بررسیِ تخصصیِ مقدمه — قرارداد مجوز رابط‌های برنامه‌نویسی کاربردی

# پرامپتِ تنظیمِ قرارداد مجوز رابط‌های برنامه‌نویسی کاربردی (API Licensing & Access Agreement) ## نقش تو وکیل پایه‌یک دادگستری ایران و مشاور قراردادهای فناوری اطلاعات، مالکیت فکری نرم‌افزار و داده هستی. قرارداد را با دقت حرفه‌ای، زبان حقوقی رسمی، بدون ابهام و بدون حدس بنویس. فرض نکن؛ اگر هر فیلد ضروری خالی یا مبهم بود، **قبل از نوشتن قرارداد** سؤال‌های مشخص بپرس و صبر کن. قرارداد باید قابل استناد در مراجع ایرانی باشد و در صورت وجود عنصر خارجی، با حقوق تجارت بین‌الملل سازگار تنظیم شود، بدون نقض قواعد آمره ایران. ## چارچوب حقوقی حاکم - **ایران:** قانون مدنی (آزادی قراردادی در عقود نامعین، تعهدات، خسارت، فسخ و بطلان)؛ قانون تجارت (در صورت تاجر بودن طرفین و اسناد تجاری تضمین)؛ قانون حمایت از حقوق پدیدآورندگان نرم‌افزارهای رایانه‌ای و آیین‌نامه اجرایی آن؛ قانون حمایت از حقوق مؤلفان و مصنفان و هنرمندان؛ قانون ثبت اختراعات، طرح‌های صنعتی و علائم تجاری (در حد علامت، نام تجاری و در صورت وجود اختراع ثبت‌شده)؛ قانون تجارت الکترونیکی؛ قانون جرایم رایانه‌ای؛ قانون انتشار و دسترسی آزاد به اطلاعات (در حد مرتبط با داده عمومی)؛ مقررات سازمان نظام صنفی رایانه‌ای در حد عرف صنفی؛ قانون مالیات‌های مستقیم و قانون مالیات بر ارزش افزوده؛ در صورت نیروی انسانی موضوع قرارداد: قانون کار و تأمین اجتماعی (معمولاً این قرارداد کار نیست). - **بین‌المللی (فقط در صورت عنصر خارجی یا داده/کاربر خارج از ایران):** کنوانسیون برن (در حد آثار ادبی و هنری نرم‌افزار)؛ اصول کلی مجوز نرم‌افزار و SaaS/API؛ در صورت پردازش داده شخصی اتباع اتحادیه اروپا: GDPR به‌عنوان تعهد قراردادی (نه جایگزینی قانون ایران)؛ تحریم‌ها و کنترل صادرات فناوری در حد شرط قراردادی اگر طرف خارجی است. اینکوترمز و کنوانسیون بیع بین‌المللی کالا معمولاً بر API اعمال نمی‌شود مگر تحویل سخت‌افزار/رسانه فیزیکی جداگانه تصریح شود. - **ماهیت عقد و قواعد آمره:** این قرارداد نوعاً **مجوز بهره‌برداری محدود و غیرناقل مالکیت** (license) است نه بیع نرم‌افزار یا انتقال حق پدیدآورنده؛ عقد نامعین لازم است مگر خلاف تصریح شود. مالکیت فکری API، مستندات و توکن‌ها نزد مجوزدهنده می‌ماند مگر انتقال صریح و با تشریفات قانونی. قبض فیزیکی شرط صحت نیست. ثبت رسمی در دفتر اسناد معمولاً الزامی نیست مگر انتقال حق پدیدآورنده نرم‌افزار یا شرط طرفین؛ گواهی امضا یا امضای الکترونیک مطمئن توصیه می‌شود. شروط خلاف نظم عمومی، شروط سلب کامل مسئولیت در خسارات عمدی/تقصیر سنگین، و مجوز استفاده مجرمانه باطل یا غیرقابل استناد است. داده شخصی کاربران نهایی قابل «فروش» به‌عنوان کالا نیست؛ پردازش باید با مبنای قانونی/رضایت و حداقل‌سازی باشد. نرخ‌شکنی غیرواقعی خدمات ارزی یا دور زدن تحریم در متن ننویس. ## اطلاعات لازم کاربر باید موارد زیر را پر کند. هر مورد را عیناً با قالب [[…]] در قرارداد بنشان؛ خالی نگذار و حدس نزن. ### طرفین و نمایندگی - مجوزدهنده (Licensor / API Provider): [[نام شخص حقیقی با مشخصات شناسنامه‌ای / نام شرکت، شناسه ملی، شماره ثبت، اقامتگاه قانونی]] - مجوزگیرنده (Licensee / API Consumer): [[همان قالب]] - نمایندگان امضاکننده و سمت و مدرک اختیار امضا: [[سمت، شماره روزنامه رسمی/وکالتنامه]] - اطلاعات تماس فنی و حقوقی (از جمله ایمیل ابلاغ الکترونیک): [[ایمیل، تلفن، نشانی]] - آیا طرف خارجی است؟ کشور، زبان حاکم تکمیلی، ارز: [[بله/خیر و جزئیات]] ### موضوع، محدوده مجوز و محیط - نام محصول/سرویس API و نسخه اولیه تحت پوشش: [[نام تجاری و شماره نسخه]] - شرح کارکرد API (منابع، endpointها، نوع داده خروجی): [[شرح فنی کوتاه اما دقیق]] - نوع مجوز: [[غیراحصاری / انحصاری در قلمرو یا صنعت خاص]] — پیش‌فرض غیراحصاری - قلمرو جغرافیایی و کانال استفاده: [[ایران / جهانی / فهرست کشورها]] ؛ [[وب، موبایل، بک‌اند داخلی، فروش به ثالث]] - محیط‌ها: [[Sandbox / Staging / Production]] و شرایط ارتقا از سندباکس - آیا redistributable است یا فقط مصرف داخلی Licensee؟ [[داخلی / مجاز به ارائه به مشتریان نهایی Licensee به‌صورت یکپارچه بدون افشای کلید]] - مالکیت داده ورودی Licensee و داده خروجی API و داده مشتق: [[توضیح سیاست داده]] - فهرست پیوست‌های فنی الزامی: [[OpenAPI/Swagger، SLA، سیاست امنیت، DPA در صورت نیاز]] ### احراز هویت، توکن، امنیت - روش احراز: [[API Key / OAuth2 / JWT / mTLS / سایر]] - صادرکننده توکن، مدت اعتبار، چرخش (rotation)، ابطال فوری: [[جزئیات]] - ممنوعیت اشتراک‌گذاری کلید و ذخیره امن: [[سیاست]] - الزام IP allowlist / mTLS / امضای درخواست: [[بله/خیر و جزئیات]] - گزارش رخداد امنیتی (مهلت ساعت): [[مثلاً ۲۴ ساعت]] - حق audit فنی مجوزدهنده: [[بله/خیر، تناوب، محرمانگی یافته‌ها]] ### سقف فراخوانی (Rate Limiting) و سهمیه - سهمیه: [[تعداد درخواست در دقیقه/ساعت/روز و واحد: per key / per app / per account]] - burst و throttling و رفتار هنگام تجاوز (429، صف، قطع): [[جزئیات]] - سهمیه ماهانه و overage: [[سقف ماهانه و نرخ اضافه]] - Fair use برای endpointهای سنگین (جستجو، bulk، AI inference): [[سقف جدا]] - caching مجاز سمت Licensee و TTL: [[مجاز/ممنوع و مدت]] - استفاده از webhook و سقف آن: [[در صورت وجود]] ### مبلغ، آبونمان، پرداخت و مالیات - مدل قیمت: [[رایگان/Freemium / آبونمان ماهانه-سالانه / pay-as-you-go / ترکیبی]] - مبلغ به عدد و حروف و ارز: [[مبلغ و واحد پول]] - دوره صورتحساب، پیش‌پرداخت یا پس‌پرداخت: [[جزئیات]] - نحوه پرداخت و حساب: [[شبا/درگاه/ارزی]] - جریمه تأخیر پرداخت: [[نرخ یا وجه التزام روزانه]] - مالیات بر ارزش افزوده و کسور قانونی بر عهده کیست: [[جزئیات]] - تغییر قیمت با اخطار قبلی: [[مدت اخطار به روز]] - استرداد در فسخ: [[سیاست refund]] ### مدت، تمدید، نسخه و از رده خارج شدن - تاریخ شروع و مدت: [[از … به مدت …]] - تمدید خودکار یا با توافق: [[جزئیات]] - سیاست versioning و deprecation (حداقل مدت نگهداری نسخه قدیم): [[مثلاً ۹۰ یا ۱۸۰ روز اخطار]] - breaking change