Contracte de cloud, găzduire și colocație conform legislației olandeze

Aproape fiecare companie internațională care operează în Olanda cumpără capacitate de calcul de la altcineva. Contractul care îl guvernează este de obicei un șablon de furnizor, semnat sub presiunea timpului, cu un acord privind nivelul serviciilor inclus și o clauză de ieșire pe care nimeni nu a citit-o. Acest articol prezintă modul în care legislația olandeză tratează aceste contracte, unde termenii standard sunt cei mai slabi pentru client și ce prevede acum Legea UE privind datele cu caracter personal la schimbare.

Cele trei niveluri, plus găzduire și colocație

„Cloud” nu este un singur produs. Ceea ce controlează clientul se schimbă la fiecare nivel, la fel și ceea ce trebuie să protejeze contractul.

Cu cât te afli mai jos în stivă, cu atât riscul operațional este mai mare, iar cu cât te afli mai sus, cu atât ești mai blocat. Colocarea este excepția: cumperi spațiu, energie și securitate fizică, așadar termenii decisivi sunt densitatea puterii și redundanța, perioada de preaviz, escaladarea tarifelor de energie, accesul de la distanță și dreptul tău de a îndepărta rack-urile. În cazul găzduirii simple, disputa este aproape întotdeauna în domeniul de aplicare: furnizorul a fost responsabil pentru aplicarea patch-urilor, monitorizare și copii de rezervă sau doar pentru menținerea mașinii alimentate?

Cum caracterizează legea olandeză contractul

Legea olandeză nu are un tip de contract numit „cloud”. Instanțele judecătorești caracterizează în funcție de ceea ce părțile au convenit și de modul în care au îndeplinit obligațiile, apoi aplică regulile tipului sau tipurilor care se potrivesc.

• Misiune (art. 7:400 BW): implicit pentru SaaS, PaaS, găzduire gestionată și elementul de servicii al IaaS.
• Chirie (art. 7:201 BW): contractul de închiriere necesită utilizarea unui contează, un obiect tangibil (art. 3:2 BW). Software-ul și datele nu sunt, deci SaaS pur nu este un leasing. Spațiul de colocație și hardware-ul dedicat sunt, în mod plauzibil, motiv pentru care acordurile de colocație au adesea caracteristici de leasing, indiferent cum le numește furnizorul.
• Cumpar-o (art. 7:1 BW): în Brigada De Beeld (HR 27 aprilie 2012, ECLI:NL:HR:2012:BV1301) Hoge Raad a decis că achiziționarea de software standard pentru utilizare nelimitată în schimbul unei plăți unice intră sub incidența prevederilor privind vânzarea. Acest lucru nu se aplică unui serviciu de abonament, dar este important pentru licențele perpetue dintr-un acord hibrid.
• Supraveghere comună (art. 6:215 BW): majoritatea contractelor reale sunt mixte, iar regulile fiecărui tip se aplică cumulativ, cu excepția cazului în care sunt ireconciliabile.

De ce contează caracterizarea

Reziliere. Conform art. 7:408 BW, clientul poate, în principiu, rezilia un contract de reziliere în orice moment, iar art. 7:411 BW reglementează ceea ce i se datorează furnizorului în acel moment. Între companii, aceste reguli sunt în mare măsură deschise la acorduri contrare (a se vedea art. 7:413 BW), iar modelele le înlocuiesc cu termeni fixi, reînnoire automată și preaviz lung. În cazul în care un acord pe durată nedeterminată nu are o clauză de reziliere, jurisprudența olandeză îl tratează, în general, ca fiind reziliabil, dar caracterul rezonabil și echitate pot necesita o notificare prealabilă, o compensație sau un motiv serios.

