Dr. mogyorósi istván
- ügyvéd
- irodája
Cloud szolgáltatási szerződés
A felhőalapú informatikai szolgáltatások (SaaS, PaaS, IaaS) alapjaiban térnek el a hagyományos, saját szerverre telepített (on-premise) szoftverlicenc-konstrukcióktól: a felhasználó itt jellemzően nem egy szoftverpéldányt vásárol meg, hanem folyamatos online szolgáltatáshoz és infrastruktúrához kap hozzáférést.
Egy Cloud szolgáltatási szerződés kialakításakor vagy véleményezésekor ezért a technológiai és üzleti modell pontos feltérképezéséből kell kiindulni. Tisztázni kell, hogy milyen jogosultsági és díjazási metrikák mentén működik az előfizetés, ki felel az alapinfrastruktúráért és az adatbiztonságért, hogyan mérhető a rendelkezésre állás (SLA), és hogyan biztosított az üzletmenet-folytonosság vagy a szolgáltatóváltás.
Jogi támogatást nyújtok egyaránt felhőalapú szoftvert és infrastruktúrát értékesítő technológiai vállalkozásoknak (szolgáltatói oldal), valamint üzletkritikus cloud megoldásokat bevezető cégeknek (megrendelői oldal). A cél olyan skálázható és biztonságos szerződéses környezet megteremtése, amely mindkét fél számára átláthatóvá és kalkulálhatóvá teszi a felhőalapú működés kockázatait.
Miben segítek a Cloud szolgáltatási szerződések során?
Felhő ÁSZF és előfizetés: skálázható B2B és B2C szerződéses konstrukciók
Felhőszolgáltatók és SaaS-termékeket fejlesztő vállalkozások számára a szerződéses dokumentáció az értékesítési folyamat közvetlen része. Olyan strukturált ÁSZF-re és előfizetési szerződésre van szükség, amely automatizált online regisztráció és egyedi nagyvállalati (Enterprise) tárgyalások esetén is megállja a helyét:
- Hozzáférés és jogosultsági metrikák: a szolgáltatási csomagok terjedelmének, a felhasználószám-alapú (seat/user), tranzakcióalapú vagy erőforrás-alapú használati korlátoknak és a túlfogyasztás elszámolásának pontos rögzítése;
- Előfizetési ciklusok és díjmódosítás: a havi vagy éves megújulás, az indexálás, az egyoldalú díj- és ÁSZF-módosítási jogosultságok, valamint a próbaverziók (trial / freemium) jogi szabályozása;
- Frissítések és funkcióváltozások: a folyamatos verziófrissítések, a műszaki környezet módosítása és az egyes funkciók kivezetésének (deprecation) szerződéses keretei;
- Hibrid modellek kezelése: amikor a felhőalapú előfizetéshez egyedi bevezetési (onboarding), integrációs, oktatási vagy on-premise komponensek is kapcsolódnak.
Rendelkezésre állás (SLA) és felelősség: üzemeltetési garanciák és korlátok
Mivel a felhőszolgáltatás kiesése azonnal megbéníthatja az előfizető napi ügymenetét, a rendelkezésre állás, a hibajavítás és a felelősség kérdése a Cloud szolgáltatási szerződés legérzékenyebb tárgyalási pontja:
- Mérhető SLA (Service Level Agreement): a garantált rendelkezésre állási százalék (pl. 99,9%), a mérési időszak, a tervezett karbantartási ablakok és a kizárt időszakok egzakt meghatározása;
- Incidenskezelés és support: a hibák súlyossági osztályozása, a garantált reakció- és helyreállítási idők, az eszkalációs folyamat, valamint az SLA-sértéshez kapcsolódó szolgáltatási jóváírások (service credits) és kötbérek;
- Felelősségi plafon és kizárt károk: a szolgáltatói felelősségkorlátozás összege (pl. az adott időszaki előfizetési díjhoz kötött limit), az elmaradt haszon és a következményi károk kizárása;
- Kiemelt kockázati kivételek (megrendelői védelem): annak vizsgálata, hogy a felelősségkorlátozás kiterjed-e az adatvesztésre, a titoksértésre, a kiberbiztonsági incidensekre vagy a harmadik személyekkel szembeni szellemi tulajdonjogi (IP) helytállásra.
