Kontrak awan, pengehosan dan kolokasi di bawah undang-undang Belanda

Hampir setiap syarikat antarabangsa yang beroperasi di Belanda membeli kapasiti pengkomputeran daripada orang lain. Kontrak yang mengawalnya biasanya merupakan templat pembekal, ditandatangani di bawah tekanan masa, dengan perjanjian tahap perkhidmatan yang dikuatkuasakan dan klausa keluar yang tidak dibaca oleh sesiapa. Artikel ini menetapkan bagaimana undang-undang Belanda melayan kontrak ini, di mana terma standard paling lemah untuk pelanggan, dan apa yang kini dikehendaki oleh Akta Data EU semasa bertukar.

Tiga lapisan, ditambah hosting dan kolokasi

"Awan" bukanlah satu produk. Apa yang dikawal oleh pelanggan berubah pada setiap lapisan, begitu juga dengan apa yang mesti dilindungi oleh kontrak.

Lebih jauh anda berada di kedudukan terendah, lebih banyak risiko operasi yang akan anda tanggung, dan lebih jauh anda berada di kedudukan tertinggi, lebih banyak risiko yang akan anda tanggung. Kolokasi adalah keadaan terpencil: anda membeli ruang lantai, kuasa dan keselamatan fizikal, jadi terma penentu adalah ketumpatan dan redundansi kuasa, tempoh notis, peningkatan caj kuasa, pekerja jarak jauh dan hak anda untuk mengalih keluar rak anda. Dengan pengehosan biasa, pertikaian hampir selalu bergantung pada skop: adakah pembekal bertanggungjawab untuk menampal, memantau dan membuat sandaran, atau hanya untuk memastikan mesin dikuasakan?

Bagaimana undang-undang Belanda mencirikan kontrak

Undang-undang Belanda tidak mempunyai jenis kontrak yang dipanggil "awan". Mahkamah mencirikan apa yang dipersetujui oleh pihak-pihak dan bagaimana mereka melaksanakannya, kemudian menggunakan peraturan jenis atau jenis-jenis yang sesuai.

• Opdracht (art. 7:400 BW): lalai untuk SaaS, PaaS, pengehosan terurus dan elemen perkhidmatan IaaS.
• Sewa (artikel 7:201 BW): pajakan memerlukan penggunaan kes, objek ketara (art. 3:2 BW). Perisian dan data bukanlah, jadi SaaS tulen bukanlah pajakan. Ruang kolokasi dan perkakasan khusus adalah munasabah, itulah sebabnya perjanjian kolokasi sering membawa ciri pajakan apa sahaja yang dipanggil oleh pembekal.
• Belilah itu (perkara 7:1 BW): dalam De Beeldbrigade (HR 27 April 2012, ECLI:NL:HR:2012:BV1301) Hoge Raad memutuskan bahawa pemerolehan perisian standard untuk kegunaan tanpa had dengan pembayaran sekali sahaja termasuk di bawah peruntukan jualan. Itu tidak dibawa ke perkhidmatan langganan, tetapi ia penting untuk lesen kekal dalam perjanjian hibrid.
• Gemengde overeenkomst (art. 6:215 BW): kebanyakan kontrak sebenar adalah bercampur, dan peraturan setiap jenis terpakai secara kumulatif melainkan jika tidak dapat dipertikaikan.

Mengapa pencirian penting

Penamatan. Di bawah perkara 7:408 BW, pelanggan pada prinsipnya boleh menamatkan opdracht pada bila-bila masa, dan perkara 7:411 BW mengawal apa yang kemudiannya terhutang kepada pembekal. Antara perniagaan, peraturan ini sebahagian besarnya terbuka kepada persetujuan yang bertentangan (lihat perkara 7:413 BW), dan templat menggantikannya dengan terma tetap, pembaharuan automatik dan notis panjang. Jika perjanjian terbuka tidak mempunyai klausa penamatan, undang-undang kes Belanda secara amnya menganggapnya sebagai boleh ditamatkan, tetapi kewajaran dan keadilan mungkin memerlukan notis, pampasan atau alasan yang serius.

