Contractul de furnizare servicii cloud este un acord prin care un furnizor pune la dispoziția clientului acces la resurse informatice (server, stocare, baze de date, software) aflate la furnizor, în schimbul unui preț. Poate fi tip IaaS (infrastructură), PaaS (platformă) sau SaaS (software). Se supune Codului Civil, GDPR, OUG 141/2021 (consumatori) și Regulamentului Data Act (B2B).
Definiție
Contractul de furnizare servicii cloud nu are o reglementare unitară în dreptul român. Este calificat juridic ca prestări servicii, dar se supune unui ansamblu de norme imperative și directivă: Codul Civil (Art. 1851-1880, contract de antrepriză), GDPR (dacă sunt date personale), OUG 141/2021 (pentru contracte B2C cu consumatori), OUG 155/2024 (securitate cibernetică NIS2) și Regulamentul Data Act (2023/2854, drepturi de comutare și portabilitate).
Tipuri de servicii cloud: contractul poate acorda acces la infrastructură virtuală (IaaS — mașini virtuale, stocare), la o platformă de dezvoltare (PaaS — baze de date, tools) sau la software SaaS (software-as-a-service — aplicații în cloud). Fiecare tip are obligații specifice.
Clauzele esențiale includ: descrierea serviciului și a caracteristicilor (uptime, localizare date), SLA (Service Level Agreement) cu indicatori numerici precizați (99,9% disponibilitate, RTO ≤ 4 ore), obligații de securitate și backup, clauzele de garantie asupra funcționării și disponibilității datelor. Pentru B2B, contractul trebuie să prevadă drepturile de comutare (switching rights) și termene de migrare a datelor la încheiere, conform Data Act.
În relații cu consumatori (OUG 141/2021): furnizorul trebuie să asigure conformitate cu descrierea serviciului, actualizări de securitate pe toată perioada contractului și răspundere pe 5 ani pentru neconformități.
În relații B2B (Data Act Art. 23-25): clientul are drept la migrarea datelor într-o perioadă de 30 de zile calendaristice la expirare, cu o perioadă de recuperare de minimum 30 zile după. Taxele de comutare sunt permise până la 12 ianuarie 2027 doar pentru costurile directe; după acea dată, sunt interzise complet. Contractul trebuie să prevadă dreptul de audit și clauzele-take-or-pay pentru penalități în cazul neexecutării.
Responsabilitatea furnizorului: dacă pierde datele datorită neexecutării obligațiilor de backup și securitate, răspunde contractual și civil. Dacă sunt date personale, atât operatorul (clientul), cât și împuternicitul (furnizorul) pot fi sancționați de ANSPDCP conform GDPR.
Furnizorii mari sunt supuși NIS2: dacă sediul principal UE este în România și sunt entități esențiale sau importante, trebuie să se înregistreze la DNSC, să implementeze măsuri de securitate proporționate și să raporteze incidentele în 24-72 de ore.
Întrebări frecvente
1. Ce este un contract de furnizare servicii cloud?
Este un acord prin care un furnizor pune la dispoziția unui client acces la resurse informatice (server, stocare, software) aflate la furnizor, în schimbul unui preț. Se supune Codului Civil (prestări servicii), GDPR, OUG 141/2021 (B2C) și Data Act (B2B).
2. Care sunt clauzele esențiale ale unui contract cloud?
Clauzele esențiale includ: descrierea serviciului (IaaS, PaaS, SaaS), SLA cu indicatori numerici (uptime, RTO), obligații de securitate și backup, clauze GDPR sau DPA dacă sunt date personale, termene de migrare a datelor la expirare și taxe de comutare, precum și drepturi de audit și notificare incidente.
3. Ce se întâmplă dacă furnizorul pierde datele mele?
Furnizorul răspunde contractual pentru pierderea datelor datorată neexecutării obligațiilor de backup și securitate. Dacă sunt date personale, ambele părți pot fi sancționate GDPR (amenzile ajung la 20 milioane EUR). Contractul trebuie să prevadă remediile și perioada de recuperare.