CNUDMI - A-CN.9-WG.IV-WP.148

Naciones Unidas A/CN.9/WG.IV/WP.148

Asamblea General

Distr. limitada 30 de enero de 2018

Español Original: inglés

V.18 -00392 (S) 060318 060318 1800392

Comisión de las Naciones Unidas para el Derecho Mercantil Internacional Grupo de Trabajo IV (Comercio Electrónico ) 56º período de sesiones Nueva York, 16 a 20 de abril de 2018

Aspectos contractuales de la computación en la nube

Nota de la Secretaría

Índice Capítulo Página

I. Introducción ................................ ................................ .. 5

II. Proyecto de lista de verificación sobre las principales cuestiones que podrían plantear los contratos de computación en la nube ................................ .............. 5

Introducción ................................ ................................ ... 5 Primera parte. Principales aspectos precontractuales ................................ ..... 7

A. Verificación de la existencia de normas imperativas y otros requisitos ................... 7

Ubicación de los datos ................................ ....................... 7 Requisitos relativos al proveedor ................................ ........... 7

B. Evaluación precontractual de riesgos ................................ ............ 8

Verificación de la información sobre el proveedor elegido ............................ 8 Pruebas de penetración, auditorías y visitas sobre el terreno .......................... 9 Riesgo de que se vulneren derechos de propiedad intelectual .......................... 9 Riesgos de dependencia tecnológica ................................ ............. 9 Riesgos de continuidad de las operaciones ................................ ........ 10 Estrategias de salida ................................ ........................ 10

C. Otros aspectos precontractuales ................................ ................ 10

Revelación de información ................................ .................... 10

Riesgos de continuidad de las operaciones ................................ ........ 10 Estrategias de salida ................................ ........................ 10

C. Otros aspectos precontractuales ................................ ................ 10

Revelación de información ................................ .................... 10 Confidencialidad ................................ ........................... 11 Migración a la nube ................................ ......................... 11A/CN.9/WG.IV/WP.148

V.18-00392 2/43

Segunda parte. La redacción del contrato ................................ ............. 12

A. Consideraciones generales ................................ .................... 12

Libertad de contratación ................................ ..................... 12 La formación del contrato ................................ .................... 12 La forma del contrato ................................ ........................ 12 Definiciones y terminología ................................ ................... 13 Contenido mínimo del contrato ................................ ................ 13

B. Identificación de las partes ................................ ................ 13

C. Definición del objeto y ámbito de aplicación del contrato............................. 14

Acuerdo sobre las características de los servicios (SLA) ............................. 14 Ejemplos de parámetros de desempeño cuantitativos ............................ 14 Ejemplos de parámetros de desempeño cualitativos ............................. 15 Evaluación del desempeño ................................ .................... 16 La política de uso aceptable (AUP) ................................ ............. 16 Política de seguridad ................................ ........................ 17 Integridad de los datos ................................ ....................... 17 Cláusula de confidencialidad ................................ .................. 18 Protección de datos, política de privacidad o acuerdo de procesamiento de datos .......... 18 Obligaciones derivadas de las violaciones de los datos y otros incidentes de seguridad ..... 19

D. Derechos sobre los datos del cliente y otros contenidos .............................. 19

Derechos del proveedor sobre los datos del cliente necesarios para la prestación

Obligaciones derivadas de las violaciones de los datos y otros incidentes de seguridad ..... 19

D. Derechos sobre los datos del cliente y otros contenidos .............................. 19

Derechos del proveedor sobre los datos del cliente necesarios para la prestación de los servicios ................................ ............................. 19 Utilización de los datos del cliente por parte del proveedor para otros fines .............. 20 Utilización por parte del proveedor del nombre, logotipo y marcas del cliente ............ 20 Actuaciones del proveedor relativas a los datos del cliente tras recibir un requerimiento del Estado o para cumplir la normativa vigente ................................ .... 21 Derechos sobre los datos obtenidos de los servicios de nube .......................... 21 Cláusula de protección de los derechos de propiedad intelectual ....................... 21 Recuperación de datos con una finalidad jurídica ................................ .. 21 Eliminación de datos ................................ ........................ 22

E. Auditorías y supervisión ................................ ...................... 22

Actividades de supervisión ................................ .................... 22 Auditorías y pruebas de seguridad ................................ .............. 23

