Pemilikan data kontrak SaaS: siapa yang memiliki data anda di bawah undang-undang Belanda?

Di bawah undang-undang Belanda, tiada siapa yang memiliki data sedemikian, jadi klausa data dalam kontrak SaaS anda menentukan siapa yang boleh menggunakan, menyalin, mengeksport dan memadam maklumat yang anda masukkan ke dalam platform awan. Pengecualian utama ialah hak cipta, hak pangkalan data, rahsia perdagangan dan GDPR, yang melindungi sebahagian data anda mengikut undang-undang; semua yang lain hanya dilindungi setakat yang dinyatakan dalam kontrak anda.

Perkara 3:2 Kanun Sivil Belanda (Burgerlijk Wetboek, BW) mentakrifkan sesuatu benda (zaak) sebagai objek ketara yang mampu dikawal oleh manusia, dan set data tidak ketara. Oleh itu, perkataan kontrak yang samar-samar tidak meninggalkan persoalan terbuka: dalam praktiknya ia menyelesaikannya demi kepentingan penyedia.

Mengapakah pemilikan data merupakan persoalan kontrak, bukan persoalan harta?

Undang-undang harta Belanda hanya mengetahui perkara dan hak harta (goederen, Perkara 3:1 BW), dan data bukanlah kedua-duanya. Anda tidak boleh menghantar, menjamin atau menuntut semula data seperti yang anda boleh lakukan di pelayan, jadi jika perjanjian anda tidak mengatakan apa-apa yang berguna tentang data anda, anda tidak mempunyai kedudukan sandaran.

Empat badan undang-undang melindungi data tertentu:

• Hak cipta di bawah Akta Hak Cipta Belanda (Auteurswet) melindungi teks, imej, lukisan dan perisian asal yang anda muat naik atau cipta, dan ia tidak diserahkan kepada pembekal kerana ia berada di pelayan mereka.
• Pangkalan data di bawah Akta Pangkalan Data (Databankenwet) melindungi koleksi berstruktur jika anda membuat pelaburan yang besar dalam mendapatkan, mengesahkan atau mempersembahkan kandungannya; pelaburan dalam mencipta data itu sendiri tidak dikira.
• Akta Rahsia Perdagangan (Wet bescherming bedrijfsgeheimen) melindungi maklumat perniagaan sulit yang bernilai komersial, tetapi hanya jika anda mengambil langkah yang munasabah untuk merahsiakannya.
• GDPR melindungi data peribadi, tetapi ia memberikan hak kepada individu yang berkenaan, bukan kepada syarikat anda.

Log transaksi, telemetri, tetapan konfigurasi, corak penggunaan, bacaan sensor dan analitik yang dibina padanya biasanya berada di luar keempat-empatnya. Ia hanya dilindungi oleh perjanjian anda.

Apa yang menjadi masalah apabila klausa data samar-samar?

Klausa data yang samar-samar menghasilkan lima masalah berulang. Setiap satunya adalah berdasarkan istilah pembekal standard dan bukannya daripada nasib malang.

Oleh itu, perjanjian awan wajar diteliti sama seperti kontrak pajakan atau pengedaran. Gambaran keseluruhan kami tentang apa yang perlu disemak dalam kontrak awan di Belanda menetapkan rangka kerja komersial yang lebih luas.

Apakah yang sepatutnya dinyatakan dalam klausa data?

Klausa yang boleh dilaksanakan mentakrifkan data pelanggan, menyatakan bahawa semua hak di dalamnya kekal dengan pelanggan, dan mengehadkan lesen penyedia kepada tujuan penyampaian perkhidmatan. Had tujuan membawa berat.

Bandingkan dua formulasi. “Lesen untuk menggunakan, menghasilkan semula, mengubah suai dan mengedarkan Data Pelanggan”, yang diberikan secara berterusan dan tidak boleh ditarik balik, membolehkan penyedia membina produk berdasarkan maklumat anda dan terus berbuat demikian selepas anda pergi. “Lesen untuk mengakses dan memproses Data Pelanggan semata-mata untuk tujuan menyediakan Perkhidmatan di bawah Perjanjian ini”, yang berakhir apabila perjanjian tamat, tidak.

Takrifkan data pelanggan untuk merangkumi apa yang dicipta oleh kakitangan anda di dalam platform, seperti tiket, komen, konfigurasi aliran kerja dan anotasi, bukan sahaja apa yang anda muat naik. Urus data yang diperoleh dan diagregatkan dengan jelas, kerana klausa yang hanya merangkumi "Data Pelanggan" akan menyebabkan semua yang dikira oleh penyedia daripadanya tidak dilindungi.

Sejauh manakah undang-undang kontrak Belanda melindungi anda daripada terma yang tidak adil?

