Ugovori o cloudu, hostingu i kolokaciji prema holandskom zakonu

Gotovo svaka međunarodna kompanija koja posluje u Holandiji kupuje računarske kapacitete od nekog drugog. Ugovor koji to reguliše obično je predložak dobavljača, potpisan pod vremenskim pritiskom, sa ugovorom o nivou usluge i klauzulom o izlasku koju niko nije pročitao. Ovaj članak objašnjava kako holandski zakon tretira ove ugovore, gdje su standardni uslovi najslabiji za kupca i šta Zakon EU o podacima sada zahtijeva prilikom promjene dobavljača.

Tri sloja, plus hosting i kolokacija

„Oblak“ nije jedan proizvod. Ono što kupac kontroliše mijenja se na svakom sloju, kao i ono što ugovor mora zaštititi.

Što ste niže na ljestvici, to je veći operativni rizik vaš, a što ste više na ljestvici, to ste više zaključani. Kolokacija je izuzetak: kupujete prostor, napajanje i fizičku sigurnost, tako da su odlučujući uslovi gustoća snage i redundantnost, rok za obavještenje, eskalacija troškova napajanja, udaljene ruke i vaše pravo da uklonite svoje rack-ove. Kod običnog hostinga spor je gotovo uvijek oko opsega: da li je dobavljač bio odgovoran za instaliranje zakrpa, praćenje i sigurnosne kopije ili samo za održavanje napajanja mašine?

Kako holandsko pravo karakteriše ugovor

Holandsko pravo nema vrstu ugovora pod nazivom "oblak". Sudovi karakteriziraju ugovore na osnovu onoga što su se stranke dogovorile i kako su ih izvršile, a zatim primjenjuju pravila odgovarajuće vrste ili vrsta.

• Zadatak (čl. 7:400 BW): zadano za SaaS, PaaS, upravljani hosting i servisni element IaaS-a.
• Najam (čl. 7:201 BW): zakup zahtijeva upotrebu slučaj, opipljiv objekt (član 3:2 BW). Softver i podaci nisu, tako da čisti SaaS nije zakup. Kolokacijski prostor i namjenski hardver vjerovatno jesu, zbog čega ugovori o kolokaciji često nose karakteristike zakupa bez obzira kako ih dobavljač naziva.
• Kupi ga (član 7:1 BW): u De Beeldbrigade (HR 27. april 2012, ECLI:NL:HR:2012:BV1301) Hoge Raad je presudio da nabavka standardnog softvera za neograničeno korištenje uz jednokratnu uplatu spada pod odredbe o prodaji. To se ne prenosi na uslugu pretplate, ali je važno za trajne licence u hibridnom ugovoru.
• Primanje obaveza (čl. 6:215 BW): većina stvarnih ugovora su mješoviti, a pravila svake vrste primjenjuju se kumulativno, osim ako nisu nepomirljiva.

Zašto je karakterizacija važna

Raskid. Prema članu 7:408 BW, klijent u principu može raskinuti ugovor u bilo kojem trenutku, a član 7:411 BW uređuje šta se tada duguje dobavljaču. Između preduzeća ova pravila su uglavnom otvorena za suprotan sporazum (vidi član 7:413 BW), a obrasci ih zamjenjuju fiksnim rokovima, automatskim obnavljanjem i dugim otkaznim rokom. Tamo gdje ugovor na neodređeno vrijeme nema klauzulu o raskidu, holandska sudska praksa ga uglavnom tretira kao raskidiv, ali razumnost i pravičnost mogu zahtijevati obavještenje, naknadu ili ozbiljan razlog.

Obaveza pažnje. Ako je ugovor opdracht, član 7:401 BW nameće pažnju dobrog izvođača radova: provedivi standard koji su holandski sudovi koristili da bi dobavljače obavezali istragom, upozoravanjem i upravljanjem projektom, što se u ugovoru nikada nije spominjalo. U okviru karakterizacije prodaje ili zakupa, put je umjesto toga usklađenost ili nedostatak.

