Kepemilikan data kontrak SaaS: siapa yang memiliki data Anda menurut hukum Belanda?

Berdasarkan hukum Belanda dan Uni Eropa, tidak ada seorang pun yang memiliki data secara langsung, sehingga klausul data dalam kontrak SaaS Anda, dan bukan hukum, yang menentukan siapa yang boleh menggunakan, menyalin, mengekspor, dan menghapus informasi yang Anda masukkan ke dalam platform cloud. Pasal 3:2 Kitab Undang-Undang Hukum Perdata Belanda (Burgerlijk Wetboek, BW) mendefinisikan zaak (benda) sebagai objek berwujud yang dapat dikendalikan manusia, dan kumpulan data bukanlah objek berwujud. Yang sebenarnya dimiliki pelanggan adalah sekumpulan hak kontraktual, yang diperkuat di beberapa tempat oleh hak cipta, hak basis data, perlindungan rahasia dagang, dan GDPR. Oleh karena itu, rumusan yang tidak jelas tidak membiarkan pertanyaan tersebut terbuka: rumusan tersebut menyelesaikannya untuk kepentingan penyedia.

Mengapa kepemilikan data kontrak SaaS merupakan masalah kontraktual, bukan masalah kepemilikan?

Hukum properti Belanda bekerja dengan goederen : benda berwujud dan hak milik (Pasal 3:1 BW). Data tidak termasuk dalam salah satu kategori tersebut. Anda tidak dapat menyerahkannya, menjaminkannya, atau menuntutnya kembali seperti halnya server atau mesin. Ini bukan celah yang diam-diam diisi oleh pengadilan; ini adalah fitur yang disengaja dari sistem di mana informasi beredar bebas kecuali jika aturan khusus membatasinya. Konsekuensi praktisnya sangat jelas. Jika perjanjian Anda tidak menyebutkan hal yang berguna tentang data Anda, Anda tidak memiliki posisi cadangan untuk mundur.

Empat badan hukum memberikan perlindungan terhadap data, dan penting untuk mengetahui di bawah hukum mana informasi Anda sebenarnya berada. Teks asli, gambar, gambar teknik, dan perangkat lunak yang Anda unggah atau buat di platform tersebut dilindungi oleh hak cipta berdasarkan Auteurswet, yang menjadi milik Anda secara hukum dan tidak berpindah ke penyedia hanya karena dihosting di server mereka. Koleksi terstruktur dapat dilindungi oleh hak basis data sui generis dari Databankenwet jika Anda melakukan investasi substansial dalam memperoleh, memverifikasi, atau menyajikan isinya, meskipun hukum kasus Eropa yang telah mapan menyatakan bahwa investasi dalam pembuatan data yang mendasarinya tidak dihitung terhadap ambang batas tersebut. Informasi bisnis rahasia dengan nilai komersial, yang dilindungi oleh langkah-langkah yang wajar untuk menjaga kerahasiaannya, berada di bawah Wet bescherming bedrijfsgeheimen, implementasi Belanda dari Arahan Rahasia Dagang Uni Eropa. Dan data pribadi diatur oleh GDPR, yang memberikan hak kepada individu yang bersangkutan, bukan kepada perusahaan Anda.

Segala sesuatu di luar keempat kategori tersebut, yang dalam sebagian besar implementasi SaaS merupakan sebagian besar isinya, sepenuhnya merupakan bagian dari kontrak. Log transaksi, telemetri, pengaturan konfigurasi, pola penggunaan, pembacaan sensor, dan analitik yang dibangun di atasnya hanya dilindungi sejauh perjanjian Anda melindunginya. Itulah hal terpenting yang harus dipahami sebelum Anda membaca sebuah klausul.

Apa yang salah jika klausa tersebut tidak jelas?

Ambiguitas dalam klausul data jarang terjadi secara tidak sengaja, dan hal itu menghasilkan serangkaian masalah yang dapat dikenali. Pertama adalah keterikatan: perjanjian yang tidak menawarkan format ekspor, jadwal waktu, dan batasan harga membuat penghentian proyek menjadi lebih seperti keputusan daripada penghentian. Kedua adalah perluasan cakupan dalam lisensi penyedia, di mana hak yang diberikan untuk tujuan penyediaan layanan secara diam-diam meluas ke pengembangan produk dan eksploitasi komersial. Ketiga adalah celah kepatuhan, karena GDPR mewajibkan pengontrol untuk mengetahui di mana data pribadi diproses dan oleh siapa, dan kontrak yang tidak menjawab pertanyaan-pertanyaan tersebut membuat prinsip akuntabilitas tidak mungkin dipenuhi. Keempat adalah penghapusan berdasarkan ketentuan penyedia, bukan ketentuan Anda, dengan arsip dihapus sebelum Anda selesai melakukan migrasi.

