NDA с разработчиком: защищает ли он идею и какие данные можно показывать до договора

Короткий ответ: NDA не защищает идею как таковую — ни закон, ни соглашение не запрещают другим придумать похожий сервис. Оно защищает конкретную информацию, которую вы передали: цифры, документы, данные, описания процессов. Работает соглашение в полную силу, когда в компании введён режим коммерческой тайны по закону 98-ФЗ, а на руках у подрядчика оказывается только то, что ему действительно нужно для работы. Поэтому главная защита — не подпись под NDA, а порядок: что показывать на брифе, что после договора и в каком виде давать данные.

Статья не о том, у кого останутся права на код — это разобрано в материале «Кто владеет кодом сайта после разработки». Здесь — только о сведениях, которые вы приносите разработчику.

Что реально защищает NDA?

Соглашение о неразглашении защищает сведения, которые вы передали подрядчику и обозначили как конфиденциальные: подрядчик обязуется их не раскрывать и не использовать вне работ. Идею, концепцию или бизнес-модель оно не закрывает: если такой же сервис запустит кто-то другой без ваших материалов, NDA тут ни при чём.

Причина в законе. По п. 5 ст. 1259 ГК РФ авторские права не распространяются на идеи, концепции, принципы, методы и решения задач. Защищается форма: текст, код, макет, документ. «Маркетплейс для аренды спецтехники с оплатой по часам» — идея. Ваш расчёт тарифов, список подрядчиков с контактами и выгрузка заявок за год — сведения, которые можно защитить.

Отсюда практичный взгляд на NDA. Оно полезно, когда вы передаёте:

• финансовую модель, цены закупки, маржу и выручку;
• базы клиентов и поставщиков, условия договоров с ними;
• собственные алгоритмы расчёта: скидок, смет, графиков, рейтингов;
• внутренние регламенты, схемы процессов, отчёты;
• доступы к системам, где всё перечисленное хранится.

Бесполезно оно для того, что и так видно снаружи: конкуренты, общая механика сервиса, внешний вид чужих приложений, которые вы приводите как пример. Не стоит рассчитывать и на то, что NDA помешает разработчику делать похожие проекты для других заказчиков. Это вопрос неконкуренции, и решается он не в NDA, а отдельными условиями договора.

Ещё одна деталь, о которой часто забывают: даже без NDA сведения, переданные в переговорах как конфиденциальные, защищены законом. По п. 4 ст. 434.1 ГК РФ сторона, получившая такую информацию, обязана её не раскрывать и не использовать ненадлежащим образом для своих целей, будет договор заключён или нет, а при нарушении возмещает убытки. Слова «передаётся как конфиденциальная» в письме или на титульном листе файла — уже не пустая формальность.

Нужен ли режим коммерческой тайны?

Если вы хотите опираться на закон 98-ФЗ, а не только на договор, — да. Коммерческая тайна по закону — не любые секретные сведения, а режим, который вводит сам обладатель информации. Пока режим не введён, данные остаются просто конфиденциальными по договору, а доказать их ценность и факт разглашения в споре сложнее.

По ст. 3 закона «О коммерческой тайне» информация, составляющая коммерческую тайну, — это сведения, ценные тем, что они неизвестны третьим лицам, свободного доступа к ним нет и в отношении них обладатель ввёл режим. Что для этого нужно, перечислено в ч. 1 ст. 10, и режим считается установленным только после всех пяти мер:

1. Утвердить перечень сведений, которые составляют коммерческую тайну.
2. Ограничить доступ к ним: установить порядок обращения и контролировать его соблюдение.
3. Вести учёт лиц, получивших доступ или которым сведения переданы.
4. Урегулировать использование сведений работниками — в трудовых договорах, контрагентами — в гражданско-правовых.
5. Ставить на документы гриф «Коммерческая тайна» с указанием обладателя: для юрлица — полное наименование и место нахождения, для ИП — ФИО и место жительства.

Для индивидуального предпринимателя без работников закон делает послабление: по ч. 3 ст. 10 пункты 1 и 2 и трудовая часть пункта 4 ему не обязательны, остаются учёт, договоры с контрагентами и гриф.

