API licensing (Αδειοδότηση APIs) είναι η διαδικασία μέσω της οποίας ένας πάροχος API παραχωρεί την άδεια χρήσης του API σε τρίτους, καθορίζοντας τους όρους και τις προϋποθέσεις για τη χρήση αυτή.

Επομένως, μια “άδεια χρήσης” API αποτελεί μια σύμβαση που καθορίζει τα δικαιώματα και τις υποχρεώσεις του Παρόχου και του Χρήστη/Καταναλωτή API, ρυθμίζοντας την πρόσβαση, τη χρήση, την τροποποίηση και την περαιτέρω διανομή των λειτουργιών και των δεδομένων που παρέχονται μέσω του API.

Νομική & Τεχνική Φύση Των API 

Από τεχνική άποψη, ένα API (Application Programming Interfaces – Διεπαφές Προγραμματισμού Εφαρμογών – APIs) ορίζεται ως ένα σύνολο πρωτοκόλλων, εργαλείων και ρουτινών για την οικοδόμηση εφαρμογών λογισμικού. 

Δηλαδή το API, κατά τεχνική έννοια, συνιστά ένα σύνολο προκαθορισμένων μεθόδων, οδηγιών και κανόνων που επιτρέπουν σε μία εφαρμογή να επικοινωνεί ή να αλληλεπιδρά με άλλη εφαρμογή ή σύστημα. Οι APIs διασφαλίζουν τη δυνατότητα άντλησης λειτουργικότητας ή δεδομένων από τρίτα πληροφοριακά περιβάλλοντα.

Εν ολίγοις, είναι ένα «συμβόλαιο» (σύμβαση) που περιγράφει τις λειτουργίες και τις μεθόδους αλληλεπίδρασης με ένα συγκεκριμένο λογισμικό σύστημα. 

Από νομική σκοπιά, ένα API αποτελεί ένα σύνολο αντικειμένων πνευματικής ιδιοκτησίας, μεταβιβαζόμενο με την σύμβαση (“άδεια”) παραχώρησης χρήσης. 

Πνευματική Ιδιοκτησία Των API

Ως σύνολο αντικειμένων πνευματικής ιδιοκτησίας, το API είναι πολυσύνθετο. 

Έτσι, ενώ ο κώδικας που υλοποιεί το API προστατεύεται σαφώς από νομικό πλαίσιο για τα πνευματικά δικαιώματα, η «δομή, ακολουθία και οργάνωση» (structure, sequence, and organization – “SSO”) ενός API, δηλαδή το σύνολο των δηλώσεων και των μεθόδων που επιτρέπουν την αλληλεπίδραση, έχει αποτελέσει αντικείμενο εκτεταμένων νομικών διαμαχών. 

Google LLC κατά Oracle America, Inc.

Η απόφαση του Ανώτατου Δικαστηρίου των ΗΠΑ στην υπόθεση Google LLC v. Oracle America, Inc. (2021), έκρινε ότι η αντιγραφή ενός τμήματος ενός API για τη διασφάλιση της διαλειτουργικότητας μπορεί να εμπίπτει στο δόγμα της «δίκαιης χρήσης» (fair use).

Τούτο σημαίνει ότι ένας χρήστης API έχει το δικαίωμα να αντιγράψει και να ιδιοποιηθεί τμήμα ενός API, με μόνη προϋπόθεση ότι η ιδιοποίηση γίνεται για την εξασφάλιση της διαλειτουργικότητας. 

Ευρωπαϊκό & Ελληνικό Δίκαιο

Σύμφωνα με τον Ν. 2121/1993, ο οποίος ενσωματώνει στο εσωτερικό δίκαιο την Οδηγία 91/250/ΕΟΚ περί της νομικής προστασίας των προγραμμάτων ηλεκτρονικών υπολογιστών, ένα API υπάγεται στο νομικό πλαίσο προστασίας της πνευματικής ιδιοκτησίας. 

Τούτο διότι ενσωματώνει κώδικα, δομή, ακολουθίες εντολών, τεχνική τεκμηρίωση (documentation) καθώς και άλλες εκφράσεις δημιουργικού χαρακτήρα. Συγκεκριμένα:

• Η τεκμηρίωση API (documentation) και ο πηγαίος/αντικειμενικός κώδικας προστατεύονται ως έργα λογισμικού.
• Η διάρθρωση (structure), η ονοματολογία συναρτήσεων, ακόμη και το σχήμα ανταλλαγής δεδομένων (data schema) μπορούν, υπό προϋποθέσεις, να θεωρηθούν εκφράσεις πνευματικής ιδιοκτησίας.

