Source Code Escrow Agreement Poland

Umowa escrow kodu źródłowego w Polsce to trójstronna umowa zawierana między dostawcą oprogramowania (deponentem), licencjobiorcą (beneficjentem) i niezależną instytucją przechowującą (agentem escrow lub notariuszem), na mocy której dostawca deponuje u agenta escrow kod źródłowy oprogramowania wraz z dokumentacją techniczną, a agent przechowuje ten depozyt i udostępnia go beneficjentowi wyłącznie po zaistnieniu określonych zdarzeń wyzwalających — jak upadłość dostawcy lub zaprzestanie wsparcia technicznego.

Umowa escrow kodu źródłowego jest instrumentem zabezpieczenia ciągłości działania systemów informatycznych beneficjenta. Licencjobiorca korzystający z kluczowego oprogramowania dostarczonego przez zewnętrznego dostawcę ryzykuje utratę dostępu do serwisu i możliwości modyfikacji systemu w razie upadku dostawcy lub zakończenia przez niego działalności. Escrow kodu źródłowego eliminuje to ryzyko, zapewniając beneficjentowi dostęp do kodu, który pozwoli mu samodzielnie lub z pomocą innego wykonawcy kontynuować utrzymanie systemu.

Pod względem prawnym umowa escrow kodu źródłowego jest umową nienazwaną zawieraną na podstawie zasady swobody umów z art. 353[1] Kodeksu cywilnego (ustawa z dnia 23 kwietnia 1964 r., Dz.U. 1964 nr 16 poz. 93 ze zm.). Kod źródłowy jako program komputerowy jest chroniony prawem autorskim na podstawie art. 74 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (Dz.U. 1994 nr 24 poz. 83). Depozyt kodu nie przenosi autorskich praw majątkowych na beneficjenta — prawa te pozostają przy deponencie. Beneficjent uzyskuje ograniczoną licencję na korzystanie z kodu jedynie po zaistnieniu zdarzenia wyzwalającego, na podstawie art. 67 ustawy o prawie autorskim.

Agent escrow (powiernik) może być wyspecjalizowaną firmą escrow lub notariuszem. Notariusz jako powiernik kodu korzysta z publicznego zaufania i gwarancji bezstronności wynikających z ustawy z dnia 14 lutego 1991 r. Prawo o notariacie. Kluczowe jest zapewnienie bezpieczeństwa fizycznego i cyfrowego depozytu — kod powinien być przechowywany w zaszyfrowanej formie na nośnikach lub w bezpiecznym środowisku chmurowym.

Zdarzenia wyzwalające udostępnienie depozytu to ściśle określone okoliczności wskazane w umowie, zazwyczaj obejmujące: ogłoszenie upadłości dostawcy przez Sąd Rejonowy — sąd upadłościowy na podstawie ustawy z dnia 28 lutego 2003 r. Prawo upadłościowe, zaprzestanie świadczenia wsparcia technicznego, rozwiązanie umowy licencyjnej przez dostawcę bez winy beneficjenta, zaprzestanie działalności. Precyzyjne sformułowanie zdarzeń wyzwalających ma kluczowe znaczenie dla skuteczności umowy.

Aktualizacje depozytu są niezbędne, aby kod przechowywany przez agenta escrow odpowiadał aktualnej wersji produkcyjnej oprogramowania. Deponent zobowiązuje się dostarczać zaktualizowany kod po każdym wydaniu nowej wersji lub cyklicznie (np. co kwartał). Brak aktualizacji czyni depozyt bezużytecznym, ponieważ stara wersja kodu może być niekompatybilna z aktualną bazą danych lub infrastrukturą.

Umowa escrow kodu źródłowego w Polsce jest potrzebna wówczas, gdy licencjobiorca uzależnia krytyczne procesy biznesowe od oprogramowania dostarczonego przez zewnętrznego dostawcę.

Krytyczne systemy ERP, CRM i bankowe. Przedsiębiorstwa korzystające z systemów ERP lub CRM nabytych od zewnętrznych dostawców zawierają umowę escrow kodu, aby zagwarantować sobie możliwość utrzymania systemu w razie upadłości lub zakończenia działalności przez dostawcę.

