This article covers the key elements of IT service agreements under Lithuanian law. It addresses SLA definition and uptime guarantees under CK Art. 6.716, liability caps and indirect damages exclusions under CK Art. 6.253, IP ownership for custom development under ATGTĮ Art. 9, mandatory GDPR Art. 28 data processing clauses, data return obligations upon contract termination under CK Art. 6.217, and indemnification provisions under CK Art. 6.245. Lithuanian law prohibits limiting liability for intentional breaches.
SLA apibrėžimas ir veikimo laiko garantijos
CK 6.716 str.Paslaugų lygio susitarimas (SLA) yra vienas svarbiausių IT paslaugų sutarties elementų, tačiau dažnai suformuluojamas nepakankamai tiksliai. CK 6.716 str. reikalauja, kad paslaugų sutartyje būtų aiškiai apibrėžta paslaugos apimtis — SLA yra tiesioginė šio reikalavimo realizacija IT kontekste. Veikimo laiko garantija (uptime) turėtų būti išreikšta procentais per mėnesį, o ne abstrakčiais pažadais. Pavyzdžiui, „99,9 % veikimo laikas per mėnesį" reiškia ne daugiau kaip 43 minutes prastovos. Svarbu sutartyje apibrėžti: (1) kaip matuojamas veikimo laikas — ar įskaičiuojamos planuotos techninės priežiūros pertraukos; (2) nuo kada skaičiuojama prastova — nuo kliento pranešimo ar nuo sistemos gedimo momento; (3) kokios yra incidentų kategorijos ir atsakymo laikai pagal jų svarbą (kritinis, aukštas, vidutinis, žemas prioritetas); (4) kaip klientas gauna kompensaciją — kreditais ar pinigine išmoka — jeigu SLA pažeidžiamas. Lietuvos teisė neleidžia apriboti atsakomybės dėl tyčinių pažeidimų (CK 6.253 str.), todėl SLA nuostatos dėl kompensacijos turi būti suformuluotos taip, kad jos nebūtų vienintelis gynybos mechanizmas, kai paslaugos teikėjas elgiasi aplaidžiai ar sąmoningai pažeidžia sutartį.
Atsakomybės ribojimas ir netiesioginiai nuostoliai
CK 6.253 str.Atsakomybės ribojimo sąlygos IT paslaugų sutartyse yra standartinė praktika, tačiau Lietuvos CK 6.253 str. nustato aiškias ribas: atsakomybė negali būti ribojama dėl tyčinės kaltės ar didelio neatsargumo, o vartojimo sutartyse — apskritai. Verslo subjektų sutartyse paprastai numatoma: (1) bendra atsakomybės viršutinė riba — dažniausiai suma, lygi paslaugų mokesčiams per paskutinius 3 arba 12 mėnesių; (2) netiesioginių nuostolių (prarastas pelnas, reputacijos žala, prarastos verslo galimybės) atsakomybės atsisakymas. Būtina atidžiai patikrinti, ar sutartyje aiškiai apibrėžta, kas laikoma „netiesioginiais nuostoliais" — Lietuvos teismai šią sąvoką aiškina siauriai, todėl neapibrėžta formuluotė gali tapti ginčo objektu. Taip pat rekomenduojama įtraukti abipusį atsakomybės ribojimą — tiek paslaugų teikėjo, tiek kliento atžvilgiu. Svarbu: atsakomybės ribojimas neveikia, jei paslaugų teikėjas pažeidžia duomenų saugumą sąmoningai arba dėl akivaizdaus aplaidumo. Šiuo atveju BDAR atsakomybės nuostatos (BDAR 82 str.) gali viršyti sutartyje numatytus limitus.
Intelektinės nuosavybės teisės IT projektuose
ATGTĮ 9 str.IT paslaugų sutartyje IP teisių klausimas dažnai lieka neaiškus — ypač kai kalbama apie individualiai sukurtą programinę įrangą ar modifikuotus atviro kodo komponentus. Pagal ATGTĮ 9 str. darbdaviui priklauso darbuotojo darbo metu sukurto kūrinio turtinės teisės, tačiau ši nuostata automatiškai netaikoma rangovams (subrangovams). Jeigu IT paslaugų teikėjas kuria individualų sprendimą, būtina aiškiai sutartyje nurodyti: (1) ar klientas įgyja visas turtines teises (visiškas perdavimas) ar tik licenciją naudoti; (2) ar perdavimui priklauso ir išeities kodas (source code), ar tik vykdomasis kodas; (3) kaip tvarkomi atviro kodo komponentai — klientas turi žinoti, kokie open-source licencijos įsipareigojimai taikomi. Praktiškai rekomenduojama reikalauti, kad sutartyje būtų „IP perdavimo aktas", patvirtinamas projekto pabaigoje. Taip pat svarbu aptarti „foninę intelektinę nuosavybę" — technologijas, kurias IT teikėjas turėjo iki projekto ir naudoja kaip pagrindą. Tokios technologijos paprastai lieka teikėjo nuosavybe, tačiau klientas turi gauti licenciją jas naudoti tiek, kiek reikia sutarties tikslams.