Kurang daripada jangkaan kebanyakan perniagaan. Kebanyakan perjanjian SaaS menggunakan terma dan syarat umum penyedia, yang dikawal oleh Artikel 6:231 hingga 6:247 BW, tetapi syarikat yang lebih besar tidak boleh menggunakan perlindungan utama.

Di bawah Perkara 6:234 BW, penyedia mesti memberi anda peluang yang munasabah untuk membaca terma-terma sebelum atau apabila kontrak dimuktamadkan; untuk kontrak elektronik, dalam bentuk yang boleh anda simpan. Di bawah Perkara 6:233(a) BW, terma boleh dibatalkan jika ia membebankan secara tidak munasabah. Walau bagaimanapun, di bawah Perkara 6:235 BW, sesebuah pihak tidak boleh bergantung pada alasan ini jika ia merupakan entiti sah yang telah menerbitkan akaun tahunan terkininya, atau jika 50 atau lebih orang bekerja untuknya semasa kontrak dimuktamadkan.

Injap keselamatan yang tinggal adalah Perkara 6:248(2) BW: tempoh kontrak tidak terpakai jika penggunaannya tidak boleh diterima mengikut piawaian kewajaran dan keadilan. Mahkamah menggunakan ini secara terhad antara perniagaan. Bagi kebanyakan syarikat yang mantap, rundingan sebelum menandatangani adalah satu-satunya peluang sebenar.

Adakah pilihan undang-undang asing mengubah perkara ini?

Sebahagiannya. Di bawah Peraturan Rom I, pilihan undang-undang perniagaan-ke-perniagaan secara amnya sah, dan di bawah Peraturan Brussels Ibis, begitu juga pilihan mahkamah dalam EU. Pilihan itu tidak mematikan GDPR atau peraturan pertukaran Akta Data EU, yang mengikat penyedia yang melayani pelanggan di EU di mana sahaja mereka ditubuhkan. Janji untuk mematuhi undang-undang privasi domestik penyedia dan bukannya GDPR adalah satu kecacatan.

Bagaimanakah anda mendapatkan kembali data anda di bawah Akta Data EU?

Sejak September 2025, Akta Data (Peraturan (EU) 2023/2854) telah diguna pakai, dan peraturan penukarannya meliputi SaaS serta perkhidmatan infrastruktur dan platform. Ia mengubah perkara yang dahulunya boleh dirundingkan menjadi hak minimum berkanun, tanpa mengira terma standard penyedia.

Pembekal mesti menghapuskan halangan kontraktual, teknikal dan komersial untuk bertukar kepada pembekal lain atau kepada infrastruktur anda sendiri. Peraturan ini mengehadkan tempoh notis sebelum pertukaran bermula, memerlukan tempoh peralihan di mana pembekal menyokong perpindahan tersebut dan menjamin tempoh minimum untuk mendapatkan semula data anda sebelum ia dipadamkan. Eksport mestilah dalam format berstruktur, biasa digunakan dan boleh dibaca mesin, melalui antara muka terbuka.

Caj pertukaran sedang dihentikan secara berperingkat: semasa peralihan, penyedia hanya boleh mengenakan kos sebenar, dan mulai 12 Januari 2027, ia mungkin tidak mengenakan bayaran untuk pertukaran atau keluar data sama sekali. Kontrak yang dimeteraikan berdasarkan terma lama harus dibaca semula berdasarkan peraturan ini. Untuk perkhidmatan yang sangat disesuaikan, tetap masukkan format eksport, dokumentasi skema dan sokongan migrasi dalam kontrak: minimum berkanun adalah had bawah, bukan pelan migrasi.

Apakah yang mesti dinyatakan dalam perjanjian pemproses tentang pemadaman dan keselamatan?

Jika platform menyimpan data peribadi, anda biasanya pengawal dan penyedia adalah pemproses, dan Perkara 28 GDPR memerlukan perjanjian pemproses bertulis. Pada akhir kontrak, pemproses mesti, atas pilihan anda, memadam atau mengembalikan semua data peribadi; klausa yang membenarkan penyedia memilih tidak memenuhi piawaian tersebut.

Penjelasan kami tentang peranan pengawal dan pemproses di bawah GDPR membantu anda menentukan siapa itu siapa, dan panduan kami untuk perjanjian pemprosesan data merangkumi penggubalan.

Sandaran biasanya gagal apabila janji pemadaman gagal. Sandaran tidak disunting, rekod demi rekod; pendekatan yang diterima ialah data yang ditanda untuk pemadaman tidak lagi digunakan, tidak dipulihkan ke dalam sistem langsung dan hilang apabila sandaran ditulis ganti. Kontrak tersebut harus menyatakan tempoh putaran sandaran, menjamin bahawa data yang ditandai tidak dipulihkan dan memerlukan pengesahan bertulis tentang pemadaman.

