NDA și protecția informațiilor confidențiale

1) Obiective și principii

• secrete de afaceri (algoritmi antifraudă, profiluri bonus, modele ML, matematică RNG);
• materiale de negociere (etichete de preț, oferte, M&A, due diligence);
• procese și surse tehnice (arhitectură, IaC, diagrame API, chei);
• date partenere (SDK, foi de parcurs, beta);
• date personale/de afaceri (în cadrul DPA/DSA).

Principii: nevoia de a cunoaște, trasabilitatea, criptarea implicită, separarea rolurilor/responsabilităților, „camera curată” pentru dezvoltarea comună.

2) Clasificarea și marcarea informațiilor

Marcare: '[CONFIDENTIAL]', proprietar de date, data lansarii, link catre motivul biletului/accesului.

3) Modul de secrete comerciale

Act juridic/politică: listă de informații, măsuri de protecție, responsabilitate.
Măsuri tehnice: RBAC/ABAC, jurnale de acces, DLP, filigranare, control print/screenshot.
Organizational: onboarding/offboarding checklists, training, non-divulgation agreements, interdicția de a aduce/scoate mass-media fără înregistrare.
Disciplina Dock: versiuni, registru artefact, etichetare, canale „secrete” (spații închise/depozite).

4) Tipuri de NDA

One-way: expune o parte (de obicei furnizorul SDK).
Reciproc: schimbul de informații confidențiale în ambele direcții (negocieri, integrări).
Multilateral: consorții, piloți comuni.
NCA/NDA + NCA: Non-eludarea (interdicția de a ocoli intermediarul) se adaugă la NDA.
NDA cu dezvoltator/contractor: combinați cu invenții/atribuire (drepturi asupra rezultatelor).

5) Secțiuni cheie ale NDA (care este obligatorie)

1. Definiția informațiilor confidențiale: inclusiv orală (la confirmarea ulterioară scrisă), electronică, tangibilă; Lista exemple tipice (cod, scheme, preturi, tablouri de bord).
2. Excepții: (i) cunoscute public fără încălcare; (ii) era deja în posesie legală; (iii) dezvoltat independent (provabil); (iv) divulgate legal agențiilor guvernamentale (cu notificare).
3. Scopul divulgării: specific (evaluarea parteneriatului, pilot, audit).
4. Obligațiile destinatarului: nivelul de protecție nu este mai mic decât cel propriu; nevoia de a cunoaște, interzicerea copierii dincolo de țintă, interzicerea ingineriei inverse/evaluarea comparativă fără consimțământ.
5. Termen și „supraviețuire”: termen contractual (de ex. 2-5 ani) + protecția post-termen a secretelor (de ex. 5-10 ani/nedefinit pentru secrete).
6. Retur/distrugere: la cerere sau completare - retur/stergere cu confirmare; backup-uri - în modul de stocare până la termen automat.
7. Notificări de audit și incidente: viteza de notificare (de exemplu, ore ≤72), cooperarea în investigație.
8. Căile de atac legale: compensații, compensații, limite nu se aplică încălcărilor intenționate.
9. Legea aplicabilă/arbitraj: Jurisdicție/Forum, Limba, ADR/arbitraj.
10. Export/sancțiuni: interzicerea transferului către sub-sancțiuni/jurisdicții; respectarea controlului exporturilor (criptografie).
11. „Cunoștințe reziduale” (după cum sa convenit): este posibil/imposibil să se utilizeze „cunoștințe neînregistrate” ale angajaților (de obicei - pentru a exclude sau limita).
12. Subcontractanți/Afiliați: permise numai cu obligații similare și consimțământ scris.
13. Protecția datelor (dacă PII): trimitere la DPA/DSA, rolul părților (operator/persoana împuternicită de operator), obiectivele/baza juridică, transferurile transfrontaliere, perioada de păstrare.

6) Conectarea NDA-urilor la confidențialitate și securitate

Dacă datele cu caracter personal sunt transferate, NDA nu este suficient - sunt necesare măsuri DPA/DSA și GDPR/analogice (temeiuri legale, drepturile subiecților, DPIA pentru risc ridicat).
Control tehnic: criptare în tranzit (TLS 1. 2 +), at-rest (AES-256), management secret, rotație cheie, MDM pentru dispozitive, 2FA, SSO, minimizarea jurnalelor PII.

7) Proceduri de acces și schimb

Canale: mail domeniu, camere protejate (VDR), SFTP/mTLS, arhive criptate (AES-256 + parola out-of-band).
Ban: mesageri instant fără integrare corporativă, nori personali, legături publice, dispozitive fără administrare.
Controlul tipăririi/exportului, interzicerea suporturilor flash personale, geo-restricții (geofensive).

