Po co w ogóle NDA z podwykonawcą i kiedy ma sens
Różnica między klauzulą poufności a osobną umową NDA
Przy współpracy z podwykonawcą często pojawia się pytanie: wystarczy klauzula poufności w umowie, czy potrzebne jest osobne NDA w relacjach B2B? Z prawnego punktu widzenia kluczowa jest treść zobowiązania, a nie to, czy jest ono w osobnym dokumencie. Jednak praktyka biznesowa pokazuje, że osobna umowa o zachowaniu poufności z podwykonawcą porządkuje relację i ułatwia egzekwowanie obowiązków.
Prosta klauzula poufności w umowie o współpracy zwykle ogranicza się do kilku ogólnych zdań: że „strony zobowiązują się zachować poufność informacji uzyskanych przy wykonywaniu umowy”. To krok w dobrą stronę, ale często pomija detale: co dokładnie jest poufne, jak długo obowiązuje poufność, czy są kary umowne za złamanie poufności, co z pracownikami podwykonawcy i jego dalszymi podwykonawcami.
Osobne NDA pozwala poświęcić kilka stron wyłącznie na temat poufności. Dzięki temu da się precyzyjnie uregulować:
- zakres informacji poufnych w NDA,
- obowiązki podwykonawcy i jego zespołu,
- zasady przechowywania i zabezpieczania danych,
- okres obowiązywania NDA po zakończeniu współpracy,
- odpowiedzialność podwykonawcy za wyciek danych i wysokość kar.
Nie zawsze trzeba rozbijać umowę na dwa dokumenty. Przy mniejszych zleceniach wystarczy rozbudowana klauzula poufności w ramach głównej umowy. Gdy jednak współpraca jest szersza, długoterminowa, obejmuje wrażliwe informacje albo wiele projektów, osobne NDA upraszcza życie – również podwykonawcy, bo widzi w jednym miejscu wszystkie obowiązki dotyczące tajemnic biznesowych.
Kiedy NDA z podwykonawcą jest naprawdę potrzebne
Nie w każdej relacji z podwykonawcą NDA jest równie istotne. Są jednak obszary, w których brak porządnego NDA naraża firmę na poważne straty. Dotyczy to zwłaszcza sytuacji, gdy podwykonawca dostaje dostęp do:
- know-how i procesów wewnętrznych (np. szczegółowe procedury, algorytmy, metody pracy, skrypty rozmów sprzedażowych),
- danych klientów i partnerów (bazy klientów, listy kontrahentów, warunki handlowe, historia współpracy),
- projektów technologicznych (kody źródłowe, dokumentacja techniczna, architektura systemu, API),
- wrażliwych informacji biznesowych (strategie wejścia na nowe rynki, plany cenowe, prognozy finansowe, koncepty nowych produktów),
- danych osobowych w szerszym zakresie (np. podwykonawca obsługuje system CRM, kampanie mailingowe, helpdesk, rekrutacje).
W praktyce NDA w relacjach B2B jest standardem w branżach takich jak IT, marketing cyfrowy, konsulting strategiczny, HR, usługi księgowe, medyczne systemy IT, fintechy. Często już w pierwszej rozmowie pojawia się propozycja podpisania NDA, zanim strony wejdą w szczegóły projektu.
Jeżeli podwykonawca dostaje jedynie bardzo ogólny zakres danych, dostępny publicznie (np. logotypy, podstawowe informacje z strony internetowej), rozbudowane NDA bywa zbędne. W takiej sytuacji wystarczy ogólna klauzula w umowie. Im jednak bardziej unikalna i niewidoczna na zewnątrz jest wiedza przekazywana podwykonawcy, tym bardziej sensowne staje się konkretne NDA.