Obligația de diligență. Dacă contractul este un „opdracht”, art. 7:401 BW impune diligența unui bun antreprenor: un standard aplicabil folosit de instanțele olandeze pentru a-i obliga pe furnizori să investigheze, să avertizeze și să gestioneze proiectele, contractul nemenționat niciodată. În cadrul unei calificări de vânzare-cumpărare sau leasing, calea de atac este, în schimb, conformitatea sau defectul.

Acordul privind nivelul serviciilor

Disponibilitatea și modul în care este măsurată

• Ce se măsoară: întregul serviciu sau o componentă? O platformă care răspunde la o verificare a stării de funcționare în timp ce autentificarea este inactivă este considerată „disponibilă” în cadrul multor SLA-uri.
• În ce perioadă: 99.9%, măsurat anual, permite o singură întrerupere lungă; măsurat lunar, limitează mult mai strict un singur incident.
• De către cine, de unde: Monitorizarea furnizorilor din propria rețea raportează cifre mai bune decât o sondă de la biroul dumneavoastră.
• Ce este exclus: Întreținerea, defecțiunile rețelei cauzate de terți, forța majoră și incidentele „cauzate de clienți” sunt în mod curent excluse, iar timpul exclus iese, de obicei, și el la numitor, umflând cifra.

Disponibilitatea nu înseamnă performanță. Un serviciu poate fi complet disponibil și inutilizabil de lent. Angajați-vă la viteză separat: ținte de răspuns, ferestre de lot, timp de restaurare și obiective ale punctului de restaurare și timpi de răspuns ai asistenței pentru fiecare clasă de prioritate. Copierea de rezervă necesită propriul angajament, inclusiv o restaurare testată. Fixați și ferestrele de mentenanță: temporizare, notificare, frecvență și durată. Pentru o operațiune internațională, „în afara orelor de program” necesită un fus orar.

Credite de servicii și capcana exclusivității

• Sunt ele singurul remediu? Termenii furnizorilor prevăd de obicei acest lucru, ceea ce transformă fiecare defecțiune într-o reducere modestă și elimină daunele. Cel puțin, excludeți încălcările persistente, intenționate sau din neglijență gravă, precum și orice încălcare care este, de asemenea, o încălcare a securității sau a datelor.
• Trebuie să le revendici? Multe regimuri impun o cerere într-un interval scurt de timp, în caz contrar creditul expiră. Insistați asupra creditării automate pe factură.
• Există o cale de ieșire? Un regim de creditare fără drept de reziliere este slab. Un furnizor care își poate rata obiectivele pe termen nelimitat, rambursând un mic procent din taxa lunară și menținându-vă blocați, și-a cumpărat o cale de a renunța la performanță. Legați neîndeplinirea repetate sau grave a contractului de concediere pe motiv justificat, fără penalități și cu asistență completă la ieșire.

Obligația de diligență și obligația de cooperare

Jurisprudența IT olandeză este neobișnuit de dezvoltată în ceea ce privește obligația de diligență a furnizorului. Un furnizor profesionist trebuie să investigheze mediul și cerințele clientului, să avertizeze cu privire la riscuri, alegeri nepotrivite și depășiri de costuri și să avertizeze în mod constant atunci când sfatul este ignorat. A numi obligația drept una dintre cele mai bune eforturi nu neutralizează așteptările pe care furnizorul le-a creat înainte de semnare.

Obligația de a reflecta contractul este reală și subestimată: clientul trebuie să coopereze furnizând informații precise, stabilind termenele limită, testând contractul atunci când i se solicită și asigurând acces și personal competent. Un client care nu își asumă obligațiile se poate afla în stare de neîndeplinire a obligațiilor creditorului (art. 6:58 BW), ceea ce blochează neîndeplinirea obligațiilor de către furnizor, subminează o cerere de despăgubire și poate anula rezilierea contractului.

