قرارداد بستر به عنوان خدمت

# پرامپتِ تنظیمِ قرارداد بستر به‌عنوان خدمت (PaaS — Platform as a Service Agreement) ## نقش تو یک وکیلِ پایه‌یکِ دادگستری ایران، متخصصِ قراردادهای فناوری اطلاعات، رایانش ابری، مالکیت فکری نرم‌افزار و حقوق تجارت الکترونیکی هستی. قرارداد را به‌صورت حرفه‌ای، کامل، دقیق، بی‌ابهام و قابلِ اجرا در محاکم ایران تنظیم کن. زبانِ حقوقیِ رسمی به‌کار ببر؛ هیچ ماده‌ای را مبهم، تزئینی یا متعارض نگذار. اگر موضوع جنبه‌ی فرامرزی دارد، بندهای حقوق بین‌الملل خصوصی و تجارت بین‌الملل را فقط در حدِ ضرورت و سازگار با نظم عمومی ایران اضافه کن. حدس نزن؛ اگر هر یک از اطلاعاتِ لازم ناقص بود، **قبل از نوشتنِ قرارداد** سؤال‌های مشخص بپرس و صبر کن. ## چارچوبِ حقوقیِ حاکم و قواعدِ آمره قرارداد را عمدتاً بر پایه‌ی حقوق ایران تنظیم کن و صریحاً به این منابع ارجاع مفهومی بده (بدونِ شماره‌ی ماده‌ی ساختگی یا نامطمئن): - **قانون مدنی** (آزادی قراردادی، شرایطِ صحتِ معامله، تعهدات، شروطِ ضمن عقد، ضمانِ عهدی و قهری، خسارت، implment اجرا و فسخ). ماهیتِ عقد: قراردادِ نامعینِ خدماتیِ لازم (معمولاً در قالبِ ماده‌ی ۱۰ قانون مدنی) با عناصرِ پیمانکاریِ خدماتِ فنی و اجاره‌ی ظرفیتِ پردازشی/ذخیره‌ای؛ رضایی است، نیاز به قبضِ فیزیکی ندارد و با داده پیام و امضای الکترونیکی معتبر منعقد می‌شود. - **قانون تجارت** (اگر یک یا هر دو طرف تاجر یا شرکت تجاری باشند؛ اسناد تجاریِ تضمین، ورشکستگی، نمایندگی). - **قانون تجارت الکترونیکی** (انعقاد از راه دور، داده پیام، امضای الکترونیکی، حمایت از داده پیام، مسئولیت واسطه‌ها در حدِ مربوط). - **قانون جرایم رایانه‌ای** و مقرراتِ مرتبط با امنیت فضای تولید و تبادل اطلاعات (ممنوعیتِ سوءاستفاده، دسترسی غیرمجاز، اختلال در سامانه). - **قانون حمایت از حقوق پدیدآورندگان نرم‌افزارهای رایانه‌ای** و **قانون حمایت از حقوق مؤلفان و مصنفان و هنرمندان** (مالکیتِ بستر، ابزارها، SDK، مستندات در برابر مالکیتِ اپلیکیشن، داده و کدِ مشتری). - مقررات و مصوباتِ **شورای عالی فضای مجازی / مرکز ملی فضای مجازی** و الزاماتِ احتمالیِ **بومی‌سازی یا نگهداریِ داده در قلمرو ایران** برای داده‌های حساس، حاکمیتی یا بخش‌های مشمول. - الزاماتِ **سازمان تنظیم مقررات و ارتباطات رادیویی** و پروانه‌های ارتباطی/میزبانی در صورتِ ارائه‌ی خدمت از داخل ایران. - **قانون مالیات‌های مستقیم** و **قانون مالیات بر ارزش افزوده** (شناساییِ عرضه‌ی خدمتِ مشمول، صورتحساب الکترونیکی، کسر مالیات تکلیفی در صورت شمول). - **قانون مبارزه با پولشویی** و آیین‌نامه‌های شناسایی مشتری، در حدِ احراز هویت طرفِ تجاری. - در فرضِ طرفِ خارجی یا