Ugovori o cloudu, hostingu i kolokaciji prema nizozemskom pravu

Gotovo svaka međunarodna tvrtka koja posluje u Nizozemskoj kupuje računalne kapacitete od nekog drugog. Ugovor koji to regulira obično je predložak dobavljača, potpisan pod vremenskim pritiskom, s ugovorom o razini usluge i klauzulom o izlasku koju nitko ne čita. Ovaj članak opisuje kako nizozemski zakon tretira ove ugovore, gdje su standardni uvjeti najslabiji za kupca i što Zakon EU o podacima sada zahtijeva pri promjeni dobavljača.

Tri sloja, plus hosting i kolokacija

„Oblak“ nije jedan proizvod. Ono što kupac kontrolira mijenja se na svakom sloju, kao i ono što ugovor mora zaštititi.

Što ste niže na ljestvici, to je veći operativni rizik vaš, a što ste više na ljestvici, to ste više zaključani. Kolokacija je izuzetak: kupujete prostor, napajanje i fizičku sigurnost, pa su odlučujući uvjeti gustoća snage i redundancija, rok obavijesti, eskalacija troškova napajanja, udaljene ruke i vaše pravo na uklanjanje vaših rackova. Kod običnog hostinga spor je gotovo uvijek opseg: je li dobavljač bio odgovoran za krpanje, praćenje i sigurnosne kopije ili samo za održavanje napajanja stroja?

Kako nizozemsko pravo karakterizira ugovor

Nizozemsko pravo nema vrstu ugovora pod nazivom "oblak". Sudovi karakteriziraju što su se stranke dogovorile i kako su izvršile, a zatim primjenjuju pravila vrste ili vrsta koje odgovaraju.

• Opdracht (čl. 7:400 BW): zadana vrijednost za SaaS, PaaS, upravljani hosting i servisni element IaaS-a.
• Najam (čl. 7:201 BW): najam zahtijeva korištenje spis, opipljiv objekt (čl. 3:2 BW). Softver i podaci nisu, pa čisti SaaS nije najam. Kolokacijski prostor i namjenski hardver vjerojatno jesu, zbog čega ugovori o kolokaciji često imaju karakteristike najma bez obzira na to kako ih dobavljač naziva.
• Kupi (čl. 7:1 BW): u De Beeldbrigade (HR 27. travnja 2012., ECLI:NL:HR:2012:BV1301) Hoge Raad je presudio da stjecanje standardnog softvera za neograničeno korištenje uz jednokratnu uplatu spada pod odredbe o prodaji. To se ne prenosi na uslugu pretplate, ali je važno za trajne licence u hibridnom ugovoru.
• Primanje obaveza (čl. 6:215 BW): većina stvarnih ugovora su miješani, a pravila svake vrste primjenjuju se kumulativno osim ako nisu nespojiva.

Zašto je karakterizacija važna

Raskid. Prema čl. 7:408 BW-a, klijent u načelu može raskinuti ugovor u bilo kojem trenutku, a čl. 7:411 BW-a uređuje što se tada duguje dobavljaču. Između poduzeća ova su pravila uglavnom otvorena za suprotan dogovor (vidi čl. 7:413 BW), a predlošci ih zamjenjuju fiksnim uvjetima, automatskim obnavljanjem i dugim otkaznim rokom. Tamo gdje ugovor na neodređeno vrijeme nema klauzulu o raskidu, nizozemska sudska praksa općenito ga tretira kao raskidiv, ali razumnost i pravičnost mogu zahtijevati obavijest, naknadu ili ozbiljan razlog.

Dužnost pažnje. Ako je ugovor opdracht, članak 7:401 BW nameće pažnju dobrog izvođača radova: provedivi standard koji su nizozemski sudovi koristili kako bi obvezali dobavljače na istragu, upozoravanje i upravljanje projektom, što ugovor nikada nije spomenuo. U okviru karakterizacije prodaje ili najma, put je umjesto toga sukladnost ili nedostatak.

