Contratto di servizi IT nei Paesi Bassi: quali clausole sono importanti e perché

Un contratto di servizi IT è il contratto in base al quale un fornitore eroga servizi tecnologici alla tua azienda: gestione IT, sviluppo software, hosting, supporto o una combinazione di questi. Secondo la legge olandese, si tratta solitamente di un contratto di prestazione di servizi (overeenkomst van opdracht) ai sensi del Libro 7 del Codice Civile olandese (Burgerlijk Wetboek, BW), ma diventa un contratto d'opera (aanneming van werk) quando il fornitore deve fornire un risultato definito.

Tale classificazione è determinante. Stabilisce se il fornitore è tenuto a impegnarsi al massimo o a garantire un risultato, se è possibile rescindere il contratto anticipatamente e cosa accade in caso di mancato rispetto di una scadenza.

Che tipo di contratto è un accordo per servizi IT secondo la legge olandese?

Nella maggior parte dei casi si tratta di un contratto di prestazione di servizi, in cui il fornitore è tenuto a fare del suo meglio. Solo laddove il contratto prometta chiaramente un risultato definito, il fornitore è tenuto a conseguirlo.

Il diritto olandese distingue due tipi di obblighi che i contratti IT in lingua inglese spesso confondono. L'obbligo di massimo impegno (inspanningsverbintenis) richiede al fornitore di operare con la diligenza di un professionista ragionevolmente competente. Tale obbligo viene violato solo se il fornitore non raggiunge tale standard. L'obbligo di risultato (resultaatsverbintenis) richiede il raggiungimento di un risultato definito. Se tale risultato non viene conseguito, il fornitore è inadempiente, indipendentemente dall'impegno profuso.

I fornitori redigono il contratto per la prima parte, mentre i clienti si assumono la seconda. Il termine "consegnare", usato in senso lato, non risolve la questione. I tribunali olandesi la decidono per interpretazione: esaminano la formulazione, le negoziazioni, la competenza delle parti e lo scopo commerciale. Se si acquista un sistema funzionante entro una data fissa, il contratto deve specificare che la consegna di tale sistema entro tale data costituisce un obbligo di risultato. Dovrebbe inoltre indicare che l'accettazione è valutata in base a criteri definiti. Se entrambe le parti intendono sinceramente impegnarsi al massimo, il contratto dovrebbe specificarlo chiaramente, indicando anche come verrà misurato l'impegno profuso.

In che modo la classificazione influisce sulla cessazione del rapporto di lavoro?

Stabilisce chi può rescindere il contratto e a quali condizioni. In base a un contratto di servizi, il cliente può in linea di principio recedere in qualsiasi momento.

Secondo l'articolo 7:408 del Codice Civile tedesco (BW), il cliente può recedere da un contratto di prestazione di servizi in qualsiasi momento. Il fornitore ha quindi diritto a un equo compenso per il lavoro svolto (articolo 7:411 del BW). Tale diritto non può essere escluso quando il cliente è una persona fisica. Nei rapporti tra imprese, invece, può essere escluso o limitato, e le condizioni contrattuali dei fornitori lo prevedono di norma. Un fornitore che ha assunto l'incarico nell'ambito della propria attività può recedere dal contratto solo per giusta causa. Leggendo la clausola di recesso alla luce di queste norme generali, è possibile comprendere immediatamente a chi è stato destinato il contratto. La nostra guida al contratto di prestazione di servizi illustra le norme di legge in modo più dettagliato.

Quale documento svolge quale funzione?

Un progetto IT raramente si riduce a un singolo documento. Solitamente si trovano un accordo quadro, una o più dichiarazioni di lavoro, un accordo sul livello di servizio, un accordo sul trattamento dei dati e le condizioni generali del fornitore.

L'accordo quadro definisce i termini legali. Le dichiarazioni di lavoro o le descrizioni dei servizi specificano cosa viene effettivamente fornito. L'accordo sul livello di servizio definisce gli standard di prestazione. L'accordo sul trattamento dei dati si applica quando sono coinvolti dati personali, e le condizioni generali del fornitore sono alla base di tutti questi documenti. È fondamentale indicare espressamente l'ordine di precedenza tra questi documenti. Spesso si contraddicono a vicenda e la clausola che risolve la contraddizione può avere un valore maggiore di qualsiasi singola clausola.

Come si definiscono l'ambito di applicazione, l'accettazione e il controllo delle modifiche?

Descrivete le attività, non la categoria di servizio, ed elencate ciò che è escluso. Quindi, concordate le modalità di verifica dei risultati e di approvazione delle modifiche.

