Hollanda'da BT hizmetleri sözleşmesi: Hangi maddeler önemlidir ve neden?

Bir BT hizmetleri sözleşmesi, bir sağlayıcının işletmenize teknoloji hizmetleri sunduğu sözleşmedir: yönetilen BT, yazılım geliştirme, barındırma, destek veya bunların bir kombinasyonu. Hollanda yasalarına göre, genellikle Hollanda Medeni Kanunu'nun (Burgerlijk Wetboek, BW) 7. Kitabı kapsamında bir hizmet sözleşmesidir (overeenkomst van opdracht), ancak sağlayıcının tanımlanmış bir sonuç sunması gerektiğinde bir iş sözleşmesine (aanneming van werk) dönüşür.

Bu sınıflandırma birçok şeyi belirliyor. Sağlayıcının azami çabayı mı yoksa sonucu mu göstermesi gerektiğine, sözleşmeyi erken feshedip feshedemeyeceğinize ve bir son teslim tarihinin kaçırılması durumunda ne olacağına karar veriyor.

Hollanda yasalarına göre bir bilişim hizmetleri sözleşmesi ne tür bir sözleşmedir?

Çoğu durumda bu, hizmet sağlayıcının azami gayreti gösterme yükümlülüğünü içeren bir hizmet sözleşmesidir. Sağlayıcının bir sonuç elde etme yükümlülüğü ancak sözleşmede açıkça tanımlanmış bir sonuç vaat edildiği durumlarda geçerlidir.

Hollanda hukuku, İngilizce BT sözleşmelerinde sıklıkla birbirine karıştırılan iki tür yükümlülüğü birbirinden ayırır. En iyi çaba yükümlülüğü (inspanningsverbintenis), sağlayıcının makul derecede yetkin bir profesyonelin özeniyle çalışmasını gerektirir. Bu yükümlülük, ancak sağlayıcı bu standardın altında kaldığı takdirde ihlal edilir. Sonuç yükümlülüğü (resultaatsverbintenis) ise tanımlanmış bir sonuç gerektirir. Bu sonuç elde edilmezse, sağlayıcı ne kadar çaba göstermiş olursa olsun, ihlalde bulunmuş olur.

Tedarikçiler ilkini, müşteriler ise ikincisini üstlenir. "Teslim etmek" kelimesi, gevşek bir şekilde kullanıldığında, soruyu çözmez. Hollanda mahkemeleri bunu yorumlama yoluyla karara bağlar: kelime seçimini, müzakereleri, tarafların uzmanlığını ve ticari amacı incelerler. Belirli bir tarihe kadar çalışan bir sistem satın alıyorsanız, sözleşmede bu sistemin o tarihe kadar teslim edilmesinin bir sonuç yükümlülüğü olduğu belirtilmelidir. Ayrıca, kabulün tanımlanmış kriterlere göre ölçüldüğü de belirtilmelidir. Her iki taraf da gerçekten azami gayreti göstermeyi amaçlıyorsa, sözleşmede bu da belirtilmeli ve gayretin nasıl ölçüleceği açıklanmalıdır.

Sınıflandırma, işten çıkarma sürecini nasıl etkiler?

Sözleşmeyi kimin ve hangi şartlarla feshedebileceğine karar verir. Hizmet sözleşmesi kapsamında, müşteri prensip olarak istediği zaman sözleşmeyi feshedebilir.

BW 7:408 maddesine göre, müşteri hizmet sözleşmesini dilediği zaman feshedebilir. Bu durumda hizmet sağlayıcı, yapılan iş için makul bir ücret alma hakkına sahiptir (BW 7:411 maddesi). Müşteri özel bir kişi olduğunda bu hak dışlanamaz. İşletmeler arasında ise dışlanabilir ve hizmet sağlayıcının şartları genellikle bunu dışlar veya kısıtlar. İşletmesi kapsamında bir görevi üstlenen bir hizmet sağlayıcı, ancak zorlayıcı nedenlerle (gewichtige redenen) sözleşmeyi feshedebilir. Fesih maddesini bu varsayılan kurallara göre okursanız, sözleşmenin kimin için hazırlandığını hemen görebilirsiniz. Hizmet sözleşmesine ilişkin kılavuzumuz , yasal kuralları daha ayrıntılı olarak açıklamaktadır.

Hangi belge ne işe yarıyor?

Bir BT anlaşması nadiren tek bir belgeden oluşur. Genellikle bir çerçeve sözleşmesi, bir veya daha fazla iş tanımı, bir hizmet seviyesi sözleşmesi, bir veri işleme sözleşmesi ve sağlayıcının genel şart ve koşullarını bulursunuz.

Çerçeve sözleşmesi yasal şartları belirler. İş tanımları veya hizmet açıklamaları, fiilen neyin teslim edildiğini ortaya koyar. Hizmet düzeyi sözleşmesi performans standartlarını belirler. Kişisel verilerin söz konusu olduğu durumlarda veri işleme sözleşmesi geçerlidir ve sağlayıcının genel şartları bunların hepsinin altında yer alır. Bu belgeler arasındaki öncelik sırasını açıkça belirtin. Bunlar çoğu zaman birbirleriyle çelişir ve çelişkiyi çözen madde, herhangi bir bireysel maddeden daha değerli olabilir.

Kapsam, kabul ve değişiklik kontrolünü nasıl tanımlarsınız?

Hizmet kategorisini değil, görevleri tanımlayın ve nelerin hariç tutulduğunu listeleyin. Ardından, teslim edilecek ürünlerin nasıl test edileceği ve değişikliklerin nasıl onaylanacağı konusunda anlaşın.