Ugovor o razini usluge

Dostupnost i kako se mjeri

• Što se mjeri: cijela usluga ili jedna komponenta? Platforma koja odgovara na provjeru ispravnosti dok je prijava neaktivna računa se kao „dostupna“ prema mnogim SLA-ovima.
• U kojem razdoblju: 99.9 posto mjereno godišnje dopušta jedan dugi prekid; mjereno mjesečno puno strože ograničava jedan incident.
• Od koga, odakle: Praćenje dobavljača unutar vlastite mreže daje bolje brojke od sonde iz vašeg ureda.
• Što je isključeno: održavanje, kvar mreže treće strane, viša sila i incidenti "uzročeni od strane korisnika" rutinski se izuzimaju, a isključeno vrijeme obično također napušta nazivnik, povećavajući brojku.

Dostupnost nije performansa. Usluga može biti potpuno dostupna i neupotrebljivo spora. Zasebno se posvetite brzini: ciljevi odziva, prozori serija, vrijeme vraćanja i ciljevi točaka vraćanja te vremena odziva podrške po klasi prioriteta. Sigurnosna kopija zahtijeva vlastitu obvezu, uključujući testirano vraćanje. Popravite i prozore održavanja: vrijeme, obavijest, učestalost i trajanje. Za međunarodne operacije, "izvan radnog vremena" potrebna je vremenska zona.

Servisni krediti i zamka ekskluzivnosti

• Jesu li oni jedini lijek? Uvjeti dobavljača obično tako kažu, što svaki kvar pretvara u skroman popust i isključuje štetu. Minimalno treba izdvojiti uporne, namjerne ili grubo nemarne povrede i svaku povredu koja je ujedno i povreda sigurnosti ili podataka.
• Morate li ih zatražiti? Mnogi režimi zahtijevaju podnošenje zahtjeva u kratkom roku, u suprotnom kredit prestaje važiti. Inzistirajte na automatskom kreditiranju na računu.
• Postoji li izlaz? Kreditni režim bez prava na raskid je slab. Dobavljač koji može neograničeno propuštati svoje ciljeve, vratiti mali postotak mjesečne naknade i držati vas vezanim, otkupio se za svoje poslovanje. Povežite ponovljene ili ozbiljne propuste s uzrokom otkaza, bez kazne i uz punu pomoć pri odlasku.

Dužnost brige i dužnost suradnje

Nizozemska IT sudska praksa neobično je razvijena u pogledu dužnosti pažnje dobavljača. Profesionalni dobavljač mora istražiti okruženje i zahtjeve kupca, upozoriti na rizike, neprikladne izbore i prekoračenja troškova te stalno upozoravati kada se savjet ignorira. Nazivanje obveze jednim od najboljih napora ne neutralizira očekivanja koja je dobavljač stvorio prije potpisivanja.

Obveza zrcala je stvarna i podcijenjena: kupac mora surađivati ​​pružanjem točnih informacija, određivanjem vremena, testiranjem kada se to zatraži te osiguravanjem pristupa i kompetentnih ljudi. Kupac koji ne ispuni uvjete može se naći u neizvršenju obveza od strane vjerovnika (čl. 6:58 BW), što blokira neizvršenje obveza dobavljača, potkopava zahtjev za odštetu i može osujetiti raskid ugovora.

To se proteže i na sigurnost. U slučaju Gemeente Hof van Twente protiv Switch IT Solutions (Gerechtshof Arnhem-Leeuwarden, 25. veljače 2025., ECLI:NL:GHARL:2025:1046) sud je odbacio tužbu kupca nakon napada ransomwarea, jer su ranjivosti vezane uz administraciju koju je kupac zadržao: promjena vatrozida koju je sam napravio i slaba lozinka na računu kojim je upravljao. Kontrola pokreće odgovornost, stoga zabilježite koja strana posjeduje svaku kontrolu.

