软件外包知识产权保护：合同、访问控制与欧盟数据规则

本指南面向已选定或正在评估外包合作伙伴的创始人、CTO及采购负责人。我们的软件开发外包指南涵盖成本、供应商选择及团队模式；本页深入探讨一个核心问题：您所支付的代码、设计和数据如何保持归您所有。本文为一般性指导，不构成法律建议。

本指南目录

• 每个外包项目中的三类知识产权
• 需书面约定的合同条款
• 比任何条款都更重要的技术控制
• 个人数据：GDPR第28条与欧盟境外传输
• AI编程助手与知识产权
• 替代方案与选择标准
• Netbase如何处理知识产权
• 已有的交付记录与尚无记录的内容
• 本指南的局限性
• 常见问题
• 下一步

每个外包项目中的三类知识产权

大多数纠纷源于双方从未区分为您定制开发的内容与供应商既有资产。请区分以下四类材料，因为每类材料需要不同的合同条款。

仅凭付款并不能转移所有权。美国版权局解释，独立承包商完成的作品仅在列举的类别且有书面协议的情况下才构成「雇佣作品」，计算机程序并不在此之列。在该规则之外，承包商的版权只能通过书面转让来移交，因此无论供应商位于哪个国家，均应要求明确的权利转让条款。

需书面约定的合同条款

• 定制作品权利转让。为您创作的代码、设计和文档中的全部权利，在创作时或每次付款时即转让给您，而非仅在项目结束时转让。
• 背景知识产权许可。对嵌入您产品中的任何供应商模块授予永久性、充分的许可，使您能够在无需供应商参与的情况下运营、修改和移交产品。
• 开源政策。明确允许使用哪些许可证、由谁批准例外情况，以及每次发布时交付的组件清单。
• 保密协议。与公司签订相互保密协议，并书面确认每位贡献者（包括分包商）均受其约束。
• 分包商义务传递。相同的转让和保密条款对供应商引入的任何人均具有约束力，且须事先获得您的批准。
• 交付物。源代码、构建脚本、基础设施定义、凭据移交和文档，而不仅仅是可运行的应用程序。
• 侵权保证。供应商声明其未故意复制第三方代码，并就索赔出现时的处理方式达成一致。
• 退出条款。交接会议、文档标准和通知期，确保合同终止不会使产品陷入困境。

当您许可供应商产品且需要在供应商失败时保持业务连续性，源代码托管服务（software escrow）有所帮助。对于您拥有的定制作品，托管服务不能替代权利转让加上将代码存入您自己的代码仓库。

个人数据：GDPR第28条与欧盟境外传输

当供应商涉及欧盟境内人员的个人数据时，知识产权保护与数据保护相互交织。根据GDPR第28条，数据控制者只能使用提供充分保障的数据处理者，且处理须受合同约束，合同须规定：处理者仅依据书面指令行事，要求员工保密，实施适当的安全措施，协助处理数据主体权利请求，在合同终止时删除或归还数据，并允许审计。未经控制者事先书面授权，处理者不得委托其他处理者，且同等义务须向下传递。在德国，该合同依据《德国联邦数据保护法》（DSGVO）被称为AVV（Auftragsverarbeitungsvertrag）。欧洲委员会已就此类控制者-处理者合同发布标准合同条款（《实施决定（EU）2021/915》）。

欧盟境外的供应商增加了第二层：GDPR第五章关于国际数据传输的规定。例如，越南尚无欧盟委员会充分性认定名单上的认定。向越南传输数据通常依据欧洲委员会关于国际传输的标准合同条款（《实施决定（EU）2021/914》），欧洲数据保护委员会（EDPB）《01/2020号建议》描述了数据出口方如何评估是否需要额外的技术或组织措施。两条实用规则有所帮助：将生产个人数据排除在开发和测试环境之外，并向供应商提供匿名化或合成数据，除非任务确实需要真实记录。

替代方案与选择标准

根据四项标准选择：代码对您竞争地位的核心程度、团队将接触的个人数据量、您需要产能的速度，以及合同终止后您是否能在无需供应商参与的情况下运营产品。关于合同类型本身，请参阅专属团队与固定总价对比；关于多年保持知识留存的长期团队，请参阅AI优先离岸开发中心指南。

Netbase如何处理知识产权

大多数Netbase项目以经过探索阶段后约定的固定总价合同交付，知识产权条款在每种模式下均相同。在Netbase定制开发中，客户拥有为其创建的知识产权；Netbase产品化模块和业务部门产品以许可方式授权，而非转让。这种划分使客户能够从可复用模块起步，例如通过SaaS产品加速器，同时使产品独特的代码仍归客户所有。如果您正在委托开发首款产品，SaaS MVP架构与交付路线图展示了这些模块的位置。

Netbase贡献者在保密协议约束下工作，保密协议和数据处理协议可应客户要求提供。安全实践涵盖安全代码审查和版本控制、传输中的TLS和静态数据的AES加密、基于角色的访问控制、管理后台的多因素认证、漏洞扫描和渗透测试，以及灾难恢复。Netbase持有ISO 27001认证和SOC 2 Type II认证，并与欧洲数据隐私的GDPR保持一致；这些认证涵盖Netbase自身的运营，而非您的产品或其托管环境。详情请参阅安全与合规和合作模式，专属开发团队在相同条款下运营。

已有的交付记录与尚无记录的内容

• 已有记录。自2020年起，Netbase作为离岸开发和管理合作伙伴，参与了一个面向美国客户的多租户云ERP SaaS平台项目。公开记录隐去了客户名称和产品，这体现了已发布材料中对客户保密的承诺。
• 尚无记录。目前没有任何已发布的Netbase案例研究披露合同中的知识产权条款，Netbase也不发布合同模板。本页不对纠纷历史作任何声明，且ERP记录不构成任何特定条款的证据。

本指南的局限性

• 本文为一般性信息，不构成法律建议；版权、雇佣和数据保护规则因国而异，签署前请寻求当地法律建议。
• 引用美国「雇佣作品」规则是为了说明书面转让的重要性；该规则仅适用于美国法律。
• 欧盟充分性认定名单和标准合同条款随时间变化；请在签署当天查阅欧盟委员会相关页面。
• Netbase条款按Netbase公开发布的内容陈述；认证措辞仅涵盖Netbase的运营。

常见问题

外包开发时谁拥有代码？合同规定谁拥有。没有书面转让，开发者可能保留版权，您可能仅持有使用该软件的许可，因此请在合同中明确权利转让条款。

保密协议足以保护我的知识产权吗？不够。保密协议保护机密信息；它不转移所有权。您还需要转让条款、背景知识产权许可和技术控制措施。

我需要与软件供应商签订数据处理协议吗？是的，如果供应商将代表您处理个人数据且GDPR适用。第28条要求签订包含列明条款的合同；在德国称为AVV。

供应商可以复用为我编写的代码吗？已转让给您的代码不行。供应商可以保留并复用其自有背景知识产权和通用技能，这正是合同应将两者分开的原因。

下一步

分享您的合同草案或供应商条款，我们将预约解决方案评审，在您签署前核查所有权划分、访问模式和数据条款。您也可以浏览更多Netbase洞见。

相关服务与解决方案