Tidak satu pun dari hal-hal ini yang eksotis. Ini adalah posisi standar dari sebagian besar persyaratan layanan yang tersedia di pasaran, dan inilah alasan mengapa perjanjian cloud layak mendapatkan pengawasan yang sama seperti kontrak sewa atau distribusi. Tinjauan kami tentang apa yang perlu diperiksa dalam kontrak cloud di Belanda menjelaskan kerangka kerja komersial yang lebih luas di mana klausul data berada.

Apa yang seharusnya tertulis dalam klausa data?

Klausul data yang dapat diterapkan melakukan tiga hal: menentukan apa yang dianggap sebagai data pelanggan, menyatakan bahwa semua hak atas data tersebut tetap berada di tangan pelanggan, dan mendefinisikan lisensi penyedia berdasarkan tujuan, bukan berdasarkan cakupan. Batasan tujuan adalah bagian yang paling penting. Penyedia benar-benar perlu menyimpan, memproses, mengirimkan, dan menampilkan data Anda untuk menjalankan layanan, dan tidak ada pelanggan yang waras yang keberatan dengan hal itu. Yang seharusnya ditentang oleh pelanggan adalah lisensi yang tetap berlaku setelah penghentian layanan, meluas ke sub-lisensi, atau mencakup penggunaan untuk tujuan apa pun yang dianggap bermanfaat oleh penyedia.

Bandingkan dua rumusan yang sekilas tampak serupa. Lisensi untuk menggunakan, mereproduksi, memodifikasi, dan mendistribusikan Data Pelanggan , yang diberikan secara permanen dan tidak dapat dicabut, memberi hak kepada penyedia untuk membangun produk berdasarkan informasi Anda dan terus melakukannya setelah Anda berhenti menggunakan layanan tersebut. Lisensi untuk mengakses dan memproses Data Pelanggan semata-mata untuk tujuan penyediaan Layanan berdasarkan Perjanjian ini , yang berakhir ketika perjanjian berakhir, tidak memberikan hak tersebut. Perbedaannya hanya beberapa kata dan menentukan apakah data operasional Anda adalah aset Anda atau bahan baku mereka.

Dua poin penting lainnya seringkali diabaikan. Pertama, definisikan data pelanggan mencakup materi yang dihasilkan staf Anda di dalam platform, bukan hanya apa yang Anda unggah, karena tiket, komentar, konfigurasi alur kerja, dan anotasi seringkali merupakan konten paling berharga dalam sistem. Kedua, sebutkan secara eksplisit data turunan dan data agregat, karena klausul yang hanya mencakup Data Pelanggan akan membuat semua yang dihitung penyedia dari data tersebut berada di luar perlindungan Anda.

Ketentuan standar dan batasan hukum kontrak Belanda

Sebagian besar perjanjian SaaS disimpulkan berdasarkan syarat dan ketentuan umum penyedia, yang membawa Pasal 6:231 hingga 6:247 BW ke dalam penerapannya. Dua aturan penting di sini. Berdasarkan Pasal 6:234 BW, penyedia harus menyediakan syarat dan ketentuan tersebut sebelum atau pada saat kontrak disimpulkan, dan untuk kontrak yang disimpulkan secara elektronik, syarat dan ketentuan tersebut harus diberikan dalam bentuk yang dapat disimpan dan direproduksi oleh pelanggan; tautan yang kemudian berubah tidaklah cukup. Berdasarkan Pasal 6:233(a) BW, suatu ketentuan dapat dibatalkan jika, dengan mempertimbangkan semua keadaan, ketentuan tersebut secara tidak wajar memberatkan pihak lain.

Jalur kedua itu lebih sempit daripada yang diperkirakan oleh perusahaan. Pasal 6:235 BW melarang pihak lawan untuk mengandalkan Pasal 6:233 dan 6:234 jika pihak tersebut adalah badan hukum sebagaimana dimaksud dalam Pasal 2:360 BW yang telah menerbitkan laporan keuangan tahunan terbarunya, atau jika memiliki lima puluh karyawan atau lebih pada saat kontrak disepakati. Oleh karena itu, perusahaan-perusahaan besar Belanda tidak dapat berdalih untuk menghindari klausul data yang keras setelah kejadian tersebut. Begitu pula pihak yang secara terbiasa menggunakan standar persyaratan yang sama atau hampir sama. Bagi sebagian besar bisnis yang sudah mapan, negosiasi sebelum penandatanganan adalah satu-satunya peluang nyata.