F. Condiciones de pago ................................ ........................ 23

Pago por uso ................................ .............................. 23 Derechos de licencia ................................ ........................ 23 Costos adicionales ................................ .......................... 24 Cambios en los precios ................................ ....................... 24 Otras condiciones de pago ................................ .................... 24A/CN.9/WG.IV/WP.148

3/43 V.18-00392

G. Cambios en los servicios ................................ ..................... 24

Actualizaciones ................................ ............................ 25 Degradación o interrupción de los servicios ................................ ...... 25 Suspensión de servicios a discreción del proveedor ................................ . 25 Notificación de los cambios ................................ ................... 26

H. Subcontratistas, proveedores del proveedor y externalización ......................... 26

Degradación o interrupción de los servicios ................................ ...... 25 Suspensión de servicios a discreción del proveedor ................................ . 25 Notificación de los cambios ................................ ................... 26

H. Subcontratistas, proveedores del proveedor y externalización ......................... 26

Indicación de quienes intervengan en la cadena de subcontratación .................... 26 Cambios en la cadena de subcontratación ................................ ........ 27 Armonización de las condiciones contractuales con otros contratos vinculados ............ 27 Responsabilidad de los subcontratistas, proveedores del proveedor y otros terceros ........ 27

I. Responsabilidad ................................ ............................ 27

Asignación de riesgos y responsabilidades ................................ ........ 27 Exclusión o limitación de responsabilidad ................................ ........ 28 Seguro de responsabilidad civil ................................ ................ 29 Requisitos legales ................................ ........................... 29

J. Recursos disponibles en caso de incumplimiento de contrato .......................... 30

Tipos de recursos disponibles ................................ .................. 30 Suspensión o cancelación de los servicios ................................ ........ 30 Créditos para la utilización de servicios ................................ .......... 30 Formalidades que han de seguirse en caso de incumplimiento del contrato ............... 31

K. Duración y extinción del contrato ................................ ........... 31

Fecha efectiva de entrada en vigor del contrato ................................ .... 31 Duración del contrato ................................ ....................... 31 Rescisión y resolución del contrato ................................ ............. 31 Resolución del contrato por razones de conveniencia ............................ 31 Resolución por incumplimiento ................................ ............. 32 Rescisión por modificaciones inaceptables del contrato .......................... 32 Rescisión en caso de insolvencia ................................ ............ 32 Resolución en caso de cambio de control ................................ ..... 33 Cláusula sobre cuentas inactivas ................................ ............ 33

Rescisión por modificaciones inaceptables del contrato .......................... 32 Rescisión en caso de insolvencia ................................ ............ 32 Resolución en caso de cambio de control ................................ ..... 33 Cláusula sobre cuentas inactivas ................................ ............ 33

L. Obligaciones relativas a la finalización del servicio ................................ . 33

Plazo para la exportación ................................ .................... 33 Acceso del cliente al contenido que se ha de exportar ............................... 34 Asistencia por parte del proveedor durante la exportación ........................... 34 Eliminación de los datos de la infraestructura de nube del proveedor ................... 34 Conservación de los datos con posterioridad a la extinción del contrato ................. 34 Cláusula de confidencialidad para después de la extinción del contrato ................. 35 Auditorías posteriores a la extinción del contrato ................................ .. 35 Saldo remanente en cuenta ................................ .................... 35A/CN.9/WG.IV/WP.148

V.18-00392 4/43

M. Solución de controversias ................................ ..................... 35

Mecanismos de solución de controversias ................................ ........ 35 Proceso arbitral ................................ ............................ 35 Proceso judicial ................................ ............................ 35 Conservación de datos ................................ ....................... 36 Plazo de prescripción para la presentación de reclamaciones ......................... 36

N. Cláusulas de elección de la ley y el foro ................................ ....... 36

Cuestiones que deben tenerse en cuenta a la hora de elegir la ley y el foro ............... 36 Derecho imperativo y foro ................................ .................... 36 Ley y foro del proveedor o del cliente ................................ ............ 37 Multiplicidad de opciones................................ ..................... 37 Ausencia de cláusulas de elección de ley y foro ................................ .... 37

