Umowa hostingowa

Umowa hostingowa w Polsce to kontrakt regulujący świadczenie przez dostawcę usług hostingowych na rzecz klienta — udostępnienie przestrzeni serwerowej, mocy obliczeniowej i infrastruktury sieciowej niezbędnej do przechowywania danych, uruchomienia strony internetowej, aplikacji lub poczty e-mail. Usługa hostingowa jest usługą infrastrukturalną stanowiącą podstawę funkcjonowania większości rozwiązań cyfrowych. Umowa hostingowa reguluje dostęp do tych zasobów w zamian za cykliczną opłatę abonamentową.

Umowa hostingowa jest umową o świadczenie usług w rozumieniu art. 750 Kodeksu cywilnego (ustawa z dnia 23 kwietnia 1964 r.), do której stosuje się odpowiednio przepisy o zleceniu (art. 734 KC). Dostawca jest zobowiązany do starannego działania (art. 355 § 2 KC — należyta staranność profesjonalisty). Usługa hostingowa jest jednocześnie usługą świadczoną drogą elektroniczną w rozumieniu ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, co nakłada na dostawcę obowiązek udostępnienia regulaminu i poinformowania klientów o warunkach świadczenia usług.

Rynek hostingowy oferuje różne modele usług: hosting współdzielony (shared hosting) — wiele stron na jednym serwerze, tanie i proste; serwery wirtualne (VPS — Virtual Private Server) — dedykowane zasoby w wirtualnym środowisku, większa kontrola i wydajność; serwery dedykowane — wyłączna fizyczna maszyna dla klienta; hosting w chmurze (cloud hosting) — zasoby przydzielane elastycznie z puli obliczeniowej. Wybór modelu zależy od wymagań technicznych, budżetu i skalowalności strony lub aplikacji.

Ochrona danych osobowych jest jednym z kluczowych aspektów umowy hostingowej, ponieważ dostawca ma dostęp do serwera, na którym klient przechowuje dane swoich klientów, pracowników i kontrahentów. Dostawca hostingu działający jako podmiot przetwarzający (procesor) w rozumieniu art. 4 pkt 8 rozporządzenia (UE) 2016/679 (RODO) musi zawrzeć z klientem (administratorem danych) pisemną umowę powierzenia przetwarzania danych (DPA) spełniającą wymogi art. 28 ust. 3 RODO, precyzującą środki bezpieczeństwa (art. 32 RODO), lokalizację serwerów (EOG) i warunki usunięcia danych po zakończeniu umowy. Nadzór nad ochroną danych sprawuje Prezes Urzędu Ochrony Danych Osobowych (PUODO).

Dostawca hostingu ma szczególne obowiązki wynikające z rozporządzenia (UE) 2022/2065 o usługach cyfrowych (Digital Services Act, DSA) dotyczące zarządzania treściami przechowywanymi na serwerach klientów. Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną implementuje unijne zasady wyłączenia odpowiedzialności dostawcy za treści klientów (hosting) pod warunkiem braku wiedzy o bezprawnym charakterze treści i podjęcia działań na żądanie organu (notice and takedown). Dostawca nie odpowiada za treści klientów, jeżeli niezwłocznie reaguje na zgłoszenia naruszenia prawa.

Gwarantowana dostępność usługi (SLA) jest jednym z najważniejszych parametrów umowy hostingowej. Dostawcy zazwyczaj gwarantują 99%, 99,5% lub 99,9% dostępności miesięcznie. Różnica między 99% a 99,9% to różnica między 7,2 godzinami a 43 minutami dopuszczalnego przestoju miesięcznie. Dla sklepów e-commerce i aplikacji krytycznych każda minuta niedostępności oznacza realne straty finansowe, dlatego SLA powinno być negocjowane z dostawcą i zabezpieczone klauzulą o proporcjonalnej obniżce opłaty przy jego niedotrzymaniu.