Çoğu anlaşmazlık kapsam maddesiyle başlar. "Yönetilen ağ hizmetleri" bir kapsam değil, bir kategoridir. İşlevsel bir açıklama, nelerin hangi saatlerde izlendiğini, nelerin ne sıklıkla yamalandığını ve kaç uç nokta ve kullanıcının kapsandığını belirtir. Ayrıca, sisteme entegrasyon ve entegrasyondan çıkarma süreçlerine nelerin dahil olduğunu, hangi olayların kapsam dahilinde olduğunu, nelerin açıkça hariç tutulduğunu ve hacimler varsayılan temel seviyenin ötesine geçtiğinde ne olacağını da belirtir.

Hariç tutulan maddeler de dahil edilenler kadar önemlidir ve güvenilir sağlayıcılar bunları memnuniyetle karşılar. Genellikle hariç tutulan maddeler arasında mesai saatleri dışında acil durum çalışmaları, donanım tedariki, üçüncü taraf yazılım lisansları, yerinde ziyaretler, müşteri hatası sonrası veri kurtarma ve sağlayıcının kurmadığı sistemlere destek yer alır. Bunlar hariç tutulmuşsa, sözleşmede ihtiyaç duyulmaları halinde ücretlendirilecekleri de belirtilmelidir.

Kabul prosedürüne ne zaman ihtiyacınız var?

Bir şeyin sadece işletilmesi değil, inşa edilmesi her zaman önemlidir. Böyle bir şey olmadan, sağlayıcının ne zaman gerçekten teslimat yaptığı belirsizdir.

Kimlerin, hangi kriterlere göre ve hangi süre içinde test yapacağını belirleyin. Neyin kusur sayılacağını ve hangi ciddiyet sınıfına girdiğini tanımlayın. Sağlayıcının kaç düzeltme turu hakkı olduğunu, süre içinde test yapılmaması durumunda ne olacağını ve kesin reddin sonuçlarını kararlaştırın. Teslim edilecek ürünün zamanında yanıt vermemeniz durumunda kabul edilmiş sayılmasını öngören varsayılan kabul maddeleri, sağlayıcı şartlarında standarttır ve genellikle uygulanabilir niteliktedir. Çözüm, prensipte bunlarla mücadele etmek değildir. Süreyi gerçekçi hale getirin ve sağlayıcının test edilebilir bir şey teslim etmesiyle başlamasına izin verin.

Değişiklik kontrolü neden aynı sorunun bir parçası?

Çünkü her önemli BT projesi, ömrü boyunca değişir. Bir prosedürünüz olmazsa, daha sonra neyin kararlaştırıldığı konusunda tartışmaya girersiniz.

Bir prosedür olmadan, değişiklikler, kuruluşlarını bağlayamayan kişiler arasında e-posta yoluyla kararlaştırılır. Sonunda ortaya çıkan anlaşmazlık ise Mart ayında neyin kararlaştırıldığıyla ilgili olur. Kısa bir prosedür bunun büyük bir kısmını önler. Kimin değişiklik talep edebileceğini ve kimin onaylaması gerektiğini belirtir, değişikliğin nasıl fiyatlandırılacağını açıklar ve her iki taraf da imzalamadan hiçbir değişikliğin yürürlüğe girmeyeceğini belirtir.

Bir hizmet seviyesi anlaşması neleri içermelidir?

Kullanılabilir bir SLA (Hizmet Seviyesi Anlaşması), ölçütü, nasıl ve hangi süre zarfında ölçüldüğünü, nelerin hariç tutulduğunu ve başarısızlık durumunda ne olacağını belirtir. Bu unsurların her biri, başlıkta yer alan bir rakamın anlamını sessizce ortadan kaldırabilir.

İş kapsamı ne yapılacağını belirtiyorsa, hizmet seviyesi anlaşması da işin ne kadar iyi yapıldığını belirtir. Her bir unsuru ayrı ayrı inceleyin, çünkü genel rakam ancak ayrıntılar bilindiğinde önem kazanır.

Kullanılabilirlik konusunu ele alalım. Yüzde 99.9'luk bir garanti etkileyici görünse de, 30 günlük bir ayda yaklaşık 43 dakika kesinti süresine izin verir; yüzde 99 ise yedi saatten fazla kesinti süresi sağlar. Bu rakam ancak üç şeyi bildiğinizde anlam kazanır:

• Ölçülen şey şudur: platformun kullanılabilirliği, uygulamanızın kullanılabilirliğiyle aynı şey değildir;
• Hariç tutulanlar: Planlı bakım dönemleri, üçüncü taraf ağ arızaları ve mücbir sebepler genellikle kapsam dışında bırakılır;
• Bunu kim ölçüyor: Kabul edilmiş bir araç veya denetim hakkı olmaksızın kendi performansını raporlayan bir sağlayıcı, aslında kendi ödevini kendisi değerlendiriyor.

Yanıt ve çözüm hedefleri aynı şekilde ele alınmalıdır. "Yanıt" genellikle bir düzeltme yerine bir onaylama anlamına gelir. Yanında bir çözüm hedefi olmadan on beş dakikalık bir yanıt hedefinin pek bir anlamı yoktur. Her ikisi de ciddiyet sınıflandırmasına bağlıdır. Kritik, yüksek, orta ve düşük olayları teknik belirtilerden ziyade iş etkisi açısından tanımlayın ve yanlış bir sınıflandırma durumunda sorunu üst kademeye iletmek için kendinize bir yol sağlayın.

Hizmet bedelinin gerçek değeri nedir?

