Umowa o hosting: SLA, kopie zapasowe i warunki wypowiedzenia

Gdzie w umowie o hosting szukać SLA, backupu i wypowiedzenia

SLA (Service Level Agreement) określa minimalny poziom usług: dostępność, czas reakcji, procedury zgłaszania problemów i kary za niedotrzymanie warunków. Dla klienta to gwarancja reakcji w ustalonym czasie, dla dostawcy granica odpowiedzialności.

Nie ma jednego narzuconego schematu SLA. Klient zwykle dostaje dokument wewnętrzny dostawcy, który informuje o dostępnych usługach i odpowiedzialności usługodawcy.

Dokumentacja to umowa główna, regulamin oraz załącznik lub odrębne SLA. Samo SLA wymienia strony, opis usługi, czas obowiązywania i warunki świadczenia; parametry techniczne są tam lub w załączniku.

Część ustaleń bywa rozproszona. Częstotliwość kopii to parametr SLA, ale szczegóły odtwarzania — gdzie trafiają kopie, kto je odtworzy i w jakim czasie — często opisuje regulamin albo polityka backupu.

Zasady wypowiedzenia i rozliczenia po zakończeniu współpracy zwykle są w umowie głównej lub regulaminie, nie w SLA. Przed podpisaniem przejrzyj cały zestaw dokumentów i sprawdź, czy zapisy się nie wykluczają.

Regulamin wydawany jest na podstawie ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (tekst jednolity: Dz.U.2024.1513); art. 8 ust. 1 pkt 1 tej ustawy określa obowiązek jego udostępnienia.

Konsument nie może zrzec się praw z ustawy o prawach konsumenta z 30 maja 2014 r. Postanowienia umów mniej korzystne dla konsumenta są nieważne, a w ich miejsce stosuje się przepisy ustawy.

Gdy dostawca przetwarza dane osobowe, potrzebna jest umowa powierzenia przetwarzania danych. Administrator działa na podstawie RODO i ustawy o ochronie danych osobowych z 10 maja 2018 r.; organem nadzorczym jest Prezes UODO.

Za naruszenia ochrony danych Prezes UODO może nałożyć karę do 10–20 mln euro albo do 2–4% światowego obrotu. Regulaminy usług elektronicznych muszą też być zgodne z DSA, Prawem komunikacji elektronicznej i dyrektywą Omnibus; kary mogą nakładać UOKiK i Prezes UKE.

W dokumentacji hostingu wyróżnij trzy obszary: gwarancje SLA, kopie zapasowe i odtwarzanie oraz wypowiedzenie i wyjście z umowy. Dla każdego sprawdź, czy parametry są w SLA, załączniku, regulaminie czy umowie głównej.

SLA może być częścią umowy outsourcingu, usługi zarządzanej lub umowy o zarządzanie infrastrukturą IT. Bywa też umową wewnętrzną, np. między przedsiębiorcą a działem IT.

Sprawdź, czy SLA zawiera strony umowy, opis usługi, czas obowiązywania i warunki świadczenia. W umowie o hosting nazwij dostępność w procentach, czas reakcji, czas naprawy, procedury zgłaszania problemów i kary za niedotrzymanie warunków.

W umowie szukaj konkretnych liczb i procedur, nie ogólnych deklaracji. Gdy brakuje dostępności w procentach, czasu reakcji, czasu naprawy, zasad kopii i odtwarzania albo warunków wyjścia, ryzyko przechodzi na klienta.

Dostępność, czas reakcji i czas naprawy – co powinno być czarne na białym

Podstawowy parametr to gwarantowana dostępność w procentach. 99,9% oznacza maksymalnie 8 godzin przestoju rocznie. Zapisz okres pomiaru i sposób liczenia niedostępności, bo bez nich samej wartości nie da się ocenić.

Serverion zaleca dążyć do 99,9% lub więcej; traktuj to jako rekomendację dostawcy, a nie uniwersalny wymóg. W praktyce 99,9% oznacza maksymalnie 8 godzin przestoju rocznie, 15 minut na reakcję przy krytycznych awariach i 4 godziny na naprawę poważnych usterek.

