Pronësia e të dhënave të kontratës SaaS: kush i zotëron të dhënat tuaja sipas ligjit holandez?

Sipas ligjit holandez, askush nuk zotëron të dhëna si të tilla, kështu që klauzola e të dhënave në kontratën tuaj SaaS vendos se kush mund ta përdorë, kopjojë, eksportojë dhe fshijë informacionin që ju vendosni në një platformë cloud. Përjashtimet kryesore janë të drejtat e autorit, të drejtat e bazës së të dhënave, sekretet tregtare dhe GDPR, të cilat mbrojnë pjesë të të dhënave tuaja me ligj; çdo gjë tjetër mbrohet vetëm për aq sa përcaktohet në kontratën tuaj.

Neni 3:2 i Kodit Civil Holandez (Burgerlijk Wetboek, BW) e përcakton një send (zaak) si një objekt të prekshëm të aftë për kontroll njerëzor, dhe një grup të dhënash nuk është i prekshëm. Prandaj, formulimi i paqartë i kontratës nuk e lë çështjen hapur: në praktikë, ai e zgjidh atë në favor të ofruesit.

Pse pronësia e të dhënave është një çështje kontrate, jo një çështje pronësie?

Ligji holandez i pronës njeh vetëm gjërat dhe të drejtat e pronës (goederen, Neni 3:1 BW), dhe të dhënat nuk janë asnjëra prej tyre. Ju nuk mund të dorëzoni, të zotoheni ose të kërkoni të dhëna në të njëjtën mënyrë siç mund të bëni me një server, kështu që nëse marrëveshja juaj nuk thotë asgjë të dobishme në lidhje me të dhënat tuaja, nuk keni asnjë pozicion rezervë.

Katër organe ligjore mbrojnë të dhëna të caktuara:

• Të drejtat e autorit sipas Aktit Holandez të të Drejtave të Autorit (Auteurswet) mbrojnë tekstin origjinal, imazhet, vizatimet dhe softuerin që ju ngarkoni ose krijoni, dhe nuk i kalojnë ofruesit sepse ndodhen në serverat e tyre.
• E drejta e bazës së të dhënave sipas Aktit të Bazave të të Dhënave (Databankenwet) mbron një koleksion të strukturuar nëse keni bërë një investim të konsiderueshëm në marrjen, verifikimin ose prezantimin e përmbajtjes së tij; investimi në krijimin e vetë të dhënave nuk llogaritet.
• Akti për Sekretet Tregtare (Wet bescherming bedrijfsgehimen) mbron informacionin konfidencial të biznesit me vlerë tregtare, por vetëm nëse keni ndërmarrë hapa të arsyeshëm për ta mbajtur atë sekret.
• GDPR mbron të dhënat personale, por u jep të drejta individëve në fjalë, jo kompanisë suaj.

Regjistrat e transaksioneve, telemetria, cilësimet e konfigurimit, modelet e përdorimit, leximet e sensorëve dhe analizat e ndërtuara mbi to zakonisht nuk përfshihen në të katërtat. Ato mbrohen vetëm me marrëveshjen tuaj.

Çfarë shkon keq kur klauzola e të dhënave është e paqartë?

Klauzolat e të dhënave të paqarta prodhojnë pesë probleme të përsëritura. Secili prej tyre rrjedh nga kushtet standarde të ofruesit dhe jo nga fati i keq.

Prandaj, një marrëveshje cloud meriton të njëjtin shqyrtim si një kontratë qiraje ose shpërndarjeje. Përmbledhja jonë mbi atë që duhet të kontrolloni në një kontratë cloud në Holandë përcakton kuadrin më të gjerë tregtar.

Çfarë duhet të thotë klauzola e të dhënave?

Një klauzolë e zbatueshme përcakton të dhënat e klientit, deklaron se të gjitha të drejtat mbi to i mbeten klientit dhe kufizon licencën e ofruesit në qëllimin e ofrimit të shërbimit. Kufizimi i qëllimit mbart peshën kryesore.