Kiedy NDA może być przerostem formy nad treścią
Zdarza się, że przedsiębiorca – z obawy przed wyciekiem informacji – przygotowuje bardzo agresywne, rozbudowane NDA z listą zakazów, wysokimi karami umownymi i bardzo szeroką definicją informacji poufnych („wszystko, co zobaczysz, jest tajemnicą”). Skutek bywa odwrotny do zamierzonego: dobry podwykonawca rezygnuje, bo warunki są niespójne z rynkowymi standardami albo po prostu nie da się ich realnie dotrzymać bez sparaliżowania pracy.
Przerost formy nad treścią widać szczególnie tam, gdzie:
- podwykonawca ma wykonać prostą, jednorazową usługę bez dostępu do istotnych danych (np. drobny grafik, pojedynczy copywriter do prostego tekstu),
- NDA zakazuje niemal każdej formy wykorzystania doświadczenia zawodowego („podwykonawca nie może nigdy użyć wiedzy zdobytej przy projekcie”),
- przewidziano olbrzymie kary umowne nieadekwatne do skali projektu, np. kilkadziesiąt razy wyższe niż wartość całej współpracy,
- obowiązek poufności jest bezterminowy dla wszystkich rodzajów informacji, nawet tych, które za chwilę staną się publiczne.
Umowa o zachowaniu poufności z podwykonawcą powinna być tak skonstruowana, aby chroniła interes firmy, ale jednocześnie była zrozumiała, proporcjonalna i możliwa do wykonania. Zbyt „twarde” NDA zniechęca szczególnie doświadczonych specjalistów i software house’y, które nie chcą brać na siebie nierealnego ryzyka.
Jak zabezpieczyć firmę, nie odstraszając podwykonawcy
Częsta obawa przedsiębiorcy brzmi: „jeśli nie docisnę NDA, ktoś wyniesie mi klientów lub technologię”. Z drugiej strony podwykonawca myśli: „jeśli to podpiszę, biorę na siebie nieograniczone ryzyko za cudze dane”. Da się to pogodzić, ale wymaga to kilku świadomych decyzji, m.in.:
- jasnej definicji informacji poufnych – bez wrzucania „wszystkiego jak leci”,
- rozsądnego okresu obowiązywania NDA – dłużej tylko tam, gdzie faktycznie zachowuje się wrażliwość informacji,
- kary umownej na realnym poziomie – odczuwalnej, ale nie paraliżującej działalności podwykonawcy,
- prostych procedur bezpieczeństwa, które da się stosować w praktyce (np. szyfrowane dyski, ograniczony dostęp, bez przesadnych formalności),
- jasnej komunikacji: dlaczego dane są ważne, co najgorszego może się wydarzyć przy wycieku, jak firma pomaga w utrzymaniu bezpieczeństwa (np. dostęp do narzędzi, instrukcji).
Dobrze skonstruowane NDA w relacji z podwykonawcą buduje zaufanie: sygnalizuje, że druga strona traktuje poważnie tajemnicę przedsiębiorstwa, ale rozumie też realia pracy podwykonawców i freelancerów. To często odróżnia poważnych zleceniodawców od tych, którzy wrzucają do umów przypadkowe wzory z internetu.
Podstawy prawne poufności w relacji B2B
Tajemnica przedsiębiorstwa w ustawie o zwalczaniu nieuczciwej konkurencji
Poza samym NDA, już prawo przewiduje ochronę pewnych informacji. Kluczowy jest tu art. 11 ustawy o zwalczaniu nieuczciwej konkurencji. Wprowadza on pojęcie tajemnicy przedsiębiorstwa, czyli informacji technicznych, technologicznych, organizacyjnych przedsiębiorstwa lub innych informacji posiadających wartość gospodarczą, co do których przedsiębiorca podjął niezbędne działania w celu zachowania poufności.
Żeby informacja była uznana za tajemnicę przedsiębiorstwa, muszą być spełnione trzy warunki:
- nie jest powszechnie znana ani łatwo dostępna dla osób z kręgu, które zwykle zajmują się takim rodzajem informacji,
- ma wartość gospodarczą (np. ułatwia konkurowanie, buduje przewagę rynkową),
- przedsiębiorca realnie stara się utrzymać jej poufność (procedury, ograniczenia dostępów, NDA itp.).
