Contratti per software cloud: durata, livelli di servizio e disdetta

Inquadramento giuridico dei contratti cloud: mandato, appalto o contratto misto

Tre clausole decidono se un contratto di software cloud è verificabile: durata, livelli di servizio e disdetta. Ciascuna diventa controllabile solo con indicazioni precise – durata e passo di rinnovo, valore di misurazione e finestra temporale, termine e forma della disdetta.

Prima della stipula occorre nominare clausole concrete, non semplici dichiarazioni d’intenti. I termini indeterminati rendono difficile il confronto tra la prestazione pattuita e l’esercizio effettivo.

I contratti cloud non costituiscono una tipologia contrattuale autonoma. A seconda dell’oggetto della prestazione rientrano nel diritto del mandato o dell’appalto, quasi sempre integrati da elementi di altri contratti innominati.

Lo spettro va dalle soluzioni cloud ai contratti di consulenza e manutenzione, fino allo sviluppo software su misura. Decisivo non è l’etichetta «cloud», bensì il contenuto concreto della prestazione dovuta.

Per la responsabilità l’inquadramento è centrale. Nel diritto del mandato conta l’esecuzione diligente; nell’appalto il prestatore deve un risultato concreto, ad esempio un’applicazione funzionante.

I contratti cloud sono regolarmente contratti misti. Esaminate separatamente i complessi di obblighi: esercizio e supporto, concessione di licenze, trattamento dei dati, prestazioni progettuali e migrazione. Per ogni complesso deve essere chiaro quali obblighi siano dovuti come risultato e quali come diligenza.

Chi vuole un risultato deve ancorarlo espressamente nel contratto come risultato dovuto – con riferimento a funzioni, quantità, tempi e grandezze di misurazione. Se l’obbligo di prestazione resta aspecifico, far valere un risultato è difficoltoso.

Con fornitori SaaS attivi a livello internazionale conviene fissare espressamente anche la scelta del diritto applicabile. Essa non sostituisce la descrizione precisa delle prestazioni dovute: esercizio, manutenzione, attività progettuali e messa a disposizione del software possono generare obblighi diversi.

Se il contratto è sottoposto al diritto svizzero, vanno esaminati, a seconda del contenuto della prestazione, il mandato, l’appalto e, in caso di concessione d’uso, anche la locazione. L’inquadramento decide su responsabilità, garanzia e sulle clausole contrattuali appropriate. Descrivete pertanto le prestazioni dovute in modo preciso.

Anche secondo il diritto svizzero le condizioni generali di contratto (CGC) hanno limiti sostanziali; la libertà contrattuale conosce confini. Chi utilizza clausole standard per servizi cloud deve tenerne conto.

Definire ambito delle prestazioni, diritti d’uso e delimitazione delle licenze

L’ambito delle prestazioni, i diritti d’uso e la conformità alla protezione dei dati vanno definiti con precisione. I diritti di licenza e le condizioni d’uso devono essere delimitati in dettaglio, per evitare costose rinegoziazioni.

Il SaaS si può riassumere così: il fornitore mette a disposizione online il software per l’uso; manutenzione e aggiornamenti possono far parte dell’offerta. L’accesso avviene spesso tramite browser e la fatturazione è generalmente a abbonamento. Questi punti appartengono alla descrizione delle prestazioni.

I modelli cloud si distinguono in SaaS, PaaS e IaaS. La distinzione incide sull’estensione degli obblighi di esercizio e manutenzione del fornitore.

La gamma di prodotti spazia dagli strumenti di collaborazione come M 365 e Google Workspace ai sistemi CRM, fino alle offerte con IA generativa. L’ambito delle prestazioni va descritto singolarmente per ciascun prodotto.

Elementi tipici dell’ambito delle prestazioni: moduli e funzioni gestiti, numero di utenti e mandanti, volumi di archiviazione e transazioni, interfacce supportate, orari di servizio, finestre di manutenzione, livelli di supporto nonché prestazioni espressamente escluse. Va regolato anche il trattamento di release e aggiornamenti: quali adattamenti sono inclusi e quali vengono fatturati come prestazioni aggiuntive.