Sporazum o nivou usluge

Dostupnost i kako se mjeri

• Šta se mjeri: Cijela usluga ili jedna komponenta? Platforma koja odgovara na provjeru ispravnosti dok je prijava neaktivna računa se kao „dostupna“ prema mnogim SLA-ovima.
• U kom periodu: 99.9 posto mjereno godišnje dozvoljava jedan duži prekid; mjereno mjesečno mnogo čvršće ograničava jedan incident.
• Od koga, odakle: Praćenje dobavljača unutar vlastite mreže izvještava o boljim brojkama nego istraživanje iz vaše kancelarije.
• Šta je isključeno: održavanje, kvar mreže treće strane, viša sila i incidenti "izazvani od strane korisnika" se rutinski izostavljaju, a isključeno vrijeme obično također napušta nazivnik, povećavajući cifru.

Dostupnost nije performansa. Usluga može biti potpuno dostupna i neupotrebljivo spora. Obavezujte se na brzinu odvojeno: ciljevi odziva, prozori serija, vrijeme vraćanja i ciljevi tačaka vraćanja, te vremena odziva podrške po klasi prioriteta. Sigurnosna kopija zahtijeva vlastitu obavezu, uključujući testirano vraćanje. Popravite i prozore održavanja: vrijeme, obavještenja, učestalost i trajanje. Za međunarodne operacije, "izvan radnog vremena" je potrebna vremenska zona.

Servisni krediti i zamka ekskluzivnosti

• Jesu li oni jedini lijek? Uslovi dobavljača obično tako kažu, što svaki kvar pretvara u skroman popust i isključuje štetu. Minimalno treba izdvojiti uporne, namjerne ili grubo nemarne povrede, kao i svaku povredu koja je ujedno i povreda sigurnosti ili podataka.
• Morate li ih tražiti? Mnogi režimi zahtijevaju podnošenje zahtjeva u kratkom roku, u suprotnom kredit se gubi. Insistirajte na automatskom kreditiranju na fakturi.
• Postoji li izlaz? Kreditni režim bez prava na raskid je slab. Dobavljač koji može neograničeno propuštati svoje ciljeve, vratiti mali postotak mjesečne naknade i držati vas vezanim za ugovor, kupio se za izlazak iz posla. Povežite ponovljene ili ozbiljne propuste s uzrokom otkaza, bez kazne i uz punu pomoć pri odlasku.

Obaveza pažnje i obaveza saradnje

Holandska IT sudska praksa je neobično razvijena u pogledu dužnosti pažnje dobavljača. Profesionalni dobavljač mora istražiti okruženje i zahtjeve kupca, upozoriti na rizike, neprikladne izbore i prekoračenja troškova, te stalno upozoravati kada se savjet ignoriše. Nazivanje obaveze jednim od najboljih napora ne neutralizira očekivanja koja je dobavljač stvorio prije potpisivanja.

Obaveza ogledala je stvarna i potcijenjena: kupac mora sarađivati ​​pružanjem tačnih informacija, određivanjem vremena, testiranjem kada se to od njega zatraži i omogućavanjem pristupa i kompetentnih ljudi. Kupac koji ne ispuni ugovor može se naći u neizvršenju obaveza od strane povjerioca (član 6:58 BW), što blokira neizvršenje obaveza dobavljača, potkopava tužbu za naknadu štete i može osujetiti raskid ugovora.

Poenta se proteže i na sigurnost. U slučaju Gemeente Hof van Twente protiv Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25. februar 2025., ECLI:NL:GHARL:2025:1046) sud je odbacio tužbu klijenta nakon napada ransomware-om, jer su ranjivosti vezane za administraciju koju je klijent zadržao: promjena zaštitnog zida koju je sam napravio i slaba lozinka na računu kojim je upravljao. Kontrola pokreće odgovornost, stoga zabilježite koja strana posjeduje svaku kontrolu.

