اتفاقية التعهيد في تكنولوجيا المعلومات: أمن المعلومات، وملكية الشيفرة، والإخلال، والإنهاء

صفحة الخدمة: محامٍ للعقود التجارية: الصياغة والفحص والتنفيذ.

التعهيد الخارجي لتكنولوجيا المعلومات هو نقل مهام تكنولوجية إلى مزوِّد خارجي: تطوير البرمجيات، أو تشغيل الأنظمة، أو الاستضافة، أو الأمن، أو الدعم. ويشرح هذا الدليل أي أحكام قانونية تسري على مثل هذه الاتفاقية، وما يُستحسن تحديده فيها كي لا تضطروا إلى إكمال الناقص في المحكمة. وعندما تكون الاتفاقية أساسًا خدمة سحابية بدفع دوري، انظروا أيضًا اتفاقيات SaaS: ما الذي يُفحص قبل التوقيع.

هل يوجد قانون خاص بعقود التعهيد الخارجي لتكنولوجيا المعلومات؟

لا. يجوز أن يكون مضمون العقد أيّ ما اتفق عليه الطرفان (المادة 24 من قانون العقود (جزء عام)، 1973 (חוק החוזים (חלק כללי), התשל״ג-1973))، ويجوز إبرامه شفهيًا أو كتابةً أو بأي شكل آخر، إلا إذا كان شكل معيّن شرطًا لسريانه وفق القانون أو وفق اتفاق بين الطرفين (المادة 23). والأسئلة العملية، مثل مستوى الخدمة والجداول الزمنية والسعر وشروط الخروج، تُحدَّد في العقد. ويتدخل القانون في عدة نقاط:

• حسن النية: في المفاوضات نحو إبرام العقد يجب التصرّف بالطريقة المتّبعة وبحسن نية (المادة 12(أ))، وكذلك في تنفيذ العقد وفي استعمال حق ناشئ عنه (المادة 39)
• عيب في العمل: العقد للقيام بعمل أو لتقديم خدمة مقابل أجر، عندما لا يكون المقاول عاملًا لدى الجهة المتعاقِدة، هو عقد مقاولة (المادة 1 من قانون عقد المقاولة، 1974 (חוק חוזה קבלנות, התשל״ד-1974))، والاتفاقية التي يطوّر فيها مزوِّد خارجي أنظمة أو يشغّلها مقابل أجر تستوفي هذا التعريف. وإذا لم يتضمن العقد حكمًا آخر، تُبلغ الجهة المتعاقِدة عن العيب خلال مدة معقولة وتمنح فرصة ملائمة لإصلاحه؛ وإذا لم يُصلَح خلال مدة معقولة، يحق لها أن تصلحه وتطالب بالنفقات المعقولة، أو أن تخصم من الأجر المبلغ الذي نقصت به قيمة الخدمة (المواد 3 و4 و8(أ))
• المعلومات الشخصية: عندما يصل المزوِّد إلى قاعدة بيانات، يسري قانون حماية الخصوصية، 1981 (חוק הגנת הפרטיות, התשמ״א-1981) وأنظمة أمن المعلومات
• الملكية الفكرية: ملكية الشيفرة التي يطوّرها المزوِّد تُحدَّد وفق قانون حق المؤلف
• الإخلال: سبل الانتصاف محدَّدة في قانون العقود (سبل الانتصاف بسبب الإخلال بالعقد)، 1970 (חוק החוזים (תרופות בשל הפרת חוזה), התשל״א-1970)

المزوِّد يصل إلى معلومات شخصية: ما الذي تُلزم به أنظمة أمن المعلومات؟

يعرّف قانون حماية الخصوصية، 1981 «الحائز» لقاعدة البيانات بأنه جهة خارجية عن المتحكّم في قاعدة البيانات تعالج المعلومات لصالحه، و«المعالجة» تشمل، من بين أمور أخرى، التخزين والاطّلاع وإتاحة الوصول (المادة 3). والمزوِّد الذي يخزّن لصالح الزبون معلومات شخصية عن زبائنه أو عامليه، أو يصل إليها لصيانة نظام، قد يستوفي هذا التعريف. والمتحكّم في قاعدة البيانات والحائز مسؤول كل منهما عن أمن المعلومات التي في قاعدة البيانات (المادة 17(أ)).

