- Data publikacji:
Umowa SaaS to umowa, w której dostawca udostępnia klientowi aplikację działającą na swoich serwerach, a klient płaci abonament za dostęp przez przeglądarkę lub API. W modelu SaaS klient nie instaluje programu i nie dostaje jego kodu, dlatego umowa musi przede wszystkim regulować dostępność systemu, bezpieczeństwo danych i sposób ich odzyskania po zakończeniu współpracy.
Czym jest model SaaS i umowa SaaS?
Software as a Service polega na tym, że program działa w infrastrukturze dostawcy, a klient korzysta z niego zdalnie w ramach subskrypcji. Dostawca odpowiada za serwery, aktualizacje, kopie zapasowe i zabezpieczenia.
Co klient kupuje, zamawiając usługę SaaS?
Klient kupuje dostęp do działającej funkcjonalności i określony poziom jej utrzymania. Nie nabywa kopii programu ani praw do kodu, więc jeśli dostawca wyłączy serwis, klient nie ma czego uruchomić u siebie. Dlatego kluczowe są gwarantowana dostępność i procedura wyjścia z usługi wraz z danymi.
Jaki charakter prawny ma umowa SaaS?
Kodeks cywilny nie reguluje umowy SaaS, więc jest to umowa nienazwana, której treść strony kształtują w granicach swobody umów (art. 3531 KC). Jej istotą jest stałe świadczenie przez cały okres subskrypcji, dlatego najczęściej uznaje się ją za zbliżoną do umowy o świadczenie usług, do której art. 750 KC nakazuje stosować odpowiednio przepisy o zleceniu. Część autorów dostrzega w niej jednak także elementy najmu.
Przy takiej kwalifikacji każda strona może wypowiedzieć umowę w każdym czasie (art. 746 KC), a przy umowie odpłatnej wypowiedzenie bez ważnego powodu rodzi obowiązek naprawienia szkody. Prawa do wypowiedzenia z ważnych powodów nie można z góry wyłączyć. Skoro kwalifikacja nie jest jednolita, umowa powinna sama określać okres wypowiedzenia i rozliczenia stron.
Umowa SaaS a umowa licencyjna – jakie są różnice?
Przy programie instalowanym na komputerach klienta podstawą jest umowa licencyjna. Klient otrzymuje egzemplarz programu i może z niego korzystać na wskazanych polach eksploatacji, często na czas nieoznaczony. Gdy klient kupuje oprogramowanie jako usługę, nie dostaje kodu ani egzemplarza, dlatego dylematy typowe dla programów instalowanych lokalnie, takie jak przeniesienie praw autorskich a udzielenie licencji, schodzą na drugi plan. Najważniejsza różnica dotyczy danych, które w SaaS znajdują się na serwerach dostawcy, więc umowa musi przewidywać ich zwrot.
Regulamin świadczenia usług drogą elektroniczną czy umowa indywidualna?
Większość dostawców oferuje usługę SaaS na podstawie standardowego regulaminu, a przy dużych wdrożeniach strony negocjują umowę indywidualną.
Kiedy wystarczy regulamin dostawcy?
Regulamin sprawdza się przy prostych narzędziach o niskiej wartości. Musi określać m.in. rodzaj i zakres usług, warunki zawierania i rozwiązywania umów oraz tryb reklamacyjny (art. 8 ustawy o świadczeniu usług drogą elektroniczną). Przy umowie ciągłej zmieniony regulamin wiąże klienta, jeśli został mu prawidłowo udostępniony, a klient nie wypowiedział umowy w najbliższym terminie (art. 3841 KC).
Kiedy lepsza jest indywidualna umowa SaaS?
Umowa indywidualna jest zalecana, gdy system obsługuje sprzedaż, księgowość, dane pacjentów lub procesy, których zatrzymanie oznacza przestój firmy. Negocjuje się wtedy SLA, wyższe limity odpowiedzialności, prawo do audytu bezpieczeństwa i plan wyjścia. Jeżeli dostali Państwo projekt umowy od dostawcy, chętnie przeanalizujemy jej zapisy przed podpisaniem.
Co powinna zawierać umowa SaaS?
Poza opisem modułów, limitów i abonamentu umowa SaaS musi rozstrzygać kwestie, o które strony spierają się najczęściej.
Czym jest SLA w umowie SaaS?
SLA (Service Level Agreement) określa mierzalny poziom świadczenia. Podstawowy parametr to dostępność w skali miesiąca, np. 99,5%, czyli dopuszczalny przestój około 3,6 godziny. Sankcją są zwykle rabaty od abonamentu (service credits), ale przy powtarzających się awariach klient powinien móc wypowiedzieć umowę ze skutkiem natychmiastowym.
Umowa SaaS a RODO
Gdy klient wprowadza do systemu dane osobowe, dostawca przetwarza je w jego imieniu. Strony muszą wtedy zawrzeć umowę powierzenia przetwarzania danych spełniającą wymogi art. 28 RODO, z zasadami korzystania z podwykonawców, zgłaszania naruszeń oraz zwrotu lub usunięcia danych.
Czy dostawca SaaS może ograniczyć swoją odpowiedzialność?
