Công ty phần mềm và công nghệ nhỏ hay vấp pháp lý ở sáu chỗ: không rõ ai sở hữu mã nguồn, dùng mã nguồn mở sai điều kiện giấy phép, dữ liệu người dùng, hợp đồng với khách hàng thiếu giới hạn trách nhiệm, quan hệ với lập trình viên tự do và đội ngũ, và thoả thuận giữa các nhà sáng lập, nhà đầu tư. Tài sản lớn nhất của công ty công nghệ là thứ vô hình, nên nếu giấy tờ về quyền sở hữu không chắc, giá trị công ty cũng không chắc.
Bài viết dành cho công ty làm phần mềm theo đơn đặt hàng, công ty có sản phẩm phần mềm dạng dịch vụ, nhóm khởi nghiệp công nghệ, đơn vị nhận gia công phần mềm cho khách nước ngoài. Thủ tục đăng ký quyền tác giả, ưu đãi thuế cho doanh nghiệp phần mềm và giấy phép cho từng loại dịch vụ thuộc các trang chuyên ngành; ở đây tập trung vào nhận diện rủi ro, câu nên hỏi cố vấn và hồ sơ nên giữ.
Ai sở hữu mã nguồn
Nhân viên viết mã trong công việc. Theo nguyên tắc của Luật Sở hữu trí tuệ, tác phẩm được tạo ra khi thực hiện nhiệm vụ được giao hay theo hợp đồng thì quyền tài sản thường thuộc về bên giao nhiệm vụ hoặc bên thuê, trừ khi có thoả thuận khác. Dù vậy, hợp đồng lao động và nội quy nên ghi rõ để tránh tranh cãi, nhất là với mã viết ngoài giờ trên máy cá nhân.
Lập trình viên tự do và công ty gia công. Thuê ngoài một phần dự án mà hợp đồng không có điều khoản chuyển giao quyền sở hữu là lỗ hổng lớn. Khi nhà đầu tư hay khách hàng lớn rà soát, họ sẽ hỏi chính điểm này.
Nhà sáng lập viết mã trước khi lập công ty. Mã nguồn có trước ngày thành lập thuộc cá nhân người viết cho tới khi được chuyển giao cho công ty bằng văn bản. Nhiều nhóm khởi nghiệp bỏ sót bước này, rồi gặp rắc rối khi một nhà sáng lập rời đi.
Khách hàng đặt làm phần mềm. Hợp đồng cần nói rõ khách được sở hữu toàn bộ, hay chỉ được dùng theo giấy phép, còn công ty giữ lại phần thư viện, khung sản phẩm dùng chung cho nhiều khách. Không ghi rõ thì mỗi bên hiểu một kiểu.
Mã nguồn mở: miễn phí nhưng có điều kiện
Gần như phần mềm nào cũng dùng thư viện mã nguồn mở. Rủi ro không nằm ở việc dùng, mà ở việc không biết điều kiện giấy phép. Bảng dưới gom các nhóm giấy phép thường gặp theo cách hiểu phổ thông; chi tiết từng giấy phép cần đọc nguyên văn.
| Nhóm giấy phép | Đặc điểm chung | Rủi ro nếu bỏ qua |
|---|---|---|
| Dễ dãi (MIT, BSD, Apache) | Cho phép dùng trong sản phẩm thương mại, thường yêu cầu giữ thông báo bản quyền | Thiếu thông báo bản quyền, vi phạm điều kiện về bằng sáng chế với một số giấy phép |
| Copyleft mạnh (GPL) | Phần mềm phái sinh khi phân phối có thể phải công bố mã nguồn theo cùng giấy phép | Buộc phải mở mã sản phẩm, hoặc phải gỡ thư viện khi khách hàng phát hiện |
| Copyleft qua mạng (AGPL) | Điều kiện công bố mã có thể áp dụng cả khi cung cấp phần mềm qua mạng | Sản phẩm dạng dịch vụ trực tuyến bị ảnh hưởng dù không phát hành bản cài đặt |
| Giấy phép hạn chế thương mại | Cấm hoặc hạn chế dùng cho mục đích thương mại | Vi phạm ngay khi bán sản phẩm |
Một danh sách thư viện đang dùng kèm giấy phép, được cập nhật mỗi lần phát hành, là thứ nhà đầu tư và khách hàng lớn hay đòi xem. Người cố vấn giúp đọc các trường hợp mơ hồ, đặc biệt khi sản phẩm của bạn được phân phối cho khách cài đặt tại chỗ.
Dữ liệu người dùng và dữ liệu của khách hàng
Công ty công nghệ thường giữ hai loại dữ liệu: dữ liệu của người dùng cuối (tài khoản, hành vi, vị trí) và dữ liệu khách hàng doanh nghiệp đưa vào hệ thống (danh sách khách của họ, hồ sơ nhân viên của họ). Luật Bảo vệ dữ liệu cá nhân năm 2025 đặt ra nghĩa vụ cho cả bên quyết định mục đích xử lý lẫn bên xử lý thay, nên hợp đồng với khách cần phân định rõ vai trò của mỗi bên.