Apabila ketentuan standar tidak memberikan keringanan, Pasal 6:248(2) BW tetap berlaku: suatu aturan yang timbul dari kontrak tidak berlaku apabila, dalam keadaan tertentu, penerapannya tidak dapat diterima menurut standar kewajaran dan keadilan. Pengadilan Belanda menerapkan uji tersebut secara ketat dalam hubungan komersial, dan mereka tampak lebih bersedia menggunakannya apabila penyedia menyebabkan kerusakan melalui kesengajaan atau kelalaian yang disadari. Ini adalah katup pengaman, bukan strategi negosiasi.

Klausul hukum asing dan forum

Banyak perjanjian SaaS memilih hukum dan pengadilan dari yurisdiksi asal penyedia. Berdasarkan Peraturan Roma I, pilihan hukum antar bisnis umumnya berlaku, dan berdasarkan Peraturan Brussels I bis, pilihan forum di dalam Uni Eropa juga berlaku. Namun, pilihan tersebut tidak menonaktifkan GDPR, yang berlaku untuk pemrosesan dalam konteks suatu perusahaan di Uni Eropa dan untuk penawaran layanan kepada orang-orang di Uni Eropa, atau aturan peralihan Undang-Undang Data, yang mengikat penyedia yang menawarkan layanan pemrosesan data kepada pelanggan di Uni Eropa terlepas dari tempat penyedia tersebut didirikan. Klausul yang menjanjikan kepatuhan terhadap hukum privasi domestik penyedia, bukan GDPR, adalah sebuah kekurangan, bukan detail kecil.

Mendapatkan kembali data Anda: apa yang sekarang dipersyaratkan oleh Undang-Undang Data Uni Eropa.

Sejak 12 September 2025, Undang-Undang Data (Peraturan (EU) 2023/2854) telah berlaku, dan babnya tentang peralihan antar layanan pemrosesan data mencakup SaaS serta layanan infrastruktur dan platform. Undang-undang ini mengubah sejumlah poin yang sebelumnya murni negosiasi menjadi hak minimum yang diatur dalam undang-undang, dan hal ini berlaku terlepas dari apa yang tercantum dalam ketentuan standar penyedia. Ini adalah perubahan paling signifikan dalam kontrak cloud selama bertahun-tahun, dan banyak perjanjian yang ditandatangani sebelum tanggal tersebut belum diperbarui untuk mencerminkannya.

Kewajiban inti adalah sebagai berikut. Penyedia layanan harus menghilangkan hambatan kontraktual, teknis, komersial, dan organisasi yang mencegah pelanggan mengakhiri kontrak dan beralih ke penyedia lain atau ke infrastruktur on-premises miliknya sendiri. Jangka waktu pemberitahuan maksimum yang dapat diberlakukan penyedia layanan sebelum proses peralihan dimulai adalah dua bulan. Masa transisi wajib di mana penyedia layanan harus terus mendukung peralihan adalah tiga puluh hari kalender, dapat diperpanjang jika peralihan secara teknis tidak memungkinkan dalam jangka waktu tersebut, hingga maksimum tujuh bulan. Setelah masa transisi berakhir, pelanggan harus memiliki periode pengambilan data minimum setidaknya tiga puluh hari sebelum data yang dapat diekspor dan aset digital dihapus. Penyedia layanan harus menawarkan antarmuka terbuka dan mengekspor dalam format terstruktur, umum digunakan, dan dapat dibaca mesin.

Biaya-biaya tersebut dihapuskan secara bertahap sesuai jadwal yang telah ditetapkan. Selama masa transisi hingga 12 Januari 2027, penyedia layanan hanya dapat memulihkan biaya yang sebenarnya dikeluarkan terkait dengan peralihan tersebut, yang sudah melarang biaya keluar yang digunakan sebagai penalti saat keluar. Mulai 12 Januari 2027, biaya peralihan akan dihapus sepenuhnya: penyedia layanan tidak boleh mengenakan biaya untuk operasi yang diperlukan untuk memfasilitasi peralihan, maupun untuk transit data keluar dari lingkungannya.