Czas reakcji określa, jak szybko dostawca podejmie działania po zgłoszeniu; nie jest tym samym co czas rozwiązania problemu. Serverion wskazuje maksymalnie 2 godziny na rozwiązywanie problemów krytycznych, a RTO na 4-godzinny limit przywrócenia operacji.

Czas naprawy określa termin usunięcia usterki, a RTO — uzgodniony maksymalny czas przywrócenia usługi. Zdefiniuj te parametry osobno, wraz z momentem rozpoczęcia pomiaru i kryterium uznania problemu za rozwiązany.

Poziom parametrów dopasuj do typu usługi. Platformy e-commerce potrzebują bardziej rygorystycznych gwarancji sprawności niż witryny informacyjne. Firma produkcyjna wymaga krótkiego czasu reakcji i naprawy, a firma korzystająca z data center — sprawnego działania i opieki nad zasilaniem awaryjnym (UPS).

Obok dostępności i czasów w SLA powinny znaleźć się procedury zgłaszania problemów i komunikacji z pomocą techniczną oraz rekompensaty za niedotrzymanie warunków. Dobrze skonstruowana umowa zawiera mechanizm naprawczy i system rekompensat.

Sam procent dostępności, bez zdefiniowanej procedury uznania awarii i kary, jest trudny do wyegzekwowania. Każdy parametr połącz z metodą pomiaru, kanałem zgłoszenia i konsekwencją za niedotrzymanie.

W umowie wskaż, czy rekompensata wymaga wniosku i jak ustala się jej wysokość. Jeśli usługa ma działać poza godzinami pracy, ustal, czy wsparcie obejmuje te godziny i jak zgłosić awarię krytyczną.

Parametry wpisz w osobnych pozycjach: dostępność i okres jej pomiaru, czas reakcji, maksymalny czas naprawy oraz RTO. Dla każdego określ moment rozpoczęcia pomiaru, kanał zgłoszenia, wyłączenia i konsekwencję przekroczenia.

Deklaracje dostawcy, w tym wielopoziomowe SLA, całodobowe wsparcie i krótki czas reakcji, traktuj jako punkt wyjścia. Własne wartości dostępności, czasu reakcji, czasu naprawy i RTO wpisz do umowy.

Zapisz, jak klient zgłasza awarię, kto potwierdza jej kategorię i jakie rekompensaty może uruchomić pomiar SLA. Sprawdź, czy te ustalenia są spójne z procedurą reklamacji.

Nie łącz czasu reakcji z czasem naprawy ani odzyskania usługi. W umowie określ, który moment kończy każdy pomiar i jaki raport pozwala potwierdzić przekroczenie parametrów.

Parametry SLA dla usług hostingowych

Jak czytać definicje dostępności i wyłączenia z SLA

Procent czasu sprawności to tylko część umowy — warunki zależą od definicji i pomiaru. Ustal, czy dostępność liczysz miesięcznie czy rocznie, jakie zdarzenia są wyłączone, czy planowane prace serwisowe wliczają się do przestoju i jaka procedura zgłoszenia uznaje awarię za objętą SLA.

Umowa powinna zawierać mechanizm raportowania do pomiaru oczekiwanych norm jakości. Raport zewnętrznego dostawcy jest zwykle bardziej obiektywny niż zestawienie wewnątrz firmy, bo opiera się na danych z monitoringu środowiska.

Skutki złego pomiaru widać w praktyce: dla sklepu internetowego, który traci dostępność w weekend przy największym ruchu, każda minuta niedostępności to utracone przychody i nadszarpnięte zaufanie klientów.

SLA może określać termin reakcji i naprawy oraz konsekwencje niedotrzymania warunków. Sprawdź, czy sposób pomiaru i procedura zgłoszenia pozwalają wykazać naruszenie.

Jeżeli sposób pomiaru jest niejasny, formalnie wysokie SLA nie pomoże: przy awarii dostawca wskaże wyłączenie albo brak uznanego zgłoszenia i rekompensata nie będzie przysługiwać.

