חוזי ענן, אירוח וקולוקציה תחת החוק ההולנדי

כמעט כל חברה בינלאומית הפועלת בהולנד רוכשת קיבולת מחשוב ממישהו אחר. החוזה המסדיר זאת הוא בדרך כלל תבנית ספק, שנחתמת תחת לחץ זמן, עם הסכם רמת שירות מצורף וסעיף יציאה שאף אחד לא קרא. מאמר זה מפרט כיצד החוק ההולנדי מתייחס לחוזים אלה, היכן תנאים סטנדרטיים הם החלשים ביותר עבור הלקוח, ומה חוק הנתונים של האיחוד האירופי דורש כעת בנוגע למעבר.

שלוש השכבות, בתוספת אירוח וקולוקציה

"ענן" אינו מוצר אחד. מה שהלקוח שולט בו משתנה בכל שכבה, וכך גם מה שהחוזה חייב להגן עליו.

ככל שאתם יושבים נמוך יותר במחסנית, כך הסיכון התפעולי שלכם גדול יותר, וככל שאתם גבוהים יותר למעלה, כך אתם נעולים יותר. קולוקציה (Colocation) היא יוצאת דופן: אתם קונים שטח רצפה, חשמל ואבטחה פיזית, כך שהמונחים המכריעים הם צפיפות חשמל ויתירות, תקופת הודעה מוקדמת, הסלמה בעלויות חשמל, ידיים מרחוק וזכותכם להסיר את המדפים שלכם. עם אירוח רגיל, המחלוקת כמעט תמיד היא היקף: האם הספק היה אחראי על תיקונים, ניטור וגיבויים, או רק על שמירה על המכונה מופעלת?

כיצד החוק ההולנדי מאפיין את החוזה

בחוק ההולנדי אין סוג חוזה הנקרא "ענן". בתי המשפט מאפיינים את החוזה לפי מה שהצדדים הסכימו וכיצד ביצעו אותו, ולאחר מכן מיישמים את הכללים המתאימים לסוג או לסוגים.

• אופדרכט (סעיף 7:400 BW): ברירת המחדל עבור SaaS, PaaS, אירוח מנוהל ואלמנט השירות של IaaS.
• השכרה (סעיף 7:201 לחוק הפלילי הבריטי): חוזה שכירות מחייב שימוש ב מקרה, אובייקט מוחשי (סעיף 3:2 לחוק המלחמה). תוכנה ונתונים אינם כאלה, ולכן SaaS טהור אינו נחשב לחכירה. שטח קולוקציה וחומרה ייעודית סביר להניח שהם כאלה, ולכן הסכמי קולוקציה נושאים לעתים קרובות מאפייני חכירה בכל כיוון שהספק מכנה אותם.
• קנה (סעיף 7:1 לחוק הדתות): ב דה בילדבריגדה (HR 27 באפריל 2012, ECLI:NL:HR:2012:BV1301) בית המשפט העליון קבע כי רכישת תוכנה סטנדרטית לשימוש בלתי מוגבל תמורת תשלום חד פעמי נופלת תחת הוראות המכירה. זה לא חל על שירות מנוי, אבל זה משנה לגבי רישיונות קבועים בעסקה היברידית.
• התכנסות קהילתית (סעיף 6:215 לחוק המלחמה): רוב החוזים האמיתיים הם מעורבים, והכללים מכל סוג חלים יחד אלא אם כן הם בלתי ניתנים ליישוב.

למה אפיון הדמויות חשוב

סיום הסכם. על פי סעיף 7:408 לחוק הפלילי הבריטי, הלקוח רשאי עקרונית לסיים הסכם בכל עת, וסעיף 7:411 לחוק הפלילי הבריטי מסדיר את החובות המגיעות לספק. בין עסקים כללים אלה חשופים במידה רבה להסכמה סותרת (ראה סעיף 7:413 לחוק הפלילי הבריטי), ותבניות מחליפות אותן בתקופות קבועות, חידוש אוטומטי והודעה ארוכת טווח. כאשר להסכם ללא תאריך סיום אין סעיף סיום, הפסיקה ההולנדי מתייחסת אליו בדרך כלל כאל הסכם בר-סיום, אך סבירות והגינות עשויים לדרוש הודעה מוקדמת, פיצוי או עילה רצינית.