Tiga konsekuensi praktis berikut ini. Kontrak yang dibuat berdasarkan ketentuan lama harus dibaca ulang berdasarkan aturan ini, karena klausul yang bertentangan dengannya tidak akan menyelamatkan penyedia layanan. Janji jangka waktu ekspor sembilan puluh hari tidak lagi murah hati; itu mendekati batas minimum yang ditetapkan undang-undang setelah periode pemberitahuan dan transisi digabungkan. Dan persyaratan untuk mengekspor dalam format yang dapat digunakan memiliki kekuatan nyata, karena dump dalam skema kepemilikan yang tidak dapat diolah oleh platform pesaing mana pun tidak akan membebaskan kewajiban tersebut. Jika layanan yang Anda andalkan sangat disesuaikan, tetap cantumkan format, dokumentasi skema, dan komitmen dukungan migrasi dalam kontrak. Batas minimum yang ditetapkan undang-undang adalah batas bawah, bukan rencana migrasi.

Penghapusan, pencadangan, dan perjanjian prosesor

Jika platform menyimpan data pribadi, penyedia hampir selalu bertindak sebagai pengolah data dan Anda sebagai pengendali data, dan Pasal 28 GDPR mensyaratkan perjanjian tertulis yang mencakup pokok bahasan, durasi, sifat dan tujuan pemrosesan, kategori data dan subjek data, serta instruksi pengendali data. Pasal 28(3)(g) adalah klausul yang penting pada akhir hubungan: pada saat penghentian, pengolah data harus, atas pilihan pengendali data, menghapus atau mengembalikan semua data pribadi dan menghapus salinan yang ada, kecuali jika hukum Uni Eropa atau Negara Anggota mensyaratkan penyimpanan. Jika perjanjian Anda membiarkan penyedia data memilih, perjanjian tersebut tidak memenuhi standar. Penjelasan kami tentang peran pengendali data dan pengolah data berdasarkan GDPR menjelaskan cara menentukan peran masing-masing pihak, dan panduan kami tentang perjanjian pemrosesan data mencakup penyusunannya secara detail.

Cadangan data adalah tempat janji penghapusan biasanya gagal. Komitmen bahwa data akan dihapus dari sistem aktif tidak menyebutkan apa pun tentang arsip, snapshot, dan salinan pemulihan bencana, dan auditor dari Autoriteit Persoonsgegevens akan menanyakan tentang ketiganya. Praktik pengawasan menerima bahwa cadangan data tidak diedit secara teliti: pendekatan yang diterima adalah bahwa data yang ditandai untuk dihapus tidak digunakan lagi, tidak dipulihkan ke sistem aktif, dan hilang ketika cadangan ditimpa pada rotasi rutinnya. Oleh karena itu, yang harus ditentukan dalam kontrak adalah periode rotasi, jaminan bahwa data yang ditandai tidak akan dimasukkan kembali, dan konfirmasi tertulis tentang penghapusan setelah siklus selesai. Mintalah sertifikat penghapusan dalam kontrak, bukan pada saat Anda membutuhkannya.

Kewajiban keamanan juga layak mendapatkan perlakuan yang sama. Pasal 32 GDPR mensyaratkan langkah-langkah teknis dan organisasi yang tepat dari pengontrol dan pengolah data, dan kontrak harus mengaitkannya dengan sertifikasi yang dimiliki dan disetujui oleh penyedia, seperti ISO/IEC 27001 atau laporan SOC 2 Tipe II yang berlaku, dengan hak audit atau inspeksi yang terlampir. Sejak Cyberbeveiligingswet, implementasi Belanda dari Direktif NIS2, mulai berlaku pada 15 Agustus 2026, organisasi dalam cakupannya harus mendaftar ke NCSC dan melaporkan insiden signifikan dalam waktu dua puluh empat jam setelah mengetahuinya, diikuti dengan pemberitahuan yang lebih lengkap dalam waktu tujuh puluh dua jam. Batas waktu tersebut tidak dapat dipenuhi kecuali penyedia Anda terikat secara kontraktual untuk memberi tahu Anda cukup cepat agar Anda dapat memenuhinya, sehingga jangka waktu pemberitahuan dalam kontrak harus diukur dalam hitungan jam.

