SaaS-avtal (B2B) – mall

Presentation

Ett SaaS-avtal (Software as a Service) reglerar villkoren för att en leverantör ger en affärskund tillgång till en molnbaserad programvarutjänst mot ersättning, typiskt i form av en återkommande prenumerationsavgift. Svensk rätt saknar en särskild lag för molntjänster – avtalet grundas i stället på den allmänna avtalsfriheten enligt avtalslagen (1915:218) och allmänna kontraktsrättsliga principer, vilket innebär att parternas egna villkor får stor betydelse och bör vara tydligt formulerade. Dataskydd och personuppgiftsbiträdesavtal: när leverantören behandlar personuppgifter för kundens räkning – exempelvis uppgifter om kundens anställda, användare eller slutkunder som matas in i tjänsten – agerar leverantören som personuppgiftsbiträde och kunden som personuppgiftsansvarig enligt dataskyddsförordningen (EU) 2016/679 (GDPR). Artikel 28 GDPR kräver då att ett särskilt personuppgiftsbiträdesavtal (PUB-avtal) ingås, som bland annat ska reglera behandlingens föremål och varaktighet, säkerhetsåtgärder, eventuella underbiträden, bistånd vid registrerades rättigheter, samt vad som sker med uppgifterna vid avtalets upphörande. Detta avtal bör antingen innehålla ett sådant PUB-avtal som bilaga eller hänvisa till ett separat sådant avtal. Servicenivå och tillgänglighet: parterna bör ange en tydlig servicenivå (Service Level Agreement, SLA) med en tillgänglighetsgaranti (till exempel viss procentuell drifttid per månad), rutiner för planerat underhåll, samt påföljder – exempelvis kreditering av prenumerationsavgiften – om den utlovade tillgängligheten inte uppnås. Immaterialrätt och äganderätt till data: programvaran och den underliggande koden förblir normalt leverantörens (eller dennes licensgivares) egendom, och kunden erhåller endast en tidsbegränsad, icke-exklusiv nyttjanderätt (licens) för avtalstiden. Kundens egen data som matas in i tjänsten ("kunddata") förblir däremot kundens egendom, och avtalet bör tydligt skilja mellan dessa två kategorier av rättigheter för att undvika tvist. Uppsägning och dataportabilitet: avtalet bör reglera uppsägningstid, eventuell bindningstid, samt vad som händer med kunddata vid avtalets upphörande – i praktiken en rätt för kunden att under en viss period exportera sin data i ett användbart format (dataportabilitet), innan leverantören raderar den i enlighet med sina skyldigheter enligt GDPR. Parter: leverantören (tjänsteleverantören) och kunden (den affärskund som använder tjänsten). Väsentliga villkor: tjänstens omfattning, prenumerationsavgift och betalningsvillkor, avtalstid och uppsägningstid, servicenivå/tillgänglighetsgaranti, personuppgiftsbehandling och PUB-avtal, immaterialrätt, ansvarsbegränsning, samt villkor vid avtalets upphörande. Vanliga misstag: att inte ingå ett separat eller bifogat personuppgiftsbiträdesavtal trots att leverantören behandlar personuppgifter för kundens räkning, att inte tydligt reglera äganderätten till kunddata, samt att sakna konkreta bestämmelser om dataportabilitet och dataradering vid avtalets upphörande.