Почему без режима NDA слабее, видно на простом примере. Вы передали разработчику таблицу с закупочными ценами, а через полгода такие же цифры всплыли у конкурента. Чтобы взыскать убытки, нужно доказать, что сведения ценны, что вы их охраняли и что утечка произошла именно через этого подрядчика. Перечень, гриф и журнал «кому и когда отправили» отвечают на первые два вопроса заранее. Без них разговор идёт о том, была ли таблица вообще секретной.

Честная оговорка для небольшого бизнеса: вводить режим коммерческой тайны ради одного сайта-визитки незачем. Он нужен компаниям, у которых есть ценные данные и которые регулярно передают их подрядчикам, — тогда положение о коммерческой тайне пишет юрист один раз и пользуются им годами.

Что показывать на первой встрече?

На первой встрече показывайте задачу, а не данные. Чтобы разработчик назвал срок и цену, ему нужно понять, кто пользуется системой, что в ней происходит и с чем она связана. Конкретные клиенты, цифры и формулы на этом этапе почти никогда не нужны.

Хороший бриф отвечает на вопросы «что» и «сколько», а не «у кого» и «по какой цене». Вместо «наш тариф для оптовиков — закупка плюс 14 %» достаточно «у оптовиков своя формула цены, зависит от объёма». Вместо выгрузки из CRM — «около 3 000 клиентов, у каждого 5–10 полей». Оценка от этого не станет менее точной: срок зависит от числа экранов, ролей и интеграций, а не от того, какие числа подставлены в формулу.

Если для оценки всё же нужен документ — пример отчёта, макет счёта, выгрузка структуры, — сделайте копию и замените реальные значения выдуманными. Пять минут работы закрывают большую часть вопросов. Структуру брифа удобно взять из нашей пошаговой формы брифа: в ней нет полей, куда нужно вписывать чувствительные сведения. Какие вопросы задать самой студии на этой встрече, разобрано в статье «Какие вопросы задать студии на первом созвоне».

Отдельное NDA до договора имеет смысл, когда без настоящих материалов оценить работу нельзя: например, нужно разобрать существующую базу 1С, чтобы понять объём миграции, или показать устройство расчёта, от которого зависит архитектура. Если подрядчик отказывается подписать короткое разумное соглашение в такой ситуации, это повод насторожиться. Если он не готов подписывать документ на 15 страниц со штрафом в миллион до первой оценки — это нормальная реакция.

Этап	Можно показывать	Пока не показывать	Почему
Первый звонок, бриф	Задачу, роли пользователей, примеры похожих сервисов, бюджет и срок, список интеграций	Названия клиентов и поставщиков, цифры выручки, формулы расчёта цены	Для оценки срока и цены этого достаточно
После подписания NDA	Схему процесса, макеты, структуру данных без реальных записей, описание алгоритма в общих чертах	Выгрузки из CRM и 1С, договоры с контрагентами	Подрядчику нужно понять логику, а не конкретные значения
После договора на разработку	Ключи API к тестовым средам, обезличенные выборки, подробные правила расчётов	Боевые базы с персональными данными	Объём работ зафиксирован, конфиденциальность — в разделе договора
Перед запуском	Доступы к боевым системам по отдельным учётным записям	Общие пароли директора и бухгалтерии	Каждый доступ можно отозвать и отследить по журналу

Что прописать в соглашении?

Хорошее NDA с подрядчиком помещается на две-три страницы и отвечает на шесть вопросов: что конфиденциально, что не считается конфиденциальным, кто у подрядчика имеет доступ, сколько действует обязательство, что делать с копиями после работ и какая ответственность за нарушение.

Главная ошибка — формулировка «любая информация, полученная от Заказчика». Она выглядит надёжно, но в споре превращается в проблему: в «любую информацию» попадают и общедоступные сведения, и то, что подрядчик знал раньше, и уже невозможно понять, о чём стороны договаривались. Работает связка «перечень категорий плюс маркировка»: всё, что передаётся с пометкой «Конфиденциально» или через оговорённый канал, защищено.