Derecho imperativo y foro ................................ .................... 36 Ley y foro del proveedor o del cliente ................................ ............ 37 Multiplicidad de opciones................................ ..................... 37 Ausencia de cláusulas de elección de ley y foro ................................ .... 37

O. Notificaciones ................................ ............................. 37

P. Otras cláusulas ................................ ............................. 38

Q. Modificación del contrato ................................ .................... 38

Glosario ................................ ................................ ........ 39A/CN.9/WG.IV/WP.148

5/43 V.18-00392

I. Introducción

1. El Grupo de Trabajo tal vez desee remitirse a los párrafos 1 a 6 del documento A/CN.9/WG.IV/WP.142 para obtener información de antecedentes sobre el trabajo realizado en materia de computación en la nube antes del 55º período de sesiones del Grupo de Trabajo (Nueva York, 24 a 28 de abril de 2017). En el programa provisional del período de sesiones en curso se ofrece un resumen de los avances realizados por el Grupo de Trabajo en su 55º período de sesi ones y por la Comisión en su 50º período de sesiones (véase el documento A/CN.9/WG.IV/WP.147 , párrs. 7 y 8).

2. De conformidad con la recomendación del Grupo de Trabajo sobre la posible labor futura en materia de computación en la nube ( A/CN.9/902 , párr. 23) y las opiniones expresadas al respecto en el 50º período de sesiones de la Comisión 1 , la eecretaría presenta al Grupo de Trabajo para su examen un proyecto de lista de verificación que incluye las principales cuestiones relacionadas con los contratos de computación en la nube. El proyecto de lista de verificación, elaborado por la eecretaría con la

presenta al Grupo de Trabajo para su examen un proyecto de lista de verificación que incluye las principales cuestiones relacionadas con los contratos de computación en la nube. El proyecto de lista de verificación, elaborado por la eecretaría con la participación de expertos, refleja las consideracion es preliminares formuladas por el Grupo de Trabajo en lo que respecta al ámbito de aplicación y al contenido que podría tener una lista de verificación, así como a los criterios para su redacción ( A/CN.9/902 , párrs. 11 a 28). 3. ee prevé que el Grupo de Trabajo informe sobre los progresos de su labor en materia de computación en la nube a la Comisión en su 51º período de sesiones (Nueva York, 25 de junio a 13 de julio de 2018) 2. Teniendo en cuenta quiénes se rán los probables destinatarios de la lista de verificación y las transacciones para las cuales se prevé que se utilice, el Grupo de Trabajo tal vez desee considerar si la lista debería elaborarse como un instrumento de referencia en línea. En ese caso, el Grupo de Trabajo tal vez desee recomendar a la Comisión dicha posibilidad y, en concreto, sugerir que la eecretaría elabore un instrumento de referencia en línea que refleje el contenido sustantivo del proyecto de lista de verificación en su versión revis ada por el Grupo de Trabajo en su 56º período de sesiones y por la Comisión en su 51º período de sesiones.

II. Proyecto de lista de verificación sobre las principales cuestiones que podrían plantear los contratos de computación en la nube

[Los término s que aparecen en negrita en la lista de verificación se describen en el glosario que figura a continuación de la lista. En un instrumento de referencia en línea

cuestiones que podrían plantear los contratos de computación en la nube [Los término s que aparecen en negrita en la lista de verificación se describen en el glosario que figura a continuación de la lista. En un instrumento de referencia en línea podrían explicarse de una forma más sencilla para el usuario .]

Introducción

1. En la lista de verificación se abordan la s principales cuestiones que podrían plantear los contratos de computación en la nube firmados por entidades mercantiles en los que una de las partes (el proveedor) proporciona a la otra (el cliente) uno o más servicios d e computación en la nube para un usuario final. Los contratos de reventa u otras formas de distribución de los servicios de computación en la nube están excluidos del ámbito de aplicación de la lista de verificación. Asimismo, quedan excluidos de su ámbito de aplicación los contratos de servicios de computación en la nube firmados con colaboradores y otros terceros que pueda n participar en la prestación de estos servicios al cliente (por ejemplo, los contratos firmados con subcontratistas o proveedores de s ervicios de Internet). __________________ 1 Documentos Oficiales de la Asamblea General , septuagésimo segundo período de sesiones, Suplemento núm. 17 (A/72/17 ), párrs. 116 a 127. 2 Ibid. , párrs. 116 y 127.A/CN.9/WG.IV/WP.148