Pelatihan AI dan data yang dihasilkan

Data turunan adalah informasi yang dihitung oleh penyedia dari data Anda: tolok ukur, prediksi, skor kecenderungan, laporan efisiensi, dan bobot model yang dilatih pada kumpulan data yang mendasarinya. Karena tidak ada hak milik atas data, tidak ada jawaban baku tentang siapa yang boleh menggunakannya, dan alasan yang sama yang menyerahkan data mentah Anda kepada kontrak juga menyerahkan lapisan data turunan di sana. Klausul yang dengan cermat melindungi Data Pelanggan tetapi tidak menyebutkan apa pun tentang output dan analitik hanya melindungi bahan-bahan dan memberikan hidangannya.

Hal yang perlu diperhatikan adalah klausul peningkatan layanan, yang biasanya berupa hak untuk menggunakan data pelanggan yang dianonimkan atau diagregasi untuk meningkatkan dan mengembangkan layanan serta model penyedia. Ada dua hal yang salah jika menerimanya tanpa diperiksa. Pertama, anonimisasi merupakan standar yang tinggi berdasarkan GDPR: data hanya dianggap anonim jika identifikasi ulang tidak mungkin dilakukan dengan cara apa pun, dengan mempertimbangkan data lain yang tersedia bagi penyedia. Catatan yang dianonimkan, dan agregat yang cukup rinci untuk mengisolasi pelanggan individu, tetap merupakan data pribadi dan tetap tunduk pada batasan pemrosesan yang telah Anda negosiasikan di tempat lain dalam dokumen yang sama. Kedua, anonimisasi tidak mengatakan apa pun tentang kerahasiaan komersial. Struktur harga Anda, data margin, komposisi klien, dan proses internal dapat sepenuhnya anonim dalam arti perlindungan data dan tetap menjadi informasi intelijen kompetitif yang paling tidak Anda inginkan untuk produk yang dijual kepada pesaing Anda.

Perlindungan rahasia dagang berdasarkan Wet bescherming bedrijfsgeheimen hanya bermanfaat jika Anda telah mengambil langkah-langkah yang wajar untuk menjaga kerahasiaan informasi tersebut, dan menyetujui penggunaannya dalam persyaratan layanan untuk pelatihan model hampir merupakan kebalikan dari langkah yang wajar. Regulasi kecerdasan buatan juga tidak mengisi celah tersebut: Undang-Undang AI Uni Eropa mengatur bagaimana sistem AI dapat dikembangkan, dipasarkan, dan digunakan, serta memberlakukan kewajiban transparansi, tetapi tidak mengalokasikan hak atas data pelatihan atau keluaran model. Alokasi tersebut bersifat kontraktual, yang berarti klausul perlindungan harus dirancang dan bukan diasumsikan.

Formulasi yang dapat digunakan menyatakan bahwa pelanggan mempertahankan semua hak atas data mentah, data turunan, dan data agregat; bahwa penyedia hanya dapat menggunakan data tersebut untuk memberikan layanan yang dikontrak; bahwa setiap penggunaan untuk pengembangan produk, benchmarking, pelatihan model, atau publikasi memerlukan persetujuan tertulis sebelumnya berdasarkan kasus per kasus; dan bahwa persetujuan, setelah diberikan, tidak mencakup sub-lisensi atau penjualan kembali. Jika penyedia tidak menerima pengecualian untuk pelatihan model, itu adalah informasi yang berguna tentang model bisnisnya, dan lebih baik diketahui sebelum penandatanganan daripada setelah peluncuran produk baru.

Batasan tanggung jawab berdasarkan hukum Belanda

Klausul pembatasan tanggung jawab menentukan nilai sebenarnya dari perlindungan data Anda. Penyedia layanan biasanya membatasi tanggung jawab pada biaya yang dibayarkan selama enam atau dua belas bulan sebelumnya, yang dalam langganan menengah merupakan sebagian kecil dari kerugian yang disebabkan oleh pelanggaran serius. Hukum Belanda tidak melarang pembatasan tersebut; klausul pembebasan tanggung jawab pada prinsipnya sah, dan pengadilan menghormati alokasi risiko yang dinegosiasikan oleh pihak-pihak komersial.