Kewajipan berjaga-jaga. Jika kontrak itu merupakan opdracht, art. 7:401 BW mengenakan penjagaan kontraktor yang baik: piawaian yang boleh dikuatkuasakan telah digunakan oleh mahkamah Belanda untuk menahan pembekal daripada tugas penyiasatan, amaran dan pengurusan projek yang kontraknya tidak pernah disebut. Di bawah pencirian jualan atau pajakan, laluan itu sebaliknya adalah pematuhan atau kecacatan.

Perjanjian tahap perkhidmatan

Ketersediaan, dan bagaimana ia diukur

• Apa yang diukur: keseluruhan perkhidmatan atau satu komponen? Platform yang menjawab pemeriksaan kesihatan semasa log masuk tidak aktif dikira sebagai "tersedia" di bawah banyak SLA.
• Sepanjang tempoh apa: 99.9 peratus yang diukur setiap tahun membenarkan satu gangguan bekalan yang panjang; diukur setiap bulan ia mengehadkan satu insiden dengan lebih ketat.
• Oleh siapa, dari mana: Pemantauan pembekal di dalam rangkaiannya sendiri melaporkan angka yang lebih baik daripada siasatan dari pejabat anda.
• Apa yang dikecualikan: penyelenggaraan, kegagalan rangkaian pihak ketiga, force majeure dan insiden "disebabkan oleh pelanggan" secara rutin diketepikan, dan masa yang dikecualikan biasanya juga meninggalkan penyebut, lalu meningkatkan angka tersebut.

Ketersediaan bukanlah prestasi. Perkhidmatan boleh tersedia sepenuhnya dan terlalu perlahan. Komitmen untuk kelajuan secara berasingan: sasaran tindak balas, tetingkap kelompok, masa pemulihan dan objektif titik pemulihan dan masa tindak balas sokongan setiap kelas keutamaan. Sandaran memerlukan komitmennya sendiri, termasuk pemulihan yang diuji. Betulkan tetingkap penyelenggaraan juga: masa, notis, kekerapan dan tempoh. Untuk operasi antarabangsa, "di luar waktu pejabat" memerlukan zon waktu.

Kredit perkhidmatan, dan perangkap eksklusiviti

• Adakah mereka penawar eksklusif? Terma pembekal biasanya menyatakannya, yang mengubah setiap kegagalan menjadi diskaun yang sederhana dan menutup ganti rugi. Sekurang-kurangnya hapuskan pelanggaran berterusan, sengaja atau kecuaian yang melampau, dan sebarang pelanggaran yang juga merupakan pelanggaran keselamatan atau data.
• Perlukah anda menuntut mereka? Banyak rejim memerlukan tuntutan dalam tempoh yang singkat, jika tidak, kredit akan luput. Kekalkan kredit automatik pada invois.
• Adakah jalan keluar? Rejim kredit tanpa hak untuk menamatkan adalah lemah. Pembekal yang boleh terlepas sasarannya selama-lamanya, mengembalikan sebahagian kecil daripada yuran bulanan dan memastikan anda terus bekerja telah menyebabkan kegagalannya. Kegagalan berulang atau serius diikat dengan penamatan atas sebab tertentu, tanpa penalti dan dengan bantuan keluar sepenuhnya.

Kewajipan menjaga dan kewajipan untuk bekerjasama

Undang-undang kes IT Belanda dibangunkan secara luar biasa mengenai kewajipan penjagaan pembekal. Pembekal profesional mesti menyiasat persekitaran dan keperluan pelanggan, memberi amaran tentang risiko, pilihan yang tidak sesuai dan kos berlebihan, dan terus memberi amaran apabila nasihat diabaikan. Menggelar kewajipan sebagai salah satu usaha terbaik tidak meneutralkan jangkaan yang dicipta oleh pembekal sebelum tandatangan.