V.18-00392 6/43

2. Los contratos de computación en la nube pueden llegar a calificarse en función de lo previsto en la legislación aplicable como un contrato de servicios, de alquiler, de

V.18-00392 6/43

2. Los contratos de computación en la nube pueden llegar a calificarse en función de lo previsto en la legislación aplicable como un contrato de servicios, de alquiler, de externalización, de licencia, como un contrato mixto o de ot ro tipo. Los requisitos legalmente previstos en cuanto a su forma y contenido pueden, por tanto, variar.

En algunas jurisdicciones, las propias partes en el contrato pueden calificarlo como de un tipo determinado cuando la legislación es ambigua o no se p ronuncia sobre esa cuestión. Los tribunales pueden tener en cuenta esta calificación a la hora de interpretar las cláusulas del contrato, a menos que ello sea contrario a la ley, a la práctica de los tribunales, a la verdadera intención de las partes, a la s circunstancias del caso o a las costumbres o prácticas comerciales.

3. Las cuestiones abordadas en la presente lista pueden aparecer en los contratos de computación en la nube, con independencia del tipo de servicios de computación en la nube de que se t rate (por ejemplo, IaaS, PaaS o SaaS), de su modelo de despliegue

(por ejemplo, público, compartido, privado o híbrido ) y de las condiciones de pago (con o sin remuneración). La lista de verificación se centra en los contratos de servicios de computación e n la nube de tipo SaaS público con remuneración.

4. La capacidad para negociar las cláusulas de los contratos de computación en la nube dependerá de muchos factores, en especial de si el contrato versa sobre soluciones de nube genéricas y estandarizadas p ara múltiples suscriptores o sobre una solución personal, hecha a medida; de si existen o no ofertas competidoras, así como de las

de nube genéricas y estandarizadas p ara múltiples suscriptores o sobre una solución personal, hecha a medida; de si existen o no ofertas competidoras, así como de las posiciones de negociación de las partes en el contrato. La capacidad para negociar las condiciones de un contrato (en especia l las cláusulas sobre suspensión, resolución o modificación unilateral del contrato por parte del proveedor y las cláusulas de responsabilidad) puede ser un factor importante a la hora de elegir un proveedor en los casos en los que es posible elegir [cross -link ]. Aunque la lista de verificación ha sido elaborada, principalmente, para las partes que negocian un contrato de computación en la nube, también puede resultar útil para los clientes que deseen revisar las condiciones estándar ofrecidas por los proveedores con el fin de determinar si dichas condiciones se ajustan a sus necesidades.

5. Las partes no deben considerar esta lista de verificación como una fuente de información exhaustiva sobre la redacción de contratos de computación en la nube ni como un sustituto del asesoramiento jurídico y técnico o de los servicios de asesores profesionales competentes. En la lista se s eñalan algunas cuestiones que las quienes consideren la posibilidad de suscribir un cont rato deberían tener en cuenta antes y durante su redacción, sin pretender transmitir la idea de que todas estas cuestiones deb an considerarse siempre. Las diversas soluciones propuestas a las cuestiones examinadas en la lista de verificación no se aplica rán a las relaciones entre las partes a men os que estas las acepten expresamente, o a menos que las soluciones resulten de lo dispuesto en la ley aplicable. Ni los títulos ni los epígrafes utilizados en la lista de verificación ni su orden deben considerarse obligatorios ni debe entenderse que se s ugiere una

estas las acepten expresamente, o a menos que las soluciones resulten de lo dispuesto en la ley aplicable. Ni los títulos ni los epígrafes utilizados en la lista de verificación ni su orden deben considerarse obligatorios ni debe entenderse que se s ugiere una determinada estructura o estilo para los contrato s de computación en la nube. La forma, el contenido, el estilo y la estructura de los contratos de computación en la nube pueden variar considerablemente según las diversas tradiciones jurídicas, estilos de redacción, requisitos legales, y necesidades y preferencias de las partes. 6. [La lista de verificación no debe entenderse como una expresión de la opinión de la CNUDMI sobre la conveniencia de celebrar contratos de computación en la nube .]