Namun, hal itu tidak bersifat tak terbatas. Berdasarkan Pasal 6:248(2) BW, ketergantungan pada klausul pembebasan tanggung jawab dikesampingkan jika hal itu tidak dapat diterima menurut standar kewajaran dan keadilan, dan yurisprudensi Mahkamah Agung memperlakukan kerugian yang disebabkan oleh kesengajaan atau kelalaian yang disadari oleh debitur, atau oleh orang-orang yang dipercayakan untuk mengelola bisnisnya, sebagai kasus paradigmatik. Jika klausul tersebut berlaku secara umum, pihak yang tidak dikecualikan oleh Pasal 6:235 BW juga dapat menggugatnya berdasarkan Pasal 6:233(a) BW. Kedua jalur tersebut diperdebatkan setelah kerugian terjadi, dengan biaya tertentu, dan tanpa jaminan. Negosiasi batasan tanggung jawab lebih murah.

Dua pengecualian perlu ditekankan. Pelanggaran kerahasiaan dan kewajiban keamanan harus berada di luar batasan umum atau di bawah batasan yang jauh lebih tinggi, karena itulah risiko yang ingin Anda lindungi. Dan ganti rugi kekayaan intelektual harus tidak dibatasi, karena klaim pelanggaran pihak ketiga yang timbul dari perangkat lunak penyedia sendiri adalah risiko yang tidak dapat Anda periksa atau kendalikan. Perhatikan juga bahwa batasan kontraktual hanya mengikat para pihak dalam kontrak. Hal itu tidak membatasi klaim subjek data atas kerugian berdasarkan Pasal 82 GDPR, dan tidak membatasi denda administratif yang dapat dikenakan oleh Autoriteit Persoonsgegevens, yang untuk pelanggaran paling serius mencapai hingga empat persen dari omset tahunan di seluruh dunia. Risiko tersebut ditanggung oleh pengontrol terlepas dari apa yang disepakati oleh pengolah data untuk dibayarkan.

Keberlangsungan layanan jika penyedia layanan mengalami kegagalan.

Kepailitan adalah skenario yang paling buruk ditangani oleh sebagian besar kontrak. Jika penyedia layanan di Belanda dinyatakan bangkrut, Pasal 37 Undang-Undang Kepailitan (Faillissementswet) mengizinkan pihak lawan untuk menetapkan tenggat waktu tertulis yang wajar kepada kurator untuk mengkonfirmasi apakah perjanjian akan dilaksanakan; jika kurator tidak mengkonfirmasi, ia kehilangan hak untuk menuntut pelaksanaan dari Anda, tetapi itu tidak menjamin layanan tetap berjalan. Dalam praktiknya, platform dapat dimatikan sementara proses likuidasi aset berlangsung, dan data Anda tersimpan di infrastruktur yang sedang coba dijual oleh kurator.

Penitipan kode sumber saja tidak menyelesaikan masalah ini untuk SaaS, karena menyimpan kode tersebut tidak berguna tanpa lingkungan, konfigurasi, dan data. Yang efektif adalah pengaturan keberlanjutan yang mencakup ketiganya: penyimpanan kode sumber dan instruksi pembuatan secara berkala, salinan data Anda yang terbaru dalam format terdokumentasi yang disimpan di luar aset penyedia, dan pemicu rilis yang mencakup kebangkrutan dan kegagalan layanan yang berkepanjangan, bukan hanya kebangkrutan saja. Artikel kami tentang pengaturan penitipan dan tentang penitipan perangkat lunak di Belanda menjelaskan bagaimana hal ini disusun dan apa yang sebenarnya diberikan oleh sebuah rilis.

Hal yang perlu diperiksa sebelum Anda menandatangani

Uji tuntas terhadap penyedia SaaS sebagian besar merupakan masalah mengajukan pertanyaan yang dapat dijawab secara tertulis oleh pemasok yang dikelola dengan baik. Sertifikasi apa yang dimiliki penyedia, kapan terakhir kali diaudit, dan apakah mereka berkomitmen untuk mempertahankannya selama masa kontrak? Di mana data disimpan dan diproses, sub-prosesor mana yang terlibat, dan bagaimana perubahan sub-prosesor diberitahukan dan ditolak? Bagaimana riwayat insidennya, dan bagaimana mereka berkomunikasi selama insiden terakhir? Keengganan untuk menjawab salah satu dari pertanyaan ini secara tertulis itu sendiri adalah jawabannya.