Krahasoni dy formulime. “Një licencë për të përdorur, riprodhuar, modifikuar dhe shpërndarë të Dhënat e Klientit”, e dhënë përgjithmonë dhe në mënyrë të pakthyeshme, i lejon ofruesit të ndërtojë produkte mbi informacionin tuaj dhe të vazhdojë ta bëjë këtë pasi të largoheni. “Një licencë për të aksesuar dhe përpunuar të Dhënat e Klientit vetëm për qëllimin e ofrimit të Shërbimeve sipas kësaj Marrëveshjeje”, që përfundon me përfundimin e marrëveshjes, nuk e bën këtë.

Përcaktoni të dhënat e klientëve për të përfshirë atë që krijon stafi juaj brenda platformës, siç janë biletat, komentet, konfigurimet e rrjedhës së punës dhe shënimet, jo vetëm atë që ngarkoni. Trajtoni shprehimisht të dhënat e nxjerra dhe të agreguara, sepse një klauzolë që mbulon vetëm "Të dhënat e klientit" lë gjithçka që ofruesi llogarit prej tyre të pambrojtur.

Sa ju mbron ligji holandez i kontratave nga kushtet e padrejta?

Më pak nga sa presin shumica e bizneseve. Shumica e marrëveshjeve SaaS përdorin termat dhe kushtet e përgjithshme të ofruesit, të rregulluara nga nenet 6:231 deri në 6:247 BW, por kompanitë më të mëdha nuk mund të përdorin mbrojtjet kryesore.

Sipas Nenit 6:234 BW, ofruesi duhet t'ju japë një mundësi të arsyeshme për të lexuar kushtet para ose kur kontrata të lidhet; për kontratat elektronike, në një formë që mund ta ruani. Sipas Nenit 6:233(a) BW, një kusht është i anulueshëm nëse është i paarsyeshëm i rëndë. Megjithatë, sipas Nenit 6:235 BW, një palë nuk mund të mbështetet në këto baza nëse është një person juridik që ka publikuar llogaritë e tij të fundit vjetore, ose nëse 50 ose më shumë persona kanë punuar për të kur është lidhur kontrata.

Valvula e sigurisë që mbetet është Neni 6:248(2) BW: një kusht kontrate nuk zbatohet kur zbatimi i tij do të ishte i papranueshëm sipas standardeve të arsyeshmërisë dhe drejtësisë. Gjykatat e zbatojnë këtë në mënyrë kufizuese midis bizneseve. Për shumicën e kompanive të themeluara, negocimi para nënshkrimit është e vetmja mundësi reale.

A e ndryshon këtë një zgjedhje e huaj e ligjit?

Pjesërisht. Sipas Rregullores Roma I, një zgjedhje ligjore biznes-me-biznes është përgjithësisht e vlefshme, dhe sipas Rregullores Bruksel I bis, e tillë është edhe zgjedhja e gjykatës brenda BE-së. Kjo zgjedhje nuk e çaktivizon GDPR-në ose rregullat e ndërrimit të Aktit të të Dhënave të BE-së, të cilat i detyrojnë ofruesit që u shërbejnë klientëve në BE kudo që janë të vendosur. Një premtim për t'u përmbajtur ligjit vendas të privatësisë së ofruesit në vend të GDPR-së është një defekt.

Si i merrni mbrapsht të dhënat tuaja sipas Aktit të të Dhënave të BE-së?

Që nga shtatori i vitit 2025, ka zbatuar Aktin e të Dhënave (Rregullorja (BE) 2023/2854) dhe rregullat e tij të ndërrimit mbulojnë SaaS, si dhe shërbimet e infrastrukturës dhe platformës. Ato i kthejnë pikat që dikur ishin të negociueshme në të drejta minimale statutore, pavarësisht nga kushtet standarde të ofruesit.

Ofruesi duhet të heqë pengesat kontraktuale, teknike dhe komerciale për kalimin te një ofrues tjetër ose te infrastruktura juaj. Rregullorja kufizon periudhën e njoftimit përpara se të fillojë kalimi, kërkon një periudhë kalimtare në të cilën ofruesi mbështet kalimin dhe garanton një periudhë minimale për të rikuperuar të dhënat tuaja përpara se të fshihen. Eksportimi duhet të jetë në një format të strukturuar, të përdorur zakonisht dhe të lexueshëm nga makina, përmes ndërfaqeve të hapura.