חובת זהירות. אם החוזה הוא opdracht, סעיף 7:401 לחוק ההולנדים מטיל את הזהירות של קבלן טוב: סטנדרט בר אכיפה שבו בתי המשפט ההולנדיים השתמשו כדי לחייב ספקים בחובות חקירה, התרעה וניהול פרויקטים, החוזה מעולם לא הוזכר. תחת אפיון מכירה או חכירה, המסלול הוא התאמה או פגם במקום זאת.

הסכם רמת השירות

זמינות, וכיצד היא נמדדת

• מה נמדד: השירות כולו, או רכיב אחד? פלטפורמה שעושה בדיקת תקינות בזמן שהכניסה למערכת מושבתת נחשבת כ"זמינה" תחת הסכמי רמת שירות רבים.
• על פני איזו תקופה: 99.9 אחוזים, הנמדדים מדי שנה, מאפשרים הפסקה ארוכה אחת; נמדדים מדי חודש, הם מגבילים אירוע בודד בצורה הדוקה הרבה יותר.
• על ידי מי, מאיפה: ניטור ספקים בתוך הרשת שלו מדווח על מספרים טובים יותר מאשר בדיקה מהמשרד שלך.
• מה לא נכלל: תחזוקה, כשל ברשת של צד שלישי, כוח עליון ואירועים "שנגרמו על ידי הלקוח" נכללים באופן שגרתי, וזמן שאינו נכלל בדרך כלל נוטל גם הוא את המכנה, מה שמנפח את המספר.

זמינות אינה ביצועים. שירות יכול להיות זמין במלואו ואיטי באופן בלתי שמיש. התחייבו למהירות בנפרד: יעדי תגובה, חלונות אצווה, זמן שחזור ויעדי נקודת שחזור, וזמני תגובה לתמיכה לפי מחלקת עדיפות. גיבוי דורש התחייבות משלו, כולל שחזור שנבדק. תקנו גם חלונות תחזוקה: תזמון, הודעה מראש, תדירות ומשך זמן. עבור פעילות בינלאומית, "מחוץ לשעות העבודה" זקוק לאזור זמן.

זיכויי שירות ומלכודת הבלעדיות

• האם הם התרופה הבלעדית? תנאי הספק בדרך כלל קובעים זאת, מה שהופך כל כשל להנחה צנועה ומונע נזקים. לכל הפחות, יש לחסום הפרות מתמשכות, מכוונות או רשלניות חמורה, וכל הפרה שהיא גם הפרת אבטחה או הפרת נתונים.
• אתה חייב לתבוע אותם? משטרים רבים דורשים הגשת תביעה תוך זמן קצר, אחרת הזיכוי יפוג. התעקשו על זיכוי אוטומטי על החשבונית.
• האם יש דרך החוצה? משטר אשראי ללא זכות ביטול הוא חלש. ספק שיכול להחמיץ את היעדים שלו ללא הגבלת זמן, להחזיר אחוז קטן מהתשלום החודשי ולהשאיר אותך נעול, קנה את דרכו החוצה מביצועים. קשרו אי-ביצועים חוזרים או חמורים לפיטורים מסיבה כלשהי, ללא קנס ועם סיוע מלא ביציאה.

חובת הזהירות וחובת שיתוף הפעולה

פסיקת ה-IT ההולנדי מפותחת באופן יוצא דופן בנוגע לחובת הזהירות של הספק. ספק מקצועי חייב לחקור את סביבת הלקוח ודרישותיו, להתריע מפני סיכונים, בחירות לא מתאימות וחריגות עלויות, ולהמשיך להתריע כאשר העצה מתעלמת. הגדרת החובה כחובה של מאמצים טובים אינה מנטרלת את הציפיות שהספק יצר לפני החתימה.

