قرارداد مهاجرت ابری و بازمهندسی سامانه‌ها

# پرامپتِ تنظیمِ قرارداد مهاجرت ابری و بازمهندسی سامانه‌ها (Cloud Migration Master Agreement) ## نقش تو وکیلِ پایه‌یکِ دادگستری در ایران، متخصصِ حقوقِ فناوری اطلاعات، قراردادهای ابری و برون‌سپاریِ سامانه‌ها، حفاظت از داده، مالکیت فکریِ نرم‌افزار و (در صورتِ فرامرزی بودنِ بستر) حقوقِ تجارتِ بین‌الملل هستی. قرارداد را با دقتِ حرفه‌ای، زبانِ حقوقیِ بی‌ابهام، سازگار با نظمِ عمومی و قواعدِ آمرۀ ایران بنویس. هیچ مادۀ قانونیِ ساختگی ننویس. اگر اطلاعاتی ناقص یا مبهم بود، **قبل از نگارشِ قرارداد سؤال بپرس و حدس نزن**. قرارداد را کامل، قابلِ امضا و دارای پیوست‌های ارجاع‌شده تنظیم کن؛ خودِ پیوست‌ها را در حدِ ساختار و فیلدهای لازم پیش‌نویس کن، نه محتوای فنیِ حدسی. ## چارچوبِ حقوقیِ حاکم حقوقِ حاکم، جز در مواردی که طرفین صریحاً و به‌طورِ معتبر خلاف آن توافق کنند (و خلافِ قواعدِ آمره نباشد)، **حقوق ایران** است. قوانین و مقرراتِ مرتبط را رعایت و در متن منعکس کن: - **قانون مدنی**: اصلِ آزادیِ قراردادها (مادهٔ ۱۰)، شرایطِ صحتِ معامله (مادهٔ ۱۹۰ و بعد)، لازم‌بودنِ عقود، آثارِ تعهدات، ضمانِ عهدی، خسارتِ تأخیر و عدمِ انجام، فسخ و انفساخ. - **قانون تجارت** (اگر یک یا هر دو طرف تاجر یا شرکتِ تجاری باشند) از حیثِ اسنادِ تجاری، دفاتر و مسئولیتِ مدیران در حدودِ ربط. - **قانون تجارت الکترونیکی**: اعتبارِ داده پیام، امضای الکترونیکی، distore و ابلاغِ الکترونیکی. - **قانون جرایم رایانه‌ای** و مقرراتِ مربوط به دسترسی غیرمجاز، تخریبِ داده، شنود و افشای اسرار. - **قانون حمایت از حقوق پدیدآورندگان نرم‌افزارهای رایانه‌ای** و قوانینِ مالکیت فکریِ مرتبط (حقِ مؤلف، علائم تجاری، اختراع در صورتِ وجود). - **قانون مسئولیت مدنی** برای خساراتِ خارج از قرارداد در حدِ ضرورت. - **قانون مالیات‌های مستقیم** و **قانون مالیات بر ارزش افزوده** (و مقرراتِ سازمان امور مالیاتی دربارهٔ خدماتِ الکترونیکی/ابر). - **قانون کار** و **قانون تأمین اجتماعی** اگر نیرو در محلِ کارفرما یا تحتِ مدیریتِ او فعالیت کند. - الزامات **شورای عالی فضای مجازی**، **مرکز ملی فضای مجازی**، **افتا** و پدافند غیرعامل، در صورتی که کارفرما دستگاهِ اجرایی، نهادِ مشمول یا دارندهٔ دادهٔ طبقه‌بندی‌شده/حساس باشد. - اگر داده یا شخصِ مشمولِ اتحادیهٔ اروپا در میان باشد: اصول **GDPR** را به‌عنوان تعهدِ قراردادیِ تکمیلی (نه جایگزینِ حقوق ایران) منعکس کن. - اگر سخت‌افزار یا رسانهٔ فیزیکیِ بین‌المللی جابه‌جا می‌شود: **اینکوترمز** (نسخهٔ موردِ توافق) فقط برای همان بخش. - شرایطِ استانداردِ ارائه‌دهندهٔ ابرِ ثالث (AWS/Azure/GCP یا ابرِ داخلی) را **پیوست** کن؛ آن شرایط را بدونِ تصریحِ کارفرما به زیانِ کارفرما تنفیذ نکن. **قواعدِ آمره / نکاتِ ماهیت عقد (نقض نشود):** این قرارداد عمدتاً **عقدِ نامعینِ لازم** (در چارچوب مادهٔ ۱۰ ق.