ソフトウェア開発のアウトソーシングにおけるIP保護：契約・アクセス管理・EUデータ規則

このガイドは、アウトソーシングパートナーを選定済み、または候補を絞り込んでいる創業者、CTO、調達担当者を対象としています。ソフトウェア開発のオフショアアウトソーシングガイドでは、コスト、ベンダー選定、チームモデルについて取り上げています。本ページでは一つの問いをより深く掘り下げます：委託制作したコード、デザイン、データを確実に自社の資産として守るにはどうすればよいか。これは一般的なガイダンスであり、法律上のアドバイスではありません。

本ガイドの内容

• すべてのアウトソーシングプロジェクトに存在する3種類のIP
• 書面に記載すべき契約条項
• 契約条項以上に重要な技術的コントロール
• 個人データ：GDPR第28条とEU域外への移転
• AIコーディングアシスタントとIP
• 代替手段と選定基準
• Netbase JSCはIPをどのように扱いますか？
• どのような納品実績があり、何がないですか？
• このガイドの限界は何ですか？
• よくある質問
• 次のステップ

すべてのアウトソーシングプロジェクトに存在する3種類のIP

紛争のほとんどは、当事者間でクライアントのために制作されたものとベンダーがすでに所有していたものを区別していなかったことに起因します。各素材に異なる条項が必要なため、4種類の素材を区別することが重要です。

報酬の支払いだけでは所有権は移転しません。米国著作権局は、独立したコントラクターによる制作物が「職務著作（work made for hire）」となるのは、列挙されたカテゴリに該当しかつ書面による合意がある場合のみであり、コンピュータープログラムはそのカテゴリに含まれないと説明しています。この規則の範囲外では、コントラクターの著作権は書面による移転によってのみ譲渡されます。したがって、ベンダーがどの国にあっても、明示的な譲渡条項を契約に盛り込むことが必要です。

書面に記載すべき契約条項

• カスタム制作物の譲渡。 クライアントのために制作されたコード、デザイン、ドキュメントにおけるすべての権利が、プロジェクト終了時ではなく、制作時または各支払い時にクライアントへ譲渡されます。
• バックグラウンドIPのライセンス。 製品に組み込まれたベンダーのモジュールについて、ベンダーなしで製品を運用・変更・引き継ぎできるよう、恒久的かつ十分なライセンスを取得します。
• オープンソースポリシー。 許容するライセンスの種類、例外の承認者、およびリリースごとに納品されるコンポーネントリストを定めます。
• 秘密保持。 会社との相互NDAに加え、サブコントラクターを含むすべての貢献者がこれに拘束されることの書面による確認を求めます。
• サブコントラクターへの承継。 ベンダーが参加させるすべての関係者に同一の譲渡条項と秘密保持条項が適用され、事前に承認を得ることを定めます。
• 成果物。 動作するアプリケーションのみならず、ソースコード、ビルドスクリプト、インフラ定義、認証情報の引き渡し、ドキュメントを納品物として規定します。
• 非侵害保証。 ベンダーがサードパーティのコードを意図的に複製していないことを表明し、クレームが発生した場合の対応を合意します。
• 契約終了。 引き継ぎセッション、ドキュメント基準、および通知期間を定め、契約終了後も製品が継続して運用できるようにします。

ソースコードエスクローは、ベンダーの製品をライセンス利用しており、ベンダーが事業を停止した場合の継続性が必要なケースに有効です。自社が所有する受注開発の場合、エスクローは譲渡条項と自社リポジトリへのコード格納の代替にはなりません。

個人データ：GDPR第28条とEU域外への移転

ベンダーがEU居住者の個人データを取り扱う場合、IP保護とデータ保護の問題が重なります。GDPRの第28条のもと、コントローラーは十分な保証を提供するプロセッサーのみを利用でき、処理は契約によって規律されなければなりません。その契約では、プロセッサーが文書化された指示に基づいてのみ行動すること、スタッフに秘密保持義務を課すこと、適切なセキュリティ対策を適用すること、データ主体の権利行使を支援すること、終了時にデータを削除または返却すること、監査を許容することなどを定める必要があります。プロセッサーは、コントローラーの事前の書面による承認なしに別のプロセッサーを関与させることはできず、同一の義務がそのプロセッサーにも課されます。ドイツではこの契約はDSGVOのもとでAVV（Auftragsverarbeitungsvertrag）と呼ばれます。欧州委員会はこのコントローラー・プロセッサー間の契約について標準契約条項（施行決定（EU）2021/915）を公表しています。