Tarifat e ndërrimit po hiqen gradualisht: gjatë tranzicionit, ofruesi mund të ngarkojë vetëm kostot e tij aktuale, dhe nga 12 janari 2027 nuk mund të ngarkojë fare për ndërrimin ose daljen e të dhënave. Kontratat e lidhura me kushte më të vjetra duhet të rilexohen në përputhje me këto rregulla. Për shërbime shumë të personalizuara, vendosni ende formatin e eksportit, dokumentacionin e skemës dhe mbështetjen e migrimit në kontratë: minimumi statutor është një minimum, jo ​​një plan migrimi.

Çfarë duhet të përcaktojë marrëveshja e përpunuesit në lidhje me fshirjen dhe sigurinë?

Kur platforma mban të dhëna personale, ju zakonisht jeni kontrolluesi dhe ofruesi përpunuesi, dhe Neni 28 i GDPR kërkon një marrëveshje me shkrim të përpunimit. Në fund të kontratës, përpunuesi duhet, sipas zgjedhjes suaj, të fshijë ose të kthejë të gjitha të dhënat personale; një klauzolë që i lejon ofruesit të zgjedhë nuk e përmbush këtë standard.

Shpjegimi ynë i roleve të kontrolluesit dhe përpunuesit sipas GDPR-së ju ndihmon të përcaktoni se kush është kush, dhe udhëzuesi ynë për marrëveshjen e përpunimit të të dhënave mbulon hartimin.

Kopjet rezervë janë ato ku premtimet për fshirje zakonisht dështojnë. Kopjet rezervë nuk modifikohen regjistrim pas regjistrimi; qasja e pranuar është që të dhënat e shënuara për fshirje të vihen jashtë përdorimit, të mos rikthehen në sistemet aktive dhe të zhduken kur kopja rezervë mbishkruhet. Kontrata duhet të përcaktojë periudhën e rotacionit të kopjimit rezervë, të garantojë që të dhënat e shënuara nuk rikthehen dhe të kërkojë një konfirmim me shkrim të fshirjes.

Neni 32 i GDPR-së kërkon masa të përshtatshme sigurie nga kontrolluesi dhe përpunuesi. Lidhini ato me një certifikim që ofruesi mban dhe do të mbajë, siç është ISO/IEC 27001, me të drejtë auditimi. Që kur Akti i Sigurisë Kibernetike (Cyberbeveiligingswet) hyri në fuqi më 15 gusht 2026, subjektet brenda fushëveprimit të tij duhet të japin një paralajmërim të hershëm për një incident të rëndësishëm CSIRT-it të tyre dhe autoritetit kompetent brenda 24 orëve dhe një njoftim më të plotë brenda 72 orëve (Nenet 26 dhe 27 të Cyberbeveiligingswet). Ju mund t'i përmbushni këto afate vetëm nëse ofruesi juaj duhet t'ju njoftojë brenda disa orësh.

Nën-përpunuesit, vendndodhja e të dhënave dhe auditimet

Sipas Nenit 28(2) të GDPR-së, një përpunues ka nevojë për autorizimin tuaj përpara se të angazhojë një nën-përpunues dhe, me një autorizim të përgjithshëm, duhet t'ju informojë për ndryshimet në mënyrë që të mund të kundërshtoni. Kontrata duhet të përcaktojë periudhën e njoftimit dhe t'ju lejojë ta ndërpresni pa penalizim, me një eksport të plotë, nëse kundërshtoni.

Nëse të dhënat personale largohen nga Zona Ekonomike Evropiane, Kapitulli V i GDPR-së kërkon një mekanizëm transferimi, siç është një vendim i mjaftueshmërisë ose klauzolat standarde kontraktuale të Komisionit Evropian. Kërkojini ofruesit të kalojë në një mekanizëm alternativ me shpenzimet e veta nëse ai që është në përdorim zhduket, dhe të zbulojë se nga cilat vende stafi mbështetës mund të hyjë në të dhënat tuaja. Sigurohuni që klauzola e auditimit lejon pyetje pasuese dhe një inspektim pas një incidenti, jo vetëm një raport vjetor.

Kush zotëron të dhëna të nxjerra dhe të dhëna trajnimi të inteligjencës artificiale?