7. La lista de verificación consta de dos partes y un glosario: en la primera parte se abordan los principales aspectos precontractuales que las futuras partes, primordialmente el cliente, podr ían tener en cuenta antes de firmar un contrato de computación en la nube; en la segunda , se abordan las principales cuestiones contractuales que las partes podrían necesitar resolver al redactar un contrato de computación en la nube; y en el glosario se describen algunos de los términos técnicos utilizados en la lista a fin de facilitar su comprensión.A/CN.9/WG.IV/WP.148

7/43 V.18-00392

Primera parte. Principales aspectos precontractuales

A. Verificación de la existencia de normas imperativas y otros requisitos

8. El marco jurídico aplicable al cliente, al proveedor o a ambos puede imponer ciertas condiciones para la celebración de un contrato de computación en la nube. Estas condiciones pueden también tener su origen en obligaciones contractuales, como las que

requisitos

8. El marco jurídico aplicable al cliente, al proveedor o a ambos puede imponer ciertas condiciones para la celebración de un contrato de computación en la nube. Estas condiciones pueden también tener su origen en obligaciones contractuales, como las que surgen de las licencias de propiedad intelectual . El cliente y el proveedor deben prestar especial atención a las leyes y los reglamentos sobre datos personales , ciberseguridad, control de las exportaciones, aduanas, impuestos, secretos comerciales, propiedad intelectual y a la normativa específica de cada sector a la que, tanto ellos como sus futuros contratos, puedan estar sujetos. El incumplimiento de los requisitos obligatorios puede acarrear importantes consecuencias negativas como la invalidez o la inexig ibilidad del contrato, o de una parte del mismo, multas administrativas y responsabilidad penal.

9. Las condiciones para celebrar un contrato de computación en la nube pueden variar por sector y jurisdicción. Pueden incluir la obligación de adoptar medida s especiales para proteger los derechos de los sujetos de los datos , desplegar un determinado modelo de servicio (nube privada , en lugar de pública ), cifrar los datos alojados en la nube y registrar ante las autoridades del Estado una transacción o un prog rama informático utilizado en el tratamiento de los datos personales . También pueden incluir requisitos de ubicación de los datos, así como requisitos relativos al proveedor.  Ubicación de los datos

10. Los requisitos de ubicaci ón de los datos pueden deriva rse especialmente de la legislación aplicable en materia de datos personales , datos contables y datos del sector público, así como de las leyes y reglamentos de control de las exportaciones que pueden limitar la transmisión de determinados datos o programa s informáticos a ciertos países.

legislación aplicable en materia de datos personales , datos contables y datos del sector público, así como de las leyes y reglamentos de control de las exportaciones que pueden limitar la transmisión de determinados datos o programa s informáticos a ciertos países. También pueden derivarse de obligaciones contractuales, por ejemplo, de las licencias de propiedad intelectual que pueden llegar a exigir que el contenido bajo licencia se aloje en los servidores seguros del propio usuario. Establecer requisitos de ubicación de los datos puede resultar deseable por meras razones prácticas, entre ellas, para aumentar la latencia , algo especialmente importante en las operaciones en tiempo real como las operaciones bursátiles.

11. El proveedor, en sus condiciones estándar, puede reservarse expresamente el derecho de alojar los datos del cliente en cualquier país en el que operen tanto él como sus subcontratistas. Es muy probable que se siga dicha práctica incluso cuando no exista una disposición de derecho contractual en ese sentido, ya que es algo implícito en la prestación de los servicios de computación en la nube que, por regla gen eral, se suministran desde más de un lugar (por ejemplo, las copias de seguridad y la protección antivirus pueden hacerse a distancia remoto y la atención al cliente puede ofrecerse de un modo que permita aprovechar los husos horarios, en función del huso horario de cada cliente). El cliente que deba cumplir los requisitos de ubicación de los datos podría necesitar que el proveedor le garantizase que es posible cumplir tales requisitos. En los contratos de computación en la nube en los que es posible negoc iar, podrían incluirse ciertas salvaguardias, como la prohibición de dejar una ubicación especificada o la necesidad de que el proveedor obtenga la autorización previa del cliente para hacerlo [cross -link ].

podrían incluirse ciertas salvaguardias, como la prohibición de dejar una ubicación especificada o la necesidad de que el proveedor obtenga la autorización previa del cliente para hacerlo [cross -link ].  Requisitos relativos al proveedor

12. Las posibilidades del cliente de elegir a l proveedor más adecuado puede estar limitada, además de por las condiciones del mercado, por disposiciones reglamentaria s.