Tazminat olarak çok az şey verilir. Önemli olan, kredilerin tek çözümünüz olup olmadığı ve sürekli başarısızlığın size sözleşmeyi feshetme hakkı verip vermediğidir.

Hizmet kredileri standart çözümdür: Hedef tutturulamadığında aylık ücretin belirli bir yüzdesi iade edilir. Bunlar bir yönetim sinyali olarak faydalıdır, ancak tazminat olarak neredeyse değersizdir. Ciddi bir kesintinin neden olabileceği kayıpla karşılaştırıldığında, bu krediler ücretin küçük bir kısmıyla sınırlıdır. Bu nedenle iki nokta önemlidir.

Öncelikle, kredilerin tek çözüm olup olmadığını kontrol edin. Hizmet seviyelerinin karşılanmaması durumunda hizmet kredilerinin "tek ve münhasır çözüm" olduğunu belirten bir madde, tazminat talep etme hakkınızı ortadan kaldırır. Birçok SLA'da bu en önemli cümledir. İkinci olarak, sürekli başarısızlığın size fesih hakkı verip vermediğini kontrol edin; bu genellikle belirli bir süre içinde belirli sayıda ihlalden sonra olur. Sadece kredisi olan ve fesih hakkı olmayan bir müşterinin gerçek bir kozu yoktur.

Ücretler ve ödeme yöntemleri nasıl düzenlenmelidir?

Fiyatlandırma modelini, endekslemeyi ve faturalandırmayı ayrıntılı olarak açıklayın. Sözleşmede bu konuda bir hüküm bulunmadığı durumlarda, Hollanda'nın gecikmiş ödemelerle ilgili yasal düzenlemeleri devreye girer.

Fiyatlandırma modelini belirtin: sabit ücret, kullanıcı başına, cihaz başına, bilet başına, zaman ve malzeme bazlı veya bunların bir kombinasyonu ve her birinin neleri içerdiğini açıklayın. Sağlayıcının takdirine bağlı olarak yıllık artışlara izin vermek yerine, fiyat artışları için endeksi ve gözden geçirme tarihini belirtin. Faturaların ne zaman düzenlendiğini, neleri içermesi gerektiğini ve ödemenin ne zaman yapılması gerektiğini belirtin.

Avrupa Geç Ödeme Direktifi'ni uygulayan Hollanda kuralları, herhangi bir ticari sözleşmede olduğu gibi BT sözleşmeleri için de geçerlidir. Madde 6:119a BW'ye göre, işletmeler arasındaki ödemeler, süre kararlaştırılmadığı takdirde 30 gün içinde yapılmalıdır. Daha uzun bir süre kararlaştırılabilir, ancak alacaklı için aşırı derecede haksızlık teşkil ediyorsa 60 günden fazla bir süre geçersizdir. Ödeme geciktiğinde, yasal ticari faiz otomatik olarak işlemeye başlar. Alacaklı ayrıca, en az 40 € olmak üzere tahsilat masraflarını da talep edebilir (Madde 6:96 BW).

Hizmet sağlayıcılar genellikle ödeme yapılmaması durumunda hizmeti askıya alma hakkı eklerler. Bu hak prensipte yasaldır, ancak askıya alma işleminin işletmenizi çevrimdışı bırakabileceği BT sektöründe kaba bir araçtır. Bunu bir bildirim süresi ve gerçekten ihtilaflı tutarlar için bir istisna ile sınırlandırın.

Hizmet sağlayıcının standart şartları üzerinde pazarlık yapabilir misiniz?

Evet, özellikle sorumluluk sınırı ve SLA çözümleri söz konusu olduğunda, müşterilerin sandığından daha sık. Genel şartlarla ilgili iki Hollanda kuralı da size yardımcı olur.

Hollandalı BT sağlayıcılarının neredeyse tamamı geçerli genel şartlarını (algemene voorwaarden) beyan eder. Bu sektörde birçok firma, sektör derneği tarafından yayınlanan standart şartları kullanmaktadır. Bu şartlar profesyonelce hazırlanmış ve güçlü bir şekilde sağlayıcı odaklıdır: azami çaba yükümlülüğü, kısa şikayet süreleri, sözleşme bedelinin bir kısmıyla sınırlı sorumluluk ve dolaylı zararların geniş kapsamlı olarak hariç tutulması.

İlk kural bilgilendirme yükümlülüğüyle ilgilidir. Genel şartları kullanan taraf, sözleşme imzalanmadan önce veya imzalandığı sırada diğer tarafa bunları okuma fırsatı vermelidir; pratikte bu, şartları kendisine sunarak yapılır. Aksi takdirde, bireysel maddeler geçersiz kılınabilir (BW 6:233 ve 6:234 maddeleri). İkinci kural ise şekil çatışmasıyla ilgilidir. Her iki taraf da kendi şartlarına atıfta bulunduğunda, Hollanda hukuku BW 6:225(3) maddesindeki "öncelik hakkı" kuralını izler: diğer taraf açıkça reddetmedikçe, atıfta bulunulan şartlar önce uygulanır. Bu, diğer birçok hukuk sistemindeki durumun tam tersidir. Genel şartlar ve koşulların açıklanması ve uluslararası ticari sözleşmelerdeki en yaygın beş hata hakkındaki kılavuzlarımız , bunun pratikte nasıl işlediğini göstermektedir.

Yazılımın ve kaynak kodunun sahibi kim?

Telif hakkı, onu yaratan kişiye aittir, parasını ödeyen tarafa değil. Telif hakkı ancak size yazılı olarak devredilip tapu senediyle teslim edildiğinde elde edilir.

