Clausole penali e risarcimento danni nelle SLA dei servizi di Hosting

Chi ha bisogno di un contratto di servizio?

Si pensa che gli SLA abbiano avuto origine con i fornitori di servizi di rete, ma ora sono ampiamente utilizzati in una vasta gamma di campi legati all’IT. Alcuni esempi di settori che stabiliscono SLA includono fornitori di servizi IT e fornitori di servizi gestiti, nonché fornitori di servizi Internet e cloud computing.

Quali sono i tre tipi di SLA?

Esistono tre tipi di base di SLA: contratto del livello di servizio del cliente, interno e multilivello.

Un contratto a livello di servizio clienti è tra un fornitore di servizi e i suoi clienti esterni. A volte è chiamato contratto di servizio esterno.

In uno SLA basato sul cliente, il cliente e il fornitore di servizi raggiungono un accordo negoziato sui servizi che verranno forniti. Ad esempio, un’azienda può negoziare con il fornitore di servizi IT che gestisce il proprio sistema di contabilità fornitori per definire in dettaglio le proprie specifiche relazioni e aspettative.

Un contratto a livello di servizio clienti include:

• i dettagli esatti del servizio previsto dal cliente;
• disposizioni della disponibilità del servizio;
• standard per ogni livello di servizio;
• le responsabilità di ciascuna parte;
• procedure di escalation; e
• termini per la cancellazione.

Uno SLA interno è tra un’organizzazione e il suo cliente interno: potrebbe trattarsi di un’altra organizzazione, dipartimento o sito.

Ciò significa che, sebbene un’azienda possa avere uno SLA aperto con ciascuno dei suoi clienti, potrebbe anche avere uno SLA separato tra i suoi reparti marketing e vendite.

Ad esempio, il reparto vendite di un’azienda ha quasi € 10.000 di vendite ogni mese, con ogni vendita del valore di € 500. Se il tasso di chiusura medio del team di vendita è del 20%, le vendite sanno che il marketing deve fornire almeno 100 lead qualificati ogni mese.

Pertanto, il capo del reparto marketing dell’organizzazione può collaborare con il capo del reparto vendite su uno SLA che prevede che il reparto marketing invierà 100 contatti qualificati al direttore delle vendite entro una data specifica ogni mese.

Questo contratto sul livello di servizio potrebbe prevedere che includerà quattro rapporti di stato settimanali ogni mese inviati dal marketing alle vendite per garantire che i contatti che il team di vendita sta ottenendo consentano loro di raggiungere il loro obiettivo di vendita mensile.

Uno SLA multilivello dividerà l’accordo in vari livelli specifici per una serie di clienti che utilizzano il servizio. Ad esempio, un fornitore di software come servizio ( SaaS ) potrebbe offrire servizi di base e supporto a tutti i clienti che utilizzano un prodotto, ma potrebbe anche offrire fasce di prezzo diverse al momento dell’acquisto del prodotto che determinano livelli di servizio diversi. Questi diversi livelli di servizio saranno stratificati nello SLA multilivello.

Esempi di SLA

Un esempio specifico di SLA è un contratto sul livello di servizio del data center. Questo SLA includerà:

• Una garanzia di uptime che indica la percentuale di tempo in cui il sistema è disponibile. Niente di meno che un tempo di attività del 99,99% dovrebbe essere considerato accettabile per i moderni data center di livello aziendale.
• Una definizione di condizioni ambientali adeguate. Ciò dovrebbe includere le pratiche di supervisione e manutenzione, nonché gli standard di riscaldamento e raffreddamento.
• La promessa del supporto tecnico. I clienti devono essere certi che il personale del data center risponderà in modo rapido ed efficace a qualsiasi problema e sarà disponibile in qualsiasi momento per risolverlo.
• Precauzioni di sicurezza dettagliate che manterranno al sicuro i beni del cliente. Ciò potrebbe includere misure di sicurezza informatica che proteggono dagli attacchi informatici, nonché misure di sicurezza fisica che limitano l’accesso al data center al personale autorizzato. Le funzionalità di sicurezza fisica potrebbero includere l’autenticazione a due fattori , le voci gated, le telecamere e l’autenticazione biometrica.