Ещё несколько пунктов, которые стоит проверить:

• Субподрядчики. Если студия привлекает дизайнера или тестировщика со стороны, они должны быть связаны теми же обязательствами, а ответственность за них несёт студия.
• Обязанность сообщить об утечке. Срок, в который подрядчик уведомит вас, если доступ скомпрометирован или ноутбук с материалами потерян.
• Портфолио. Можно ли подрядчику показывать работу и в каком объёме. В типовом договоре Roboweb.team портфолио допускается с указанием наименования заказчика, но без коммерческих условий, персональных данных и иной конфиденциальной информации; если вы против — это согласуется письменно.
• Сделки и инвесторы. Соглашение не должно запрещать вам самим показывать результат инвесторам и аудиторам. В нашем договоре это прямо разрешено условием о соблюдении ими конфиденциальности.
• Штраф. Неустойка упрощает взыскание, но сумма должна быть соразмерна проекту: явно несоразмерную суд вправе уменьшить по ст. 333 ГК РФ, а подрядчик просто не подпишет.

Если вы заключаете полноценный договор на разработку, отдельное NDA часто не нужно: раздел о конфиденциальности уже есть внутри. В типовых договорах студии это раздел 6: стороны не разглашают коммерческие данные, доступы и персональные данные весь срок договора и три года после его прекращения. Там же оговорено, что, используя свои наработки в других проектах, исполнитель не раскрывает конфиденциальную информацию заказчика.

Пункт	Как сформулировать	Типовая ошибка
Что считается конфиденциальным	Перечень категорий плюс правило маркировки документов	«Любая информация, полученная от Заказчика»
Исключения	Общедоступное, известное до передачи, полученное законно от третьих лиц, раскрытое по требованию закона	Исключений нет — соглашение выглядит строгим, но в споре размывается
Кто внутри подрядчика видит данные	Сотрудники и субподрядчики, которым это нужно для работы, под теми же обязательствами	Не сказано ничего о субподрядчиках
Срок	Срок действия обязательства после окончания работ, например 3 года	Срок не указан
Возврат и удаление	Удалить копии в оговорённый срок после окончания работ и подтвердить письменно	Пункта нет, выгрузки живут в почте подрядчика
Ответственность	Возмещение убытков, при желании — неустойка в разумном размере	Штраф, несоразмерный проекту

Как давать доступ к данным безопасно?

По принципу «минимум и с возможностью отзыва»: тестовые или обезличенные данные вместо боевых, отдельные учётные записи вместо общих паролей, учёт того, что и кому передано. Это защищает надёжнее любого соглашения: то, чего у подрядчика нет, утечь от него не может.

Тестовые данные вместо боевых. Для разработки кабинета, CRM или отчётов почти никогда не нужны настоящие клиенты. Нужна структура и правдоподобные значения. Есть три варианта по нарастанию затрат:

• сгенерированные записи — разработчик создаёт их сам по описанию полей;
• обезличенная копия — фамилии, телефоны, адреса и суммы заменены, связи между записями сохранены;
• выборка из боевой базы за короткий период, с заменой персональных данных, — когда важно поймать реальные «грязные» случаи вроде дублей и пустых полей.

Персональные данные — только по договору поручения. Если разработчику действительно нужны настоящие данные клиентов, это уже обработка персональных данных по поручению оператора. По ч. 3 ст. 6 закона 152-ФЗ в поручении должны быть, среди прочего, перечень данных и действий с ними, цели обработки, обязанность соблюдать конфиденциальность и требования к защите данных. Обычное NDA эти требования не закрывает. Проще сделать так, чтобы реальные данные подрядчику были не нужны.

Учёт переданного. Ведите простую таблицу: что отправили, кому, когда, каким каналом. Для режима коммерческой тайны это обязательный учёт по ст. 10, для всех остальных — способ через год вспомнить, у кого лежит выгрузка.

Удаление после работ. После акта попросите подрядчика удалить копии баз и выгрузок и подтвердить это письменно, а временные учётные записи закройте сами. Как выдавать сами доступы к хостингу, Метрике и CRM так, чтобы их можно было отозвать одним действием, мы подробно разобрали в статье «Что подготовить заказчику до старта разработки». А как устроить права пользователей и журналы в самом продукте — в материале о безопасности веб-приложения.

