SaaS-avtale mellom næringsdrivende – mal

Presentasjon

En SaaS-avtale (Software as a Service) regulerer forholdet mellom en programvareleverandør og en næringskunde som får løpende, abonnementsbasert tilgang til en programvareløsning driftet og vedlikeholdt av leverandøren, i motsetning til et tradisjonelt lisenskjøp der programvaren installeres lokalt hos kunden. Avtalen faller rettslig innenfor de alminnelige prinsippene om avtaleinngåelse i avtaleloven av 1918, og karakteriseres som en tjenesteytelsesavtale (leie av tilgang og drift) snarere enn et kjøp av løsøre etter kjøpsloven av 1988: kunden erverver ikke eiendomsrett til programvaren, men en tidsbegrenset bruksrett kombinert med en løpende driftstjeneste. Enkelte kjøpsrettslige prinsipper om mangler og forsinkelse brukes likevel analogisk i norsk kontraktspraksis når avtalen selv ikke uttømmende regulerer disse spørsmålene. Personvern og databehandling: dersom leverandøren i forbindelse med tjenesten behandler personopplysninger på vegne av kunden (for eksempel kundens ansatte- eller kundedata lagret i løsningen), krever personopplysningsloven — som gjennomfører EUs personvernforordning (GDPR) i norsk rett gjennom EØS-avtalen — at det inngås en databehandleravtale (DPA) mellom partene. Databehandleravtalen må blant annet regulere formålet med behandlingen, sikkerhetstiltak, bruk av eventuelle underleverandører (databehandlere i andre ledd), overføring av data til tredjeland utenfor EØS, og varsling ved sikkerhetsbrudd. Tjenestenivå (SLA): SaaS-avtaler bør angi et tjenestenivå (Service Level Agreement) med konkrete forpliktelser om tilgjengelighet (oppetid), support-responstid, og eventuelle kompensasjonsordninger (service credits) ved manglende oppfyllelse, siden kunden er avhengig av kontinuerlig tilgang til tjenesten for egen drift. Immaterielle rettigheter og ansvarsbegrensning: avtalen bør klargjøre at leverandøren beholder alle immaterielle rettigheter til programvaren, mens kunden beholder eierskap til egne data som legges inn i løsningen. Det er også vanlig og anbefalt å avtale en beløpsmessig ansvarsbegrensning, typisk knyttet til det vederlaget kunden har betalt i en gitt periode, samt unntak for grov uaktsomhet og forsett. Når bør den brukes: ved ethvert løpende abonnementsforhold der en næringsdrivende leverandør stiller en skybasert programvareløsning til rådighet for en næringskunde mot periodisk vederlag. Parter: leverandøren (som drifter og vedlikeholder programvaren) og kunden (næringsdrivende bruker av tjenesten). Sentrale vilkår: beskrivelse av tjenesten, abonnementspris og betalingsvilkår, avtaleperiode og oppsigelse, tjenestenivå, databehandlervilkår, immaterielle rettigheter og ansvarsbegrensning. Vanlige feil: å utelate databehandleravtale når personopplysninger faktisk behandles, uklare eller manglende SLA-forpliktelser, og fravær av en tydelig ansvarsbegrensning som står i forhold til abonnementets verdi.