La clausola relativa all'ambito di applicazione è il punto di partenza della maggior parte delle controversie. "Servizi di rete gestiti" non è una definizione di ambito, bensì una categoria. Una descrizione efficace specifica cosa viene monitorato e a quali orari, quali patch vengono applicate e con quale frequenza, e quanti endpoint e utenti sono coperti. Definisce inoltre cosa è incluso nelle fasi di onboarding e offboarding, quali incidenti rientrano nell'ambito di applicazione, cosa è esplicitamente escluso e cosa accade quando i volumi superano la soglia di base prevista.

Le esclusioni sono importanti quanto le inclusioni, e i fornitori affidabili le accolgono con favore. Tra le esclusioni più comuni figurano gli interventi di emergenza fuori orario, l'acquisto di hardware, le licenze software di terze parti, le visite in loco, il recupero dati in caso di errore del cliente e l'assistenza per sistemi non installati dal fornitore. Qualora tali servizi siano esclusi, il contratto dovrebbe specificare anche la tariffa applicata qualora si rendano necessari.

Quando è necessaria una procedura di accettazione?

Quando qualcosa viene costruito anziché semplicemente gestito. Senza un documento, non è chiaro quando il fornitore abbia effettivamente consegnato il prodotto.

Definisci chi effettua i test, in base a quali criteri e entro quale periodo. Definisci cosa viene considerato un difetto e a quale classe di gravità appartiene. Concorda quanti cicli di correzione sono a disposizione del fornitore, cosa succede se non effettui i test entro il periodo stabilito e quali sono le conseguenze di un rifiuto definitivo. Le clausole di accettazione presunta, in base alle quali il prodotto finale si considera accettato se non rispondi entro i termini previsti, sono standard nei contratti con i fornitori e generalmente applicabili. La soluzione non è quella di contestarle in linea di principio. Stabilisci un periodo realistico e fallo iniziare solo quando il fornitore ha effettivamente consegnato qualcosa di testabile.

Perché il controllo delle modifiche fa parte dello stesso problema?

Perché ogni progetto IT di una certa rilevanza subisce delle modifiche nel corso del suo ciclo di vita. Senza una procedura, si finisce per discutere in seguito su quanto concordato.

In assenza di una procedura, le modifiche vengono concordate via e-mail tra persone che non hanno il potere di vincolare le proprie organizzazioni. La controversia, alla fine, verte quindi su quanto concordato a marzo. Una procedura breve previene la maggior parte di questi problemi. Essa specifica chi può richiedere una modifica e chi deve approvarla, spiega come viene calcolato il costo della modifica e stabilisce che nessuna modifica entra in vigore finché non è stata firmata da entrambe le parti.

Cosa dovrebbe contenere un accordo sul livello di servizio?

Un SLA utilizzabile specifica la metrica, come e per quale periodo viene misurata, cosa è escluso e cosa succede in caso di errore. Ciascuno di questi elementi può, silenziosamente, svuotare di significato un numero di punta.

Se l'ambito di lavoro definisce cosa viene fatto, l' accordo sul livello di servizio (SLA) ne definisce la qualità. È importante analizzare ogni elemento separatamente, perché la cifra complessiva ha senso solo una volta noti i dettagli.

Prendiamo ad esempio la disponibilità. Una garanzia del 99.9% sembra impressionante e lascia comunque circa 43 minuti di inattività in un mese di 30 giorni; il 99% ne lascia più di sette ore. La cifra ha senso solo se si conoscono tre cose:

• Cosa viene misurato: la disponibilità della piattaforma non è la stessa cosa della disponibilità della tua applicazione;
• Ciò che è escluso: sono normalmente esclusi gli intervalli di manutenzione programmata, i guasti alla rete di terzi e i casi di forza maggiore;
• Chi lo misura: un fornitore che riporta le proprie prestazioni, senza uno strumento concordato o un diritto di verifica, di fatto sta valutando il proprio lavoro.

Gli obiettivi di risposta e di risoluzione richiedono lo stesso trattamento. "Risposta" di solito significa riconoscimento del problema piuttosto che una soluzione. Un obiettivo di risposta di quindici minuti ha poco valore senza un obiettivo di risoluzione corrispondente. Entrambi dipendono dalla classificazione della gravità. Definisci gli incidenti critici, di elevata, media e bassa gravità in termini di impatto aziendale piuttosto che di sintomi tecnici e prevedi una procedura per segnalare un'errata classificazione.

Quanto vale davvero un credito di servizio?

Come risarcimento, ben poco. Ciò che conta è se i crediti siano l'unica soluzione a tua disposizione e se il mancato rispetto ripetuto dei requisiti ti dia il diritto di recedere dal contratto.

I crediti di servizio sono la soluzione standard: una percentuale del canone mensile rimborsata al mancato raggiungimento di un obiettivo. Sono utili come segnale gestionale, ma quasi inutili come risarcimento. Sono limitati a una frazione di un canone che è di per sé esiguo rispetto alla perdita che un grave guasto può causare. Due punti, quindi, sono importanti.