Sigurnost, certifikacija i revizija

Ne prihvatajte „odgovarajuće tehničke i organizacijske mjere“ kao cjelokupnu obavezu. Navedite imenovani standard i opseg, kao što je ISO/IEC 27001 certifikacija ili SOC 2 Type II izvještaj, pri čemu certifikat zapravo pokriva uslugu koju kupujete; vremenske skale zakrpa prema ozbiljnosti; učestalost testiranja penetracije; obavještavanje o incidentima s definiranim okidačem, rokom i sadržajem; i put revizije. Veliki dobavljači odbijaju revizije na licu mjesta; izvodljiv kompromis je certifikacija plus pravo na reviziju uz obavijest nakon incidenta.

Sektorska pravila mogu dodati obavezni sadržaj. Finansijski subjekti podliježu DORA-i (Uredba (EU) 2022/2554), koja propisuje uslove za ugovore s trećim stranama u oblasti IKT-a. Holandski Cyberbeveiligingswet , kojim se provodi NIS2, stupio je na snagu 15. augusta 2026. godine i obuhvata sektore digitalne infrastrukture i upravljanih usluga, kao i mnoge kupce. Oba režima se direktno odnose na ugovor: za finansijske subjekte u okviru DORA-e, a za bitne i važne subjekte u okviru Cyberbeveiligingswet-a, oni nameću zahtjeve za operativnu otpornost, obavještavanje o incidentima i strategiju izlaska. Na početku utvrdite koji od ta dva režima će privući dobavljača, a koji vas.

zaštita podataka

U slučaju obrade ličnih podataka, potreban vam je ugovor o obradi u skladu sa GDPR-om, koji pokriva uputstva, povjerljivost, sigurnost, podobrađivače, prava subjekta podataka, obavještenje o kršenju podataka i vraćanje ili brisanje na kraju. Ponavljajuće tačke pregovora su režim podobrađivača, da li dobijate prethodnu obavijest i pravo na prigovor, te međunarodni transferi. Okvir za zaštitu privatnosti podataka između EU i SAD-a preživio je svoj prvi izazov pred Opštim sudom, koji je odbacio tužbu u predmetu T-553/23 (Latombe protiv Komisije) 3. septembra 2025. godine, utvrdivši da Sud za preispitivanje zaštite podataka nudi dovoljne garancije nezavisnosti i da sudska revizija nakon slučaja masovnog prikupljanja podataka ispunjava standard suštinski ekvivalentne zaštite. Žalba je podnesena 31. oktobra 2025. godine kao predmet C-703/25 P i još uvijek je u toku; odluka o adekvatnosti ostaje u potpunosti na snazi ​​u međuvremenu.

Lokacija podataka i suverenitet

Lokacija je komercijalno i regulatorno pitanje prije nego što je pitanje zaštite podataka. Pitajte, pismeno: gdje se podaci pohranjuju i odakle se obrađuju ili im se pristupa, imajući na umu da osoblje za podršku izvan EU ima pravo pristupa čak i kada je pohrana lokalna; gdje se nalaze sigurnosne kopije, kopije za oporavak od katastrofe i zapisnici; koji subjekti bi mogli biti prisiljeni predati podatke po stranoj narudžbi; možete li popraviti regiju i šta se događa ako je dobavljač promijeni. Zakon o podacima pomaže: pružatelji usluga moraju objaviti i u svojim ugovorima navesti jurisdikciju kojoj podliježe raspoređena infrastruktura i mjere koje su poduzete protiv nezakonitog pristupa međunarodnih vlada neličnim podacima koji se čuvaju u EU.

Izlaz

Klauzula o izlasku dogovorena na početku vrijedi više od bilo koje druge klauzule u ugovoru. Na početku imate prednost i dobavljač želi dogovor; na kraju je nemate, i svaki dan kašnjenja vas košta.