W umowach między przedsiębiorcami co do zasady tak. Dostawcy zwykle ograniczają ją do wynagrodzenia z ostatnich kilkunastu miesięcy i wyłączają utracone korzyści. Odpowiedzialności za szkodę wyrządzoną umyślnie nie można jednak wyłączyć (art. 473 § 2 KC). Wobec konsumenta wyłączenie lub istotne ograniczenie odpowiedzialności jest w razie wątpliwości klauzulą niedozwoloną.
Wypowiedzenie i dane po zakończeniu umowy
Umowa powinna wskazywać okres wypowiedzenia każdej ze stron, przypadki wypowiedzenia ze skutkiem natychmiastowym i rozliczenie abonamentu opłaconego z góry. Koniec umowy to moment, w którym model SaaS ujawnia największe ryzyko, bo dane klienta zostają w systemie dostawcy. Trzeba więc ustalić format i termin wydania danych, pomoc w migracji i termin ich usunięcia.
Umowa SaaS z kontrahentem zagranicznym – prawo właściwe i spory
Rozporządzenie Rzym I pozwala stronom wybrać prawo właściwe (art. 3). Bez takiego wyboru umowa o świadczenie usług podlega prawu państwa, w którym usługodawca ma miejsce zwykłego pobytu, czyli zwykle prawu kraju dostawcy. Sąd państwa członkowskiego UE strony mogą wskazać na podstawie rozporządzenia Bruksela I bis. Przy dostawcach spoza UE dobrym rozwiązaniem bywa arbitraż, bo wyroki sądów polubownych łatwiej wykonać za granicą dzięki Konwencji nowojorskiej z 1958 r.
Jakie nowe regulacje wpływają na umowy SaaS?
Część nowych przepisów wiąże dostawców niezależnie od treści regulaminu.
Co zmienia Data Act w umowach SaaS?
Rozporządzenie (UE) 2023/2854, czyli Data Act, co do zasady obejmuje model SaaS i od 12 września 2025 r. daje klientowi prawo do zmiany dostawcy. Zasady tej zmiany muszą być opisane w umowie pisemnej. Okres wypowiedzenia rozpoczynający proces zmiany nie może przekraczać 2 miesięcy, okres przejściowy trwa co do zasady do 30 dni, a potem klient ma co najmniej 30 dni na pobranie danych.
Do 11 stycznia 2027 r. dostawca może pobierać za zmianę tylko opłaty nieprzekraczające kosztów migracji, a od 12 stycznia 2027 r. nie może pobierać ich wcale. Proporcjonalne opłaty za wcześniejsze rozwiązanie umowy na czas określony pozostają dopuszczalne.
Co musi zapewnić dostawca, gdy usługa SaaS trafia do konsumentów?
Stosuje się wtedy rozdział 5b ustawy o prawach konsumenta. Zgodnie z art. 43k usługa świadczona w sposób ciągły musi pozostawać zgodna z umową przez czas jej dostarczania, a dostawca dostarcza aktualizacje, w tym zabezpieczeń. Te same zasady obejmują przedsiębiorców będących osobami fizycznymi, jeśli umowa nie ma dla nich charakteru zawodowego.
Czy dostawca SaaS może przekazywać dane do USA?
Tak. Najczęściej podstawą jest decyzja Komisji Europejskiej z 10 lipca 2023 r. w sprawie EU-US Data Privacy Framework, jeśli odbiorca ma certyfikat DPF. Jej ważność jest jednak kwestionowana przed TSUE, dlatego zalecam zapisać w umowie lokalizację serwerów, listę podwykonawców spoza EOG i standardowe klauzule umowne jako rozwiązanie zapasowe.
Jakie obowiązki z AI Act dotyczą systemów SaaS z AI?
Coraz częściej oprogramowanie jako usługa zawiera funkcje AI. Rozporządzenie (UE) 2024/1689, czyli AI Act, inaczej traktuje dostawcę systemu AI i podmiot stosujący. Zakazy określonych praktyk obowiązują od 2 lutego 2025 r., a od 2 sierpnia 2026 r. także obowiązki przejrzystości, np. informowanie, że użytkownik rozmawia z AI. Obowiązki dla samodzielnych systemów wysokiego ryzyka, np. w rekrutacji, rozporządzenie (UE) 2026/1744 przesunęło na 2 grudnia 2027 r. Umowa powinna wskazywać, jak strony dzielą obowiązki dostawcy i podmiotu stosującego oraz czy dane klienta mogą służyć do trenowania modeli.
Jak NIS2 i ustawa o KSC wpływają na umowy SaaS?
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2, nakłada na podmioty kluczowe i ważne obowiązek wdrożenia środków bezpieczeństwa, w tym zarządzania ryzykiem w łańcuchu dostaw. Klienci objęci ustawą będą więc wymagać od dostawcy SaaS zapisów o zgłaszaniu incydentów i prawie do audytu.
Negocjowanie SLA, umów powierzenia i zapisów o Data Act to codzienna część tego, co obejmuje obsługa prawna IT w naszej kancelarii.
Podsumowanie
Umowa SaaS reguluje świadczenie ciągłe, w którym klient powierza dostawcy dane i ciągłość działania firmy. Wymaga zapisów o SLA, danych, odpowiedzialności i wyjściu z usługi, a dziś także o Data Act, AI Act i cyberbezpieczeństwie. Pomagamy dostawcom przygotować regulaminy SaaS, a klientom negocjować umowy z dostawcami. Zapraszamy do kontaktu.
