Martin von Willebrand kirjoittaa pilvipalveluista sopimisesta:
A. Tietotekniikan palveluiden tuotanto siirtyy pilveen
Yleisesti esitetty arvio on, että tietotekniikan palveluiden tuotanto on jo siirtynyt ja siirtyy yhä enenevissä määrin tapahtumaan useista erikoistuneista ja keskitetyistä palvelinsaleista käsin. Tämä on osa sitä prosessia, jolla tietotekniikan palvelut kehittyvät kokeiluasteesta tuotteiksi ja tuotteista palveluiksi. Tämä on tyypillinen kehityskaari uusien tekniikoiden kaupallistumiselle. Prosessin lopputuloksena tietotekniikan palvelut tulevat tuotekehitysvaiheessa ns. kypsään vaiheeseen: tietotekniikkaa töpselistä.
Kun tietotekniikkaa tuotetaan ns. pilvestä, tarkoitetaan ilmaisulla usein kahta asiaa: tuotanto ei tapahdu siellä, missä tietotekniikkaa käytetään, eli tietotekniikka ostetaan palveluna. Palvelimet sijaitsevat siis selvästi eri paikassa kuin käyttäjät, mahdollisesti toisella puolella maailmaa. Palvelut toimitetaan käyttäjälle tietoverkon, yleensä internetin välityksellä. Toisaalta ilmaisulla tarkoitetaan myös osin sitä, että tuotanto on hajautettu eri palvelinsaleihin ja aina ei ole yksinkertaista tarkalleen sanoa, missä palvelinsalissa tiettyä tietoa käsitellään. Näin palvelimet ja tuotanto on ”pilvessä”. Samalla ilmaisu pilvipalvelu pitää sisällään myös käsityksen siitä, että samaa laitteistoa (ja ohjelmistoa) käytetään tuottamaan vastaavaa palvelua monelle eri taholle: näin laitteiston käyttö on mahdollisimman tehokasta ja laitteiston tyhjäkäyntiajat jäävät pienemmiksi kuin muuten.
Pilvipalveluina voidaan tuottaa monenlaisia tietotekniikan palveluita: perustietotekniikkaa (kuten työpöytää, toimisto-ohjelmistoja, tiedostontallennusta ja verkkoyhteyttä), sovelluksia (esimerkkejä verkossa olevista tiedon käsittely- ja hakusovelluksista ovat esimerkiksi finlex.fi, salesforce.com tai google.com; tai asiakaskohtaisia sovelluksia) tai virtuaaliservereitä.
B. Pilvipalveluista sopiminen on myös yksinkertaista
Tyypillinen pilvipalveluista sovittava sopimus on yksi palvelusopimus, jossa sovitaan toimitettavasta palvelusta, sen hinnasta ja maksuista, tiedon säilytyksestä ja vastuusta tiedosta, palvelutasosta ja mahdollisista sanktioista, vahingonkorvausvastuusta, sopimuksen kestosta ja päättämisestä, salassapitovelvollisuuksista ja muista tavanomaisista liike-elämän sopimuksissa sovittavista asioista. Tällainen palvelusopimus voi olla pitkä ja monimutkainen mm. palvelukuvauksen, palvelutasojen ja erityyppisten vastuumääräyksien osalta.
Kuitenkin pilvipalveluissa sopimuskokonaisuus on huomattavasti yksinkertaisempi kuin perinteisempi sopimuskokonaisuus, jossa sovitaan erikseen kaikista palvelun tuottamiseen tarvittavista tietotekniikan osista. Äärimmilleen vietynä jokaisesta osasta joutuu sopimaan erikseen. Näitä osia ovat:
1) konesalia ja verkkoyhteyksiä koskevat sopimukset,
2) laitteistojen hankintaa/vuokraa, tukea ja huoltoa koskevat sopimukset,
3) käyttöjärjestelmätason ohjelmistojen lisenssejä, tukea ja ylläpitoa koskevat sopimukset,
4) middleware-ohjelmistojen lisenssejä, tukea ja ylläpitoa koskevat sopimukset,
5) sovellustason ohjelmistojen lisenssejä, tukea ja ylläpitoa koskevat sopimukset,
6) toimitusprojektia koskeva sopimus ja
7) käyttöpalvelusopimukset laitteistoa ja sovellustasoja koskien.
Jokainen perinteisen sopimuskokonaisuuden sopimuksista voi sisältää vastaavia osia kuin yksi pilvipalvelusopimus. Lisäksi perinteisen sopimuskokonaisuuden sopimusten yhteentoimivuus tulisi varmistaa: eli että haluttu palvelutaso tai irtisanomisaika toimii riittävässä määrin samalla tavalla jokaisessa sopimuksessa. Perinteisen sopimuskokonaisuuden sopimuskumppanit todennäköisesti myös vaihtelevat.
