第二部分 起草合同

B. 订约方身份识别

正确识别订约方的身份会对合同的成立和可执行性产生直接影响。适用法律会就确定企业实体法律人格及其订立合同的能力所需要的信息作出具体规定。法律可能要求为特定目的提供其他信息，例如，为税收目的提供身份识别号码或委托书，以确定自然人是否拥有代表法律实体进行签署和作出承诺的权力。

C. 界定合同范围和合同标的

鉴于云计算服务的范围，云计算合同标的在类型和复杂性上差别极大。单项合同期内的标的可能发生变化：有些云计算服务可能被取消，同时也可能添加其他服务。合同标的可以包括提供核心服务、辅助服务和任选服务。

合同标的说明通常包括对云计算服务类型（软件即服务(SaaS)、平台即服务(PaaS)、基础设施即服务(IaaS)或这些服务的组合）及其部署模式（公共云、社区云、私人云或混合云）、技术特点、质量特点和绩效特点以及任何适用标准的说明。组成合同的若干文件可能与确定合同标的有关。(详细信息)

服务级别协议

服务级别协议(SLA)载明绩效参数，将据此衡量云计算服务交付情况、合同义务范围以及提供商的可能违约。信息技术专家通常参与制定绩效参数。

数量方面的绩效参数通常与载量（可供运行程序使用的规定数据存储量或规定记忆量）、宕机时间或中断时间、时延、数据存储持久性、正常运行时间、支持服务（例如，在客户营业时间内或每周7 天每天24 小时）以及事件和灾难管理和恢复计划有关。后面一项可包括解决事件的最长时间、最长第一反应时间、恢复点目标和恢复时间目标。

质量方面的绩效参数可能与数据删除、数据本地化存储要求、可移植性、安全以及数据保护/ 隐私有关。某些服务方面可根据质量和数量方面的绩效参数衡量。例如，弹性和伸缩性可参照规定最短期限内可用资源最大量以及措施的质量和安全性加以界定，就后者而言，可能需调整措施使之适合所存储客户数据的不同敏感度。加密可表述为闲置、中转和使用时的一定位值。除了用数量参数衡量之外，或者如果不用数量参数衡量，还可以参照质量参数衡量加密情况（例如，提供商应确保，任何时候客户数据经由公开通信网络传输，以及任何时候客户数据在提供商所使用的数据中心处于闲置状态，这些数据都是加密的）。

可以商定不同承诺（即保证结果的义务或保证最佳努力的义务），这主要取决于付费条款以及是否提供标准化商用型多订户云解决方案。承诺的类型将产生影响，包括对发生争议时的举证责任产生影响。

绩效测量

订约方可在合同中列明测量方法和程序，特别是具体指明服务测量的参照期（每日、每周、每月）、服务交付报告机制（即此种报告的频度和形式）、订约方的作用和职责，以及所使用的计量数据（即服务提供点的计量数据或服务消费点的计量数据）。订约方可商定独立测量绩效的方法以及如何分担相关费用。

客户通常希望测量高峰时段——即最需要服务时段——的服务情况。客户一般有能力进行测量（或核实提供商或第三方提供的测量数据），但仅限于那些基于消费点绩效的计量数据，而不是那些基于服务提供点系统绩效的计量数据。客户或许有能力根据提供商或第三方提供的报告评估服务提供点的绩效。提供商可能同意根据客户要求为其提供绩效报告，或定期提供（每日、每周、每月等），或在某一特定事件之后提供。或者，提供商可能同意准予客户审查提供商服务级别测量相关记录的权利。有些提供商支持顾客实时监测服务绩效数据。

合同可以要求双方在一定时间内保持关于提供和消费服务的记录。这类资料可有助于谈判合同的任何修正和处理争议。

可接受的使用政策

可接受的使用政策(AUP) 载明客户和其终端用户使用合同所涵盖的云计算服务的条件。其目的是保护提供商不因客户和其终端用户的行为而承担赔偿责任。预期任何潜在客户都会接受这种政策，这种政策将成为与提供商合同的一部分。对于提供商认为属于不当或非法使用云计算服务的一系列一贯性活动，绝大多数标准的可接受的使用政策(AUP) 都予以禁止。可接受的使用政策(AUP) 不仅可限制允许放入云中的内容种类，还可限制客户准许
第三方（即某些国家的国民或列入制裁名单的个人）访问云中数据及其他内容的权利。订约方可同意取消某些禁令以顾及客户的特定业务需要，但以法律允许取消此种禁令为限。