Kewajipan cermin adalah nyata dan dipandang remeh: pelanggan mesti bekerjasama dengan memberikan maklumat yang tepat, membuat keputusan tepat pada masanya, menguji apabila diminta, dan menyediakan akses dan orang yang kompeten. Pelanggan yang gagal boleh mendapati dirinya dalam keingkaran pemiutang (perkara 6:58 BW), yang menyekat keingkaran pembekal, melemahkan tuntutan ganti rugi dan boleh menggagalkan penamatan.

Perkara ini merangkumi keselamatan. Dalam kes Gemeente Hof van Twente lwn Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25 Februari 2025, ECLI:NL:GHARL:2025:1046) mahkamah menolak tuntutan pelanggan selepas serangan ransomware, kerana kelemahan yang dikesan berpunca daripada pentadbiran yang dikekalkan oleh pelanggan: perubahan firewall yang dibuatnya sendiri, dan kata laluan yang lemah pada akaun yang diuruskannya. Kawalan mendorong tanggungjawab, jadi rekodkan pihak mana yang memiliki setiap kawalan.

Keselamatan, pensijilan dan audit

Jangan terima "langkah-langkah teknikal dan organisasi yang sesuai" sebagai keseluruhan kewajipan. Nyatakan piawaian dan skop yang dinamakan, seperti pensijilan ISO/IEC 27001 atau laporan SOC 2 Jenis II, dengan sijil yang sebenarnya meliputi perkhidmatan yang anda beli; menampal skala masa mengikut keterukan; kekerapan ujian penembusan; pemberitahuan insiden dengan pencetus, tarikh akhir dan kandungan yang ditetapkan; dan laluan audit. Pembekal besar menolak audit di tapak; kompromi yang boleh dilaksanakan ialah pensijilan serta hak untuk mengaudit apabila notis selepas insiden.

Peraturan sektor mungkin menambah kandungan mandatori. Entiti kewangan tertakluk kepada DORA (Peraturan (EU) 2022/2554), yang menetapkan terma untuk kontrak pihak ketiga ICT. Cyberbeveiligingswet Belanda , yang melaksanakan NIS2, mula berkuat kuasa pada 15 Ogos 2026 dan menjangkau sektor infrastruktur digital dan perkhidmatan terurus serta ramai pelanggan. Kedua-dua rejim ini bertanggungjawab secara langsung terhadap kontrak: untuk entiti kewangan di bawah DORA, dan untuk entiti penting dan penting di bawah Cyberbeveiligingswet, mereka mengenakan keperluan ke atas daya tahan operasi, ke atas pemberitahuan insiden dan ke atas strategi keluar. Tetapkan pada mulanya yang mana antara kedua-duanya akan menarik pembekal dan yang mana akan menarik anda.

Perlindungan Data

Apabila data peribadi diproses, anda memerlukan perjanjian pemprosesan di bawah GDPR, yang meliputi arahan, kerahsiaan, keselamatan, subpemproses, hak subjek data, pemberitahuan pelanggaran dan pemulangan atau pemadaman pada akhirnya. Titik rundingan berulang ialah rejim subpemproses, sama ada anda mendapat notis terlebih dahulu dan hak untuk membantah, dan pemindahan antarabangsa. Rangka Kerja Privasi Data EU-AS terselamat daripada cabaran pertamanya di hadapan Mahkamah Agung, yang menolak tindakan dalam Kes T-553/23 (Latombe lwn Suruhanjaya) pada 3 September 2025, dengan memutuskan bahawa Mahkamah Semakan Perlindungan Data menawarkan jaminan kebebasan yang mencukupi dan semakan kehakiman selepas kejadian pengumpulan pukal memenuhi piawaian perlindungan yang pada asasnya setara. Rayuan telah difailkan pada 31 Oktober 2025 sebagai Kes C-703/25 P dan sedang menunggu keputusan; keputusan kecukupan masih berkuat kuasa sepenuhnya buat masa ini.