חובת המראה היא אמיתית ואינה מוערכת כראוי: על הלקוח לשתף פעולה על ידי אספקת מידע מדויק, קביעת לוח זמנים, בדיקות כאשר מתבקש, ומתן גישה לאנשים מוסמכים. לקוח שנכשל עלול למצוא את עצמו בהפרת תנאי של נושה (סעיף 6:58 לחוק הפלילי הבריטי), דבר החוסם את הפרת הספק, פוגע בתביעת פיצויים ויכול למנוע ביטול.

הנקודה משתרעת גם על אבטחה. במשפט Gemeente Hof van Twente נגד Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25 בפברואר 2025, ECLI:NL:GHARL:2025:1046) דחה בית המשפט את תביעת הלקוח לאחר מתקפת כופר, משום שהפגיעויות נקראו לניהול שהלקוח שמר: שינוי בחומת אש שביצע בעצמו, וסיסמה חלשה בחשבון שניהל. שליטה מטילה אחריות, לכן יש לתעד איזה צד מחזיק בכל שליטה.

אבטחה, הסמכה וביקורת

אל תקבלו "אמצעים טכניים וארגוניים מתאימים" כמחויבות מלאה. ציינו תקן והיקף, כגון הסמכת ISO/IEC 27001 או דוח SOC 2 Type II, כאשר התעודה מכסה בפועל את השירות שאתם רוכשים; תיקון לוחות זמנים לפי חומרה; תדירות בדיקות חדירה; הודעה על אירוע עם טריגר, מועד אחרון ותוכן מוגדרים; ומסלול ביקורת. ספקים גדולים מסרבים לבצע ביקורות באתר; פשרה ישימה היא הסמכה בתוספת זכות לבצע ביקורת בהודעה מוקדמת לאחר אירוע.

כללים מגזריים עשויים להוסיף תוכן מחייב. גופים פיננסיים כפופים ל-DORA (תקנה (EU) 2022/2554), הקובעת תנאים לחוזים עם צד שלישי בתחום ה-ICT. חוק הסייבר-בקרה ההולנדי , המיייש את NIS2, נכנס לתוקף ב-15 באוגוסט 2026 ומגיע למגזרי התשתיות הדיגיטליות והשירותים המנוהלים וכן ללקוחות רבים. שני המשטרים משפיעים ישירות על החוזה: עבור גופים פיננסיים תחת DORA, ועבור גופים חיוניים וחשובים תחת ה-Cyberbeveiligingswet, הם מטילים דרישות לגבי חוסן תפעולי, הודעה על אירועים ואסטרטגיית יציאה. קבעו כבר בהתחלה איזה מבין השניים תופס את הספק ואיזה תופס אתכם.

הגנה על נתונים

כאשר מעובדים נתונים אישיים, נדרש הסכם עיבוד נתונים במסגרת ה-GDPR, המכסה הוראות, סודיות, אבטחה, מעבדי משנה, זכויות נושא הנתונים, הודעה על הפרות והחזרה או מחיקה בסוף. נקודות המשא ומתן החוזרות ונשנות הן משטר מעבדי המשנה, האם מקבלים הודעה מוקדמת וזכות להתנגד, והעברות בינלאומיות. מסגרת פרטיות הנתונים בין האיחוד האירופי לארה"ב שרדה את הערעור הראשון שלה בבית המשפט הכללי, שדחה את התביעה בתיק T-553/23 (Latombe נגד הנציבות) ב-3 בספטמבר 2025, בקבעו כי בית המשפט לביקורת הגנת הנתונים מציע ערבויות מספיקות לעצמאות וכי ביקורת שיפוטית לאחר מקרה של איסוף בכמות גדולה עומדת בסטנדרט של הגנה שווה ערך במהותו. ערעור הוגש ב-31 באוקטובר 2025 כתיק C-703/25 P והוא תלוי ועומד; החלטת ההלימות נותרה בתוקף במלואה בינתיים.