Những câu cần trả lời: dữ liệu lưu ở đâu, có chuyển ra nước ngoài không (máy chủ đám mây ở nước ngoài cũng là một dạng chuyển), ai trong công ty truy cập được, khi khách ngừng dùng dịch vụ thì dữ liệu được trả lại hay xoá trong bao lâu, khi bị lộ thì báo cho ai trong thời hạn nào. Ngoài dữ liệu cá nhân, một số loại dịch vụ còn chịu quy định riêng về an ninh mạng và lưu trữ dữ liệu.
Ví dụ giả định: một công ty nhỏ ở Hà Nội làm phần mềm quản lý phòng khám, dữ liệu bệnh nhân của khách lưu trên máy chủ thuê ở nước ngoài. Khi một phòng khám lớn đòi xem chính sách xử lý dữ liệu và hợp đồng với nhà cung cấp máy chủ, công ty mới nhận ra chưa có gì bằng văn bản. Bổ sung lúc đó tốn nhiều công sức hơn hẳn so với làm ngay từ đầu.
Hợp đồng với khách hàng: những ô bảo vệ công ty
Hợp đồng phát triển phần mềm hoặc cung cấp dịch vụ phần mềm nên có những ô sau. Danh sách là gợi ý để mang đi hỏi người cố vấn, không phải mẫu dùng ngay:
- Phạm vi công việc và tài liệu đặc tả được duyệt; cách xử lý yêu cầu thay đổi và chi phí phát sinh.
- Tiêu chí nghiệm thu, thời hạn khách phải phản hồi, hệ quả khi khách im lặng.
- Mức dịch vụ cam kết (thời gian hoạt động, thời gian phản hồi sự cố) và cách tính bù khi không đạt.
- Giới hạn trách nhiệm: mức trần bồi thường, loại trừ thiệt hại gián tiếp như mất doanh thu, trong khuôn khổ pháp luật cho phép.
- Quyền sở hữu trí tuệ đối với sản phẩm bàn giao và phần dùng chung.
- Bảo mật, dữ liệu, an toàn thông tin; trách nhiệm khi sự cố đến từ phía khách.
- Chấm dứt hợp đồng: bàn giao mã nguồn, dữ liệu, hỗ trợ chuyển đổi.
- Luật áp dụng và cơ quan giải quyết tranh chấp, đặc biệt với khách nước ngoài.
Với khách nước ngoài, họ thường đưa hợp đồng của họ với điều khoản bồi thường rất rộng và không có mức trần. Người cố vấn giúp xác định những điểm phải đàm phán lại, vì một sự cố nhỏ cũng có thể tạo ra yêu cầu bồi thường vượt xa giá trị hợp đồng.
Đội ngũ, lập trình viên tự do và bí mật kinh doanh
Bảo mật và bí mật kinh doanh. Thuật toán, cấu trúc dữ liệu, danh sách khách hàng chỉ được bảo vệ như bí mật kinh doanh khi công ty có biện pháp giữ bí mật thật sự: thoả thuận bảo mật, phân quyền truy cập, thu hồi tài khoản khi nghỉ việc.
Cam kết không cạnh tranh. Điều khoản cấm nhân viên làm cho đối thủ sau khi nghỉ thường được viết rất rộng, nhưng giá trị thực tế khi tranh chấp còn tuỳ cách viết và quy định lao động. Hỏi cố vấn để viết ở mức có khả năng được công nhận.
Lập trình viên tự do và nhân sự ở nước ngoài. Làm việc từ xa với người ở nước khác đặt ra câu hỏi về luật áp dụng, thuế và quyền sở hữu sản phẩm. Hợp đồng nên ghi rõ những điểm này.
Tài khoản và quyền quản trị hệ thống. Tên miền, tài khoản đám mây, kho mã nguồn, tài khoản phát hành ứng dụng nên đứng tên công ty, không phải tên một nhân viên hay một nhà sáng lập.
Nhà sáng lập, nhà đầu tư và cổ phần cho nhân viên
Nhóm khởi nghiệp công nghệ hay chia cổ phần bằng lời: mỗi người một phần, ai cũng nghĩ là công bằng. Rắc rối đến khi một người rời đi sớm mà vẫn giữ phần lớn, hoặc khi nhà đầu tư đầu tiên hỏi giấy tờ. Thoả thuận giữa các nhà sáng lập nên có cơ chế nhận cổ phần theo thời gian gắn bó, điều kiện khi một người rời đi, cách ra quyết định khi bất đồng, và cam kết chuyển giao tài sản trí tuệ cho công ty.