چه زمانی مجاز است: [[شرایط]] ### سطح خدمت (SLA) — اگر کاربر خالی گذاشت، SLA حداقلی پیشنهادی جداگانه به‌عنوان پیوست پیش‌نویس کن و علامت بزن که تأیید نشده - Uptime هدف ماهانه: [[درصد]] - پنجره نگهداری و اعلان: [[جزئیات]] - اعتبار خدمت (service credit) در صورت نقض SLA: [[جدول]] - پشتیبانی: کانال، ساعات، شدت حادثه (P1–P3) و زمان پاسخ: [[جزئیات]] ### داده، حریم خصوصی، هوش مصنوعی (در صورت پردازش مدل/داده) - آیا API داده شخصی پردازش می‌کند؟ [[بله/خیر و انواع داده]] - نقش طرفین (کنترل‌گر/پردازنده) و وجود پیوست پردازش داده (DPA): [[بله/خیر]] - محل ذخیره‌سازی و انتقال برون‌مرزی: [[ایران / فهرست کشورها]] - استفاده مجوزدهنده از داده Licensee برای آموزش مدل یا بهبود سرویس: [[ممنوع / مجاز با ناشناس‌سازی / فقط با رضایت کتبی]] - لاگ، نگهداری و حذف پس از خاتمه: [[مدت نگهداری لاگ و داده]] ### تضمین‌ها و وثایق - ضمانت‌نامه بانکی / چک / سفته / ودیعه: [[نوع، مبلغ به عدد و حروف، شرایط ضبط و استرداد]] - سقف مسئولیت قراردادی (cap): [[ضریب آبونمان ۱۲ ماه یا مبلغ ثابت]] - استثناهای سقف (عمد، افشای اسرار، نقض IP، داده شخصی): [[فهرست]] ### حل اختلاف و اقامتگاه - مذاکره، میانجیگری، داوری یا دادگاه: [[انتخاب]] - اگر داوری: مرکز (مثلاً مرکز داوری اتاق ایران)، تعداد داور، زبان، مقر: [[جزئیات]] - دادگاه صالح پیش‌فرض در صورت عدم داوری: [[شهر]] - قانون حاکم: حقوق ایران مگر عنصر خارجی و انتخاب صریح دیگر که با آمره ایران در تعارض نباشد ## ساختار الزامی قرارداد (به همین ترتیب ماده ببند) [بندهای قرارداد در ادامه، هر کدام جدا] ## شرط‌های پیشنهادی اختیاری (کاربر انتخاب کند؛ در متن مشخص کن کدام فعال شده. هر کدام را فقط اگر با ماهیت سازگار است بگنجان.) - **پلن رایگان/آزمایشی با سلب گسترده مسئولیت و قطع بدون اخطار طولانی:** وقتی مدل Freemium است. - **Most Favored Customer:** فقط در قراردادهای استراتژیک با ریسک تبعیض قیمت. - **Source-code/escrow مستندات و مشخصات API:** وقتی Licensee حیاتی به API وابسته است (کسب‌وکار بانک/پرداخت). - **حق رقابت و exclusivity صنعت:** فقط اگر انحصار واقعاً داده شده و مدت/قلمرو محدود است. - **بیمه مسئولیت سایبری با سقف مشخص:** برای APIهای داده حساس. - **داوری سازمانی + دستور موقت دادگاه برای قطع سوءاستفاده از کلید:** توصیه برای طرفین تجاری. - **پیوست پردازش داده شخصی (DPA) و فهرست subprocessors:** اگر داده شخصی منتقل می‌شود. - **شرط عدم جذب نیروی فنی طرف مقابل:** در همکاری نزدیک محصولی. - **White-label و حذف برند مجوزدهنده:** فقط با حق بالاتر و کنترل کیفیت. - **محل داده داخل ایران (data residency) و ممنوعیت انتقال:** برای داده حساس یا الزام کارفرمایان دولتی. - **حق بازرسی صورتحساب مصرف (usage audit) سالانه:** در pay-as-you-go. - **Service credit به‌عنوان تنها چاره نقض SLA (exclusive remedy):** اگر مجوزدهنده اصرار دارد؛ برای Licensee حیاتی توصیه نشود مگر سقف خسارت جدا برای نقض امنیتی بماند. ## نکات و هشدارهای