Tämä vertailu on äärimmilleen viety ja perinteisesti tuotetusta tietotekniikkapalvelusta voidaan tietenkin sopia myös yksinkertaisemmin, esimerkiksi yhden sopimuskumppanin kanssa, joka ottaa kokonaisvastuun tuotannosta. Yhteenvetona voidaan kuitenkin todeta, että pilvipalveluista sopiminen on sopimusdokumentaation näkökulmasta katsottuna huomattavasti yksinkertaisempaa.
C. Sopimusten kipupisteet
Kun tietotekniikka tuotetaan ns. pilvessä, syntyy joitakin uusia nimenomaan pilvipalveluita koskevia haasteellisia sopimuskohtia eli kipupisteitä. Lisäksi jotkut vanhastaan tutut kipupisteet nousevat uudelleen esille pilvipalveluissa, hiukan eri maustein. Sen sijaan osa vanhoista kipupisteistä, kuten esimerkiksi immateriaalioikeuksista sopiminen, eivät yleensä ole vaikeita kysymyksiä pilvipalveluita koskevissa sopimuksissa.
1. Palvelutasosopimukset eli SLA:t
2. Tiedon säilyttämisestä ja palauttamisesta sopiminen
3. Tietosuojaan liittyvistä asioista sopiminen
4. Auditoinnit: sopimuksen noudattamisesta varmistuminen
5. Kontrollimahdollisuuden väärinkäytösten estäminen
6. Onko toimittajan vaihtamismahdollisuutta?
1. Palvelutasosopimukset eli SLA:t
Palvelutasosopimukset eli SLA:t ovat vanhastaan tuttu kysymys tietotekniikkahankinnoissa. Pilvipalveluiden myötä tarjolle on tullut useita kansainvälisiä palveluntarjoajia, jotka eivät lupaa palvelun käytettävyydestä mitään. Historiatietoja voidaan kertoa. Alkuvaiheen jälkeen tarjolle on tullut palvelutasoja tarjoavia lisämaksullisia tuotteita. Palvelutasoa voidaan tarjota vain ”konesalista ulos” ilman, että luvataan sitä, että palvelu on käytettävissä asiakkaalla. Tässä välissä on yleensä internet. Tämä muodostaa kipupisteen pilvipalveluissa, joskin on jo olemassa ja yleisemminkin nähtävissä, että myös internet-putken toimivuuden takaamiseen kehittyy lisämaksullisia tuotteita.
2. Tiedon säilyttämisestä ja palauttamisesta sopiminen
Toistaiseksi monet palveluntarjoajat eivät tarjoa back-up -palveluita palveluidensa osana. Palveluissa ei aina luvata, että mahdollisesti kadotettu tieto pystytään palauttamaan. Taustalla on ajatus siitä, että kun palvelu tuotetaan lukuisissa paikoissa, eikä aina pystytä sanomaan, missä kulloinkin käsiteltävä tieto on, ei tuottaja pystyisi lupaamaan tiedon palauttamistakaan. Kyseessä on selvä tuotantotekniikan ja liiketoimintamallien kehittymisen lastentauti: on nähtävissä, että tuotantotekniikan kehittyessä lisätoimilla (ja siis lisäkustannuksilla) voidaan varmistaa tiedon sijaitseminen ainakin yhdessä tai kahdessa ylimääräisessä, tiedetyssä sijainnissa.
Toinen tiedon säilyttämiseen liittyvä kipupiste on tiedon vuotamattomuus. Se, minkä varmuuden palveluntuottaja voi luvata siitä, että sen palvelusta ei vuoda tietoa ulkopuolisille.
3. Tietosuojaan liittyvistä asioista sopiminen
Kun pilvipalveluiden tuotantoon liittyy kysymys siitä, että tuotanto voi tapahtua useassa eri paikassa ilman tarkkaa tietoa siitä, missä tietoa käsitellään, muodostuu yhdeksi kipupisteeksi tietosuoja. Unionin alueella on voimassa määräykset siitä, että tiedon siirtäminen unionin ulkopuolelle edellyttää joko nimenomaista suostumusta rekisteröidyltä tai sitten safe harbor- tai mallisopimusmenettelyä.