Yazılım için ödeme yapmak sizi onun sahibi yapmaz. Hollanda Telif Hakkı Yasası'na (Auteurswet) göre, bir eseri yaratan kişi yazardır ve telif hakkına sahiptir. Hiçbir kural, mülkiyeti eseri sipariş eden veya ödeyen kişiye devretmez. İki istisna vardır. Bir çalışan eseri görevlerinin bir parçası olarak yaratırsa, işveren yazar olarak kabul edilir (Auteurswet madde 7). Bir tüzel kişi, bir gerçek kişiyi yazar olarak belirtmeden bir eseri kendi eseri olarak yayınlarsa, bu tüzel kişi yazar olarak kabul edilir (Auteurswet madde 8). Bu istisnaların hiçbiri, bir müşterinin harici bir sağlayıcı veya serbest çalışan bir geliştiriciyle çalışması gibi olağan durumları kapsamaz.

Dolayısıyla, devir açıkça kararlaştırılmalıdır. 2(3) Auteurswet maddesine göre, telif hakkını devreden veya münhasır lisans veren bir anlaşma yazılı olarak yapılmalı ve devrin kendisi bu amaçla hazırlanmış bir senet (akte) gerektirir. Müşterinin teslim edilen ürünlerdeki tüm fikri mülkiyet haklarını edindiğini belirten ve her iki tarafça imzalanmış bir anlaşma maddesi yeterlidir. Fatura veya sözlü anlaşma yeterli değildir. Herhangi bir hak devrini aynı şekilde bir veritabanında belgeleyin.

Arka planı, ön planı ve üçüncü taraf materyalleri nasıl ayırırsınız?

Her kategoriye kendi kuralını verin: arka plan materyali için lisans, ön plan materyali için mülkiyet ve üçüncü taraf ve açık kaynak bileşenleri için garanti.

Arka plan materyali, sağlayıcının beraberinde getirdiği şeydir: çerçeveleri, kütüphaneleri, araçları ve standart modülleri. Sağlayıcı mülkiyeti elinde tutar ve siz bir lisans alırsınız. Bu lisansın kapsamını, süresini, bölgesini ve devredilebilirliğini tanımlayın. Ön plan materyali, özellikle sizin için oluşturulan şeydir; mülkiyet genellikle tam ödeme yapıldığında devredilir. Üçüncü taraf ve açık kaynak bileşenlerinin kendi lisansları vardır. Sağlayıcı, hangi bileşenlerin hangi şartlarda kullanıldığını garanti etmelidir, çünkü özel yazılımlara gömülü bir copyleft lisansı, asla amaçlamadığınız yükümlülükler getirebilir. Hollanda'daki açık kaynak yazılım lisansı kılavuzumuz bu yükümlülükleri açıklamaktadır.

Kaynak kod emanetine ne zaman ihtiyacınız olur?

İşletmeniz, size ait olmayan bir yazılıma bağlı olduğunda, emanet hesabı (escrow) size sağlayıcının artık yazılımı sürdürememesi durumunda kaynak koduna erişim imkanı sağlar.

Emanet hesabı ile kaynak kod ve derleme dokümantasyonu bir emanetçiye teslim edilir. Bunlar, genellikle sağlayıcının iflası veya yazılımın bakımının sürekli olarak aksaması gibi tanımlanmış olaylarda size teslim edilir. Emanet hesabı, ancak emanet edilen tutar güncel tutulursa ve teslim koşulları doğrulanabilirse işe yarar. Hollanda'daki yazılım emanet hesabı kılavuzumuz, uygulanabilir bir düzenlemenin nasıl olması gerektiğini açıklamaktadır.

Verilerinizin sahibi kim?

Evet, öyle yapmalısınız ve anlaşmada bu açıkça belirtilmelidir. Verileri fikri mülkiyetten ayrı tutun.

Anlaşmada verilerinizin hangi formatta iade edileceği, sağlayıcının halef sağlayıcıya yardımcı olma yükümlülüğü ve sonrasında kalan kopyaları silme yükümlülüğü belirtilmelidir. Sağlayıcının verilerinizi kendi hizmetlerini iyileştirmek veya modelleri eğitmek için kullanmak istemesi, ekte yer alan bir satırla değil, açık ve ayrı olarak müzakere edilmiş bir izin gerektirir.

İşlemci sözleşmesi neleri içermelidir?

Veri sağlayıcısının kişisel verilerinizi talimatlarınız doğrultusunda işlediği durumlarda, GDPR (Genel Veri Koruma Yönetmeliği) önceden belirlenmiş içeriğe sahip yazılı bir veri işleme sözleşmesi gerektirir. Bu içerik olmadan, her iki taraf da risk altındadır.

Genel Veri Koruma Yönetmeliği'nin (GDPR, Hollandaca AVG) 28(3) maddesi, sözleşmenin neleri içermesi gerektiğini belirtir. Sözleşme, işlemenin konusunu ve süresini, niteliğini ve amacını, kişisel veri türlerini ve veri sahiplerinin kategorilerini açıklamalıdır. Ayrıca, veri işleyene bir dizi yükümlülük de getirmelidir:

• Sadece belgelenmiş talimatlar doğrultusunda işlem yapılır;
• Personelin gizliliğinin sağlanması;
• Uygun teknik ve organizasyonel güvenlik önlemlerini almak;
• Alt yüklenicilerle yalnızca yetkilendirme ile ve eşdeğer şartlarda çalışmak;
• Veri sorumlusuna veri sahiplerinin talepleri ve veri ihlali bildirimleri konusunda yardımcı olmak;
• Hizmetin sonunda verilerin silinmesi veya geri döndürülmesi.