Sektory regulowane: bankowość, ubezpieczenia, ochrona zdrowia. Instytucje finansowe i zakłady ubezpieczeń są często zobowiązane przez Urząd Komisji Nadzoru Finansowego (UKNF) do ustanowienia escrow kodu dla systemów krytycznych objętych outsourcingiem, zgodnie z wymogami regulacyjnymi dotyczącymi zarządzania ryzykiem operacyjnym.

Oprogramowanie infrastruktury krytycznej. Operatorzy infrastruktury krytycznej (energetyka, telekomunikacja, gospodarka wodna) objęci ustawą z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym ustanawiają escrow kodu dla systemów zarządzania i monitorowania, aby zapewnić ciągłość działania.

Produkcja na zamówienie — systemy dedykowane. Przedsiębiorstwa, które zamówiły dedykowane oprogramowanie produkcyjne lub logistyczne i zapłaciły za jego wytworzenie, lecz nie nabyły praw autorskich, zawierają umowę escrow aby zabezpieczyć dostęp do kodu na wypadek problemów dostawcy.

Startupy dostarczające oprogramowanie dużym klientom. Duże korporacje zamawiające oprogramowanie od startupów często wymagają escrow kodu jako warunku zawarcia kontraktu, zdając sobie sprawę z wyższego ryzyka upadłości małego dostawcy w porównaniu z dużymi firmami.

Zamówienia publiczne i przetargi. Podmioty sektora publicznego zlecające systemy informatyczne podmiotom prywatnym coraz częściej wprowadzają wymóg escrow kodu do specyfikacji warunków zamówienia, aby zapewnić ciągłość obsługi obywateli niezależnie od losów dostawcy.

Umowa escrow kodu źródłowego w Polsce powinna zawierać następujące elementy, aby skutecznie zabezpieczyć beneficjenta i chronić interesy deponenta.

Dokładne oznaczenie wszystkich trzech stron. Pełne dane deponenta (dostawcy), beneficjenta i agenta escrow z danymi identyfikacyjnymi: firma, adres, NIP, KRS lub CEIDG.

Szczegółowy opis depozytu. Precyzyjny opis deponowanego kodu: nazwa systemu, wersja, repozytoria, technologie (np. frontend React, backend Java, bazy PostgreSQL), dokumentacja techniczna, instrukcja wdrożenia, klucze konfiguracyjne. Kod źródłowy jako program komputerowy chroniony jest na podstawie art. 74 ustawy o prawie autorskim.

Procedura weryfikacji kompletności depozytu. Sposób sprawdzenia, czy dostarczony depozyt zawiera kompletny i działający kod źródłowy. Weryfikacja może obejmować próbę kompilacji lub testu uruchomienia w środowisku agenta escrow.

Zasady aktualizacji depozytu. Częstotliwość (np. co 3 miesiące lub po każdym wydaniu), sposób dostarczania aktualizacji, potwierdzenie odbioru przez agenta, sankcje za brak aktualizacji. forms-legal.com zaleca powiązanie obowiązku aktualizacji z obowiązkami w umowie licencyjnej.

Precyzyjne zdarzenia wyzwalające. Wyczerpująca i zamknięta lista okoliczności, po zaistnieniu których beneficjent może żądać udostępnienia depozytu: upadłość deponenta (Sąd Rejonowy — sąd upadłościowy), zaprzestanie wsparcia, rozwiązanie umowy licencyjnej. Niejasne zdarzenia wyzwalające są główną przyczyną sporów.

Procedura udostępnienia depozytu. Wniosek beneficjenta z dokumentacją, termin zawiadomienia deponenta, prawo deponenta do sprzeciwu, termin udostępnienia, tryb rozstrzygania sporów między stronami.

Zakres licencji po udostępnieniu. Ograniczona licencja na korzystanie z kodu wyłącznie w celu utrzymania własnego systemu, bez prawa do sublicencjonowania i komercyjnej dystrybucji — na podstawie art. 67 ustawy o prawie autorskim.

Wynagrodzenie agenta escrow. Opłata wstępna za przyjęcie depozytu, opłata roczna za przechowywanie, opłata za weryfikację i udostępnienie, podział kosztów między strony, VAT 23%.

Bezpieczeństwo przechowywania. Zaszyfrowanie depozytu, fizyczne i cyfrowe środki ochrony stosowane przez agenta escrow, obowiązek zachowania poufności kodu przez agenta na podstawie art. 11 ustawy o zwalczaniu nieuczciwej konkurencji.