Quanto ai diritti d’uso, si tratta di estensione, durata e trasferibilità dell’uso, di sublicenze, utilizzo in gruppi aziendali, uso multiplo da parte di terzi, nonché dei diritti su configurazioni, analisi e dati propri. Chi lascia aperti questi punti rischia controversie proprio quando il sistema è utilizzato in produzione.

Si è rivelata utile una chiara contrapposizione tra «incluso» e «non incluso», nonché una regola su come attivare e tariffare le estensioni. Così l’ambito resta comprensibile per tutta la durata contrattuale.

I fornitori pubblicizzano standard aperti invece del vendor lock-in e il pieno controllo sui propri dati. Che ciò regga si decide dai diritti nel contratto, non dal testo pubblicitario: dai formati di esportazione, dalla documentazione delle interfacce e dalla possibilità di abbandonare il servizio senza la collaborazione del fornitore.

Confronto dei modelli cloud: SaaS, PaaS e IaaS

Durata e acquisto minimo: verificare criticamente i vincoli lunghi

Per i servizi cloud vale la pena esaminare criticamente durata ed eventuale acquisto minimo – la durata è la prima delle tre clausole centrali.

Vanno verificate con attenzione le clausole di rinnovo automatico, i termini di preavviso e il momento in cui è possibile adeguare il numero di utenti o i volumi. Un vincolo legato al numero di utenti o a strutture quantitative equivale di fatto a un obbligo di acquisto minimo: il cliente paga anche quando non necessita più della capacità.

Le condizioni dei fornitori prevedono durate mensili di un mese e annuali di dodici mesi; il passaggio da uno a dodici mesi è di norma possibile. Tali valori devono figurare espressamente nella clausola sulla durata.

Allineate la durata all’orizzonte del progetto o dell’utilizzo, non lasciate che i rinnovi avvengano tacitamente e prevedete diritti di adeguamento per volumi e numero di utenti. Verificate se il vincolo sia effettivamente necessario.

Spesso è negoziabile più di quanto si pensi: inizio della durata dalla messa in produzione, diritto di disdetta in caso di mancato raggiungimento dei livelli di servizio pattuiti o ven meno dello scopo d’uso. Tali punti di uscita sono solitamente più preziosi di uno sconto sul prezzo di listino.

Il contratto deve indicare la durata e le condizioni della disdetta, anche per contratti a tempo indeterminato e a rinnovo automatico. Entrambe le indicazioni appartengono alla stessa clausola; se manca un elemento, nasce un vincolo di fatto difficile da correggere in seguito.

In concreto, in ogni clausola sulla durata devono figurare: durata minima, modalità di rinnovo, termine di preavviso e ultima data utile per la disdetta. Utilizzate valori concreti e riferimenti calendariali o legati ad eventi, anziché termini aperti come «ragionevole» o «consueto di mercato».

Un chiaro fattore scatenante per l’inizio della durata può essere la messa in produzione o il completamento di un servizio di onboarding concordato. I contratti quadro possono anche essere conclusi a tempo indeterminato e iniziare con il completamento del servizio di onboarding. Definite nel contratto l’evento e la sua prova.

Vantaggi e rischi delle clausole di rinnovo automatico

Concordare livelli di servizio misurabili

L’utilizzo di servizi IT è generalmente soggetto ad accordi sui livelli di servizio (SLA). Il contenuto viene negoziato individualmente ed è soggetto a formulazioni vaghe, difficili da verificare.

Affinché un SLA sia verificabile in caso di controversia, i punti rilevanti devono essere determinati o determinabili: cosa si misura, come si misura, su quale periodo si misura e quali conseguenze comporta il mancato rispetto.

Il livello di servizio è la seconda delle tre clausole centrali: chiedete per ogni livello di servizio un numero e un metodo di misurazione – disponibilità in percentuale, finestra di misurazione, strumento di misurazione e la sanzione sotto forma di accredito in percentuale del canone mensile. Senza queste indicazioni la soglia non è verificabile.

Il periodo di riferimento è decisivo: se la disponibilità viene misurata solo sulla media annuale, singoli guasti prolungati possono essere compensati da molti periodi privi di disturbi. Concordate quindi sia il periodo di misurazione sia un limite superiore per i singoli guasti.

Va distinta la tempistica di reazione – ad esempio fino alla conferma di una segnalazione di guasto – dalla tempistica di ripristino fino alla ripresa dell’esercizio.

