O cheie de activare nu este o licență. Cum puteți verifica originea software-ului second-hand?

Acest interviu cu specialistul în licențiere Igor Weinlich evidențiază riscurile juridice ale achiziționării de chei de activare software fără documentație de transfer și explică modul în care organizațiile pot identifica licențele falsificate pentru a asigura o conformitate deplină.

Cum recunoașteți software-ul second-hand legal și cum evitați capcana unui vânzător care furnizează doar o cheie de activare în locul unei licențe? Igor Weinlich, specialist în licențiere la Forscope, își împărtășește experiența legată de verificarea ofertelor și a documentelor de transfer al licențelor. Acesta explică ce discrepanțe ar trebui să ridice semnale de alarmă și de ce nici măcar o documentație cu aspect autentic s-ar putea să nu constituie o garanție.

Ce problemă majoră reprezintă piața gri a licențelor și vânzarea exclusivă a cheilor de activare?

Problema fundamentală este că adesea clientul nu poate distinge între o cheie și o licență. O cheie este o combinație de litere și cifre care deblochează un program. Cu toate acestea, acest lucru nu înseamnă că deținătorul său are dreptul de a utiliza software-ul. Pentru a avea acest drept, este nevoie de un temei legal. Utilizatorul trebuie să poată dovedi că a cumpărat software-ul în mod legal de nou sau că dreptul de utilizare i-a fost transferat. Tocmai această autorizare constituie esența unei licențe. Dacă un client cumpără doar o cheie fără drepturi de utilizare documentate, din punct de vedere tehnic poate debloca programul, însă cheia în sine nu îi conferă dreptul legal de a-l utiliza.

Așadar, un client poate avea un software funcțional și totuși să nu dețină dreptul de a-l utiliza?

Da. Iar riscul asociat unei astfel de utilizări este suportat de clientul final. Vânzarea unei chei în sine este un lucru complet diferit de vânzarea unei licențe – adică dreptul de utilizare a software-ului. Unii clienți care cumpără software second-hand sunt induși în eroare; alții ar putea face acest pas în cunoștință de cauză. Totuși, aceștia presupun adesea că, dacă dețin o factură, au automat și dreptul de a utiliza software-ul. Cea mai simplă formă a acestui comerț este reprezentată de vânzătorii frauduloși care oferă, de exemplu, cel mai recent Office 2024 pentru un dolar, un euro sau poate două sute de coroane. Odată cu acesta, ei menționează explicit că vând o cheie sau combină termenii „cheie” și „licență”.

În cazul clienților, vorbim despre persoane fizice sau și despre companii?

Despre ambele categorii. Diferența constă în principal în percepția riscului. Companiile sunt mai îngrijorate că cineva va veni într-un audit și va verifica dacă utilizează software-ul în mod legal. La drept vorbind, pentru un utilizator individual, riscul ca cineva să vină la el acasă pentru a verifica software-ul de pe computer este mai degrabă teoretic. Pentru companii, riscul este mult mai mare. În același timp, se ridică întrebarea cine răspunde pentru achiziție și utilizare – angajatul IT care a achiziționat software-ul, persoana care a aprobat sau plătit achiziția sau compania în ansamblu.

Vânzarea cheilor problematice se concentrează doar pe ofertele ieftine de pe internet sau implică și magazine mai mari?

Aceasta își face deja loc și în achizițiile publice. Am întâlnit situații în care vânzătorii creează documentație falsă pentru cheie. La început, au doar o cheie, iar pe lângă aceasta inventează documente justificative menite să creeze impresia că este vorba despre o licență veritabilă. Ulterior, vând produsul ca software second-hand cu un lanț documentat de transferuri. Fie inventează acest lanț, fie dețin mai multe companii prin care îl revând pentru a crea aparența unui lanț de transfer. Prețurile sunt, desigur, foarte mici.

Este dificil de descoperit o astfel de documentație falsificată?

Legitimitatea unui transfer este dovedită prin documente. Însă, în mod paradoxal, în cazul licențelor second-hand autentice, poate fi dificil de obținut documentele originale, deoarece au trecut mulți ani de la achiziția inițială. De exemplu, s-ar putea să vindeți licențe care au fost achiziționate inițial ca Office 2016, dar pentru că respectivul client a plătit pentru actualizări continue – așa-numita Software Assurance –, are acum dreptul la cea mai recentă versiune, Office 2024. Cu toate acestea, este posibil ca acesta să nu mai aibă documentul original din 2016, deoarece nu a păstrat documentele de achiziție timp de zece ani. Prin urmare, la dovedirea originii legale, se folosesc și copii sau extrase din diverse portaluri.

Ce alte complicații însoțesc vânzarea licențelor second-hand?