NDA nie jest tu fanaberią, tylko jednym z dowodów na to, że przedsiębiorca rzeczywiście chroni swoją tajemnicę. Gdyby doszło do sporu, brak jakichkolwiek środków ochrony może utrudnić wykazanie, że informacja była faktycznie chroniona, a podwykonawca naruszył tajemnicę przedsiębiorstwa.
Dane osobowe a NDA – gdzie kończy się poufność biznesowa, a zaczyna RODO
Umowa o zachowaniu poufności z podwykonawcą często obejmuje również dane osobowe (np. listy mailingowe, dane pacjentów, dane kandydatów do pracy, dane użytkowników aplikacji). Trzeba wtedy rozróżnić dwie płaszczyzny:
- poufność biznesową – NDA chroni informacje jako element przewagi konkurencyjnej i tajemnicy przedsiębiorstwa,
- ochronę danych osobowych – regulowaną przez RODO i krajowe przepisy, które nakładają konkretne obowiązki niezależnie od treści NDA.
NDA nie zastępuje umowy powierzenia przetwarzania danych osobowych. Jeżeli podwykonawca w Twoim imieniu przetwarza dane osobowe (np. prowadzi kampanie mailingowe, hostuje system, realizuje obsługę klienta), potrzebna jest osobna umowa powierzenia. NDA może wzmacniać ochronę (np. rozszerzając odpowiedzialność, doprecyzowując zasady techniczne), ale nie zwalnia z wymogów RODO.
Granica jest prosta: jeżeli podwykonawca ma jedynie epizodyczny, przypadkowy dostęp do pojedynczych danych osobowych (np. widzi pojedynczą fakturę na ekranie), wystarczy poufność uregulowana w NDA. Gdy jednak dostaje dostęp do całych zbiorów danych lub przetwarza je systemowo, powinien pojawić się formalny dokument powierzenia.
NDA a umowa o współpracy, zleceniu czy o dzieło
Umowa o zachowaniu poufności z podwykonawcą rzadko występuje w oderwaniu od głównego kontraktu. Zwykle jest podpisywana obok umowy o współpracy, zlecenia lub umowy o dzieło. Te dokumenty muszą ze sobą współgrać. Problemy zaczynają się, gdy:
- NDA przewiduje inny okres obowiązywania niż klauzula poufności w umowie głównej,
- definicje informacji poufnej w obu dokumentach różnią się (np. w jednym więcej wyłączeń, w drugim mniej),
- różnie uregulowano kary umowne za złamanie poufności,
- niejasne jest, który dokument ma pierwszeństwo w razie sprzeczności.
Bezpieczniej jest przyjąć prostą zasadę: albo całość uregulować w jednym, spójnym dokumencie, albo w NDA zawrzeć wprost, że reguluje ono wyczerpująco kwestie poufności w relacji z podwykonawcą, a w razie rozbieżności ma pierwszeństwo przed postanowieniami umowy głównej w zakresie poufności.
Dobrą praktyką jest dodanie do NDA odwołania do umowy o współpracy (np. numer, data, strony) oraz krótkiego wyjaśnienia, że poufność dotyczy wszystkich informacji uzyskanych w związku z tą umową oraz ewentualnymi późniejszymi projektami, jeśli strony tak uzgodnią.