Mikäli pilvipalveluiden tuotanto tapahtuu osin unionin alueen ulkopuolella, on yleensä selkein ratkaisu, että tiedon tallentamiseen tai muuhun käsittelyyn osallistuva yritys sitoutuu mallisopimuksiin tai hankkiutuu safe harbor -menettelyn piiriin. Jotta tätä voidaan arvioida, pitäisi tietää missä tietoa käsitellään ja mitkä tahot käsittelyyn osallistuvat. Tällaisen tiedon saaminen edellyttää kansainvälisessä palvelun-tuotannossa mahdollisten tiedon käsittelypaikkojen ja osallistuvien yritysten identifioimista. Joiltakin osin palveluntuotantoon käytettävän infrastruktuurin kehittäminen voi myös mahdollistaa sen, että tiedon käsittelypaikat voidaan riittävästi identifioida ja niitä voidaan tarvittaessa rajoittaa.
4. Auditoinnit: sopimuksen noudattamisesta varmistuminen
Kun palvelutuotanto tapahtuu muualla kuin tiedon käyttäjän tiloissa, nousee esille kysymys siitä, miten palvelun ostaja varmistuu sopimuksen noudattamisesta. Tämä on tavanomainen sopimuksiin liittyvä kysymys, mutta se nousee uudelleen esille pilvipalveluissa. Tavanomainen ratkaisu on sopia kolmannen osapuolen tekemästä auditoinnista: tämä ratkaisu kuitenkin aiheuttaa kustannuksia sopimuksen osapuolille, eikä siksi sovi kaikkiin tilanteisiin. Eräänä vaihtoehtona voidaan pitää pehmeämpää auditointia, jossa sopimuksen osapuolet yhdessä tutustuvat palvelutuotantoon ja siinä noudatettuihin prosesseihin ilman, että tutustutaan esimerkiksi palveluntuottajan keskeisiin liikesalaisuuksiin.
5. Kontrollin väärinkäytön estäminen
Pilvipalveluiden tuottajalla on kontrolli siitä, tuotetaanko palvelua vai ei. Tämä voi aiheuttaa huolen siitä, että palveluntuottaja käyttää kontrolliaan väärin tai epätoivottavalla tavalla neuvotteluasemansa vahvistamiseksi. Esimerkiksi palveluntuottaja voi uhata palvelun katkaisulla, jos sopimuksen osapuolilla on erimielisyys palvelun laadusta tai hinnoittelusta. Tämän mahdollisuuden riski korostuu, jos kyseessä on esimerkiksi perustietotekniikkapalvelu: palvelu, jonka kustannus on suhteellisen pieni verrattuna sen toimimattomuuden aiheuttamaan vahinkoon.
Tätä huolta voidaan vähentää sillä, että sovitaan palveluntuotannon keskeyttämisen ja sopimuksen päättämisen säännöistä. Esimerkiksi laskutuksen viivästys kolmella kuukaudella ei vielä oikeuttaisi palveluntuotannon keskeyttämiseen, mikäli laskujen maksamattomuuden syynä olisi riitaisuus palveluntuotannosta. Sopimussakko-määräyksiä voitaisiin myös käyttää: näiden avulla perusteettomasta palvelun-tuotannon keskeyttämisestä aiheutuva taloudellinen tappio voidaan muodostaa kummallekin osapuolelle likimain yhtä suureksi. Tällaiset sopimusmääräykset eivät kuitenkaan lopullisesti poista sitä, että kontrolli, ja mahdollisuus keskeyttää palveluiden toimitus – vaikkapa sopimuksen määräyksiä rikkoen – on myyjällä.
6. Onko toimittajan vaihtamismahdollisuutta?
Ostajan näkökulmasta toimittajan vaihtamismahdollisuus on keskeinen kysymys. Mikäli tämä pystytään ratkaisemaan, voi ostaja sitoutua pilvipalveluihin oman kriittisenkin infrastruktuurin palveluissa ja keskeisissä liiketoimintaprosessien käyttämissä palveluissa.
Myyjän näkökulmasta voisi ajatella, että asiakkaan lukittautuminen myyjän palveluun ja toimittajan vaihtamisen hankaluus olisi myyjän etu ja mahdollistaisi tavallista paremmat katteet. Toisaalta kuitenkin pitkäjänteisesti ajatteleva asiakas ei yleensä tule lainkaan tällaisen palvelun asiakkaaksi. (Tosin voidaan todeta, että nykyisin on lukuisia lock-in tilanteita esimerkiksi julkisella sektorilla. Tietoisuus tämän aiheuttamista ongelmista on kuitenkin laajalle levinnyttä.) Kun pilvipalveluilla voidaan tuotanto järjestää perinteistä tuotantoa tehokkaammin, arvioin, että volyymin kasvamisen tukemiseksi myyjän etu on tehdä palvelustaan mahdollisimman houkutteleva. Näin toimittajan vaihtamisen edesauttaminen voikin mahdollistaa suuremman volyymin. Myyjän tulisikin pyrkiä tuottamaan asiakkaalle sellaista arvoa, että asiakas ei halua vaihtaa palveluntarjoajaa (positiivinen lock-in). Se, että vaihtaminen on teknisesti helppoa, voi mahdollistaa asiakashankinnan vaativista ja maksukykyisistä asiakassegmenteistä.