Innanzitutto, verificate se i crediti di servizio rappresentano l'unico rimedio. Una clausola che stabilisce che i crediti di servizio sono l'"unico ed esclusivo rimedio" per i livelli di servizio non rispettati vi priva del diritto di richiedere un risarcimento danni. In molti SLA, questa è la frase più importante. In secondo luogo, verificate se le ripetute violazioni vi danno diritto alla risoluzione del contratto, in genere dopo un determinato numero di violazioni in un periodo di tempo consecutivo. Un cliente che dispone solo di crediti e non ha diritto di recesso non ha alcun potere contrattuale reale.

Come devono essere stabilite le tariffe e le modalità di pagamento?

Descrivete con precisione il modello di prezzo, l'indicizzazione e la fatturazione. Laddove il contratto non preveda nulla al riguardo, si applicano le norme di legge olandesi in materia di ritardato pagamento.

Indicare il modello di prezzo: tariffa fissa, per utente, per dispositivo, per biglietto, a tempo e materiali o una combinazione di questi, specificando cosa include ciascuno. Indicare l'indice e la data di revisione per gli aumenti di prezzo, anziché consentire aumenti annuali a discrezione del fornitore. Specificare quando vengono emesse le fatture, cosa devono contenere e quando è dovuto il pagamento.

Le norme olandesi di attuazione della Direttiva europea sui ritardi di pagamento si applicano ai contratti IT come a qualsiasi altro contratto commerciale. Ai sensi dell'articolo 6:119a del Codice Civile olandese (BW), il pagamento tra imprese è dovuto entro 30 giorni in assenza di un termine concordato. È possibile concordare un termine più lungo, ma un termine superiore a 60 giorni è nullo se manifestamente iniquo nei confronti del creditore. In caso di ritardo nel pagamento, decorrono automaticamente gli interessi di mora previsti dalla legge. Il creditore può inoltre richiedere il rimborso delle spese di riscossione, con un minimo di 40 euro (articolo 6:96 del Codice Civile olandese).

Spesso i fornitori includono una clausola che prevede il diritto di sospendere il servizio in caso di mancato pagamento. Tale diritto è lecito in linea di principio, ma nel settore IT si rivela uno strumento inefficace, in quanto la sospensione può mettere fuori uso l'intera attività aziendale. È opportuno prevedere un periodo di preavviso e un'eccezione per gli importi effettivamente contestati.

È possibile negoziare le condizioni standard del fornitore?

Sì, più spesso di quanto i clienti immaginino, soprattutto per quanto riguarda il limite di responsabilità e i rimedi previsti dagli SLA. Anche due norme olandesi sulle condizioni generali possono esservi d'aiuto.

Quasi tutti i fornitori di servizi IT olandesi dichiarano che le proprie condizioni generali di contratto (algemene voorwaarden) sono applicabili. In questo settore, molti utilizzano le condizioni standard pubblicate dall'associazione di categoria. Queste condizioni sono redatte in modo professionale e fortemente orientate al fornitore: obblighi di massimo impegno, brevi termini per presentare reclami, responsabilità limitata a una parte dell'importo contrattuale e ampie esclusioni per danni consequenziali.

La prima regola riguarda l'obbligo di informazione. Chi utilizza le condizioni generali deve dare all'altra parte una ragionevole opportunità di leggerle prima o al momento della conclusione del contratto, in pratica fornendole. In caso contrario, le singole clausole possono essere annullate (articoli 6:233 e 6:234 del Codice civile olandese). La seconda regola riguarda la questione della validità delle clausole. Quando entrambe le parti fanno riferimento alle proprie condizioni, il diritto olandese segue la regola della "prevalenza" di cui all'articolo 6:225(3) del Codice civile olandese: le condizioni a cui si fa riferimento prevalgono, a meno che l'altra parte non le respinga espressamente. Questa è la posizione opposta a quella di molti altri ordinamenti giuridici. Le nostre guide sulle condizioni generali di contratto e sui cinque errori più comuni nei contratti commerciali internazionali illustrano come funziona in pratica.

A chi appartengono il software e il codice sorgente?

La persona che l'ha creato, non chi l'ha commissionato, ne detiene i diritti. Il diritto d'autore si acquisisce solo se viene ceduto per iscritto e formalizzato con atto notarile.

Il pagamento di un software non ne conferisce la proprietà. Secondo la legge olandese sul diritto d'autore (Auteurswet), la persona che crea un'opera ne è l'autore e ne detiene i diritti. Nessuna norma trasferisce la proprietà a chi ha commissionato o pagato l'opera. Esistono due eccezioni. Quando un dipendente crea l'opera nell'ambito delle proprie mansioni, il datore di lavoro è considerato l'autore (articolo 7 Auteurswet). Quando una persona giuridica pubblica un'opera come propria senza indicare una persona fisica come autore, tale persona giuridica è considerata l'autrice (articolo 8 Auteurswet). Nessuna delle due eccezioni si applica al caso ordinario di un cliente che si avvale di un fornitore esterno o di uno sviluppatore freelance.