تتناول المادة 15 من أنظمة حماية الخصوصية (أمن المعلومات)، 2017، التعهيد الخارجي. فصاحب قاعدة البيانات الذي يتعاقد مع جهة خارجية للحصول على خدمة تنطوي على إتاحة الوصول إلى قاعدة البيانات:

1. يفحص، قبل التعاقد، مخاطر أمن المعلومات المرتبطة به (المادة 15(أ)(1))؛
2. يحدّد صراحةً في الاتفاقية، مع مراعاة المخاطر: المعلومات التي يحق للمزوِّد معالجتها وأغراض الاستخدام المسموحة؛ وأنظمة قاعدة البيانات التي يحق له الوصول إليها؛ ونوع المعالجة المسموح؛ ومدة التعاقد، وطريقة إعادة المعلومات عند انتهائه، وإتلافها لدى المزوِّد والإبلاغ عن ذلك؛ وطريقة تطبيق واجبات أمن المعلومات؛ وواجب المزوِّد بأن يُوقّع أصحاب الصلاحيات لديه على تعهّد بالسرية وباستخدام المعلومات وفق الاتفاقية فقط؛ وعندما يحق للمزوِّد تقديم الخدمة بواسطة جهة إضافية، واجبه بأن يضمّن الاتفاقية معها جميع هذه المسائل؛ وواجب المزوِّد بأن يقدّم تقريرًا مرة في السنة على الأقل عن تنفيذ واجباته، وأن يُبلغ عن حادث خرق أمني (المادة 15(أ)(2)(أ)–(ح))؛
3. يفصّل أيضًا في إجراء الأمن الخاص بقاعدة البيانات المسائل الواردة في الفقرات الفرعية (أ) حتى (هـ)، ويُحيل فيه صراحةً إلى الاتفاقية وإلى إجراء الأمن الخاص بالمزوِّد (المادة 15(أ)(3))؛
4. يتخذ وسائل رقابة وإشراف على التزام المزوِّد بالاتفاقية وبالأنظمة، بالقدر المطلوب مع مراعاة المخاطر (المادة 15(أ)(4)).

ثلاث ملاحظات. أولًا، لا تسري المادة على تعاقد صاحب قاعدة البيانات مع فرد (المادة 15(ج))، وليست من بين المواد التي تسري على «قاعدة بيانات يديرها فرد» كما عُرّفت في المادة 1 (المادة 21(4)). ثانيًا، يجوز للمنظمة التي لديها عدة قواعد بيانات بمستوى الأمن نفسه أن تفي بواجب الاتفاقية في اتفاقية واحدة (المادة 15(ب)). ثالثًا، سُنّت الأنظمة سنة 2017 وتستعمل مصطلح «صاحب قاعدة البيانات»، أما القانون بصيغته اليوم فيتحدث عن «المتحكّم في قاعدة البيانات» (المادة 3).

وهناك واجب آخر يسري على أفراد المزوِّد أنفسهم: من وصلت إليه معلومات شخصية بحكم وظيفته كعامل أو كمدير أو كحائز لقاعدة بيانات لا يجوز له كشفها، إلا لغرض أداء عمله، أو لتنفيذ القانون، أو بموجب أمر محكمة يتعلق بإجراء قضائي (المادة 16). والمزوِّد الذي يعمل خارج إسرائيل يثير أيضًا مسألة نقل المعلومات إلى خارج حدود الدولة: انظروا نقل المعلومات إلى الخارج: الواجبات والقيود. وعن الواجبات بعد التسرّب انظروا تسرّبت معلومات الزبائن من الشركة: ما الذي يُلزم به القانون، وما المخاطرة الفعلية.

من مالك الشيفرة التي طوّرها المزوِّد لكم؟

برنامج الحاسوب «مصنَّف أدبي» لغرض قانون حق المؤلف، 2007 (المادة 1). وثلاث قواعد تحدّد من المالك الأول:

• مؤلف المصنَّف هو المالك الأول لحق المؤلف فيه (المادة 33(1))؛
• المشغِّل هو المالك الأول للمصنَّف الذي أنتجه عامله لغرض عمله وفي أثنائه، إلا إذا اتُّفق على غير ذلك (المادة 34)؛
• في المصنَّف الذي أُنتج بتكليف، يكون المالك الأول هو المؤلف، إلا إذا اتُّفق على غير ذلك بين المكلِّف والمؤلف، صراحةً أو ضمنًا (المادة 35(أ)).

