天元互联网+合同之云业务系列（全）

摘要：
从本期开始“互联网+合同”系列进入云计算。本期谈谈开展云计算服务的资质问题。我国尚无针对“云”的专门法律法规，由于“云”涉及通过网络环境实现数据、信息的生成、存储、传输及处理，因此受到电信条例等规制。提供云服务的资质还与服务模型有关。
开展云计算服务是否需要取得资质
从商业模式上看，云计算是一种服务的交付和使用模式，使用者通过网络可以以按需、易扩展的方式获得所需的资源。云服务提供商为用户提供了可以无限扩展的计算机资源能力，由用户随时获取、按需使用，并按照使用付费。
由于云服务是通过公共网络基础设施提供的涉及数据、信息的服务，这些服务可能属于《电信条例》第八条规定的增值电信业务，相应地可能需要取得《增值电信业务经营许可证》或进行备案。
云服务提供商是否需获得相应的电信业务许可或者需要获得何种业务许可，还与其提供的服务模型有关。《信息产业部关于重新调整<电信业务分类目录>的通告》（2003年，下称“2003年分类目录”）将电信服务划分为若干具体的服务类别，且每一类别都需要获得相应的服务许可证。如果某一云服务的特征符合2003年分类目录下某一具体服务类别的业务的概念和外延，服务提供商即可能被要求为运营该等服务获得相应的一项或多项许可证。
根据2003年分类目录，因特网数据中心业务（即IDC），是指利用相应的机房设施，以外包出租的方式为用户的服务器等因特网或其他网络的相关设备提供放置、代理维护、系统配置及管理服务，以及提供数据库系统或服务器等设备的出租及其存储空间的出租、通信线路和出口带宽的代理租用和其他应用服务。
云服务包含存储空间、计算资源及相关设备及配套设施的提供，该业务与IDC业务比较接近，可能受到增值电信业务许可监管。鉴于规定的原则性以及对该文字表述可能存在理解上的差异，且实践中个案也可能存在不同的情况，上述业务属于因特网数据中心业务的可能性较大，即需要申请增值电信业务经营许可证。
对于不属于2003年分类目录中具体业务种类的云服务，根据《电信条例》第九条“运用新技术试办《电信业务分类目录》未列出的新型电信业务的，应当向省、自治区、直辖市电信管理机构备案”的规定，原则上，服务提供商提供相关云服务应向相应主管机构备案。
2013年5月25日工信部发布了《电信业务分类目录（2013版）（征求意见稿）》，分别增加了一些基础电信业务类别与增值电信业务类别。其中，将2003年分类目录中的“因特网数据中心业务”调整为B11类“互联网数据中心业务”；新增B12类“互联网资源协作服务业务”，互联网资源协作业务是指利用架设在数据中心之上的设备和资源，通过互联网或其他网络以随时获取、按需使用、随时扩展、协作共享等方式，为用户提供的包括但不限于数据存储、互联网应用开发环境、互联网应用部署和运行管理等服务；新增B13类“内容分发网络业务”，内容分发网络业务是指利用分布在不同区域的节点服务器群组成流量分配管理网络平台，为用户提供内容的分散存储和高速缓存，并根据网络动态流量和负载状况，将内容分发到快速、稳定的缓存服务器上，提高用户内容的访问响应速度和服务的可用性服务。B12类“互联网资源协作服务业务”采用“随时获取、按需使用、随时扩展、协作共享”的方式，与云服务的特征非常类似，因此B12类“互联网资源协作服务业务”被认为是工信部为加强对云服务的监管而增加的增值业务种类。
云服务协议应当包括哪些内容信
云服务协议是云服务提供商与用户之间关于云计算服务安排及权利义务的约定，对云服务提供商与用户均具有约束力。云服务协议至少应当有以下内容：
（1）服务内容。载明云服务提供商作为云服务提供商提供的云服务内容。例如，提供软件、提供平台或提供基础架构等。