מיקום נתונים וריבונות

מיקום הוא שאלה מסחרית ורגולטורית לפני שהיא שאלה של הגנת מידע. שאלו, בכתב: היכן מאוחסנים הנתונים, ומהיכן מעובדים או ניגשים אליהם, תוך זכור שצוות תמיכה מחוץ לאיחוד האירופי מהווה גישה גם כאשר האחסון הוא מקומי; היכן נמצאים גיבויים, עותקי התאוששות מאסון ויומני רישום; אילו גופים עלולים להיאלץ למסור נתונים במסגרת צו זר; האם ניתן לתקן את האזור, ומה קורה אם הספק משנה אותו. חוק המידע מסייע: ספקים חייבים לפרסם, ולשקף בחוזים שלהם, את תחום השיפוט שאליו כפופה התשתית הפרוסה ואת האמצעים שננקטו נגד גישה בלתי חוקית של ממשל בינלאומי למידע לא אישי המוחזק באיחוד האירופי.

היציאה

סעיף יציאה שנערך בתחילת החוזה שווה יותר מכל סעיף אחר בחוזה. בהתחלה יש לך מינוף והספק רוצה את העסקה; בסוף אין לך, וכל יום של עיכוב עולה לך ביוקר.

• פורמט. מובנה, בשימוש נפוץ וקריא על ידי מכונה, עם סכימה מתועדת, הכוללת מטא-דאטה, תצורה, יומני ביקורת וקבצים מצורפים. קובץ dump לא מתועד אינו החזרה שמישה.
• תְחוּם. הכל, לא רק הרשומות שטענת: נתונים נגזרים, גרסאות היסטוריות וכל מה שנדרש מחובות השמירה שלך.
• תקופת מעבר. תקופה מוגדרת שבמהלכה השירות ממשיך בתנאים הקיימים בזמן המעבר, וניתן להארכה במחיר שנקבע.
• סִיוּעַ. חובה לסייע, עם תפקידים מוגדרים, תעריף יומי מוסכם כעת, ושיתוף פעולה עם הספק החדש שלך.
• מְחִיקָה. מחיקה מאושרת לאחר חלון אחזור מוגדר, כולל גיבויים, עם מועד תפוגה מצוין.
• הדק. התחייבויות עזיבה חלות על כל פיטורים, כולל מצד הספק עקב אי תשלום מצדך. ספקים לעיתים קרובות שוללים מקרה זה, וזהו המקרה שאתה ככל הנראה תזדקק לו.

נעילה, ניידות וחוק הנתונים של האיחוד האירופי

תקנה (EU) 2023/2854, חוק הנתונים, נכנסה לתוקף ב-11 בינואר 2024 והיא תחול החל מ-12 בספטמבר 2025. פרק VI יוצר משטר מעבר לספקי "שירותי עיבוד נתונים", המוגדר באופן רחב מספיק כדי לכלול IaaS, PaaS ו-SaaS.

• מכשולים חייבים להיעלם (סעיף 23): חסמים מסחריים, טכניים, חוזיים וארגוניים לסיום, מעבר למתחרה והעברת נתונים.
• מונחים חובה (סעיף 25): תקופת הודעה מוקדמת מקסימלית של חודשיים להתחלת המעבר; תקופת מעבר מקסימלית חובה של 30 ימי קלנדריים, הניתנת להארכה פעם אחת על ידי הלקוח, וכאשר המעבר אינו אפשרי מבחינה טכנית, על ידי הספק עד שבעה חודשים בהודעה מוקדמת מנומקת; לאחר מכן תקופת אחזור נתונים של לפחות 30 ימי קלנדריים, ולאחר מכן מחיקה.
• ללא הפתעות (סעיף 29): החל מ-11 בינואר 2024 ועד 12 בינואר 2027, ספקים רשאים לגבות רק דמי מעבר מופחתים, שלא יעלו על העלויות הקשורות ישירות לתהליך המעבר. החל מ-12 בינואר 2027 חיובי מעבר אסורים לחלוטין, סיום דמי יציאה ביציאה.
• התחייבויות טכניות (סעיף 30): ספקים ברמת התשתית חייבים לנקוט בכל האמצעים הסבירים כדי לאפשר שקילות פונקציונלית לאחר המעבר; אחרים חייבים להנגיש ממשקים פתוחים ללא תשלום. אסור לספק לפתח טכנולוגיה חדשה או לחשוף סודות מסחריים.
• מידע, תום לב ופטורים (סעיפים 26, 27, 31): יש לחשוף את נהלי המעבר; כל הצדדים, כולל ספק היעד, חייבים לשתף פעולה בתום לב; שירותי בדיקה מותאמים אישית ומוגבלים בזמן נקבעים.