Bu unsurları içermeyen bir anlaşma uyumlu değildir. Hollanda'daki veri işleme anlaşmasına ilişkin kılavuzumuz gerekli içeriği kapsamaktadır.

Öncelikle rolleri doğru belirleyin. Örneğin, verileri kendi analizleri için kullanarak kendi amaçlarını belirleyen bir sağlayıcı, bu işlem için veri işleyici değil, veri denetleyicisidir. Anlaşma, tarafların tercih ettiği etiketi değil, gerçeği yansıtmalıdır.

Güvenlik maddesi ne kadar ayrıntılı olmalıdır?

Kontrol edebileceğiniz kadar spesifik olsun. Ölçütleri adlandırın ve bunları doğrulayabileceğiniz bir yol belirleyin.

İlgili önlemler arasında, hem depolama hem de iletim halindeki verilerin şifrelenmesi, çok faktörlü kimlik doğrulama ile rol tabanlı erişim, kayıt tutma ve kayıt saklama, yama ve güvenlik açığı yönetimi için zaman çizelgeleri yer almaktadır. Bunlara yedekleme sıklığı ve geri yükleme testleri, paylaşımlı bir ortamda istemciler arasında ayrım ve sağlayıcının kendi tesislerini işlettiği yerlerde fiziksel güvenlik de eklenmelidir. Denetim hakkı veya bağımsız bir güvence raporu ve sızma testi sonuçları sağlama yükümlülüğü, bu vaatleri doğrulanabilir bir şeye dönüştürür.

Sözleşme ihlali bildirim maddesi ne içermelidir?

Sağlayıcının size kısa ve belirli bir süre içinde bilgi vermesi gerekmektedir. Aksi takdirde, kendi belirlediğiniz 72 saatlik süreyi karşılayamazsınız.

GDPR'nin 33. maddesi uyarınca, veri sorumlusu, kişisel veri ihlalinin farkına vardığı andan itibaren 72 saat içinde denetleyici otoriteye bildirimde bulunmalıdır; ancak ihlalin risk oluşturması muhtemel değilse bu süre geçerli değildir. Hollanda'da bu otorite Hollanda Veri Koruma Kurumu'dur (Autoriteit Persoonsgegevens). Risk yüksek olduğunda, veri sorumlusu ilgili kişileri de bilgilendirmelidir (GDPR'nin 34. maddesi). Veri işleyen, veri sorumlusuna gecikmeksizin bildirimde bulunmalıdır. Geç haber alırsanız kendi belirlediğiniz süreye uyamayacağınız için, sözleşmede kısa ve sabit bir süre içinde bildirim yapılması ve iletişim noktasının belirtilmesi gerekmektedir. Ayrıca, sağlayıcının soruşturmayla işbirliği yapması ve kayıtları ve kanıtları sunması da zorunlu olmalıdır. Alt yükleniciler ve uluslararası transferler de aynı şekilde ele alınmalı ve verilerin Avrupa Ekonomik Alanı'ndan ayrıldığı her yerde transfer mekanizması belirtilmelidir.

Sözleşmeyi hangi siber güvenlik ve sektör kuralları etkiliyor?

Veri koruma artık tek düzenleyici katman değil. Hollanda Siber Güvenlik Yasası, AB'nin dijital operasyonel dayanıklılık kuralları ve Yapay Zeka Yasası, sağlayıcıya doğrudan ulaşabiliyor.

Hollanda Siber Güvenlik Yasası neleri gerektiriyor?

15 Ağustos 2026'dan itibaren, bu kapsamdaki kuruluşların kayıt yaptırması, siber risklerini yönetmesi ve önemli olayları hızlı bir şekilde bildirmesi gerekmektedir. Yönetilen hizmet sağlayıcıları da kendi başlarına bu kapsam dahilindedir.

Hollanda Siber Güvenlik Yasası (Cyberbeveiligingswet), ikinci AB ağ ve bilgi güvenliği direktifi (NIS2)'ni uygulamakta olup 15 Ağustos 2026'dan beri yürürlüktedir. Kapsamındaki kuruluşlar yetkili denetim makamına kayıt yaptırmak, uygun risk yönetimi önlemleri almak ve önemli olayları bildirmek zorundadır. Bildirim zaman çizelgesi NIS2'yi takip eder: 24 saat içinde erken uyarı, 72 saat içinde olay bildirimi ve bir ay içinde nihai rapor. Yönetilen hizmet sağlayıcıları ve yönetilen güvenlik hizmeti sağlayıcıları kendi başlarına kapsam dahilindedir. Kapsam dahilindeki müşteriler, tedarik zincirlerinin yönetildiğini gösterebilmelidir. Sözleşme şartlarında, sağlayıcı, tipik bir olay maddesinin izin verdiğinden çok daha kısa olan kendi bildirim sürelerinizi desteklemelidir. Hollanda Siber Güvenlik Yasası ve gereklilikleri hakkındaki kılavuzumuz , kimlerin kapsam dahilinde olduğunu açıklamaktadır.

Peki ya finans sektöründe çalışıyorsanız?

Ardından AB Dijital Operasyonel Direnç Yasası (DORA) sözleşme içeriğini belirler. Standart bir BT hizmetleri sözleşmesi bunu karşılamayacaktır.

DORA, 17 Ocak 2025'ten beri yürürlüktedir. Madde 30, hizmet tanımları, işlem yerleri, erişim, inceleme ve denetim hakları, çıkış stratejileri ve fesih hakları da dahil olmak üzere, BİT hizmet sağlayıcılarıyla yapılan düzenlemelere ilişkin sözleşme hükümlerini belirler. Finansal müşterilere hizmet veren bir sağlayıcının bu şartların kendisine sorulmasını beklemesi gerekir.

