SaaS-avtal (B2B) – mall

Presentation

Ett SaaS-avtal (Software as a Service) reglerar villkoren för att en leverantör ger en affärskund tillgång till en molnbaserad programvarutjänst mot ersättning, typiskt i form av en återkommande prenumerationsavgift. Svensk rätt saknar en särskild lag för molntjänster – avtalet grundas i stället på den allmänna avtalsfriheten enligt avtalslagen (1915:218) och allmänna kontraktsrättsliga principer, vilket innebär att parternas egna villkor får stor betydelse och bör vara tydligt formulerade. Dataskydd och personuppgiftsbiträdesavtal: när leverantören behandlar personuppgifter för kundens räkning – exempelvis uppgifter om kundens anställda, användare eller slutkunder som matas in i tjänsten – agerar leverantören som personuppgiftsbiträde och kunden som personuppgiftsansvarig enligt dataskyddsförordningen (EU) 2016/679 (GDPR). Artikel 28 GDPR kräver då att ett särskilt personuppgiftsbiträdesavtal (PUB-avtal) ingås, som bland annat ska reglera behandlingens föremål och varaktighet, säkerhetsåtgärder, eventuella underbiträden, bistånd vid registrerades rättigheter, samt vad som sker med uppgifterna vid avtalets upphörande. Detta avtal bör antingen innehålla ett sådant PUB-avtal som bilaga eller hänvisa till ett separat sådant avtal. Servicenivå och tillgänglighet: parterna bör ange en tydlig servicenivå (Service Level Agreement, SLA) med en tillgänglighetsgaranti (till exempel viss procentuell drifttid per månad), rutiner för planerat underhåll, samt påföljder – exempelvis kreditering av prenumerationsavgiften – om den utlovade tillgängligheten inte uppnås. Immaterialrätt och äganderätt till data: programvaran och den underliggande koden förblir normalt leverantörens (eller dennes licensgivares) egendom, och kunden erhåller endast en tidsbegränsad, icke-exklusiv nyttjanderätt (licens) för avtalstiden. Kundens egen data som matas in i tjänsten ("kunddata") förblir däremot kundens egendom, och avtalet bör tydligt skilja mellan dessa två kategorier av rättigheter för att undvika tvist. Uppsägning och dataportabilitet: avtalet bör reglera uppsägningstid, eventuell bindningstid, samt vad som händer med kunddata vid avtalets upphörande – i praktiken en rätt för kunden att under en viss period exportera sin data i ett användbart format (dataportabilitet), innan leverantören raderar den i enlighet med sina skyldigheter enligt GDPR. Parter: leverantören (tjänsteleverantören) och kunden (den affärskund som använder tjänsten). Väsentliga villkor: tjänstens omfattning, prenumerationsavgift och betalningsvillkor, avtalstid och uppsägningstid, servicenivå/tillgänglighetsgaranti, personuppgiftsbehandling och PUB-avtal, immaterialrätt, ansvarsbegränsning, samt villkor vid avtalets upphörande. Vanliga misstag: att inte ingå ett separat eller bifogat personuppgiftsbiträdesavtal trots att leverantören behandlar personuppgifter för kundens räkning, att inte tydligt reglera äganderätten till kunddata, samt att sakna konkreta bestämmelser om dataportabilitet och dataradering vid avtalets upphörande.

Information att anpassa

• Leverantörens företagsnamn

• Leverantörens organisationsnummer

• Kundens företagsnamn

• Kundens organisationsnummer

• Beskrivning av SaaS-tjänsten

• Prenumerationsavgift (SEK, exkl. moms)

• Betalningsperiod (t.ex. månadsvis, årsvis)

• Utlovad tillgänglighet i procent (SLA)

• Avtalets startdatum

• Uppsägningstid (t.ex. 3 månader)

• Behandlar leverantören personuppgifter för kundens räkning?

Anpassa din mall

Vanliga frågor

Finns det en särskild svensk lag för SaaS-avtal?

Nej. Svensk rätt saknar en särskild lag för molntjänster (SaaS). Avtalet grundas i stället på den allmänna avtalsfriheten enligt avtalslagen (1915:218) och allmänna kontraktsrättsliga principer, vilket gör det extra viktigt att parternas egna villkor är tydligt formulerade.

Behövs ett personuppgiftsbiträdesavtal (PUB-avtal) vid ett SaaS-avtal?

Ja, om leverantören behandlar personuppgifter för kundens räkning – till exempel uppgifter om kundens anställda eller slutkunder som matas in i tjänsten – krävs enligt artikel 28 i dataskyddsförordningen (GDPR) att ett särskilt personuppgiftsbiträdesavtal ingås mellan parterna.

Vem äger den data som kunden matar in i tjänsten?

Kunddata som kunden matar in i eller genererar via tjänsten förblir normalt kundens egendom. Programvaran och den bakomliggande koden förblir däremot leverantörens egendom; kunden erhåller endast en nyttjanderätt (licens) till själva tjänsten.

Vad är en tillgänglighetsgaranti (SLA) och varför behövs den?

En tillgänglighetsgaranti, ofta del av ett servicenivåavtal (SLA), anger hur stor andel av tiden tjänsten ska vara i drift, exempelvis en viss procent per månad. Den ger kunden en konkret måttstock och möjlighet till kompensation, till exempel kreditering av avgiften, om leverantören inte uppfyller den utlovade driftsäkerheten.

Vad händer med kundens data när SaaS-avtalet upphör?

Ett väl utformat SaaS-avtal ger kunden rätt att under en skälig period efter uppsägning exportera sin data i ett läsbart format (dataportabilitet), innan leverantören raderar uppgifterna i enlighet med sina skyldigheter enligt dataskyddsförordningen (GDPR).