Lokasi data dan kedaulatan

Lokasi merupakan persoalan komersial dan kawal selia sebelum ia menjadi persoalan perlindungan data. Tanyakan secara bertulis: di mana data disimpan, dan dari mana ia diproses atau diakses, dengan mengingati bahawa kakitangan sokongan di luar EU merupakan akses walaupun storan adalah setempat; di mana sandaran, salinan pemulihan bencana dan log berada; entiti mana yang boleh dipaksa untuk menyerahkan data di bawah perintah asing; bolehkah anda membetulkan rantau ini, dan apa yang berlaku jika pembekal mengubahnya. Akta Data membantu: penyedia mesti menerbitkan, dan mencerminkan dalam kontrak mereka, bidang kuasa yang tertakluk kepada infrastruktur yang digunakan dan langkah-langkah yang diambil terhadap akses kerajaan antarabangsa yang menyalahi undang-undang kepada data bukan peribadi yang disimpan di EU.

Jalan keluar

Klausa keluar yang dirundingkan pada mulanya adalah lebih bernilai daripada mana-mana klausa lain dalam kontrak. Pada mulanya anda mempunyai leveraj dan pembekal mahukan perjanjian itu; pada akhirnya anda tidak mempunyai apa-apa, dan setiap hari kelewatan akan merugikan anda.

• Format. Berstruktur, biasa digunakan dan boleh dibaca mesin, dengan skema yang didokumenkan, termasuk metadata, konfigurasi, log audit dan lampiran. Lambakan yang tidak didokumenkan bukanlah pulangan yang boleh digunakan.
• Skop. Semuanya, bukan sahaja rekod yang anda muatkan: data yang diperoleh, versi sejarah dan apa sahaja yang diperlukan oleh kewajipan pengekalan anda.
• Tempoh peralihan. Tempoh yang ditetapkan di mana perkhidmatan diteruskan mengikut terma sedia ada semasa anda berhijrah, boleh dilanjutkan pada harga yang dinyatakan.
• Pertolongan. Kewajipan untuk membantu, dengan peranan yang dinamakan, kadar harian yang dipersetujui sekarang, dan kerjasama dengan pembekal baharu anda.
• Pemadaman. Pemadaman yang diperakui selepas tempoh pengambilan yang ditetapkan, termasuk sandaran, dengan masa tamat tempoh yang dinyatakan.
• Pencetus. Kewajipan keluar terpakai untuk sebarang penamatan, termasuk oleh pembekal atas kegagalan anda membayar. Pembekal sering mengecualikan kes tersebut, dan ia adalah kes yang paling anda perlukan.

Penguncian, kebolehgunaan dan Akta Data EU

Peraturan (EU) 2023/2854, Akta Data, mula berkuat kuasa pada 11 Januari 2024 dan terpakai mulai 12 September 2025. Bab VI mewujudkan rejim penukaran untuk penyedia "perkhidmatan pemprosesan data", yang ditakrifkan secara meluas untuk merangkumi IaaS, PaaS dan SaaS.

• Halangan mesti berlalu (perkara 23): halangan komersial, teknikal, kontraktual dan organisasi untuk penamatan, perpindahan kepada pesaing dan pemindahan data.
• Terma wajib (perkara 25): tempoh notis maksimum selama dua bulan untuk mula bertukar; tempoh peralihan maksimum mandatori selama 30 hari kalendar, boleh dilanjutkan sekali oleh pelanggan dan, jika pertukaran secara teknikalnya tidak dapat dilaksanakan, oleh penyedia sehingga tujuh bulan dengan notis yang munasabah; kemudian tempoh pengambilan data sekurang-kurangnya 30 hari kalendar, diikuti dengan pemadaman.
• Caj (perkara 29): dari 11 Januari 2024 hingga 12 Januari 2027, penyedia hanya boleh mengenakan caj pertukaran yang dikurangkan, tidak melebihi kos yang berkaitan secara langsung dengan proses pertukaran. Mulai 12 Januari 2027, caj pertukaran adalah dilarang sama sekali., yuran keluar tamat semasa keluar.
• Kewajipan teknikal (perkara 30): penyedia peringkat infrastruktur mesti mengambil semua langkah yang munasabah untuk membolehkan kesetaraan fungsi selepas bertukar; yang lain mesti menyediakan antara muka terbuka secara percuma. Tiada penyedia mesti membangunkan teknologi baharu atau mendedahkan rahsia perdagangan.
• Maklumat, niat baik dan pengecualian (perkara 26, 27, 31): prosedur penukaran mesti didedahkan; semua pihak, termasuk penyedia destinasi, mesti bekerjasama dengan niat baik; perkhidmatan ujian yang ditempah khas dan terhad masa disediakan.