Un altro esempio specifico di SLA è un contratto sul livello di servizio del provider di servizi Internet. Questo SLA includerà una garanzia di uptime, ma definirà anche le aspettative di consegna dei pacchetti e la latenza. La consegna dei pacchetti si riferisce alla percentuale di pacchetti di dati ricevuti rispetto al numero totale di pacchetti di dati inviati. La latenza è la quantità di tempo necessaria a un pacchetto per viaggiare tra client e server.

Come convalidare i livelli SLA

La verifica dei livelli di erogazione del servizio del fornitore è necessaria per l’applicazione di un contratto di servizio. Se lo SLA non venisse adeguatamente adempiuto, il cliente potrebbe essere in grado di richiedere il risarcimento concordato nel contratto.

La maggior parte dei fornitori di servizi rende disponibili le proprie statistiche sul livello di servizio tramite un portale online. Ciò consente ai clienti di monitorare se viene mantenuto il livello di servizio corretto. Se scoprono che non lo è, il portale consente anche ai clienti di vedere se hanno diritto a un risarcimento.

Questi sistemi e processi sono spesso controllati da società terze specializzate. In tal caso, è necessario che anche la terza parte sia inclusa nelle trattative SLA. Ciò fornirà loro chiarezza sui livelli di servizio che dovrebbero essere monitorati e spiegazioni su come rintracciarli.

Sono inoltre disponibili strumenti che automatizzano l’acquisizione e la visualizzazione dei dati sulle prestazioni a livello di servizio.

SLA e clausole di indennizzo

Un indennizzo è un obbligo contrattuale assunto da una parte – l’indennizzo – di risarcire i danni, le perdite e le responsabilità subite da un’altra parte – l’indennizzo – o da una terza parte. All’interno di uno SLA, una clausola di indennizzo richiederà al fornitore di servizi di riconoscere che il cliente non è responsabile per eventuali costi sostenuti per violazione delle garanzie contrattuali. La clausola risarcitoria imporrà inoltre al prestatore di servizi il pagamento al cliente di eventuali spese di contenzioso da parte di terzi derivanti dall’inadempimento contrattuale.

Per limitare la portata degli indennizzi, un fornitore di servizi può:

• consultare un avvocato;
• limitare il numero degli indennizzi;
• stabilire limiti monetari per la clausola;
• creare limiti di tempo;
• definire il punto in cui inizia la responsabilità dell’indennizzo.

Metriche delle prestazioni SLA

Gli SLA includono metriche per misurare le prestazioni del fornitore di servizi. Poiché può essere difficile selezionare metriche corrette per il cliente e il fornitore di servizi, è importante che le metriche siano sotto il controllo del fornitore di servizi. Se il fornitore di servizi non è in grado di controllare se una metrica si comporta come specificato, non è corretto ritenere il fornitore responsabile per quella metrica.

E dovrebbe essere facile raccogliere accuratamente i dati per le metriche: l’acquisizione automatica dei dati sarebbe la cosa migliore. Inoltre, lo SLA dovrebbe specificare una linea di base ragionevole per le metriche, che può essere perfezionata quando sono disponibili più dati su ciascuna metrica.

Gli SLA stabiliscono le aspettative dei clienti in merito alle prestazioni e alla qualità del fornitore di servizi in diversi modi. Alcune metriche che gli SLA possono specificare includono:

• Disponibilità e percentuale di uptime . La quantità di tempo in cui i servizi sono in esecuzione e accessibili al cliente. Il tempo di attività viene generalmente monitorato e riportato per mese di calendario o ciclo di fatturazione.
• benchmark di prestazione specifici.La performance effettiva sarà periodicamente confrontata con questi benchmark.
• Tempo di risposta del fornitore di servizi. Il tempo impiegato dal fornitore di servizi per rispondere al problema o alla richiesta di un cliente. Un fornitore di servizi più grande può gestire un service desk per rispondere alle richieste dei clienti.
• Tempo di risoluzione. Il tempo necessario per la risoluzione di un problema una volta registrato dal fornitore di servizi.
• Tasso di abbandono. La percentuale di chiamate in coda che i clienti abbandonano in attesa di risposta.
• Risultati aziendali. Utilizzo dei KPI per determinare in che modo i contributi dei fornitori di servizi influiscono sulle prestazioni dell’azienda.
• Tasso di errore. La percentuale di errori in un servizio, ad esempio errori di codifica e scadenze mancate.
• Risoluzione di prima chiamata. La percentuale di chiamate in entrata dei clienti che vengono risolte senza la necessità di essere richiamate dall’help desk.
• Tempo medio di recupero. Il tempo necessario per il ripristino dopo un’interruzione del servizio.
• Sicurezza. Il numero di vulnerabilità sconosciute, ad esempio. Se si verifica un incidente, i fornitori di servizi devono dimostrare di aver adottato misure preventive.
• Fattore di servizio del tempo. La percentuale di chiamate in coda che i rappresentanti del servizio clienti rispondono entro un determinato intervallo di tempo.
• Tempo di consegna. Il tempo impiegato da un fornitore di servizi per risolvere un problema specifico una volta ricevuto.

Altre metriche includono la pianificazione per la notifica in anticipo delle modifiche alla rete che potrebbero influire sugli utenti e le statistiche generali sull’utilizzo del servizio.

Uno SLA può specificare disponibilità, prestazioni e altri parametri per diversi tipi di infrastruttura del cliente, comprese reti interne, server e componenti dell’infrastruttura, come gruppi di continuità.

Cosa succede se i livelli di servizio concordati non vengono raggiunti?

Gli accordi sul livello di servizio includono sanzioni concordate nel caso in cui un fornitore di servizi non soddisfi i livelli di servizio concordati. Tali rimedi potrebbero essere riduzioni del canone o crediti di servizio a fronte dei canoni sostenuti dal cliente, nonché la risoluzione del contratto per ripetuti fallimenti.

I clienti possono far valere questi crediti di servizio quando i fornitori di servizi non rispettano gli standard di prestazione concordati. In genere, il cliente e il fornitore di servizi concordano di mettere a rischio una determinata percentuale del canone mensile. I crediti di servizio vengono prelevati da quelle commissioni a rischio quando il venditore non rispetta gli SLA.

Lo SLA dovrebbe dettagliare come verranno calcolati i crediti di servizio. Ad esempio, il cliente e il venditore potrebbero sviluppare una formula che fornisce crediti di servizio in base alla quantità di tempi di inattività che supera i termini dello SLA. Un fornitore di servizi può limitare le penali di performance a un importo massimo in dollari per limitare l’esposizione.

Lo SLA includerà anche una sezione che descrive in dettaglio le esclusioni, ovvero le situazioni in cui le garanzie di uno SLA – e le sanzioni per il mancato rispetto delle stesse – non si applicano. L’elenco potrebbe includere eventi come disastri naturali o atti terroristici. Questa sezione viene talvolta definita clausola di forza maggiore, che mira a esonerare il fornitore di servizi da eventi al di fuori del suo ragionevole controllo.

Sanzioni

Le sanzioni SLA sono misure disciplinari che esistono per garantire il mantenimento dei termini del contratto. Queste sanzioni differiscono da contratto a contratto. Sono i seguenti:

• Disponibilità del servizio. Include fattori quali il tempo di attività della rete, le risorse del data center e la disponibilità del database. Le sanzioni dovrebbero essere aggiunte come deterrenti contro i tempi di fermo del servizio, che potrebbero influire negativamente sull’attività.
• Qualità del servizio. Comprende la garanzia delle prestazioni, il numero di errori consentiti in un prodotto o servizio, le lacune di processo e altri problemi relativi alla qualità.

Oltre ai crediti di servizio, potrebbero esserci:

• Sanzioni pecuniarie. Richiedere al venditore di rimborsare al cliente l’importo del danno concordato nel contratto.
• Estensione della licenza o supporto. Richiede al venditore di estendere la durata della licenza o di offrire al cliente supporto aggiuntivo gratuito. Ciò potrebbe includere lo sviluppo e la manutenzione.