المعنى: قانون حق المؤلف لا ينقل إلى المكلِّف ملكية الشيفرة لمجرد أنه دفع مقابل التطوير. ومن يريد الملكية عليه أن يحدّدها. فحق المؤلف قابل للنقل بعقد، ويحق لصاحب الحق أن يمنح بشأنه ترخيصًا حصريًا أو ترخيصًا غير حصري (المادة 37(أ))؛ ويمكن نقل الحق أو منح ترخيص بشأنه كله أو بعضه، وتقييدهما بمكان أو بمدة أو بفعل معيّن (المادة 37(ب))؛ والعقد لنقل حق المؤلف أو لمنح ترخيص حصري بشأنه يستلزم مستندًا مكتوبًا (المادة 37(ج)). وليس لمؤلف برنامج الحاسوب حق أدبي وفق القانون (المادة 45(أ)).

وفي الاتفاقية نفسها يُستحسن التمييز بين الشيفرة التي يطوّرها المزوِّد خصيصًا لكم والمكوّنات التي كانت لديه من قبل أو التي يستعملها لدى زبائن آخرين، وأن تحدّدوا بشأن كل منها: الملكية أو الترخيص، وتسليم الشيفرة المصدرية والتوثيق، واستعمال مكوّنات المصدر المفتوح. انظروا أيضًا المصدر المفتوح: الجوانب القانونية ومتطلبات الامتثال للقانون.

المزوِّد لا يفي بالتزاماته: ما سبل الانتصاف في القانون؟

عندما يُخَلّ بالعقد، يحق للمتضرر أن يطالب بتنفيذه العيني أو أن يفسخه، ويحق له الحصول على تعويضات إضافةً إلى أحدهما أو بدلًا منهما (المادة 2 من قانون العقود (سبل الانتصاف)). وبعض القواعد مهمة بشكل خاص في اتفاقيات تكنولوجيا المعلومات:

• التنفيذ العيني: يحق للمتضرر التنفيذ العيني للعقد، إلا إذا كان، من بين أمور أخرى، إكراهًا على أداء عمل شخصي أو خدمة شخصية أو على قبولهما، أو كان تنفيذ الأمر يتطلب قدرًا غير معقول من الإشراف، أو كان التنفيذ العيني غير عادل في ظروف الحالة (المادة 3)
• الفسخ: في الإخلال الجوهري يحق للمتضرر فسخ العقد (المادة 7(أ)). و«الإخلال الجوهري» هو إخلال ما كان الشخص المعقول ليبرم العقد لو توقّعه هو ونتائجه مسبقًا، أو إخلال اتُّفق في العقد على أن يُعتبر جوهريًا؛ أما الشرط الشامل الذي يجعل الإخلالات إخلالات جوهرية دون تمييز بينها فلا سريان له، إلا إذا كان معقولًا عند إبرام العقد (المادة 6). وفي الإخلال غير الجوهري، يكون الفسخ بعد منح المُخِلّ مهلة للتنفيذ وعدم تنفيذ العقد خلال مدة معقولة بعدها، إلا إذا كان الفسخ غير عادل في ظروف الحالة (المادة 7(ب)). وعندما يكون العقد قابلًا للتجزئة إلى أجزاء ويُخَلّ بأحد أجزائه، يُفسخ الجزء الذي أُخلّ به فقط، إلا إذا انطوى الإخلال أيضًا على إخلال جوهري بالعقد كله (المادة 7(ج)). ويتم الفسخ بإشعار إلى المُخِلّ خلال مدة معقولة (المادة 8)
• التعويضات: عن الضرر الذي توقّعه المُخِلّ أو كان عليه أن يتوقّعه، عند إبرام العقد، كنتيجة محتملة للإخلال (المادة 10). ولا تعويض عن ضرر كان بإمكان المتضرر منعه أو تقليله بوسائل معقولة (المادة 14(أ))
• التعويض المتّفق عليه: التعويضات التي اتفق عليها الطرفان مسبقًا تُدفع دون إثبات ضرر، لكن يجوز للمحكمة تخفيضها إذا حُدّدت دون أي تناسب معقول مع الضرر الذي كان يمكن توقّعه مسبقًا (المادة 15(أ)). والاتفاق عليها لا ينتقص، بحدّ ذاته، من الحق في المطالبة بدلًا منها بتعويضات وفق المواد 10 حتى 14 (المادة 15(ب))

أرصدة الخدمة المستحقة وفق SLA، مثلًا عن انخفاض نسبة التوفّر، هي ترتيب تعاقدي. ولذلك يُستحسن أن تحدّدوا صراحةً ما إذا كانت هي سبيل الانتصاف الوحيد لعدم الالتزام بمستوى الخدمة أم سبيلًا إضافيًا، وكيف تتّسق مع تحديد المسؤولية. انظروا بنود التعويض المتّفق عليه: السريان والتنفيذ وتحديد المسؤولية في العقد: ما الذي ينجح وما لا — وكيف تتجنبون الخطأ.