Tiga amaran. Akta Data menetapkan pelan lantai, bukan pelan migrasi: ia tidak akan menjadikan data anda mudah alih jika anda membina perkhidmatan platform proprietari yang tiada setaraf di tempat lain. Masa adalah penting: kontrak yang dimuktamadkan pada atau selepas 12 September 2025 perlu memenuhi Bab VI dengan segera, manakala kontrak yang dimuktamadkan sebelum tarikh tersebut mesti diselaraskan menjelang 12 September 2027. Untuk membantu dalam hal itu, Suruhanjaya telah menerbitkan klausa kontrak standard modular pada akhir tahun 2025 yang boleh dimasukkan oleh penyedia ke dalam terma mereka untuk memenuhi obligasi Bab VI. Cadangan Omnibus Digital Suruhanjaya pada 19 November 2025 tidak lagi menjejaskan Bab VI dalam apa jua cara yang material, pertindihan antara kedua-duanya sebahagian besarnya telah diserap ke dalam bab tersebut. Dan kolokasi dan perumahan tulen berada di luar definisi perkhidmatan pemprosesan data, dan oleh itu di luar rejim, dengan syarat tiada fungsi awan yang boleh diskala atau elastik dibekalkan dengan ruang lantai.

Kesinambungan dan insolvensi pembekal

Jika pembekal anda gagal, pemegang amanah akan memutuskan di bawah perkara 37 Fw sama ada untuk melaksanakan kontrak tertunggak; jika tidak, tuntutan anda tidak bercagar. Escrow kod sumber dibina untuk perisian di premis dan tidak banyak membantu SaaS: kod tanpa data, persekitaran dan pengetahuan operasi tidak memulihkan perkhidmatan. SaaS memerlukan pengaturan kesinambungan yang meliputi tika yang berjalan, data dan hak untuk terus beroperasi. Sekurang-kurangnya, kontrak harus menyatakan bahawa data adalah milik anda, tidak tertakluk kepada sebarang hak pengekalan dan mesti dikeluarkan pada peristiwa yang ditentukan.

Liabiliti, pembebasan dan harga

Terma standard pembekal dalam pasaran Belanda didominasi oleh NLdigital Voorwaarden, yang mana edisi 2025 adalah yang terkini. Ia mengehadkan liabiliti untuk kerugian langsung kepada harga yang dipersetujui untuk kontrak, atau, untuk kontrak berterusan yang berjalan lebih lama daripada setahun, kepada yuran satu tahun, dan mengehadkannya dalam apa jua keadaan pada EUR 500,000, dengan siling berasingan sebanyak EUR 1,750,000 untuk kematian, kecederaan diri dan kerosakan fizikal kepada harta benda. Kerugian tidak langsung dan berbangkit, kehilangan keuntungan, kehilangan simpanan, muhibah yang berkurangan, gangguan perniagaan dan tuntutan oleh pelanggan pelanggan sendiri dikecualikan sepenuhnya. Had tersebut hanya akan hilang jika kerugian itu berpunca daripada niat atau kecuaian yang disengajakan oleh pihak pengurusan pembekal. Tuntutan mesti dimaklumkan secepat mungkin selepas kerugian timbul dan tamat tempoh dua puluh empat bulan kemudian melainkan prosiding telah dikeluarkan. Tentukan edisi mana yang telah digabungkan oleh pembekal anda, dan sama ada ia telah mengubahnya: edisi terdahulu masih dalam edaran dan banyak pembekal menggunakan terma mereka sendiri.

