Коммерческая тайна, NDA и чек-лист увольнения сотрудника для малого бизнеса

Каждый раз, когда сотрудник увольняется, ваши самые ценные активы уходят вместе с ним к двери: список клиентов с пятилетней историей покупок, прайс-лист, на калибровку которого ушло три мучительных года, условия с поставщиками, которых больше никто на вашем рынке не получает. Опросы увольняющихся сотрудников неизменно показывают, что большинство признаётся в том, что забрали с собой данные компании — в одном широко цитируемом опросе эта цифра составила 59 процентов бывших сотрудников, а в другом выяснилось, что 87 процентов забирают как минимум данные, которые они создали на работе. Целых 72 процента увольняющихся сотрудников признаются, что забирали данные компании, а по оценкам, 70 процентов краж интеллектуальной собственности происходит в течение 90 дней до объявления об увольнении.

А вот что должно беспокоить вас больше всего: если вы не предприняли конкретных документированных мер для защиты этой информации, закон может согласиться с увольняющимся сотрудником в том, что это никогда и не было секретом. Защита коммерческой тайны не возникает автоматически. Она зарабатывается разумными мерами — соглашениями, подписанными при найме, контролем доступа и процессом увольнения, который рассматривает каждый уход как передачу дел, а не как прощание. Это руководство охватывает то, что считается коммерческой тайной, как составить NDA, которые выдержат проверку, и чек-лист увольнения, который защищает малый бизнес каждый раз, когда кто-то уходит.

Что на самом деле считается коммерческой тайной​

Коммерческая тайна защищается на федеральном уровне Законом о защите коммерческой тайны 2016 года (DTSA), который позволяет владельцам подавать иски в федеральный суд, и почти в каждом штате — той или иной версией Единообразного закона о коммерческой тайне (UTSA). Обе системы задают одни и те же три вопроса, прежде чем защитить вашу информацию:

1. Это действительно секрет? Информация не должна быть общеизвестной или легко выясняемой вашими конкурентами. Список местных ресторанов, составленный из публичного справочника, не является коммерческой тайной. Ваша версия с пометками — кто что заказывает, с какой маржой, через какой контакт, в каком цикле — может ею быть.
2. Извлекает ли она независимую экономическую ценность из своей секретности? Вы должны быть в состоянии объяснить, почему информация стоит больше оттого, что у конкурентов её нет. Формулы ценообразования, модели покупательского поведения клиентов, скидки поставщиков и запатентованные процессы легко проходят этот порог.
3. Приняли ли вы разумные меры для сохранения её в секрете? Именно этот вопрос решает большинство дел и именно на нём малый бизнес чаще всего проваливается. Пароли, доступ по принципу необходимости знать, пометки о конфиденциальности, подписанные соглашения и процедуры увольнения — это доказательства, которые ищут суды.

Для малого бизнеса самые распространённые коммерческие тайны неприглядны: список клиентов с историей контактов и предпочтениями, калькулятор расчёта стоимости заказов, рецепт или процесс, маркетинговая стратегия, которая действительно конвертирует, прайс-лист поставщика и доработки программного обеспечения, за которые вы заплатили разработчику. Ничто из этого не должно быть патентоспособным или даже особо хитроумным. Оно должно быть ценным, секретным и обращаться с ним как с секретом.

Один нюанс, который стоит знать: увольняющийся сотрудник, как правило, свободен использовать свои общие навыки и знания на новой работе. Чего он не может забрать — так это вашу конфиденциальную информацию, конкретные данные и компиляции, принадлежащие бизнесу. Чем чётче вы проводите границу между этими двумя категориями в своих соглашениях и системах, тем легче эту границу защищать.

Разумные меры — это то, где малый бизнес выигрывает или проигрывает​

Большинство споров о коммерческой тайне так и не доходят до вопроса о том, была ли информация ценной. Они решаются на основании того, что владелец сделал для её защиты. Если каждый сотрудник мог скачать полный список клиентов, никто не подписывал соглашение о конфиденциальности и ничто никогда не помечалось как конфиденциальное, суд может заключить, что информация не была коммерческой тайной — независимо от того, насколько болезненной ощущается её утрата.

