Одно электронное письмом с конфиденциальными данными, загрузка исходного кода на личный ноутбук или передача информации конкуренту могут стоить IT-компании миллионы долларов. Именно поэтому бизнесы заключают NDA.
NDA – это соглашение о неразглашении конфиденциальной информации, которое определяет, какие данные нельзя разглашать, кому их можно передавать и какая ответственность наступает за нарушение договора. Его заключают с сотрудниками, подрядчиками, клиентами, партнерами и инвесторами.
Для IT-компаний NDA определяет правила использования и защиты исходного кода, архитектуры продукта, бизнес-процессов, клиентских баз, AI-разработок и другой коммерчески ценной информации.
В этой статье IT-юристы Stalirov&Co рассказывают, какие условия обязательно включить в NDA, каких ошибок следует избегать и как повысить шансы на защиту конфиденциальной информации в случае спора.
Что такое NDA и зачем он нужен?
NDA нужен для того, чтобы компания могла безопасно передавать конфиденциальную информацию сотрудникам, подрядчикам, клиентам, партнерам и инвесторам, не теряя над ней контроль.
Для бизнеса NDA – это инструмент управления рисками. Он помогает:
- защитить исходный код, коммерческую тайну, клиентские базы, финансовую информацию и другие ценные активы компании;
- снизить риск утечки информации при работе с сотрудниками, подрядчиками и партнерами;
- установить единые правила работы с конфиденциальной информацией для всех участников проекта;
- получить правовые основания для защиты интересов компании в случае нарушения соглашения.
Например, бывший сотрудник Tesla передал документы, связанные с логистическими операциями компании, своему новому работодателю – Zoox. Tesla обратилась в суд, ссылаясь, в том числе, на нарушение обязательств по соблюдению конфиденциальности. В результате стороны урегулировали спор мировым соглашением, а Zoox выплатила Tesla компенсацию.
При этом главная ценность NDA заключается не в возможности обратиться в суд. На практике этот документ чаще всего выполняет превентивную функцию: устанавливает понятные правила работы с конфиденциальной информацией, формирует культуру ответственного обращения с ней внутри компании и снижает риск ее неправомерного использования еще до возникновения спора.
Нужно ли подписывать отдельный NDA или можно добавить пункт о конфиденциальности в основной договор?
Положение о конфиденциальности можно включить в основной договор, однако отдельный NDA является более практичным решением.
Самостоятельный договор о неразглашении информации имеет свои преимущества для бизнеса:
- его можно подписать еще до начала переговоров или обмена конфиденциальной информацией;
- изменения в правила конфиденциальности не требуют внесения изменений в основной договор;
- документ можно адаптировать под конкретный проект и команду.
Например, компания заключает договор с командой разработчиков. Основной договор определяет права и обязанности сторон, сроки выполнения работ и порядок оплаты, тогда как отдельный NDA подробно регулирует перечень конфиденциальной информации, порядок ее передачи, хранения и возврата после завершения сотрудничества, а также ответственность за нарушение режима конфиденциальности.
Кроме этого, вместе с NDA может понадобится подписание отдельного договора о неконкуренции (NCA) и непереманивании (NSA).
Какие условия обязательно включить в NDA?
Эффективность NDA зависит от того, насколько подробно в нем урегулирован порядок работы с конфиденциальной информацией. Ниже – ключевые условия, которые рекомендуется предусмотреть в соглашении:
- понятие и перечень конфиденциальной информации;
- информация, которая не считается конфиденциальной;
- случаи правомерного раскрытия информации;
- порядок передачи и хранения информации (корпоративная электронная почта, мессенджеры, облачные хранилища, репозитории, системы управления проектами);
- срок действия обязательств по соблюдению конфиденциальности;
- порядок возврата или уничтожения конфиденциальной информации после завершения сотрудничества;
- ответственность за нарушение соглашения;
- способы доказывания нарушения;
- применимое право и юрисдикция для разрешения споров.
Рассмотрим каждый из этих пунктов подробнее.
Какая информация считается конфиденциальной?
Конфиденциальной считается информация, которая не является общедоступной, имеет коммерческую ценность для компании и разглашение которой может причинить ей ущерб. Перечень конфиденциальной информации следует определять индивидуально для каждой компании с учетом специфики ее деятельности, проектов и круга лиц, которым предоставляется доступ к такой информации.
Чаще всего к конфиденциальной информации относят:
- исходный код, архитектуру продукта, техническую документацию и спецификации;
- бизнес-планы, финансовые показатели и бюджеты;
- клиентские базы, информацию о партнерах и поставщиках;
- маркетинговые стратегии и коммерческие предложения;
- внутреннюю документацию, переписку и методологии;
- чертежи, шаблоны, формулы, презентации и другие результаты интеллектуальной деятельности.
