Umowa o dostęp do API

Umowa o dostęp do API w Polsce to dokument prawny regulujący warunki udostępniania interfejsu programistycznego aplikacji (Application Programming Interface) przez dostawcę API klientom-integratorom. Umowa o dostęp do API w Polsce jest umową nienazwaną opartą na zasadzie swobody umów (art. 353[1] Kodeksu cywilnego, ustawa z dnia 23 kwietnia 1964 r., Dz.U. 1964 nr 16 poz. 93 ze zm.), łączącą elementy umowy licencyjnej, umowy o świadczenie usług (art. 750 KC) i umowy SaaS. API to zestaw protokołów i narzędzi umożliwiający integrację systemu informatycznego dostawcy z systemem klienta bez dostępu do kodu źródłowego — klient korzysta z funkcjonalności dostawcy przez precyzyjnie zdefiniowane punkty dostępu (endpointy) i format wymiany danych (JSON, XML).

API jako element oprogramowania podlega ochronie prawa autorskiego — zgodnie z art. 74 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (pr. aut.) programy komputerowe chronione są jak utwory literackie, a majątkowe prawa autorskie do programu stworzonego przez pracownika w ramach stosunku pracy przysługują pracodawcy. Udostępnienie API klientowi bez pisemnej umowy licencyjnej rodzi ryzyko naruszenia tych praw, a klient korzystający z API bez ważnej licencji naraża się na odpowiedzialność cywilną i karną z tytułu naruszenia praw autorskich. Licencja na korzystanie z API powinna precyzyjnie określać pola eksploatacji zgodnie z art. 41 ust. 2 pr. aut. — umowa przenosi prawa lub udziela licencji tylko w zakresie wyraźnie wymienionym.

Kluczowym elementem umowy o dostęp do API są limity wywołań (rate limiting) — mechanizm ograniczający liczbę żądań, jakie klient może wysłać do API w jednostce czasu. Limity chronią infrastrukturę dostawcy przed przeciążeniem i stanowią podstawę modelu cenowego wielu dostawców API (model pay-per-use lub tier-based). Umowa powinna precyzyjnie opisywać limity, zasady pomiaru zużycia, sposób powiadamiania o zbliżającym się limicie i opłaty za przekroczenie. Brak takich postanowień może prowadzić do sporów o wysokość należnego wynagrodzenia rozstrzyganych przed Sądem Okręgowym w ramach postępowania w sprawach gospodarczych.

Nieodłącznym elementem umowy o dostęp do API jest klauzula o poziomie usług (SLA — Service Level Agreement), określająca gwarantowaną dostępność API, czas odpowiedzi i procedurę zgłaszania awarii. SLA stanowi dokumentację wymagań podmiotowych umowy — brak jego spełnienia daje klientowi podstawę do roszczeń z tytułu nienależytego wykonania umowy (art. 471 KC) lub do naliczenia kar umownych (art. 483 KC). Kara umowna za naruszenie SLA jest instrumentem wymuszającym na dostawcy należytą staranność wymaganą od przedsiębiorcy (art. 355 § 2 KC) bez konieczności udowadniania szkody przez klienta.

Gdy API przetwarza dane osobowe użytkowników — np. dane transakcyjne, dane identyfikacyjne — umowa o dostęp do API musi regulować kwestie RODO. Strony muszą ustalić, kto jest administratorem danych, a kto podmiotem przetwarzającym, i zawrzeć umowę powierzenia przetwarzania danych osobowych zgodnie z art. 28 rozporządzenia (UE) 2016/679 (RODO). Nadzór nad przestrzeganiem RODO sprawuje Prezes Urzędu Ochrony Danych Osobowych (PUODO). Naruszenie przepisów RODO grozi karą pieniężną do 20 mln euro lub 4% globalnego obrotu rocznego.

Ochrona tajemnicy przedsiębiorstwa jest kolejnym kluczowym elementem umowy. Dokumentacja API, klucze API i struktury danych stanowią tajemnicę przedsiębiorstwa chronioną na podstawie art. 11 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (u.z.n.k.). Klauzula poufności i kara umowna za jej naruszenie (art. 483 KC) są standardowymi elementami umów o dostęp do API w Polsce, zapewniającymi dostawcy ochronę przed nieautoryzowanym ujawnieniem i odsprzedażą dostępu do API.

Umowa o dostęp do API w Polsce jest potrzebna zawsze, gdy podmiot udostępnia swoje API osobom trzecim — zarówno odpłatnie, jak i nieodpłatnie — oraz gdy integruje zewnętrzne API w swoich produktach lub usługach.