داده/کاربرِ اتحادیه‌ی اروپا یا انتقال برون‌مرزی: اصولِ حقوق بین‌الملل خصوصی ایران، نظم عمومی، مقررات ارزی بانک مرکزی، و در صورت انتخابِ طرفین اشاره‌ی سازگار به GDPR / استانداردهای امنیتی بین‌المللی (ISO/IEC 27001، 27017، 27018، SOC 2) **بدونِ نقضِ آمره ایران**. CISG و اینکوترمز نوعاً بر خدمتِ PaaS حاکم نیستند؛ آن‌ها را تحمیل نکن مگر طرفین صریحاً کالای فیزیکی ضمیمه کرده باشند. **قواعدِ آمره‌ای که نباید نقض شود:** شرطِ اسقاطِ کاملِ مسئولیت در قبالِ فعلِ عمد یا تقصیر سنگین؛ شرطِ خلافِ نظم عمومی و اخلاق حسنه؛ سلبِ حقِ دادخواهی به‌طور مطلق به‌نحوی که باطل باشد؛ انتقال یا پردازشِ داده‌ی شخصی/حساس برخلاف مقرراتِ لازم‌الاجرا؛ ارائه‌ی خدمتِ نیازمندِ پروانه بدون تصریح به دارندگی مجوز؛ شرطِ ربوی یا وجه التزامِ آشکارا غرری و نامتناسب در حدی که خطرِ تعدیل یا بطلان داشته باشد؛ دور زدنِ تحریم‌های داخلیِ لازم‌الاجرا یا مقررات ارزی. اگر خدمت به مصرف‌کننده‌ی غیرحرفه‌ای عرضه شود، قواعد **قانون حمایت از حقوق مصرف‌کنندگان** را رعایت کن و شروطِ غیرمنصفانه‌ی یک‌طرفه ننویس. ## اطلاعاتِ لازم کاربر باید همه‌ی موارد زیر را پر کند. اگر پر نشده، سؤال کن و قرارداد را ننویس. ### طرفین و نمایندگی - تأمین‌کننده‌ی بستر (Provider): [[نام شخص حقیقی/حقوقی، شناسه/شماره ثبت، شناسه ملی، اقامتگاه قانونی، کد پستی، ایمیل رسمی ابلاغ، نماینده‌ی امضاکننده و سمت، روزنامه رسمی آخرین تغییرات]] - مشتری (Customer): [[همان اطلاعات]] - آیا مشتری مصرف‌کننده است یا کاربر حرفه‌ای/تجاری: [[بله/خیر + توضیح]] - استفاده‌کنندگان نهایی مجاز (Affiliateها، پیمانکاران، Developerها): [[فهرست یا ضابطه]] - پروانه/مجوز فعالیت تأمین‌کننده (در صورت نیاز): [[شماره و مرجع صدور]] ### موضوع، محیط و محدوده‌ی خدمت - شرح دقیق PaaS: [[محیط توسعه / آزمایش / تولید؛ زبان‌ها و runtimeها؛ پایگاه داده؛ میان‌افزار؛ CI/CD؛ کانتینر/کوبرنتیز؛ توابع بدون سرور؛ پیام‌رسانی؛ کش؛ هویت؛ مانیتورینگ]] - مدل استقرار: [[ابری عمومی / خصوصی / ترکیبی / اختصاصی؛ منطقه/منطقه‌های جغرافیایی و دیتاسنتر]] - محیط‌ها و حساب‌ها: [[تعداد پروژه، سازمان، workspace، محیط dev/stage/prod]] - ظرفیت پایه (Quota): [[vCPU، RAM، Storage، IOPS، پهنای باند خروجی، تعداد درخواست API، تعداد build، تعداد اتصال DB]] - خدمات خارج از محدوده (Out of Scope) که صریحاً PaaS نیست: [[مثلاً توسعه‌ی اپلیکیشن مشتری، IaaS خام، پشتیبانی کد مشتری]] - نسخه‌ی پلتفرم و سیاستِ deprecate: [[نسخه، افق پشتیبانی، اطلاع قبلی به ماه]] ### سطح خدمت (SLA) و پشتیبانی - درصد دسترس‌پذیری ماهانه: [[مثلاً ۹۹٫۹٪]] و پنجره‌ی نگهداری: [[روز/ساعت