8) Clean-room și co-dezvoltare

Separați comenzile „a vedea” și „curat”, depozitați separat artefacte unilaterale.
Surse de documente și proveniență.
Pentru PoC comune: convin asupra drepturilor asupra rezultatelor (comun/cesiune) care deține date derivate.

9) RAG Matrice de risc

10) Liste de verificare

Înainte de schimbul de informații

• Semnat de NDA (dreapta/forum/termen/excepții/sancțiuni).
• Am nevoie de un DPA/DSA? Dacă da, semnat.
• Set proprietar și nivelul de clasificare sunt atribuite.
• Canalul de schimb și criptarea sunt consecvente.
• Need-to-know list, acces VDR/foldere configurate.

În timpul schimbului

• Marcarea fișierelor și versiunea, filigrane.
• Jurnalele de acces, nici o re-partajare fără consimțământ.
• Hash sumele/artefact registru.

După finalizare

• Retur/ștergere și confirmare scrisă.
• Accesele revocate, jetoanele/cheile rotite.
• Post-audit: Ce să îmbunătățiți în procese/șabloane.

11) Modele (fragmente de clauze contractuale)

A. Definiție și excepții

B. Angajamente și acces

C. Termen/supraviețuire

D. Întoarcere/Distrugere

E. Căi de atac legale

F. Export/Sancțiuni

G. Cunoștințe reziduale (opțional)

> Părțile convin că abilitățile și cunoștințele generale nefondate ale angajaților Destinatarului nu sunt considerate informații confidențiale, cu condiția să nu existe o memorare și o utilizare intenționată a codului sursă/formulelor secrete. (Se recomandă excluderea sau restricționarea severă în proiectele cu risc ridicat.)

12) Registre recomandate (YAML)

12. 1 Înregistrare NDA

yaml nda_id: "NDA-2025-0142"
counterparty: "GameProvider X Ltd"
type: "mutual"
purpose: "SDK integration and technical support"
term_months: 36 survival_years: 7 includes_dpa: true export_sanctions_clause: true residual_knowledge: "excluded"
owner: "Legal"
vault_folder: "vdr/providers/gpx"

12. 2 Registrul de schimb artefact

yaml exchange_id: "XCH-2025-009"
nda_id: "NDA-2025-0142"
classification: "Confidential"
channel: "VDR"
files:
- "api_specs_v3. pdf"  # sha256:...
- "kpis_q1. xlsx"    # sha256:...
recipients: ["a. smith@gpx. com","techlead@gpx. com"]
access_start: "2025-11-05"
access_end: "2026-01-31"
destroy_confirmed: false

13) Politici și practici de securitate (Brief)

Dispozitive: corporate, criptare full disk, MDM, BYOD ban pentru „Secret”.
Acces: SSO/2FA, acces conditionat (geo/device), roluri temporare (just-in-time).
Jurnale: stocarea și monitorizarea acceselor; alerte pentru descărcarea în masă/ore non-standard.
DLP: bloc de atașamente în afara domeniului/fără criptare, filigrane în PDF.
Comoditate: șabloane de cameră securizate (VDR), scripturi de criptare arhivă gata făcute, NDA standard/DPA.

14) Managementul incidentelor (în contextul CND)

1. Fixare: ce, când, cine, ce fișiere/depozite; sesiuni de congelare.
2. Izolare: revocarea acceselor/cheilor, „congelator” temporar în nor.
3. Notificări: proprietar de date, avocați, parteneri; PII - de DPA/GDPR.
4. Investigație: colectarea de jurnale, criminalistică, determinarea cantității de daune.
5. Remediere: înlocuirea secretelor, patch-uri, actualizarea playbook-uri, învățare.
6. Măsuri legale: cerere/cerere de muncă pe NDA, compensație.

15) Mini-Întrebări frecvente

Este NDA suficient pentru datele personale? Nu, aveți nevoie de măsuri DPA/DSA și de confidențialitate.
Este posibil să trimiteți confidențial mesagerului? Numai în enterprise-aprobat și end-to-end, cu DLP/busteni activat.
Cât de mult pentru a stoca materiale? La fel de mult ca cele cerute de obiectiv/contract; la finalizare - returnare/stergere cu confirmare.
Trebuie să criptez unităţile interne? Da, disc complet + fișier/criptare secretă.

16) Concluzie

NDA este doar vârful aisbergului. Protecția reală se bazează pe secrete comerciale, confidențialitate (DPA), controale tehnice și organizaționale stricte, disciplină de schimb și răspuns rapid la incidente. Standardizați șabloanele, creați registre și cărți de redare - iar secretele, codul și negocierile dvs. vor rămâne un atu, nu o vulnerabilitate.