שלוש אזהרות. חוק הנתונים קובע רף סף, לא תוכנית הגירה: הוא לא יהפוך את הנתונים שלכם לניידים אם בניתם על שירותי פלטפורמה קנייניים שאין להם מקבילה במקום אחר. תזמון חשוב: חוזה שנחתם ב-12 בספטמבר 2025 או אחריו חייב לעמוד בדרישות פרק VI באופן מיידי, בעוד שחוזה שנחתם לפני תאריך זה חייב להיות מותאם עד 12 בספטמבר 2027. כדי לסייע בכך, פרסמה הנציבות סעיפי חוזים סטנדרטיים מודולריים בסוף 2025, אותם ספקים יכולים לשלב בתנאיהם כדי לעמוד בהתחייבויות פרק VI. הצעת האומניבוס הדיגיטלי של הנציבות מ-19 בנובמבר 2025 אינה משפיעה עוד על פרק VI בשום דרך מהותית, כאשר החפיפה בין השניים נספגה במידה רבה בפרק זה. וקולוקינג ודיור טהורים נופלים מחוץ להגדרה של שירות עיבוד נתונים, ולכן מחוץ למשטר, בתנאי שלא מסופקת פונקציונליות ענן ניתנת להרחבה או אלסטית עם שטח הרצפה.

המשכיות וחדלות פירעון של ספקים

אם הספק שלכם נכשל, הנאמן מחליט לפי סעיף 37 לחוקת Fw האם לבצע חוזים שטרם נפתחו; אם לא, תביעתכם אינה מובטחת. נאמנות בקוד המקור נבנתה עבור תוכנה מקומית ועושה מעט עבור SaaS: קוד ללא הנתונים, הסביבה והידע התפעולי אינו משחזר שירות. SaaS זקוק להסדר המשכיות המכסה את המופע הפועל, הנתונים והזכות להמשיך לפעול. לכל הפחות, החוזה צריך לציין שהנתונים הם שלכם, אינם כפופים לכל זכות שמירה, וחייבים להיות משוחררים באירועים מוגדרים.

אחריות, פטור ומחיר

תנאי התקן של הספקים בשוק ההולנדי נשלטים על ידי ה-NLdigital Voorwaarden, שמהדורת 2025 היא הנוכחית שלו. הוא מגביל את האחריות להפסד ישיר למחיר שסוכם עבור החוזה, או, עבור חוזה מתמשך שנמשך יותר משנה, לעמלות של שנה אחת, ומגביל אותה בכל מקרה ל-500,000 אירו, עם תקרה נפרדת של 1,750,000 אירו עבור מוות, פגיעה גופנית ונזק פיזי לרכוש. הפסדים עקיפים ותוצאתיים, אובדן רווחים, אובדן חסכונות, ירידה במוניטין, הפרעה לעסקים ותביעות מצד לקוחות הלקוח עצמם אינם כלולים לחלוטין. המגבלות נופלות רק כאשר ההפסד נובע מכוונה או מפזיזות מודעת מצד הנהלת הספק. יש להודיע ​​על תביעה בהקדם האפשרי לאחר שההפסד נוצר ופוקעת עשרים וארבעה חודשים לאחר מכן, אלא אם כן הוגשו הליכים. יש לברר איזו מהדורה הספק שלך שילב, והאם הוא שינה אותה: מהדורות קודמות נותרות במחזור וספקים רבים משתמשים בתנאים משלהם.