Pertanto, la cessione deve essere concordata espressamente. Secondo l'articolo 2(3) della legge sul diritto d'autore (Auteurswet), un accordo che trasferisce il diritto d'autore o concede una licenza esclusiva deve essere stipulato per iscritto e il trasferimento stesso richiede un atto (akte) a tale scopo. Una clausola nell'accordo, firmata da entrambe le parti, che stabilisca che il cliente acquisisce tutti i diritti di proprietà intellettuale sui prodotti realizzati. Una fattura o un accordo verbale non sono sufficienti. Documentate allo stesso modo qualsiasi trasferimento di diritti in un database.

Come si separano lo sfondo, il primo piano e il materiale di terze parti?

Assegnate a ciascuna categoria una regola specifica: una licenza per il materiale di sfondo, la proprietà del materiale in primo piano e una garanzia per i componenti di terze parti e open source.

Il materiale di base è ciò che il fornitore mette a disposizione: i suoi framework, librerie, strumenti e moduli standard. Il fornitore ne mantiene la proprietà e voi ricevete una licenza. Definite l'ambito, la durata, il territorio e la trasferibilità di tale licenza. Il materiale di primo piano è ciò che viene creato specificamente per voi; la proprietà viene normalmente trasferita al momento del pagamento completo. I componenti di terze parti e open source hanno le proprie licenze. Il fornitore dovrebbe garantire quali componenti vengono utilizzati e a quali condizioni, perché una licenza copyleft incorporata in un software personalizzato può imporre obblighi che non avevate previsto. La nostra guida alle licenze del software open source nei Paesi Bassi illustra tali obblighi.

Quando è necessario un servizio di deposito del codice sorgente?

Quando la tua attività dipende da software di cui non sei proprietario, il servizio di deposito a garanzia ti consente di accedere al codice sorgente qualora il fornitore non sia più in grado di mantenerlo.

Con il sistema di deposito a garanzia (escrow), il codice sorgente e la documentazione di compilazione vengono depositati presso un agente fiduciario. Vengono rilasciati al cliente in seguito a eventi specifici, in genere l'insolvenza del fornitore o una persistente mancata manutenzione del software. Il sistema di deposito a garanzia funziona solo se il deposito viene mantenuto aggiornato e le condizioni di rilascio possono essere verificate. La nostra guida al deposito a garanzia del software nei Paesi Bassi illustra le caratteristiche di un accordo efficace.

A chi appartengono i tuoi dati?

Sì, e l'accordo dovrebbe specificarlo esplicitamente. I dati vanno trattati separatamente dalla proprietà intellettuale.

L'accordo dovrebbe specificare il formato in cui i dati verranno restituiti, l'obbligo del fornitore di assistere un eventuale fornitore successore e il suo obbligo di eliminare le copie rimanenti in seguito. Se il fornitore desidera utilizzare i dati per migliorare i propri servizi o per addestrare modelli, ciò richiede un'autorizzazione esplicita e negoziata separatamente, non una semplice clausola in un'appendice.

Cosa deve contenere l'accordo sul trattamento dei dati?

Quando il fornitore elabora dati personali su vostre istruzioni, il GDPR richiede un accordo scritto sul trattamento dei dati con un contenuto prestabilito. In assenza di tale contenuto, entrambe le parti sono esposte a rischi.

L'articolo 28(3) del Regolamento generale sulla protezione dei dati (GDPR, in olandese AVG) stabilisce cosa deve contenere l'accordo. Esso deve descrivere l'oggetto e la durata del trattamento, la sua natura e finalità, le tipologie di dati personali e le categorie di interessati. Deve inoltre imporre una serie di obblighi al responsabile del trattamento:

• Elaborazione solo su istruzioni documentate;
• garantire la riservatezza del personale;
• adottando adeguate misure di sicurezza tecniche e organizzative;
• coinvolgere i sub-responsabili del trattamento solo previa autorizzazione e a condizioni equivalenti;
• assistere il titolare del trattamento nelle richieste degli interessati e nella notifica delle violazioni dei dati;
• Eliminazione o restituzione dei dati al termine del servizio.

Un accordo privo di questi elementi non è conforme. La nostra guida all'accordo sul trattamento dei dati nei Paesi Bassi illustra i contenuti richiesti.