Peki ya yapay zeka hizmetin bir parçası olursa?

AB Yapay Zeka Yasası, değer zincirindeki rollere göre yükümlülükleri dağıtır. Sözleşmede hangi yükümlülüğün kimde olduğu belirtilmelidir.

Sisteminize genel amaçlı bir yapay zeka modeli entegre eden bir sağlayıcı, anlaşmaya bağlı olarak Yapay Zeka Yasası kapsamında bir sağlayıcı veya bir uygulayıcı olabilir. Yükümlülükler aşamalı olarak uygulanmakta olup, bazı yapay zeka uygulamalarına ilişkin yasaklar 2 Şubat 2025'ten beri yürürlüktedir. Yasaklanmış yapay zeka uygulamaları ve Hollanda'da bir işletmede yapay zeka kullanımı hakkındaki kılavuzlarımız durumu açıklamaktadır. Hangi rejim olursa olsun, sözleşme uyumluluk sorumluluğunu tahsis etmeli, düzenleyicilerle işbirliğini gerektirmeli ve yeni mevzuatın gerektirdiği değişikliklerin maliyetini kimin karşılayacağını belirtmelidir. Aksi takdirde, bu maliyet daha sonra tartışılır.

Hizmet sağlayıcı sorumluluğunu ne kadar sınırlandırabilir?

İşletmeler arasında, sınırlamalar ve istisnalar prensipte geçerlidir. Ancak bir sağlayıcı, makuliyet ve adalet standartlarına göre kabul edilemez olduğu durumlarda, örneğin kasıt veya bilinçli ihmal durumlarında, bunlara güvenemez.

Sorumluluğun sınırlandırılması, ticari ve hukuki unsurların birleştiği noktadır. Hizmet sağlayıcı şartları genellikle sorumluluğu kısa bir süre içinde ödenen ücretlerle sınırlandırır ve dolaylı zararları, kar kaybını ve veri kaybını kapsam dışı bırakır. Ayrıca, bir talebin bildirilmesi gereken kısa süreler de belirlerler. Müşteriler genellikle bu sınırı yukarı doğru, çoğu zaman on iki aylık ücretlere kadar müzakere ederler. Ayrıca, sınırlandırılmasını göze alamayacakları kategorileri de belirlerler: gizliliğin ihlali, üçüncü taraf fikri mülkiyetinin ihlali ve veri koruma ihlalinden kaynaklanan sorumluluk.

Hollanda hukuku bu maddelere üst sınırlar koymaktadır. Madde 6:248(2) BW uyarınca, bir taraf, makuliyet ve adalet standartlarına göre kabul edilemez olan bir sözleşme hükmüne dayanamaz. Mahkemeler, bir tarafı kendi kasıt veya bilinçli ihmalkarlığından (opzet of bewuste roekeloosheid) ve genellikle üst yönetiminin ihmalkarlığından korumak için bir istisna maddesinin kullanılmasına sürekli olarak izin vermez. İhlalin ciddiyeti, zararın niteliği, sigorta durumu ve göreceli pazarlık gücü rol oynar. Sözleşme değeri ve ilgili riskle görünür bir ilişki taşıyan bir üst sınır, genel bir istisnadan çok daha fazla geçerli sayılacaktır.

Hak talebinde bulunmadan önce ne yapmanız gerekiyor?

Çoğu durumda öncelikle hizmet sağlayıcıyı yazılı olarak temerrüde düşürmeniz gerekir. Ayrıca, sözleşmenin veya yasanın gerektirdiği süre içinde şikayette bulunmalısınız.

İlk adım, temerrüt bildirimi (ingebrekestelling)dir. Performansın hala mümkün olduğu durumlarda, tazminat talep etmeden veya sözleşmeyi feshetmeden önce genellikle makul bir süre içinde performansı gerçekleştirmeniz için yazılı bildirimde bulunmanız gerekir (BW 6:82 ve 6:83 maddeleri). Belirli bir süre geçmişse veya performans imkansız hale gelmişse buna gerek yoktur. Kızgın bir e-posta, temerrüt bildirimi sayılmaz. İkinci adım, şikayet süresidir. BW 6:89 maddesi uyarınca, bir kusuru keşfettikten sonra makul bir süre içinde şikayette bulunmanız gerekir ve sağlayıcının şartları genellikle bu süreyi kısaltır. Bir sorunu keşfeden, aylarca bunun üzerinde çalışan ve ancak daha sonra şikayette bulunan bir müşteri, talebinin reddedilmesiyle karşılaşabilir.

Mücbir sebep maddesi neleri kapsar?

Sağlayıcının tarafında neler içerdiğini okuyun. Alt yüklenicilerin ve barındırma ortaklarının başarısızlıkları sıklıkla listelenir; bu da sağlayıcının kendi tedarik zinciri riskini size kaydırır.

Alt yüklenicilerin, barındırma ortaklarının ve telekomünikasyon tedarikçilerinin arızaları sıklıkla mücbir sebep olarak tanımlanır. Bu, sağlayıcının kendi tedarik zincirinin riskini size aktarır. Bu nokta müzakere edilebilir. Yönetilen hizmetler sözleşmesinde bu genellikle en önemli noktadır, çünkü sağlayıcıya tam olarak bu zinciri yönetmesi için ödeme yapıyorsunuz.

Sözleşmede çalışanlar hakkında ne yazmalıdır?

Bu, kilit personeli, taşeronluğu, serbest çalışanların statüsünü ve müşteri kazanma yasağını kapsamalıdır. BT hizmetleri insanlar tarafından sunulur ve bu noktaların her biri daha sonra sorunlara yol açabilir.