• Formatu. Strukturiran, često korišten i mašinski čitljiv, sa dokumentovanom shemom, uključujući metapodatke, konfiguraciju, zapisnike revizije i priloge. Nedokumentovani dump nije upotrebljiv povrat.
• Obim. Sve, ne samo zapisi koje ste učitali: izvedeni podaci, historijske verzije i sve što zahtijevaju vaše obaveze čuvanja podataka.
• Prelazni period. Definisani period tokom kojeg se usluga nastavlja pod postojećim uslovima dok vršite migraciju, a koji se može produžiti po navedenoj cijeni.
• Pomoć. Obaveza pružanja pomoći, uz imenovane uloge, dogovorenu dnevnu cijenu i saradnju s vašim novim dobavljačem.
• Brisanje. Ovjereno brisanje nakon definiranog vremenskog okvira za preuzimanje, uključujući sigurnosne kopije, s navedenim vremenom isteka.
• Trigger. Obaveze prestanka ugovora primjenjuju se na svaki raskid ugovora, uključujući i raskid od strane dobavljača zbog vašeg neplaćanja. Dobavljači često isključuju taj slučaj, a to je onaj koji će vam najvjerovatnije trebati.

Vezanost, prenosivost i Zakon EU o podacima

Uredba (EU) 2023/2854, Zakon o podacima, stupila je na snagu 11. januara 2024. i primjenjuje se od 12. septembra 2025. Poglavlje VI stvara režim promjene pružatelja „usluga obrade podataka“, definiran dovoljno široko da obuhvati IaaS, PaaS i SaaS.

• Prepreke moraju nestati (čl. 23): komercijalne, tehničke, ugovorne i organizacijske prepreke za raskid ugovora, prelazak kod konkurenta i prenošenje podataka.
• Obavezni uslovi (čl. 25): maksimalni rok za obavještenje od dva mjeseca za početak promjene dobavljača; obavezni maksimalni prelazni period od 30 kalendarskih dana, koji korisnik može jednom produžiti, a u slučaju tehnički neizvodljive promjene, pružatelj usluga može produžiti do sedam mjeseci uz obrazloženu obavijest; zatim period za preuzimanje podataka od najmanje 30 kalendarskih dana, nakon čega slijedi brisanje.
• optužbe (čl. 29): od 11. januara 2024. do 12. januara 2027. pružaoci usluga mogu nametnuti samo smanjene naknade za promjenu dobavljača, koje ne prelaze troškove direktno povezane s procesom promjene dobavljača. Od 12. januara 2027. godine naknade za prebacivanje računa su potpuno zabranjene., ukidanje izlaznih naknada pri izlasku.
• Tehničke obaveze (član 30): pružaoci usluga na nivou infrastrukture moraju preduzeti sve razumne mjere kako bi omogućili funkcionalnu ekvivalentnost nakon prelaska; drugi moraju besplatno staviti na raspolaganje otvorene interfejse. Nijedan pružalac usluga ne smije razvijati novu tehnologiju niti otkrivati ​​poslovne tajne.
• Informacije, dobra vjera i izuzeća (članovi 26, 27, 31): procedure promjene dobavljača moraju biti objavljene; ​​sve strane, uključujući i odredišnog pružatelja usluga, moraju sarađivati ​​u dobroj vjeri; izdvojene su prilagođene i vremenski ograničene testne usluge.