Когда NDA не нужен

NDA не нужен, если вы не передаёте ничего, что стоило бы защищать: заказываете лендинг, корпоративный сайт или бота по открытой информации о компании. Тексты услуг, цены с сайта, контакты и логотип и так публичны, а соглашение только добавит неделю согласований с юристами.

Ориентир по прайсу: лендинг у нас — от 24 000 ₽ за 2 дня, корпоративный сайт — от 56 000 ₽ за 3–4 дня. Если согласование отдельного NDA занимает больше, чем сама разработка, стоит обойтись разделом о конфиденциальности в договоре. Другое дело — веб-приложение или сервис от 160 000 ₽, где подрядчик видит внутренние процессы, расчёты и данные. Здесь продуманный порядок работы с информацией оправдан.

Частые ошибки заказчиков:

• Ждать от NDA защиты идеи. Соглашение не помешает конкуренту сделать похожий продукт. Защищает скорость запуска, клиентская база и данные, которые накопятся у вас.
• Подписать NDA и сразу прислать всё. Подпись не заменяет минимизацию: подрядчику передают то, что нужно для работ, а не всю папку «Документы».
• Не маркировать документы. Файл без пометки и без записи о передаче трудно назвать конфиденциальным в споре.
• Отправлять боевую базу «чтобы было на чём проверить». Это и риск утечки, и вопрос к вам по 152-ФЗ как к оператору.
• Слать пароли в общий чат. Самая частая реальная утечка — не злой умысел подрядчика, а пароль в переписке на двадцать человек.
• Забыть про ч. 4 ст. 14 98-ФЗ. Лицо, у которого не было оснований считать использование сведений незаконным, по этому закону не отвечает, например тот, к кому сведения попали случайно или по ошибке. Чем яснее информация обозначена как конфиденциальная, тем сложнее любому получателю сослаться на то, что он этого не знал.

Если коротко: на брифе — задача без чувствительных деталей, при необходимости детальной оценки — короткое NDA, в работе — договор с разделом о конфиденциальности, тестовые данные и отдельные учётные записи. Такой порядок надёжнее толстого соглашения и не тормозит проект.

Короткие ответы на частые вопросы

Можно ли защитить идею стартапа с помощью NDA?

Саму идею — нет: по п. 5 ст. 1259 ГК РФ авторское право на идеи и концепции не распространяется. NDA защищает конкретные сведения, которые вы передали, а реальная защита идеи — в скорости запуска, клиентах и данных, которые копировать сложно.

Нужно ли подписывать NDA до первой встречи с разработчиком?

Обычно нет. Для оценки срока и цены хватает описания задачи без чувствительных деталей, а сведения, переданные как конфиденциальные в переговорах, и так защищает п. 4 ст. 434.1 ГК РФ. Отдельное соглашение имеет смысл, когда для оценки нужно показать формулы, данные или документы клиентов.

Чем NDA отличается от режима коммерческой тайны?

NDA — договор между двумя сторонами о неразглашении. Режим коммерческой тайны вводит сама компания по ст. 10 98-ФЗ: перечень сведений, порядок доступа, учёт допущенных и гриф на документах. Без режима соглашение работает как обычный договор, но опереться на 98-ФЗ в споре сложнее.

Можно ли дать разработчику доступ к базе клиентов?

Для разработки почти всегда хватает обезличенной копии или сгенерированных записей. Если без настоящих персональных данных не обойтись, нужен договор поручения обработки по ч. 3 ст. 6 152-ФЗ: с перечнем данных, действий, целей и требованиями к защите.

Есть ли конфиденциальность в договоре на разработку Roboweb.team?

Да, это раздел 6 типового договора: стороны не разглашают коммерческие данные, доступы и персональные данные весь срок договора и три года после его прекращения. Отдельное NDA до договора подпишем, если оно нужно, чтобы показать материалы для оценки.

Услуги и кейсы по теме: типовые договоры и акт сдачи-приёмки · заказная разработка · цены и сроки