Tali sanzioni devono essere specificate nella lingua dello SLA o non saranno esecutive. Inoltre, alcuni clienti potrebbero non pensare che il credito di servizio o le penali per l’estensione della licenza siano un compenso adeguato poiché potrebbero mettere in dubbio il valore di continuare a ricevere i servizi di un fornitore che non è in grado di soddisfare i suoi livelli di qualità.

Di conseguenza, può valere la pena considerare una combinazione di sanzioni, oltre a includere un incentivo, come un bonus monetario, per un lavoro più che soddisfacente.

Considerazioni sulle metriche SLA

Quando si sceglie quali metriche di performance includere nello SLA, un’azienda dovrebbe considerare i seguenti fattori.

Le misurazioni dovrebbero motivare il comportamento corretto. Quando si definiscono le metriche, entrambe le parti dovrebbero ricordare che l’obiettivo delle metriche è motivare il comportamento appropriato per conto del fornitore di servizi e del cliente.

Le metriche dovrebbero riflettere solo i fattori che rientrano nel ragionevole controllo del fornitore di servizi. Le misurazioni dovrebbero anche essere facili da raccogliere. Inoltre, entrambe le parti dovrebbero resistere alla scelta di quantità eccessive di metriche o misurazioni che producono grandi quantità di dati. Tuttavia, anche l’inclusione di un numero insufficiente di metriche può essere un problema, poiché mancarne una potrebbe far sembrare che il contratto sia stato violato.

Affinché le metriche stabilite siano utili, è necessario stabilire una linea di base adeguata con le misurazioni impostate su livelli di prestazione ragionevoli e raggiungibili. Questa linea di base sarà probabilmente ridefinita durante il coinvolgimento delle parti nell’accordo, utilizzando i processi specificati nella sezione revisione periodica e modifica dello SLA.

Earn Back o Guadagna indietro

Un earn back è una disposizione che può essere inclusa nello SLA che consente ai fornitori di riguadagnare crediti a livello di servizio se effettuano prestazioni pari o superiori al livello di servizio standard per un determinato periodo di tempo. I guadagni di ritorno sono una risposta alla standardizzazione e alla popolarità dei crediti a livello di servizio.

I crediti a livello di servizio, o semplicemente crediti di servizio, dovrebbero essere l’unico ed esclusivo rimedio a disposizione dei clienti per compensare i guasti a livello di servizio. Un credito di servizio sottrae una somma di denaro dall’importo totale da pagare in base al contratto se il fornitore di servizi non soddisfa gli standard di prestazione e prestazione del servizio.

Se entrambe le parti accettano di includere i guadagni di ritorno nello SLA, il processo dovrebbe essere definito attentamente all’inizio della negoziazione e integrato nella metodologia del livello di servizio.

Quando rivedere uno SLA

Un contratto di servizio non è un documento statico. Piuttosto, uno SLA dovrebbe essere aggiornato e rivisto regolarmente con nuove informazioni. La maggior parte delle aziende rivede i propri SLA annualmente o semestralmente. Tuttavia, più rapidamente cresce un’organizzazione, più spesso dovrebbe rivedere e rivedere i suoi SLA.

Sapere quando e quando non apportare modifiche a uno SLA è una parte fondamentale della gestione della relazione cliente/fornitore di servizi. Le due parti dovrebbero incontrarsi a un programma prestabilito per rivedere il loro SLA e assicurarsi che soddisfi ancora i requisiti di entrambe le parti.

Uno SLA dovrebbe essere rivisto:

• quando i requisiti aziendali del cliente sono cambiati, ad esempio, i suoi requisiti di disponibilità aumentano perché ha creato un sito di e-commerce che vende molto di più;
• se c’è un cambiamento nei carichi di lavoro;
• se gli strumenti di misurazione, i processi e le metriche sono migliorati;
• quando il fornitore di servizi smette di offrire un servizio esistente o aggiunge un nuovo servizio;
• quando le capacità tecniche del fornitore di servizi cambiano, ad esempio, nuove tecnologie o apparecchiature più affidabili consentono al venditore di fornire tempi di risposta più rapidi; tuttavia, il fornitore di servizi dovrebbe rivedere il suo SLA ogni 18-24 mesi anche se le sue capacità o servizi non sono cambiati molto per ridurre i contenuti imprecisi o non aggiornati.

