Zdrojový kód a licencie: čo preveriť u dodávateľa

01Pýtajte sa na konkrétne práva, nie iba na vlastníctvo

Zaplatená faktúra, prístup do Git repozitára a oprávnenie meniť program riešia tri odlišné veci. Pri nákupe softvéru si preto najprv povedzte, čo budete potrebovať po skončení spolupráce: pokračovať v prevádzke, objednať zmenu od inej firmy, presunúť systém na vlastný hosting alebo ponúknuť riešenie ďalším spoločnostiam. Každá z týchto situácií má byť pokrytá zmluvou aj odovzdanými podkladmi.

Slovenský Autorský zákon rozlišuje autorské práva, licenciu a výkon majetkových práv. Majetkové práva autora sú podľa § 20 neprevoditeľné. Na počítačový program vytvorený celkom alebo sčasti na objednávku sa podľa § 91 ods. 4 vzťahujú ustanovenia o zamestnaneckom diele; objednávateľ sa považuje za zamestnávateľa. § 90 zároveň pracuje s možnosťou odlišnej dohody. Formulácia „všetky práva prechádzajú na klienta“ preto nemusí vystihovať konkrétny zmluvný vzťah.

Pri dodávateľskej spoločnosti treba preveriť aj vzťahy s jej zamestnancami a externými autormi. Kto vykonáva potrebné práva a na akom základe vám umožní objednané použitie? Zistenie, že kód napísal subdodávateľ, nemá prísť až vtedy, keď ho chce upravovať nový tím. Právne posúdenie konkrétnej zmluvy má vychádzať z jej účastníkov, predmetu a dohodnutých obmedzení.

• Môžeme systém prevádzkovať po skončení podpory?
• Môžeme ho upravovať a poveriť tým nového dodávateľa?
• Smie naša skupina používať riešenie vo viacerých firmách?
• Čo dodávateľ vyvinul pre nás a čo používa aj v iných projektoch?

02Rozdeľte dodávku na časti s rôznym režimom

Bežná aplikácia obsahuje zákazkový kód, staršie knižnice dodávateľa, open source balíky, platené komponenty a služby tretích strán. Ich práva sa nedajú poctivo opísať jednou vetou o vlastníctve celého systému. Vyžiadajte si prehľad, ktorý pri každej významnej časti vysvetlí pôvod, podmienky použitia a spôsob pokračovania po zmene partnera.

Pri staršom module môže byť nevýhradná licencia rozumným riešením. Potrebujete však vedieť, či sa program dá samostatne prevádzkovať, či vám odovzdajú jeho zdroje a kto odstráni chybu, keď dodávateľ prestane poskytovať službu. Výhradnosť sama osebe nevyrieši chýbajúci návod na spustenie.

Do prehľadu zahrňte tiež grafiku, texty, fonty, dátové zdroje a dokumentáciu. Režim objednaného počítačového programu sa nedá automaticky preniesť na všetky ostatné výstupy. Každá príloha zmluvy má používať rovnaké názvy ako technický zoznam odovzdávaných častí.

03Prístup ku kódu musí umožniť skutočný rozvoj

ZIP so zdrojovými súbormi môže vyzerať úplne, a pritom nemusí obsahovať všetko potrebné na zostavenie aplikácie. Vopred sa dohodnite na repozitári, histórii zmien, verziách závislostí, databázových migráciách, konfigurácii prostredia a návode na nasadenie. Prístupy má dostať firemný účet pod vašou kontrolou, nie iba osobný účet jedného zamestnanca.

Najlepší odovzdávací test je praktický: nový oprávnený člen tímu vytvorí čisté prostredie podľa dokumentácie a zostaví dohodnutú verziu. Použije skúšobné údaje a overí prihlásenie, hlavný proces aj potrebné integrácie. Ak musí pôvodný vývojár ručne dopĺňať nezapísané nastavenia, odovzdanie má stále otvorenú úlohu.

Tajné kľúče a heslá nepatria do verejného repozitára ani do bežného archívu s kódom. Odovzdanie prístupov riešte samostatným bezpečným postupom a po zmene správcu upravte oprávnenia. Dokumentácia má pomenovať, kde sa nastavenia uchovávajú a kto ich vlastní, bez zverejnenia ich hodnôt.

Overte aj reprodukovateľnosť staršej verzie. Ak dodávka závisí od balíka, ktorý sa sťahuje z neverejného účtu dodávateľa, potrebujete dohodnúť dostupnosť alebo náhradu. Kópia aplikačného kódu takúto závislosť sama neodstráni.

04Open source nie je bez podmienok

Označenie open source hovorí o licenčnom režime, nie o absencii povinností. Open Source Initiative zverejňuje schválené licencie. Pri kontrole si pýtajte presnú licenciu a verziu komponentu, spôsob začlenenia a informáciu, či sa program distribuuje zákazníkom alebo používa ako služba.

Napríklad licencia MIT povoľuje široké použitie vrátane úprav a distribúcie, ale vyžaduje zachovanie príslušného oznámenia o autorských právach a licencie. Z toho nemožno vyvodiť, že všetky open source licencie majú rovnaké podmienky. Pri iných licenciách treba preskúmať odlišné povinnosti a ich uplatnenie na konkrétnu architektúru.

Dodávateľ má viesť inventár závislostí a meniť ho spolu s produktom. Pri preberaní novej verzie porovnajte aj zmeny licencií a pôvodu balíkov. Kontrola iba pri podpise pôvodnej zmluvy nepokrýva komponent, ktorý tím pridal o rok neskôr.