Udostępnianie publicznego API dla deweloperów. Dostawca platformy technologicznej, systemu płatności, map lub danych finansowych, który udostępnia API zewnętrznym deweloperom, potrzebuje umowy regulującej zakres licencji, limity wywołań, SLA i zasady odpowiedzialności. Bez umowy dostawca naraża się na naruszenie praw autorskich przez klientów i nie może skutecznie dochodzić roszczeń.

Integracja systemów w projekcie B2B. Firmy integrujące zewnętrzne API — płatności online (PayU, Stripe), wysyłkę SMS, mapy, dane weryfikacyjne KRS — w swoich aplikacjach powinny posiadać pisemną umowę licencyjną z dostawcą API, potwierdzającą zakres dozwolonego korzystania i zasady odpowiedzialności za awarie.

Rozwój produktów opartych na danych z API. Startupy i firmy produktowe budujące aplikacje oparte na danych z zewnętrznych API (np. dane giełdowe, dane meteorologiczne, dane o cenach nieruchomości) potrzebują umowy o dostęp do API określającej: zakaz odsprzedaży danych, wymagania dotyczące licencjonowania danych, ograniczenia terytorialne i zasady cytowania źródła.

Wdrożenie API w modelu white-label. Dostawcy oferujący API w modelu OEM lub white-label (klient integruje API pod własną marką) potrzebują szczegółowej umowy określającej zakres dozwolonej modyfikacji interfejsu, wymagania dotyczące atrybutu źródła i zasady sublicencji.

Zabezpieczenie przed nadużyciami API. Dostawca chcący skutecznie dochodzić roszczeń za scraping, nadmierne obciążenie API lub nieautoryzowany dostęp potrzebuje umowy z wyraźnymi zakazami, karami umownymi (art. 483 KC) i prawem do natychmiastowego zawieszenia dostępu. Umowa o zachowaniu poufności i ochronie tajemnicy przedsiębiorstwa (art. 11 u.z.n.k.) wzmacnia ochronę dokumentacji API.

Spełnienie wymogów RODO. Gdy API wymienia dane osobowe użytkowników między systemami, umowa o dostęp do API musi zawierać klauzulę RODO lub odesłanie do odrębnej umowy powierzenia przetwarzania (art. 28 RODO), którą kontroluje Prezes Urzędu Ochrony Danych Osobowych (PUODO).

Umowa o dostęp do API w Polsce powinna zawierać poniższe klauzule, by skutecznie chronić obie strony i spełniać wymogi prawa autorskiego, RODO i Kodeksu cywilnego.

Oznaczenie stron. Pełne dane dostawcy API (firma, adres, NIP, REGON, KRS lub CEIDG) i klienta-integratora. Precyzyjne oznaczenie stron umożliwia dochodzenie roszczeń przed Sądem Okręgowym — Sądem Gospodarczym w trybie postępowania w sprawach gospodarczych (art. 458[1] KPC).

Opis API i zakres licencji. Szczegółowy opis API, dostępnych endpointów, obsługiwanych protokołów i formatów danych. Udzielenie niewyłącznej, niezbywalnej licencji z precyzyjnie określonymi polami eksploatacji (art. 41 ust. 2 pr. aut.) i dozwolonym przeznaczeniem. Zakaz dekompilacji, dezasemblacji i inżynierii wstecznej (art. 74 ust. 4 pr. aut.). Zakaz odsprzedaży dostępu do API.

Limity wywołań (rate limiting). Określenie limitów miesięcznych i minutowych, sposobu pomiaru zużycia, mechanizmu powiadamiania o zbliżaniu się do limitu i opłat za przekroczenie. Jasne limity chronią dostawcę przed przeciążeniem infrastruktury i stanowią podstawę modelu cenowego.

Wynagrodzenie i warunki płatności. Cena (netto + VAT 23%) lub opis planu darmowego, termin płatności i zasady wystawiania faktur VAT. Odsetki za opóźnienie zgodnie z ustawą z dnia 8 marca 2013 r. o przeciwdziałaniu nadmiernym opóźnieniom w transakcjach handlowych. forms-legal.com zaleca określenie 3-letniego terminu przedawnienia roszczeń pieniężnych z art. 118 KC.

Poziom usług (SLA). Gwarantowana dostępność API (%), czas odpowiedzi, procedura zgłaszania awarii i czas ich usunięcia. Kara umowna za naruszenie SLA (art. 483 KC) — np. proporcjonalne obniżenie wynagrodzenia lub stała kwota za każdą godzinę niedostępności powyżej progu.