Khi nhận vốn, các văn bản đầu tư thường có những điều khoản mà nhà sáng lập lần đầu chưa quen: quyền ưu tiên khi thanh lý, quyền phủ quyết một số quyết định, điều khoản chống pha loãng, cam kết và bảo đảm của nhà sáng lập. Mỗi điều khoản đều có hệ quả lâu dài, nên nhà sáng lập cần cố vấn của riêng mình, không dùng chung với bên đầu tư.
Chương trình cổ phần cho nhân viên là công cụ giữ người tốt, nhưng cách thực hiện ở Việt Nam phụ thuộc loại hình công ty và quy định về chuyển nhượng vốn, thuế thu nhập. Không nên hứa cổ phần bằng tin nhắn khi chưa biết sẽ thực hiện thế nào.
Câu nên hỏi cố vấn và hồ sơ nên giữ
Một buổi rà soát với người cố vấn cho công ty phần mềm nhỏ nên trả lời được:
- Toàn bộ mã nguồn hiện tại đã có giấy tờ chứng minh thuộc công ty chưa, phần nào còn hở?
- Danh sách thư viện mã nguồn mở có giấy phép nào xung đột với cách phân phối sản phẩm?
- Công ty đang đóng vai trò gì với dữ liệu người dùng, đã có chính sách và thoả thuận xử lý dữ liệu chưa?
- Hợp đồng mẫu với khách đã có giới hạn trách nhiệm và quy trình thay đổi yêu cầu chưa?
- Thoả thuận nhà sáng lập, hợp đồng với lập trình viên tự do có điều khoản chuyển giao quyền chưa?
- Dịch vụ đang cung cấp có thuộc diện cần giấy phép hay thông báo riêng không?
Hồ sơ nên giữ: điều lệ và thoả thuận nhà sáng lập, văn bản chuyển giao tài sản trí tuệ, hợp đồng lao động và thoả thuận bảo mật, hợp đồng với lập trình viên tự do và đơn vị gia công, danh sách thư viện và giấy phép, chính sách quyền riêng tư và điều khoản sử dụng theo từng phiên bản, hợp đồng với khách và nhà cung cấp hạ tầng, nhật ký sự cố an ninh. Với câu hỏi ban đầu về một điều khoản, bạn có thể hỏi luật sư trên AI Cố Vấn trước, rồi để người cố vấn rà toàn bộ khi chuẩn bị gọi vốn hay ký khách lớn.
Câu hỏi thường gặp
Phần mềm có cần đăng ký bản quyền mới được bảo hộ không?
Quyền tác giả phát sinh khi tác phẩm được tạo ra, không phụ thuộc vào việc đăng ký. Tuy vậy, giấy chứng nhận đăng ký giúp chứng minh quyền dễ hơn khi có tranh chấp. Quan trọng không kém là giấy tờ chứng minh công ty, chứ không phải cá nhân, là chủ sở hữu.
Dùng thư viện GPL trong sản phẩm thương mại có được không?
Có thể được, nhưng tuỳ cách sản phẩm sử dụng và phân phối thư viện đó mà công ty có thể phải công bố mã nguồn liên quan. Trường hợp mơ hồ nên hỏi người hiểu giấy phép mã nguồn mở trước khi phát hành, không phải sau khi khách phát hiện.
Khách không chịu nghiệm thu, cứ yêu cầu sửa mãi thì làm sao?
Hợp đồng nên có tiêu chí nghiệm thu rõ ràng, thời hạn phản hồi và cách phân biệt lỗi với yêu cầu mới. Nếu hợp đồng đã ký không có, hãy đề xuất một biên bản thống nhất danh sách việc còn lại kèm thời hạn, và ghi lại mọi yêu cầu ngoài phạm vi.
Lưu dữ liệu khách hàng trên máy chủ đám mây nước ngoài có vi phạm không?
Không phải lúc nào cũng vi phạm, nhưng việc chuyển dữ liệu cá nhân ra nước ngoài có thể kéo theo nghĩa vụ đánh giá, hồ sơ và thông báo theo quy định về dữ liệu cá nhân. Một số loại dịch vụ còn có yêu cầu riêng. Hỏi cố vấn với mô hình cụ thể.
Nhân viên nghỉ việc mang mã nguồn đi làm sản phẩm riêng thì xử lý thế nào?
Giữ lại bằng chứng về mã nguồn, lịch sử truy cập và thoả thuận đã ký, rồi hỏi luật sư về các bước như thư yêu cầu chấm dứt vi phạm hay khởi kiện. Biện pháp phòng ngừa hiệu quả nhất vẫn là phân quyền truy cập và thu hồi tài khoản ngay khi nghỉ.
Công ty nhỏ có cần chính sách quyền riêng tư không?
Nếu thu thập dữ liệu cá nhân của người dùng, việc thông báo rõ mục đích, phạm vi xử lý và quyền của chủ thể dữ liệu là nghĩa vụ, không phụ thuộc quy mô. Chính sách nên viết đúng với cách sản phẩm thật sự vận hành, không sao chép của công ty khác.