Ustal, czy raportowany czas sprawności pochodzi z monitoringu środowiska. Przed podpisaniem sprawdź, jakie dane z monitoringu są brane pod uwagę, jakie zdarzenia wyłączono z pomiaru i jak zgłoszenie zostaje uznane za objęte SLA. Te ustalenia powinny odpowiadać procedurze reklamacji.

Te definicje dotyczą dostępności, czasu reakcji i czasu naprawy. Bez nich nie wiesz, czy SLA zostanie uznane za niedotrzymane.

Kopie zapasowe i odtwarzanie danych – zapisy, których nie można pominąć

Dostępność i backup to dwa różne zobowiązania. SLA chroni przed przestojem, kopia zapasowa — przed utratą danych. Utrata danych może być kosztowna niezależnie od tego, jak szybko wróci usługa.

W dokumentacji znajdź odpowiedzi: co jest kopiowane (bazy danych, pliki, konfiguracja poczty), jak często, ile wersji i przez jaki okres jest przechowywanych, gdzie fizycznie trafiają kopie, kto ma prawo je odtworzyć i w jakim czasie. Do wymagań SLA wpisz regularne kopie i jasną retencję.

RTO to maksymalny uzgodniony czas przywrócenia usługi po awarii. RPO określa, ile danych można utracić, i zależy od częstotliwości kopii: przy kopii wykonywanej raz na dobę w najgorszym scenariuszu mogą przepaść zmiany z całego dnia.

Im krótszy dopuszczalny czas odzyskania i mniejsza dopuszczalna utrata danych, tym więcej zwykle kosztuje utrzymanie takiego reżimu.

Uzgodnij, czy odtworzenie danych z kopii jest wliczone w cenę usługi, czy płatne dodatkowo, kto wykonuje odtworzenie i na czyje zlecenie. Ustal, kto i kiedy testuje odtwarzanie — deklarowany backup bez testu na środowisku testowym pozostaje niesprawdzonym założeniem.

Dobra praktyka dostawcy to wykrywanie zagrożeń przed awarią: wymiana dysku przed uszkodzeniem, backup danych i aktualizacje oprogramowania w nocy, aby nie powodowały zastoju.

Gdy w kopii zapasowej są dane osobowe, potrzebna jest umowa powierzenia przetwarzania danych. Administrator działa na podstawie RODO i ustawy o ochronie danych osobowych z 10 maja 2018 r.; organem nadzorczym jest Prezes UODO. Kara za naruszenia ochrony danych wynosi do 10–20 mln euro albo 2–4% światowego obrotu.

Nie poprzestawaj na deklaracji, że kopie są wykonywane. Ustal, kto testuje odtworzenie, na jakim środowisku i jak zapisuje wynik testu; dzięki temu można sprawdzić, czy kopia pozwala przywrócić potrzebne dane.

Negocjacje i weryfikacja dostawcy przed podpisaniem

Przed rozmowami określ wymagania techniczne i operacyjne: czas sprawności, czasy reakcji, bezpieczeństwo, skalowalność i kopie zapasowe. Oceń ryzyko — awarie serwerów, naruszenia danych, przestoje — i przełóż je na wpływ na przychody, zgodność z wymaganiami i zaufanie klientów.

Na tej podstawie ustal mierzalne cele, np. 99,9% dostępności i 4-godzinny limit odzyskania operacji. W negocjacjach dąż do realistycznych gwarancji, równowagi między karami a zachętami i porównaj wymagania ze standardowymi umowami SLA w branży.

Ustal, jak będzie wyglądał przegląd parametrów w trakcie umowy: regularne przeglądanie i aktualizowanie SLA, monitorowanie wydajności oraz stały kanał komunikacji z dostawcą.

Przy umowach o stosunkowo niedużej wartości, jakie zawiera większość małych i średnich firm, SLA są standardowe i nie zawsze podlegają negocjacjom. Wtedy ciężar decyzji przenosi się na weryfikację dostawcy.

Sprawdź stabilność finansową i wypłacalność, zakres granic odpowiedzialności, historię biznesową — czy zdarzały się wycieki danych lub długotrwałe awarie, od jak dawna usługa jest świadczona, ile firm z niej korzysta i jakie to firmy.

