数据所有权和知识产权属于谁？

结论：业务数据应由客户控制并可完整导出；定制源码、设计和文档的著作权归属或许可范围以合同为准。个人信息不是可以随意处分的普通资产，第三方材料和滚水科技既有组件也不会因项目交付自动转让。

“数据都归谁”与“知识产权归谁”是两类问题。订单、设备、经营记录由谁保管、谁决定处理目的、谁能导出，属于数据治理与个人信息保护问题；源码、界面、图片和文档能否复制、修改、再许可，则属于著作权和合同问题。把两者都写成“100% 归客户”，看起来干脆，发生员工信息查询、开源组件分发或供应商更换时却无法执行。

在约定交付物、接管方式与责任边界时，还可以对照 是否支持源码交付？；这些内容补充了需要放在同一项决策中考虑的上下文。

建议在合同附件中按资产逐项确认：

资产类型	建议安排	客户应取得的能力	必须保留的边界
业务数据库与业务记录	客户作为业务主体控制，部署在客户账号或可随时迁出的环境	查询、备份、导出、删除和审计	个人信息处理仍须有合法基础和必要范围
为项目专门创作的源码、设计、文档	明确约定著作权转让或永久使用许可，并列明地域、期限、修改和再许可权	独立运行、维护和二次开发	未写清的权利不能靠口头承诺推定
滚水科技既有脚手架与通用组件	权利通常保留给滚水科技，向项目授予合同约定的使用许可	项目可持续运行和维护	不当然取得脱离项目后的单独销售权
开源软件、字体、图片、商业 SDK	继续适用原许可证或商业协议	获得清单、版本、来源和授权状态	不得超出第三方许可复制或分发

中国现行 著作权法 对著作权归属、许可使用和权利转让作了制度安排。对委托开发项目，不能只在合同里写“知识产权归甲方”六个字，还应明确哪些是交付前已有成果，哪些是项目中新产生的成果，是否转让署名权之外的财产权，交付后供应商能否复用非客户专属的通用方法，以及客户能否将源码交给新的运维团队。软件著作权登记可作为权利证明材料之一，但登记本身不能替代双方合同，也不能覆盖第三方代码的权利。

个人信息更不能简单写成“客户拥有，因此可任意使用”。依据 个人信息保护法，处理个人信息要有明确、合理目的，并限于实现目的的最小范围；个人还依法享有知情、决定、限制或拒绝处理等权利。项目中应明确客户与滚水科技分别承担什么角色：通常客户决定业务目的和规则，滚水科技只在授权范围内为研发、迁移或运维处理数据。项目结束后应关闭协作账号，并按约定返还或删除副本，留下可核验记录。

可执行的权属条款至少回答五个问题：成果清单是什么，权利在付款或验收哪个节点转移，客户能否修改和交由第三方维护，既有成果如何许可，侵权或许可证不兼容由谁处理。开源依赖可参照 SPDX 许可证清单 建立物料表；素材采购则应保存订单、授权文本和适用媒介。商业字体、地图和支付 SDK 即使源码仓库里存在调用代码，也不代表账号或内容许可已经随源码转移。

验收时，客户应实际登录自己的代码仓库和云账号，完成数据库备份导出，取得设计源文件、接口文档、依赖清单与第三方合同索引，并核对滚水科技的临时数据权限是否已撤回。争议最大的往往不是“有没有文件”，而是后续能否迁移、修改、授权新团队以及停止合作后谁仍保存数据，所以这些动作都应留下仓库记录、控制台记录或双方签署的交接单。

滚水科技会在项目启动时建立资产边界表，在里程碑中持续更新，避免上线时才讨论权属。更完整的交接做法可参考 透明交付标准。