Negli SLA devono figurare anche gli orari di servizio e le esclusioni: periodi per manutenzioni annunciate, guasti dovuti a mancata fornitura da parte di terzi, uso improprio da parte del cliente e interruzioni pianificate. Una promessa generica come «esercizio 24/7 con livelli di servizio definiti» non descrive ancora quando un servizio si considera disponibile.

Vanno regolati anche prova ed escalation: report e protocolli di misurazione, diritti di accesso ai dati di monitoraggio, interlocutori definiti e livelli di escalation con scadenze.

Come sanzioni sono possibili accrediti contrattualmente concordati, obblighi di rimedio o, in caso di ripetuto mancato rispetto, diritti speciali di disdetta.

Per banche, assicuratori e negozianti di effetti vale la Circolare FINMA 2018/3 «Outsourcing – banche e assicuratori», in vigore dal 1° aprile 2018. Essa esige, tra l’altro, un diritto di ispezione e verifica immediato, completo e senza ostacoli a favore dell’istituto, della sua società di revisione e della FINMA, nonché un inventario aggiornato delle funzioni esternalizzate.

La materialità di una funzione esternalizzata va determinata in modo specifico per istituto. Il Monitoraggio dei rischi 2025 della FINMA, pubblicato il 17 novembre 2025, indica la dipendenza da pochi fornitori ICT come focus vigilanza; l’Associazione svizzera dei banchieri mette a disposizione una guida sul cloud.

Per i clienti soggetti a regolamentazione occorre chiarire innanzitutto quali prescrizioni concrete si applicano all’organizzazione e al servizio. Traducete i requisiti applicabili in obiettivi di prestazione, prove e regole di uscita; i modelli standard non sostituiscono questa verifica.

Formulate misurazione, finestre di manutenzione, eccezioni e conseguenze in modo che entrambe le parti utilizzino gli stessi dati e regole. Stabilite chi fornisce i valori di misurazione e come vengono documentate le deviazioni.

Gli accrediti e le pretese ulteriori vanno regolati separatamente: stabilite se gli accrediti vengono compensati sul canone mensile e se restano salve pretese aggiuntive. Collegate le conseguenze giuridiche al procedimento di misurazione definito e le violazioni ripetute a un possibile diritto di recesso.

Protezione dei dati, ubicazione dei dati e accesso dalla Svizzera

La conformità alla protezione dei dati secondo la legge federale sulla protezione dei dati (LPD) riveduta deve essere regolata contrattualmente, specialmente in caso di flussi transfrontalieri di dati. Il contratto non dovrebbe limitarsi a rinviare alla legge, ma stabilire chi è responsabile di quale trattamento e quali obblighi assume il fornitore.

Sono diffuse le regole sul trattamento per conto: vincolo alle istruzioni, riservatezza, misure tecniche e organizzative, coinvolgimento di subappaltatori, notifica di violazioni della protezione dei dati nonché restituzione e cancellazione dei dati.

Chi tratta dati in un cloud dovrebbe inoltre sapere in quali paesi risiedono e da quali paesi vi si può accedere.

In pratica non basta definire il luogo di archiviazione, ma anche la via di accesso. Vi rientrano la disponibilità delle prove in un formato leggibile, l’accesso dalla Svizzera, la possibilità di esportazione senza collaborazione del fornitore e una regola per il caso in cui il fornitore interrompa il servizio.

Per le questioni di protezione dei dati in Svizzera va coinvolta l’autorità di vigilanza competente. Chiarite quali requisiti si applicano quando i dati personali vengono trasferiti in un cloud.

Il rispetto delle prescrizioni della LPD riveduta va verificato prima della stipula e recepito nel contratto.

Verificate le prove del fornitore relative all’esercizio e alle misure tecniche e organizzative. Le certificazioni o le indicazioni sul data center sono utili se corrispondono alle ubicazioni dei dati e alle vie di accesso concordate. Luogo di archiviazione, via di accesso, esportazione e cancellazione continuano ad appartenere al contratto.

Regolare disdetta, uscita e migrazione dei dati prima della stipula

Per le soluzioni cloud le strategie di uscita e le migrazioni dei dati vanno definite in modo vincolante prima della conclusione del contratto. Ciò che viene negoziato solo nella fase di disdetta diventa costoso: allora il fornitore non ha più interesse a una consegna rapida ed economica.

