香港 IT 外判合約必備條款：NDA、IP 歸屬、SLA 範本解析

1# 為合約範本建立版本控制
2mkdir it-outsourcing-contracts && cd it-outsourcing-contracts
3git init
4mkdir templates/{nda,ip-assignment,sla}
5touch templates/nda/nda-template-v1.md
6touch templates/ip-assignment/ip-assignment-v1.md
7touch templates/sla/sla-template-v1.md
8git add . && git commit -m "Initial contract templates structure"

1## 保密協議核心條款
2
3### 1. 定義（Definitions）
4"機密資訊"（Confidential Information）包括但不限於：
5(a) 所有源碼、物件碼、演算法、軟件架構與技術文件；
6(b) 客戶之個人資料及商業資料；
7(c) API 密鑰、訪問憑證及安全配置；
8(d) 商業計劃、定價策略與營運數據；
9(e) 於合作期間開發之任何原型、測試數據與中間產物。
10
11排除事項（Exclusions）：
12(i) 接收方能證明在揭露前已合法持有之資訊；
13(ii) 已進入公共領域且非因接收方違約所致之資訊；
14(iii) 由第三方合法提供且不附帶保密義務之資訊。
15
16### 2. 保密義務期限
17合約存續期間及終止後 [3/5] 年內，接收方須持續履行保密義務。
18就營業秘密（Trade Secrets）而言，保密義務持續至該等資訊不再構成
19營業秘密為止。
20
21### 3. 允許揭露範圍
22接收方僅可向其為履行本合約而有必要知悉之員工、分包商揭露機密資訊，
23且該等人員須受同等或更嚴格之保密義務約束。
24
25### 4. 安全措施
26接收方須實施不低於以下標準之安全措施：
27- 所有機密資料傳輸使用 TLS 1.3 或以上加密
28- 源碼存取須使用多因素認證（MFA）
29- 每季進行一次存取權限審計
30- 離職人員須於最後工作日前撤銷所有系統存取權限

1## 知識產權歸屬條款
2
3### 1. 專案交付物之 IP 歸屬
4(a) 服務方（Contractor）同意，因執行本合約而產生之所有交付物
5  （Deliverables），包括但不限於源碼、設計、文件、數據模型、
6   及 AI/ML 訓練模型，其全部知識產權自創作完成時即歸屬委託方
7  （Client）所有。
8
9(b) 服務方在此不可撤銷地將前述交付物之一切版權、專利權、商標權
10   及其他知識產權轉讓（assign）予委託方，並放棄對該等交付物
11   主張精神權利（moral rights）之權利，法律允許之最大範圍內。
12
13### 2. 既有智慧財產（Pre-existing IP）
14(a) 各方於合約生效前已擁有之 IP（"既有 IP"）仍歸原擁有方所有。
15(b) 若服務方於交付物中使用其既有 IP，服務方在此授予委託方
16   一項永久、不可撤銷、全球範圍、免版稅之使用授權，用途
17   限於使用、修改及維護該等交付物。
18
19### 3. 開源軟件（OSS）之使用
20(a) 服務方須於附件 [X] 中列明交付物所使用之全部開源組件
21   及其授權條款。
22(b) 未經委託方事前書面同意，服務方不得在交付物中使用任何
23   Copyleft 授權（如 GPL、AGPL）之開源組件。
24(c) 允許使用之授權類型：MIT、BSD-2-Clause、BSD-3-Clause、
25   Apache-2.0。
26
27### 4. AI 生成內容之 IP 處理
28(a) 若服務方使用 AI 工具（包括但不限於 GitHub Copilot、
29   ChatGPT、Claude）輔助開發，須於交付時以書面形式揭露。
30(b) 服務方須確保 AI 生成之內容不侵犯任何第三方 IP 權利，
31   並就此提供補償保證（indemnification）。

1# GitHub Actions workflow - SBOM generation
2name: Generate SBOM
3on:
4  push:
5    branches: [main]
6  pull_request:
7    branches: [main]
8
9jobs:
10  sbom:
11    runs-on: ubuntu-latest
12    steps:
13      - uses: actions/checkout@v4
14      - name: Generate SBOM with Syft
15        uses: anchore/sbom-action@v0
16        with:
17          format: spdx-json
18          output-file: sbom.spdx.json
19      - name: Scan for license compliance
20        run: |
21          # 安裝 license-checker 並驗證是否包含禁止的 Copyleft 授權
22          npm install -g license-checker
23          license-checker --failOn 'GPL-2.0;GPL-3.0;AGPL-3.0' \
24            --production --json > license-report.json
25          echo "License compliance check completed"
26      - name: Upload SBOM artifact
27        uses: actions/upload-artifact@v4
28        with:
29          name: sbom-report
30          path: |
31            sbom.spdx.json
32            license-report.json

1## 服務級別協議核心條款
2
3### 1. 服務可用性（Uptime）
4- 目標：每月 99.9%（允許每月最多 43.2 分鐘停機）
5- 計算公式：(總分鐘數 - 計劃外停機分鐘數) / 總分鐘數 × 100%
6- 排除事項：計劃維護窗口（每月第一個週日 02:00-06:00 HKT）、
7  不可抗力事件、因委託方系統導致之故障
8- 量測工具：UptimeRobot 或 Datadog Synthetics，
9  從香港及新加坡節點每 60 秒執行一次健康檢查
10
11### 2. 事故回應時間
12- P1（服務完全不可用）：15 分鐘內確認、4 小時內恢復
13- P2（核心功能受損）：30 分鐘內確認、8 小時內恢復
14- P3（非核心功能異常）：4 小時內確認、下一個工作日內恢復
15- P4（改善建議或非緊急請求）：1 個工作日內確認、5 個工作日內處理
16
17### 3. SLA 違約之補救措施
18- 月可用性低於 99.9% 但高於 99.5%：退還當月服務費之 10%
19- 月可用性低於 99.5% 但高於 99.0%：退還當月服務費之 25%
20- 月可用性低於 99.0%：退還當月服務費之 50%，
21  且委託方有權啟動合約終止程序
22- 連續 3 個月未達 99.5%：委託方有權無條件終止合約

1{
2  "name": "IT Outsourcing - Production API Uptime",
3  "description": "SLA tracking for outsourced production API service",
4  "type": "monitor",
5  "monitor_ids": [12345678],
6  "thresholds": {
7    "target": 99.9,
8    "warning": 99.95,
9    "timeframe": "30d"
10  },
11  "tags": [
12    "team:outsourced-dev",
13    "region:apac",
14    "contract:SLA-2026-HK-001",
15    "priority:p1"
16  ]
17}

1# PagerDuty Escalation Policy 配置概要
2escalation_policy:
3  name: "APAC Outsourced Team - P1 Escalation"
4  repeat_enabled: true
5  num_loops: 3
6  escalation_rules:
7    - escalation_delay_in_minutes: 5
8      targets:
9        - type: user_reference
10          id: "outsource-oncall-primary"
11    - escalation_delay_in_minutes: 10
12      targets:
13        - type: user_reference
14          id: "outsource-team-lead"
15    - escalation_delay_in_minutes: 15
16      targets:
17        - type: user_reference
18          id: "branch8-project-manager"

1# 使用 AWS CLI 定期導出 IAM 存取報告
2aws iam generate-credential-report
3aws iam get-credential-report --output text \
4  --query 'Content' | base64 --decode > iam-audit-$(date +%Y%m%d).csv
5echo "IAM credential report exported for quarterly NDA compliance review"