الاتفاقية تنتهي: ماذا يحدث للمعلومات وللشيفرة؟

عندما يصل المزوِّد إلى قاعدة بيانات تتضمن معلومات شخصية، يجب أن تحدّد الاتفاقية مدة التعاقد، وطريقة إعادة المعلومات إلى صاحب قاعدة البيانات عند انتهائه، وإتلافها من حيازة المزوِّد، والإبلاغ عن ذلك (المادة 15(أ)(2)(د)). ولا تحدّد المادة صيغة أو جداول زمنية أو واجبًا بتسليم الشيفرة المصدرية، ولذلك تُحدَّد هذه في العقد: ما الذي يُسلَّم عند الإنهاء (البيانات، والشيفرة المصدرية، والتوثيق، والصلاحيات)، وبأي صيغة وخلال كم من الوقت، وما واجب التعاون مع مزوِّد بديل.

إذا فُسخ العقد بسبب الإخلال، يردّ المُخِلّ إلى المتضرر ما تلقّاه بموجب العقد، ويردّ المتضرر إلى المُخِلّ ما تلقّاه، أو يدفع كل منهما القيمة عندما يكون الرّدّ مستحيلًا أو غير معقول، أو عندما يختار المتضرر ذلك (المادة 9(أ) من قانون العقود (سبل الانتصاف)). أما الإنهاء بإشعار، دون إخلال، فيتم وفق ما حُدّد في العقد، وبالطريقة المتّبعة وبحسن نية (المادة 39 من قانون العقود (جزء عام)). وعن فسخ العقد عمومًا انظروا فسخ العقد: متى يُسمح به، وكيف يتم بالشكل الصحيح.

ما الذي يحدّده القانون، مسألةً بعد مسألة؟

ما الذي يُفحص قبل التوقيع؟

في العقد الذي أُبرم أو جُدّد بعد بدء سريان التعديل رقم 3 لقانون العقود (جزء عام)، الذي نُشر في 7.1.2026، تسري صيغة جديدة للمادة 25(أ) (المادة 2 من قانون التعديل). فيحق للطرفين الاتفاق على طريقة تفسير العقد وعلى البيّنات التي تُقبل لتفسيره (المادة 25(أ)(1))؛ وعقد الأعمال الذي لم تُحدَّد فيه أحكام بشأن طريقة التفسير يُفسَّر وفق لفظه فقط، إلا إذا نتجت عن اللفظ وحده نتيجة لا يقبلها العقل أو تناقض بين أحكامه (المادة 25(أ)(2))؛ والعقد الموحّد، حتى لو اتُّفق فيه على غير ذلك، يُفسَّر وفق نية الطرفين (المادة 25(أ)(4))؛ والأطراف الذين لم يمثّلهم محامٍ في إعداد العقد يُعتبرون كمن لم يتفقوا على طريقة التفسير (المادة 25(أ)(5)(أ)). والعقد القابل لتفسيرات مختلفة، عندما كانت لأحد الطرفين أفضلية في صياغة شروطه، يُفضَّل تفسيره ضده على تفسيره لصالحه (المادة 25(ب1))، ولا سريان لاتفاق يخالف هذه القاعدة (المادة 25(أ)(5)(ب)). انظروا تفسير العقود: القواعد التي تطبّقها المحكمة.

قائمة فحص:

• تعريف الخدمة، ومؤشرات SLA، وطريقة القياس والإبلاغ، وما الذي يحدث عندما لا يتحقق الهدف
• عندما يوجد وصول إلى معلومات شخصية: جميع المسائل الواردة في المادة 15(أ)(2)، وحق رقابة يتيح تنفيذ المادة 15(أ)(4)
• الملكية والترخيص في الشيفرة، في مستند مكتوب (المادة 37(ج) من قانون حق المؤلف)، وتسليم الشيفرة المصدرية والتوثيق
• أي الإخلالات تُعتبر جوهرية، في قائمة محدَّدة لا في شرط شامل (المادة 6 من قانون العقود (سبل الانتصاف))
• تعويض متّفق عليه بتناسب معقول مع الضرر المتوقّع (المادة 15(أ))، وعلاقته بأرصدة الخدمة وفق SLA وبتحديد المسؤولية
• المقاولون الفرعيون: هل يُسمح بهم وبأي شروط، وفي المعلومات الشخصية أيضًا المادة 15(أ)(2)(ز)
• الإنهاء والخروج: البلاغ المسبق، وفترة الانتقال، وإعادة البيانات، والإتلاف، والإبلاغ
• مزوِّد في الخارج: القانون الواجب التطبيق ومكان الاختصاص القضائي أو التحكيم. انظروا العقود الدولية: القانون الواجب التطبيق، والاختصاص القضائي، وCISG، وما يجب أن يُكتب والتحكيم التجاري: الإجراء والمزايا والعيوب

عن فحص الاتفاقيات مع المزوِّدين وصياغتها انظروا صفحة العقود التجارية.