Tri upozorenja. Zakon o podacima postavlja donju granicu, a ne plan migracije: neće učiniti vaše podatke prenosivim ako ste gradili na vlasničkim platformskim uslugama bez ekvivalenta negdje drugdje. Vrijeme je važno, i to ne na način na koji većina dobavljača tvrdi: Poglavlje VI primjenjuje se na ugovore o uslugama obrade podataka od 12. septembra 2025. godine, bez obzira da li su sklopljeni prije ili poslije tog datuma, tako da su ugovori koji su već bili u toku morali biti usklađeni do tada. Prelazni period koji završava 12. septembra 2027. godine u članu 50 odnosi se na Poglavlje IV, o nepoštenim ugovornim uslovima o pristupu i korištenju podataka, a ne na režim prebacivanja. Odvojeno, Komisija se konsultovala o nacrtu preporuke koji sadrži neobavezujuće model ugovornih uslova o pristupu i korištenju podataka i neobavezujuće standardne ugovorne klauzule za ugovore o računarstvu u oblaku, koje dobavljači mogu uključiti nakon što se usvoji; provjerite njegov status prije nego što se na njega oslonite. Digitalni omnibus paket od 19. novembra 2025. predlaže promjene Poglavlja VI, među kojima su proporcionalne kazne za prijevremeni raskid ugovora na određeno vrijeme i usko zadržavanje određenih ugovora zaključenih prije 12. septembra 2025., ali je još uvijek u zakonodavnom procesu i usvojeni tekst se nastavlja primjenjivati ​​dok se ne izmijeni. Čista kolokacija i smještaj ne spadaju u definiciju usluge obrade podataka, a time i izvan režima, pod uvjetom da se uz prostor ne isporučuje skalabilna ili elastična funkcionalnost oblaka.

Kontinuitet i insolventnost dobavljača

Ako vaš dobavljač ne ispuni obaveze, stečajni upravitelj, u skladu sa članom 37 Okvirnog zakona, odlučuje hoće li izvršiti neizvršene ugovore; ako ne, vaš zahtjev je neosiguran. Depozit izvornog koda je izgrađen za lokalni softver i malo čini za SaaS: kod bez podataka, okruženja i operativnog znanja ne obnavlja uslugu. SaaS-u je potreban aranžman o kontinuitetu koji pokriva pokrenutu instancu, podatke i pravo na nastavak rada. Ugovor bi trebao najmanje navesti da su podaci vaši, da nisu predmet nikakvog prava zadržavanja i da se moraju vratiti u određenim slučajevima.

Odgovornost, oslobađanje od odgovornosti i cijena

Standardni uslovi dobavljača na holandskom tržištu dominiraju NLdigital Voorwaarden, od kojih je izdanje iz 2025. godine, objavljeno u oktobru 2025. godine, najnovije. To izdanje ograničava odgovornost za direktan gubitak na cijenu dogovorenu za ugovor ili, za ugovor koji traje duže od godinu dana, na jednogodišnje naknade, i u svakom slučaju je ograničava na 500,000 eura, sa zasebnim ograničenjem od 1,750,000 eura za smrt, tjelesnu povredu i fizičku štetu na imovini. Indirektni i posljedični gubitak, izgubljena dobit, izgubljena ušteđevina, smanjena reputacija, prekid poslovanja i potraživanja od strane vlastitih kupaca su u potpunosti isključeni. Ograničenja nestaju samo kada gubitak proizlazi iz namjere ili svjesne nepažnje menadžmenta dobavljača. Zahtjev se mora prijaviti što je prije moguće nakon nastanka gubitka i zastarijeva dvadeset četiri mjeseca kasnije, osim ako nije pokrenut postupak. Svako novo izdanje revidira ove limite, stoga utvrdite koje je izdanje vaš dobavljač uključio i da li ga je mijenjao: ranija izdanja ostaju u opticaju i mnogi dobavljači koriste vlastite termine.

Holandski sudovi primjenjuju klauzule o oslobađanju od odgovornosti između preduzeća. Prvi put je član 6:248 BW: oslanjanje na klauzulu ne uspijeva tamo gdje bi to bilo neprihvatljivo prema standardima razumnosti i pravičnosti. Sudovi primjenjuju test sa suzdržanošću, vagajući ozbiljnost greške, oštećene interese, položaje stranaka i kako je rizik procijenjen. Namjera ili ponašanje ekvivalentno njoj će uglavnom poništiti klauzulu. Tamo gdje su odredbe opšti uslovi (član 6:231 BW), član 6:233 BW dozvoljava poništenje nerazumno opterećujuće odredbe. Praktično: pregovarajte o gornjoj granici koja ima određenu vezu sa štetom koju bi propust prouzrokovao, izostavite gubitak podataka, povjerljivost, sigurnost i naknadu štete za intelektualno vlasništvo i definirajte "posljedični gubitak".