Clausole risarcitorie contrattuali per danni nei contratti di Hosting.

Di norma la proposta di clausole risarcitorie del danno nei contratti di Hosting vanno intese come clausole vessatorie ovvero delle clausole contrattuali che – malgrado la buona fede (ovvero indipendentemente dall’intenzione) – determinano a carico del consumatore un significativo squilibrio dei diritti e degli obblighi derivanti dal contratto.

Il non adempimento ad una SLA non da automaticamente diritto ad alcun risarcimento del danno, soprattutto laddove il contratto faccia esplicitamente menzione alla manleva del fornitore di hosting.

Ecco perchè la SLA è sicuramente un ottimo punto di partenza che potrebbe rivelarsi assolutamente vana qualora non si possa accedere poi a dei risarcimenti nel caso della violazione della stessa, risarcimenti che ovviamente il fornitore nel suò più evidente ed esplicito e legittimo interesse cercherà di evitare tramite opportune clausole di manleva che hanno il suo perchè e denota comunque la serietà e professionalità di un fornitore che non si getta a capofitto in contratti che lo vedono con un’eccessiva responsabilità soprattutto se in comparazione di quelli che sono gli standard di mercato, ove nessun hosting o quasi è disposto ad accollarsi il risarcimento dei danni e non manlevarsi.

Cosa dovrebbe aspettarsi un cliente che si vede un fornitore dire sempre di si anche a clausole risarcitorie molto pericolose in grado di minare il futuro imprenditoriale dell’impresa? Dire sempre di si non è in alcun modo sinonimo di professionalità, così come l’estrema accondiscendenza di un fornitore denota approssimazione e inesperienza, ovvero un chiaro campanello di allarme che mette in discussione il fornitore di hosting stesso su tutti i fronti.

Immaginiamo ad esempio che il baretto sotto casa a gestione familiare con un fatturato di 100 mila euro l’anno, ed un utile di appena 20 mila decidesse di farci ospitare il loro sito costato 1000 euro, ad un costo di 100€ l’anno, ed in fase contrattuale pretendessero l’accettazione una clausola vessatoria in cui in caso di attacco hacker risarciremmo 50 mila euro a titolo di risarcimento danni.

Si capisce sin da subito come tale richiesta sia squilibrata nella classica formula bonus / malus che vediamo ad esempio nelle polizze assicurative (specie quelle americane). Sappiamo che il prezzo dell’assicurazione dell’auto per un neopatentato è maggiore di quella di un 50 enne appartenente alla minima classe di rischio essendo un guidatore modello, e che soprattutto in caso di sinistro, l’assicurazione faccia riferimento a tabelle e riferimenti superpartes per valutare il danno da risarcire. Se la FIAT 500 del ’48 in cui avete conosciuto vostra moglie insomma ha un valore simbolico ed affettivo senza paragoni, la vostra richiesta di danni morali per 100 mila euro, sarà liquidata dal liquidatore con le tabelle vigenti su Quattroruote, con 5 o 6 mila euro insomma. A prescindere dalle vostre ragioni, ci sono dei valori inopinabili da rispettare.

Un premio in contrapposizione ad un massimale all’interno di una proposta assicurativa, permette insomma di valutare un rischio, la probabilità dello stesso, l’incidenza reale sul business del cliente, e da li formulare un canone che comprende oltre che ai costi vivi di esercizio, il ricarico che costituisce la merginalità, anche il premio per l’azienda di hosting che decide di far fronte a tali impegni contrattuali.

Un cliente che non pretende nulla che il servizio in best effort (così come lo abbiamo proposto nella nostra offerta) avrà il costo del canone di esercizio. Un cliente che invece pretende ALTRO, avrà il costo del canone di esercizio più il costo per poter fornire ALTRO.

Prendendo l’esempio sopra del baretto sotto casa, in cui si chiede un risarcimento danno di 50 mila euro in caso di attacco hacker, è normalissimo, che il fornitore di hosting andrà a specificare le sue responsabilità e quelle del cliente. Da dove è entrato l’attaccante? Dal sistema linux gestito dall’hosting o da un plugin WordPress non aggiornato gestito dal webmaster? Ed ecco qui una serie di clausole che iniziano ad essere estremamente puntigliose e specifiche per mettere nero su bianco le casistiche che vedono l’hosting responsabile e dunque imputabile di risarcire il cliente.

