Как защитить исходный код стартапа от воровста программистом, которые его пишет?
На моей практике было два варианта: 
1. Часть кода шифровалась, мне предоставлялся доступ только к нужной папке ftp и к нужному модулю, основной движок лежал отдельно. Всё это происходило на тестовом сервере, так что боевую БД я бы не снёс. 
2. По сути то же, но проще: на каждом сервере свой конфиг доступа к БД, права выноса кода на релиз у меня нет - только делаю коммит, после отмашки тестировщика. Чекаут только нужных проектов и библиотек. Коммит можно делать тоже только туда, куда надо. 
Защита самого кода встречается крайне редко, потому что код, как правило, типовой, и можно без труда найти/написать модули для всего. Гораздо важнее отгородить доступ к данным (БД и другие файлы - картинки, звуки и т.п.), хотя при желании и это можно спарсить. Самое ценное - это клиенты, продажи, и прочее. Без доступа к коду и данным достаточно легко сделать клон почти любого проекта, но без продаж, рейтингов и клиентской базы - он вам не конкурент.
При трудоустройстве обычно подписывается документ о неразглашении и т.п.