Chestiunea se extinde și la securitate. În cauza Gemeente Hof van Twente v Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25 februarie 2025, ECLI:NL:GHARL:2025:1046), instanța a respins cererea clientului după un atac ransomware, deoarece vulnerabilitățile atribuite administrației pe care clientul le păstrase: o modificare a firewall-ului pe care l-a făcut el însuși și o parolă slabă pentru un cont pe care l-a gestionat. Controlul determină responsabilitatea, așadar trebuie înregistrată ce parte deține fiecare control.

Securitate, certificare și audit

Nu acceptați „măsuri tehnice și organizatorice adecvate” ca fiind întreaga obligație. Specificați un standard și un domeniu de aplicare denumite, cum ar fi certificarea ISO/IEC 27001 sau un raport SOC 2 Tip II, certificatul acoperind efectiv serviciul pe care îl achiziționați; termene de aplicare a corecțiilor în funcție de severitate; frecvența testelor de penetrare; notificarea incidentelor cu un declanșator, termen limită și conținut definite; și o rută de audit. Furnizorii mari refuză auditurile la fața locului; un compromis fezabil este certificarea plus dreptul la audit cu notificare prealabilă după un incident.

Normele sectoriale pot adăuga conținut obligatoriu. Entitățile financiare sunt supuse DORA (Regulamentul (UE) 2022/2554), care prevede termenii pentru contractele TIC cu terți. Cyberbeveiligingswet olandez , care implementează NIS2, a intrat în vigoare la 15 august 2026 și se aplică atât infrastructurii digitale, cât și sectoarelor serviciilor gestionate, precum și multor clienți. Ambele regimuri au legătură directă cu contractul: pentru entitățile financiare din cadrul DORA și pentru entitățile esențiale și importante din cadrul Cyberbeveiligingswet, acestea impun cerințe privind reziliența operațională, notificarea incidentelor și strategia de ieșire. Stabiliți de la bun început care dintre cele două îl prinde pe furnizor și care vă prinde pe dumneavoastră.

Protecția datelor

În cazul în care sunt prelucrate date cu caracter personal, aveți nevoie de un acord de prelucrare în temeiul RGPD, care să acopere instrucțiuni, confidențialitate, securitate, subcontractanți, drepturile persoanelor vizate, notificarea încălcării datelor și returnarea sau ștergerea la final. Punctele recurente de negociere sunt regimul subcontractantului, dacă primiți o notificare prealabilă și dreptul de a obiecta, precum și transferurile internaționale. Cadrul UE-SUA privind protecția datelor a supraviețuit primei sale contestații în fața Tribunalului, care a respins acțiunea în cauza T-553/23 (Latombe/Comisia) la 3 septembrie 2025, hotărând că Instanța de Control al Protecției Datelor oferă garanții suficiente de independență și că controlul judiciar ulterior colectării în masă îndeplinește standardul de protecție în esență echivalentă. Un recurs a fost depus la 31 octombrie 2025 sub numele de cauza C-703/25 P și este în curs de soluționare; decizia privind caracterul adecvat al datelor rămâne pe deplin în vigoare între timp.

Locația și suveranitatea datelor

Locația este o chestiune comercială și de reglementare înainte de a fi una de protecție a datelor. Întrebați, în scris: unde sunt stocate datele și de unde sunt prelucrate sau accesate, amintindu-vă că personalul de asistență din afara UE constituie acces chiar și acolo unde stocarea este locală; unde se află copiile de rezervă, copiile de recuperare în caz de dezastru și jurnalele; ce entități ar putea fi obligate să predea date în baza unei comenzi străine; puteți corecta regiunea și ce se întâmplă dacă furnizorul o modifică. Legea privind datele ajută: furnizorii trebuie să publice și să reflecte în contractele lor jurisdicția căreia îi este supusă infrastructura implementată și măsurile luate împotriva accesului guvernamental internațional ilegal la datele fără caracter personal deținute în UE.

Ieșirea

O clauză de ieșire negociată la început valorează mai mult decât orice altă clauză din contract. La început aveți un avantaj, iar furnizorul își dorește tranzacția; la final nu aveți niciunul, iar fiecare zi de întârziere vă costă.