Zodpovednosť za licenčnú kontrolu priraďte konkrétnej osobe alebo roli. Dohodnite, kto opraví nevhodnú závislosť, ako sa schvaľujú platené balíky a kde sa uchovávajú povinné oznámenia. Právnu kompatibilitu nemožno rozhodnúť iba podľa toho, že balík ide technicky nainštalovať.

05Napíšte pravidlá pre zmenu dodávateľa

Ak už riešite konkrétnu zmenu partnera, nadväzujúci postup prevzatia webu, domény a kódu pomôže usporiadať prístupy a odovzdanie. Tu sa sústreďujeme na dohodu pred objednávkou, aby rovnaká situácia mala vopred určené pravidlá a neblokovala ďalší rozvoj.

Pri objednávke interného systému myslite aj na posledný deň spolupráce. Určte, čo sa odovzdá, v akom formáte, kto poskytne súčinnosť a ako sa overí jej dokončenie. Všeobecný záväzok „pomôžeme pri migrácii“ môže mať pre obe strany celkom iný význam. Popíšte konkrétne úlohy: export, vysvetlenie prevádzky, prevod správy účtov a odpovede novému tímu.

Nezabudnite na dáta. Zdrojový kód môže zostať dostupný, zatiaľ čo účtovné doklady, prílohy alebo história udalostí ostanú v účte spravovanom dodávateľom. Dohodnite rozsah exportu, čitateľný formát, väzby medzi záznamami a postup kontroly. Export má obsahovať potrebné súvislosti, aby sa z údajov nestala nepoužiteľná zbierka súborov.

Oddeľte cenu bežnej podpory od nákladov na ukončenie spolupráce a rozvoj mimo pôvodného rozsahu. Jasné pravidlá umožnia porovnať ponuky. Lacnejší začiatok môže znamenať drahší odchod, ak je každý export alebo odovzdávací krok samostatne spoplatnený bez vopred dohodnutého princípu.

Úschova kódu môže pomôcť pri dohodnutých udalostiach, ale treba preveriť aj aktuálnosť uloženého balíka, podmienky jeho vydania a praktickú spustiteľnosť. Bez priebežnej kontroly môžete získať kód, ktorý nezodpovedá živej verzii. Nie je to náhrada každodennej správy prístupov a dokumentácie.

06Preberajte softvér podľa dôkazov

Odovzdanie práv a kódu neznamená automaticky neobmedzenú záruku na všetky budúce zásahy. Vopred rozlíšte opravu vady dodávky, požiadavku na novú funkciu a následok zmeny vykonanej iným tímom. Pri každej kategórii dohodnite postup a potrebné dôkazy. Nový správca má vedieť, ktorú verziu prebral a čo zmenil, aby sa pri probléme dalo určiť, kde vznikol.

Pri akceptácii sledujte aj závislosti, ktoré v kóde nevidno. Môže ísť o prihlasovanie cez firemnú identitu, registráciu domény, certifikát, odosielanie správ alebo prístup k dodávateľskému API. Zoznam prístupov má uvádzať správcu a spôsob obnovy účtu. Zodpovedná osoba si má skúšobne overiť obnovu prístupu, nie iba potvrdiť, že heslo dnes funguje.

Keď ponuky porovnávate, pošlite každému dodávateľovi rovnaké očakávania na odovzdanie. Jedna ponuka môže zahŕňať len používanie hostovanej služby, druhá samostatnú prevádzku so zdrojmi a dokumentáciou. Takéto dodávky majú rozdielny rozsah aj náklady. Odlišnosť treba zapísať pred rozhodnutím; neskoršia požiadavka na zdroje nemusí byť súčasťou pôvodnej ceny.

Pred podpisom si pripravte akceptačné kritériá a vzor odovzdávacieho protokolu. Nech obsahuje verziu programu, zoznam repozitárov, prístupov, licencií, dokumentov a výsledok skúšky spustenia. K otvoreným bodom doplňte vlastníka a termín. Takto je možné rozlíšiť dodanú funkciu od celého prevádzkyschopného systému.

1. Spíšte plánované použitie, úpravy a prípadnú zmenu dodávateľa.
2. Rozdeľte riešenie podľa pôvodu kódu a ďalších výstupov.
3. Preverte oprávnenia dodávateľa aj jeho subdodávateľov.
4. Dohodnite zdroje, licencie, účty a export dát v prílohách.
5. Zostavte aplikáciu v čistom prostredí a zaznamenajte výsledok.
6. Uzavrite otvorené body a uchovajte protokol s konkrétnou verziou.

Predstavte si modelový skladový systém pre slovenskú firmu. Nový partner má doplniť napojenie na účtovníctvo. Potrebuje oprávnenie k úpravám, aktuálny kód, schému dát a prístup k skúšobnému prostrediu. Ak získal iba starý archív bez migrácií, problém nie je v nápade na integráciu, ale v nedostatočnom prevzatí predchádzajúcej práce.

Kontrolu opakujte pri významných vydaniach. Nová integrácia môže priniesť nový účet alebo licenciu. Udržiavaný inventár a odovzdávacie pravidlá zmenšujú neistotu aj vtedy, keď s pôvodným dodávateľom plánujete spolupracovať dlhodobo.

07Otázky k zdrojovému kódu a licenciám