Ada baiknya memutuskan secara internal, sebelum memulai negosiasi, syarat-syarat mana yang tidak akan Anda berikan konsesi. Menyetujui posisi tersebut antara bisnis, TI, dan hukum sebelumnya mencegahnya dikorbankan di bawah tekanan tenggat waktu pada akhir pengadaan. Persyaratan minimum yang dapat diterapkan adalah bahwa semua hak atas data mentah dan data turunan tetap berada di tangan Anda; bahwa lisensi penyedia terbatas pada penyediaan layanan dan berakhir bersamaan dengan perjanjian; bahwa ekspor tersedia dalam format terdokumentasi yang dapat dibaca mesin dengan biaya tidak lebih dari yang diizinkan oleh Undang-Undang Perlindungan Data; bahwa penghapusan mencakup cadangan dan dikonfirmasi secara tertulis; bahwa pemberitahuan insiden diukur dalam hitungan jam; dan bahwa kerahasiaan, keamanan, dan ganti rugi kekayaan intelektual berada di luar batasan tanggung jawab umum. Sajikan hal tersebut sebagai syarat untuk melakukan bisnis, bukan sebagai daftar amandemen pada dokumen penyedia, dan percakapan akan berjalan berbeda.

Setelah posisi internal tersebut terbentuk dan uji tuntas teknis selesai, libatkan peninjauan hukum. Pada titik ini, penasihat hukum akan fokus pada perumusan kata-kata daripada mencari tahu apa yang sebenarnya dibutuhkan bisnis, yang mana prosesnya lebih cepat dan jauh lebih murah. Dan tetap berikan opsi untuk mengakhiri kerja sama. Penyedia layanan yang tidak mau bertanggung jawab atas kelalaiannya sendiri, atau yang pendapatannya bergantung pada hak atas data Anda, bukanlah penyedia yang menawarkan kemitraan yang dapat diperbaiki dengan penyusunan draf perjanjian.

Perbandingan redaksi kontrak

Polanya konsisten: versi lemah menggambarkan suatu hasil, versi protektif berkomitmen pada suatu mekanisme. Klausul yang tidak dapat diuji terhadap suatu format, periode, atau standar tertentu tidak dapat ditegakkan ketika hal itu penting.

Lokasi data, sub-prosesor, dan hak audit selama jangka waktu tersebut

Hak atas data tidak ada artinya jika Anda tidak dapat memastikan di mana data tersebut sebenarnya berada. Pasal 28(2) GDPR mewajibkan pengolah data untuk memperoleh otorisasi dari pengendali data sebelum melibatkan pengolah data lain, dan jika otorisasi tersebut bersifat umum, untuk memberi tahu pengendali data tentang penambahan atau penggantian yang direncanakan sehingga pengendali data dapat mengajukan keberatan. Dalam praktiknya, sebagian besar penyedia SaaS bekerja dengan daftar sub-pengolah data yang dipublikasikan dan otorisasi umum, yang dapat diterima asalkan kontrak menetapkan periode pemberitahuan, memberi Anda hak keberatan yang nyata, dan menyatakan apa yang terjadi jika Anda mengajukan keberatan: klausul yang dapat diterapkan memungkinkan penghentian tanpa penalti dan dengan ekspor penuh.

Lokasi penting karena alasan yang sama. Jika data pribadi keluar dari Wilayah Ekonomi Eropa, Bab V GDPR mensyaratkan mekanisme transfer, baik itu keputusan kecukupan, klausul kontrak standar Komisi Eropa, atau aturan perusahaan yang mengikat, bersama dengan penilaian apakah hukum negara tujuan melemahkan perlindungan tersebut dalam praktiknya. Keputusan kecukupan ditinjau secara berkala dan telah ditantang di pengadilan Eropa lebih dari sekali, sehingga kontrak yang bergantung pada satu keputusan kecukupan dan tidak menyediakan hal lain akan rapuh. Wajibkan penyedia untuk menerapkan mekanisme alternatif dengan biaya sendiri jika mekanisme yang digunakan tidak lagi berlaku, dan untuk mengungkapkan negara-negara tempat staf pendukung dapat mengakses lingkungan tersebut, yang seringkali merupakan daftar yang lebih luas daripada negara-negara tempat data disimpan.

Terakhir, tegaskan hak verifikasi yang dapat diterapkan. Pasal 28(3)(h) GDPR mewajibkan pengolah data untuk menyediakan informasi yang diperlukan untuk menunjukkan kepatuhan dan untuk memungkinkan serta berkontribusi pada audit, termasuk inspeksi, yang dilakukan oleh pengendali data atau auditor yang ditunjuknya. Penyedia layanan umumnya mempersempit hal ini menjadi laporan sertifikasi tahunan, yang wajar untuk platform bersama tetapi hanya jika laporan tersebut terkini, mencakup layanan yang Anda gunakan, dan disertai dengan hak untuk mengajukan pertanyaan lanjutan dan untuk melakukan inspeksi jika laporan tersebut mengungkapkan adanya kesenjangan material atau insiden telah terjadi. Tuliskan pemicu tersebut ke dalam klausul. Hak audit yang hanya dapat dilaksanakan secara abstrak tidak akan pernah dilaksanakan sama sekali.