Weryfikację oprzyj na materiałach dotyczących konkretnego pakietu: sprawdź granice odpowiedzialności, sposób zgłaszania awarii, warunki backupu oraz to, czy dokumenty można pobrać przed zakupem. Porównuj treść zobowiązań, a nie same nazwy planów.

Jeśli dostawca deklaruje certyfikat, poproś o nazwę standardu, zakres certyfikacji, podmiot potwierdzający i aktualność dokumentu. MSPAlliance opracowała Unified Certification Standard for Cloud and Managed Service Providers, która definiuje 11 podstawowych warunków potwierdzanych niezależnym audytem. Nawet duże polskie centra danych nie zawsze o niego występują.

Serverion deklaruje wielopoziomowe umowy SLA, całodobowe wsparcie i krótki czas reakcji. Przed wyborem sprawdź, czy te elementy dotyczą wybranego wariantu i są zapisane w jego warunkach.

Przy weryfikacji nowych dostawców bez silnej pozycji na lokalnym rynku lub nienależących do dużych, międzynarodowych grup zachowaj szczególną ostrożność.

Przed podpisaniem poproś o wzór raportu SLA lub sposób samodzielnego sprawdzania wskaźnika. Zestaw pomiar z procedurą zgłoszeń i reklamacją opisaną w umowie.

Sprawdź też, czy SLA jest standardowe, czy podlega negocjacjom, oraz czy przewiduje przegląd parametrów i prawo wyjścia przy trwałym spadku jakości.

Warunki wypowiedzenia, dane i wyjście z umowy

W części umowy dotyczącej okresu obowiązywania sprawdź długość okresu wypowiedzenia, wymaganą formę zgłoszenia, sposób liczenia okresu oraz to, czy umowa odnowi się automatycznie i na jaki czas.

Konsument zawierający umowę na odległość ma 14 dni na odstąpienie bez podania przyczyny. Przy hostingu, jeśli zażądał rozpoczęcia usługi przed upływem terminu, płaci proporcjonalnie za okres, w którym usługa była faktycznie świadczona, a pozostałą część opłaty dostawca zwraca.

Rejestracja domeny jest usługą wykonywaną jednorazowo i nieodwracalnie. Zgodnie z art. 38 ustawy o prawach konsumenta prawo odstąpienia nie przysługuje m.in. gdy usługa została wykonana w pełni za wyraźną i uprzednią zgodą konsumenta oraz po poinformowaniu go o utracie tego prawa.

Osobno ureguluj los danych po zakończeniu współpracy: do kiedy zachowasz dostęp do panelu i plików, w jakim formacie otrzymasz dane i kopie, czy dostawca przechowuje je po zakończeniu umowy, przez jaki czas i jak potwierdza usunięcie.

Jeśli chcesz móc zakończyć umowę po trwałym spadku jakości, uzgodnij osobną klauzulę określającą próg, sposób wykazania problemu i skutek braku poprawy. SLA może umożliwiać rozwiązanie umowy, gdy standardy jakości spadną stale poniżej dopuszczalnego poziomu.

Zapisy o przeglądzie parametrów i o prawie wyjścia przy trwałym pogorszeniu jakości negocjuj razem — sam przegląd bez możliwości rozwiązania umowy daje ograniczone narzędzie nacisku.

Zamiast ogólnego sformułowania „w formie pisemnej” uzgodnij konkretny kanał wypowiedzenia i moment jego doręczenia. Opisz też, od jakiego zdarzenia liczy się okres wypowiedzenia, aby obie strony stosowały tę samą regułę.

Sprawdź czas obowiązywania: na jaki okres umowa jest zawarta. Przy wypowiedzeniu sprawdź, czy okres wypowiedzenia i automatyczne odnowienie są z tym spójne.

Zapisz plan wyjścia: termin pobrania plików, format eksportu danych, sposób przekazania kopii i moment zakończenia dostępu do usługi. Uzgodnij te elementy z terminem przechowywania danych po zakończeniu umowy.