Toimittajan vaihtamismahdollisuus riippuu ensinnäkin palveluun tallennettujen tietojen siirrettävyydestä. Joskus palvelu voi olla sellainen, että siihen ei tallennu tietoa ja kaikki tieto tallentuu ostajalle. Usein tietoa kuitenkin nimenomaan tallennetaan ns. pilveen. Näinpä tulee ensin kysyä, ovatko tiedot otettavissa ulos palvelusta ja missä muodossa tiedot saadaan. Joissakin tietojen käsittelyn alueilla on yleisesti käytettyjä tapoja tietojen tallentamiseen ja, mikäli sellaisia ei ole, voitaneen käyttää esim. csv-muotoisia tiedostoja.
Sikäli kun tiedot saadaan ulos palvelusta, on syytä kysyä, löytyykö kilpailevaa toimittajaa, joka pystyy samoja tietoja käsittelemään. Onko muissa sovelluksissa käytössä samoja tietorakenteita ja miten tietojen siirto on käytännössä mahdollista? Tai pystyykö ostaja itse käsittelemään näin saatuja tietoja?
Kilpailevien toimitusvaihtoehtojen mahdollisuuksien yksi ääripiste on avoimessa pilvipalveluratkaisussa ja avoimissa sovelluksissa. Ostajan ideaalitilanteessa ostaja tai kuka tahansa muu voisi tarvittaessa toteuttaa saman järjestelmän myös itse ja myyjä tarjoaisi tiedot ulos palvelustaan niin, että ne on helppo syöttää saman järjestelmän toiseen instanssiin. Ostajan ideaalitilanne voi toteutua helpommin yhden sovelluksen palveluissa kuin palveluissa, jotka yhdistävät lukuisia sovelluksia. Se, onko tämä samalla myös myyjän ideaalitilanne, on monimutkaisempi kysymys. Joka tapauksessa toimittajan vaihdettavuuden ja tiedon siirrettävyyden analyysi edellyttää toisen toimitusvaihtoehdon ja sen toteuttamiskelpoisuuden kartoittamista.
Toimittajan vaihtamismahdollisuus ratkaisee myös muita kysymyksiä. Jos ostaja on palvelun saatavuudesta huolissaan ja haluaa pystyä varmistamaan palvelun saatavuuden esimerkiksi kriisitilanteessa, voi ostaja ajatella vaativansa oikeutta saada osallistua palvelun palauttamiseen. Yleensä myyjä ei voi suostua sellaiseen sopimusmääräykseen, jossa ostajan asiantuntijoilla olisi oikeus – mahdollisissa ongelmatilanteissa – saada pääsy tuotantotiloihin ja mahdollisesti osallistua ongelmanratkaisuun. Myyjän mahdollisuutta suostua tällaiseen menettelyyn rajoittavat myyjän ja erityisesti tämän muiden asiakkaiden tietojen luottamuksellisuus, tietoturvakäytännöt sekä myyjän vastuu palveluista muille asiakkaille. Toimittajan vaihtamismahdollisuus kuitenkin tarjoaa ostajalle vähintään osittaisen ratkaisun tähänkin ongelmaan. Palvelun ollessa alhaalla ja mikäli sen palautuksessa on ylitsepääsemättömiä ongelmia tai palvelutaso pysyvämmin laskee, tarjoaa toimittajan vaihtaminen mahdollisuuden jatkaa palvelun käyttöä toisen toimittajan kanssa tai ostajan omassa kontrollissa.
Yhteenvetona voi sanoa, että jos myyjä pystyy tarjoamaan toimittajan vaihtamismahdollisuutta ostajalle, on moni pilvipalvelusopimusten kipupisteistä helpompi ratkaista.
Martin von Willebrand
Asianajotoimisto HH Partners Oy, osakas
Tämä artikkeli ”Pilvipalveluista sopimisen kipupisteet” on lisensioitu Creative Commons Attribution-NoDerivs 3.0 Unported lisenssillä.