EU域外のベンダーを利用する場合、GDPR第V章の国際移転に関する第2の層が加わります。たとえばベトナムは、欧州委員会のリストにおいてEUの十分性認定を受けていません。ベトナムへの移転は通常、欧州委員会の国際移転向け標準契約条項（施行決定（EU）2021/914）に依拠します。EDPBの勧告01/2020では、追加の技術的・組織的措置が必要かどうかをデータ輸出者がどのように評価すべきかを説明しています。実務上の2つのルールが役立ちます：開発・テスト環境には本番の個人データを置かないこと、そして実際の業務でリアルデータが必要な場合を除き、ベンダーには匿名化または合成データを提供することです。

代替手段と選定基準

選定には4つの基準があります：コードが競争上の優位にどれほど直結しているか、チームが取り扱う個人データの量、必要なキャパシティを確保するスピード、そして契約終了後にベンダーなしで製品を運用できるかどうか。契約形態についてはラボ型開発 vs 請負を、長期にわたって知識を社内に蓄積する専任チームについてはAIファーストのオフショア開発センターガイドをご参照ください。

Netbase JSCはIPをどのように扱いますか？

Netbase JSCのプロジェクトのほとんどは、ディスカバリー後に合意された請負契約で納品され、IPの条件はどのモデルでも同一です。Netbase JSCのカスタム開発では、クライアントがそのために制作されたIPを所有します。Netbase JSCのプロダクタイズドモジュールおよびビジネスディビジョン製品はライセンス提供であり、譲渡されません。この区別により、クライアントは例えばSaaSプロダクトアクセラレーターを通じて再利用可能なモジュールを起点に開発を始めながら、製品を自社のものにするコードは確実に自社に帰属させることができます。初めての製品を発注する場合は、SaaS MVPアーキテクチャと納品ロードマップでそれらのモジュールの位置付けを確認できます。

Netbase JSCの貢献者はNDAのもとで業務を行い、NDAsおよびデータ処理契約はクライアントからのリクエストに応じて提供可能です。セキュリティ実践には、セキュアコードレビューとバージョン管理、転送中のTLSおよび保存時のAES暗号化、ロールベースのアクセス制御、管理ダッシュボードへのMFA、脆弱性スキャンとペネトレーションテスト、ディザスタリカバリが含まれます。Netbase JSCはISO 27001およびSOC 2 Type IIと整合しており、欧州におけるデータプライバシーについてはGDPRに準じています。これらはNetbase JSC自身の運用に関するものであり、お客様の製品やそのホスティングに関するものではありません。詳細はセキュリティとコンプライアンスおよびエンゲージメントモデルをご覧ください。専任開発チームも同一の条件のもとで運営されています。

どのような納品実績があり、何がないですか？

• 実績があるもの。 2020年以来、Netbase JSCはオフショア開発およびマネージングパートナーとして、SaaSとして販売されている米国クライアント向けのマルチテナントクラウドERPに携わっています。公開情報ではクライアント名と製品名は伏せられており、公開資料においてもクライアントの機密が守られていることが示されています。
• 実績がないもの。 Netbase JSCの公開済みケーススタディには契約のIP条項を明記したものはなく、Netbase JSCは契約テンプレートを公開していません。本ページは紛争履歴についていかなる主張もしておらず、ERPの実績は特定の条項の証拠ではありません。

このガイドの限界は何ですか？

• これは一般的な情報であり、法律上のアドバイスではありません。著作権、雇用、データ保護の規則は国によって異なるため、署名前に地元の法律専門家にご相談ください。
• 米国の職務著作ルールは、書面による譲渡がなぜ重要かを示すために引用したものであり、米国法にのみ適用されます。
• EUの十分性認定リストと標準契約条項は変更される可能性があります。署名当日に欧州委員会のページをご確認ください。
• Netbase JSCの条件はNetbase JSCが公表している内容として記載されており、整合の表現はNetbase JSCの運用のみに適用されます。

次のステップ

契約書の草案またはベンダーの条件をご共有ください。署名前に所有権の区分、アクセスモデル、データ条件を確認するため、ソリューションレビューのご予約をお取りします。Netbase JSCのインサイトもあわせてご覧ください。

関連サービスとソリューション