Hoe SaaS-escrow met een hosting- of serviceprovider werkt
Bij software-as-a-service (SaaS) gebruikt de klant een online dienst die door de leverancier of een andere partij wordt beheerd. Broncode alleen is vaak onvoldoende voor herstel of voortzetting. Ook data, configuratie, toegangen, documentatie, externe diensten en de hostingomgeving kunnen nodig zijn.
Het depot kan daarom ook infrastructuur-als-code bevatten. Dit zijn bestanden en scripts waarmee een cloudomgeving opnieuw kan worden ingericht. Verder kunnen data-export, afhankelijkheden, configuratie en beheerinstructies worden afgesproken. Tijdens de looptijd moeten wijzigingen in software en omgeving worden verwerkt.
Als een hosting- of serviceprovider wil en kan meewerken, kunnen aanvullende afspraken worden gemaakt over toegang, tijdelijke voortzetting of migratie. Dienstverlening kan stoppen als de contractuele relatie of betaling wegvalt. Wat praktisch mogelijk is, hangt af van de overeenkomst, de techniek en de medewerking van betrokken partijen.
Wat betekent escrow voor de betrokken partijen?
Leverancier
Levert niet alleen broncode aan, maar ook de afgesproken informatie over configuratie, data, afhankelijkheden en beheer van de dienst.
Begunstigde
Bepaalt vooraf of het doel herstel, migratie of tijdelijke voortzetting is en welke rechten, toegang en technische hulp daarvoor nodig zijn.
Hosting- of serviceprovider
Een externe hosting- of serviceprovider kan aanvullende afspraken maken als deze partij wil en technisch en contractueel kan meewerken.
Escrow-agent
Bewaart het afgesproken materiaal, volgt actualisaties en voert controles uit met de overeengekomen reikwijdte. Een verzoek tot vrijgave wordt behandeld volgens de procedure in de overeenkomst.
Wanneer is escrow voor een SaaS- of clouddienst relevant?
Deze vorm wordt gebruikt wanneer één afnemer afhankelijk is van een SaaS- of clouddienst en broncode alleen het beoogde herstel niet mogelijk maakt.
- Een bedrijfskritische SaaS-dienst
- Een dienst waarbij data alleen in de omgeving van de leverancier staat
- Een cloudoplossing met specifieke configuratie en externe diensten
Welke afspraken staan in deze escrowovereenkomst?
Voor deze escrowovereenkomst zijn de volgende documenten relevant. Samen bepalen ze wie partij is, welk materiaal wordt bewaard en onder welke voorwaarden vrijgave kan plaatsvinden.
- Individuele escrow-overeenkomst
- De overeenkomst tussen leverancier, één begunstigde en de escrow-agent. Hierin staan het depot, actualisatie, controles, mogelijke vrijgavegronden, de procedure en gebruiksrechten.
- Afspraken met hosting- of serviceprovider
- Als een externe partij wil en kan meewerken, kunnen afspraken worden gemaakt over toegang, tijdelijke voortzetting, betaling of migratie. De inhoud hangt af van de betrokken partij en de overeenkomst.
- Aanvullende documenten
- Partijen kunnen aanvullende rapporten, statusinformatie of verklaringen afspreken. Een certificaat, QR-code of portaal is geen vast onderdeel van iedere escrowovereenkomst.
Wanneer kan het escrowdepot worden vrijgegeven?
- Faillissement of surseance van betaling, als dit in de overeenkomst is opgenomen
- Stoppen met afgesproken onderhoud of ondersteuning, als dit is overeengekomen
- Een omschreven tekortkoming die volgens de overeenkomst een verzoek mogelijk maakt
- Beëindiging van de onderneming of dienstverlening, voor zover contractueel vastgelegd
Hoe wordt het escrowdepot gecontroleerd en bewaard?
De aanlevering, controle en bewaring worden afgestemd op het doel van de escrowovereenkomst. Een controle heeft altijd een afgesproken reikwijdte en is geen algemene garantie dat de technologie onder alle omstandigheden kan worden voortgezet.
Aanlevering. Materiaal kan worden aangeleverd via een beveiligde upload, een broncodebeheersysteem of repositorymanager, bijvoorbeeld Source Code Connect, GitHub, GitLab, Bitbucket of Azure DevOps. Aanlevering op een fysieke drager is ook mogelijk. Dit zijn voorbeelden en geen vereisten.
Verificatie met afgesproken reikwijdte. Het verificatieniveau wordt per escrowovereenkomst afgesproken en kan in een rapport worden vastgelegd.
- 1 Basiscontrole
- Controle of het afgesproken materiaal is ontvangen en leesbaar is.
- 2 Inhoudscontrole
- Controle van bestanden, documentatie, versies en instructies tegen de afgesproken lijst.
- 3 Bouw- en werkingstest
- Poging om de software volgens de instructies te bouwen, starten of testen. De uitkomst geldt binnen de afgesproken testomgeving en is geen algemene garantie.
- 4 Maatwerkcontrole
- Een specifiek afgesproken controle, bijvoorbeeld van herstel, hosting, data-export of periodieke steekproeven.
Bewaring. Materiaal kan digitaal versleuteld in een beveiligde digitale kluis of fysiek in een verzegelde verpakking in een fysieke kluis worden bewaard. Partijen kunnen ook afspraken maken over gescheiden locaties, offline bewaring, toegangscontrole en bewaartermijnen.
Beheer en communicatie. Partijen spreken af wie contactpersoon is, hoe ontvangst, updates en controles worden gerapporteerd en of statusinformatie via een klant- of deelnemersportaal beschikbaar is. Aanvullende documenten zijn alleen onderdeel van de escrowovereenkomst als dat is overeengekomen.
Verwante escrowovereenkomsten
- Collectieve escrowovereenkomst met managed service providerMeerdere begunstigden en een externe beheerpartij
- Individuele escrowovereenkomstEén leverancier en één begunstigde
- Collectieve escrowovereenkomst met continuïteitsstichting en serviceleverancierEen stichting vertegenwoordigt meerdere begunstigden