Innanzitutto, è fondamentale definire correttamente i ruoli. Un fornitore che determina autonomamente le finalità del trattamento dei dati, ad esempio utilizzandoli per le proprie analisi, agisce in qualità di titolare del trattamento anziché di responsabile del trattamento. L'accordo deve rispecchiare la realtà, non l'etichetta che le parti preferiscono attribuirsi.

Quanto specifica deve essere la clausola di garanzia?

Sii sufficientemente specifico da poterlo verificare. Indica le misure e prevedi un modo per verificarle.

Tra le misure rilevanti figurano la crittografia dei dati a riposo e in transito, l'accesso basato sui ruoli con autenticazione a più fattori, la registrazione e la conservazione dei log, nonché le tempistiche per la gestione delle patch e delle vulnerabilità. A ciò si aggiungono la frequenza dei backup e i test di ripristino, la separazione tra i client in un ambiente condiviso e la sicurezza fisica laddove il fornitore gestisca le proprie infrastrutture. Il diritto di audit, o l'obbligo di fornire una relazione di garanzia indipendente e i risultati dei test di penetrazione, trasforma queste promesse in qualcosa di verificabile.

Cosa dovrebbe contenere la clausola di notifica della violazione dei dati?

Dovrebbe essere richiesto al fornitore di fornirti una risposta entro un periodo di tempo breve e prestabilito. Altrimenti non potrai rispettare la tua scadenza di 72 ore.

Ai sensi dell'articolo 33 del GDPR, il titolare del trattamento deve notificare all'autorità di controllo, entro 72 ore dalla conoscenza di una violazione dei dati personali, una violazione che non comporti un rischio significativo. Nei Paesi Bassi, tale autorità è l'Autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens). Qualora il rischio sia elevato, il titolare del trattamento deve informare anche gli interessati (articolo 34 del GDPR). Il responsabile del trattamento deve notificare la violazione al titolare del trattamento senza indebito ritardo. Poiché non è possibile rispettare la propria scadenza se si viene informati in ritardo, l'accordo dovrebbe prevedere una notifica entro un breve periodo di tempo determinato e indicare il referente. Dovrebbe inoltre obbligare il fornitore a collaborare con l'indagine e a fornire registri e prove. Lo stesso trattamento è richiesto per i sub-responsabili del trattamento e per i trasferimenti internazionali, con l'identificazione del meccanismo di trasferimento ogniqualvolta i dati escano dallo Spazio economico europeo.

Quali normative di sicurezza informatica e di settore incidono sul contratto?

La protezione dei dati non è più l'unico livello normativo. La legge olandese sulla sicurezza informatica, le norme UE sulla resilienza operativa digitale e la legge sull'intelligenza artificiale possono tutte incidere direttamente sul fornitore.

Cosa prevede la legge olandese sulla sicurezza informatica?

Dal 15 agosto 2026, le organizzazioni che rientrano nel suo ambito di applicazione devono registrarsi, gestire i propri rischi informatici e segnalare tempestivamente gli incidenti significativi. I fornitori di servizi gestiti rientrano a pieno titolo in questo ambito.

La legge olandese sulla sicurezza informatica (Cyberbeveiligingswet) attua la seconda direttiva UE sulla sicurezza delle reti e delle informazioni (NIS2) ed è in vigore dal 15 agosto 2026. Le organizzazioni che rientrano nel suo ambito di applicazione devono registrarsi presso l'autorità di controllo competente, adottare misure di gestione del rischio adeguate e segnalare gli incidenti significativi. Le tempistiche di segnalazione seguono quelle della NIS2: un allarme precoce entro 24 ore, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese. I fornitori di servizi gestiti e i fornitori di servizi di sicurezza gestiti sono soggetti alla normativa in modo specifico. I clienti che rientrano nell'ambito di applicazione devono essere in grado di dimostrare che la loro catena di fornitura è gestita. In termini contrattuali, il fornitore deve rispettare le scadenze di segnalazione del cliente, che sono molto più brevi di quelle previste da una tipica clausola sugli incidenti. La nostra guida sulla legge olandese sulla sicurezza informatica e sui suoi requisiti illustra chi è soggetto alla normativa.

E se lavorassi nel settore finanziario?

Il Digital Operational Resilience Act (DORA) dell'UE definisce il contenuto contrattuale. Un contratto standard per servizi IT non lo soddisfa.

Il DORA è in vigore dal 17 gennaio 2025. L'articolo 30 prescrive le disposizioni contrattuali per gli accordi con i fornitori di servizi ICT, comprese le descrizioni dei servizi, i luoghi di elaborazione, i diritti di accesso, ispezione e verifica, le strategie di uscita e i diritti di recesso. Un fornitore di servizi per clienti del settore finanziario dovrebbe aspettarsi che gli vengano richiesti tali termini.

E se l'intelligenza artificiale facesse parte del servizio?