Ograniczenia swobody umów w NDA
Nawet najbardziej rozbudowany NDA w relacjach B2B nie może dowolnie kształtować rzeczywistości. Obowiązuje zasada swobody umów, ale z istotnymi ograniczeniami. Umowa nie może m.in.:
- wyłączać przepisów bezwzględnie obowiązujących (np. z zakresu RODO, prawa pracy, prawa konkurencji),
- zobowiązywać do działań sprzecznych z prawem (np. ukrywanie informacji przed organami ścigania),
- nadmiernie ograniczać swobody działalności gospodarczej podwykonawcy w sposób, który można uznać za sprzeczny z zasadami współżycia społecznego lub dobrymi obyczajami,
- wprowadzać postanowień rażąco nieekwiwalentnych (np. absurdalnie wysokie kary, które w praktyce prowadzą do obejścia przepisów o odpowiedzialności).
Przykład: NDA nie może zabronić podwykonawcy wykonywania usług dla kogokolwiek z branży przez długie lata, jeśli w praktyce oznaczałoby to pozbawienie go możliwości zarobkowania. Takie postanowienie mogłoby zostać uznane za nieważne lub podlegające modyfikacji przez sąd. Rozsądny zakres terytorialny, czasowy i przedmiotowy obowiązków jest kluczowy, jeśli umowa ma być nie tylko podpisana, ale i obronić się w realnym sporze.
Kogo dotyczy NDA: podwykonawca, jego ludzie i dalsi podwykonawcy
Modele współpracy z podwykonawcami i ich wpływ na NDA
Relacja z podwykonawcą rzadko ogranicza się do jednej osoby. Nawet przy umowie z jednoosobowym przedsiębiorcą często w tle pojawiają się współpracownicy, rodzina pomagająca „po godzinach”, inni freelancerzy. NDA musi brać to pod uwagę, jeśli ma realnie zabezpieczać tajemnicę przedsiębiorstwa.
Najczęstsze modele współpracy:
- Jednoosobowy specjalista (freelancer) – formalnie jedna osoba, w praktyce może korzystać z „pomocy” znajomych, podnajmować podzadania, korzystać z coworkingu, firm hostingowych. Tutaj NDA powinno jasno wskazać jego odpowiedzialność za wszystkie osoby, którymi się posługuje.
Zespół podwykonawcy, stażyści i osoby „na umowie śmieciowej”
Jeżeli podpisujesz NDA z firmą, a nie z pojedynczą osobą, w praktyce dostęp do poufnych danych będzie miało więcej ludzi: pracownicy etatowi, zleceniobiorcy, praktykanci, czasem podwykonawcy „od podwykonawcy”. NDA powinno jasno wskazywać, że:
- podwykonawca może udostępniać informacje swoim ludziom tylko w zakresie niezbędnym do realizacji zlecenia,
- każda z tych osób musi być objęta równoważnym obowiązkiem poufności (np. klauzulą w umowie o pracę, zleceniu, osobnym NDA),
- za działania i zaniechania tych osób odpowiada wobec Ciebie sam podwykonawca, jak za własne.
Bez takiego zapisu ryzykujesz, że podwykonawca powie przy wycieku: „to nie ja, to praktykant”, a Twoje roszczenia utkną w martwym punkcie. Z Twojej perspektywy kluczowe jest, aby jednym adresem odpowiedzialności był zawsze podwykonawca, z którym masz umowę.
Dalsi podwykonawcy (subcontracting) – zgoda, kontrola, odpowiedzialność
W wielu branżach podzlecanie jest standardem. Software house oddaje część prac freelancerom, agencja marketingowa zatrudnia copywriterów, studio wideo wynajmuje montażystów. Jeżeli nie uregulujesz tego w NDA, informacje poufne zaczną krążyć po rynku w sposób, którego nikt nie kontroluje.
Dobry punkt wyjścia to trzy proste zasady:
- Zgoda na dalsze podzlecanie
Podwykonawca powinien mieć obowiązek uzyskania Twojej uprzedniej zgody (ogólnej lub indywidualnej) na zaangażowanie dalszych podwykonawców, jeśli mają mieć dostęp do poufnych informacji. - Równe standardy poufności
Każdy dalszy podwykonawca musi podpisać NDA lub klauzulę poufności co najmniej tak restrykcyjną, jak Wasza umowa. Warto doprecyzować, że brak takiego dokumentu oznacza zakaz udostępniania mu informacji. - Pełna odpowiedzialność głównego podwykonawcy
W NDA warto wprost zapisać, że podwykonawca ponosi pełną odpowiedzialność za naruszenia poufności przez dalszych podwykonawców tak, jak za własne działania.