Askush me ligj, kështu që kontrata vendos. Të dhënat e nxjerra janë ato që ofruesi llogarit nga të dhënat tuaja: standardet, parashikimet, raportet e efikasitetit dhe peshat e modelit të trajnuara në të dhënat tuaja.

Kushtojini vëmendje klauzolës së "përmirësimit të shërbimit", që zakonisht është një e drejtë për të përdorur të dhëna të anonimizuara ose të përmbledhura për të zhvilluar shërbimet dhe modelet e ofruesit. Anonimizimi është një standard i lartë sipas GDPR-së: të dhënat e pseudonimizuara, ose të dhënat e përmbledhura mjaftueshëm të detajuara për të identifikuar një klient të vetëm, mbeten të dhëna personale. Dhe të dhënat anonime mund të zbulojnë ende çmimet, marzhet, përzierjen e klientëve dhe proceset tuaja për një produkt të shitur te konkurrentët tuaj.

Mbrojtja e sekretit tregtar ndihmon vetëm nëse keni ndërmarrë hapa të arsyeshëm për të mbajtur informacionin sekret, dhe dhënia e pëlqimit për përdorimin e tij për trajnimin e modelit është pothuajse e kundërta. Akti i BE-së për IA rregullon mënyrën se si zhvillohen dhe përdoren sistemet e IA-së, por nuk ndan të drejta në të dhënat ose rezultatet e trajnimit. Një klauzolë mbrojtëse thotë se të gjitha të drejtat në të dhënat e papërpunuara, të derivuara dhe të agreguara mbeten me ju, dhe se zhvillimi i produktit, krahasimi ose trajnimi i modelit kërkon pëlqimin tuaj paraprak me shkrim rast pas rasti.

A janë kufizimet e përgjegjësisë në kontratat SaaS të vlefshme sipas ligjit holandez?

Në parim, po. Ligji holandez pranon klauzola lirimi nga përgjegjësia midis bizneseve dhe ofruesit zakonisht e kufizojnë përgjegjësinë në tarifat e paguara gjatë gjashtë ose dymbëdhjetë muajve, një pjesë e vogël e humbjes në një shkelje serioze të të dhënave.

Sipas Nenit 6:248(2) BW, mbështetja në një kufizim është e papranueshme, veçanërisht kur dëmi është shkaktuar nga qëllimi ose pakujdesia e vetëdijshme e ofruesit ose e menaxhimit të tij, sipas jurisprudencës së Gjykatës Supreme. Një palë që nuk përjashtohet nga Neni 6:235 BW mund ta kundërshtojë gjithashtu kufizimin sipas Nenit 6:233(a) BW. Të dyja rrugët diskutohen pas humbjes dhe me një kosto; negocimi është më i lirë.

Këmbëngulni në dy përjashtime: shkelje të detyrimeve të konfidencialitetit dhe sigurisë jashtë kufirit të përgjithshëm dhe një dëmshpërblim të pakufizuar për pronësinë intelektuale. Një kufi midis jush dhe ofruesit nuk kufizon pretendimet nga individët sipas Nenit 82 të GDPR-së ose gjobat nga AP-ja, të cilat për shkeljet më serioze mund të arrijnë 4% të xhiros vjetore në mbarë botën.

Çfarë ndodh me të dhënat tuaja nëse ofruesi falimenton?

Sipas Nenit 37 të Ligjit të Falimentimit (Faillissementswet), ju mund t'i jepni administratorit (kuratorit) një afat të arsyeshëm me shkrim për të konfirmuar nëse kontrata do të ekzekutohet. Nëse administratori nuk e konfirmon, ai humbet të drejtën për të kërkuar ekzekutimin nga ju, por shërbimi nuk vazhdon të funksionojë.

Source code escrow alone does not solve this, because the code is useless without the environment, configuration and data. A working continuity arrangement combines regular deposit of source code and build instructions, a current copy of your data in a documented format outside the provider’s estate, and a release trigger that covers insolvency and prolonged service failure. See our articles on escrow arrangements and depozitë softuerësh në Holandë.

Si krahasohet formulimi i dobët me formulimin mbrojtës?

