1. Sourcing and Information Technology: 계약 아키텍처 및 소유권
모든 sourcing 및 정보 기술 참여의 기초는 명확하게 지적 재산, 책임 및 성과 위험을 할당하는 계약입니다. 많은 분쟁은 말라스에서 발생하지만 침묵 : 당사자는 사용자 정의 코드, 방법론 또는 데이터가 공급 업체 또는 클라이언트에 속하지 않는지 여부를 결정합니다. 뉴욕 법에 적용 된 뉴욕의 법원은 분명히 명시적 서면 할당, 공급 업체가 만든 지적 재산이 개발 비용을 지불하더라도 공급업체의 속성을 유지한다는 것을 지속적으로 개최했습니다.
우선 순위는 실행하기 전에 모든 전달 및 작업 제품의 소유권을 정의하는 것입니다. 이 소스 코드, 문서, 구성 및 파생 작품이 포함되어 있습니다. Equally 중요한 것은 모자와 캐러밴 아웃을 통해 공급 업체의 책임을 제한하고 있습니다. 잘 고정된 통합 항목은 타사 주장에 대해 당신을 보호하지만, 그것은 공급 업체의 negligence에 대한 무제한 손상을 노출하지 않아야합니다. 계약은 공급업체가 수행하지 않는 경우 어떻게 될 수 있는지 지정해야 합니다. 종료 권리, 데이터 반환 의무 및 위반에 대한 구제.
지적 재산권 및 라이센스 프레임 워크
Sourcing 및 정보 기술 작업의 지적 재산권 소유자는 명확하게 계약이 작성된 방법에 대해 크게 의존하는 현실 세계적 결과가 있음을 의미합니다. 공급업체가 사용자 정의 소프트웨어 또는 독점 프로세스를 개발하면 계약은 전체 소유권, 영구 라이센스 또는 제한된 기간 라이선스를 받을 수 있는지 여부에 따라 결정해야 합니다. 법원은 거의 불완전한 전송; 짐 협상하고 문서에 빠진다. IP 주소(tools and methodologies the Suppliers)는 전경 IP (일부로 만든 작업)에서 별도로 참여할 수 있습니다. 계약은 참여 목적에 대한 배경 IP를 사용하는 라이센스를 부여하므로, 공급자가 무한하게 의존하지 않도록 고정되지 않습니다.
책임 모자와 Indemnification 의무
Liability 할당은 sourcing 및 정보 기술 계약이 가장 자주 분쟁을 발생시키는 곳이다. 책임 캡은 일반적으로 연간 비용 (예 : 12 개월의 수수료) 또는 고정 금액에 대한 여러 가지 납품업자의 총 노출을 제한합니다. 그러나 대부분의 계약은 관용 의무, 기밀성 위반 또는 총 negligence와 같은 모자에서 특정 범주를 차려. 캐러밴 아웃을 좁아서 캡이 직접 손상, 간접적 손해 및 긴급한 피해에 적용됩니다. 공급업체는 제3자 지적 재산권 침해를 주장하는 클레임을 위반해야 하며, 관용권은 당신을 방어하기 위해 공급 업체가 요구되어야하며 방위 비용의 상환을 지불해야합니다.
2. Sourcing and Information Technology: 규정 준수 및 데이터 보안 의무
규정 준수 마감일 및 데이터 보안 요구 사항은 종종 계약 또는 규제 통지에 묻혀 쉽게 볼 수 있습니다. 귀하의 두 번째 우선은 모든 적용 가능한 준수 프레임 워크를지도하고, 각 의무에 대한 당사자가 책임을 부담하며 마감일을 추적하는 내부 프로세스를 수립합니다. 귀하의 산업 및 데이터에 따라 HIPAA, PCI DSS, SOC 2, GDPR, CCPA 또는 기타 요법과 같은 적용이 가능합니다. 많은 sourcing 및 정보 기술 공급 업체는 프로세서 또는 서비스 제공업체로서 이러한 의무에 따라 적용되며 실패한 경우 책임을 유지합니다.
| 준수 프레임 | 키 Deadline 또는 트리거 | 일반 공급 업체 책임 |
| HIPAA (건강 관리) | 데이터 액세스 전에 필요한 비즈니스 Associate 계약; 60 일 이내에 침해 알림 | Vendor는 안전한 보호 및 보고서 침해를 구현해야 합니다. |
| PCI DSS (지불 카드) | 연간 평가; 가공하기 전에 수락 증명서 | 공급 업체는 거래 볼륨에 따라 1 ~ 4 준수를 유지해야합니다. |
| CCPA (캘리포니아 소비자 데이터) | 개인정보 보호정책 공개; 45 일 이내에 소비자 요청 | Vendor는 서비스 제공업체로서의 역할을 합니다. 계약 범위 밖에서 데이터 유지 또는 사용해야 하지 않아야 합니다 |
| SOC 2 Type II (일반 보안) | 연간 감사; 12 개월 동안 유효한 보고서 | Vendor는 현재 보고서를 제공해야합니다. 계약 요구 사항이있을 수 있습니다 |
실무자 관점에서, 나는 종종 공급업체가 현재 준수 인증을 제공하도록 요구할 것을 조언한다 (SOC 2 보고서, ISO 인증, HIPAA attestations) 참여하기 전에 및 계약 의무를 포함 할 필요가있는 모든 재료 변경 또는 위반의 당신을 통지. 공급업체가 될 주장하기 때문에 반드시 준수하지 마십시오. 요청 문서.