Quale hosting provider accetterebbe di esporsi per 50 mila euro di risarcimento, per un canone di 100 euro l’anno? Ovviamente nessuno.

Diverso è esporsi per 50 mila euro a fronte di un canone di 5 mila euro anno. Sebbene possa sembrare un’assurdità, è vero che cambiando il tipo di tecnologia e gestione del sistema, tramite l’installazione di ulteriori precauzioni, sistemi di hashing dei file e notifica variazioni, ecc… ecc.., l’hosting può arrivare a calcolare statisticamente e probabilisticamente parlando che l’evento che comporterebbe un risarcimento di 50 mila euro, ha una probabilità dello 0,5% e pertanto ha senso accettare e correre il rischio a fronte di un canone annuale di 5000 euro, e non 100€.

Ci si troverebbe di fatto ad una controproposta in cui il fornitore di hosting accetta la clausola risarcitoria proponendo il nuovo canone di hosting, che però diventa assolutamente non accettabile e troppo esoso per il cliente.

Cosa cerca di ottenere il cliente?

A questo punto bisogna necessariamente porsi la domanda, di cosa stia cercando il cliente. Come può ad esempio un sito di un baretto che fattura poco pretendere un risarcimento di 50 mila euro per un sito web che ne è costato appena 2000? Perché ad esempio non chiedere il risarcimento dei costi vivi della realizzazione del sito più eventuali, per un importo di 5000 euro e non invece 50 mila?

C’è forse temerarietà? Ci si trova di fronte ad uno speculatore che sta gettando le basi per poter procedere legalmente per un risarcimento danni magari per un sito attaccato da un suo amico?

Questi sono dei campanelli di allarme che vanno sempre considerati e valutati pensando male. Nel mondo dell’imprenditoria la gentilezza è un aspetto puramente formale ma non sostanziale.

Vediamo dunque i campanelli di allarme standard che un fornitore di Hosting dovrebbe valutare nel momento in cui il cliente rigetta il contratto standard ma lo integra con clausole risarcitorie e vessatorie del genere.

Risarcimento del danno generico.

Di fatto il cliente scrive nel contratto in una clausola vessatoria che in caso di responsabilità del fornitore (o presunta tale, ci sarà sempre una CTU che costerà cifre assurde e che in teoria pagherà il soccombente), avrà diritto a richiedere dei danni. Non spiega di che tipo, inerenti a quali ambiti, mancato guadagno, cessato lucro, danni materiali, danni morali, o altro, ne specifica un importo che è di fatto un massimale.

Il cliente pretende di fatto un assegno in bianco da poter riempire a piacimento con pezze di appoggio (anche reali) di fronte ad un canone di servizio invece ben definito e delineato.

Viene meno insomma la proporzionalità del premio in base al massimale che di fatto è indefinito. È possibile che il risarcimento arrivi ad un milione di euro, o un miliardo, a fronte di 100euro di canone mensile.

Mancanza di delineazione delle responsabilità.

Il cliente non specifica in modo estremamente preciso i domini e contesti di competenza, ma tende ad accollare tutte le responsabilità al fornitore anche per conseguenze non a lui imputabili.

Il cliente che ad esempio pretende un risarcimento del danno a fronte di hackeraggio, non avendo l’onestà intellettuale di specificare che attacchi che vedrà come causa l’applicazione (plugin non aggiornati, e simili) e che rigirando la responsabilità al fornitore, non solo non si pre-occupa di mantenere aggiornata l’installazione a livello applicativo, ma magari pretende un risarcimento di 10 mila euro per danni di immagine in caso di hackeraggio.

Le responsabilità e le aree di competenza insomma vanno sempre ben delineate in maniera esplicita ed eloquente, ribadendo che tutto quello che non è esplicitamente competenza del fornitore lo manleva in modo diretto ed indiretto dalle relative conseguenze.