（2）知识产权。包括云服务提供商提供云服务涉及的知识产权归属和要求，以及用户使用云服务中所涉用户文件、软件、信息的知识产权归属和要求。
（3）用户使用云服务的主体资格、行为准则和要求。例如，用户应当依法具备的资质（例如用户从事经营性互联网信息服务应当依法取得ICP证），用户使用云服务的行为、使用方式的限制和要求，以及对使用云服务所涉内容合法性的承诺。
（4）用户信息/数据的保密及安全。应当明确约定云服务提供商对用户信息及数据的保护责任和应采取措施，包括对用户身份信息的保护，以及对用户通过云服务所上传数据信息的保护。同时还可能涉及云服务提供商的责任承担和免责事宜。
（5）双方的权利义务和违约责任。一方面，云服务协议中应当约定云服务提供商的义务，包括就所提供服务的合法性、质量、安全及效率的承诺和遵守，违反该等义务时的违约责任，以及特定情形下的免责事由；另一方面，云服务协议中还应当约定用户的义务，包括用户使用云服务应当具备的主体资格、业务资质/行为能力、使用云服务行为的合法性、依约付款等义务，以及违反该等义务时的违约责任。
由于云服务协议多采用线上电子协议的方式，很可能构成格式条款合同（即由云服务提供商事先拟定、重复使用），云服务提供商在制定协议时，应当重点关注《合同法》、《消费者权益保护法》对合同格式条款的要求，特别是无效格式条款的认定及其风险。
云服务协议中应当如何关注和处理知识产权问题
云服务中的知识产权保护包括两方面，一方面是云服务提供商对所提供云服务本身的知识产权保护；另一方面是用户使用云服务时所传输、存储信息、软件的知识产权保护。从法律角度看，主要涉及软件著作权、软件/技术专利权、著作权以及商标权。其中：
（1）云服务提供商应当依法拥有云服务软件的知识产权或者合法授权，方能够以自身名义向用户提供云服务。用户应当依法尊重和保护云服务软件的知识产权，不得实施任何侵权行为。一般而言，云服务提供商都会在云服务协议中明确云服务软件的知识产权归属，并对用户使用该等服务及软件的行为提出要求。
（2）用户使用云服务时所传输、存储信息、软件等作品的知识产权，应当归属用户或者相关权利人。但同时，也衍生出需要进一步关注和考虑的问题。例如，用户所传输、存储的信息、软件等作品本身就涉及知识产权侵权问题，云服务提供商的责任界面如何认定。又如，云服务提供商可能会接触甚至使用到该等信息、软件等作品，此时，云服务提供商的权利边界、应当承担的责任就成为关注重点。目前云服务提供商对该问题的态度和条款安排不尽一致。例如，Google Drive的用户条款中写到：“当用户将资料上传或提交到Google Drive上时，用户即授权谷歌（以及与谷歌合作的公司）在世界范围内使用、托管、存储、复制、修改、再创作（如翻译、改写或其他能够使用户的内容与Google Drive的服务更匹配的改变）、传播、出版、公共场合演示或分发资料的权利”。而SkyDrive则规定“除了SkyDrive授权与用户的资料外，SkyDrive对所有用户上传的资料均无所有权，用户内容的所有权不会有所改变。SkyDrive不会控制、审查或认可用户放置云存储服务上的内容”。
云服务协议中应当如何关注和处理用户信息、用户隐私的保护
用户使用云服务，在任何时间和地点都可以任意连接至互联网的终端设备，且用户处理的数据也不存储在本地、而是保存在互联网的数据中心。由此，云服务提供商对用户信息、用户隐私的涉足不可避免。如果不小心，用户的信息、隐私还可能暴露在公众面前。因此，用户信息、用户隐私的保护问题，是用户使用云服务的重点关注问题之一，需要在云服务协议中做出明确的安排和约定。
对于用户信息、用户隐私的保护，云服务协议中应当着重关注作出如下安排：