Ωστόσο, η ίδια η διαλειτουργικότητα μεταξύ δύο συστημάτων, εξαιρείται της προστασίας.

Διαφορές Συμβάσεων API licensing Και SaaS

Παρότι συχνά συγχέονται, η άδεια χρήσης API (API License) και η υπηρεσία λογισμικού ως υπηρεσία (Software as a Service – SaaS) διαφέρουν στη νομική τους φύση και στην πρακτική εφαρμογή τους. 

Αφενός, η σύμβαση SaaS αποτελεί κατ’ ουσίαν σύμβαση παροχής υπηρεσιών, κατά την οποία ο πάροχος διαθέτει πρόσβαση σε λογισμικό που εκτελείται απομακρυσμένα (cloud-based), χωρίς να μεταβιβάζει κανένα στοιχείο του κώδικα ή των αρχείων εγκατάστασης στον χρήστη.  Ο χρήστης δεν αποκτά κανένα δικαίωμα χρήσης επί του λογισμικού καθαυτού, παρά μόνο τη δυνατότητα εκμετάλλευσης των λειτουργιών του μέσω browser ή άλλης διεπαφής.

Αφετέρου, η άδεια API επιτρέπει σε τρίτους να ενσωματώσουν λειτουργικότητες σε δικές τους εφαρμογές ή υποδομές, συνήθως με τη μορφή προγραμματιστικών κλήσεων (calls) σε back-end servers του παρόχου. Η άδεια αυτή μπορεί να έχει χαρακτήρα εμπορικής εκμετάλλευσης, ιδίως όταν επιτρέπεται η πώληση ή ενσωμάτωση της λειτουργικότητας API σε προϊόντα τρίτων. 

Συνοπτικά, το SaaS αποτελεί υπηρεσία, ενώ η API license συνιστά άδεια εκμετάλλευσης τεχνολογικού πόρου και, συνεπώς, υπάγεται σε διαφορετικούς κανόνες δικαίου.

Ορολογία και Βασικές Έννοιες Συμβάσεων API licensing

Πάροχος API (API  Provider): Η οντότητα που κατέχει, αναπτύσσει, συντηρεί και διαθέτει το API.

Χρήστης/Καταναλωτής API (API User/Consumer): Η οντότητα που χρησιμοποιεί το API για να ενσωματώσει τις λειτουργίες του στις δικές της εφαρμογές ή πλατφόρμες.

Όροι Παροχής Υπηρεσιών (Terms of Service – ToS): Οι συμφωνηθέντες όροι που διέπουν τη χρήση μιας πλατφόρμας ή υπηρεσίας, εντός των οποίων συχνά ενσωματώνονται ή παραπέμπονται οι ειδικοί όροι αδειοδότησης του API.

Πολιτική Ορθής Χρήσης (Acceptable Use Policy – AUP): Οι συμβατικές προβλέψεις που καθορίζουν τις επιτρεπόμενες και απαγορευμένες πρακτικές κατά τη χρήση του API, με έμφαση σε ζητήματα ασφάλειας, νόμιμης χρήσης και αποφυγής κατάχρησης.

Συμφωνία Επιπέδου Υπηρεσιών (Service Level Agreement – SLA): Η συμβατική συμφωνία σχετικά με: α) τις ελάχιστες εγγυημένες επιδόσεις, β) τη διαθεσιμότητα, γ) το χρόνο απόκρισης και δ) την υποστήριξη, που παρέχεται από τον Πάροχο API.

Κατηγορίες Αδειών Χρήσης API (API licensing)

Οι άδειες χρήσης APIs διακρίνονται, αναλόγως του επιπέδου περιορισμών και του επιχειρηματικού μοντέλου. Οι βασικότερες εξ’ αυτών, κατηγοριοποιούνται ως εξής:

Ανοικτές Άδειες (Open Licenses)

Εφαρμόζονται συχνά σε APIs που προορίζονται για ευρεία ανάπτυξη και συνεργασία. Χαρακτηριστικά παραδείγματα αποτελούν οι άδειες Creative Commons (π.χ., CC BY) ή οι άδειες λογισμικού ανοιχτού κώδικα (π.χ., Apache 2.0, MIT License). 

Βασική κατηγορία ανοικτών αδειών αποτελούν τα API που παρέχονται από δημόσιους φορείς (π.χ. gov.gr). Στην περίπτωση αυτή, εφαρμόζεται η Οδηγία (ΕΕ) 2019/1024 για τα Ανοικτά Δεδομένα, η οποία ενθαρρύνει τη διάθεση δεδομένων μέσω APIs υπό ανοικτές άδειες.