Хорошая новость в том, что разумные меры не требуют корпоративного бюджета на безопасность. Они требуют последовательности и документирования:

• Ограничьте доступ по принципу необходимости знать. Водителю доставки не нужна полная база клиентов. Бухгалтеру не нужен калькулятор расчёта стоимости заказов. Каждое суженное разрешение — это доказательство того, что вы обращались с информацией как с конфиденциальной.
• Помечайте её. Помечайте конфиденциальные документы и папки как конфиденциальные. Заголовок «Конфиденциально — только для внутреннего использования» ничего не стоит и сигнализирует и сотрудникам, и судам, что содержимое защищено.
• Заключайте соглашения до предоставления доступа, а не после. Обязательства о конфиденциальности должны быть подписаны при найме, прежде чем сотрудник когда-либо увидит список клиентов — а не импровизироваться во время собеседования при увольнении.
• Контролируйте копии. Знайте, где хранятся конфиденциальные файлы, кто может их экспортировать и может ли кто-либо синхронизировать их на личное устройство. Список клиентов, который живёт в личных контактах телефона одного продавца, едва ли вообще ваш.
• Документируйте всё. Храните подписанные соглашения в архиве, ведите журналы доступа, сохраняйте датированные версии ключевых компиляций. Если вам когда-либо придётся доказать, в чём заключался секрет и кто мог его видеть, ваши записи — это ваше дело.

Относитесь к этому как к привычке, а не как к проекту. Каждая мера мала; вместе они — разница между «наш бывший сотрудник украл наш список клиентов» и «наш бывший сотрудник украл нашу задокументированную, контролируемую доступом, защищённую соглашением коммерческую тайну».

NDA, которые действительно выдерживают проверку​

Соглашение о неразглашении — это стержень защиты коммерческой тайны, но только если оно составлено так, чтобы его исполняли, а не чтобы запугивать. Чрезмерно широкое NDA, которое утверждает, что всё, что сотрудник когда-либо видит, является конфиденциальным, навсегда, во всём мире, — это то, что суды сужают или отказываются исполнять. Сфокусированное выживает. Каждое NDA для малого бизнеса должно охватывать следующие элементы:

• Чёткое определение конфиденциальной информации. Назовите категории: списки клиентов и их истории, ценообразование и маржа, условия с поставщиками, бизнес-процессы, финансовые данные, программное обеспечение и техническая информация. Конкретность лучше общих заявлений.
• Обязательства сотрудника. Не разглашать, не копировать и не использовать конфиденциальную информацию иначе как для бизнеса компании, во время и после трудоустройства.
• Определённый срок. Конфиденциальность общей деловой информации обычно действует от одного до трёх лет после ухода; настоящая коммерческая тайна может защищаться столько, сколько она остаётся секретной. Укажите это различие.
• Возврат материалов. Прямая обязанность вернуть или удалить всю информацию компании — включая копии на личных устройствах — при завершении трудоустройства.
• Средства защиты. Признание того, что нарушение причиняет ущерб, который одними лишь деньгами, возможно, не исправить, что сохраняет за вами возможность требовать судебный запрет на дальнейшее разглашение.

Один абзац, которого не хватает в большинстве NDA для малого бизнеса​

DTSA требует, чтобы работодатели уведомляли сотрудников об иммунитете для информаторов — праве раскрывать коммерческую тайну конфиденциально государственным должностным лицам для сообщения о предполагаемом нарушении закона или под залог в судебном процессе — в любом договоре, регулирующем использование коммерческой тайны или конфиденциальной информации. Требование распространяется также на подрядчиков и консультантов, поскольку статут широко определяет «сотрудника».

Наказание за его пропуск точно и болезненно: без уведомления вы не можете взыскать с этого сотрудника по DTSA штрафные убытки в размере до двойной суммы фактических убытков или судебные издержки. Само уведомление — это один абзац, и статут позволяет вам выполнить требование перекрёстной ссылкой на политику, вручённую сотруднику, в которой изложена ваша политика сообщений. Нет причин отказываться от усиленных средств защиты из-за одного абзаца. Если ваш текущий шаблон NDA старше 2016 года, исходите из того, что в нём нет уведомления, и обновите его.