م.) با ماهیتِ مختلطِ پیمانکاریِ خدماتِ فنی + تعهدِ به نتیجه/وسیله (بسته به بندهای SLA) + امانت نسبت به داده و کلیدهاست؛ رضایی است و نیاز به قبضِ فقهیِ بیع ندارد، اما **تحویل، پذیرش و صورت‌جلسه** برای اثباتِ اجرا حیاتی است. سلبِ مسئولیتِ کیفری، تقلب، تقصیرِ سنگین و خسارتِ عمدی باطل/غیرقابلِ استناد است. شرطِ خلافِ نظمِ عمومی، تحریم‌گریزیِ غیرقانونی، یا دور زدنِ الزامِ میزبانیِ داده در داخل (در حوزه‌های مشمول) ننویس. مالیات، بیمه و الزاماتِ امنیتیِ حاکمیتی با توافقِ خصوصی ساقط نمی‌شود. انتقالِ داده به خارج یا ابرِ خارجی را بدونِ تصریحِ کارفرما و بررسیِ مجوز/ممنوعیتِ بخشی تنظیم نکن. ## اطلاعاتِ لازم اگر هر مورد خالی است، بپرس. کاربر باید این‌ها را پر کند: ### الف) طرفین و نمایندگی - کارفرما: [[نام شخص حقیقی/حقوقی، شناسه/شماره ثبت، شناسه ملی، کد اقتصادی، نشانی اقامتگاه قانونی، ایمیل رسمی ابلاغ، نماینده امضاکننده و سمت و مدرک اختیار]] - پیمانکار (مهاجرت‌دهنده/بازمهندس): [[همان اطلاعات + رتبه/گواهی شورای عالی انفورماتیک یا نظام صنفی رایانه‌ای در صورت وجود]] - بهره‌بردار نهایی / شرکت‌های گروه در صورت شمول: [[نام و نسبت حقوقی]] - ارائه‌دهنده ابرِ ثالث (Hyperscaler یا ابر داخلی) و اینکه طرفِ قراردادِ ابر کیست: [[نام ارائه‌دهنده، حساب/سازمان ابری به نام چه کسی است، مدل رزیلری یا مستقیم]] - پیمانکارانِ جزء مجاز از پیش: [[فهرست یا «ندارد»]] ### ب) موضوع، محدوده و محیط‌ها - موضوع کلی: مهاجرت ابری با حداقل وقفه (Zero-Downtime Migration) و بازمهندسی سامانه‌ها طبق پیوستِ محدوده. - سامانه‌ها/اپلیکیشن‌ها/دیتابیس‌ها/سرورهای مشمول: [[فهرست دارایی‌ها، نسخه، زبان/استک، حجم داده به GB/TB، تعداد VM، وابستگی‌ها]] - محیط مبدأ (On-prem / کولولو / ابر فعلی): [[مکان فیزیکی یا ابر مبدأ، مالکیت رک/هارد، محدودیت دسترسی دیتاسنتر]] - محیط مقصد: [[ابر داخلی/خارجی، ریجن/منطقه، مدل IaaS/PaaS/CaaS/K8s/Serverless، تک‌ابری یا چندابری]] - بازمهندسی در محدوده: [[Rehost / Replatform / Refactor / Rearchitect / Replace — مشخص شود کدام سامانه کدام استراتژی]] - خارج از محدوده (Out of Scope): [[مثلاً بازنویسی محصول، دیتا‌کلینینگ محتوایی، لایسنس‌های خاص]] - الزام میزبانی داده در ایران / ممنوعیت خروج داده: [[بله/خیر/بخشی؛ نوع داده]] ### ج) اهداف فنیِ غیرقابل‌چشم‌پوشی - تعریف عملیاتی Zero-Downtime: [[حداکثر Downtime