• Format. Structurat, utilizat în mod obișnuit și lizibil de către mașină, cu o schemă documentată, inclusiv metadate, configurație, jurnale de audit și atașamente. Un dump nedocumentat nu este o returnare utilizabilă.
• Domeniu de aplicare. Totul, nu doar înregistrările pe care le-ați încărcat: date derivate, versiuni istorice și orice impun obligațiile dumneavoastră de păstrare.
• Perioada de tranziție. O perioadă definită în care serviciul continuă conform termenilor existenți în timp ce migrați, prelungibilă la un preț stabilit.
• Asistenţă. O obligație de a oferi asistență, cu roluri specificate, o rată zilnică convenită acum și cooperarea cu noul dumneavoastră furnizor.
• Ștergere. Ștergere certificată după o fereastră de recuperare definită, inclusiv copii de rezervă, cu momentul expirării specificat.
• Trigger. Obligațiile de ieșire se aplică la orice reziliere, inclusiv de către furnizor pentru neplata de către dumneavoastră. Furnizorii exclud frecvent acest caz și este cel de care este cel mai probabil să aveți nevoie.

Blocarea, portabilitatea și Legea UE privind datele

Regulamentul (UE) 2023/2854, Legea privind datele, a intrat în vigoare la 11 ianuarie 2024 și se aplică începând cu 12 septembrie 2025. Capitolul VI creează un regim de schimbare a furnizorilor pentru „servicii de prelucrare a datelor”, definit suficient de larg pentru a include IaaS, PaaS și SaaS.

• Obstacolele trebuie să dispară (art. 23): bariere comerciale, tehnice, contractuale și organizatorice în calea rezilierii contractului, a trecerii la un concurent și a portabilității datelor.
• Termeni obligatorii (art. 25): o perioadă maximă de preaviz de două luni pentru a începe schimbarea furnizorului; o perioadă tranzitorie maximă obligatorie de 30 de zile calendaristice, care poate fi prelungită o singură dată de către client și, în cazul în care schimbarea este impracticabilă din punct de vedere tehnic, de către furnizor până la șapte luni, cu o notificare motivată; apoi o perioadă de recuperare a datelor de cel puțin 30 de zile calendaristice, urmată de ștergere.
• Taxe (art. 29): în perioada 11 ianuarie 2024 - 12 ianuarie 2027, furnizorii pot impune doar taxe de schimbare a furnizorului reduse, care nu depășesc costurile legate direct de procesul de schimbare a furnizorului. Începând cu 12 ianuarie 2027, comisioanele de transfer sunt interzise complet., eliminând taxele de ieșire.
• Obligații tehnice (art. 30): furnizorii la nivel de infrastructură trebuie să ia toate măsurile rezonabile pentru a permite echivalența funcțională după schimbare; ceilalți trebuie să pună la dispoziție gratuit interfețele deschise. Niciun furnizor nu trebuie să dezvolte tehnologii noi sau să dezvăluie secrete comerciale.
• Informații, bună-credință și scutiri (art. 26, 27, 31): procedurile de schimbare a furnizorului trebuie dezvăluite; toate părțile, inclusiv furnizorul de destinație, trebuie să coopereze cu bună-credință; sunt exceptate serviciile de testare personalizate și limitate în timp.