Sigurnost, certifikacija i revizija

Nemojte prihvatiti „odgovarajuće tehničke i organizacijske mjere“ kao cijelu obvezu. Navedite imenovani standard i opseg, kao što je certifikat ISO/IEC 27001 ili izvješće SOC 2 Type II, s certifikatom koji zapravo pokriva uslugu koju kupujete; vremenske skale zakrpa prema ozbiljnosti; učestalost testiranja penetracije; obavještavanje o incidentima s definiranim okidačem, rokom i sadržajem; te put revizije. Veliki dobavljači odbijaju revizije na licu mjesta; izvediv kompromis je certifikacija plus pravo na reviziju uz prethodnu obavijest nakon incidenta.

Sektorska pravila mogu dodati obvezni sadržaj. Financijski subjekti podliježu DORA-i (Uredba (EU) 2022/2554), koja propisuje uvjete za ugovore s trećim stranama u području ICT-a. Nizozemski Cyberbeveiligingswet , kojim se provodi NIS2, stupio je na snagu 15. kolovoza 2026. i doseže sektore digitalne infrastrukture i upravljanih usluga, kao i mnoge kupce. Oba režima izravno se odnose na ugovor: za financijske subjekte u okviru DORA-e, a za bitne i važne subjekte u okviru Cyberbeveiligingswet-a, oni nameću zahtjeve za operativnu otpornost, obavještavanje o incidentima i strategiju izlaska. Na početku utvrdite koji od ta dva sustava privlači dobavljača, a koji vas.

Zaštita podataka

Tamo gdje se obrađuju osobni podaci, potreban vam je ugovor o obradi prema GDPR-u, koji obuhvaća upute, povjerljivost, sigurnost, podobrađivače, prava ispitanika, obavješćivanje o kršenju podataka te povrat ili brisanje na kraju. Ponavljajuće točke pregovora su režim podobrađivača, dobivate li prethodnu obavijest i pravo na prigovor te međunarodni prijenosi. Okvir EU-SAD za zaštitu privatnosti podataka preživio je svoj prvi izazov pred Općim sudom, koji je odbacio tužbu u predmetu T-553/23 (Latombe protiv Komisije) 3. rujna 2025., utvrdivši da Sud za preispitivanje zaštite podataka nudi dovoljna jamstva neovisnosti i da sudska revizija nakon slučaja skupnog prikupljanja podataka ispunjava standard u biti jednake zaštite. Žalba je podnesena 31. listopada 2025. kao predmet C-703/25 P i još je u tijeku; odluka o adekvatnosti ostaje u potpunosti na snazi ​​u međuvremenu.

Lokacija podataka i suverenitet

Lokacija je komercijalno i regulatorno pitanje prije nego što je pitanje zaštite podataka. Pismeno pitajte: gdje se podaci pohranjuju i odakle se obrađuju ili im se pristupa, imajući na umu da osoblje za podršku izvan EU-a ima pravo pristupa čak i kada je pohrana lokalna; gdje se nalaze sigurnosne kopije, kopije za oporavak od katastrofe i zapisnici; koji subjekti mogu biti prisiljeni predati podatke prema stranom nalogu; možete li ispraviti regiju i što se događa ako je dobavljač promijeni. Zakon o podacima pomaže: pružatelji usluga moraju objaviti i u svojim ugovorima navesti jurisdikciju kojoj podliježe implementirana infrastruktura i mjere poduzete protiv nezakonitog međunarodnog vladinog pristupa neosobnim podacima koji se čuvaju u EU.

Izlaz

Klauzula o izlasku dogovorena na početku vrijedi više od bilo koje druge klauzule u ugovoru. Na početku imate prednost i dobavljač želi dogovor; na kraju je nemate, a svaki dan kašnjenja vas košta.

