Contratto di escrow per software: cos’è e come funziona la custodia del codice sorgente

Il contratto di escrow per software è un accordo trilaterale che garantisce la continuità operativa delle aziende che dipendono da software proprietario.

Coinvolge il titolare del software (licenziante), il licenziatario (utilizzatore) e un agente di escrow terzo e neutrale che custodisce il codice sorgente. Questo strumento è cruciale quando un’azienda affida processi critici (gestionali ERP, CRM, piattaforme e-commerce, sistemi di pagamento) a software sviluppato da terzi. Senza accesso al codice sorgente, il fallimento del fornitore può paralizzare l’intera operatività aziendale.

Perché il codice sorgente è così importante

Il codice sorgente rappresenta il “DNA” del software: contiene la logica applicativa, gli algoritmi, le integrazioni, le personalizzazioni. Senza accesso, il licenziatario:

• Non può correggere bug critici se il fornitore scompare
• Non può adeguare il software a nuove normative (GDPR, fatturazione elettronica)
• Non può migrare su nuove infrastrutture
• Resta ostaggio del fornitore per qualsiasi modifica
• Perde anni di investimenti in personalizzazioni

Un’azienda con un gestionale personalizzato da 10 anni ha nel codice un asset intangibile inestimabile: workflow specifici, integrazioni con macchinari, logiche ottimizzate. Perdere l’accesso può significare fermare la produzione.

Le sfide nella custodia del codice sorgente

Custodire efficacemente il codice presenta difficoltà tecniche e legali:

1. Version control continuo
Il software evolve costantemente. Serve un processo strutturato con depositi trimestrali verificando che ogni versione sia compilabile.

2. Completezza dei materiali
Non basta il codice. Servono: documentazione tecnica, database, librerie terze, chiavi API, configurazioni, procedure deployment. Codice senza documentazione è inutilizzabile.

3. Dipendenze tecnologiche
Un software moderno dipende da decine di librerie esterne. Se non documentate o non più disponibili, il codice diventa “bit morti” – presente ma inutilizzabile.

4. Competenze tecniche dell’agente
L’agente deve verificare tecnicamente che il deposito sia completo e funzionante, con competenza su linguaggi, ambienti, architetture.

5. Sicurezza e riservatezza
Il codice contiene segreti industriali, logiche proprietarie, vulnerabilità. Richiede crittografia, accesso controllato, data center ISO 27001, audit trail completo.

Il problema dell’open source: come gestire le dipendenze

Molti software proprietari sono costruiti su fondamenta open source: framework (React, Laravel), librerie (jQuery), database (PostgreSQL). Questo crea un paradosso:
Il problema:

• Il codice depositato dipende da librerie open source pubbliche
• Quelle librerie potrebbero scomparire dai repository (progetti abbandonati, licenze revocate)
• O cambiare licenza rendendo illegale l’uso
• O evolvere incompatibilmente con il codice depositato

Le soluzioni:

1. Deposito “vendored”
   Includere nel deposito copie complete di tutte le librerie open source con licenze. Non riferimenti esterni ma file fisici inclusi. Pro: autonomia totale. Contro: depositi pesanti (gigabyte).
2. Snapshot dei repository
   Utilizzare Software Heritage (https://www.softwareheritage.org/) che archivia permanentemente codice open source. Il contratto referenzia commit specifici archiviati.
3. Software Bill of Materials (SBOM)
   Depositare una lista dettagliata: libreria, versione esatta, licenza, URL repository, hash SHA del commit. Consente ricostruire l’ambiente.

Best practice: combinare le tre strategie per massima sicurezza.

L’alternativa notarile: deposito fiduciario

In Italia è possibile il deposito fiduciario presso notaio (artt. 1766-1772 c.c.):
Vantaggi:

• Fede pubblica: l’atto notarile fa piena prova di data e contenuto
• Riservatezza assoluta: segreto professionale notarile
• Flessibilità contrattuale: condizioni personalizzabili
• Costo contenuto: deposito iniziale €500-1.500, aggiornamenti €200-400

Come funziona:

1. Stipula contratto deposito fiduciario rogato
2. Codice consegnato al notaio su supporto sigillato (chiavetta crittografata, cloud certificato)
3. Definizione condizioni di rilascio (fallimento, cessazione supporto)
4. Al verificarsi, il notaio consegna il deposito previa verifica documentale
5. Possibile nomina CTU informatico per verifiche tecniche

Limiti: meno expertise tecnologico rispetto a piattaforme specializzate, non ideale per accordi internazionali complessi.

Soluzione ideale per PMI italiane con software non mission-critical.