Klucze API i bezpieczeństwo. Zasady wydawania, odnawiania i unieważniania kluczy API. Zakaz umieszczania kluczy po stronie klienta (front-end). Obowiązek niezwłocznego powiadomienia o podejrzeniu wycieku klucza. Prawo dostawcy do zawieszenia klucza przy naruszeniu zasad bezpieczeństwa.

Poufność i tajemnica przedsiębiorstwa. Klauzula poufności dotycząca dokumentacji API, kluczy API i danych technicznych jako tajemnicy przedsiębiorstwa (art. 11 u.z.n.k.). Kara umowna za naruszenie poufności (art. 483 KC).

Dane osobowe i RODO. Określenie ról administratora i podmiotu przetwarzającego. Odesłanie do umowy powierzenia przetwarzania danych (art. 28 RODO) lub zamieszczenie klauzuli powierzenia w umowie. Organ nadzoru — PUODO.

Rozwiązywanie sporów. Sąd Okręgowy — Sąd Gospodarczy lub klauzula arbitrażowa przy Sądzie Arbitrażowym Krajowej Izby Gospodarczej (KIG) zgodnie z art. 1161 KPC.

Umowę o dostęp do API w Polsce wypełnia się według poniższej procedury.

Krok 1 — strony umowy. Wpisz pełne dane dostawcy API i klienta-integratora. Dla podmiotów wpisanych do Krajowego Rejestru Sądowego (KRS) podaj numer KRS; dla jednoosobowej działalności — numer z CEIDG.

Krok 2 — opis API i licencja. Opisz API: endpointy, protokoły (REST, GraphQL, SOAP), formaty danych (JSON, XML). Określ zakres licencji niewyłącznej z wymienionymi polami eksploatacji (art. 41 ust. 2 pr. aut.) i zakazem dekompilacji (art. 74 pr. aut.).

Krok 3 — limity wywołań. Wpisz limity miesięczne i minutowe, zasady pomiaru i opłaty za przekroczenie. Zdecyduj, czy nadlimit blokuje dostęp, czy jest płatny na żądanie.

Krok 4 — wynagrodzenie. Wpisz wynagrodzenie netto + VAT 23% lub opis planu darmowego. Podaj termin płatności i zasady fakturowania. Uwzględnij odsetki za opóźnienie w transakcjach handlowych.

Krok 5 — SLA. Wpisz gwarantowaną dostępność API (np. 99,5% miesięcznie), czas odpowiedzi (percentyl 95.), czas usunięcia awarii krytycznej i niskiej, procedurę zgłaszania usterek. Opcjonalnie — kary umowne za naruszenie SLA (art. 483 KC).

Krok 6 — klucze API. Opisz zasady generowania, odnawiania i unieważniania kluczy. Wskaż obowiązek klienta co do bezpiecznego przechowywania klucza i zakaz umieszczania go po stronie front-endu.

Krok 7 — dane osobowe. Ustal, czy API przetwarza dane osobowe. Jeżeli tak — zawrzyj w umowie klauzulę powierzenia przetwarzania danych (art. 28 RODO) lub odesłanie do odrębnej umowy powierzenia. Wskaż PUODO jako organ nadzoru.

Krok 8 — poufność i kary umowne. Wpisz klauzulę poufności i karę umowną za jej naruszenie (art. 483 KC). Podaj datę zawarcia umowy i zbierz podpisy stron. Zmiana umowy wymaga formy pisemnej (art. 77 § 1 KC).

Umowa o dostęp do API w Polsce podlega przepisom Kodeksu cywilnego, prawa autorskiego, ustawy o zwalczaniu nieuczciwej konkurencji i RODO.

Kodeks cywilny — umowa nienazwana i wykonanie. Umowa o dostęp do API jest umową nienazwaną opartą na art. 353[1] KC (swoboda umów) z elementami zlecenia (art. 750 KC) i umowy o świadczenie usług. Dostawca świadczy usługi z należytą starannością profesjonalisty (art. 355 § 2 KC). Odpowiedzialność za nienależyte wykonanie — art. 471 KC. Kara umowna za zobowiązania niepieniężne — art. 483 KC. Odsetki za opóźnienie — art. 481 KC. Przedawnienie roszczeń B2B — 3 lata (art. 118 KC). Zmiany umowy w formie pisemnej (art. 77 § 1 KC).