Es posible que la ley prohíba celebrar contratos de computación en la nube con proveedores extranjeros, con proveedores de determinadas jurisdicciones o con proveedores que no hayan sido acreditados ante las autoridades competentes del Estado o no hayan recibido cer tificación de estas . Quizás la ley exija al proveedor extranjero constituir una empresa conjunta con un proveedor nacional u obtener licencias yA/CN.9/WG.IV/WP.148

V.18-00392 8/43

permisos locales, como permisos de control a las exportaciones, para poder prestar servicios de computación en la nube en una jurisdicción determinada . La elección del proveedor puede verse también afectada por los requisitos relativos a la ubicación de los datos [cross -link ]. A la hora de elegir el proveedor adecuado el cliente también debería tener en cuenta las obligaciones del proveedor previstas en la ley en cuanto a si debe proporcionar acceso a los datos de sus clientes o revelar dichos datos y suministrar alguna otra información a las autoridades de Estados extranjeros.

B. Evaluación precontractual de rie sgos

13. Las normas imperativas pueden exigir que se realice una evaluación de riesgos como condición para celebrar un contrato de computación en la nube. Incluso cuando la

B. Evaluación precontractual de rie sgos

13. Las normas imperativas pueden exigir que se realice una evaluación de riesgos como condición para celebrar un contrato de computación en la nube. Incluso cuando la ley no imponga este requisito, las partes en un contrato de computación en la nub e pueden decidir llevar a cabo una evaluación de riesgos que podría ayudarles a determinar cuáles son las medidas más adecuadas para mitigarlos, como la negociación de ciertas cláusulas.

14. No todos los riesgos derivados de los contratos de computación e n la nube son específicos de este campo. Algunos de ellos podrían tener que abordarse de forma independiente al contrato de computación en la nube (por ejemplo, los riesgos derivados de las interrupciones en la conexión a Internet), y no todos pueden mitig arse a un coste aceptable (por ejemplo, los daños a la reputación). Además, es posible que la evaluación de riesgos no pueda llevarse a cabo de una sola vez antes de concluir un contrato. Es posible que la evaluación de riesgos se lleve a cabo continuament e durante la vigencia del contrato y que de ello resulte la modificación o resolución de este .  Verificación de la información sobre el proveedor elegido

15. La siguiente información puede ayudar al cliente a ponderar los posibles riesgos de contratar con un determinado proveedor: a) Las políticas de privacidad, confidencialidad y seguridad del proveedor, en especial en lo que respecta a la prevención de accesos no autorizados, la utilización, la alteración o la destrucción de los datos del cliente durante el tratamiento, el tránsito o la transmisión a los sistemas del proveedor y hacia fuera de ellos ; b) Las garantías ofrecidas al cliente de acceso permanente a los metadatos ,

la alteración o la destrucción de los datos del cliente durante el tratamiento, el tránsito o la transmisión a los sistemas del proveedor y hacia fuera de ellos ; b) Las garantías ofrecidas al cliente de acceso permanente a los metadatos , registros de auditoría y otros registr os que demuestren la existencia de medidas de seguridad; c) La existencia de un plan de recuperación en casos de desastre y las obligaciones de notificación en caso de violación de la seguridad o mal funcionamiento del sistema; d) El hecho de que el proveedor ofrezca asistencia en los procesos de migración a la nube y finaliza ción del servicio, así como garantías de interoperabilidad y transferi bilidad ; e) Las medidas existentes de investigación de los antecedentes y capacitación de empleados, subcontratistas y otros terceros que participen en la prestación de los servicios de computación en la nube ; f) Las estadísticas de incidentes de seguridad e información sobre la calidad del servicio en anteriores procedimientos de recupera ción en casos de desastre; g) La certificación otorgada por un tercero independiente que acredite el cumplimiento de las normas técnicas; h) La acreditación de la periodicidad y el alcance de la auditoría realizada por un órgano independiente; i) La solvencia financiera d