Piattaforme specializzate di software escrow

Le piattaforme professionali offrono servizi completi con verifica automatizzata:

Leader di mercato:

• NCC Group: 15.000+ accordi, ISO 27001
• Escrow London: specializzata UE, compliance GDPR
• Iron Mountain: custodia fisica + digitale, 225 paesi
• SES Escrow: verifica automatizzata compilazione

Costi tipici:

• Setup: €1.000-3.000
• Fee annuale: €500-2.000
• Verifica tecnica: €200-500 per deposito

Contenuti essenziali del contratto

Identificazione delle parti
Licenziante, licenziatario, agente con responsabilità specifiche

Obblighi del titolare

• Deposito tempestivo versioni (entro X giorni dal rilascio)
• Completezza materiali: codice + documentazione + dipendenze
• Garanzia titolarità e non violazione IP terzi
• Notifica eventi rilevanti (cambio controllo, cessione IP)

Responsabilità del licenziatario

• Pagamento quota fee (tipicamente 50/50)
• Impegno non disclosure: codice resta riservato
• Limitazioni d’uso: no commercializzazione o sub-licenza
• Tentativo risoluzione bonaria prima di richiedere rilascio

Obblighi dell’agente

• Neutralità e imparzialità
• Custodia sicura: ISO 27001, crittografia AES-256, backup ridondati
• Verifica tecnica: test compilazione, completezza dipendenze
• Rilascio condizionato: solo al verificarsi condizioni documentate

Condizioni di rilascio (trigger events)

• Fallimento o liquidazione licenziante
• Cessazione attività senza successore
• Violazione SLA prolungata (es. 3 mesi senza aggiornamenti)
• Fusione/acquisizione con discontinuità supporto

Blockchain: il futuro del software escrow

La tecnologia blockchain rivoluziona l’escrow con meccanismi decentralizzati:

Vantaggi:

1. Timestamp immutabile
   Ogni versione viene “hashata” (SHA-256) e registrata su blockchain pubblica (Ethereum, Bitcoin), certificando inconfutabilmente quando quel codice esisteva.
2. Smart contract
   Condizioni di rilascio codificate in smart contract che verifica automaticamente eventi on-chain e rilascia chiavi di decriptazione.
3. Custodia decentralizzata
   Codice frammentato con Shamir’s Secret Sharing e distribuito su nodi IPFS. Solo combinazione di N/M frammenti permette ricostruzione.
4. Tracciabilità totale
   Ogni accesso registrato on-chain con audit trail immodificabile.
5. Costi ridotti
   €100-300/anno invece di €1.000-2.000.
6. Piattaforme:

• Bernstein: certificazione blockchain
• OriginStamp: notarizzazione multi-blockchain
• Arweave: storage permanente decentralizzato

Limiti attuali: complessità tecnica, mancanza standard legali, costi gas fees, resistenza culturale.

Registrazione vs brevetto software

Registrazione copyright

Cosa tutela: il codice sorgente come opera dell’ingegno (art. 2 L. 633/1941)

Come:

• Protezione automatica dalla creazione
• Registrazione SIAE (Italia, €116) o Copyright Office (USA, $65) per data certa
• Tutela contro: copia integrale, parziale sostanziale, traduzione

Cosa NON tutela:

❌ Idea/algoritmo (solo espressione concreta)
❌ Funzionalità e interfacce
❌ Linguaggi e protocolli

Brevetto Software

Cosa tutela: Il metodo/algoritmo innovativo che risolve problema tecnico

Requisiti:

• Novità assoluta mondiale
• Attività inventiva non ovvia
• Applicabilità industriale
• Carattere tecnico (non software “as such”)

Limiti UE (art. 52 Convenzione Monaco): Software “in quanto tale” NON brevettabile. Solo “invenzioni implementate su computer” con “ulteriore effetto tecnico”.
Esempi brevettabili:

✅ Algoritmo compressione che riduce RAM 60%
✅ Routing GPS che ottimizza batteria

❌ Sistema e-commerce (metodo commerciale)
❌ Interfaccia grafica (estetica)

Costi:

• Italiano: €8.000-12.000 in 10 anni
• Europeo: €30.000-50.000
• Durata: 20 anni
• Tempi: 18-36 mesi

Quale scegliere?

Strategia ottimale startup: copyright immediato (basso costo) + valutazione brevetto dopo 12-18 mesi se emerge innovazione tecnica brevettabile.

Lo Studio Legale Dandi fornisce assistenza legale in Diritto d'autore. Dai un'occhiata ai nostri servizi oppure contattaci!