常见做法是，提供商的标准条款要求客户的终端用户也遵守可接受的使用政策(AUP)，并要求客户必须尽其最大努力或作出商业上合理的努力确保这种遵守。有些提供商可能要求客户积极防止第三方未经授权使用或不当使用合同下所提供的云计算服务。订约方可以约定一些有限的义务，例如，客户向已知终端用户传达可接受的使用政策(AUP)，不授权或者不故意允许此种使用，并向提供商通知客户所了解的一切未经授权的使用或不当使用。

在一些法域，法律可能就提供商在其云计算基础设施上托管的内容对其规定一些义务，例如，向公共当局报告非法材料的义务。此等义务不可通过可接受的使用政策(AUP)或其他方式转移给客户或终端用户。这些义务可能涉及隐私及其他影响，将是选择适当提供商时所考虑的因素之一。(详细信息)

安全政策

系统安全，包括客户数据安全，涉及订约双方的共同责任。合同需要具体指明订约双方对安全措施的分工和职责，以反映强制性法律对其中一方或双方规定的义务。

提供商依循自己的安全政策乃是通常做法。在有些情况下，也有可能就提供商依循客户的安全政策达成协议，不过这不包括标准化商用型多订户云解决方案。合同可以具体规定安全措施（例如，对受损媒介数据杀毒或删除的要求、在不同地点存储单独成套数据的要求、在客户独有的规定硬件上存储客户数据的要求）。不过，在合同中过度披露安全信息可能会有风险。

一些安全措施并不预先假定对方提供投入，而完全依赖于相关方的例行活动，例如，提供商对存储数据并运行服务的硬件的检查，以及为确保控制下访问而采取的有效措施。在其他情况下，如果允许一方履行其义务或评估和监测所执行安全措施的质量，就会预先假定对方提供投入。例如，将预期客户更新用户证书及其访问权清单并向提供商及时通知变更情况，从而确保适当的身份和访问管理机制。还将预期客户向提供商告知将分配给每一类数据的安全级别。

一些安全威胁可能超出客户与提供商之间的合同框架，并可能要求调整云计算合同条款，使之与提供商和客户的其他合同（例如，与互联网服务提供商的合同）协调一致。

数据完整性

提供商的标准合同可载有一般免责声明，即保全客户数据完整性的最终责任在于客户。

有些提供商可能愿意作出数据完整性承诺（例如，定期备份），这可能是为了收取额外费用。不论与提供商的合同安排如何，客户似宜考虑是否有必要获取其数据至少一份可用复制件的访问权，此种访问权是在提供商及其分包商的控制、触及或影响范围之外，且独立于提供商及其分包商的参与。

保密条款

提供商是否愿意承诺为客户数据保密，取决于根据合同向客户提供服务的性质，特别是是否要求提供商为提供这些服务而取得对数据的不加密访问权。有些提供商可能没有能力提供保密或不披露条款，并可能明确放弃对客户数据的任何保密义务。有些提供商可能愿意对客户在合同谈判期间披露的数据承担保密责任，但不对提供服务期间所处理的数据承担责任。提供商的一些标准保密条款可能不足以确保遵守适用法律。

在没有关于提供商保守机密的合同承诺和法定义务的情况下，客户可能要对数据保密（例如，通过加密）承担全部责任。如果不可能谈判一项适用于放入云中所有客户数据的一般保密条款，订约双方可以就某些敏感数据商定保密承诺（此类数据泄密适用单独赔偿责任制度）。客户可能特别担心其商业秘密、专门知识以及根据法律或对第三方承诺必须保密的信息。订约双方可以商定限制此种数据的访问权，只允许有限人员接触此种数据，同时要求这些人员作出个人保密承诺，特别是那些承担高风险职责的人员（例如，系统管理员，审计师以及处理侵入侦测报告和事件对策的人员）。在这些情况下，客户通常向提供商具体指明此种信息、所要求的保护级别、任何适用法律或合同要求，以及影响此类信息的任何变化，包括适用法律的任何变化。

在有些情况下，披露客户数据可能是履行合同所必需的。在其他情况下，法律可能要求必须披露数据，例如，根据向国家主管机关提供信息的义务 (见下文D章节）。因此，保密条款是可以有适当例外情形的。

