加固公司合同里的8个隐藏条款，我们法务审完删掉了3页

找加固公司时，技术PPT讲得天花乱坠，等合同发过来，才发现坑全藏在条款里。我们法务逐条审完一份“标准模板”后，直接删改了三页——下面这8条，是加固服务合同里最常见的风险点。

第一条：数据归属——“你的数据，到底是谁的？”

合同通常写“服务商对用户数据承担保密义务”，但只说保密，不说归属，隐患极大。

风险点：加固过程中，APK文件、符号表、签名信息都要上传或交给对方。如果合同没明确“这些数据的所有权、使用权、处置权完全归甲方”，理论上对方可能主张有权留存、分析甚至用于训练自家模型。

正确条款：明确写入“甲方提供的所有应用包、代码、数据及相关知识产权，无论在服务过程中还是结束后，均归甲方所有。乙方仅在提供服务期间按约定访问，服务结束后需在XX日内全部删除并出具证明”。

第二条：源代码接触范围——“远程加固”和“给代码”是两码事

风险点：有些公司要求你把源代码完整上传到他们的服务器才能加固。但合同里只模糊写“甲方提供应用包”，没区分“已编译的APK”还是“可读源代码”。一旦交出去，核心技术外泄风险极高。

正确条款：明确约定“甲方仅需提交已混淆或打包后的APK文件，无需提供源代码。乙方不得以任何理由要求获取源代码”。如果必须用源码级加密方案，单独签补充协议，明确源码的保管、销毁责任——我们这3页大部分都删在这种模糊地带。

第三条：服务等级协议（SLA）——“不可用”怎么算，他说了算

翻过几份加固合同的SLA，发现“服务不可用”的定义差异巨大。

风险点：有些合同把“加固接口返回错误”排除在不可用之外，只承认“服务完全瘫痪”。意思是你提交加固后等了3小时没结果，这不叫不可用，叫“性能问题”，不触发赔偿。

正确条款：要求定义“每次加固请求在30分钟内返回成功或失败，超过30分钟计为一次服务不可用”。每月累计不可用时间超过45分钟就要按比例退款。同时明确赔偿不能用代金券，必须是现金或直接减免下期费用。

第四条：免责条款——“什么都免责”等于没买服务

这是重灾区。一份我们审过的合同，免责条款写了十几条：

• “用户自身应用程序原因引起的服务不可用”——什么叫“自身原因”？代码有bug算不算？
• “操作使用不当”——不当的标准谁定？
• “非服务商原因”——等于什么都没说。

正确条款：逐条打回去重写。至少要求“乙方免责的情形需列举具体、客观、可验证的条件，不得使用‘等’‘包括但不限于’等兜底表述”。把举证责任明确给服务商——他说是你的问题，他得拿证据。

第五条：赔偿上限——“赔你一个月服务费”够干什么？

风险点：几乎所有加固合同的赔偿上限都锁定在你交的服务费总额。你一年花5万，他给你整出安全事故导致应用被下架、用户数据泄露，最多退你5万——损失是天差地别。

正确条款：删除“赔偿总额不超过服务费”的限制，或至少改为“因乙方重大过失或故意违约导致甲方损失的，赔偿责任不受服务费上限限制”。虽然对方法务大概率会反抗，但金融、游戏等高价值场景必须坚持这条。

第六条：合同终止后的数据销毁——“不续费就消失”不对

风险点：合同里写着“协议终止后，乙方有权删除甲方数据”。问题是“有权”不是“有义务”——他可以不删（留着潜在风险），也可以马上删不给你缓冲期。

正确条款：改为“合同终止后，乙方应设置不少于30日的导出期，在此期间甲方可随时取回全部数据。导出期届满后，乙方应在10日内彻底删除所有甲方数据，并提供第三方见证的删除报告。”这样才能保证你换供应商时不至于裸奔。

第七条：保密期限——“永久保密”未必对你好

风险点：合同写“保密义务永久有效”，看似保护甲方，但仔细看定义——“保密信息”只包括合同签订时明确标注的内容。意味着合作期间你口头告诉对方的接口设计、核心算法，都不算保密信息。

正确条款：明确“保密信息”的范围（包括但不限于APK包、代码片段、加固策略、技术方案、商务条款），保密期限约定为合同终止后5年。同时要求对方在人员入职时就签署保密协议，不能只挂在公司制度里。

第八条：违约责任——“你延期付款一天，我直接停服”

不对称的违约责任最容易踩。

风险点：甲方延期付款，乙方可以“立即暂停服务”甚至“单方解除合同”；乙方延期交付、加固失效、出安全事故，只赔“实际损失”且不超过合同金额。

正确条款：平衡双方责任——甲方逾期付款，乙方需先书面催告，7天内仍未付才能暂停服务。乙方方面，明确列举“加固后被一键脱壳、等保测评技术不通过、应用因安全问题被商店下架”等情形视为根本违约，甲方有权解除合同并主张全额退款加损失赔偿。

总结：别把法务当“拦路虎”，这份合同很可能是你和加固公司之间最后的防线。以上8条，逐条对照改，改完至少删掉三页废话。记住：合同里写得越清楚，出事后你越主动。