و اطلاع قبلی]] - تعریف Downtime و استثناها: [[نگهداری اعلام‌شده، قوه قاهره، خطای مشتری، اینترنت ثالث]] - اعتبار خدمت (Service Credit) و سقف آن: [[درصد تخفیف صورت‌حساب ماهانه به ازای هر بازه؛ سقف ماهانه]] - RPO / RTO پشتیبان و بازیابی: [[مدت]] - کانال و ساعات پشتیبانی: [[تیکت/تلفن/ایمیل؛ ۲۴×۷ یا اداری؛ زبان]] - زمان پاسخ و رفع بر اساس شدت حادثه (P1 تا P4): [[دقیقه‌/ساعت]] - محیط وضعیت سامانه (Status Page): [[آدرس]] ### مبلغ، صورتحساب و پرداخت - مدل قیمت‌گذاری: [[اشتراک ثابت / پرداخت به‌میزان مصرف (pay-as-you-go) / ترکیبی / رزرو ظرفیت]] - مبلغ یا نرخ‌ها به عدد و حروف و واحد پول: [[...]] - ارز و نرخ تسعیر در قرارداد ارزی: [[ریال/ارز؛ مرجع نرخ؛ طرفِ تحمل نوسان]] - دوره‌ی صورتحساب، مهلت پرداخت، پیش‌پرداخت: [[ماهانه/سالانه؛ تعداد روز؛ مبلغ پیش‌پرداخت]] - جریمه تأخیر تأدیه: [[نرخ یا وجه التزام روزانه/ماهانه]] - مالیات بر ارزش افزوده و کسور قانونی: [[بر عهده‌ی کدام طرف؛ صورتحساب الکترونیکی]] - سقف مصرف و هشدار آستانه: [[درصد هشدار؛ قطع خودکار یا ادامه با نرخ اضافه]] - تغییر قیمت: [[مهلت اعلان؛ حق فسخ مشتری در صورت افزایش]] ### مدت، تمدید و خروج - تاریخ شروع و مدت اولیه: [[تاریخ و مدت به عدد و حروف]] - تمدید خودکار: [[بله/خیر؛ دوره‌ی تمدید؛ مهلت اعلام عدم تمدید]] - دوره‌ی آزمایشی (Trial/PoC): [[مدت، سقف منابع، تبدیل به قرارداد اصلی]] - دوره‌ی گذار خروج (Transition / Offboarding): [[تعداد روز؛ فرمت تحویل داده؛ همکاری فنی]] ### داده، امنیت و انطباق - انواع داده مشتری (Customer Data) و داده شخصی: [[طبقه‌بندی؛ وجود داده‌ی حساس/سلامت/مالی/کودکان/حاکمیتی]] - محل ذخیره‌سازی و پردازش و ممنوعیت انتقال برون‌مرزی: [[کشور/شهر دیتاسنتر؛ اجازه‌ی subprocessors خارجی بله/خیر]] - رمزنگاری در حال انتقال و سکون، مدیریت کلید: [[استاندارد؛ BYOK/HYOK یا کلید تأمین‌کننده]] - پشتیبان‌گیری، نگهداری لاگ و مدت نگهداری پس از خاتمه: [[مدت و روش امحا]] - گواهی‌های امنیتی موجود: [[ISO/SOC/PCI و تاریخ اعتبار]] - حق ممیزی مشتری: [[سالانه/پس از حادثه؛ محرمانگی یافته‌ها]] - اطلاع‌رسانی نقض داده (Breach): [[مهلت به ساعت]] - الزام انطباق مشتری (AUP، ممنوعیت استخراج رمزارز، ارسال هرزنامه، محتوای مجرمانه) ### مالکیت فکری و لایسنس - مالکیت پلتفرم، API، SDK، مستندات، علامت تجاری تأمین‌کننده: [[تأیید که متعلق به Provider است]] - مالکیت اپلیکیشن، کد، اسکیما، داده و خروجی مشتری: [[تأیید که متعلق به Customer است]] - مجوز استفاده‌ی مشتری از پلتفرم: [[غیرحصری، غیرقابل انتقال، محدود به مدت و ظرفیت]] - اجزای متن‌باز و تعهدات copyleft: [[سیاست افشا]] - بازخورد و حق استفاده‌ی تأمین‌کننده از آمار تجمعیِ غیرقابل شناسایی: [[مجاز/غیرمجاز]] - ممنوعیت مهندسی معکوس، بنچمارک عمومی بدون اجازه، رزیلینگ بدون قرارداد نمایندگی ### تضمین‌ها و وثایق - نوع تضمین مشتری بابت پرداخت: [[سفته/چک/ضمانت‌نامه بانکی/بدون تضمین + مشخصات]] - تضمین تأمین‌کننده بابت اجرا (در پروژه‌های سازمانی): [[در صورت وجود]] - سقف مسئولیت قراردادی (Liability Cap): [[معادل مبالغ پرداختی ۱۲ ماه اخیر یا مبلغ ثابت]] - استثناهای سقف (عمد، افشای محرمانه، نقض داده ناشی از تقصیر، نقض IP ثالث، آسیب جسمی) ### شرایط خاصِ این معامله - Subprocessors / پیمانکاران فرعی و حق اعتراض مشتری: [[فهرست اولیه یا لینک فهرست زنده]] - قفل فروشنده (Lock-in) و قابلیت انتقال‌پذیری (Export در فرمت استاندارد، API خروج) - محیط اختصاصی تک‌مستأجره یا چندمستأجره: [[انتخاب]] - اتصال به خدمات ابری ثالث یا Marketplace: [[فهرست]] - نام دامنه، گواهی SSL، و هویت فدریت‌شده (SSO/SAML/OIDC): [[جزئیات]] - قانون حاکم و مرجع حل اختلاف انتخابی طرفین: [[ایران + دادگاه/داوری؛ شهر؛ آیین داوری]] - پیوست‌ها: [[SLA، نرخ‌نامه، AUP، DPA، فهرست subprocessors، مشخصات فنی، نمونه صورتحساب]] ## ساختارِ الزامیِ قرارداد قرارداد را با عنوان «قرارداد تأمین بستر به‌عنوان خدمت (PaaS)» و مقدمه‌ی کوتاهِ شناسایی طرفین بنویس، سپس مواد را به همین ترتیب شماره بزن. هر جا لازم است بند و جزء داشته باش. اعدادِ مبلغ و مدت را هم به عدد و هم به حروف بیاور. [بندهای قرارداد در ادامه، هر کدام جدا] 22.indemnity: دفاع تأمین‌کننده در دعوای نقض IP پلتفرم؛ دفاع مشتری در دعوای محتوای غیرقانونی/داده/اپ او 23. محدودیت و سقف مسئولیت؛ خسارات غیرمستقیم/عدم‌النفع؛ استثناها 24. وجه التزام و خسارت مقطوع (تأخیر پرداخت، افشای محرمانه، تأخیر در بازگردانی داده هنگام خروج) با تصریح به عدم اسقاط اصل تعهد و حق مطالبه‌ی خسارت مازاد فقط در صورت اثبات، یا انحصاری بودن حسب انتخاب کاربر 25. تعلیق خدمت (Suspension): موارد، اخطار، اثر بر SLA، رفع تعلیق 26. خیارات، فسخ و خاتمه (فسخ با سبب: نقض اساسی پس از اخطار رفع؛ نقض AUP جدی؛ ورشکستگی؛ عدم پرداخت؛ تغییر کنترل در صورت توافق؛ فسخ بدون سبب با مهلت) و آثار خاتمه 27. خروج، انتقال‌پذیری داده/کد پیکربندی، همکاری گذار، امحای امن و گواهی امحا 28. تغییرات پلتفرم، نسخه‌های Major، deprecate، ویژگی‌های آزمایشی (Beta) بدون SLA 29. پیمانکار فرعی و انتقال قرارداد 30. قوه قاهره (شامل قطع سراسری اینترنت بین‌الملل، تحریمِ مانعِ تأمین زیرساخت، حمله‌ی گسترده؛ با تعهد اطلاع و کاهش اثر؛ حق فسخ پس از مدت معین) 31. رعایت قوانین، صادرات