Umowa hostingowa w Polsce jest potrzebna w każdym przypadku, gdy przedsiębiorca korzysta z zewnętrznych usług hostingowych lub je świadczy.

Uruchomienie strony internetowej lub aplikacji. Każdy właściciel strony WWW, sklepu e-commerce lub aplikacji webowej korzystający z zewnętrznego serwera powinien mieć formalną umowę hostingową precyzującą parametry serwera, SLA i warunki zakończenia współpracy.

Kompleksowy zakup hostingu z domeną. Przy zakupie pakietu hosting + domena + poczta e-mail umowa hostingowa reguluje wszystkie te usługi łącznie, precyzując terminy wygaśnięcia, warunki odnawiania i transferu domeny do innego operatora.

Wymóg RODO dla przechowywanych danych. Każdy klient hostingu przechowujący na serwerze dane osobowe (dane klientów sklepu, użytkowników formularzy) musi mieć zawartą z dostawcą umowę powierzenia przetwarzania danych (art. 28 RODO). Brak umowy DPA naraża na karę Prezesa PUODO.

Negocjacje parametrów SLA. Firmy, dla których dostępność serwera jest krytyczna (sklepy, platformy SaaS, aplikacje medyczne), negocjują umowy hostingowe z precyzyjnymi SLA i klauzulami odszkodowawczymi za niedotrzymanie dostępności, czego nie zapewniają standardowe regulaminy dostawców hostingu.

Zmiana dostawcy hostingu. Przy migracji do nowego dostawcy hostingu nowa umowa hostingowa precyzuje termin migracji, obowiązki dostawcy w zakresie przeniesienia danych i zakończenia starej usługi, a stara umowa reguluje warunki wypowiedzenia i dostęp do kopii zapasowych.

Hosting dla instytucji publicznych lub regulowanych. Instytucje publiczne, firmy medyczne lub prawnicze przechowujące wrażliwe dane muszą posiadać umowy hostingowe z precyzyjnymi postanowieniami o bezpieczeństwie danych, lokalizacji serwerów (polska jurysdykcja lub EOG) i audytach, aby spełnić wymogi compliance.

Umowa hostingowa w Polsce powinna zawierać następujące elementy, aby prawidłowo regulować stosunki dostawcy i klienta.

Strony umowy i dane rejestrowe. Pełne dane dostawcy hostingu — firma, adres, NIP, REGON, KRS — i klienta. Dane niezbędne do fakturowania i identyfikacji stron w sporach.

Rodzaj i parametry usługi hostingowej. Precyzyjny opis świadczonej usługi — shared hosting, VPS, serwer dedykowany lub cloud hosting — oraz jej parametry techniczne: przestrzeń dyskowa (GB/TB, typ dysku HDD/SSD/NVMe), przydział RAM, liczba vCPU, miesięczny transfer danych, liczba obsługiwanych domen i baz danych, wersje PHP i MySQL, mechanizmy kopii zapasowych (częstotliwość, retencja). Brak precyzji parametrów prowadzi do sporów o jakość usługi.

SLA — gwarantowana dostępność. Procentowy poziom dostępności serwera w skali miesięcznej (np. 99% lub 99,9%), precyzyjna definicja przestoju, harmonogram planowych okien konserwacyjnych i czas ich trwania, skutki niedotrzymania SLA — proporcjonalna obniżka opłaty lub kredyt usługowy. Dla sklepów e-commerce SLA nie powinno być niższe niż 99,5%.

Certyfikat SSL i domeny. Zakres obsługiwanych domen i subdomen, czy certyfikat SSL (Let's Encrypt lub komercyjny) jest wliczony w abonament, zasady odnawiania certyfikatu i procedura transferu domeny do innego rejestratora.

Zasady korzystania i zakazane treści. Lista treści zabronionych na serwerze (spam, materiały nielegalne, naruszenia praw autorskich z ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, oprogramowanie złośliwe, treści phishingowe). Procedura notice and takedown wynikająca z ustawy o świadczeniu usług drogą elektroniczną i rozporządzenia (UE) 2022/2065 (DSA).