• Format. Strukturirano, uobičajeno korišteno i strojno čitljivo, s dokumentiranom shemom, uključujući metapodatke, konfiguraciju, zapisnike revizije i priloge. Nedokumentirani dump nije upotrebljiv povrat.
• Opseg. Sve, ne samo zapisi koje ste učitali: izvedeni podaci, povijesne verzije i sve što zahtijevaju vaše obveze čuvanja.
• Prijelazno razdoblje. Definirano razdoblje tijekom kojeg se usluga nastavlja pod postojećim uvjetima dok migrirate, a koje se može produžiti uz navedenu cijenu.
• Pomoć. Dužnost pružanja pomoći, s imenovanim ulogama, dogovorenom dnevnom stopom i suradnjom s vašim novim dobavljačem.
• Brisanje. Ovjereno brisanje nakon definiranog vremenskog okvira za preuzimanje, uključujući sigurnosne kopije, s navedenim vremenom isteka.
• Okidač. Obveze izlaska primjenjuju se na svaki raskid ugovora, uključujući i raskid od strane dobavljača zbog vašeg neplaćanja. Dobavljači često isključuju taj slučaj, a to je onaj koji će vam najvjerojatnije trebati.

Vezanost, prenosivost i Zakon EU o podacima

Uredba (EU) 2023/2854, Zakon o podacima, stupila je na snagu 11. siječnja 2024. i primjenjuje se od 12. rujna 2025. Poglavlje VI. stvara režim promjene pružatelja „usluga obrade podataka“, definiran dovoljno široko da obuhvati IaaS, PaaS i SaaS.

• Prepreke moraju nestati (čl. 23.): komercijalne, tehničke, ugovorne i organizacijske prepreke raskidu ugovora, prelasku konkurentu i prijenosu podataka.
• Obvezni uvjeti (čl. 25.): maksimalni otkazni rok od dva mjeseca za početak promjene; ​​obvezno maksimalno prijelazno razdoblje od 30 kalendarskih dana, koje korisnik može jednom produžiti, a ako promjena tehnički nije izvediva, pružatelj usluge može produžiti do sedam mjeseci uz obrazloženu obavijest; zatim razdoblje preuzimanja podataka od najmanje 30 kalendarskih dana, nakon čega slijedi brisanje.
• Optužbe (čl. 29.): od 11. siječnja 2024. do 12. siječnja 2027. pružatelji usluga mogu nametnuti samo smanjene naknade za promjenu, koje ne prelaze troškove izravno povezane s postupkom promjene. Od 12. siječnja 2027. naknade za prebacivanje računa su potpuno zabranjene., ukidanje izlaznih naknada pri izlasku.
• Tehničke obveze (čl. 30.): pružatelji usluga na razini infrastrukture moraju poduzeti sve razumne mjere kako bi omogućili funkcionalnu ekvivalentnost nakon promjene; ​​drugi moraju besplatno staviti na raspolaganje otvorena sučelja. Nijedan pružatelj usluga ne smije razvijati novu tehnologiju niti otkrivati ​​poslovne tajne.
• Informacije, dobra vjera i izuzeća (čl. 26., 27., 31.): postupci promjene moraju biti objavljeni; sve strane, uključujući odredišnog pružatelja usluga, moraju surađivati ​​u dobroj vjeri; izdvojene su prilagođene i vremenski ograničene testne usluge.