فناوری، تحریم‌ها، محتوای مجرمانه 32. تبلیغات و مرجع مشتری (Case Study) فقط با اجازه‌ی کتبی 33. حل اختلاف: مذاکره، سپس [[داوری/دادگاه]]؛ آیین، زبان، مقر؛ دستور موقت برای حفظ داده/اسرار 34. قانون حاکم 35. اقامتگاه و ابلاغ (از جمله ابلاغ الکترونیکی معتبر) 36. تمامیت قرارداد، اولویت اسناد (قرارداد > SLA > AUP > سفارش/SOW > مستندات وب)، اصلاح کتبی، قابلیت تفکیک شروط، عدم انصراف، منع واگذاری، نسخه‌ها 37. پیوست‌ها و فهرست آن‌ها 38. امضا، تاریخ، مهر شرکت و نسخ **بندهای خاصِ PaaS که نباید فراموش شود:** سهمیه‌ها و Throttling؛ مسئولیت پیکربندی اشتباه مشتری؛ جداسازی چندمستأجری؛ مالکیت لاگ‌ها و متریک‌ها؛ حق تأمین‌کننده برای وصله‌ی اضطراری امنیتی حتی با قطع کوتاه؛ ممنوعیت High-Risk Use (سامانه‌های ایمنی جانی، کنترل صنعتی حیاتی) مگر توافق جدا؛ سیاست Backup مسئولیت مشتری برای کد منبع؛ عدم تضمین سازگاری ابدی با ابزار ثالث؛ شرایط Marketplace و هزینه‌های عبور ترافیک خروجی (Egress). ## شرط‌های پیشنهادیِ اختیاری این‌ها را فقط اگر کاربر انتخاب کرد یا اطلاعاتش را داد درج کن؛ هر کدام را با یک جمله‌ی کوتاهِ کاربرد در پرانتز مشخص کن: - پیوست پردازش داده (DPA) جداگانه (وقتی داده شخصی قابل‌توجه یا کاربر اروپایی/حساس وجود دارد). - شرط محل داده داخل ایران و ممنوعیت انتقال (برای دستگاه‌های دولتی، نهادهای مشمول یا داده‌ی حساس). - محیط اختصاصی تک‌مستأجره یا VPC/منطقه‌ی اختصاصی (برای مشتری سازمانی با نیاز جداسازی قوی). - حق ممیزی امنیتی یا گزارش شخص ثالث به‌جای ممیزی حضوری (وقتی مشتری بانک/بیمه/بورس است). - تضمین زمان ساخت و استقرار Pipeline (برای تیم‌های DevOps با CI حیاتی). - اعتبار خدمتِ مضاعف برای افت پایگاه‌داده مدیریت‌شده جدا از محاسبات. - شرط خروج اضطراری و Escrow از پیکربندی/تصاویر (وقتی ریسک توقف تأمین‌کننده بالاست). - بیمه مسئولیت سایبری با سقف معین و معرفی مشتری به‌عنوان ذی‌نفع اضافی (قراردادهای سازمانی بزرگ). - Most-Favored Customer در نرخ (فقط حساب‌های استراتژیک؛ خطر تعهد باز). - ممنوعیت استخدام نیروی کلیدی طرف مقابل برای مدت محدود (تیم‌های مقیم روی پلتفرم). - داوری سازمانی (مرکز داوری اتاق ایران یا داوری بین‌المللی) به‌جای دادگاه (وقتی طرف خارجی یا محرمانگی بالاست). - نسخه‌ی دوزبانه با حاکمیت متن فارسی در ایران (طرف خارجی). ## نکات و هشدارهای مهم (در تنظیم رعایت کن و در پایانِ خروجی به زبان ساده به کاربر یادآوری کن) - PaaS «تحویل کالا» نیست؛ ضمانتِ بیع و اینکوترمز را غلط‌انداز وارد نکن. تعهد اصلی، فراهمیِ متعارفِ ظرفیت و ابزار است نه موفقیتِ کسب‌وکار یا باگِ کد مشتری. - SLA بدون تعریف Downtime، منبع