Prawo autorskie. API jako oprogramowanie podlega ochronie art. 74 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych (pr. aut.). Licencja na korzystanie z API musi spełniać wymogi formalne — licencja wyłączna wymaga formy pisemnej pod rygorem nieważności (art. 67 ust. 5 pr. aut.), niewyłączna może być ustna, ale pisemna jest zalecana dla bezpieczeństwa prawnego. Pola eksploatacji muszą być wyraźnie wymienione (art. 41 ust. 2 pr. aut.). Zakaz dekompilacji wynika z art. 74 ust. 4 pr. aut., z wyjątkami ustawowymi dotyczącymi interoperacyjności.

Ustawa o zwalczaniu nieuczciwej konkurencji. Dokumentacja API, klucze i struktury danych chronione są jako tajemnica przedsiębiorstwa (art. 11 u.z.n.k. z dnia 16 kwietnia 1993 r.). Bezprawne ujawnienie lub wykorzystanie tajemnicy przedsiębiorstwa jest czynem nieuczciwej konkurencji rodzącym odpowiedzialność odszkodowawczą i karną.

RODO i u.o.d.o. Gdy API wymienia dane osobowe, strony muszą ustalić role administratora i podmiotu przetwarzającego. Umowa powierzenia przetwarzania z art. 28 RODO jest obowiązkowa, gdy klient przetwarza dane osobowe w imieniu dostawcy. Organ nadzoru — PUODO. Naruszenie RODO — kara do 20 mln euro lub 4% obrotu.

Ustawa o świadczeniu usług drogą elektroniczną. Udostępnianie API jako usługi elektronicznej podlega u.ś.u.d.e. — wymagane udostępnienie regulaminu i spełnienie obowiązków informacyjnych z art. 5 u.ś.u.d.e.

Przeciwdziałanie opóźnieniom w transakcjach handlowych. Do transakcji handlowych między przedsiębiorcami stosuje się ustawę z dnia 8 marca 2013 r. o przeciwdziałaniu nadmiernym opóźnieniom w transakcjach handlowych — odsetki ustawowe za opóźnienie w transakcjach handlowych i rekompensata 40/70/100 euro za koszty windykacji.

Umowa o dostęp do API w Polsce często zawiera błędy prowadzące do sporów sądowych między dostawcą a klientem.

Błąd 1 — nieprecyzyjny zakres licencji. Brak wyraźnego wymienienia pól eksploatacji lub dozwolonego przeznaczenia powoduje, że klient może korzystać z API w sposób nieplanowany przez dostawcę. Zalecenie: wymień pola eksploatacji zgodnie z art. 41 ust. 2 pr. aut. i wskaż konkretne aplikacje lub systemy, w których API może być używane.

Błąd 2 — brak SLA z karami umownymi. Ogólne zapewnienia o „dostępności” bez konkretnych liczb i konsekwencji ich niedotrzymania nie chronią klienta. Zalecenie: podaj procentową dostępność, czas usunięcia awarii i kary umowne za naruszenie SLA (art. 483 KC), aby dostawca miał realną motywację do utrzymania usługi.

Błąd 3 — brak klauzuli RODO / umowy powierzenia. Gdy API wymienia dane osobowe, brak umowy powierzenia (art. 28 RODO) stanowi naruszenie RODO i może skutkować sankcją PUODO. Zalecenie: ustal role administratora i podmiotu przetwarzającego i zawrzyj umowę powierzenia przetwarzania danych.

Błąd 4 — nieaktualne klucze API. Brak procedury rotacji kluczy API w przypadku wycieku naraża obie strony na nieuprawniony dostęp do danych. Zalecenie: opisz procedurę unieważnienia klucza i wymagaj niezwłocznego powiadomienia o wycieku.

Błąd 5 — brak zakazu dekompilacji. Klient, który nie podpisał umowy zakazującej dekompilacji API, może próbować odwracać inżynierię oprogramowania. Zalecenie: zamieść wyraźny zakaz dekompilacji zgodnie z art. 74 ust. 4 pr. aut. z wyjątkami ustawowymi.

Błąd 6 — brak ograniczenia odpowiedzialności. Dostawca API odpowiada za nienależyte wykonanie umowy (art. 471 KC), a szkody wynikające z awarii API mogą być nieproporcjonalnie wysokie wobec pobranego wynagrodzenia. Zalecenie: ogranicz odpowiedzialność dostawcy do równowartości wynagrodzenia za ostatnie 3 miesiące, co jest standardową praktyką w umowach API B2B.