Przykładowy zapis, który dobrze działa w praktyce: „Podwykonawca może powierzyć wykonanie części prac osobom trzecim wyłącznie po uzyskaniu pisemnej (także mailowej) zgody Zamawiającego, pod warunkiem nałożenia na nie obowiązku poufności w zakresie co najmniej równym postanowieniom niniejszej umowy. Podwykonawca ponosi odpowiedzialność za działania i zaniechania tych osób jak za własne.”
Partnerzy technologiczni, dostawcy narzędzi i chmury
Częsta wątpliwość: czy użycie zewnętrznych narzędzi (SaaS, chmura, systemy mailingowe) wymaga zgody w ramach NDA? Tu warto rozróżnić dwie sytuacje:
- standardowe usługi infrastrukturalne (np. hosting, chmura, system backupu) – często możesz dopuścić je ogólnie w NDA, pod warunkiem że dostawca spełnia określone standardy bezpieczeństwa (np. szyfrowanie, certyfikaty ISO),
- usługi „ludzkie” (np. call center, zewnętrzne biuro obsługi, ręczne wprowadzanie danych) – tu wskazana jest konkretna zgoda i jasne wskazanie, że podwykonawca upewni się co do NDA/RODO po swojej stronie.
Jeżeli wiesz, że w projekcie pojawią się konkretne systemy (np. nazwana chmura, CRM), możesz je wymienić z nazwy, aby uniknąć późniejszych sporów, czy ich wykorzystanie było dopuszczalne. Dla obu stron to czytelny sygnał, jakie przepływy danych są akceptowane.
Co konkretnie jest informacją poufną – jak nie przegiąć z zakresem
Szeroka definicja vs. realne życie
Najczęstszy błąd w NDA: definicja informacji poufnych, która obejmuje absolutnie wszystko, co zostanie wypowiedziane, napisane, zanotowane lub „tylko pomyślane przy kawie”. Teoretycznie daje to pełną ochronę, w praktyce paraliżuje współpracę i często jest nieskuteczne w sporze.
Przydatne jest rozbicie informacji na kilka kategorii:
- informacje biznesowe – strategie, plany cenowe, rabaty, leady sprzedażowe, wyniki analiz, specyfikacje ofert,
- informacje techniczne – kod źródłowy, dokumentacja techniczna, architektura systemów, know-how procesowe,
- informacje organizacyjne – procedury wewnętrzne, schematy zespołów, dane kontaktowe kluczowych osób,
- dane osobowe – o ile są objęte NDA jako element tajemnicy przedsiębiorstwa i przetwarzania danych.
W definicji można odwołać się do tych kategorii, a dodatkowo dopisać, że informacją poufną są też wszelkie inne informacje oznaczone przez przekazującego jako poufne albo co do których przeciętny profesjonalista powinien rozpoznać, że mają poufny charakter.
Wyłączenia z poufności – czego nie ma sensu „uszczelniać”
Dla zdrowej współpracy ważne są również wyjątki. Jeżeli ich zabraknie, podwykonawca będzie miał poczucie, że „bez prawnika nie mogę wypowiedzieć jednego zdania o tej współpracy”. Typowe wyłączenia dotyczą informacji, które:
- są lub staną się publicznie dostępne nie z winy podwykonawcy,
- podwykonawca posiadał już wcześniej i może to wykazać (np. portfolio, własne know-how),
- zostały niezależnie opracowane przez podwykonawcę bez wykorzystania informacji poufnych zamawiającego,
- muszą zostać ujawnione na podstawie bezwzględnie obowiązujących przepisów prawa lub prawomocnego orzeczenia,
- są ogólną wiedzą branżową (np. standardowe rozwiązania marketingowe, wzorce UX, powszechnie znane biblioteki).