Trei avertismente. Legea privind datele stabilește un prag, nu un plan de migrare: nu vă va face datele portabile dacă ați construit pe servicii de platformă proprietare fără echivalent în altă parte. Momentul contează, și nu în modul în care susțin majoritatea furnizorilor: Capitolul VI se aplică contractelor pentru servicii de prelucrare a datelor începând cu 12 septembrie 2025, indiferent dacă acestea au fost încheiate înainte sau după această dată, astfel încât acordurile deja în vigoare trebuiau aliniate până atunci. Perioada de tranziție care se încheie la 12 septembrie 2027 la articolul 50 privește Capitolul IV, privind clauzele contractuale abuzive privind accesul și utilizarea datelor, și nu regimul de schimbare a furnizorului. Separat, Comisia a consultat un proiect de recomandare care conține clauze contractuale model neobligatorii privind accesul și utilizarea datelor și clauze contractuale standard neobligatorii pentru contractele de cloud computing, pe care furnizorii le pot include odată ce este adoptată; verificați statutul acesteia înainte de a vă baza pe ea. Pachetul omnibus digital din 19 noiembrie 2025 propune modificări la Capitolul VI, printre care penalități proporționale pentru rezilierea anticipată a contractelor pe durată determinată și o clauză strictă de preemțiune pentru anumite contracte încheiate înainte de 12 septembrie 2025, dar acesta este încă în curs de desfășurare a procesului legislativ, iar textul adoptat continuă să se aplice până la modificarea sa. Iar colocația și locuințele pure nu intră sub incidența definiției unui serviciu de prelucrare a datelor și, prin urmare, nu intră sub incidența regimului, cu condiția ca suprafața să nu fie furnizată o funcționalitate cloud scalabilă sau elastică.

Continuitate și insolvență a furnizorilor

Dacă furnizorul dumneavoastră dă faliment, administratorul decide, în temeiul art. 37 Fw, dacă va executa contractele restante; dacă nu, creanța dumneavoastră este negarantată. Escrow-ul codului sursă a fost creat pentru software local și are un rol prea mic în SaaS: codul fără date, mediu și cunoștințe operaționale nu restabilește un serviciu. SaaS are nevoie de un acord de continuitate care să acopere instanța care rulează, datele și dreptul de a continua să funcționeze. Cel puțin, contractul ar trebui să precizeze că datele vă aparțin, nu sunt supuse niciunui drept de retenție și trebuie eliberate în anumite evenimente.

Răspundere, exonerare și preț

Termenii standard pentru furnizori pe piața olandeză sunt dominați de NLdigital Voorwaarden, dintre care ediția din 2025, publicată în octombrie 2025, este cea mai recentă. Această ediție limitează răspunderea pentru pierderi directe la prețul convenit pentru contract sau, pentru un contract continuu cu o durată mai mare de un an, la onorariile pe un an și o plafonează în orice caz la 500,000 EUR, cu un plafon separat de 1,750,000 EUR pentru deces, vătămări corporale și daune materiale. Pierderile indirecte și consecutive, profitul pierdut, economiile pierdute, diminuarea fondului comercial, întreruperea activității și reclamațiile propriilor clienți ai clientului sunt excluse complet. Limitele dispar numai în cazul în care pierderea rezultă din intenție sau imprudență conștientă din partea conducerii furnizorului. O reclamație trebuie notificată cât mai curând posibil după apariția pierderii și prescrie după douăzeci și patru de luni, cu excepția cazului în care au fost inițiate proceduri. Fiecare ediție nouă revizuiește aceste plafoane, așadar stabiliți ce ediție a inclus furnizorul dvs. și dacă a modificat-o: edițiile anterioare rămân în circulație și mulți furnizori folosesc termeni proprii.

Instanțele olandeze aplică clauze de exonerare între companii. Prima variantă este art. 6:248 BW: invocarea clauzei nu este validă atunci când aceasta ar fi inacceptabilă conform standardelor de rezonabilitate și echitate. Instanțele aplică testul cu reținere, cântărind gravitatea culpei, interesele prejudiciate, pozițiile părților și modul în care a fost evaluat riscul. Intenția sau un comportament echivalent acesteia va anula, în general, o clauză. În cazul în care termenii sunt condiții generale (art. 6:231 BW), art. 6:233 BW permite anularea unei clauze nerezonabil de onerosă. Practic: negociați un plafon care are o oarecare legătură cu prejudiciul pe care l-ar cauza o defecțiune, excludeți pierderile de date, confidențialitatea, securitatea și despăgubirile pentru proprietate intelectuală și definiți „pierderea indirectă”.