Formulimi i dobët përshkruan një rezultat; formulimi mbrojtës e angazhon ofruesin në një mekanizëm që mund ta testoni kundrejt një formati, një pike ose një standardi të emërtuar.

Çfarë duhet të kontrolloni si klient?

• A përfundon licenca e ofruesit me ndërprerjen e saj dhe mbulon vetëm ofrimin e shërbimit?
• A janë të dhënat e nxjerra dhe të agreguara shprehimisht tuajat, dhe a përjashtohet trajnimi i modelit pa pëlqimin tuaj?
• A garantohet eksporti në një format të dokumentuar, të lexueshëm nga makina, me jo më shumë se sa lejon Akti i të Dhënave?
• A mbulon fshirja kopjet rezervë, me një konfirmim me shkrim?
• A duhet që ofruesi të njoftojë incidentet brenda disa orësh, në mënyrë që ju të mund të përmbushni afatin 24-orësh të Kibernetikës nëse kjo vlen për ju?
• A janë konfidencialiteti, siguria dhe dëmshpërblimi i pronësisë intelektuale jashtë kufirit të përgjegjësisë?

Çfarë duhet të kontrolloni si ofrues SaaS?

• A janë kushtet tuaja në përputhje me rregullat e ndërrimit të Aktit të të Dhënave, duke përfshirë heqjen graduale të tarifave të ndërrimit deri më 12 janar 2027?
• A përputhet marrëveshja juaj me përpunuesin me Nenin 28 të GDPR-së, duke përfshirë fshirjen ose kthimin sipas zgjedhjes së klientit?
• A është lista juaj e nën-përpunuesve e azhurnuar, me një procedurë njoftimi dhe kundërshtimi?
• A janë të drejtat tuaja për përmirësimin e shërbimeve dhe trajnimin në inteligjencën artificiale qartësisht të kufizuara dhe të bazuara vërtet në të dhëna anonime?
• A i keni dhënë kushtet e përgjithshme në një formë që klientët mund ta ruajnë, siç kërkohet nga Neni 6:234 BW?

Udhëzuesit tanë të ligjit të IT-së përcaktojnë kuadrin më të gjerë.

Çfarë mund të bëjmë për ju me kontratat dhe të dhënat SaaS?

Avokatët tanë të IT-së shqyrtojnë dhe negociojnë marrëveshje SaaS dhe cloud për bizneset holandeze dhe ndërkombëtare:

• Ne shqyrtojmë marrëveshjen tuaj SaaS dhe marrëveshjen e përpunimit dhe shënojmë çdo klauzolë që ndikon në të drejtat në të dhënat tuaja.
• Ne hartojmë formulime mbrojtëse mbi të drejtat e të dhënave, të dhënat e nxjerra, eksportin, fshirjen dhe përgjegjësinë.
• Ne i kontrollojmë kontratat ekzistuese kundrejt rregullave të ndërrimit të Aktit të të Dhënave dhe Ligjit për Mbrojtjen e të Dhënave Cyber.
• Ne caktojmë marrëveshje për vazhdimësi dhe ruajtje në ruajtje me një aktivizues lirimi të realizueshëm.
• Ne zhvillojmë negociata me ofruesin ose, nëse ju jeni ofruesi, hartojmë kushte standarde në përputhje me to.
• Ne veprojmë në mosmarrëveshjet me ofruesit kur një dalje ose kthim i të dhënave shkon keq.

përmbledhje

• Të dhënat nuk janë diçka sipas Nenit 3:2 BW, kështu që kontrata juaj vendos se kush mund t'i përdorë ato.
• Kufizoni licencën e ofruesit në ofrimin e shërbimit dhe përfshini të dhëna të nxjerra dhe të përmbledhura.
• Kompanitë më të mëdha nuk mund të mbështeten në rregullat e kushteve të padrejta të Nenit 6:233 BW (Neni 6:235 BW); negocioni para nënshkrimit.
• Akti i të Dhënave jep të drejta minimale për ndërrim dhe eksport dhe heq tarifat e ndërrimit nga 12 janari 2027.
• Fshirje e sigurt e kopjeve rezervë, njoftim i shpejtë i incidenteve dhe një marrëveshje vazhdimësie për falimentimin.

Pyetjet më të shpeshta