Tri upozorenja. Zakon o podacima postavlja donju granicu, a ne plan migracije: neće učiniti vaše podatke prenosivima ako ste gradili na vlasničkim platformskim uslugama bez ekvivalenta negdje drugdje. Vrijeme je važno, i to ne na način na koji većina dobavljača tvrdi: Poglavlje VI. primjenjuje se na ugovore o uslugama obrade podataka od 12. rujna 2025., bez obzira jesu li sklopljeni prije ili nakon tog datuma, pa su se ugovori koji su već u tijeku morali uskladiti do tada. Prijelazno razdoblje koje završava 12. rujna 2027. u članku 50. odnosi se na Poglavlje IV. o nepoštenim ugovornim uvjetima o pristupu i korištenju podataka, a ne na režim prebacivanja. Odvojeno, Komisija se savjetovala o nacrtu preporuke koji sadrži neobvezujuće modelne ugovorne uvjete o pristupu i korištenju podataka i neobvezujuće standardne ugovorne klauzule za ugovore o računalstvu u oblaku, koje pružatelji usluga mogu uključiti nakon što se usvoji; provjerite njegov status prije nego što se na njega oslonite. Digitalni omnibus paket od 19. studenog 2025. predlaže promjene Poglavlja VI., među kojima su proporcionalne kazne za prijevremeni raskid ugovora na određeno vrijeme i usko zadržavanje određenih ugovora sklopljenih prije 12. rujna 2025., ali još uvijek prolazi kroz zakonodavni proces i doneseni tekst nastavlja se primjenjivati ​​dok se ne izmijeni. Čista kolokacija i smještaj ne spadaju u definiciju usluge obrade podataka, a time i izvan režima, pod uvjetom da se uz prostor ne isporučuje skalabilna ili elastična funkcionalnost oblaka.

Kontinuitet i insolventnost dobavljača

Ako vaš dobavljač ne ispuni uvjete, povjerenik odlučuje prema članku 37. Okvirnog zakona hoće li ispuniti preostale ugovore; ako ne, vaš zahtjev je neosiguran. Depozit izvornog koda izgrađen je za lokalni softver i malo čini za SaaS: kod bez podataka, okruženja i operativnog znanja ne obnavlja uslugu. SaaS-u je potreban dogovor o kontinuitetu koji pokriva instancu koja se izvodi, podatke i pravo nastavka rada. Ugovor bi trebao barem navesti da su podaci vaši, da nisu predmet nikakvog prava zadržavanja i da se moraju vratiti u definiranim slučajevima.

Odgovornost, oslobođenje od odgovornosti i cijena

Standardnim uvjetima dobavljača na nizozemskom tržištu dominiraju NLdigital Voorwaarden, od kojih je izdanje iz 2025., objavljeno u listopadu 2025., najnovije. To izdanje ograničava odgovornost za izravni gubitak na cijenu dogovorenu za ugovor ili, za ugovor koji traje dulje od godinu dana, na jednogodišnje naknade, te je u svakom slučaju ograničava na 500,000 EUR, s odvojenim ograničenjem od 1,750,000 EUR za smrt, tjelesne ozljede i fizičku štetu na imovini. Neizravni i posljedični gubici, izgubljena dobit, izgubljena ušteđevina, smanjena reputacija, prekid poslovanja i zahtjevi vlastitih kupaca u potpunosti su isključeni. Ograničenja nestaju samo kada je gubitak proizlazi iz namjere ili svjesne nepažnje uprave dobavljača. Zahtjev se mora prijaviti što je prije moguće nakon nastanka gubitka i zastarijeva dvadeset četiri mjeseca kasnije, osim ako nije pokrenut postupak. Svako novo izdanje revidira te gornje granice, stoga utvrdite koje je izdanje vaš dobavljač uključio i je li ga mijenjao: ranija izdanja ostaju u optjecaju, a mnogi dobavljači koriste vlastite uvjete.

Nizozemski sudovi provode klauzule o oslobađanju od odgovornosti između poduzeća. Prvi put je članak 6:248 BW: oslanjanje na klauzulu ne uspijeva tamo gdje bi to bilo neprihvatljivo prema standardima razumnosti i pravičnosti. Sudovi primjenjuju test sa suzdržanošću, vagajući ozbiljnost krivnje, oštećene interese, položaje stranaka i način na koji je rizik procijenjen. Namjera ili ponašanje ekvivalentno njoj općenito će poništiti klauzulu. Tamo gdje su uvjeti opći uvjeti (čl. 6:231 BW), članak 6:233 BW dopušta poništenje nerazumno opterećujuće odredbe. Praktično: pregovarajte o gornjoj granici koja ima određenu vezu sa štetom koju bi prouzročio propust, izvan toga stavite gubitak podataka, povjerljivost, sigurnost i naknadu štete za intelektualno vlasništvo te definirajte „posljedični gubitak“.