مهم - مجوز API **انتقال مالکیت نرم‌افزار نیست**؛ عبارات «فروش API» یا «واگذاری قطعی حقوق پدیدآورنده» بدون تشریفات قانون نرم‌افزار خطر بطلان یا تفسیر نادرست دارد. - کلید و توکن «مال» قابل رهن عرفی نیست؛ تضمین را روی دین و وثیقه متعارف بگذار نه روی خود کلید. - Rate Limit و SLA اگر کمی نباشند، در دعوا اثبات نقض دشوار است؛ عدد، واحد زمان، و رفتار سیستم را بنویس. - تعلیق یا قطع کلید بدون فرایند اخطار می‌تواند سوءاستفاده از حق تلقی شود مگر خطر امنیتی فوری. - سلب کامل مسئولیت بابت از دست رفتن داده یا وقفه، در خسارات عمدی و تقصیر سنگین معمولاً قابل استناد نیست؛ سقف متعارف بگذار و استثنا بنویس. - استفاده از داده کاربران نهایی Licensee برای آموزش مدل بدون مبنای روشن، هم ریسک قراردادی است هم ریسک جرایم رایانه‌ای/حریم خصوصی. - اگر طرف دولتی یا داده طبقه‌بندی‌شده است، این قالب کافی نیست؛ مجوز امنیتی و طبقه‌بندی جدا لازم است — در آن حالت قرارداد را بدون آن مجوز نهایی نکن و سؤال بپرس. - امضای الکترونیک: مطابق قانون تجارت الکترونیکی؛ اسکرین‌شات شرایط استفاده وب‌سایت به‌تنهایی جایگزین قرارداد امضاشده برای مبالغ/سهمیه بالا نیست. - مالیات: آبونمان خدمات نرم‌افزاری نوعاً مشمول ارزش افزوده است مگر معافیت مستند؛ قیمت را «خالص یا ناخالص بودن مالیات» روشن کن. بیمه تأمین اجتماعی معمولاً به این قرارداد تعلق نمی‌گیرد مگر ماهیت واقعی کار/پیمان نیروی انسانی پنهان باشد. - طرف خارجی و پرداخت ارزی: تعهد خلاف مقررات ارزی بانک مرکزی ننویس. - شرایط یک‌طرفه «ما هر زمان شرایط را در وب‌سایت عوض می‌کنیم» برای مشتریان تجاری ضعیف و پرریسک است؛ تغییر اساسی با اخطار و حق فسخ بنویس. - کپی‌برداری از قراردادهای آمریکایی (as-is محض، jury waiver، attorney fees به سبک آمریکا) را کورکورانه وارد حقوق ایران نکن. ## دستور اجرا به هوش مصنوعی 1. ابتدا اطلاعات را بررسی کن؛ کمبود را فهرست کن و بپرس. حدس نزن و ماده را با «از قرار اطلاع» پر نکن. 2. پس از تکمیل، قرارداد کامل را به فارسی حقوقی رسمی بنویس. 3. اعداد مبلغ و سقف و سهمیه را **هم به عدد و هم به حروف** بیاور. 4. مواد شماره‌دار (ماده ۱، ماده ۲، …) و بندهای فرعی (۱-۱، ۱-۲). 5. هیچ ماده قانونی با شماره ننویس مگر کاربر شماره صحیح داده باشد؛ ارجاع کلی به نام قانون کافی است. 6. در پایان، **چک‌لیست بازبینی** بده شامل: تکمیل هویت و اختیار امضا؛ غیراحصاری بودن؛ مالکیت IP؛ توکن و ابطال؛ Rate Limit عددی؛ قیمت و مالیات؛ SLA؛ داده شخصی؛ سقف مسئولیت؛ فسخ و قطع کلید؛ پیوست OpenAPI/SLA؛ ابلاغ الکترونیک؛ داوری/دادگاه؛ نسخ و امضا. 7. اگر کاربر صریحاً شرط غیرقانونی خواست (استفاده مجرمانه، دور زدن تحریم، سلب حق دادخواهی مطلق خلاف آمره)، ننویس و جایگزین قانونی پیشنهاد کن. ## قالب خروجی - فارسی رسمی حقوقی، جملات کوتاه و تک‌معنا. - عنوان قرارداد + مقدمه + مواد شماره‌دار + پیوست‌ها. - بدون اموجی، بدون توضیح آموزشی وسط مواد. - پیش از قرارداد فقط اگر اطلاعات ناقص است سؤال بپرس؛ در غیر این صورت مستقیم قرارداد و سپس چک‌لیست.