Przy okazji da się rozwiać częstą obawę podwykonawców: że NDA zablokuje im możliwość korzystania z własnych pomysłów i doświadczeń w przyszłych projektach. Wystarczy zastrzec, że NDA nie ogranicza prawa do korzystania z ogólnej wiedzy, umiejętności i doświadczenia nabytych w trakcie współpracy – o ile nie dochodzi przy tym do ujawniania konkretnych informacji poufnych z umowy.
Forma przekazania informacji: pisemnie, ustnie, w systemach
Niektóre wzory NDA obejmują wyłącznie informacje przekazane „w formie pisemnej i oznaczone jako poufne”. Przy współczesnych projektach IT, marketingowych czy badawczych to zwyczajnie za mało. Informacje poufne pojawiają się w:
- wiadomościach e-mail, komunikatorach, komentarzach w zadaniach,
- spotkaniach online, warsztatach, szybkich rozmowach telefonicznych,
- dostępie do systemów (CRM, Jira, Slack, bazy danych, Drive).
W NDA warto zatem zastrzec, że ochrona obejmuje wszelkie formy przekazania – w tym elektroniczne, ustne oraz poprzez udzielenie dostępu do systemów. Jednocześnie można wprowadzić praktyczne rozwiązanie: np. informacja ustna staje się formalnie objęta NDA, jeżeli w rozsądnym czasie zostanie potwierdzona mailowo lub w innym utrwalonym medium. To ułatwia późniejsze dowodzenie, że coś faktycznie zostało przekazane jako poufne.
Obowiązki podwykonawcy w NDA – co wpisać, żeby dało się tego pilnować
Nie tylko „nie ujawniać”, ale też „jak chronić”
Samo zobowiązanie „podwykonawca zachowa poufność” jest zbyt ogólne. Przy sporze pojawia się pytanie: co konkretnie powinien był zrobić? Tu pomaga kilka praktycznych, ale wykonalnych obowiązków, np.:
- ograniczenie dostępu do informacji tylko do osób, którym są realnie potrzebne do pracy,
- stosowanie haseł, szyfrowania i aktualnego oprogramowania (bez wchodzenia w techniczne szczegóły, które zestarzeją się za rok),
- niewykorzystywanie prywatnych, nieszyfrowanych nośników do przechowywania materiałów (pendrive’y „z szuflady”, prywatne Dropboxy itp.),
- niepozostawianie dokumentów i nośników w miejscach publicznie dostępnych (coworkingi, pociągi, sale konferencyjne),
- natychmiastowe zgłoszenie każdej podejrzanej sytuacji, która może prowadzić do naruszenia (np. kradzież laptopa, włamanie na skrzynkę e-mail).
Nie trzeba opisywać całego systemu bezpieczeństwa – wystarczy kilka jasnych wytycznych, które da się egzekwować i które pokazują, że obie strony traktują temat poważnie.
Zakaz wykorzystania informacji dla innych celów
Oprócz zakazu ujawniania, kluczowy jest zakaz wykorzystywania informacji poufnych w innym celu niż wykonanie umowy. Bez tego podwykonawca nie wyniesie danych „na zewnątrz”, ale teoretycznie może wykorzystać wiedzę o Twoich marżach czy procesach do skonstruowania oferty dla Twojej konkurencji.
Praktyczny zapis może brzmieć: „Podwykonawca zobowiązuje się nie wykorzystywać Informacji Poufnych w jakimkolwiek innym celu niż wykonanie Umowy Głównej, w szczególności w celu świadczenia usług na rzecz innych podmiotów lub prowadzenia działalności konkurencyjnej wobec Zamawiającego.”
Zasady przechowywania i niszczenia danych po zakończeniu współpracy
NDA dobrze dz