Договір та умови SaaS

У моделі SaaS клієнт не отримує програмне забезпечення — він користується послугою, яку надаєте ви. Тому основна увага зміщується з ліцензії на доступність, підтримку, дані та закриття облікового запису; до цього додається обробка персональних даних клієнтів у вашій інфраструктурі. Класичний ліцензійний договір цих питань не врегульовує.

Ми цього не рекомендуємо — англосаксонські шаблони містять концепції, які не діють у нашому праві, і водночас не врегульовують обов’язки за європейськими, словацькими чи чеськими нормативно-правовими актами, особливо щодо споживачів і персональних даних. Ми складемо умови, які відповідають вашому продукту та праву, за яким ви ведете діяльність.

Як правило, так. Якщо ви обробляєте персональні дані від імені клієнта — наприклад, дані його користувачів, — ви є оператором з обробки, а відносини мають регулюватися договором або іншим правовим актом із визначеним змістом: предмет і тривалість обробки, її характер і мета, тип персональних даних, категорії суб’єктів даних, а також обов’язки й права контролера (ст. 28 ч. 3 Регламенту (ЄС) 2016/679, GDPR). Регламент також вимагає письмової форми, до якої належить і електронна (ст. 28 ч. 9). Розділ в умовах зазвичай не охоплює всіх цих вимог, тому ми готуємо DPA як стандартну частину комплекту.

Якщо через ці інструменти ви обробляєте персональні дані від імені клієнта, то так. Як оператор з обробки, ви не маєте права залучати іншого оператора без попереднього окремого або загального письмового дозволу клієнта, а якщо маєте загальний дозвіл, то зобов’язані повідомляти клієнта про заплановане додавання чи заміну іншого оператора, щоб він мав змогу заперечити (ст. 28 ч. 2 GDPR). Крім того, на іншого оператора потрібно договором покласти такі самі обов’язки щодо захисту даних, а якщо він їх не виконає, перед клієнтом відповідаєте ви (ст. 28 ч. 4). На практиці ми врегульовуємо це за допомогою переліку субпідрядників і порядку повідомлення про його зміни.

Тоді, коли починаєте самостійно ухвалювати рішення щодо даних клієнта. Оператор з обробки, який порушує Регламент, самостійно визначаючи цілі та засоби обробки, вважається контролером щодо такої обробки (ст. 28 ч. 10 GDPR) — з усіма пов’язаними із цим обов’язками. Зазвичай такий ризик виникає в разі використання даних клієнтів для власної аналітики або навчання моделей; тому ми прямо закріплюємо ці правила в умовах.

Вимірюваний показник доступності з чіткою методикою розрахунку, виключення планового технічного обслуговування, категорії інцидентів із часом реагування та кредити як основну вимогу в разі перебою. Важливо обіцяти лише те, що інфраструктура реально здатна забезпечити, — SLA є зобов’язанням, а не маркетингом.

Споживчий режим передбачає суворіші правила — інформаційні обов’язки, відмову від договору, обмеження щодо лімітування відповідальності та контроль несправедливих умов. Ми сформулюємо умови так, щоб частина B2C відповідала вимогам, а частина B2B без потреби не зазнавала споживчих обмежень.

Це залежить від обсягу — від перевірки наявних умов до повного комплекту із SLA та DPA. Ціну ми підтвердимо заздалегідь, і застосовуватиметься саме те, про що ми домовилися.