Un vânzător care falsifică documentația poate crea astăzi cu ușurință un document care arată impecabil la prima vedere. Este colorat, îngrijit și pare original. Cu toate acestea, aspectul documentului în sine nu spune nimic despre veridicitatea conținutului său. Pentru cumpărător este adesea suficient faptul că primește documente și crede ceea ce scrie în ele. Dar nu mai pune mâna pe telefon pentru a suna compania inițială și a verifica dacă aceasta a vândut într-adevăr numărul respectiv de licențe către o altă entitate. Așadar, problema nu constă doar în existența documentației. Este necesar să se verifice dacă aceasta corespunde realității. Iar acest lucru adesea nu se întâmplă.

De unde provin de fapt cheile de pe piața gri? Sunt chei reale pentru programe specifice sau sunt un fel de „chei master” falsificate?

Pe internet, cheile pot fi obținute din diverse surse. Totuși, pentru a înțelege fenomenul, este necesar să explicăm cum funcționează licențele de volum. La Forscope, vindem licențe perpetue din programe de licențiere de volum, unde o singură cheie poate activa, de exemplu, o mie de dispozitive. Astfel, nu aveți o mie de chei unice, ci o singură cheie comună. Cheile ilegale pot fi cumpărate, de exemplu, din China, de pe eBay sau din altă parte. Ele pot fi de diferite tipuri și pot permite, să zicem, câteva sute de activări. Pentru cei care vând doar chei, acest lucru este suficient pentru afacerea lor.

Deci numărul de activări nu corespunde neapărat numărului de licențe pe care clientul le deține în realitate?

Activarea în sine nu constituie o dovadă a dreptului de utilizare a software-ului. O cheie poate avea, de exemplu, de la trei sute până la cinci sute de activări. După epuizarea acestora, producătorul de software fie adaugă altele, fie cheia este înlocuită. Și noi îi putem furniza clientului o altă cheie dacă limita de activare a cheii inițiale este epuizată. Însă acest lucru nu schimbă temeiul legal pentru utilizarea software-ului.

Aș compara această situație cu o mașină. Când pierdeți cheia sau aceasta se uzează, faceți una nouă. Cu ea, deschideți și porniți din nou mașina. Dar cheia în sine nu dovedește că aveți dreptul de a folosi mașina. La un control, nu este suficient să arătați că se potrivește în contact. Aveți nevoie de documentele corespunzătoare.

Cum transformă vânzătorii frauduloși o astfel de cheie într-o ofertă pentru o licență pretins legitimă?

La cheile de test, cheile furate sau cheile provenite din China sau din alte țări din afara Uniunii Europene, aceștia adaugă documentație falsificată menită să ateste originea europeană a licenței. Apoi le vând ca software second-hand. Unii merg chiar mai departe și susțin că vând software nou. Aceștia susțin că, deși cineva a cumpărat deja licența, software-ul nu a fost încă instalat. Din punct de vedere juridic, acest lucru este un nonsens. Factorul decisiv este că cineva a achiziționat dreptul de a utiliza software-ul și transferă acum acest drept mai departe. Faptul că software-ul a fost vreodată instalat sau activat nu este relevant pentru a face distincția între software-ul nou și cel second-hand.

Ce îi furnizează clientului atunci când pretind că este vorba despre software nou?

Uneori, doar o factură. Întâlnim des acest lucru în Polonia, de exemplu. Când noul achizitor solicită documentația, vânzătorul răspunde: „Acestea sunt licențe noi. Iată factura dumneavoastră, vă este suficientă.”

Ați menționat că problema licențelor frauduloase afectează și achizițiile publice. Ce vă conduce la această concluzie?

Contactăm instituțiile publice cu solicitări în baza Legii nr. 106 privind liberul acces la informații. Acolo unde am suspectat o problemă, întrebăm ce anume li s-a livrat și cum au verificat livrarea. Răspunsurile sunt uneori destul de vagi. Într-un caz, însă, chiar în contractul publicat, am găsit date care atestau că instituția a achiziționat Office 2024 Standard din programul Enterprise Agreement. Astfel, am atras atenția că Office 2024 Standard nu a fost oferit deloc în cadrul acestui program și că, prin Enterprise Agreement, se putea achiziționa exclusiv ediția de vârf, Professional Plus.

Cum a reacționat instituția la această atenționare?

La început, nu au dat atenție. Abia când am încercat să le explicăm problema printr-un exemplu simplu – că este similar cu a cumpăra un apartament la etajul zece al unei clădiri care are doar cinci etaje –, au început să clarifice situația cu furnizorul. Ultimul răspuns primit a fost că negocierile cu acesta continuă. A fost vorba despre aproximativ două milioane și jumătate de coroane plătite pentru ceva ce nu există în forma specificată.

Presupun că din partea cumpărătorului a fost vorba de credulitate sau ignoranță, mai degrabă decât de intenție.