Da chiarire sono formato ed entità della restituzione dei dati, i termini per la consegna, la cancellazione dopo la migrazione avvenuta, un eventuale esercizio transitorio e la questione di chi sostiene i costi di migrazione.

Va inoltre stabilito se configurazioni, documentazioni delle interfacce, analisi e protocolli vengano consegnati.

Si è rivelato utile un formato standard per l’esportazione. Da concordare sono anche un termine definito di consegna dopo l’efficacia della disdetta, un esercizio continuato a tempo determinato contro compenso preventivamente concordato e una conferma scritta della cancellazione allo scadere del periodo transitorio.

Per i contratti SaaS i termini di preaviso sono abitualmente compresi tra 30 e 90 giorni, per i servizi cloud tra 60 e 120 giorni. Le condizioni dei fornitori menzionano anche contratti mensili con 14 giorni di preaviso alla fine del mese di fatturazione e annuali con 90 giorni alla fine dell’anno di fatturazione.

Dopo la fine del contratto l’accesso può rimanere riattivabile per quattro settimane; successivamente i dati vengono cancellati automaticamente. Una disdetta diventa efficace solo con il ricevimento presso il contraente; il contratto può richiedere una conferma tramite un link inviato.

È sensato prevedere un diritto speciale di disdetta non solo per la disdetta ordinaria, ma anche in caso di ripetute violazioni dei livelli di servizio, ven meno dell’opportunità o modifiche dell’ordinamento giuridico. Prima tali punti di uscita figurano nel contratto, minore è il rischio di un blocco.

Un contratto quadro a tempo indeterminato non termina da sé, ma mediante disdetta. Termine e preavviso stanno quindi al centro della clausola di disdetta e vanno letti insieme alla clausola sulla durata.

Termine di disdetta, preavviso e forma concordata devono essere stabiliti chiaramente. Definite in particolare attraverso quale canale deve pervenire la disdetta e quando si considera ricevuta. Un’indicazione generica come «con preavviso ragionevole» non chiarisce questi passaggi pratici.

Per i fornitori di servizi di trattamento dei dati nel mercato UE si applica dal 12 settembre 2025 il Data Act. L’art. 25 cpv. 2 lett. d esige un diritto di disdetta in qualsiasi momento indipendentemente da una durata fissa, con un termine massimo di due mesi per avviare il cambio; la fase di transizione è fondamentalmente di 30 giorni e può essere prolungata una sola volta fino a sette mesi.

Verificate la qualificazione contrattuale e non solo il termine di disdetta. Chiarite caso per caso quali diritti di disdetta si applicano secondo l’ordinamento giuridico vigente.

Passi per una migrazione sicura dei dati in caso di disdetta

Principali punti di uscita nel contratto cloud

Costi, prestazioni aggiuntive e controllo del budget

Costi aggiuntivi imprevisti sorgono soprattutto dove la delimitazione delle prestazioni resta poco chiara. Ciò che non è descritto espressamente come incluso viene fatturato, in caso di necessità, come prestazione aggiuntiva – percepibile con l’aumento dell’utilizzo.

Il SaaS è considerato un’alternativa economica a progetti di implementazione ampi; vengono meno gli elevati investimenti iniziali per hardware e implementazione. Il calcolo torna solo se le quantità aggiuntive e le estensioni sono tariffate in anticipo e soggette ad approvazione.

Elementi di controllo sono, tra l’altro, il budget IT, gli accordi sui livelli di servizio tra l’azienda e il suo fornitore IT, nonché i contratti di progetto e altri obiettivi. Tali strumenti agiscono solo se formulati in riferimento a progetti e quantità concreti.

Per le collettività pubbliche svizzere si aggiunge una domanda ulteriore: la contabilizzazione dei contratti cloud; il trattamento va chiarito prima della stipula.

Per le estensioni si raccomanda una procedura regolamentata: richiesta, descrizione della prestazione, stima degli sforzi e del prezzo, approvazione e conferma scritta. Senza un tale processo di change request le prestazioni sorgono di fatto da sé e vengono fatturate a posteriori.