Kilit personel maddeleri, güvendiğiniz kişilerin adlarını belirtir ve sizin onayınız olmadan değiştirilmelerini kısıtlar. Geliştirme ve uygulama çalışmalarında yaygındır, yönetilen hizmetlerde ise nadirdir. Yönetilen hizmetlerde, en azından eşdeğer nitelikler ve birinin değiştirilmesi durumunda uygun bir devir teslimi şart koşulmalıdır.

Taşeronluk istisna değil, kural haline gelmiştir. Sözleşmede, taşeronluğa izin verilip verilmediği, onayınızın gerekip gerekmediği ve sağlayıcının çalıştırdığı herkes için tam sorumluluk taşıdığı belirtilmelidir. Taşeron da kişisel verileri işliyorsa, GDPR'nin alt işlemcilerle ilgili kuralları, kendi onay ve bildirim gereklilikleriyle birlikte uygulanır.

Serbest çalışanlar gerçekten kendi işlerini mi yapıyorlar?

Bu soru, bireylerin uzun süre boyunca sizin yönetiminiz altında, sizin tesislerinizde çalışması durumunda ortaya çıkar. Eğer çalışan gibi çalışırlarsa, yeniden sınıflandırılma riski gerçek anlamda mevcuttur.

Hollanda Vergi İdaresi (Belastingdienst), 1 Ocak 2025'ten itibaren çalışma ilişkilerinin sınıflandırılmasına ilişkin tam uygulamaya yeniden başladı. Nominal olarak serbest çalışanların artık çalışan gibi çalıştığı bir yapı, yeniden sınıflandırma riskini taşır ve bu da çalıştıkları taraf için bordro vergisi sonuçları doğurur. Bu nedenle, hizmet sözleşmelerinde, bireyleri bir işveren gibi yönlendirme yetkisi veren ifadelerden kaçınılmalıdır. Her iki taraf da faturadaki etikete değil, işin fiilen nasıl yapıldığına bakmalıdır.

Peki ya müşteri kazanma yasağı ve bir hizmeti şirket içine geri alma konusu?

Sınırlı bir müşteri kazanma yasağı maddesi standarttır. Bir hizmeti şirket içine geri almak veya ekiple birlikte taşımak, Hollanda'nın işletme devrine ilişkin kurallarını tetikleyebilir.

Sözleşme sona erdikten sonra belirli bir süre boyunca taraflardan birinin diğer tarafın personelini işe almasını engelleyen bir madde, süre ve kapsam bakımından sınırlı olması koşuluyla, işletmeler arasında standart ve genellikle uygulanabilir bir maddedir. Bir hizmeti tekrar şirket bünyesine aldığınızda veya hizmeti gerçekleştiren ekiple birlikte başka bir sağlayıcıya taşıdığınızda, işletmenin devrine ilişkin kurallar (overgang van onderneming, BW 7:662 ve sonraki maddeler) uygulanabilir. Çalışanlar daha sonra mevcut şart ve koşullarıyla devredilir. Bu sonuç genellikle tarafları şaşırtır, bu nedenle geçiş üzerinde anlaşmaya varılmadan önce, sonrasında değil, analiz edilmelidir.

Sözleşme süresi, fesih ve işten ayrılma süreçleri nasıl işler?

İlk sözleşme şartlarını, otomatik yenilemeyi ve ihbar süresini kontrol edin ve ayrıntılı bir çıkış maddesi üzerinde anlaşın. Çıkış maddesi, ayrılmanın gerçek maliyetini belirler.

Yönetilen hizmet sözleşmeleri genellikle bir ila üç yıllık bir başlangıç ​​süresi için geçerlidir ve bildirimde bulunulmadığı sürece otomatik olarak yenilenir. Otomatik yenileme ve uzun bildirim süresi, müşterilerin ayrılmak istedikleri sağlayıcılarla kalmalarına neden olur. Bildirim süresini, başlangıç ​​tarihini ve bildirimin şeklini kontrol edin. İmzaladığınız günü takviminize not edin.

Çıkış yolları nelerdir?

Hollanda yasalarına göre üç fesih şekli vardır: keyfi fesih, haklı sebep ile fesih ve sözleşmenin ihlali nedeniyle fesih. Her birinin kendine özgü koşulları vardır.

• Sözleşmenin keyfi feshi, taraflardan herhangi birinin veya genellikle sadece müşterinin, herhangi bir gerekçe göstermeden sözleşmeyi feshetmesine olanak tanır. Sağlayıcılar bunu sıklıkla belirtmezler; bu konuda ısrar etmekte fayda vardır.
• Haklı sebeple fesih, belirli bir süre içinde giderilmeyen tanımlanmış önemli bir ihlal durumunda derhal feshe olanak tanır. Tetikleyici unsurlar, yalnızca felaket niteliğindeki olayları değil, tekrarlanan hizmet seviyesi başarısızlıklarını da içermelidir.
• Sözleşmede aksi belirtilmedikçe, yukarıda açıklanan temerrüt bildirimine tabi olarak, BW Madde 6:265 uyarınca sözleşmenin ihlali nedeniyle fesih (bağlayıcılıktan vazgeçme) seçeneği, sözleşmesel yolların yanı sıra mevcuttur.

Sözleşmeden çıkış maddesi ne içermelidir?

Bu, hizmet sağlayıcısını belirli bir süre boyunca hizmeti çalıştırmaya, verilerinizi iade etmeye ve halefiyle işbirliği yapmaya mecbur etmelidir. Çıkış maddeleri neredeyse her zaman çok zayıf bir şekilde hazırlanır.