Pertanyaan yang sering diajukan tentang kepemilikan data kontrak SaaS

Klausul mana yang paling penting?

Klausul yang mendefinisikan lisensi penyedia atas data Anda, karena itulah yang mengubah pernyataan kepemilikan menjadi sesuatu yang dapat ditegakkan. Kalimat yang menyatakan bahwa pelanggan mempertahankan kepemilikan tidak banyak artinya jika paragraf berikutnya memberikan lisensi abadi, tidak dapat dicabut, dan berlaku di seluruh dunia untuk menggunakan data yang sama untuk tujuan apa pun. Bacalah keduanya bersama-sama dan cari batasan tujuan, tanggal berakhir yang terkait dengan penghentian, dan referensi eksplisit ke data turunan dan data agregat.

Bisakah saya mendapatkan kembali data saya jika penyedia layanan saya bangkrut?

Hanya jika Anda mengaturnya terlebih dahulu. Dalam kepailitan Belanda, kurator tidak berkewajiban untuk menjaga agar layanan tetap berjalan, dan berdasarkan Pasal 37 Faillissementswet, akibat praktis dari kegagalan untuk mengkonfirmasi kinerja adalah bahwa perjanjian tersebut tidak dilaksanakan. Hak ekspor kontraktual terhadap perusahaan yang dilikuidasi adalah klaim, bukan ganti rugi. Perlindungan yang andal adalah pengaturan keberlanjutan yang menyimpan salinan data Anda yang terkini dan terdokumentasi serta sarana untuk menjalankannya di luar aset penyedia, dengan pemicu pelepasan yang mencakup insolvensi dan kegagalan layanan yang berkelanjutan.

Apakah kepatuhan GDPR melindungi hak data perusahaan saya?

Tidak, dan asumsi tersebut merupakan sumber paparan yang umum. GDPR melindungi individu terkait data pribadi mereka dan memberikan hak kepada individu tersebut, bukan kepada perusahaan Anda sebagai pelanggan. Penyedia dapat memproses data pribadi dengan sempurna dan tetap memiliki lisensi kontraktual untuk memanfaatkan data komersial Anda, riwayat transaksi Anda, dan analitik yang dibangun berdasarkan data tersebut. Kepatuhan data pribadi dan hak data komersial adalah pertanyaan yang terpisah dan membutuhkan klausul yang terpisah.

Apakah Undang-Undang Perlindungan Data Pribadi mengesampingkan isi kontrak saya?

Untuk peralihan, sebagian besar ya. Bab VI Undang-Undang Data berlaku untuk penyedia yang menawarkan layanan pemrosesan data kepada pelanggan di Uni Eropa dan menetapkan hak minimum tentang periode pemberitahuan, periode transisi, format ekspor, dan biaya yang tidak dapat dikurangi oleh kontrak. Namun, undang-undang tersebut tidak menentukan siapa yang boleh menggunakan data Anda selama jangka waktu tersebut, siapa yang memiliki data turunan, atau apa yang terjadi jika terjadi insiden keamanan. Hal-hal tersebut tetap menjadi urusan perjanjian.

Seterpercayaapakah Olymp Trade? Kesimpulan Law & More dapat membantu

Para pengacara IT di Law & More Kami meninjau dan menegosiasikan perjanjian SaaS dan cloud untuk bisnis Belanda dan internasional, meliputi hak atas data, perjanjian pengolah data, ketentuan peralihan dan penghentian layanan, komitmen keamanan, dan tanggung jawab. Kami juga memberikan nasihat tentang pengaturan keberlanjutan dan sengketa dengan penyedia layanan ketika penghentian layanan mengalami masalah. Panduan hukum TI Jelaskan kerangka kerja yang lebih luas. Ceritakan tentang situasi Anda. Kami akan memberi tahu Anda pilihan yang tersedia dalam satu hari kerja.

Seterpercayaapakah Olymp Trade? Kesimpulan Law & More Yang dapat membantu Anda dalam hal ini dijelaskan di halaman kami. Pengacara TI .