La trasparenza dei costi richiede un listino prezzi comprensibile per le quantità aggiuntive, regole per gli adeguamenti dei prezzi durante la durata e un tetto di budget oltre il quale è necessaria una nuova approvazione. Così l’evoluzione dei costi resta governabile, invece di essere solo constatabile.

Prima della firma verificate se i contratti modello corrispondono alla vostra struttura contrattuale e se le CGC del fornitore contengono disposizioni contrastanti. Decisivo è che le indicazioni su ambito delle prestazioni, misurazione, prezzi e disdetta siano riunite nei documenti contrattuali in modo vincolante e privo di contraddizioni.

Checklist per la verifica del prossimo contratto cloud

Inquadramento: È chiaro quali prestazioni sono dovute come risultato e quali come esecuzione diligente? I complessi di obblighi – esercizio, licenza, dati, progetto, migrazione – sono regolati separatamente?

Ambito delle prestazioni: Sono elencati moduli, numero di utenti, volumi, interfacce, orari di supporto e prestazioni espressamente escluse? Aggiornamenti e release sono assegnati?

Diritti d’uso: Sono regolati estensione, durata, trasferibilità e sublicenze? Sono chiariti i diritti su configurazioni, analisi e dati del cliente?

Durata: Quanto dura la durata minima, come si rinnova il contratto e con quale preavviso si può recedere? I valori figurano come numeri nel contratto – ad esempio una durata mensile con 14 giorni di preavviso o annuale con 90 giorni?

Livelli di servizio: Cosa si misura, come e su quale periodo? La disponibilità è indicata come percentuale con finestra e strumento di misurazione? Sono definiti tempi di reazione e di ripristino, orari di servizio, esclusioni, reporting, escalation e sanzioni?

Protezione dei dati: Sono regolati responsabilità, vincolo alle istruzioni, subappaltatori, obblighi di notifica e cancellazione secondo la LPD riveduta? Sono regolati ubicazione dei dati e via di accesso dalla Svizzera?

Uscita: Sono stabiliti prima della stipula formato ed entità della restituzione dei dati, termini, esercizio transitorio e ripartizione dei costi? La cancellazione viene confermata ed è regolato per quanto tempo l’accesso rimane riattivabile dopo la fine del contratto?

Costi: Sono concordati listino prezzi per prestazioni aggiuntive, regole di adeguamento dei prezzi, procedura di change request e un limite di approvazione nel budget?

Basi giuridiche: È indicato il diritto applicabile e l’inquadramento secondo mandato, appalto o locazione è comprensibile in base alle prestazioni dovute?

Diritto svizzero: Gli obblighi derivanti dall’inquadramento secondo mandato, appalto o locazione sono recepiti nelle clausole contrattuali?

Responsabilità e CGC: Sono considerati i limiti per le clausole di responsabilità e di service credit nonché per la redazione delle CGC?

Vigilanza: È nominata l’autorità di vigilanza competente per la protezione dei dati? Le prescrizioni della LPD riveduta sono recepite nel contratto?

Regolamentazione: Per banche, assicuratori e negozianti di effetti è verificato se si applicano la Circolare FINMA 2018/3 «Outsourcing – banche e assicuratori» e la Circolare FINMA 2023/1 «Rischi operativi e resilienza – banche»? Sono concordati diritto di ispezione e verifica a favore della FINMA nonché un inventario delle funzioni esternalizzate?

Termini di cambio: Il contratto prevede per i fornitori nel mercato UE un diritto di disdetta in qualsiasi momento, un termine massimo di due mesi per avviare il cambio e una fase di transizione di 30 giorni?

Indicazioni del fornitore: Sono disponibili CGC e SLA? Orari di servizio promessi, eccezioni, dati di misurazione, ubicazione dei dati e procedure di cancellazione sono descritti concretamente?

Clausole centrali: Durata, livelli di servizio e disdetta figurano ciascuno come numero nel contratto – durata del vincolo, disponibilità in percentuale, termine di preavviso? Se manca uno di questi numeri, la clausola non è verificabile.

Documenti contrattuali: CGC, SLA, descrizione delle prestazioni, accordo sulla protezione dei dati e regola di uscita sono designati come parti del contratto? Gerarchia, termini e definizioni di misurazione coincidono in tutti i documenti? Durata e logica di disdetta sono regolate senza contraddizioni negli allegati?