בתי המשפט ההולנדיים אכן אוכפים סעיפי פטור בין עסקים. המסלול הראשון הוא סעיף 6:248 לחוק הפלילי הבריטי: הסתמכות על הסעיף נכשלת כאשר הדבר אינו מקובל על פי סטנדרטים של סבירות והגינות. בתי המשפט מיישמים את המבחן באיפוק, תוך שקילת חומרת הפגם, האינטרסים שנפגעו, עמדות הצדדים וכיצד תומחר הסיכון. כוונה או התנהגות שוות ערך לה בדרך כלל יבטלו סעיף. כאשר התנאים הם תנאים כלליים (סעיף 6:231 לחוק הפלילי הבריטי), סעיף 6:233 לחוק הפלילי הבריטי מאפשר ביטול של תנאי מכביד באופן בלתי סביר. באופן מעשי: משא ומתן על תקרת קבע הקשורה לנזק שיגרום כשל, הצבת אובדן נתונים, סודיות, אבטחה וקניין רוחני מחוץ לתקרת הקבע, והגדר "הפסד תוצאתי".

מבחינת המחיר, יש לתקן את המנגנון: להגביל את ההצמדה השנתית למדד קבוע, להגביל את העלאות הסכום לפעם בשנה בהודעה מראש, ולקחו את הזכות לסיים ללא קנס מעל סף מסוים. עם תמחור מבוסס צריכה, יש להתחייב רק לנפחים שתשתמשו בהם, ולשלוט בעלות ההרחבה, רמות התמיכה והיציאה.

דין רלוונטי, סכסוכים וספקים שאינם מהאיחוד האירופי

בחרו בחוק ההולנדי ובפורום הולנדי היכן שאתם יכולים. אכיפת פסק דין הולנדי בתוך האיחוד האירופי היא פשוטה; אכיפה מחוצה לו לרוב אינה כזו. בוררות יכולה להיות התשובה הטובה יותר נגד צד נגדי שאינו האיחוד האירופי, ובסכסוכי IT בהולנד, קרן SGOA מציעה בוררות וגישור ספציפיים למגזר.

התקשרות מחוץ לאיחוד האירופי מביאה עמה שלוש מציאויות. הגבלת אחריות עשויה להיות קלה להפעלה וקשה לערער עליה בפורום מרוחק. חוקי האיחוד האירופי המחייבים, כולל משטר מעבר חוק הנתונים וה-GDPR, יכולים לחול על בסיס המקום בו השירות מוצע, אך יישומם ואכיפתם הם דברים שונים. והורה זר עשוי להתמודד עם צווי גילוי הסותרים את חובותיך כאן. במקרים בהם החשיפה מהותית, יש להתקשר בחוזה עם הישות האיחוד האירופי של הספק ולדרוש פורום אירופי.

רשימת בדיקה למשא ומתן

• הגדירו את השירות לפי שכבה, ורשום איזה צד שולט בכל רכיב ובכל בקרת אבטחה.
• הפוך את הזמינות למדידה: היקף הרכיבים, תקופה, נקודת מדידה והחרגות; קבע ביצועים ושחזר יעדים בנפרד.
• דחה זיכויי שירות כסעד בלעדי, וצרף זכות ביטול לכשל מתמשך או חמור.
• ציינו את האבטחה לפי תקן והיקף, עם ראיות, מועדי הודעה ומסלול ביקורת.
• חתמו על הסכם עיבוד נתונים וקבעו מיקומי עיבוד נתונים ותמיכה.
• ראשית, יש לנהל משא ומתן על סעיף היציאה: פורמט, היקף, תקופת מעבר, סיוע במחיר, מחיקה מאושרת וגורמים מפעילים, כולל סיום עקב אי תשלום.
• בדוק את החוזה מול דרישות המעבר של חוק הנתונים, רשם ביומן את התאריך 12 בינואר 2027, והסדר את ההמשכיות: בעלות על הנתונים, ללא זכות שמירה, נאמנות.
• בחן את תקרת האחריות מול ההפסד שכישלון אמיתי יגרום, והכנס מחוצה לה נתונים, אבטחה, סודיות וקניין רוחני.
• הצמדת תקרת המפתח, ובחירת חוק, פורום וגורם מתקשר מכוונת.