（1）要求用户承诺所提供身份信息、上传信息内容的真实、合法。例如，用户承诺，其使用云服务所提供信息不存在侵犯他人知识产权、侵犯他人隐私的情况。
（2）明确约定云服务提供商对用户信息、用户隐私的保护义务，包括保护范围（上述用户身份信息和上传信息）、保护措施（例如明确访问权限、信息保密及披露规则）、以及违反保护义务的责任。
（3）出于保护云服务提供商的需要，可以考虑在云服务协议中限定云服务提供商承担责任的限定范围。例如，设置责任限额，或者至少排除或限定云服务提供商对数据丢失或损害、用户商业利益损失等事项的责任。
云服务协议中应当如何关注和处理用户的使用条件及限制
云服务提供商向用户提供软件等云服务供用户上传、存储数据等云服务，应当在云服务协议中明确用户使用条件和要求以及对使用行为的限制。包括但不限于：
（1）明确用户使用云服务应当具备的主体资格、业务资质。例如，向用户提供的云服务内容包括互联网接入服务时，应当审核用户是否依法取得了ICP证或者办理完毕ICP备案手续。
（2）明确用户使用云服务应当具备的使用条件，特别是用户自备设备接入云服务平台或使用云服务的，在云服务协议中列明用户自备设备的软硬件应当具备的条件，例如对用户设备操作系统版本的要求等。
（3）对用户使用云服务的行为做出要求，明确该等行为应当合法合规、符合协议约定，且不得影响或损害云服务提供商的合法利益。例如，用户仅可根据本协议的规定使用产品，不得对产品进行反向工程、反编译、反汇编或绕过产品中的技术限制，除非适用法律在上述限制之外允许此等行为。
（4）在用户为企业用户时，用户使用云服务中可能同时涉及云服务的实际使用人（企业用户可能被称为客户，而实际使用人可能被称作用户）。此时，云服务协议中应当明确约定用户的责任承担，特别是对实际使用人行为承担全部责任，包括但不限于负责解决与使用人之间的一切纠纷和争议。例如，云服务用户应当控制实际使用人的访问权限，且对实际使用人根据本协议的规定使用产品的行为负责，包括但不限于确保其遵守可接受的使用政策。
向用户提供云服务涉及增值产品
云服务提供商向用户提供云服务时，可能同时涉及相关增值产品服务的提供（例如镜像服务）。该等增值产品需要以云服务的提供为前提和基础，但同时，该等增值产品的权利人或提供方可能是云服务提供商以外的其他人（即增值产品的权利人（又称“服务商”）。就增值产品的提供，云服务提供商需要特别关注如下问题：
（1）首先应当根据业务安排、实际开展情况等业务因素，明确增值产品服务的提供方。所谓增值产品服务的提供方，即向用户提供增值产品服务、收取费用、承担由此所产生一切责任和义务的主体。实践中，增值产品服务可能是直接由增值产品的服务商提供，也可能是由云服务提供商提供（至于云服务提供商与增值产品服务商之间的安排，属于双方的后向业务安排，不涉及用户）。
（2）如果以云服务提供商名义提供增值产品服务，云服务提供商需要就增值产品服务的提供向用户承担全部责任，包括增值产品本身的合法性、服务的依约定提供等事项。此时，由于增值产品本身并非云服务提供商的产品，云服务提供商对该等增值产品的内容、技术等没有完全控制权，因此，就需要云服务提供商与服务商签订协议，明确双方之间的责任分担，特别是在云服务提供商因增值产品对外承担责任后向服务商的追偿事宜。
（3）如果以服务商名义提供增值产品服务，应当由服务商直接与用户签订协议。并且，由于增值产品服务依托于云服务提供商的云服务，因此，站在云服务提供商的角度，应当关注查看服务商与用户之间的协议文本，特别关注其中对增值产品服务与云服务的关系、对云服务提供商责任承担事宜的约定；或者在与服务商的协议中提出相关要求。