Ar fi putut fi ignoranță, însă, în opinia mea, un angajat IT ar trebui să cunoască aceste noțiuni de bază, mai ales dacă este responsabil de întreaga infrastructură IT a instituției.

Cum poate fi recunoscută o ofertă problematică? Ce ar trebui să verifice clientul?

La Forscope, abordarea noastră este că trebuie să vedem documentele. Când le avem la dispoziție, putem depista erorile din ele. Colegul nostru responsabil de achiziții știe cum ar trebui să arate documentele justificative, ce numere au sens și cum sunt denumite acordurile individuale de licențiere. Un client obișnuit care vede o astfel de documentație pentru prima dată are șanse mult mai mici de a descoperi discrepanțele. Însă unele erori pot fi identificate chiar și fără cunoștințe avansate de licențiere. De exemplu, atunci când documentele menționează că cineva a cumpărat Office 2024 încă din 2022, când acest produs nici măcar nu exista. În documentația pentru o licitație publică, am găsit, de asemenea, un transfer de licențe către o companie într-o perioadă în care aceasta nici măcar nu fusese înființată.

Aveți și alte exemple documentate?

Ocazional, fac achiziții de software suspect, pe care le folosesc apoi pentru a ne instrui reprezentanții de vânzări. Aici ar putea fi menționat un exemplu specific. Uneori vin la mine spunând că altcineva oferă același produs ca noi, dar la jumătate de preț. Le spun: „În regulă, haideți să vedem ce vând de fapt.” Solicit un astfel de produs și cumpăr o licență. Bineînțeles, mă interesează și toată documentația justificativă pe care o primesc. Uneori, chiar din răspunsuri reiese clar că vânzătorul nu știe ce vinde. Ceea ce scriu nu corespunde opțiunilor respectivului program de licențiere. Uneori am și impresia că pe chat răspunde un bot. Aceste companii sunt adesea formate dintr-o singură persoană. Riscul unei astfel de „afaceri” este astfel redus la minimum.

La ce riscuri reale se expune un client care cumpără o cheie problematică și începe să utilizeze software-ul? Și care este răspunderea vânzătorului?

Aș distinge între două situații. Dacă cineva vinde în mod deschis doar o cheie, iar clientul cumpără o cheie, după părerea mea, vânzătorul nu se expune unui risc prea mare. Totuși, dacă oferă o licență și furnizează doar o cheie cu documentație falsă, aș considera acest lucru drept o fraudă. Aceștia induc în eroare clientul prezentându-i documentația ca dovadă a originii legale.

Însă ajungem la întrebarea cine a suferit un prejudiciu și în ce cuantum. Pe de o parte, prejudiciul apare pentru cel care a cumpărat un astfel de software, iar pe de altă parte, pentru producătorul acestuia, care, totuși, s-ar putea să nu fie motivat să recupereze aceste daune.

Așadar, vânzătorii de chei problematice care participă la achiziții publice funcționează ca niște companii obișnuite?

Da. Sunt companii înființate legal, adesea cu un singur administrator. Acea persoană poate deține alte două sau trei companii prin care creează un lanț de transferuri. Apoi participă la o licitație publică și concurează la fel ca orice alt furnizor.

Ce ar trebui făcut dacă documentele par credibile la prima vedere?

Rămâne valabil faptul că este necesar să se verifice conținutul lor. Dacă în documentație este menționat un furnizor, îl puteți contacta telefonic sau prin e-mail și îl puteți întreba dacă numărul facturii și produsul specificat corespund într-adevăr. Desigur, ar putea răspunde că este vorba despre un secret comercial.

Cum verifică Forscope legalitatea propriilor licențe? Cum procedați?

Exact așa cum tocmai am descris. Ne verificăm furnizorii și verificăm lanțul de transferuri. Sunăm companiile individuale și aflăm dacă acordurile de licențiere menționate au existat cu adevărat. Efectuăm verificarea în prealabil. Alternativ, apelăm la un auditor care verifică licențele și întocmește un raport cu privire la acestea.

Am descris modul în care acționează comercianții de chei, care oferă practic produse ilegale. Pe de altă parte, cum arată comerțul cu licențe second-hand documentate corespunzător?

Companiile care răscumpără licențe organizează licitații. Acestea achiziționează licențe dintr-un anumit contract și apoi oferă pachete individuale de software. Vă puteți înscrie la licitație și puteți cumpăra licențe. Astfel, este transparent cine participă la aceste licitații și cine cumpără. În cadrul UE, Germania reprezintă o sursă importantă de licențe second-hand. Și noi, pe lângă achizițiile directe, cumpărăm de la parteneri germani.

Dacă o companie descoperă că a achiziționat software problematic, poate fi acesta legalizat ulterior?

Nu. Nici o geantă contrafăcută nu o puteți legaliza ulterior.