Quand on confie le d\u00e9veloppement d'un logiciel \u00e0 une \u00e9quipe externe, on veut \u00eatre s\u00fbr de deux choses : le code et le savoir-faire restent l\u00e0 o\u00f9 ils doivent \u00eatre, et le r\u00e9sultat revient bien au client \u00e0 la fin. Le NDA est g\u00e9n\u00e9ralement le premier document sign\u00e9. Mais la protection de la propri\u00e9t\u00e9 intellectuelle au quotidien d\u00e9pend d'autres questions : qui acc\u00e8de \u00e0 quel d\u00e9p\u00f4t, o\u00f9 sont stock\u00e9s les identifiants, et que se passe-t-il quand quelqu'un quitte l'\u00e9quipe ?<\/p>\n
Cet article d\u00e9crit comment nous organisons cela dans une \u00c9quipe nearshore<\/a> r\u00e9partie sur trois sites, et o\u00f9 la technique atteint ses limites.<\/p>\n Un NDA impose une obligation de confidentialit\u00e9. Le contrat de d\u00e9veloppement pr\u00e9cise qui obtient quels droits sur le code produit. Sur le plan technique, le code est prot\u00e9g\u00e9 par des droits d'acc\u00e8s limit\u00e9s dans le temps, une proc\u00e9dure d'offboarding d\u00e9finie, une gestion centralis\u00e9e des secrets, des d\u00e9p\u00f4ts s\u00e9par\u00e9s et la journalisation des acc\u00e8s. Les clients r\u00e8glent l'aspect contractuel avec leur service juridique ou leur cabinet d'avocats.<\/p>\n<\/div>\n Un NDA d\u00e9termine qui peut transmettre des informations \u00e0 des tiers. Il ne r\u00e8gle pas qui peut utiliser, modifier ou revendre le code. Cela rel\u00e8ve du contrat de d\u00e9veloppement.<\/p>\n Une r\u00e8gle de la loi allemande sur le droit d'auteur montre pourquoi cette distinction compte pour les \u00e9quipes externes. Selon le \u00a7 69b de la loi allemande sur le droit d'auteur (UrhG)<\/a> les droits patrimoniaux sur un logiciel \u00e9crit par des salari\u00e9s dans le cadre de leurs fonctions reviennent \u00e0 l'employeur. Cette r\u00e8gle ne s'applique pas aux prestataires externes. Pour eux, la concession des droits d'utilisation est r\u00e9gie par le contrat (\u00a7 31 UrhG). La forme que doit prendre une telle clause dans un cas pr\u00e9cis rel\u00e8ve de l'appr\u00e9ciation d'un service juridique ou d'un cabinet d'avocats. Nous nous en tenons ici \u00e0 la partie dont nous sommes responsables en tant que d\u00e9veloppeurs.<\/p>\n Le vol d\u00e9lib\u00e9r\u00e9 est rare. Les failles typiques sont d'ordre organisationnel :<\/p>\n Un NDA n'emp\u00eache aucun de ces cas. Les quatre peuvent \u00eatre \u00e9limin\u00e9s par des mesures techniques et organisationnelles.<\/p>\n Dans chaque projet, le cocontractant est torck GmbH en Allemagne, m\u00eame lorsque des d\u00e9veloppeuses et d\u00e9veloppeurs de Vienne ou de Rabat y participent. Rabat est une soci\u00e9t\u00e9 torck \u00e0 part enti\u00e8re, et non un partenaire interm\u00e9diaire. Pour les clients, cela signifie un seul contrat, un seul interlocuteur et aucune cha\u00eene de sous-traitants par laquelle les acc\u00e8s transitent.<\/p>\n Les revues de code, le pipeline CI\/CD et les r\u00e8gles d'acc\u00e8s sont identiques sur les trois sites. Le d\u00e9calage horaire entre Maxh\u00fctte-Haidhof et Rabat est le plus souvent nul ou d'une heure. Les autorisations et les retraits d'acc\u00e8s se font donc dans la m\u00eame journ\u00e9e de travail. Avec des \u00e9quipes en Asie, ils restent souvent en suspens jusqu'au lendemain.<\/p>\n Acc\u00e8s et offboarding dans votre projet<\/b> Nous contacter<\/a>\n<\/div>\n C'est la base de la confidentialit\u00e9. Il ne r\u00e8gle pas qui obtient quels droits sur le code, cela rel\u00e8ve du contrat de d\u00e9veloppement. Au quotidien, il est de peu d'utilit\u00e9 contre un acc\u00e8s qui reste actif apr\u00e8s le d\u00e9part d'un d\u00e9veloppeur. Pour cela, il faut des r\u00e8gles d'acc\u00e8s et une proc\u00e9dure d'offboarding d\u00e9finie.<\/p>\n Id\u00e9alement dans un d\u00e9p\u00f4t appartenant au client, dans lequel l'\u00e9quipe externe travaille avec ses propres comptes personnels. Le client voit alors \u00e0 tout moment l'\u00e9tat actuel et peut retirer lui-m\u00eame les acc\u00e8s. En fin de projet, rien n'a besoin d'\u00eatre remis.<\/p>\n D'abord les droits d'acc\u00e8s, ensuite la proc\u00e9dure d'offboarding. Les acc\u00e8s que personne ne retire sont la faille la plus fr\u00e9quente dans un projet par ailleurs bien organis\u00e9. La gestion des secrets, les d\u00e9p\u00f4ts s\u00e9par\u00e9s et la journalisation suivent d\u00e8s que ces deux points sont en place.<\/p>\n torck travaille avec un seul cocontractant allemand, torck GmbH, et avec les m\u00eames r\u00e8gles d'acc\u00e8s sur les trois sites. Nous voyons ce que cela donne pour un projet concret lors d'un Premier entretien<\/a>.<\/p>\nCe que couvre un NDA<\/h2>\n
O\u00f9 la propri\u00e9t\u00e9 intellectuelle se perd au quotidien<\/h2>\n
\n
Les mesures, dans l'ordre o\u00f9 nous les mettons en place<\/h2>\n
\n
Comment c'est organis\u00e9 chez torck<\/h2>\n
\nLes r\u00e8gles d'acc\u00e8s n'emp\u00eachent pas une fuite par une personne disposant d'un acc\u00e8s autoris\u00e9. Elles la rendent tra\u00e7able et limitent l'\u00e9tendue de ce qui peut \u00eatre touch\u00e9 en une fois. Aucune de ces mesures ne r\u00e8gle la question de savoir qui d\u00e9tient contractuellement quels droits sur le code. Cela rel\u00e8ve de l'appr\u00e9ciation du service juridique ou du cabinet d'avocats du client.\n<\/div>\n
\nNous vous montrons volontiers, sur un projet concret, comment nous mettons en place les d\u00e9p\u00f4ts, les acc\u00e8s et l'offboarding pour une \u00e9quipe nearshore.<\/p>\nFoire aux questions<\/h2>\n
Un accord de confidentialit\u00e9 suffit-il ?<\/h3>\n
O\u00f9 le code doit-il se trouver ?<\/h3>\n
Quelles mesures techniques faut-il mettre en \u0153uvre en premier lieu ?<\/h3>\n
Pourquoi torck ?<\/h2>\n