Στο πλαίσιο αυτό, τα APIs οφείλουν να πληρούν ελάχιστες τεχνικές προδιαγραφές, ενώ απαγορεύεται η επιβολή αδικαιολόγητων περιορισμών στην πρόσβαση.

Εμπορικές/Ιδιόκτητες Άδειες (Commercial/Proprietary Licenses)

Αποτελούν την πλειονότητα των αδειών. Είναι ειδικά διαμορφωμένες για να προστατεύουν τα συμφέροντα του Παρόχου και να καθορίζουν λεπτομερώς τη χρήση. Σε αυτές εντάσσονται οι άδειες με βάση τον όγκο κλήσεων (usage-based licensing), οι συνδρομητικές άδειες, ή οι άδειες που περιορίζουν τη χρήση σε συγκεκριμένες εφαρμογές ή πλατφόρμες κλπ.

Άδειες Freemium

Συνδυάζουν στοιχεία των παραπάνω, προσφέροντας μια βασική δωρεάν βαθμίδα χρήσης με περιορισμένες λειτουργίες ή όρια κλήσεων, καθώς και επί πληρωμή πακέτα για προηγμένες δυνατότητες. Οι όροι για τη δωρεάν βαθμίδα συνήθως περιλαμβάνουν ρήτρες που αποθαρρύνουν την εμπορική χρήση χωρίς αναβάθμιση.

OEM / Embedded licenses

Οι άδειες με τις οποίες παραχωρείται σε τρίτους το δικαίωμα ενσωμάτωσης του API σε δικές τους υπηρεσίες.

Ελάχιστοι Όροι Συμβάσεων API licensing

Μια σύμβαση API licensing (δλδ μια “άδεια χρήσης”) περιλαμβάνει συνήθως, μεταξύ άλλων:

1. Το Πεδίο Εφαρμογής της Άδειας (Scope of License)

Με αυτό καθορίζεται ρητά το επιτρεπόμενο εύρος χρήσης του API (π.χ., αποκλειστική/μη αποκλειστική, μεταβιβάσιμη/μη μεταβιβάσιμη, ανακλητή/μη ανακλητή άδεια), τον επιδιωκόμενο σκοπό (π.χ., ανάπτυξη εφαρμογών, όχι ανταγωνιστικά προϊόντα), τους γεωγραφικούς περιορισμούς και τυχόν περιορισμούς στον αριθμό των τελικών χρηστών ή των κλήσεων.

2. Ζητήματα Πνευματικής Ιδιοκτησίας (IP Rights)

Η σύμβαση οφείλει να προβλέπει ότι όλα τα δικαιώματα πνευματικής ιδιοκτησίας επί του API, η τεκμηρίωσή του και τα σχετικά εμπορικά σήματα παραμένουν στην αποκλειστική κυριότητα του Παρόχου. Θα πρέπει να περιλαμβάνει ρητές απαγορεύσεις για αντίστροφη μηχανική (reverse engineering), αποσυμπίληση (decompilation) ή οποιαδήποτε προσπάθεια ανακάλυψης του πηγαίου κώδικα ή της υποκείμενης αρχιτεκτονικής.

3. Τους Περιορισμούς Χρήσης και Την Πολιτική Ορθής Χρήσης (Usage Restrictions & AUP)

Είναι αναγκαίο να συμφωνηθούν λεπτομερείς ρυθμίσεις για τον τρόπο χρήσης του API και την αποτροπή κατάχρησης. 

Αυτές, συνηθέστερα, περιλαμβάνουν:

• Όρια Κλήσεων (Rate Limits): Μέγιστος αριθμός αιτημάτων ανά μονάδα χρόνου.
• Απαγορευμένες Χρήσεις: Κατάλογος δραστηριοτήτων που απαγορεύονται ρητά (π.χ., spamming, DDOS επιθέσεις, χρήση για παράνομους σκοπούς, παραβίαση δικαιωμάτων τρίτων, ανταγωνιστική ανάλυση κλπ).
• Απαιτήσεις Ασφαλείας: Υποχρεώσεις για τον Χρήστη σχετικά με την ασφαλή διαχείριση των κλειδιών API, των διαπιστευτηρίων και την προστασία των δικών του συστημάτων.
• Αποποίηση Εγγυήσεων (Disclaimer of Warranties): Ο Πάροχος σχεδόν πάντα παρέχει το API “ως έχει” (as-is), χωρίς εγγυήσεις για αδιάλειπτη λειτουργία, ακρίβεια, απουσία σφαλμάτων, ή καταλληλότητα για συγκεκριμένο σκοπό. Τούτο, βέβαια, περιορίζει δραστικά την ευθύνη του Παρόχου.
• Περιορισμός Ευθύνης (Limitation of Liability): Τίθεται ανώτατο όριο στο ποσό της αποζημίωσης που μπορεί να διεκδικήσει ο Χρήστης από τον Πάροχο σε περίπτωση ανώμαλης εξέλιξης της ενοχής. Συχνά αποκλείονται οι έμμεσες, παρεπόμενες ή αποθετικές ζημίες (απώλειες κερδών/δεδομένων κλπ).
• Αποζημίωση (Indemnification): Ο Χρήστης αναλαμβάνει την υποχρέωση να αποζημιώσει τον Πάροχο για τυχόν αξιώσεις, ζημίες ή έξοδα που προκύπτουν από (α) παραβίαση των όρων της άδειας από τον Χρήστη, (β) χρήση του API με τρόπο που παραβιάζει δικαιώματα τρίτων (π.χ. πνευματικά δικαιώματα, προσωπικά δεδομένα), ή (γ) αμέλεια ή δόλο του Χρήστη.
• Διακοπή και Καταγγελία (Termination): Περιγράφει τους όρους υπό τους οποίους η άδεια μπορεί να τερματιστεί. Ο Πάροχος συνήθως διατηρεί το δικαίωμα άμεσης καταγγελίας σε περίπτωση σοβαρής παραβίασης, ενώ ο Χρήστης μπορεί να έχει δικαίωμα καταγγελίας με προειδοποίηση.

4. Την Προστασία Προσωπικών Δεδομένων (Data and Privacy)

Με δεδομένο ότι η παροχή πρόσβασης μέσω API σε δεδομένα προσωπικού χαρακτήρα συνιστά πράξη επεξεργασίας κατά τον κανονισμό GDPR και τον νόμο 4624/2019, η σύμβαση API licensing πρέπει να ορίζει:

• Τον ρόλο κάθε μέρους (Υπεύθυνος Επεξεργασίας / Εκτελών την Επεξεργασία).
• Τους τύπους δεδομένων που μπορούν να προσπελαστούν ή να ανταλλαχθούν.
• Τους σκοπούς επεξεργασίας.
• Τις υποχρεώσεις ασφάλειας δεδομένων (τεχνικά και οργανωτικά μέτρα).
• Τις διαδικασίες για τη διαχείριση αιτημάτων υποκειμένων δεδομένων και την αντιμετώπιση παραβιάσεων.
• Τις απαιτήσεις για τη διασυνοριακή μεταφορά δεδομένων.

Τέλος, η ύπαρξη μηχανισμών πιστοποίησης (π.χ. OAuth, token-based authentication), καθώς και η κρυπτογράφηση δεδομένων κατά την ανταλλαγή, είναι χρήσιμα πρακτικά μέτρα για τη σχετική συμμόρφωση.

5. Συμφωνίες SLA (Service-Level Agreement) 

Η σύμβαση πρέπει να περιλαμβάνει πρόβλεψη επιπέδων εξυπηρέτησης (SLA). Ενδεικτικά :

• την εγγυημένη διαθεσιμότητα (“Uptime“), 
• τους χρόνους απόκρισης,  
• τα ελάχιστα επίπεδα απόδοσης και 
• την τεχνική υποστήριξη.

6. Την Προστασία Εμπορικών Μυστικών και Ζητήματα Αθέμιτου Ανταγωνισμού

Τέλος, η σύμβαση API licensing πρέπει να προστατεύει τα εμπορικά μυστικά που ενδεχομένως αποκαλύπτονται μέσω του API και να αποτρέπει τη χρήση του API για σκοπούς αθέμιτου ανταγωνισμού ή δημιουργίας ανταγωνιστικών προϊόντων που εκμεταλλεύονται την υποδομή του Παρόχου. Τούτο διότι, τα APIs συχνά ενσωματώνουν επιχειρησιακή λογική (business logic) ή εμπιστευτικά στοιχεία της αρχιτεκτονικής μιας επιχείρησης.

Συνεπώς, ο πάροχος API οφείλει να συμβληθεί με επιπλέον συμβάσεις εχεμύθειας (NDA) και περιορισμών χρήσης, διασφαλίζοντας ότι οι πληροφορίες που καθίστανται προσβάσιμες μέσω του API δεν θα χρησιμοποιηθούν για ανταγωνιστικούς ή μη εξουσιοδοτημένους σκοπούς.

Το Δικηγορικό μας Γραφείο, για περισσότερα από 15 χρόνια εξειδικεύεται στο Εταιρικό και Εμπορικό Δίκαιο. Επικοινωνήστε μαζί μας για σας καθοδηγήσουμε και να σας συμβουλεύσουμε σε κάθε θέμα σχετικά με το API licensing.