Perkara 32 GDPR memerlukan langkah keselamatan yang sesuai daripada pengawal dan pemproses. Ikatkannya dengan pensijilan yang dipegang dan akan dikekalkan oleh penyedia, seperti ISO/IEC 27001, dengan hak audit. Memandangkan Akta Keselamatan Siber (Cyberbeveiligingswet) mula berkuat kuasa pada 15 Ogos 2026, entiti dalam skopnya mesti memberi amaran awal tentang insiden penting kepada CSIRT dan pihak berkuasa yang kompeten dalam tempoh 24 jam dan pemberitahuan yang lebih lengkap dalam tempoh 72 jam (Perkara 26 dan 27 Cyberbeveiligingswet). Anda hanya boleh memenuhi tarikh akhir tersebut jika penyedia anda mesti memaklumkan anda dalam masa beberapa jam.

Subpemproses, lokasi data dan audit

Di bawah Perkara 28(2) GDPR, pemproses memerlukan kebenaran anda sebelum menggunakan sub-pemproses, dan dengan kebenaran umum mesti memaklumkan anda tentang perubahan supaya anda boleh membantah. Kontrak tersebut harus menetapkan tempoh notis dan membenarkan anda menamatkan tanpa penalti, dengan eksport penuh, jika anda membantah.

Jika data peribadi meninggalkan Kawasan Ekonomi Eropah, Bab V GDPR memerlukan mekanisme pemindahan seperti keputusan kecukupan atau klausa kontrak standard Suruhanjaya Eropah. Memerlukan penyedia untuk bertukar kepada mekanisme alternatif dengan kosnya sendiri jika yang sedang digunakan tidak lagi digunakan, dan mendedahkan dari negara mana kakitangan sokongan boleh mengakses data anda. Pastikan klausa audit membenarkan soalan susulan dan pemeriksaan selepas insiden, bukan sekadar laporan tahunan.

Siapakah yang memiliki data terbitan dan data latihan AI?

Tiada siapa mengikut undang-undang, jadi kontrak yang menentukan. Data yang diperoleh ialah apa yang dikira oleh pembekal daripada data anda: penanda aras, ramalan, laporan kecekapan dan pemberat model yang dilatih pada set data anda.

Perhatikan klausa "penambahbaikan perkhidmatan", biasanya hak untuk menggunakan data tanpa nama atau data agregat untuk membangunkan perkhidmatan dan model penyedia. Penyamaran adalah satu bar yang tinggi di bawah GDPR: rekod yang disamarkan nama, atau agregat yang cukup terperinci untuk mengenal pasti seorang pelanggan, kekal sebagai data peribadi. Dan data tanpa nama masih boleh mendedahkan harga, margin, campuran pelanggan dan proses anda kepada produk yang dijual kepada pesaing anda.

Perlindungan rahsia perdagangan hanya membantu jika anda mengambil langkah yang munasabah untuk merahsiakan maklumat, dan persetujuan untuk penggunaannya untuk latihan model adalah hampir sebaliknya. Akta AI EU mengawal selia cara sistem AI dibangunkan dan digunakan tetapi tidak memperuntukkan hak dalam data atau output latihan. Klausa perlindungan menyatakan bahawa semua hak dalam data mentah, terbitan dan agregat kekal dengan anda, dan pembangunan produk, penanda aras atau latihan model memerlukan persetujuan bertulis anda terlebih dahulu kes demi kes.

Adakah had liabiliti dalam kontrak SaaS sah di bawah undang-undang Belanda?

Pada prinsipnya, ya. Undang-undang Belanda menerima klausa pembebasan antara perniagaan, dan penyedia biasanya menetapkan had liabiliti pada yuran yang dibayar selama enam atau dua belas bulan, sebahagian kecil daripada kerugian dalam pelanggaran data yang serius.

Di bawah Perkara 6:248(2), BW yang bergantung pada had tidak boleh diterima terutamanya jika kerosakan itu disebabkan oleh niat atau kecuaian yang disengajakan oleh penyedia atau pengurusannya, menurut undang-undang kes Mahkamah Agung. Pihak yang tidak dikecualikan oleh Perkara 6:235 BW juga boleh mencabar had tersebut di bawah Perkara 6:233(a) BW. Kedua-dua laluan dipertikaikan selepas kerugian dan dengan kos; rundingan adalah lebih murah.

Kekalkan dua pengecualian: pelanggaran kerahsiaan dan obligasi keselamatan di luar had umum, dan ganti rugi harta intelek tanpa had. Had antara anda dan penyedia tidak mengehadkan tuntutan oleh individu di bawah Perkara 82 GDPR atau denda oleh AP, yang mana bagi pelanggaran paling serius boleh mencapai 4% daripada perolehan tahunan di seluruh dunia.