Što se tiče cijene, ispravite mehanizam: ograničite godišnju indeksaciju prema imenovanom indeksu, ograničite povećanja na jednom godišnje uz prethodno obavještenje i uzmite pravo na raskid ugovora bez kazne iznad određenog praga. Kod određivanja cijena na osnovu potrošnje, obavezajte se samo na količine koje ćete koristiti i kontrolišite troškove skaliranja, nivoa podrške i izlaza.

Primjenjivo pravo, sporovi i dobavljači izvan EU

Odaberite holandsko pravo i holandski forum gdje god možete, te odvagnite praktične tačke koje odlučuju o tome da li presuda išta vrijedi, a koje smo naveli u našem članku o tome kako izbjeći probleme s nadležnošću i izvršenjem . Izvršenje holandske presude unutar EU je jednostavno; izvršenje presude izvan nje često nije. Arbitraža može biti bolje rješenje protiv protivstranke izvan EU, a u holandskim IT sporovima, fondacija SGOA nudi sektorski specifičnu arbitražu i medijaciju.

Ugovaranje izvan EU donosi tri realnosti. Ograničenje odgovornosti može biti lako za pozvati, a teško osporiti na udaljenom forumu. Obavezna pravila EU, uključujući režim prebacivanja iz Zakona o podacima i GDPR, mogu se primjenjivati ​​na osnovu mjesta gdje se usluga nudi, ali njihova primjena i provođenje su različite stvari. Strani roditelj može se suočiti s nalozima za otkrivanje podataka koji su u suprotnosti s vašim obavezama ovdje. U slučajevima kada je izloženost značajna, sklopite ugovor s EU subjektom dobavljača i insistirajte na evropskom forumu.

Kontrolna lista za pregovore

• Definirajte uslugu po slojevima i zabilježite koja strana kontrolira svaku komponentu i svaku sigurnosnu kontrolu.
• Omogućite mjerenje dostupnosti: opseg komponente, period, tačka mjerenja i izuzeća; odvojeno potvrdite performanse i ciljeve vraćanja.
• Odbijte kredite za usluge kao isključivi pravni lijek i priložite pravo na raskid ugovora upornim ili ozbiljnim propustima.
• Navedite sigurnost po standardu i opsegu, s dokazima, rokovima obavještavanja i rutom revizije.
• Potpišite ugovor o obradi i ispravite podatke, lokacije obrade i podrške.
• Prvo pregovarajte o klauzuli o izlasku: format, opseg, prelazni period, pomoć s cijenom, ovjereno brisanje i okidače, uključujući raskid zbog neplaćanja.
• Provjerite ugovor u odnosu na zahtjeve Zakona o podacima o promjeni, zakažite 12. januar 2027. i riješite kontinuitet: vlasništvo nad podacima, bez prava zadržavanja, escrow.
• Testirajte ograničenje odgovornosti u odnosu na gubitak koji bi prouzrokovao stvarni kvar i izostavite podatke, sigurnost, povjerljivost i intelektualno vlasništvo.
• Ograničite indeksaciju i namjerno birajte zakon, forum i ugovorni subjekt.

Law & More pregledava i pregovara o ugovorima o cloudu, hostingu i kolokaciji za kupce i dobavljače: nivoi usluga, sigurnosna i revizorska prava, ugovori o obradi podataka, izlazak i usklađenost sa Zakonom o podacima, ograničenja odgovornosti i izbor prava i foruma. Ako je ugovor na stolu ili usluga ne uspijeva, naš IT advokati reći će vam gdje se nalazi stvarna izloženost prije nego što potpišete.