Opłata abonamentowa i fakturowanie. Cena netto + VAT 23%, cykl rozliczeniowy (miesięczny, roczny), termin płatności i skutki opóźnienia — odsetki z ustawy o nadmiernych opóźnieniach i zawieszenie usługi. forms-legal.com rekomenduje precyzyjne opisanie warunków zwrotu przy przedterminowym rozwiązaniu umowy rocznej.

Ochrona danych osobowych. Dostawca hostingu jako procesor (art. 28 RODO) musi zawrzeć z klientem (administratorem) umowę powierzenia przetwarzania danych. Lokalizacja serwerów (EOG), stosowane środki bezpieczeństwa (art. 32 RODO), obowiązek informowania o naruszeniach danych. Nadzór Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Czas trwania i zakończenie umowy. Czas obowiązywania umowy, warunki automatycznego odnawiania, termin i sposób wypowiedzenia, prawa klienta do eksportu danych po zakończeniu i termin ich usunięcia przez dostawcę.

Umowa hostingowa w Polsce wypełniana jest według kolejnych kroków zapewniających precyzyjne uregulowanie stosunków dostawca-klient.

Krok 1 — wpisz dane stron. Podaj pełne dane rejestrowe dostawcy hostingu — firmę, adres, NIP, REGON, numer KRS — i klienta. NIP niezbędny do wystawiania faktur VAT.

Krok 2 — wybierz rodzaj hostingu. Zaznacz rodzaj usługi — shared hosting, VPS, serwer dedykowany lub cloud hosting. To definiuje podstawowy charakter usługi i jej parametry.

Krok 3 — wpisz parametry serwera. Opisz przestrzeń dyskową, RAM, vCPU, transfer miesięczny, obsługiwane wersje PHP i MySQL, mechanizm kopii zapasowych. Im precyzyjniejszy opis, tym mniej miejsca na spory.

Krok 4 — wpisz SLA. Podaj gwarantowany procent dostępności (np. 99% lub 99,9%) i zdefiniuj, co uznaje się za przestój. Opisz planowe okna konserwacyjne i skutki niedotrzymania SLA dla klienta.

Krok 5 — wpisz domeny i SSL. Opisz, które domeny są obsługiwane i czy certyfikat SSL jest wliczony w abonament. Wskaż warunki transferu domeny.

Krok 6 — opisz zakazane treści. Wymień kategorie treści zabronionych na serwerze i procedurę ich usuwania na żądanie (notice and takedown). Powołaj się na ustawę o świadczeniu usług drogą elektroniczną.

Krok 7 — wpisz opłatę i warunki płatności. Podaj cenę netto + VAT 23%, cykl rozliczeniowy i termin płatności. Opisz skutki opóźnienia i warunki zawieszenia usługi.

Krok 8 — ureguluj RODO. Opisz, że dostawca jest procesorem danych klientów abonenta i zadbaj o umowę DPA (art. 28 RODO). Wskaż lokalizację serwerów i środki bezpieczeństwa.

Krok 9 — wpisz czas trwania i zakończenie. Opisz warunki odnawiania, wypowiedzenia i eksportu danych po zakończeniu umowy.

Umowa hostingowa w Polsce podlega przepisom Kodeksu cywilnego, ustawy o świadczeniu usług drogą elektroniczną, RODO, DSA i przepisów podatkowych.

Umowa o świadczenie usług. Umowa hostingowa jest umową o świadczenie usług w rozumieniu art. 750 KC (odpowiednie stosowanie przepisów o zleceniu — art. 734 KC). Dostawca jest zobowiązany do starannego działania (art. 355 § 2 KC). Kary umowne za niedotrzymanie SLA można zastrzec na podstawie art. 483 KC.