데이터 보안 및 Incident 응답
Data Security 의무는 sourcing 및 정보 기술이 가장 빠르게 변화하는 곳이다. 계약은 콘크리트 측면에서 공급업체의 보안 의무를 지정해야 합니다. 암호화 표준, 액세스 제어, 멀티 요인 인증, 네트워크 세그먼트 및 로깅. 정의된 시간 내에 보안 사고를 통지하는 공급업체도 요구해야 합니다(일반적으로 24시간 72시간) 그리고 귀하의 사건 응답과 모든 규제 알림을 협력할 수 있습니다. 많은 공급 업체는 상세한 보안 요구 사항을 저항, 경쟁적인 우려 인용, 하지만 법원과 규제가 그들을 시행 할 것으로 예상. 공급업체가 합리적인 보안 조치를 촉구하는 경우, 절차 전에 법적 검토를 보장하는 빨간 깃발입니다.
뉴욕과 연방 법원의 규제 준수
뉴욕에서는 제복 상업법 및 일반 법률 계약 원칙을 적용하는 법원은 벤더가 좋은 믿음의 성과에 대한 불평한 의무를 보았지만 완벽한 보안을 달성하기 위해 절대적인 의무는 아닙니다. 그러나 뉴욕 일반 비즈니스 법률 섹션 349 금지 관행을 주장하고, 공급 업체가 보안 자세 또는 준수 상태를 대표하면, 당신은 퇴거하거나 손상에 대한 지상이있을 수 있습니다. 뉴욕 남부 지구의 연방 법원은 계약이 명시되어있는 엄격한 준수 의무를 크게 시행하고 공급업체는 보안 표준을 우수한 지식이있다. 실제 서명은 계약이 어떤 공급업체가해야 하는지에 대해 정확해야합니다. Vague는 업계 표준 보안을 약속하고 breach 발생하면 규제를 만족시키는 것이 어렵습니다.
3. Sourcing and Information Technology: 공급업체 선정 및 진행 감독
Vendor 선택은 단순히 조달 결정이 아닙니다. 법적 위험 평가입니다. 등록하기 전에, 공급업체의 금융 안정성, 규제 역사 및 과거 성과에 대한 diligence를 수행하십시오. 참고 요청 및 다른 고객과 직접 대화. 공급업체의 보험 정책, 특히 오류 및 배출과 사이버 책임 적용을 검토하십시오. 공급업체가 데이터 침해 또는 규제 시행 행동을 경험했는지 여부를 묻는 질문; 그렇다면, 세부 정보를 얻을 수 있으며 위험이 허용되는지 고려하십시오.
Ongoing oversight는 똑같이 중요합니다. 갱신일, 준법 인증 및 성능 지표를 추적하는 계약 관리 프로세스 구축. 일정 정기적 보안 감사 또는 리뷰. 공급업체가 중요한 시스템 또는 민감한 데이터를 담당하는 경우, 공급 업체의 시설 및 시스템을 감사할 권리가 있습니다. 많은 계약금 지급 감사 권리는 공지에 만, 그러나 높은 위험 시나리오에서 발표되지 않은 감사 협상을 고려. 실제 분쟁은 종종 공급업체의 성능 모니터링 또는 단순히 준수를 가정 여부에 턴합니다.
전략 및 데이터 전환
계약은 관계가 종료될 때 무슨 일이 일어나는지 해결해야 합니다. 공급 업체는 반환하거나 지정된 시간 내에 모든 데이터 및 독점 정보를 파괴하기 위해 의무화되어야한다 (일반적으로 30 ~ 90 일). 데이터 포트 가능에 대한 규정 포함 : 새로운 공급 업체로 마이그레이션해야하는 경우, 현재 공급업체는 표준 형식으로 데이터를 제공해야하며 전환과 협력해야합니다. 공급업체가 취득되거나 통제의 변화를 겪는 경우, 계약은 공급 업체 의무를 가정하지 않는 경우에 납세자가 벌금 없이 종료할 수 있습니다. 이 조항은 종종 보이지만 공급 업체가 실패하거나 판매 될 때 중요한 것입니다.
4. Sourcing and Information Technology: 전략적 우선 순위 이동
귀하는 renegotiate sourcing 및 정보 기술 배열을 평가하거나, 계약 선임에 중점을 둡니다. 지적 재산 소유권, 책임 할당 및 준수 의무가 명시되어야합니다. 둘째, 현재 준수 문서를 얻고 규제 기한에 대한 추적 프로세스를 수립하십시오. 제 3, 주기적 감사, 성능 리뷰 및 사건 응답 프로토콜을 포함하는 공급업체 감독 프레임워크를 구현합니다. 문제 발생까지 이러한 단계를 지연하지 마십시오; 법원과 규제 기관은 아웃셋에서 합리적인 치료를 수행 할 것으로 예상합니다. 공급업체 관계가 진행되고 있습니다. 법적 위험 관리도 역시 해야 합니다.
기술 참여를 위한 추가지도, sourcing 및 정보기술 컨설팅에 대한 상담 리소스 .. 더 큰 깊이에서 공급 업체 지배 및 기술 위험 프레임 워크를 해결하는 연습 영역.
30 Mar, 2026