При этом универсального перечня конфиденциальной информации не существует. Он должен соответствовать тому, какую именно информацию использует компания и к каким данным получает доступ конкретный сотрудник, подрядчик или другой участник проекта.
Например, к юристам Stalirov&Co обратилась онлайн-образовательная платформа TechMission, чтобы защитить уникальные учебные материалы и бизнес-решения от утечки, повторного использования, перепродажи и распространения сотрудниками компании. Клиенту было необходимо подготовить отдельные NDA для разных членов команды: финансового специалиста, разработчика, дизайнера, маркетолога и sales-менеджера.
Перечень конфиденциальной информации для каждой категории сотрудников отличался. Так, для финансового специалиста к конфиденциальной информации относились доступы к банковским счетам компании, финансовая отчетность и налоговые документы, тогда как для sales-менеджера – база потенциальных клиентов, аналитика продаж, данные о конверсии и скрипты коммуникации.
Кроме того, юристы Stalirov&Co разработали NDA для международной сервисной компании Artkai. Для разработчиков в перечень конфиденциальной информации, в частности, были включены:
- планы развития бизнеса и выхода на новые рынки;
- маркетинговая стратегия компании;
- клиентская база, сведения о партнерах, поставщиках и подрядчиках;
- бюджеты проектов и информация об оплате труда;
- внутренняя переписка;
- исходный код, технические задания, спецификации и программные разработки;
- чертежи, шаблоны, формулы и методологии;
- презентации, диаграммы и другие рабочие материалы.
При подготовке NDA мы рекомендуем избегать шаблонных формулировок. Документы, найденные в интернете, не учитывают особенности конкретного бизнеса, его внутренних процессов и распределения ролей в команде.
Кроме того, не стоит ограничиваться только перечнем уже известных объектов. Рекомендуем предусмотреть в NDA положение о том, что перечень конфиденциальной информации не является исчерпывающим. Это позволит распространить режим конфиденциальности и на другие сведения, которые соответствуют критериям конфиденциальной информации, даже если они прямо не указаны в договоре.
Легкомысленное отношение к NDA приводит к финансовым потерям и разочарованиям, как это случилось в истории, по мотивам которой в 2021 году Netflix выпустил сериал «Код на миллиард долларов». Это история двух гениев Карстена Шлютера и Юрия Мюллера, которая показывает насколько важно заключать NDA и детально описывать объекты конфиденциальной информации. Карстен и Юрий разработали Terra Vision – программное обеспечение для виртуального воспроизведения мира с помощью спутниковых изображений и архитектурных данных. Чтобы привлечь инвестиции, разработчики обратились к Google. Рассказали про фичи, алгоритмы, бизнес-планы и показали прототип продукта. Но вместо финансирования, Google украли идею, и представили миру аналогичный софт – Google Earth. Сегодня этот продукт называется Google Карты.
Такой ситуации можно было избежать, если бы разработчики, прежде чем делиться информацией с представителем Google, подписали NDA. В перечень конфиденциальных данных нужно было внести информацию о свободной навигации по хранилищу данных, квадродереве как макете карты, плавающей системе координат и адресации в памяти. Но разработчики не подписали NDA, потеряли права на технологии и, вместе с этим, возможность зарабатывать миллионы долларов в год.
Какая информация не считается конфиденциальной?
Не вся информация, полученная в рамках сотрудничества, автоматически считается конфиденциальной. Чтобы избежать споров в будущем, NDA должен содержать перечень сведений, на которые режим конфиденциальности не распространяется:
- информация, которая уже является общедоступной или стала публичной не по вине получающей стороны;
- информация, которой получающая сторона законно владела до подписания NDA;
- информация, полученная от третьих лиц на законных основаниях без обязательств по соблюдению конфиденциальности;
- информация, раскрытие которой требуется по закону, решению суда или требованию государственного органа (при условии, что другая сторона своевременно уведомлена об этом, если это допускается законодательством).
Четкое определение таких исключений помогает избежать необоснованных претензий и делает NDA более сбалансированным для обеих сторон.
Когда конфиденциальную информацию можно раскрывать?
Несмотря на то, что информация конфиденциальная, существуют ситуации, когда ее можно раскрыть. Например, допускается разглашение:
- данных, которые прямо не обозначены и не перечислены в соглашении.
- Информации для получения дополнительных услуг, а также передачи данных бухгалтерам, аудиторам, юристам и другим консультантам.