Ustawa o świadczeniu usług drogą elektroniczną. Ustawa z dnia 18 lipca 2002 r. implementuje unijne zasady wyłączenia odpowiedzialności dostawcy za treści klientów (art. 14 ustawy — hosting): dostawca nie odpowiada za przechowywane dane, jeżeli nie ma wiedzy o bezprawnym charakterze tych danych i niezwłocznie reaguje na wiarygodne zawiadomienie (notice and takedown).

Digital Services Act (DSA). Rozporządzenie (UE) 2022/2065 o usługach cyfrowych nakłada na dostawców usług hostingowych obowiązki w zakresie moderacji treści, w tym wdrożenia mechanizmu zgłaszania treści bezprawnych, przejrzystości decyzji o zawieszeniu i rocznych sprawozdań dla dużych dostawców. Polska jest związana DSA bezpośrednio.

RODO — umowa powierzenia. Dostawca hostingu przetwarzający dane klientów abonenta jest podmiotem przetwarzającym w rozumieniu art. 4 pkt 8 RODO. Wymagana jest umowa DPA spełniająca wymogi art. 28 ust. 3 RODO, w tym postanowienia o środkach bezpieczeństwa (art. 32), podpowierzeniu, audytach i usunięciu danych. Brak DPA stanowi naruszenie RODO. Nadzór sprawuje PUODO.

VAT. Usługa hostingowa jest opodatkowana VAT 23% (ustawa z dnia 11 marca 2004 r. o podatku od towarów i usług). Faktura musi zawierać elementy z art. 106e ustawy o VAT. Przy usługach transgranicznych w UE zastosowanie ma mechanizm odwrotnego obciążenia (reverse charge) w relacjach B2B.

Prawo autorskie. Oprogramowanie zainstalowane na serwerze klienta (CMS, aplikacje) podlega ochronie ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych. Klient odpowiada za posiadanie licencji na zainstalowane oprogramowanie; dostawca hostingu nie odpowiada za naruszenia praw autorskich przez klienta, jeśli nie ma o nich wiedzy.

Umowy hostingowe w Polsce zawierają typowe błędy, które prowadzą do sporów lub naruszeń prawa.

Błąd 1 — brak umowy DPA. Przechowywanie przez klienta danych osobowych na serwerze bez umowy powierzenia przetwarzania (art. 28 RODO) jest naruszeniem prawa. Zalecenie: zawrzyj umowę DPA lub włącz jej postanowienia do umowy hostingowej.

Błąd 2 — niejasny lub brak SLA. Umowy bez precyzyjnego określenia gwarantowanej dostępności nie dają klientowi żadnych gwarancji. Zalecenie: wpisz procent dostępności, definicję przestoju i skutki niedotrzymania SLA.

Błąd 3 — brak postanowień o zakazanych treściach. Umowy bez listy zabronionych treści i procedury notice and takedown narażają dostawcę na odpowiedzialność za treści klientów. Zalecenie: opisz kategorie zabronionych treści i procedurę ich usuwania.

Błąd 4 — brak postanowień o eksporcie danych po zakończeniu. Klienci nie wiedzą, kiedy mogą pobrać swoje dane i kiedy zostaną one usunięte. Zalecenie: precyzyjnie opisz termin i zakres eksportu danych i termin ich usunięcia przez dostawcę.

Błąd 5 — niejasne warunki zawieszenia usługi. Dostawcy zawieszają usługi bez wyraźnej podstawy umownej lub bez uprzedniego wezwania do zapłaty. Zalecenie: opisz warunki zawieszenia — termin zaległości, wezwanie do zapłaty, czas na uregulowanie przed zawieszeniem.

Błąd 6 — brak postanowień o automatycznym odnawianiu. Klienci są zaskakiwani automatycznym przedłużeniem rocznej umowy bez odpowiedniego wyprzedzenia. Zalecenie: precyzyjnie opisz warunki automatycznego odnawiania i termin złożenia rezygnacji przed jego aktywowaniem.