În ceea ce privește prețul, corectați mecanismul: limitați indexarea anuală în funcție de un indice specificat, restricționați creșterile la o dată pe an cu o notificare prealabilă și asumați-vă dreptul de a rezilia contractul fără penalități peste un anumit prag. Cu prețuri bazate pe consum, angajați-vă doar pentru volumele pe care le veți utiliza și controlați costul scalării, nivelurilor de asistență și ieșirii din contract.

Legislația aplicabilă, litigiile și furnizorii din afara UE

Alegeți legislația olandeză și un forum olandez acolo unde este posibil și cântăriți aspectele practice care decid dacă o hotărâre judecătorească are vreo valoare, pe care le-am prezentat în articolul nostru despre cum să evitați problemele legate de competență și executare . Executarea unei hotărâri judecătorești olandeze în interiorul UE este simplă; executarea uneia în afara UE adesea nu este. Arbitrajul poate fi răspunsul mai bun împotriva unei contrapărți din afara UE, iar în litigiile IT olandeze, fundația SGOA oferă arbitraj și mediere specifice sectorului.

Încheierea de contracte în afara UE aduce cu sine trei realități. O limitare a răspunderii poate fi ușor de invocat și greu de contestat într-un for îndepărtat. Normele obligatorii ale UE, inclusiv regimul de schimbare a datelor din Legea privind datele și GDPR, se pot aplica în funcție de locul în care este oferit serviciul, dar aplicarea și respectarea acestora sunt lucruri diferite. Iar o companie-mamă străină se poate confrunta cu ordine de divulgare care intră în conflict cu obligațiile dumneavoastră aici. În cazul în care expunerea este semnificativă, încheiați un contract cu entitatea UE a furnizorului și insistați asupra unui for european.

Listă de verificare pentru negociere

• Definiți serviciul pe straturi și înregistrați care parte controlează fiecare componentă și fiecare control de securitate.
• Faceți disponibilitatea măsurabilă: domeniul de aplicare al componentelor, perioada, punctul de măsurare și excluderile; confirmați performanța și restaurați obiectivele separat.
• Respingeți creditele de servicii ca remediu unic și atașați un drept de reziliere în cazul defecțiunilor persistente sau severe.
• Specificați securitatea în funcție de standard și domeniu de aplicare, cu dovezi, termene limită de notificare și o rută de audit.
• Semnați un acord de procesare și remediați datele, locațiile de procesare și de asistență.
• Negociați mai întâi clauza de ieșire: formatul, domeniul de aplicare, perioada de tranziție, asistența tarifată, ștergerea certificată și factorii declanșatori, inclusiv rezilierea pentru neplată.
• Verificați contractul în raport cu cerințele de schimbare a furnizorului conform Legii privind datele, încheiați agenda la 12 ianuarie 2027 și stabiliți continuitatea: proprietatea asupra datelor, lipsa dreptului de retenție, escrow.
• Testează plafonul de răspundere în raport cu pierderile pe care le-ar cauza o defecțiune reală și exclude datele, securitatea, confidențialitatea și proprietatea intelectuală din acesta.
• Indexarea plafonului și alegerea în mod deliberat a legii, a forului și a entității contractante.

Law & More revizuiește și negociază contracte de cloud, găzduire și colocație pentru clienți și furnizori: niveluri de servicii, drepturi de securitate și audit, acorduri de prelucrare, ieșire și conformitate cu Legea privind datele cu caracter personal, limite de răspundere și alegerea legii și a forumului. Dacă se pune problema încheierii unui contract sau un serviciu eșuează, avocați IT îți va spune unde se află expunerea reală înainte să semnezi.