Mahkamah Belanda memang menguatkuasakan klausa pembebasan antara perniagaan. Laluan pertama ialah art. 6:248 BW: pergantungan pada klausa gagal jika ia tidak boleh diterima mengikut piawaian kewajaran dan keadilan. Mahkamah menggunakan ujian dengan berhati-hati, menimbang keseriusan kesalahan, kepentingan yang dirugikan, kedudukan pihak-pihak dan bagaimana risiko dinilai. Niat atau tindakan yang setara dengannya secara amnya akan mengalahkan sesuatu klausa. Jika terma tersebut merupakan syarat umum (art. 6:231 BW), art. 6:233 BW membenarkan pembatalan terma yang tidak munasabah dan membebankan. Secara praktikal: merundingkan had yang mempunyai beberapa kaitan dengan bahaya yang disebabkan oleh kegagalan, letakkan kehilangan data, kerahsiaan, keselamatan dan ganti rugi IP di luarnya, dan takrifkan "kerugian berbangkit".

Mengenai harga, betulkan mekanisme: hadkan pengindeksan tahunan terhadap indeks yang dinamakan, hadkan kenaikan kepada sekali setahun dengan notis yang dinyatakan, dan ambil hak untuk menamatkan tanpa penalti melebihi ambang. Dengan penetapan harga berasaskan penggunaan, tetapkan hanya kepada jumlah yang akan anda gunakan, dan kawal kos penskalaan, peringkat sokongan dan jalan keluar.

Undang-undang yang berkenaan, pertikaian dan pembekal bukan EU

Pilih undang-undang Belanda dan forum Belanda di mana anda boleh. Menguatkuasakan penghakiman Belanda di dalam EU adalah mudah; menguatkuasakan penghakiman di luar EU selalunya tidak. Timbang tara boleh menjadi jawapan yang lebih baik terhadap rakan niaga bukan EU, dan dalam pertikaian IT Belanda, yayasan SGOA menawarkan timbang tara dan pengantaraan khusus sektor.

Mengkontrak di luar EU membawa tiga realiti. Had liabiliti mungkin mudah digunakan dan sukar dicabar dalam forum yang jauh. Peraturan mandatori EU, termasuk rejim pertukaran Akta Data dan GDPR, boleh terpakai berdasarkan tempat perkhidmatan ditawarkan, tetapi mengaplikasikan dan menguatkuasakannya adalah perkara yang berbeza. Dan syarikat induk asing mungkin menghadapi perintah pendedahan yang bercanggah dengan kewajipan anda di sini. Jika pendedahan adalah penting, kontrak dengan entiti EU pembekal dan berkeras untuk forum Eropah.

Senarai semak rundingan

• Tentukan perkhidmatan mengikut lapisan dan rekodkan pihak mana yang mengawal setiap komponen dan setiap kawalan keselamatan.
• Jadikan ketersediaan boleh diukur: skop komponen, tempoh, titik pengukuran dan pengecualian; komit prestasi dan pulihkan objektif secara berasingan.
• Tolak kredit perkhidmatan sebagai remedi eksklusif dan lampirkan hak penamatan kepada kegagalan berterusan atau teruk.
• Tentukan keselamatan mengikut piawaian dan skop, berserta bukti, tarikh akhir pemberitahuan dan laluan audit.
• Tandatangani perjanjian pemprosesan dan betulkan lokasi data, pemprosesan dan sokongan.
• Rundingkan klausa keluar terlebih dahulu: format, skop, tempoh peralihan, bantuan berbayar, pemadaman yang diperakui dan pencetus termasuk penamatan kerana tidak membayar.
• Semak kontrak dengan keperluan pertukaran Akta Data, catatkan diari pada 12 Januari 2027 dan selesaikan kesinambungan: pemilikan data, tiada hak pengekalan, escrow.
• Uji had liabiliti terhadap kerugian yang akan disebabkan oleh kegagalan sebenar, dan letakkan data, keselamatan, kerahsiaan dan IP di luarnya.
• Indeksasi had, dan pilih undang-undang, forum dan entiti kontrak dengan sengaja.