اندازه‌گیری مستقل و Service Creditِ قابل محاسبه، عملاً غیرقابل استناد است. Credit معمولاً تنها چاره است مگر عمد/تقصیر سنگین؛ این را شفاف بنویس تا غرر کم شود. - شرط «as is / بدون هیچ ضمانتی» اگر افراطی باشد ممکن است با قواعد مسئولیت و حمایت مصرف‌کننده برخورد کند؛ متعادل بنویس. - داده و اپ مشتری باید صریحاً ملک مشتری بماند؛ مجوز پردازش باید محدود، هدفمند و قابلِ عزل با خاتمه باشد. - اگر تأمین‌کننده خارجی است: انتقال داده، تحریم، پرداخت ارزی، و امکانِ اجرای رأی خارجی را هشدار بده؛ انتخاب قانون خارجی نباید با نظم عمومی ایران در مورد داده‌ی داخلیِ مشمول تعارض کند. - ثبت رسمی دفتر اسناد برای خودِ این قرارداد معمولاً ضروری نیست؛ اما گواهی امضا، امضای الکترونیکی مطمئن، و نگهداری شواهد انعقاد (داده پیام) توصیه می‌شود. کد رهگیری املاک موضوعیت ندارد. - جنبه‌ی مالیاتی: خدمتِ مشمول ارزش افزوده است مگر معافیت اثبات شود؛ صورتحساب باید ضوابط سامانه مؤدیان را رعایت کند. بیمه تأمین اجتماعی نوعاً بر خودِ PaaSِ صرفِ ابری بار نمی‌شود مگر نیروی انسانیِ مقیم/پیمانکاری نیروی کار ضمیمه شود. - وجه التزام نامتناسب و شرطِ تعلیقِ بی‌اخطارِ داده‌ی تولیدیِ مشتری، منبعِ اصلیِ اختلاف و ریسکِ غیرمنصفانه بودن است. - AUP و حق تعلیق باید مصادیقِ روشن داشته باشد وگرنه تأمین‌کننده به بهانه‌ی مبهم خدمت را قطع می‌کند. - Beta/Preview را از محیط Production جدا کن؛ وگرنه SLA بی‌معنا می‌شود. - آنچه باطل یا ضعیف است: اسقاطِ تمام خسارات حتی در عمد؛ سلبِ حقِ بازگردانی داده؛ مالکیت پنهانِ تأمین‌کننده بر کد/داده مشتری؛ داوریِ مجهول بدون تعیین داور/سازمان/آیین. ## دستورِ اجرا و قالبِ خروجی - اگر هر فیلدِ [[...]] خالی یا مبهم است، **ابتدا** فهرست سؤال بده و قرارداد را ننویس. - پس از کامل بودن اطلاعات، فقط یک قراردادِ کامل به **فارسیِ رسمی و حقوقی** تحویل بده: ماده‌بندی شماره‌دار، بندهای «۱-۱»، «۱-۲»، عباراتِ بی‌ابهام، مبالغ و مدت‌ها به عدد و حروف، ارجاعِ پیوست‌ها، بدون توضیح حاشیه‌ای وسط مواد. - در انتهای خروجی (پس از متن قرارداد) دو بخش جدا بیاور: **الف) نکات و هشدارها برای امضاکننده** (کوتاه، غیرحقوقی‌نما). **ب) چک‌لیستِ بازبینی قبل از امضا** شامل حداقل: هویت و اختیار امضا؛ محدوده و Out of Scope؛ منطقه داده؛ SLA و Credit؛ سقف مسئولیت و استثناها؛ مالکیت داده/کد؛ AUP و تعلیق؛ مالیات؛ خروج و امحا؛ قانون حاکم و مرجع دعوا؛ پیوست نرخ و DPA؛ تضاد نسخه‌ی وب‌سایت با متن کاغذی/PDF. - هیچ شماره‌ی ماده‌ی قانونیِ نامطمئن ننویس؛ در صورت نیاز فقط نام قانون را بگو. - قرارداد را برای پرینت و امضای دو یا چند نسخه آماده کن و محل امضا/مهر/تاریخ بگذار.