La legge europea sull'intelligenza artificiale (IA) attribuisce le responsabilità in base al ruolo nella catena del valore. Il contratto dovrebbe specificare chi ha quale obbligo.

Un fornitore che integra un modello di intelligenza artificiale generico nel vostro sistema può essere considerato un fornitore o un implementatore ai sensi della legge sull'IA, a seconda dell'accordo. Gli obblighi vengono introdotti gradualmente e i divieti su alcune pratiche di IA sono in vigore dal 2 febbraio 2025. Le nostre guide sulle pratiche di IA vietate e sull'utilizzo dell'IA in un'azienda olandese illustrano la situazione. Indipendentemente dal regime, il contratto dovrebbe definire la responsabilità per la conformità, prevedere la collaborazione con le autorità di regolamentazione e specificare chi si fa carico dei costi delle modifiche richieste dalla nuova legislazione. In caso contrario, tali costi saranno oggetto di discussione in seguito.

Fino a che punto il fornitore può limitare la propria responsabilità?

Tra imprese, i limiti massimi e le esclusioni sono in linea di principio validi. Un fornitore non può tuttavia farvi affidamento qualora ciò risulti inaccettabile secondo i principi di ragionevolezza ed equità, ad esempio in caso di dolo o colpa grave.

La limitazione di responsabilità è il punto d'incontro tra l'aspetto commerciale e quello legale. I termini e le condizioni dei fornitori in genere limitano la responsabilità all'importo dei compensi pagati in un breve periodo ed escludono danni consequenziali, perdita di profitto e perdita di dati. Stabiliscono inoltre termini brevi entro i quali un reclamo deve essere notificato. I clienti spesso negoziano un limite di responsabilità più elevato, spesso fino all'importo dei compensi pagati in dodici mesi. Inoltre, individuano le categorie di responsabilità che non possono permettersi di limitare: violazione della riservatezza, violazione della proprietà intellettuale di terzi e responsabilità derivante da una violazione della protezione dei dati.

La legge olandese pone dei limiti a queste clausole. Ai sensi dell'articolo 6:248(2) BW, una parte non può invocare una clausola contrattuale qualora questa risulti inaccettabile secondo i principi di ragionevolezza ed equità. I ​​tribunali si rifiutano sistematicamente di consentire che una clausola di esclusione protegga una parte dalla propria intenzione o dalla propria colpa grave (opzet of bewuste roekeloosheid), e in genere da quella dei suoi dirigenti. La gravità dell'inadempimento, la natura del danno, la posizione assicurativa e il relativo potere contrattuale giocano tutti un ruolo importante. Un limite che abbia una chiara relazione con il valore del contratto e il rischio connesso ha molte più probabilità di essere confermato rispetto a un'esclusione generica.

Cosa bisogna fare prima di poter presentare la richiesta?

Nella maggior parte dei casi, è necessario innanzitutto notificare per iscritto l'inadempimento del fornitore. È inoltre necessario presentare un reclamo entro i termini previsti dal contratto o dalla legge.

Il primo passo è la diffida (ingebrekestelling). Qualora l'adempimento sia ancora possibile, è generalmente necessario inviare una diffida scritta con un termine ragionevole per l'adempimento prima di poter richiedere un risarcimento danni o recedere dal contratto (articoli 6:82 e 6:83 del Codice Civile tedesco). Ciò non è necessario se è trascorso un termine prestabilito o se l'adempimento è diventato impossibile. Un'e-mail di diffida non costituisce una diffida. Il secondo passo è il termine per presentare reclamo. Ai sensi dell'articolo 6:89 del Codice Civile tedesco, è necessario presentare reclamo entro un termine ragionevole dalla scoperta del difetto, e le condizioni del fornitore solitamente riducono tale termine. Un cliente che scopre un problema, cerca di aggirarlo per mesi e solo allora presenta reclamo potrebbe vedersi preclusa la possibilità di presentare reclamo.

Che cosa copre la clausola di forza maggiore?

Leggetelo per capire cosa include dal punto di vista del fornitore. Spesso vengono elencati i fallimenti dei subappaltatori e dei partner di hosting, il che trasferisce a voi il rischio della catena di fornitura del fornitore stesso.

I fallimenti di subappaltatori, partner di hosting e fornitori di telecomunicazioni sono spesso definiti come cause di forza maggiore. Ciò trasferisce a voi il rischio della catena di fornitura del fornitore stesso. Questo punto è negoziabile. In un contratto di servizi gestiti è spesso il più importante, perché state pagando il fornitore proprio per gestire tale catena.

Che cosa dovrebbe prevedere il contratto in merito alle persone?

Dovrebbe riguardare il personale chiave, il subappalto, lo status dei freelance e il divieto di sollecitazione. I servizi IT sono erogati da persone e ognuno di questi punti può causare problemi in seguito.