BDAR 28 str. duomenų tvarkymo sąlygos IT sutartyje
BDAR 28 str.Jeigu IT paslaugų teikėjas tvarko kliento asmens duomenis (pvz., valdo serverius su klientų duomenimis, teikia SaaS sprendimus), BDAR 28 str. reikalauja sudaryti rašytinę duomenų tvarkymo sutartį (DTS). Tai ne papildomas dokumentas — DTS gali būti integruota kaip IT paslaugų sutarties priedas. Privalomi DTS elementai: (1) tvarkymo objektas, pobūdis, tikslas ir trukmė; (2) duomenų tipai ir duomenų subjektų kategorijos; (3) duomenų valdytojo instrukcijų laikymosi pareiga; (4) konfidencialumo įsipareigojimai duomenų tvarkytojo darbuotojams; (5) techninių ir organizacinių saugumo priemonių įgyvendinimas (BDAR 32 str.); (6) subtvarkymo taisyklės — ar leidžiama pasitelkti subrangovus ir kokiomis sąlygomis; (7) duomenų subjektų teisių įgyvendinimo pagalbos pareiga; (8) duomenų grąžinimo arba sunaikinimo tvarka sutarties pabaigoje. IT paslaugų teikėjas, nesudaręs DTS, rizikuoja ne tik VDAI baudomis, bet ir kliento regresiniais reikalavimais pagal BDAR 82 str. 3 d. Ypač svarbu reguliuoti duomenų perkėlimą ne ES šalims — jeigu IT teikėjas naudoja JAV ar kitų trečiųjų šalių serverius, reikia įtraukti ES standartines sutarčių sąlygas (SCC).
Sutarties nutraukimas ir duomenų grąžinimas
CK 6.217 str.IT paslaugų sutarties nutraukimo sąlygos turi aiškiai reglamentuoti klientui svarbius klausimus, kurie dažnai ignoruojami sutarties sudarymo metu. Pagal CK 6.217 str. sutartis gali būti nutraukta iš esminio pažeidimo atveju, tačiau IT paslaugų kontekste „esminio pažeidimo" kriterijus turėtų būti aiškiai apibrėžtas sutartyje — pvz., SLA viršijimas daugiau nei 5 kartus per mėnesį arba duomenų saugumo pažeidimas. Duomenų grąžinimas yra kritinis elementas: klientas turi teisę gauti savo duomenis standartizuotu formatu (pvz., SQL dump, CSV, JSON) sutarties pabaigoje. Rekomenduojamos nuostatos: (1) duomenų grąžinimo terminas po sutarties nutraukimo — ne ilgesnis kaip 30 dienų; (2) teikėjas turi suteikti „skaitymo prieigą" bent tiek laiko, kiek reikia duomenims perkelti; (3) po duomenų grąžinimo teikėjas privalo patvirtinti raštu, kad duomenys sunaikinti; (4) klientas neturėtų mokėti papildomo mokesčio už duomenų eksportavimą. Taip pat svarbu aptarti „perjungimo lengvumą" (vendor lock-in prevenciją) — jeigu sistema sukurta naudojant patentuotus formatus, persikėlimas gali tapti labai brangiu procesu.
Žalos atlyginimas ir draudimas (indemnification)
CK 6.245 str.Žalos atlyginimo sąlygos (indemnification) IT paslaugų sutartyse reguliuoja, kuri šalis atlygina trečiosioms šalims padarytą žalą tam tikrose situacijose. Pagal CK 6.245 str. žalos atlyginimas apima tiesioginius ir netiesioginius nuostolius, nebent sutartyje numatyta kitaip. Tipinės indemnifikavimo sritys IT sutartyse: (1) IP pažeidimas — jeigu IT teikėjo sukurtas sprendimas pažeidžia trečiosios šalies patentą ar autorinę teisę, teikėjas atlygina kliento patiriamas teisines išlaidas; (2) duomenų saugumo pažeidimas — jeigu pažeidimas įvyko dėl teikėjo kaltės, teikėjas padeda atlyginti nukentėjusiems asmenims; (3) teisinės atitikties pažeidimas — jeigu teikėjas nesilaikė privalomų teisinių reikalavimų (pvz., BDAR). Abipusio indemnifikavimo principas yra svarbus — klientas taip pat turėtų indemnifikuoti teikėją, jeigu problemą sukėlė kliento pateikti duomenys ar instrukcijos. Praktiškai rekomenduojama, kad IT paslaugų teikėjai turėtų profesinės atsakomybės draudimą (E&O insurance) ir kibernetinio saugumo draudimą, o sutartyje būtų numatyta klientui teisė reikalauti draudimo polisų kopijų.
Patikrinkite IT paslaugų sutartį su AI analizatoriumi
Validuok AI per kelias minutes išanalizuoja Jūsų IT paslaugų sutartį, identifikuoja trūkstamus SLA elementus, atsakomybės spragus ir BDAR neatitikimus.
Tikrinti nemokamai