第二部分 起草合同

D. 对客户数据及其他内容的权利

提供商为提供服务而对客户数据享有的权利

提供商通常在“需要知道”的基础上保留访问客户数据的权利。这种安排将允许提供商的雇员、分包商和其他第三方（如审计师）在为提供云计算服务（包括为维护、支持和安全目的）以及在为监测可接受的使用政策(AUP)、知识产权许可、服务级别协议(SLA)和其他合同文件合规情况而需要时访问客户数据。订约双方可以商定准予提供商对客户数据访问权的情形以及确保客户数据保密性和完整性的措施。

通过要求提供某项服务或性能，可以认为客户默示准予提供商对客户数据的某些访问权：没有这些权利，提供商将无法履行服务。例如，如果要求提供商定期备份客户数据，完成这项任务就必须获得复制数据的权利。同样，如果分包商想要处理客户数据，提供商必须能够向其转移数据。

合同可以明确指明客户将履行合同所必需的哪些涉及数据的权利赋予提供商、提供商是否以及在何种程度上有权向第三方（例如，其分包商）转让这些权利，以及被准予的权利或暗示的权利的地域范围和时间范围。当数据根据法律不能离开某国或某区域时，地域限制可能特别重要。（详细信息）合同一般规定客户是否能够撤销被准予的权利或暗含的权利以及在何种条件下可以撤销。由于按规定质量水平提供服务的能力可能取决于客户赋予的权利，撤销某些权利所带来的直接影响可能是修正或终止合同。

提供商为其他目的使用客户数据

大多数法域并不自动准予提供商为其自身目的而使用客户数据的权利。除了与根据合同提供云计算服务有关的目的之外，提供商还可为其他目的（例如，广告、生成统计数据、分析和预测报告、从事其他数据挖掘工作）请求使用客户数据。这方面要考虑的问题可包括：(a)提供商将收集哪些关于客户和其终端用户的信息，以及收集和使用这些信息的原因和目的；(b)是否会与其他组织、公司或个人共享这些信息，如果是，这样做的理由，以及这样做是否将取得客户同意；(c)如果提供商与第三方共享这一信息，如何确保遵守保密和安全政策。如果提供商使用客户数据将影响到个人数据，双方通常还要仔细评估所适用的数据保护法律对其规定的监管合规义务。

如果合同准予提供商为其自身目的使用客户数据的权利，合同还可列出此种使用的理由，载明对客户数据去身份化和匿名化的义务，以确保遵守任何适用的数据保护条例和其他条例，并规定对复制内容和对外公开的限制。通常，在合同存续期间或之后准许提供商为自身目的使用客户数据，但仅限于匿名化开放数据或采用汇总和去身份化形式。

提供商使用客户名称、标志和商标

提供商的标准条款可能准予提供商为其宣传目的而使用客户名称、标志和商标的权利。双方可以就删除或修改这些规定达成协议，包括将允许使用范围限于客户名称，并要求事先取得客户对使用其名称、标志和商标的批准。

提供商根据国家命令或为监管合规而就客户数据采取行动

提供商的标准条款可能为提供商保留酌情向国家机关披露客户数据或提供客户数据访问权的权利（例如，列入“如果这样做将最有利于提供商”这样的措辞）。这些条款通常还规定，在提供商得知或了解非法内容后，或者当提供商必须执行数据主体被遗忘权时，提供商有权立即去除或封锁客户数据，以避免法律规定的赔偿责任（“通知后下架”程序 （见下文J章节））。订约双方可以就缩窄提供商能够采取这些行动的情形达成协议，例如，限于法院或其他国家机关责令提供商提供数据访问权或删改数据的情形。

订约双方可以商定，作为最低限，将立即向客户通知国家命令或提供商自行就客户数据作出的决定并附带所涉数据说明，除非此种通知将违反法律。如果预先通知和客户参与都不可行，合同可以要求提供商立即向客户发出相同信息的事后通知。双方还可以就保持关于客户数据的所有命令、请求和其他活动的记录并为客户提供这些记录的访问权的规定达成协议。

对云服务衍生数据的权利

订约双方可以就客户对云服务衍生数据的权利以及如何在合同关系存续期间并在合同终止时行使这类权利达成协议。

知识产权保护条款

某些类型的云计算合同可能导致产生知识产权客体，或者是由提供商与客户共同产生这种客体（例如，通过顾客建议改进服务），或者由客户单独产生这种客体（新的应用程序、软件和其他原创工作）。合同可以载列一项明确的知识产权条款，其中将确定合同哪一方拥有对云中部署或开发的各种客体的知识产权以及双方可对这类权利作何使用。如果不存在谈判可能，客户似宜审查可能拟订的知识产权条款，以确定提供商提供足够保障，同时允许客户利用适当工具保护、享有其知识产权并避免锁定风险。（详细信息）

互操作性和可移植性

在确保互操作性和可移植性方面可能没有法定要求。除非合同另有规定，例如，就互操作性和可移植性以及在合同终止时协助导出数据列入合同承诺，否则，创设兼容导出程序的义务可能完全在客户方面（见下文M章节）。合同可以要求为数据及其他内容使用普通、广泛使用的标准化或互通导出格式，或者在可用格式当中提供选择。还可以列入关于联合产品和应用程序或软件的权利的合同条款，没有这些权利，可能无法在另一系统中使用数据及其他内容（见上文“知识产权保护条款”）。

为法律目的检索数据

客户可能需具备以原件形式搜索和查找放在云中的数据的能力，以便（在调查等方面）满足法律要求。电子记录可能需满足审计和取证方面的标准。有些提供商可能有能力协助客户按法律要求的格式检索数据。合同可能需界定这种援助的形式和条件。

数据删除

数据删除方面的考虑可能在合同期内适用，但在合同终止时尤其如此（见下文M章节里“数据删除”）。例如，可能需要根据客户的留存计划删除某些数据。敏感数据可能需在其寿命周期某一规定时间销毁（例如，在存有此类数据的设备寿命终止时销毁硬盘）。还可能需为遵守执法机构的删除请求或在知识产权侵权案件得到确认后删除数据 (见上文“提供商根据国家命令或为监管合规而就客户数据采取行动")。

提供商的标准条款可以仅载列定期删除客户数据的声明。订约双方可以就按照数据留存和处置计划或按照客户发给提供商的其他形式授权或请求立即、有效、不可逆转地永久性删除数据及其备份和元数据达成协议。合同可以涉及数据删除的时间期限和其他条件，其中包括在删除完成后确认数据删除并提供删除活动审计记录访问权的义务。

可以根据数据的性质和敏感性指明删除数据所使用的具体标准或方法。可以要求提供商从不同地点和媒介删除数据，包括从分包商和其他第三方的系统中删除数据，分不同级别删除数据，例如，数据杀毒以在彻底删除数据或销毁硬件之前确保数据的保密性。涉及销毁设备而不是重新部署设备的删除虽然更安全，但成本可能更高，而且不一定总是可行（例如，如果同一硬件上存有他人数据的话）。这些问题可能导致在合同中要求使用被隔绝的基础设施存储客户的特别敏感数据。