Što se tiče cijene, ispravite mehanizam: ograničite godišnju indeksaciju prema imenovanom indeksu, ograničite povećanja na jednom godišnje uz najavu i uzmite pravo na raskid ugovora bez kazne iznad određenog praga. S cijenama temeljenim na potrošnji, obvežite se samo na količine koje ćete koristiti i kontrolirajte troškove skaliranja, razine podrške i izlaza.

Primjenjivo pravo, sporovi i dobavljači izvan EU

Odaberite nizozemsko pravo i nizozemski forum gdje je to moguće te odvagnite praktične točke koje odlučuju o tome vrijedi li presuda išta, što smo naveli u našem članku o tome kako izbjeći probleme s nadležnošću i provedbom . Izvršenje nizozemske presude unutar EU-a je jednostavno; izvršenje presude izvan njega često nije. Arbitraža može biti bolje rješenje protiv protustranke izvan EU-a, a u nizozemskim IT sporovima zaklada SGOA nudi sektorski specifičnu arbitražu i medijaciju.

Ugovaranje izvan EU-a donosi tri stvarnosti. Ograničenje odgovornosti može se lako primijeniti, a teško osporiti na udaljenom forumu. Obvezna pravila EU-a, uključujući režim prebacivanja iz Zakona o podacima i GDPR, mogu se primjenjivati ​​na temelju mjesta gdje se usluga nudi, ali njihova primjena i provođenje su različite stvari. Strani roditelj može se suočiti s nalozima za otkrivanje podataka koji su u suprotnosti s vašim obvezama ovdje. Tamo gdje je izloženost značajna, sklopite ugovor s EU subjektom dobavljača i inzistirajte na europskom forumu.

Kontrolna lista za pregovore

• Definirajte uslugu po slojevima i zabilježite koja strana kontrolira svaku komponentu i svaku sigurnosnu kontrolu.
• Omogućite mjerenje dostupnosti: opseg komponente, razdoblje, točka mjerenja i izuzeća; zasebno potvrdite performanse i vratite ciljeve.
• Odbijte kredite za usluge kao isključivi pravni lijek i priložite pravo na raskid ugovora upornom ili ozbiljnom kvaru.
• Navedite sigurnost prema standardu i opsegu, s dokazima, rokovima obavještavanja i putem revizije.
• Potpišite ugovor o obradi i ispravite podatke, lokacije obrade i podrške.
• Prvo pregovarajte o klauzuli o izlasku: format, opseg, prijelazno razdoblje, pomoć s cijenom, ovjereno brisanje i okidače, uključujući raskid zbog neplaćanja.
• Provjerite ugovor u odnosu na zahtjeve Zakona o podacima za promjenu, zakažite 12. siječnja 2027. i riješite kontinuitet: vlasništvo nad podacima, bez prava zadržavanja, escrow.
• Testirajte ograničenje odgovornosti u odnosu na gubitak koji bi uzrokovao stvarni neuspjeh i izvan njega stavite podatke, sigurnost, povjerljivost i intelektualno vlasništvo.
• Indeksiranje gornje granice i namjeran odabir prava, foruma i ugovornog subjekta.

Law & More pregledava i pregovara o ugovorima o oblaku, hostingu i kolokaciji za kupce i dobavljače: razine usluga, sigurnosna i revizijska prava, ugovori o obradi, izlazak i usklađenost sa Zakonom o podacima, ograničenja odgovornosti te izbor prava i foruma. Ako je ugovor na stolu ili usluga ne uspijeva, naš IT pravnici reći će vam gdje se nalazi prava izloženost prije nego što potpišete.