Mechanizm przeglądu i zmiany standardów usług w trakcie umowy łącz z prawem wyjścia. Sam przegląd bez możliwości rozwiązania umowy daje ograniczone narzędzie nacisku.

Checklista przed podpisaniem umowy o hosting

Przed podpisaniem przejdź checklistę w trzech blokach: SLA (dostępność, czas reakcji, czas naprawy), kopie zapasowe i odtwarzanie oraz wypowiedzenie i wyjście z umowy.

Dostępność: jaki procent czasu sprawności jest gwarantowany, w jakim okresie jest liczony (miesiąc czy rok), jak zdefiniowany jest przestój, jakie zdarzenia są z pomiaru wyłączone i czy planowane prace serwisowe wliczają się do niedostępności. 99,9% oznacza maksymalnie 8 godzin przestoju rocznie.

Wsparcie: jaki jest czas reakcji dla awarii krytycznych, a jaki dla pozostałych zgłoszeń, jaki jest maksymalny czas naprawy, jak zgłasza się awarię, jakie informacje musi zawierać zgłoszenie, aby zostało uznane, oraz czy dostępny jest kanał całodobowy. Dla awarii krytycznych czas reakcji bywa określany na 15 minut, a czas naprawy poważnych usterek na 4 godziny; Serverion rekomenduje 99,9% lub więcej oraz maksymalnie 2 godziny na problemy krytyczne. Osobno uzgodnij czas reakcji, naprawy i RTO, np. 4 godziny.

Rekompensaty: jakie kary lub rekompensaty przewidziano za niedotrzymanie parametrów, jak się je wylicza, czy trzeba złożyć wniosek i w jakim terminie.

Backup i odtwarzanie: co obejmuje kopia, jak często jest wykonywana, ile wersji i przez jaki okres jest przechowywanych, gdzie trafiają kopie, kto może je odtworzyć, w jakim czasie, czy odtworzenie jest w cenie usługi i kiedy ostatnio testowano odtworzenie. Sprawdź też, czy dostawca wykonuje backup i aktualizacje w nocy.

Wypowiedzenie i wyjście: długość okresu wypowiedzenia i forma zgłoszenia, sposób liczenia okresu, automatyczne odnowienie i długość kolejnego okresu, los danych oraz kopii po zakończeniu umowy, prawo rozwiązania umowy przy trwałym spadku jakości, a także mechanizm przeglądu i zmiany standardów w trakcie obowiązywania umowy. Sprawdź czas obowiązywania.

Konsument: 14 dni na odstąpienie od umowy zawartej na odległość. Przy hostingu rozpoczętym na żądanie konsument płaci proporcjonalnie za dni świadczenia; przy rejestracji domeny prawo odstąpienia wygasa. Postanowienia mniej korzystne od ustawy o prawach konsumenta są nieważne.

RODO: gdy powierzasz dane osobowe, potrzebna jest umowa powierzenia przetwarzania danych. Administrator działa na podstawie RODO i ustawy o ochronie danych osobowych z 10 maja 2018 r.; organem nadzorczym jest Prezes UODO. Kara za naruszenia ochrony danych wynosi do 10–20 mln euro albo 2–4% światowego obrotu.

Certyfikaty: poproś o nazwę standardu, zakres certyfikacji, podmiot potwierdzający i aktualność dokumentu. MSPAlliance opracowała Unified Certification Standard for Cloud and Managed Service Providers z 11 podstawowymi warunkami potwierdzanymi niezależnym audytem. Nawet duże polskie centra danych nie zawsze o niego występują.

Dostawca: stabilność finansowa i wypłacalność, historia awarii i wycieków danych, od jak dawna świadczy usługę, ile firm z niej korzysta oraz posiadane certyfikaty. Sprawdź, czy nowy dostawca ma silną pozycję na lokalnym rynku lub należy do dużej, międzynarodowej grupy.

Nie kopiuj parametrów bez sprawdzenia, czy odpowiadają potrzebom usługi. Porównuj zapisy dotyczące konkretnej usługi, a nie same nazwy planów.