Apa yang akan berlaku kepada data anda sekiranya pembekal muflis?

Di bawah Perkara 37 Akta Kebankrapan (Faillissementswet), anda boleh memberi pemegang amanah (kurator) tarikh akhir bertulis yang munasabah untuk mengesahkan sama ada kontrak itu akan dilaksanakan. Jika pemegang amanah tidak mengesahkan, dia kehilangan hak untuk menuntut pelaksanaan daripada anda, tetapi perkhidmatan tersebut tidak akan terus berjalan.

Source code escrow alone does not solve this, because the code is useless without the environment, configuration and data. A working continuity arrangement combines regular deposit of source code and build instructions, a current copy of your data in a documented format outside the provider’s estate, and a release trigger that covers insolvency and prolonged service failure. See our articles on escrow arrangements and escrow perisian di Belanda.

Bagaimanakah perbandingan perkataan yang lemah dengan perkataan yang melindungi?

Kata-kata yang lemah menggambarkan hasil; kata-kata pelindung mengikat penyedia kepada mekanisme yang boleh anda uji terhadap format, noktah atau piawaian yang dinamakan.

Apa yang perlu anda semak sebagai pelanggan?

• Adakah lesen pembekal tamat pada penamatan dan hanya meliputi penyampaian perkhidmatan?
• Adakah data yang diperoleh dan diagregatkan adalah milik anda secara nyata, dan adakah latihan model dikecualikan tanpa persetujuan anda?
• Adakah eksport dijamin dalam format yang didokumenkan dan boleh dibaca mesin, tidak lebih daripada yang dibenarkan oleh Akta Data?
• Adakah pemadaman merangkumi sandaran, dengan pengesahan bertulis?
• Perlukah penyedia memaklumkan insiden dalam beberapa jam, supaya anda boleh memenuhi tarikh akhir Cyberbeveiligingswet 24 jam jika ia terpakai kepada anda?
• Adakah kerahsiaan, keselamatan dan indemniti IP di luar had liabiliti?

Apa yang perlu anda semak sebagai penyedia SaaS?

• Adakah terma anda mematuhi peraturan pertukaran Akta Data, termasuk penghapusan caj pertukaran secara berperingkat menjelang 12 Januari 2027?
• Adakah perjanjian pemproses anda memenuhi Perkara 28 GDPR, termasuk penghapusan atau pemulangan atas pilihan pelanggan?
• Adakah senarai subpemproses anda terkini, dengan prosedur notis dan bantahan?
• Adakah hak penambahbaikan perkhidmatan dan latihan AI anda jelas terhad dan benar-benar berdasarkan data tanpa nama?
• Adakah anda telah memberikan terma umum anda dalam bentuk yang boleh disimpan oleh pelanggan, seperti yang dikehendaki oleh Perkara 6:234 BW?

Panduan undang-undang IT kami menetapkan rangka kerja yang lebih luas.

Apa yang boleh kami lakukan untuk anda dengan kontrak dan data SaaS?

Peguam IT kami menyemak dan merundingkan perjanjian SaaS dan awan untuk perniagaan Belanda dan antarabangsa:

• Kami menyemak perjanjian SaaS dan perjanjian pemproses anda dan menandakan setiap klausa yang mempengaruhi hak dalam data anda.
• Kami mendraf kata-kata perlindungan mengenai hak data, data yang diperoleh, eksport, pemadaman dan liabiliti.
• Kami menyemak kontrak sedia ada terhadap peraturan pertukaran Akta Data dan Cyberbeveiligingswet.
• Kami menyediakan pengaturan kesinambungan dan escrow dengan pencetus pelepasan yang boleh dilaksanakan.
• Kami menjalankan rundingan dengan penyedia atau, jika anda penyedia, mendraf terma standard yang mematuhi.
• Kami bertindak dalam pertikaian dengan penyedia apabila keluar atau pemulangan data tidak berjaya.

Ringkasan

• Data bukanlah sesuatu di bawah Perkara 3:2 BW, jadi kontrak anda yang menentukan siapa yang boleh menggunakannya.
• Hadkan lesen penyedia kepada penyampaian perkhidmatan dan sertakan data yang diperoleh dan diagregatkan.
• Syarikat yang lebih besar tidak boleh bergantung pada peraturan terma yang tidak adil dalam Perkara 6:233 BW (Perkara 6:235 BW); berunding sebelum menandatangani.
• Akta Data memberikan hak penukaran dan eksport minimum dan memansuhkan caj penukaran mulai 12 Januari 2027.
• Pemadaman sandaran yang selamat, pemberitahuan insiden yang pantas dan pengaturan kesinambungan untuk insolvensi.

Soalan lazim