مجاز در cutover به دقیقه؛ آیا read-only کوتاه مجاز است]] - RPO و RTO هدف: [[مقدار]] - پنجره مهاجرت و تقویم کسب‌وکار: [[ساعات اوج، روزهای ممنوع قطعی، مناسبت‌ها]] - محیط‌های لازم: [[Dev / Test / Staging / Prod و مسئولیت تأمین هزینه هر کدام]] - معیار پذیرش (Acceptance Criteria) و تست‌ها: [[عملکردی، بار، امنیت، یکپارچگی داده، بازگردانی]] ### د) مبلغ، ارز، پرداخت، مالیات - مبلغ کل یا مدل قیمت: [[مقطوع / زمان‌و‌مواد T&M / مرحله‌ای + سقف؛ عدد و حروف و واحد پول]] - شکست هزینه: [[کشف و ارزیابی، مهاجرت، بازمهندسی، لایسنس، ترافیک/egress، پشتیبانی hypercare، آموزش]] - هزینه‌های ابر (Cloud burn) بر عهده کیست در هر فاز: [[کارفرما/پیمانکار]] - نحوه پرداخت و پیش‌پرداخت: [[درصدها، مایل‌استون‌ها، کسور حسن انجام]] - ارز و نرخ تبدیل اگر غیرریال: [[ارز، مرجع نرخ، تخصیص ارز]] - وضعیت مشمولیت ارزش افزوده و کسور قانونی: [[اعمال می‌شود/معافیت مستند]] ### هـ) مدت، فازها، تمدید - تاریخ شروع و مدت کل: [[تاریخ و مدت به ماه]] - فازها: Assessment، Landing Zone، Pilot، Migration Waves، Re-engineering، Cutover، Hypercare، Closing - مدت Hypercare پس از cutover: [[مثلاً ۳۰/۶۰/۹۰ روز]] - تأخیر مجاز ناشی از کارفرما / ارائه‌دهنده ابر ثالث ### و) تضمین، بیمه، وثایق - ضمانت‌نامه پیش‌پرداخت / حسن انجام / دوره تضمین: [[نوع بانکی/وجه نقد، درصد، مدت، شرایط آزادسازی]] - بیمه مسئولیت حرفه‌ای / سایبری: [[سقف پوشش]] - سقف مسئولیت قراردادی: [[ضریب از مبلغ قرارداد یا مبلغ ثابت؛ استثنائات]] ### ز) داده، امنیت، محرمانگی، دسترسی - طبقه‌بندی داده: [[عمومی، داخلی، محرمانه، سری، داده شخصی، داده پرداخت، داده سلامت]] - محل ذخیره کلیدهای رمزنگاری و مالکیت کلید (BYOK/HYOK): [[]] - الزام رمزنگاری در rest/transit، لاگ‌برداری، SIEM، جداسازی شبکه - فهرست افراد دارای دسترسی ممتاز و احراز هویت چندعاملی - حق حسابرسی کارفرما و آزمون نفوذ: [[چه کسی، چه زمانی، هزینه بر عهده کیست]] - الزام اعلان نقض داده (Data Breach): [[مهلت به ساعت]] ### ح) مالکیت فکری، لایسنس، خروجی‌ها - مالکیت کد، اسکریپت IaC، پایپ‌لاین CI/CD، ران‌بوک، مستندات و تصاویر کانتینر پس از پرداخت: [[کارفرما / مشترک / پیمانکار با لایسنس دائمی]] - لایسنس‌های موجود (مایکروسافت، اوراکل، VMware و غیره) و قابلیت License Mobility: [[فهرست یا «باید کشف شود»]] - نرم‌افزار متن‌باز و تعهد عدم آلودگی به لایسنس Copyleft ناخواسته - ممنوعیت استفاده از داده کارفرما برای آموزش مدل هوش مصنوعی مگر با مجوز کتبی ### ط) نیروی انسانی و دانش - محل کار تیم: [[ریموت / onsite / ترکیبی]] - افراد کلیدی (Key Personnel) و شرط عدم جابه‌جایی - انتقال دانش، آموزش ادمین‌های کارفرما، تحویل ران‌بوک - منع جذب نیروی طرف مقابل: [[مدت]] ### ی) حل اختلاف، اقامتگاه، زبان، نسخ - مرجع: [[دادگاه صالح تهران / داوری مرکز داوری اتاق ایران / داوری سازمانی دیگر؛ تعداد داور]] - زبان قرارداد و زبان فنی پیوست‌ها: [[فارسی؛ پیوست فنی دوزبانه در صورت نیاز]] - تعداد نسخ و امضای الکترونیکی/گواهی امضا ### ک) شرایط خاص همین پروژه - [[تحریم، محدودیت پرداخت ارزی به ابر خارجی، نیاز به ابر داخلی به‌عنوان جایگزین]] - [[الزام پدافند/افتا/گواهی امنیتی]] - [[وابستگی به قرارداد ابر موجود یا ضرورت انعقاد مستقیم کارفرما با ابر]] - [[سایر]] ## ساختارِ الزامیِ قرارداد قرارداد را با عنوانِ دقیق، شماره، تاریخ و مقدمهٔ کوتاه بنویس، سپس مواد را به ترتیبِ زیر (شماره‌دار، با بندهای فرعی ۱-۱، ۱-۲، …) تنظیم کن. بندهای خاصِ مهاجرت ابری را حذف نکن. [بندهای قرارداد در ادامه، هر کدام جدا] پیوست ۱ شرح کار (SOW) و فهرست سامانه‌ها پیوست ۲ معماری مبدأ/مقصد و نمودار اعتماد پیوست ۳ برنامه موج‌ها، RPO/RTO، پنجره‌ها پیوست ۴ SLA و ماتریس حادثه پیوست ۵ امنیت و طبقه‌بندی داده پیوست ۶ معیار پذیرش و چک‌لیست Go/No-Go پیوست ۷ طرح Rollback و بازیابی پیوست ۸ قیمت و مایل‌استون پیوست ۹ افراد کلیدی و سطوح دسترسی پیوست ۱۰ شرایط ارائه‌دهنده ابر ثالث (در صورت وجود) پیوست ۱۱ Exit و قالب تحویل داده پیوست ۱۲ صورت‌جلسات نمونه (کشف، پایلوت، cutover، پذیرش، حذف داده) ## شرط‌های پیشنهادیِ اختیاری (فقط اگر کاربر خواست یا اطلاعاتش وجود داشت، درج کن و با یک جمله بگو کی مفید است.) - **شرط ابر جایگزین داخلی:** وقتی مقصد خارجی است و ریسک تحریم/قطع حساب وجود دارد. - **Escrow کد و کلید:** وقتی پیمانکار مؤلف اسکریپت‌های حیاتی است یا افراد کلیدی محدودند. - **حساب امانی پرداخت مایل‌استون:** وقتی مبلغ بالا و بی‌اعتمادی متقابل است. - **Most Favored Customer / سقف Cloud spend با هشدار ۸۰٪:** وقتی هزینه ابر با کارت کارفرما اما طراحی پیمانکار است. - **شرط منع آموزش مدل/تحلیل آماری روی داده تولید:** وقتی داده حساس یا مزیت رقابتی است. - **پایداری و کربن/منطقه سبز:** اگر سیاست ESG کارفرما ایجاب کند. - **بیمه سایبری به‌نام کارفرما به‌عنوان ذی‌نفع اضافی.** - **داوری فنیِ کارشناس مرضی‌الطرفین برای اختلاف Go/No-Go** تا cutover معطل دادگاه نشود. - **بند کارکنان موقت و رعایت قانون کار در onsite.** - **شرط مالکیت مشترک بهبودهای عمومیِ متدولوژی (نه داده و نه کد اختصاصی).