Umowa escrow kodu źródłowego w Polsce wypełniana jest według poniższych kroków zapewniających kompletność trójstronnego porozumienia.

Krok 1 — oznacz wszystkie trzy strony. Wpisz pełne dane deponenta (dostawcy oprogramowania), beneficjenta (licencjobiorcy) i agenta escrow (firmy escrow lub notariusza). Zweryfikuj dane w KRS lub CEIDG.

Krok 2 — opisz depozyt. Wpisz szczegółowy opis deponowanego kodu: nazwę systemu, wersję, repozytoria Git (lub inną formę), technologie, pliki dokumentacji, skrypty migracyjne, klucze konfiguracyjne (zaszyfrowane). Dołącz listę plików jako Załącznik nr 1.

Krok 3 — określ procedurę weryfikacji kompletności. Wskaż, czy agent escrow weryfikuje kompletność depozytu i w jaki sposób (np. sprawdzenie listy plików, próba kompilacji).

Krok 4 — ustal zasady aktualizacji. Wpisz częstotliwość aktualizacji (np. co 3 miesiące lub po każdym wydaniu) i sposób dostarczania. Wskaż, że agent potwierdza odbiór pisemnie.

Krok 5 — zdefiniuj zdarzenia wyzwalające. Wpisz precyzyjnie sformułowane zdarzenia wyzwalające — to najważniejszy element umowy. Unikaj ogólnikowych sformułowań; wskaż konkretne okoliczności (np. ogłoszenie upadłości przez Sąd Rejonowy, zaprzestanie wsparcia przez ponad 90 dni).

Krok 6 — opisz procedurę udostępnienia. Wpisz tryb składania wniosku przez beneficjenta, termin powiadomienia deponenta, prawo do sprzeciwu, termin udostępnienia i sposób rozstrzygania sporów.

Krok 7 — określ zakres licencji po udostępnieniu. Wpisz, że beneficjent korzysta z kodu wyłącznie w celu utrzymania własnego systemu bez prawa do komercyjnej dystrybucji (art. 67 ustawy o prawie autorskim).

Krok 8 — ustal wynagrodzenie agenta. Wpisz opłatę wstępną i roczną agenta escrow, VAT 23% i zasady podziału kosztów między strony.

Krok 9 — podpisz umowę. Wpisz miejscowość i datę, podpisz w trzech egzemplarzach (po jednym dla każdej strony). Forma pisemna jest zalecana; dopuszczalny jest kwalifikowany podpis elektroniczny (art. 78[1] Kodeksu cywilnego). Dołącz Załączniki nr 1 (opis depozytu), nr 2 (procedura weryfikacji) i nr 3 (taryfa agenta).

Umowa escrow kodu źródłowego w Polsce podlega przepisom Kodeksu cywilnego, prawa autorskiego i prawa upadłościowego.

Podstawa prawna i charakter umowy. Umowa escrow kodu źródłowego jest umową nienazwaną zawieraną na podstawie zasady swobody umów (art. 353[1] Kodeksu cywilnego). Zawiera elementy depozytu (art. 835 Kodeksu cywilnego — przechowanie) i warunkowego pełnomocnictwa lub warunkowego zobowiązania do wydania. Depozyt kodu nie przenosi autorskich praw majątkowych — prawa pozostają przy deponencie, a beneficjent uzyskuje licencję po zaistnieniu zdarzenia wyzwalającego (art. 67 ustawy o prawie autorskim).

Ochrona prawnoautorska kodu. Kod źródłowy jako program komputerowy jest chroniony na podstawie art. 74 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych. Prawa majątkowe do kodu stworzonego przez pracownika przysługują pracodawcy (art. 74 ust. 3). Depozyt kodu u agenta escrow nie narusza praw autorskich, lecz stanowi udostępnienie kodu zaufanej osobie trzeciej.

