SaaS-sopimus B2B – malli

Esittely

SaaS-sopimus (Software as a Service -sopimus) on kahden yrityksen välinen sopimus, jolla palveluntarjoaja antaa asiakkaan käyttöön ohjelmiston pilvipalveluna internetin kautta, yleensä kuukausi- tai vuosimaksua vastaan. Suomessa ei ole erillistä SaaS-sopimuksia koskevaa lainsäädäntöä, vaan yritysten välinen (B2B) SaaS-sopimus perustuu yleisiin sopimusoikeuden periaatteisiin ja sopimusvapauteen (laki varallisuusoikeudellisista oikeustoimista 228/1929, ns. oikeustoimilaki). Kuluttajansuojalain (38/1978) säännökset eivät sovellu, koska molemmat osapuolet ovat elinkeinonharjoittajia — sopimusehdot voidaan siten sopia varsin vapaasti, kunhan ne eivät ole kohtuuttomia (oikeustoimilain 36 §). Henkilötietojen käsittely ja GDPR: mikäli palveluntarjoaja käsittelee asiakkaan puolesta henkilötietoja (esimerkiksi asiakkaan omien loppukäyttäjien tai työntekijöiden tietoja), osapuolten on tehtävä EU:n yleisen tietosuoja-asetuksen (GDPR) 28 artiklan mukainen henkilötietojen käsittelysopimus (Data Processing Agreement, DPA). Tämä velvoite täydentyy kansallisella tietosuojalailla (1050/2018). Käsittelysopimuksessa on määriteltävä muun muassa käsittelyn tarkoitus ja kesto, tietoturvatoimenpiteet, alihankkijoiden käyttö sekä tietojen sijainti — erityisesti julkishallinnon ja säänneltyjen toimialojen (esim. finanssi- ja terveysala) asiakkaille EU/ETA-alueen sisäinen tietojen käsittely on usein edellytys. Palvelutaso (SLA): SaaS-sopimukseen liittyy tyypillisesti palvelutasositoumus (Service Level Agreement, SLA), jossa määritellään palvelun käytettävyystavoite (esimerkiksi 99,5 % kuukausittaisesta käyttöajasta), suunnitellut huoltokatkot sekä hyvitysmenettely tavoitteen alittuessa. SLA ei ole lakisääteinen vaatimus, mutta sen puuttuminen heikentää asiakkaan neuvotteluasemaa ja oikeussuojaa palveluhäiriötilanteissa. Vastuunrajoitus: koska sopimusvapaus on laaja, osapuolet voivat sopia vastuunrajoituksesta (esimerkiksi enimmäismäärästä, joka vastaa tietyn ajanjakson tilausmaksuja), kunhan rajoitus ei koske tahallisuutta tai törkeää huolimattomuutta eikä ole oikeustoimilain 36 §:n tarkoittamalla tavalla kohtuuton. Immateriaalioikeudet: SaaS-sopimuksessa asiakkaalle myönnetään tyypillisesti vain rajoitettu, ei-yksinomainen käyttöoikeus (lisenssi) ohjelmistoon — omistusoikeus ohjelmistoon ja sen taustalla olevaan koodiin pysyy palveluntarjoajalla. Asiakkaan omat tiedot ja sisällöt (data) sen sijaan pysyvät asiakkaan omaisuutena. Sopimuksen päättyminen: sopimuksessa on hyvä määritellä irtisanomisaika, sopimuskauden jatkumisen ehdot (esim. automaattinen jatkuminen ellei irtisanota) sekä asiakkaan oikeus saada omat tietonsa ulos koneluettavassa muodossa (data export) sopimuksen päättyessä, jotta vältetään niin sanottu toimittajalukko (vendor lock-in). Käyttötilanteet: SaaS-sopimusta käytetään esimerkiksi kirjanpito-, CRM-, HR- tai projektinhallintaohjelmistojen sekä muiden pilvipohjaisten liiketoimintasovellusten tarjoamiseen yritysasiakkaille. Yleisiä virheitä: käsittelysopimuksen (DPA) unohtaminen silloin kun palvelu tosiasiassa käsittelee henkilötietoja, epämääräinen tai puuttuva palvelutasomäärittely, vastuunrajoituksen jättäminen kokonaan sopimatta sekä tietojen sijainnin ja siirtojen jättäminen määrittelemättä, mikä voi estää sopimuksen tekemisen säänneltyjen asiakkaiden kanssa.

Mukautettavat tiedot

• Palveluntarjoajan nimi

• Palveluntarjoajan osoite

• Palveluntarjoajan Y-tunnus

• Asiakkaan nimi

• Asiakkaan osoite

• Asiakkaan Y-tunnus

• Palvelun kuvaus

• Tilausmaksu

• Laskutuskausi (esim. kuukausittain, vuosittain)

• Sopimuskauden pituus

• Sopimuksen uusiutumisehto

• Palveluntarjoaja käsittelee henkilötietoja asiakkaan puolesta (GDPR 28 artikla)

• Palvelutasositoumus / käytettävyystavoite (%)

• Vastuunrajoituksen enimmäismäärä

• Irtisanomisaika

• Tietojen vientitapa sopimuksen päättyessä

• Allekirjoituspäivä

Mukauta malliasi

Usein kysytyt kysymykset

Sovelletaanko kuluttajansuojalakia B2B SaaS-sopimukseen?

Ei. Kuluttajansuojalaki (38/1978) koskee vain elinkeinonharjoittajan ja kuluttajan välisiä sopimuksia. Kun molemmat osapuolet ovat yrityksiä, sopimus perustuu yleiseen sopimusoikeuteen ja laajaan sopimusvapauteen, joskin kohtuuttomia ehtoja voidaan sovitella oikeustoimilain 36 §:n nojalla.

Milloin SaaS-sopimukseen tarvitaan erillinen tietosuojasopimus (DPA)?

Aina kun palveluntarjoaja käsittelee henkilötietoja Asiakkaan lukuun — esimerkiksi Asiakkaan työntekijöiden tai loppuasiakkaiden tietoja. Tällöin osapuolten on tehtävä GDPR 28 artiklan mukainen henkilötietojen käsittelysopimus, jota täydentää kansallinen tietosuojalaki (1050/2018).

Mikä on palvelutasositoumus (SLA) ja onko se pakollinen?

SLA on palveluntarjoajan sitoumus palvelun käytettävyydestä (esim. 99,5 % kuukausittaisesta käyttöajasta) ja hyvityksistä tavoitteen alittuessa. Se ei ole lakisääteinen vaatimus, mutta sen puuttuminen heikentää Asiakkaan asemaa häiriötilanteissa, joten se kannattaa aina sopia erikseen.

Voiko palveluntarjoaja rajoittaa vastuutaan sopimuksessa?

Kyllä, sopimusvapauden nojalla vastuu voidaan rajoittaa esimerkiksi tiettyyn euromäärään. Rajoitus ei kuitenkaan voi koskea tahallisuutta tai törkeää huolimattomuutta, eikä se saa olla oikeustoimilain 36 §:n tarkoittamalla tavalla kohtuuton.

Mitä tapahtuu Asiakkaan tiedoille sopimuksen päättyessä?

Sopimuksessa tulisi aina määritellä, miten Asiakas saa omat tietonsa ulos koneluettavassa muodossa (data export) sopimuksen päättyessä, ja millä aikataululla Palveluntarjoaja poistaa tiedot palvelustaan sen jälkeen. Tämä estää toimittajalukon (vendor lock-in) syntymisen.