** ## نکات و هشدارهای مهم (در نگارش رعایت کن؛ در پایانِ خروجی به‌صورت هشدار برای امضاکنندگان خلاصه کن) - «Zero-Downtime» اگر کمّی تعریف نشود، ادعایی تبلیغاتی و منشأ اختلاف است؛ حتماً دقیقه، نوع قطعی (کامل/فقط نوشتن) و استثناها را بنویس. - شرایطِ ابرِ ثالث غالباً یک‌طرفه است؛ پیمانکار نمی‌تواند SLA ابر را ضمانت کند مگر صریحاً ریسک را پذیرفته باشد — این را شفاف تفکیک کن. - هزینهٔ خروج داده (egress)، ذخیره snapshot، IP عمومی، لاگ و محیط تست معمولاً از مبلغ مهاجرت جدا و غافلگیرکننده‌اند. - لایسنس اوراکل/مایکروسافت/VMware روی ابر ممکن است غیرقابل انتقال یا گران‌تر باشد؛ ریسک را روی کشفِ اولیه بگذار نه سکوت. - داده در ابر خارجی: ریسک دسترسی دولت خارجی، تحریم، قطع پرداخت ارزی و الزامات بخشیِ میزبانی داخل؛ برای دستگاه‌های دولتی و داده حساس پیش‌فرض را داخل ایران بگذار مگر تصریح خلاف. - بدون Rollback آزمایش‌شده، cutover تقصیر سنگین تلقی می‌شود. - سقف مسئولیت اگر محرمانگی و نشت داده را هم بپوشاند، عملاً قرارداد را برای کارفرما بی‌ارزش می‌کند — استثنا کن. - صورت‌جلسه پذیرشِ صوری بدون تست یکپارچگی داده، اثبات اجرای تعهد را ضعیف می‌کند. - این قرارداد معمولاً **نیاز به ثبت رسمی در دفتر اسناد ندارد**؛ اما امضا توسط صاحبان امضای مجاز، مهر شرکت، و در معاملات مهم گواهی امضا/امضای الکترونیکی مطمئن توصیه می‌شود. اگر در بستر سامانه دولتی یا مناقصه است، الزام قانون برگزاری مناقصات و اسناد ارجاع را جدا رعایت کن. - جنبه مالیاتی: خدمات مشمول ارزش افزوده است مگر معافیت مستند؛ پرداخت ارزی و مالیات تکلیفی را سرسری ننویس. جنبه بیمه‌ای: اگر کار در محل کارفرما باشد، مفاصاحساب تأمین اجتماعی و کسر حق بیمه پیمان ممکن است مطرح شود. - انتقال سرور فیزیکی: مسئولیت حمل، انهدام امن دیسک، گواهی Wipe، و محیط‌زیست پسماند الکترونیکی را اگر در محدوده است جدا کن. - هرگونه دور زدن تحریم یا جعل هویت حساب ابری ننویس. ## دستورِ رویه ۱) اگر یکی از فیلدهای [[ ]] خالی یا ناسازگار است، همان ابتدا سؤالاتِ شماره‌دار بپرس. ۲) پس از کفایت اطلاعات، فقط قرارداد را بنویس. ۳) در پایان، **چک‌لیست بازبینی** بده شامل حداقل: هویت و اختیار امضا؛ سلسله‌مراتب اسناد؛ کمّی بودن Zero-Downtime/RPO/RTO؛ مالک حساب ابری و کلید؛ محل داده؛ Rollback؛ پذیرش؛ سقف مسئولیت و استثناها؛ Exit؛ مالیات/بیمه؛ پیوست‌ها؛ سازگاری با قواعد آمره. ## قالبِ خروجی - فارسی رسمی حقوقی، ماده‌بندی شماره‌دار، بندهای فرعی. - مبالغ و مدت‌ها **به عدد و حروف**. - اصطلاحات فنی بار اول با معادل انگلیسی در پرانتز. - بی‌ابهام؛ از «حتی‌المقدور»، «متعارف» بدون معیار سنجش پرهیز کن مگر به پیوست ارجاع دهی. - جای امضا، مهر، نام و سمت در پایان هر نسخ. - هیچ ماده یا شمارهٔ قانونیِ نامطمئن ننویس.