- По письменному согласию собственников конфиденциальной информации.
- По требованию государственных органов. В NDA стоит написать о порядке разглашения в случае запроса государственного органа. Когда сторона соглашения получает запрос, она сообщает о нем другой стороне, и делает это до того, как отправляет ответ.
Еще одним распространенным случаем правомерного раскрытия информации становится использование сведений о проекте в портфолио компании.
Чтобы избежать спорных ситуаций, в NDA можно предусмотреть отдельное условие о публикации кейса. Например, стороны могут договориться, что компания вправе использовать информацию о проекте в портфолио после получения согласия клиента на конкретную публикацию.
Какими способами можно передавать конфиденциальную информацию?
В соглашении должен быть пункт с описанием способов обмена конфиденциальной информацией, например:
- электронная почта;
- мессенджеры: WhatsАpp, Telegram, Slack;
- облачные хранилища данных;
- веб-сервисы для хостинга и совместной разработки IT-проектов (например, GitHub, GitLab, Bitbucket);
- программы для видеоконференций: Zoom, Google Meet, Microsoft Teams;
- таск-менеджеры: Trello, Asana, Jira;
- предоставление доступа к базам данных, репозиториям, библиотекам и другим информационным системам.
Как определить ответственность за нарушение NDA?
Штраф должен быть соизмерим с ущербом. Команда Stalirov&Co часто сталкивается с соглашениями, в которых установлены кабальные штрафы и санкции. Однако, между нарушением и штрафом должна быть логическая связь. Сумму штрафа нужно обосновать.
В деле SIS v. Stoneridge Software соглашение предусматривало, что в случае его нарушения пострадавшая сторона вправе требовать выплаты всех доходов и выгод, которые прямо или косвенно получил нарушитель. Суд признал, что такое положение не является допустимым условием о заранее определённых убытках (liquidated damages), поскольку оно основано на выгоде нарушителя, а не представляет собой обоснованную предварительную оценку возможных убытков пострадавшей стороны.
Этот кейс демонстрирует, что чрезмерные или необоснованные штрафные санкции могут оказаться неэффективными на практике. Поэтому при подготовке NDA важно, чтобы положения о штрафах соответствовали возможным последствиям нарушения.
Как доказать нарушение и сумму ущерба?
В качестве доказательств размера ущерба можно использовать:
- заключение эксперта или специалиста об оценке размера убытков;
- заключение экспертизы, подтверждающее нарушение авторских прав, незаконное использование объектов интеллектуальной собственности, изобретений, ноу-хау и других результатов интеллектуальной деятельности;
- выводы независимых IT-специалистов. Например, разработчик программного обеспечения перешел к конкуренту. Независимый IT-специалист установил, что программный код, алгоритм или функциональность продукта конкурента воспроизводят решение, разработанное вашей компанией. Такой вывод может подтвердить факт неправомерного использования результатов разработки;
- показания свидетелей;
- письменные доказательства: соглашение о неразглашении (NDA), договоры, внутренние политики компании, а также данные из корпоративных систем, через которые создается, хранится или передается конфиденциальная информация (например, Jira, Asana, Confluence, Notion, GitHub, GitLab);
- аудио- и видеозаписи, подтверждающие факт разглашения конфиденциальной информации;
- электронные доказательства: деловая переписка по электронной почте и в мессенджерах, голосовые сообщения, скриншоты, публикации в социальных сетях, информация с веб-сайтов, мобильных приложений, облачных сервисов, журналов доступа (logs) и других цифровых источников.
Доказательства должны подтверждать как сам факт нарушения соглашения, так и размер причиненного ущерба. Одних устных аргументов недостаточно. Чем убедительнее доказательная база, тем выше вероятность успешной защиты своих прав.
Что считается нарушением NDA?
В тексте NDA следует четко определить, какие именно действия считаются нарушением соглашения. В частности, к ним можно отнести несоблюдение внутренних правил компании по хранению и передаче конфиденциальной информации, копирование данных на личные устройства, передачу информации третьим лицам или конкурентам, размещение конфиденциальных материалов в открытых источниках, использование полученной информации для создания конкурирующих продуктов или собственных разработок.
Например, в деле Ferm RFID Solutions B.V. v. ADE/ADC (Нидерланды, 2024) стороны заключили соглашение о конфиденциальности в рамках совместной разработки RFID-технологии. После получения технической информации одна из сторон передала ее другой компании своей корпоративной группы. Впоследствии эта информация была использована при подготовке и подаче патентных заявок. Суд установил, что передача конфиденциальной информации третьему лицу без согласия ее владельца нарушала условия соглашения, запретил дальнейшее использование и раскрытие этой информации, а также обязал ответчиков возместить причиненные убытки.