Skuteczność escrow w postępowaniu upadłościowym. Kluczową funkcją escrow kodu jest zabezpieczenie beneficjenta na wypadek upadłości deponenta. Po ogłoszeniu upadłości deponenta przez Sąd Rejonowy (sąd upadłościowy) na podstawie ustawy z dnia 28 lutego 2003 r. Prawo upadłościowe (Dz.U. 2003 nr 60 poz. 535) masa upadłości obejmuje majątek dłużnika, w tym prawa autorskie. Dlatego escrow kodu powinien być ustanowiony przed powstaniem stanu upadłości, a umowę powinien weryfikować prawnik specjalizujący się w prawie upadłościowym, aby ocenić skuteczność depozytu w postępowaniu upadłościowym.

Ochrona informacji poufnych. Kod źródłowy zazwyczaj stanowi tajemnicę przedsiębiorstwa deponenta w rozumieniu art. 11 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji. Agent escrow zobowiązany jest do zachowania poufności kodu i nieudostępniania go osobom nieuprawnionym. Naruszenie poufności przez agenta może skutkować odpowiedzialnością odszkodowawczą na zasadach art. 471 Kodeksu cywilnego.

Ochrona danych osobowych. Jeżeli deponowany kod zawiera dane osobowe lub dane testowe użytkowników, konieczne jest zawarcie umowy powierzenia przetwarzania z agentem escrow zgodnie z art. 28 rozporządzenia (UE) 2016/679 (RODO), nadzorowanego przez Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Forma umowy. Umowa escrow kodu nie wymaga szczególnej formy pod rygorem nieważności. Forma pisemna jest zalecana ze względów dowodowych. Forma elektroniczna z kwalifikowanym podpisem elektronicznym jest równoważna z formą pisemną (art. 78[1] Kodeksu cywilnego).

Umowa escrow kodu źródłowego w Polsce bywa wadliwa z powodu typowych błędów.

Błąd 1 — zbyt ogólne zdarzenia wyzwalające. Niejasne sformułowania (np. „zaprzestanie działalności”) bez precyzyjnych kryteriów prowadzą do sporów o to, czy zdarzenie wyzwalające rzeczywiście nastąpiło. Zalecenie: wskazuj konkretne zdarzenia z mierzalnymi kryteriami i terminami (np. brak wsparcia przez ponad 90 dni, ogłoszenie upadłości przez sąd).

Błąd 2 — brak procedury aktualizacji depozytu. Escrow bez obowiązku regularnych aktualizacji szybko staje się bezużyteczny — beneficjent uzyskuje stary kod niekompatybilny z aktualną bazą danych. Zalecenie: ustal obowiązek aktualizacji co najmniej co 3 miesiące lub po każdym wydaniu.

Błąd 3 — brak weryfikacji kompletności depozytu. Przechowywanie kodu bez weryfikacji, czy jest kompletny i kompiluje się, daje beneficjentowi fałszywe poczucie bezpieczeństwa. Zalecenie: ustal procedurę weryfikacji przy każdym deponowaniu — nawet uproszczoną (lista plików, test kompilacji).

Błąd 4 — brak regulacji poufności kodu przez agenta escrow. Pominięcie klauzuli poufności naraża tajemnicę przedsiębiorstwa deponenta. Zalecenie: zobowiąż agenta do zachowania poufności kodu i nieudostępniania go poza trybem umownym (art. 11 ustawy o zwalczaniu nieuczciwej konkurencji).

Błąd 5 — zbyt szeroki zakres licencji po udostępnieniu. Brak ograniczenia prawa beneficjenta do korzystania z kodu może prowadzić do nieuprawnionej komercjalizacji kodu należącego do deponenta. Zalecenie: ogranicz licencję wyłącznie do utrzymania własnego systemu bez prawa do dystrybucji.

Błąd 6 — brak zabezpieczenia na wypadek upadłości deponenta. Escrow nieskuteczny w postępowaniu upadłościowym (np. ustanowiony tuż przed upadłością) może być wzruszony przez syndyka. Zalecenie: skonsultuj umowę z prawnikiem specjalizującym się w prawie upadłościowym i ustanów escrow z wyprzedzeniem.

Błąd 7 — brak klauzuli RODO dla deponowanego kodu zawierającego dane. Jeżeli kod zawiera dane osobowe lub dane testowe, brak umowy powierzenia z agentem narusza RODO. Zalecenie: zawrzyj umowę powierzenia przetwarzania (art. 28 RODO) lub wymagaj, aby deponowany kod był pozbawiony danych osobowych.