هل تريدون فحص حالتكم؟ رتّبوا مكالمة أولى لفحص حالتكم.

أسئلة شائعة

المزوِّد لدينا يصل إلى قاعدة بيانات الزبائن. ما الذي يجب أن يُكتب في الاتفاقية؟

عندما تسري المادة 15 من أنظمة حماية الخصوصية (أمن المعلومات)، تتضمن الاتفاقية، من بين أمور أخرى (المادة 15(أ)(2)): المعلومات التي يحق للمزوِّد معالجتها وأغراض الاستخدام؛ والأنظمة التي يحق له الوصول إليها؛ ونوع المعالجة؛ ومدة التعاقد، وإعادة المعلومات وإتلافها عند الإنهاء؛ وطريقة تطبيق واجبات الأمن؛ وتوقيع أصحاب الصلاحيات لديه على السرية؛ وشروط الجهة الإضافية؛ والتقرير السنوي والإبلاغ عن حادث خرق أمني. وقبل التعاقد تُفحص المخاطر (المادة 15(أ)(1)). ولا تسري المادة على التعاقد مع فرد (المادة 15(ج)).

دفعنا مقابل تطوير البرمجية. هل هي ملكنا؟

ليس بالضرورة. ففي المصنَّف الذي أُنتج بتكليف، يكون المالك الأول لحق المؤلف هو المؤلف، إلا إذا اتُّفق على غير ذلك بين المكلِّف والمؤلف، صراحةً أو ضمنًا (المادة 35(أ) من قانون حق المؤلف)، وبرنامج الحاسوب مصنَّف أدبي (المادة 1). والعقد لنقل حق المؤلف أو لمنح ترخيص حصري بشأنه يستلزم مستندًا مكتوبًا (المادة 37(ج)).

المزوِّد لا يفي باتفاقية مستوى الخدمة (SLA). هل يمكن فسخ العقد؟

يتوقف ذلك على ما إذا كان الإخلال جوهريًا. ففي الإخلال الجوهري يحق للمتضرر الفسخ (المادة 7(أ) من قانون العقود (سبل الانتصاف))، وفي الإخلال غير الجوهري فقط بعد مهلة للتنفيذ لم يُنفَّذ العقد خلال مدة معقولة بعدها، إلا إذا كان الفسخ غير عادل (المادة 7(ب)). والإخلال الجوهري هو، من بين أمور أخرى، إخلال اتُّفق في العقد على أن يُعتبر جوهريًا (المادة 6). ويتم الفسخ بإشعار إلى المُخِلّ خلال مدة معقولة (المادة 8).

هل بند التعويض المتفق عليه عن التأخير أو التعطّل ساري المفعول؟

التعويضات المتّفق عليها تُدفع دون إثبات ضرر، لكن يجوز للمحكمة تخفيضها إذا حُدّدت دون أي تناسب معقول مع الضرر الذي كان يمكن توقّعه مسبقًا عند إبرام العقد كنتيجة محتملة للإخلال (المادة 15(أ) من قانون العقود (سبل الانتصاف)). والاتفاق عليها لا ينتقص، بحدّ ذاته، من الحق في المطالبة بدلًا منها بتعويضات وفق الضرر (المادة 15(ب)).

المزوِّد يريد الاستعانة بمقاول فرعي. ماذا عن المعلومات الشخصية؟

إذا سمح صاحب قاعدة البيانات للمزوِّد بتقديم الخدمة بواسطة جهة إضافية، يجب على المزوِّد أن يضمّن الاتفاقية مع الجهة الإضافية جميع المسائل التي تفصّلها المادة 15 (المادة 15(أ)(2)(ز) من أنظمة حماية الخصوصية (أمن المعلومات)). وفي الاتفاقية مع المزوِّد يُستحسن أن تحدّدوا ما إذا كان مسموحًا له الاستعانة بمقاولين فرعيين، وبأي شروط.