Le clausole relative al personale chiave identificano le persone su cui si fa affidamento e ne limitano la sostituzione senza il consenso dell'utente. Sono comuni nei progetti di sviluppo e implementazione, ma rare nei servizi gestiti. Nei servizi gestiti, è comunque necessario richiedere qualifiche equivalenti e un adeguato passaggio di consegne in caso di sostituzione.

Il subappalto è la norma, non l'eccezione. L'accordo deve specificare se è consentito, se è necessario il vostro consenso e che il fornitore rimane pienamente responsabile per chiunque venga incaricato. Qualora anche il subappaltatore tratti dati personali, si applicano le norme del GDPR relative ai sub-responsabili del trattamento, con i relativi requisiti di consenso e notifica.

I freelance sono davvero lavoratori autonomi?

Tale questione si pone quando alcune persone lavorano presso la vostra sede, sotto la vostra direzione, per un lungo periodo. Se vengono trattate come dipendenti, esiste un rischio concreto di riclassificazione.

L'Amministrazione fiscale olandese (Belastingdienst) ha ripreso a far rispettare pienamente la classificazione dei rapporti di lavoro a partire dal 1° gennaio 2025. Una struttura contrattuale in cui i liberi professionisti, pur essendo formalmente considerati tali, lavorano come dipendenti, comporta ora un rischio concreto di riclassificazione, con conseguenti ripercussioni fiscali per il datore di lavoro. I contratti di prestazione di servizi dovrebbero pertanto evitare formulazioni che conferiscano al libero professionista l'autorità di impartire ordini ai lavoratori come farebbe un datore di lavoro. Entrambe le parti dovrebbero valutare le modalità di svolgimento effettivo del lavoro, non la semplice dicitura in fattura.

Che dire del divieto di sollecitazione e del riportare un servizio internamente?

Una clausola di non sollecitazione limitata è standard. Il rientro di un servizio all'interno dell'azienda, o il suo trasferimento con il team, può far scattare le norme olandesi sul trasferimento di un'attività.

Una clausola che impedisce a ciascuna parte di assumere il personale dell'altra per un determinato periodo successivo alla scadenza del contratto è standard e generalmente applicabile tra imprese, a condizione che sia limitata nel tempo e nell'ambito di applicazione. Quando si riporta un servizio all'interno dell'azienda o lo si trasferisce a un altro fornitore insieme al team che lo ha erogato, possono applicarsi le norme sul trasferimento d'impresa (overgang van onderneming, articoli 7:662 e seguenti del Codice Civile tedesco). I dipendenti vengono quindi trasferiti alle condizioni contrattuali preesistenti. Tale esito spesso coglie di sorpresa le parti, pertanto è opportuno analizzarlo prima di concordare il trasferimento, non dopo.

Come funzionano i termini, la cessazione e l'uscita?

Verifica la durata iniziale del contratto, il rinnovo automatico e il periodo di preavviso, e concorda una clausola di recesso dettagliata. La clausola di recesso determina il costo effettivo della rescissione.

I contratti di servizi gestiti hanno generalmente una durata iniziale da uno a tre anni, con rinnovo automatico a meno che non venga dato preavviso. Il rinnovo automatico, unito a un lungo periodo di preavviso, è il motivo per cui i clienti finiscono per rimanere con fornitori che preferirebbero abbandonare. Verifica il periodo di preavviso, la data di decorrenza e la forma che deve assumere la disdetta. Segna la data sul calendario il giorno della firma.

Quali sono le vie d'uscita?

Esistono tre modalità: la risoluzione per convenienza, la risoluzione per giusta causa e la rescissione per inadempimento ai sensi della legge olandese. Ognuna di esse prevede le proprie condizioni.

• La clausola di recesso per convenienza consente a entrambe le parti, o spesso solo al cliente, di rescindere il contratto con preavviso e senza doverne specificare il motivo. I fornitori spesso omettono questa clausola; vale la pena insistere affinché venga inclusa.
• La risoluzione per giusta causa consente la cessazione immediata del contratto in caso di violazione sostanziale di un obbligo definito, che non venga sanata entro un periodo prestabilito. I fattori scatenanti dovrebbero includere ripetuti guasti ai livelli di servizio, non solo eventi catastrofici.
• La rescissione per inadempimento (ontbinding) ai sensi dell'articolo 6:265 BW resta disponibile accanto alle vie contrattuali, salvo diversa disposizione del contratto, fatte salve le modalità di notifica dell'inadempimento sopra descritte.

Cosa dovrebbe contenere la clausola di uscita?

Dovrebbe obbligare il fornitore a mantenere il servizio attivo per un certo periodo, a restituire i dati e a collaborare con il successore. Le clausole di recesso sono quasi sempre formulate in modo troppo vago.