Geçerli bir fesih maddesi, hizmet sağlayıcıyı, sözleşmenin feshedilmesinden sonra belirli bir süre boyunca ve kararlaştırılan ücretler karşılığında şunları yapmaya mecbur kılar:

• Hizmete devam edin;
• Verilerinizi belgelenmiş ve kullanılabilir bir biçimde geri gönderin;
• Dokümantasyon ve yapılandırma ayrıntılarını sağlayın;
• Halef sağlayıcıyla işbirliği yapmak;
• Mümkün olan durumlarda üçüncü taraf lisanslarını devredin veya atayın;
• Verilerinizin kalan kopyalarını silin ve bunu yazılı olarak onaylayın.

Bu yükümlülükler olmadan, kağıt üzerinde ayrılma özgürlüğüne sahip olabilirsiniz ancak pratikte ayrılamazsınız.

Hizmet sağlayıcı iflas ederse ne olur?

Bir kayyum (vasiyetçi) görevi devralır ve görevi yerine getirmeye devam etmek zorunda değildir. Bu durumda başvurabileceğiniz tek yol, genellikle değeri düşük olan iflas masasındaki bir alacak hakkıdır.

Bu nedenle, emanet hesapları, güncel çıkış belgeleri ve kendi verilerinizin bağımsız yedekleri, sözleşmedeki herhangi bir maddeden daha önemlidir.

Müşteri olarak neleri kontrol etmelisiniz?

• Kapsam listesinin hizmet kategorilerini değil, görevleri ve istisnaları listelediğinden emin olun.
• Hizmet indirimlerinin, kesinti durumunda tek çözüm yolunuz olmadığından emin olun.
• Sürekli düşük performans durumunda da işten çıkarma hakkınızın olup olmadığını kontrol edin, sadece tek bir ciddi ihlalde değil.
• Özel tasarım eserlerdeki fikri mülkiyetin, Telif Hakkı Yasası'nın (Auteurswet) 2. maddesinin gerektirdiği gibi, yazılı bir belgeyle devredildiğinden emin olun.
• Yenileme tarihini ve bildirim süresini kontrol edin ve takviminize kaydedin.
• Sözleşmeden çıkış maddesinin, sağlayıcıyı kararlaştırılan oranlarda bir devir işleminde iş birliği yapmaya mecbur kılıp kılmadığını kontrol edin.

Bir hizmet sağlayıcı olarak neleri kontrol etmelisiniz?

• Sözleşmede, her bir teslimat için azami çabayı gösterme veya sonuç elde etme yükümlülüğünüzün belirtilip belirtilmediğini kontrol edin.
• Sorumluluk üst sınırınızın sözleşme değeriyle görünür bir ilişki içinde olduğundan emin olun, böylece Madde 6:248(2) BW uyarınca geçerli olur.
• Veri işleme sözleşmenizin, GDPR Madde 28 kapsamında fiilen gerçekleştirdiğiniz veri işleme faaliyetleriyle örtüştüğünden emin olun.
• Yönetilen hizmet sağlayıcısı olarak Siber Güvenlik Yasası kapsamına girip girmediğinizi ve 24 saatlik erken uyarı süresine uyup uyamayacağınızı kontrol edin.
• Taşeronlarınızın da aynı güvenlik ve gizlilik şartlarına tabi olduğundan emin olun.

Bir BT hizmetleri sözleşmesiyle sizin için neler yapabiliriz?

Bilişim hukuku avukatlarımız, hem müşterilere hem de sağlayıcılara teknoloji sözleşmeleri ve bir projenin başarısız olması durumunda ortaya çıkan anlaşmazlıklar konusunda danışmanlık yapmaktadır.

• Çerçeve anlaşmasını, hizmet seviyesi anlaşmasını (SLA), işlemci anlaşmasını ve genel şartları inceliyoruz ve öncelik sırasını belirliyoruz.
• Karşı tarafla sorumluluk üst sınırını, istisnaları ve münhasır çözüm yolunun metnini müzakere ediyoruz.
• Fikri mülkiyet maddesini, devir sözleşmesini ve gerektiğinde kaynak kod emanet düzenlemesini hazırlıyoruz.
• Bir hizmet sağlayıcı yükümlülüklerini yerine getirmediğinde, 6:82 ve 6:83 BW maddeleri uyarınca temerrüt bildirimini hazırlıyoruz.
• Sözleşmeyi feshetmeden önce bir çıkış planı hazırlıyoruz, böylece yeni bir sağlayıcıya geçiş süreci güvence altına alınıyor.

ÖZET

• Bir BT hizmet sözleşmesi genellikle bir hizmet sözleşmesidir (BW Madde 7:400 ve sonrası); belirli bir tarihe kadar tanımlanmış bir sonucu satın aldığınız bir sonuç yükümlülüğü haline getirin.
• Görevlerin kapsamını tanımlayın, bir kabul prosedürü ve bir değişiklik prosedürü üzerinde anlaşın ve belgeler arasındaki öncelik sırasını belirtin.
• Hizmet kredilerinin tek çözüm olup olmadığını ve sürekli başarısızlığın size sözleşmeyi feshetme hakkı verip vermediğini kontrol edin.
• Özel yapım yazılımların telif hakkı size ancak yazılı bir anlaşma ve senetle geçer (Auteurswet Madde 2(3)); sadece ödeme yeterli değildir.
• GDPR uyumlu bir veri işleme sözleşmesi, ilgili durumlarda Siber Güvenlik Yasası'nı yansıtan maddeler ve ayrıntılı bir fesih maddesi üzerinde anlaşın.

Sık Sorulan Sorular