Еще один пример – дело Tesla, Inc. v. Alexander Yatskov. В мае 2022 года Tesla подала иск против своего инженера, утверждая, что перед увольнением он скопировал конфиденциальные файлы, связанные с проектом Dojo, на личные устройства, использовал личную электронную почту для работы с ними и не вернул всю конфиденциальную информацию после прекращения трудовых отношений. В апреле 2023 года стороны урегулировали спор мировым соглашением, в соответствии с которым ответчик согласился выплатить компенсацию.
Когда использование AI-инструментов может нарушить NDA?
Появление генеративного AI заставило компании пересмотреть подходы к защите конфиденциальной информации. Сотрудники, подрядчики и консультанты все чаще используют ChatGPT, Claude, Gemini и другие языковые модели для анализа договоров, поиска ошибок в коде или подготовки кратких резюме документов. Если такие материалы содержат конфиденциальную информацию, их загрузка в публичные AI-сервисы может противоречить условиям NDA.
Такой подход уже находит отражение в юридической практике. Например, в деле Bodea v. JPMorgan Chase федеральный суд США подтвердил, что загрузка конфиденциальных материалов в публичные генеративные AI-сервисы рассматривается как их раскрытие третьему лицу.
Аналогичного подхода придерживается и бизнес. После инцидентов, связанных с загрузкой сотрудниками конфиденциального исходного кода и внутренних документов в ChatGPT, Samsung ограничила использование публичных генеративных AI-сервисов при работе с корпоративной информацией.
Международная юридическая фирма Morgan Lewis запрещает использовать клиентскую информацию и персональные данные в публичных генеративных AI-инструментах и внедрила соответствующие внутренние ограничения.
В связи с этим компаниям стоит пересмотреть не только внутренние AI-политики, но и обновить шаблоны NDA. Если конфиденциальная информация может использоваться в процессе работы с генеративным AI, стоит прямо урегулировать этот вопрос в договоре. В частности, рекомендуется предусмотреть:
- ограничения на загрузку конфиденциальной информации в публичные AI-сервисы;
- перечень категорий информации, которую запрещено использовать в генеративном AI;
- требования об использовании исключительно корпоративных или одобренных компанией AI-решений;
- ответственность за нарушение этих требований.
NDA в Украине и за рубежом: где будет рассматриваться спор?
При заключении NDA сторонам следует заранее определить, право какой страны будет применяться к договору и какой суд или арбитраж будет рассматривать возможные споры. От этого зависят сроки рассмотрения дела, стоимость разрешения спора и возможность взыскать компенсацию с нарушителя.
Выбор юрисдикции зависит от того, где зарегистрированы стороны, где находятся их активы и в какой стране впоследствии может потребоваться исполнение судебного или арбитражного решения. Если компания работает с иностранными партнерами, важно заранее оценить не только удобство рассмотрения спора, но и возможность принудительного исполнения решения в соответствующей юрисдикции.
Практический чек-лист по подготовке NDA от IT-юристов Stalirov&Co
При подготовке NDA стоит придерживаться таких рекомендаций.
- Четко определяйте, какая именно информация является конфиденциальной. Перечень должен учитывать особенности вашего бизнеса и охватывать не только исходный код, но и бизнес-процессы, техническую документацию, архитектуру продукта, коммерческие условия, финансовые показатели и другие ценные данные.
- Указывайте конкретные действия, которые считаются нарушением NDA. Например, копирование информации на личные устройства, передача ее третьим лицам, использование в собственных проектах или при создании конкурирующего продукта.
- Определяйте срок действия обязательств по соблюдению конфиденциальности отдельно от срока действия самого договора. Это позволит сохранить защиту информации даже после прекращения сотрудничества.
- Предусматривайте меры ответственности, которые действительно могут быть применены. Если договор заключается с иностранным контрагентом, убедитесь, что положения о штрафах, возмещении убытков и разрешении споров соответствуют законодательству выбранной юрисдикции.
- Не используйте универсальные шаблоны без адаптации. Законодательство разных стран по-разному регулирует соглашения о конфиденциальности, особенно в сфере трудовых отношений.
- Заранее согласуйте возможность использования названия клиента, логотипа или информации о проекте в портфолио и маркетинговых материалах. Это поможет избежать споров после завершения сотрудничества.
- Распространяйте действие NDA на всех лиц, имеющих доступ к конфиденциальной информации. Это касается не только сотрудников, но и подрядчиков, консультантов, фрилансеров и других участников проекта.