Adatmigráció, vendor lock-in és exit: a szolgáltatóváltás szabályozása
Felhőalapú rendszereknél a megrendelő üzleti adatai és folyamatai a szolgáltató infrastruktúrájába épülnek be. A túlzott szolgáltatófüggőség (vendor lock-in) elkerülése érdekében az exit-feltételeket már a szerződés aláírásakor rendezni kell:
- Adatexport és interoperabilitás: annak garantálása, hogy az ügyfél adatai a szerződés alatt és megszűnésekor strukturált, géppel olvasható, standard formátumban (és API-kon keresztül) kinyerhetők legyenek;
- Migrációs támogatás és átmeneti időszak: a szolgáltató együttműködési kötelezettsége új rendszerre történő átálláskor, valamint a felmondást követő átmeneti szolgáltatási időszak (transition period) feltételei és díjazása;
- Felfüggesztési és felmondási korlátok: védelem az ellen, hogy a szolgáltató egy kisebb elszámolási vita esetén azonnal lekapcsolja az üzletkritikus rendszert vagy visszatartsa az ügyféladatokat;
- Adattörlés és igazolás: a migráció lezárultával a szolgáltatónál tárolt adatok és biztonsági mentések végleges, dokumentált törlésének rendje.
Adatvédelem (GDPR), kiberbiztonság (NIS2) és beszállítói lánc a felhőben
Egy Cloud szolgáltatási szerződés nem választható el az adatkezelési és információbiztonsági szabályozástól. A felhőszolgáltató jellemzően adatfeldolgozóként (vagy al-adatfeldolgozók igénybevételével) jár el, így a szerződéses csomagnak tartalmaznia kell a GDPR szerinti adatfeldolgozási megállapodást (DPA), az adatközpontok földrajzi elhelyezkedését (EU/EGT vagy harmadik országbeli adattovábbítási garanciák), valamint a további technológiai alvállalkozók (pl. AWS, Azure, Google Cloud) bevonásának szabályait.
Szabályozott iparágakban és a NIS2 kiberbiztonsági követelmények hatálya alá tartozó vállalkozásoknál kiemelten fontos a biztonsági tanúsítványok (pl. ISO 27001, SOC 2), az incidensbejelentési határidők, a mentési (backup és disaster recovery) protokollok, valamint a megrendelői ellenőrzési és auditjogok szerződéses rögzítése.
Miért igényel külön jogi kontrollt egy Cloud szolgáltatási szerződés?
A felhőszolgáltatók által használt standard szerződések és ÁSZF-ek természetes módon a szolgáltató saját működési és felelősségi kockázatait minimalizálják. Gyakori, hogy az SLA csupán töredéknyi díjjóváírást kínál súlyos leállások esetére is, a felelősségi plafon aránytalanul alacsony az esetleges üzleti és reputációs károkhoz képest, az adatok visszamigrálása pedig nincs részletesen szabályozva.
Szolgáltatói oldalon ezzel szemben az a legnagyobb veszély, ha a cég egy hagyományos szoftverfejlesztési vagy licencszerződés-mintát próbál használni a felhőszolgáltatásához, így nem zárja ki a harmadik fél infrastruktúrájából eredő hibákat, nem szabályozza a felhasználói visszaéléseket (Acceptable Use Policy), és nem képes jogszerűen skálázni az előfizetési feltételeket.
Referenciák és szakmai háttér
- B2B és B2C SaaS-, PaaS- és cloud-platformok teljes szerződéses architektúrájának, ÁSZF-jeinek és előfizetési modelljeinek kidolgozása;
- nagyvállalati felhőbeszerzések, hibrid (cloud + on-premise) rendszerbevezetések és migrációs projektek megrendelői jogi képviselete;
- SLA-mellékletek, support-konstrukciók, adatfeldolgozási megállapodások (DPA) és nemzetközi adattovábbítási klauzulák kialakítása;
- NIS2 kiberbiztonsági, üzletmenet-folytonossági és beszállítói auditkövetelmények beépítése technológiai szerződésekbe;
- hazai szoftvercégek felhőalapú szerződésállományának nemzetközi piacra lépést támogató strukturálása.
Jogi támogatás Cloud és SaaS projektekhez
1. Skálázható Cloud és SaaS szerződéses rendszer kialakítása (Szolgáltatóknak)
- Kinek ajánlott? Felhőalapú szoftvert (SaaS), platformot vagy hosting/infrastruktúra szolgáltatást nyújtó vállalkozásoknak, startupoknak és szoftverházaknak.
- Eredmény: Az üzleti modellre szabott előfizetési szerződés vagy ÁSZF, SLA- és support-melléklet, felhasználási szabályzat (AUP) és GDPR adatfeldolgozói szerződés (DPA).
- Következő lépés: A felhőszolgáltatás műszaki működésének, árazási modelljének és alvállalkozói hátterének áttekintése.