Una clausola di recesso efficace obbliga il fornitore, per un periodo determinato successivo alla cessazione del rapporto e alle tariffe concordate, a:

• continuare il servizio;
• restituisci i tuoi dati in un formato documentato e utilizzabile;
• fornire la documentazione e i dettagli di configurazione;
• collaborare con il fornitore successore;
• trasferire o cedere, ove possibile, le licenze di terzi;
• Elimina le copie rimanenti dei tuoi dati e confermalo per iscritto.

Senza tali obblighi, si può essere liberi di andarsene sulla carta, ma impossibilitati a farlo nella pratica.

Cosa succede se il fornitore fallisce?

Un curatore fallimentare subentra nella gestione della procedura e non è obbligato a proseguire nell'adempimento dei suoi obblighi. La vostra unica possibilità di ricorso è quindi quella di presentare una richiesta di risarcimento nell'ambito della procedura fallimentare, che di solito ha un valore esiguo.

Ecco perché gli accordi di deposito a garanzia, la documentazione di uscita aggiornata e i backup indipendenti dei propri dati sono più importanti di qualsiasi clausola contrattuale.

Che cosa dovresti verificare come cliente?

• Verificate che l'ambito di applicazione elenchi compiti ed esclusioni, non categorie di servizio.
• Verificate che i crediti di servizio non siano l'unica soluzione a vostra disposizione in caso di interruzione del servizio.
• Verificate di poter rescindere il contratto in caso di prestazioni insufficienti persistenti, e non solo per una singola violazione grave.
• Verificate che la proprietà intellettuale relativa alle opere su commissione venga trasferita mediante atto scritto, come previsto dall'articolo 2 della legge sul diritto d'autore (Auteurswet).
• Verifica la data di rinnovo e il periodo di preavviso e annotale sul tuo calendario.
• Verificate che la clausola di recesso obblighi il fornitore a collaborare al trasferimento alle tariffe concordate.

Che cosa dovresti verificare in qualità di fornitore?

• Verifica che il contratto specifichi se per ogni risultato finale sei tenuto a fornire il massimo impegno o a raggiungere un determinato obiettivo.
• Verifica che il limite di responsabilità abbia una relazione visibile con il valore del contratto, in modo che sia conforme all'articolo 6:248(2) BW.
• Verifica che il tuo accordo sul trattamento dei dati corrisponda al trattamento effettivamente effettuato ai sensi dell'articolo 28 del GDPR.
• Verifica se, in qualità di fornitore di servizi gestiti, rientri nell'ambito di applicazione del Cybersecurity Act e se puoi rispettare il termine di 24 ore per l'allerta preventiva.
• Verificate che anche i vostri subappaltatori siano vincolati dagli stessi termini di sicurezza e riservatezza.

Cosa possiamo fare per voi con un contratto di servizi IT?

I nostri avvocati specializzati in diritto informatico assistono clienti e fornitori in materia di contratti tecnologici e nelle controversie che ne derivano in caso di fallimento di un progetto.

• Esaminiamo l'accordo quadro, l'accordo sui livelli di servizio (SLA), l'accordo sul trattamento dei dati e le condizioni generali, e definiamo l'ordine di precedenza.
• Negoziamo con la controparte il limite di responsabilità, le esclusioni e la formulazione relativa al rimedio esclusivo.
• Redigiamo la clausola relativa alla proprietà intellettuale, l'atto di cessione e, ove necessario, un accordo di deposito fiduciario del codice sorgente.
• Redigiamo l'avviso di inadempimento ai sensi degli articoli 6:82 e 6:83 BW quando un fornitore non adempie ai propri obblighi.
• Prepariamo un piano di uscita prima della cessazione del servizio, in modo che la transizione a un nuovo fornitore sia gestita in modo adeguato.

Sintesi

• Un contratto di servizi IT è generalmente un contratto di prestazione di servizi (articolo 7:400 BW e seguenti); si tratta di un obbligo di risultato, in cui si acquista un risultato definito entro una data prestabilita.
• Definisci l'ambito delle attività, concorda una procedura di accettazione e una procedura di modifica e stabilisci l'ordine di precedenza tra i documenti.
• Verifica se i crediti di servizio costituiscono l'unico rimedio disponibile e se il mancato rispetto ripetuto delle condizioni dà diritto alla risoluzione del contratto.
• Il diritto d'autore su un software personalizzato si trasferisce a te solo tramite un accordo scritto e un atto notarile (articolo 2, paragrafo 3, della legge sull'autore); il solo pagamento non è sufficiente.
• Definire un accordo sul trattamento dei dati conforme al GDPR, clausole che recepiscano, ove pertinente, il Cybersecurity Act e una clausola di recesso dettagliata.

Domande frequenti