPと一般的なノウハウを保持・再利用できます。これが契約で両者を区別すべき理由です。

次のステップ

契約書の草案またはベンダーの条件をご共有いただければ、ソリューションレビューをご予約のうえ、署名前に所有権の区分・アクセスモデル・データ条項を確認します。その他のNetbase JSCインサイトもあわせてご覧ください。

関連サービスとソリューション