Замечание о запретах на конкуренцию​

NDA — это не запреты на конкуренцию, и это различие сейчас важнее, чем когда-либо. Запрет на конкуренцию ограничивает, где человек может работать; NDA ограничивает, какую информацию он может использовать. Исполнение запретов на конкуренцию сильно варьируется по штатам — несколько штатов резко ограничивают или запрещают их для большинства работников — тогда как хорошо составленные NDA подлежат исполнению по всей стране. Для большинства малых предприятий практичный набор — это прочное NDA плюс, там где ваш штат это позволяет, узко сформулированное условие о недопущении переманивания, охватывающее клиентов, которых сотрудник действительно обслуживал. Пусть местный юрист проверит эту комбинацию; трудовое право зависит от штата, и шаблон, скачанный из другой юрисдикции, — это азартная игра.

90-дневное окно перед увольнением​

Поскольку большинство краж данных инсайдерами происходит в месяцы до объявления об уходе, защита начинается ещё до того, как кто-либо подаёт заявление. Вы не можете — и не должны — относиться к каждому сотруднику как к подозреваемому. Но вы можете выстроить рутины, которые делают тихую эксфильтрацию данных затруднительной:

• Периодически проверяйте доступ. Просматривайте, у кого есть административные права или права на экспорт в вашей CRM, бухгалтерской системе, файловом хранилище и электронной почте. Отзывайте то, что больше не нужно каждой роли.
• Следите за массовыми экспортами. Многие облачные инструменты регистрируют крупные загрузки и правила пересылки. Внезапный всплеск экспорта из одной учётной записи за недели до увольнения — это классический сценарий.
• Не допускайте личные устройства в контур. Если сотрудники получают доступ к данным компании с личных телефонов или ноутбуков, используйте письменную политику BYOD, требующую, чтобы данные компании оставались в управляемых приложениях, которые вы можете удалённо очистить.
• Отделите человека от отношений. Если один сотрудник — единственный держатель отношений по ключевым клиентам, ваш список клиентов — это лишь половина риска; отношения тоже уходят. Введите резервные контакты для крупных клиентов как стандартную практику.

Ничто из этого не требует программ слежки или подозрительности. Это требует отношения к доступу как к чему-то, что предоставляется для роли и пересматривается по расписанию, а не как к чему-то, что накапливается навсегда.

Чек-лист увольнения: выполняйте его одинаково каждый раз​

Последовательность — это суть. Чек-лист, который вы выполняете при каждом уходе — дружеском или нет, — защищает информацию и создаёт бумажный след, показывающий, что вы это сделали. Адаптируйте его под свой бизнес и выполняйте от начала до конца каждый раз:

1. Отзовите доступ в последний день, а не через неделю. Отключите логины, VPN, электронную почту, CRM, бухгалтерию, файловое хранилище и любые общие учётные записи в момент завершения трудоустройства. Удалите их регистрации многофакторной аутентификации и смените общие пароли и API-ключи, которые они знали.
2. Соберите имущество компании и подтвердите возврат данных. Ноутбуки, телефоны, ключи, пропуска и документы — плюс письменное подтверждение того, что они вернули или удалили всю информацию компании, включая копии на личных устройствах и в личном облачном хранилище.
3. Проведите собеседование при увольнении и письменно подтвердите обязательства. Напомните увольняющемуся сотруднику о его обязанностях по конфиденциальности, о том, какая информация охватывается и что обязательства сохраняются после ухода. Получите подписанное подтверждение. Это напоминание, а не переговоры — соглашение было подписано при найме.
4. Немедленно перераспределите отношения с клиентами. Лично представьте заменяющего контакта ключевым клиентам в течение нескольких дней. Клиенты, которые услышат от вас первыми, останутся вашими; клиенты, которые услышат от вашего бывшего сотрудника первыми, уже обхаживаются.
5. Проверьте, к чему они имели доступ. Проверьте журналы аудита на предмет необычных загрузок, экспортов или правил пересылки в их последние недели. Если вы найдёте что-то тревожное, сохраните доказательства до удаления учётных записей — проконсультируйтесь с юристом о сохранении доказательств для суда, а не импровизируйте.
6. Закройте расчёты по зарплате и льготам аккуратно. Выплатите окончательный расчёт в требуемый вашим штатом срок, предоставьте все необходимые уведомления о льготах и задокументируйте всё. Небрежный последний расчёт — это то, как дружеский уход превращается в конфликт.
7. Обновите свои собственные записи. Отметьте дату ухода, дату отзыва доступа, возвращённое имущество и подписанное подтверждение. Подшейте это к соглашению сотрудника. Именно этот файл доказывает ваши разумные меры, если это когда-либо понадобится.

