Umowy SaaS – na co zwrócić uwagę przed podpisaniem kontraktu?

Umowa SaaS określa warunki korzystania z aplikacji udostępnianej online. Przed podpisaniem sprawdź dostępność usługi, odpowiedzialność dostawcy, zasady przetwarzania danych oraz możliwość ich eksportu po zakończeniu współpracy. Poniżej omawiam te zagadnienia z perspektywy klienta i dostawcy.

Jako prawnik IT regularnie analizuję umowy SaaS zarówno po stronie dostawców, jak i klientów. Poniżej przedstawiam kluczowe elementy, które należy sprawdzić zanim podpiszesz umowę SaaS.

Czym jest umowa SaaS?

W modelu SaaS użytkownik korzysta z funkcjonalności aplikacji udostępnianej online, zwykle za opłatą okresową. Samo uzyskanie dostępu nie przenosi autorskich praw majątkowych do programu. Kontrakt może łączyć świadczenie usługi z uprawnieniami licencyjnymi, np. dotyczącymi instalowanego lokalnie klienta lub innych komponentów. Ocena zależy od sposobu działania rozwiązania i treści umowy.

• określa dostęp do usługi, a w razie potrzeby również zakres licencji na jej komponenty,
• zawierana jest na czas określony lub nieokreślony,
• powinna określać zakres hostingu, utrzymania i ewentualnego wsparcia technicznego.

Zakres usługi i dostępność systemu (SLA)

Parametry SLA

Jednym z najczęstszych błędów jest brak precyzyjnych zapisów dotyczących dostępności systemu. Warto ustalić te parametry przed podpisaniem kontraktu. Umowa SaaS powinna jasno określać:

• poziom dostępności (np. 99,5% w skali miesiąca),
• czas reakcji na awarie,
• czas usunięcia błędów krytycznych.

Brak SLA utrudnia ustalenie mierzalnych parametrów dostępności i umownych konsekwencji awarii. Nie wyłącza jednak sam w sobie odpowiedzialności dostawcy za niewykonanie lub nienależyte wykonanie zobowiązania. Jej podstawy i zakres wymagają analizy kontraktu oraz art. 471 i 473 Kodeksu cywilnego. W SLA warto rozróżnić czas reakcji od czasu naprawy, wskazać sposób pomiaru dostępności i zasady rekompensaty.

Dane i RODO w umowie SaaS

Kto jest administratorem danych?

Role stron zależą od tego, kto faktycznie ustala cele i zasadnicze sposoby przetwarzania danych. Dostawca może przetwarzać dane w imieniu klienta, a przy innych operacjach, np. własnych rozliczeniach, działać jako administrator. Samo nazwanie stron w kontrakcie nie rozstrzyga ich ról; wyjaśniają to wytyczne EROD 07/2020. W dokumentach należy ustalić:

• warunki powierzenia, jeżeli dostawca przetwarza dane osobowe w imieniu administratora,
• opis środków bezpieczeństwa,
• lokalizację serwerów (UE / poza UE).

Uwaga: gdy występuje powierzenie, umowa lub inny wiążący akt prawny musi odpowiadać art. 28 RODO. Osobno sprawdź podwykonawców, miejsca przetwarzania i podstawę ewentualnych transferów poza EOG.

Prawa autorskie i uprawnienia do danych

Bardzo istotne jest rozróżnienie:

• oprogramowanie: prawa do niego mogą należeć do dostawcy oraz innych uprawnionych, np. autorów komponentów zewnętrznych,
• dane klienta: trzeba opisać uprawnienia do dostępu, wykorzystania, eksportu i usunięcia, z uwzględnieniem RODO, praw do baz danych oraz ewentualnych praw autorskich; nie wszystkie dane są przedmiotem prawa własności.

Umowa SaaS powinna regulować:

• prawo do eksportu danych, musimy bowiem pamiętać o opcji wyjścia,
• dozwolone cele wykorzystania danych oraz zakaz użycia poza uzgodnionym zakresem bez właściwej podstawy,
• zwrot lub usunięcie danych, terminy i obsługę kopii zapasowych. Przy powierzeniu art. 28 ust. 3 lit. g RODO przewiduje wybór administratora między zwrotem a usunięciem, z wyjątkiem przechowywania wymaganego prawem Unii lub państwa członkowskiego.

Odpowiedzialność i ograniczenia ryzyka

Standardowe umowy SaaS często zawierają daleko idące ograniczenia odpowiedzialności. Warto sprawdzić:

• limit odpowiedzialności finansowej,
• wyłączenia odpowiedzialności,
• odpowiedzialność za utratę danych.

Rozwiązanie umowy i lock-in technologiczny

Umowa powinna regulować:

• okres wypowiedzenia,
• procedurę migracji danych do nowej usługi,
• wsparcie po zakończeniu współpracy.

Brak takich zapisów może prowadzić do tzw. vendor lock-in.

Kiedy warto skonsultować umowę SaaS z prawnikiem IT?

• gdy SaaS obsługuje dane klientów,
• gdy system jest krytyczny dla biznesu,
• gdy umowa zawiera wysokie kary umowne,
• gdy planowana jest ekspansja zagraniczna.

Podsumowanie

Umowa SaaS to nie formalność – to dokument, który realnie wpływa na bezpieczeństwo prawne i biznesowe firmy. Analiza zapisów przed podpisaniem pomaga zidentyfikować ryzyka i uzgodnić zasady postępowania w razie problemów.