2. Cloud beszállítói szerződés és SLA átvilágítása (Megrendelőknek)
- Kinek ajánlott? Vállalatoknak, amelyek üzletkritikus felhőszolgáltatásra, felhőalapú ERP/CRM rendszerre vagy külső IT-infrastruktúrára kötnek szerződést.
- Eredmény: Írásos kockázatelemzés és tárgyalási javaslatok a rendelkezésre állás (SLA), a felelősségi korlátok, az adatbiztonság, a NIS2/GDPR megfelelés és a vendor lock-in (exit) kérdéseiről.
- Következő lépés: A szállítói ajánlat, a szerződéstervezet és az SLA-mellékletek előzetes jogi felülvizsgálata az aláírás előtt.
3. Hibrid és nemzetközi felhőkonstrukciók jogi strukturálása
- Kinek ajánlott? Olyan technológiai vállalkozásoknak, amelyek külföldi ügyfelek felé értékesítenek, vagy a felhőszolgáltatást egyedi fejlesztéssel és on-premise elemekkel kombinálják.
- Eredmény: Moduláris keretszerződés és funkcionális mellékletek rendszere, amely elkülöníti az előfizetéses szolgáltatást az egyedi fejlesztésektől és kezeli a nemzetközi jogválasztási, valamint adatkezelési kérdéseket.
- Következő lépés: Konzultáció a nemzetközi értékesítési és licencstruktúra jogi felépítéséről.
Gyakran Ismételt Kérdések a Cloud szolgáltatási szerződésekről
Cloud és SaaS konstrukcióban az ügyfél nem egy szoftverpéldányt kap birtokba és telepít a saját szerverére, hanem egy távolról üzemeltetett, folyamatos szolgáltatáshoz fér hozzá. Emiatt a szerződés fókuszában a hozzáférési jogosultságok, a rendelkezésre állási szint (SLA), az adatkezelés, az üzemeltetési felelősség és a megszűnéskori adatexport áll.
Igen. Még ha a globális szolgáltatók szűkebb mozgásteret is hagynak a módosításra, a jogi átvilágítás feltárja, pontosan milyen üzleti és compliance kockázatot vállal a megrendelő, hol szükséges belső kontroll, kiegészítő adatmentési megoldás vagy felelősségbiztosítás, illetve mely egyedi (Enterprise) mellékleteknél érhető el tárgyalási eredmény.
A szerződésben előre rögzített exit- és migrációs szabályokkal: garantálni kell a tárolt adatok standard, géppel olvasható formátumú exportálhatóságát, az API-hozzáférést, a műszaki dokumentációt, a szolgáltató migrációs közreműködési kötelezettségét, valamint a szerződés megszűnése utáni átmeneti szolgáltatási időszakot.
A felelősségi plafon összege mellett külön vizsgálni kell, hogy mely károk vannak teljesen kizárva, és vonatkozik-e a korlátozás a kritikus kockázatokra is például az adatvesztésre, az üzleti titoksértésre, a kiberbiztonsági incidensekre, a GDPR-bírságokra vagy a szerzői jogi jogsértésekre.
A GDPR miatt kötelező az adatfeldolgozási megállapodás (DPA), az adatközpontok lokációjának és az al-adatfeldolgozók (sub-processors) bevonásának rendezése. A NIS2 hatálya alá tartozó szervezeteknél pedig a beszállítói kiberbiztonsági követelményeket, az incidensjelentési határidőket, az üzletmenet-folytonosságot és az ellenőrzési (audit) jogokat is szerződésbe kell foglalni.
Komplexebb felhőszolgáltatásnál nem célszerű mindent egyetlen dokumentumba zsúfolni. Sokkal átláthatóbb és skálázhatóbb egy központi keretszerződés (vagy ÁSZF) és külön funkcionális mellékletek például önálló SLA, adatfeldolgozási (DPA), információbiztonsági és egyedi fejlesztési/bevezetési melléklet alkalmazása.
Előzetes jogi áttekintés Cloud szerződéskötés vagy SaaS-indítás előtt
Felhőalapú szoftverszolgáltatás piacra vitele vagy vállalati cloud-beszerzés előtt érdemes előzetesen áttekinteni a szerződéses struktúrát. Egy célzott jogi konzultáció segít összehangolni az előfizetési modellt, az SLA-garanciákat, a felelősségi korlátokat, az adatvédelmi megfelelést és a biztonságos kilépési (exit) szabályokat.
Következő lépés: Személyes vagy online konzultáció keretében áttekintjük a Cloud szolgáltatási szerződést vagy kialakítjuk a felhőszolgáltatásához illeszkedő szerződéses rendszert.