反之，提供商可能规定客户有义务不披露关于提供商安全安排的信息以及根据合同或法律向客户提供服务的其他细节。

数据保护/隐私政策或数据处理协议

个人数据在许多法域受到法律特殊保护。适用于个人数据处理的法律可能不同于合同适用法律，并将优先于任何不合规的合同条款。

合同可以包括一个数据保护或隐私条款、数据处理协议或类似协议，不过一些提供商可能仅同意对所适用的数据保护法律的一般遵守义务。在一些法域，这种一般承诺可能还不够：合同需要至少规定所涉事项和期限、个人数据处理的性质和目的、个人数据类型和数据主体种类，以及数据控制人和数据处理人的义务和权利。如果不可能在合同中谈判一项数据保护条款，客户似宜审查标准条款，以确定相关规定是否给予客户对合法个人数据处理的充分保障以及适当的损害补救办法。

客户很有可能就是数据控制人，将对云中收集和处理的个人数据承担遵守数据保护法律的责任。订约双方可以商定旨在遵守适用的数据保护条例——包括与数据主体的权利有关的请求——的合同条款。双方还可以商定一旦违反这些条款时的单独补救办法，其中包括单方面解约以及赔偿损失。

提供商的标准合同通常规定提供商不承担数据控制人的任何职责。只有当提供商完全为提供云计算服务目的而依照客户指示处理客户数据时，提供商才有可能作为数据处理人行事。但是，在有些法域，不论合同条款如何规定，如果提供商为自身目的或按照国家机关的指示进一步处理数据，就可被视为数据控制人，并可能因此而在这种进一步的个人数据处理方面对保护个人数据承担全部责任（见下文J章节）

数据泄密及其他安全事件所产生的义务

订约双方立即通知对方影响到合同的安全事件或其得知的任何这种疑似事件，这可能是法律或合同要求的，（也可能是两者同时都要求的）。可在法律可能规定的安全事件一般通知义务之外规定这项义务，要求通知所有利益攸关方（包括数据主体、保险公司和国家机关或公共大众），以防止或尽量减轻安全事件的影响。

法律可能载明具体的安全事件通知要求，包括通知时间，并确定负责遵守这些要求的人。在不违反这些强制性规定的前提下，双方可在合同中具体规定通知期（例如，一方得知事件或威胁后一天内）以及安全事件通知的形式和内容。后者通常包括各种情形和事件原因、受影响数据类型、解决事件拟采取的步骤、预期事件得到解决的时间，以及解决事件期间拟采用的任何应急计划。这方面还可包括关于未成功泄密行动、针对特定目标（特定客户用户、特定应用程序、特定物理机）的攻击、趋势和统计数据的信息。任何通知要求通常都考虑到不披露任何可能导致受影响方系统、业务或网络受损的敏感信息的必要性。

法律或合同可能要求提供商或客户或者要求这两者，包括在有第三方参与的情况下，在安全事件后采取措施（所谓“事件后步骤”），其中包括隔绝或隔离受影响区域、进行根源分析并出具事件分析报告。事件分析报告可由受影响方或由受影响方会同另一方出具，也可由独立第三方出具。事件后步骤可能因云中存储的数据种类以及其他因素而不同。

严重安全事件如造成客户数据丢失等情况可能导致终止合同。

数据本地化存储要求

提供商的标准条款可能明确保留提供商在其运营地或其分包商运营地的任何所在国存储客户数据的权利。这是最有可能采取的做法，即使没有明确规定的合同权利也是如此，因其暗含于云计算服务的安排中，即：作为一般规则，可以从不止一个地点提供云计算服务（例如，备份和防病毒保护可以是远程的，并可按照“跟着太阳走”的全球模式提供支持）。这种做法可能不符合适用于一方或双方的数据本地化存储要求。 (详细信息).

可在合同中包括确保遵守数据本地化存储要求的保障措施，例如，禁止将数据及其他内容移出规定地点，或要求事先取得另一方对此种转移的批准。举例来说，可以列入服务级别协议(SLA)的质量绩效参数，以确保唯一存储客户数据（包括其任何复件、元数据和备份）的数据中心实际位于合同中指明的法域并且由在这些法域建立的实体拥有和运营。还比如说，参数可以具体规定，永远不得将数据移出某国或某区域，但可在一特定第三国或其他地方复制，但永远不得在某国复制。