SaaS-avtale mellom næringsdrivende – mal

Presentasjon

En SaaS-avtale (Software as a Service) regulerer forholdet mellom en programvareleverandør og en næringskunde som får løpende, abonnementsbasert tilgang til en programvareløsning driftet og vedlikeholdt av leverandøren, i motsetning til et tradisjonelt lisenskjøp der programvaren installeres lokalt hos kunden. Avtalen faller rettslig innenfor de alminnelige prinsippene om avtaleinngåelse i avtaleloven av 1918, og karakteriseres som en tjenesteytelsesavtale (leie av tilgang og drift) snarere enn et kjøp av løsøre etter kjøpsloven av 1988: kunden erverver ikke eiendomsrett til programvaren, men en tidsbegrenset bruksrett kombinert med en løpende driftstjeneste. Enkelte kjøpsrettslige prinsipper om mangler og forsinkelse brukes likevel analogisk i norsk kontraktspraksis når avtalen selv ikke uttømmende regulerer disse spørsmålene. Personvern og databehandling: dersom leverandøren i forbindelse med tjenesten behandler personopplysninger på vegne av kunden (for eksempel kundens ansatte- eller kundedata lagret i løsningen), krever personopplysningsloven — som gjennomfører EUs personvernforordning (GDPR) i norsk rett gjennom EØS-avtalen — at det inngås en databehandleravtale (DPA) mellom partene. Databehandleravtalen må blant annet regulere formålet med behandlingen, sikkerhetstiltak, bruk av eventuelle underleverandører (databehandlere i andre ledd), overføring av data til tredjeland utenfor EØS, og varsling ved sikkerhetsbrudd. Tjenestenivå (SLA): SaaS-avtaler bør angi et tjenestenivå (Service Level Agreement) med konkrete forpliktelser om tilgjengelighet (oppetid), support-responstid, og eventuelle kompensasjonsordninger (service credits) ved manglende oppfyllelse, siden kunden er avhengig av kontinuerlig tilgang til tjenesten for egen drift. Immaterielle rettigheter og ansvarsbegrensning: avtalen bør klargjøre at leverandøren beholder alle immaterielle rettigheter til programvaren, mens kunden beholder eierskap til egne data som legges inn i løsningen. Det er også vanlig og anbefalt å avtale en beløpsmessig ansvarsbegrensning, typisk knyttet til det vederlaget kunden har betalt i en gitt periode, samt unntak for grov uaktsomhet og forsett. Når bør den brukes: ved ethvert løpende abonnementsforhold der en næringsdrivende leverandør stiller en skybasert programvareløsning til rådighet for en næringskunde mot periodisk vederlag. Parter: leverandøren (som drifter og vedlikeholder programvaren) og kunden (næringsdrivende bruker av tjenesten). Sentrale vilkår: beskrivelse av tjenesten, abonnementspris og betalingsvilkår, avtaleperiode og oppsigelse, tjenestenivå, databehandlervilkår, immaterielle rettigheter og ansvarsbegrensning. Vanlige feil: å utelate databehandleravtale når personopplysninger faktisk behandles, uklare eller manglende SLA-forpliktelser, og fravær av en tydelig ansvarsbegrensning som står i forhold til abonnementets verdi.

Informasjon som skal tilpasses

• Leverandørens firmanavn

• Leverandørens organisasjonsnummer

• Kundens firmanavn

• Kundens organisasjonsnummer

• Beskrivelse av SaaS-tjenesten

• Abonnementspris (NOK per periode)

• Faktureringsperiode (f.eks. månedlig, årlig)

• Avtaleperiode og fornyelsesvilkår

• Garantert oppetid i prosent (SLA)

• Behandler leverandøren personopplysninger på vegne av kunden

• Beløpsmessig ansvarsbegrensning

• Avtalens startdato

Tilpass malen din

Ofte stilte spørsmål

Er en SaaS-avtale et kjøp eller en tjenesteavtale etter norsk rett?

En SaaS-avtale anses i norsk rett som en tjenesteytelsesavtale, ikke et kjøp etter kjøpsloven, ettersom kunden ikke erverver eiendomsrett til programvaren, men en tidsbegrenset bruksrett kombinert med en løpende driftstjeneste levert av leverandøren.

Trenger vi en egen databehandleravtale i tillegg til SaaS-avtalen?

Ja, dersom leverandøren behandler personopplysninger på vegne av kunden i forbindelse med tjenesten, krever personopplysningsloven (som gjennomfører GDPR i norsk rett) at det inngås en separat databehandleravtale mellom partene.

Hva bør en SLA i en SaaS-avtale inneholde?

En SLA bør angi konkrete forpliktelser om tjenestens tilgjengelighet (oppetid), responstid for support, og eventuelle kompensasjonsordninger dersom leverandøren ikke oppfyller de avtalte tjenestenivåene.

Hvem eier dataene som legges inn i en SaaS-løsning?

Kunden beholder normalt full eiendomsrett til egne data som legges inn i løsningen. Leverandøren beholder immaterielle rettigheter til selve programvaren og den underliggende teknologien.

Bør SaaS-avtalen inneholde en ansvarsbegrensning?

Ja, det er vanlig og anbefalt praksis å avtale en beløpsmessig ansvarsbegrensning, typisk knyttet til det vederlaget kunden har betalt i en gitt periode, med unntak for grov uaktsomhet og forsett.