Для подрядчиков и консультантов выполняйте тот же список — доступ, имущество, возврат данных, подтверждение — по завершении каждого взаимодействия, а не только трудовых отношений. Требование об уведомлении по DTSA применяется к ним именно потому, что они так часто держат ключи к чувствительным системам.

Ошибки, которые тихо уничтожают вашу защиту​

Большинство малых предприятий теряют защиту коммерческой тайны не драматичным образом. Они теряют её из-за обычной небрежности:

• Отсутствие подписанного соглашения вообще. Устные договорённости о конфиденциальности почти ничего не стоят. Если кто-то начал работу, не подписав, исправьте это сейчас — хотя учтите, что в некоторых штатах просьба к текущему сотруднику подписать новое ограничительное соглашение в середине трудовых отношений требует нового встречного предоставления помимо продолжения занятости.
• Список клиентов живёт вне ваших систем. Когда окончательная база клиентов — это личная электронная таблица, личный телефон или личная история электронной почты продавца, вам будет трудно доказать, что информация была вашей, секретной или контролируемой. Централизуйте её.
• Небрежное отношение к подрядчикам. Разработчик, маркетинговый фрилансер и виртуальный ассистент часто видят более чувствительные данные, чем сотрудники, — вообще без всякого соглашения. Каждый подрядчик с доступом к системе подписывает до получения учётных данных.
• Заявление о том, что всё конфиденциально. Когда справочник сотрудника отмечает пароль от офисного Wi-Fi и список клиентов с одинаковой торжественностью, ничто не выглядит как настоящая коммерческая тайна. Приберегайте сильные защиты для действительно чувствительной информации.
• Ожидание, пока они присоединятся к конкуренту. Как только ваш бывший сотрудник работает через дорогу с вашим прайс-листом, ваши варианты — это юристы и локализация ущерба. Каждая мера в этом руководстве дешевле до ухода, чем после него.

Ваши записи — это ваше доказательство​

Обратите внимание, как часто это руководство возвращается к документированию: подписанные соглашения в архиве, датированные версии ключевых компиляций, журналы доступа, показывающие, кто мог что видеть и когда, чек-листы увольнения, доказывающие, что передача дел состоялась. Защита коммерческой тайны — это в конечном счёте дисциплина ведения записей. Бизнес, который может показать датированный список клиентов, средства контроля доступа вокруг него, соглашение, подписанное до предоставления доступа, и подтверждение, подписанное при уходе, — это бизнес, которому верит суд.

Та же дисциплина окупается далеко за пределами коммерческой тайны. Чистые, версионированные финансовые записи говорят вам, чего на самом деле стоит каждое клиентское отношение, отслеживают, что вы тратите на защиту бизнеса — юридические расходы на шаблоны соглашений являются обычными деловыми расходами — и дают вам бумажный след, который рано или поздно потребует каждая проверка, спор и заявка на кредит. Отслеживание этих расходов на отдельных счетах с первого дня делает их впоследствии элементарно подтверждаемыми, а ваши привычки документирования в финансах и в конфиденциальности подкрепляют друг друга.

Держите деловые записи такими же строгими, как коммерческую тайну​

Пока вы внедряете эти защиты, убедитесь, что финансовая сторона получает такое же обращение: чёткие записи, полная история, ничто не заперто в чёрном ящике. Beancount.io предоставляет бухгалтерию в виде простого текста, дающую вам полную прозрачность и контроль над вашими финансовыми данными — с версионированием, возможностью аудита и готовностью к ИИ. Начните бесплатно и узнайте, почему разработчики и финансовые специалисты переходят на бухгалтерию в виде простого текста.