W umowie SaaS bezpieczeństwo powinno zostać określone w sposób możliwie konkretny. Przed zawarciem umowy warto dokonać weryfikacji zasad kontroli dostępu, szyfrowania danych, wykonania kopii zapasowych, zabezpieczenia przed utratą danych, procedury reagowania na incydenty oraz obowiązki dostawcy w przypadku naruszenia bezpieczeństwa - pisze Kamila Marlena Ziemian, radca prawny w Olczak-Klimek, van der Kroft, Węgiełek Kancelaria Radców Prawnych sp.p.
Model SaaS stał się jednym z podstawowych sposobów korzystania przez podmioty gospodarcze z oprogramowania. Zamiast kupować licencję, instalować system na własnej infrastrukturze oraz samodzielnie odpowiadać za jego utrzymanie, przedsiębiorcy korzystają z aplikacji udostępnionej przez dostawcę w chmurze. Takie rozwiązanie zdecydowanie daje elastyczność oraz pozwala na ograniczenie kosztów, które powiązane są z infrastrukturą IT. Jednocześnie skorzystanie z modelu SaaS oznacza przeniesienie części kontroli nad systemem, danymi oraz ciągłością działania na zewnętrznego dostawcę. Dlatego umowa SaaS nie powinna być traktowana wyłącznie jako dokument, który dotyczy dostępu do programu. W praktyce bowiem taka umowa reguluje dostęp do kluczowych procesów biznesowych, określa zasady przetwarzania danych osobowych, bezpieczeństwo informacji, odpowiedzialność za awarie oraz możliwość przeniesienia danych do innego dostawcy. Przed zawarciem umowy SaaS należy przeanalizować nie tylko cenę i funkcjonalność systemu, ale także inne aspekty prawne.
Wykorzystanie AI w podmiotach prywatnych - jak tworzyć klauzule umowne? - czytaj w LEX >
Przed zawarciem umowy SaaS należy jasno określić przedmiot usługi. W modelu SaaS przedsiębiorca z reguły uzyskuje dostęp do określonej funkcjonalności za pomocą internetu. Znaczenie zatem mają nie tylko postanowienia umowy głównej, ale i regulamin usługi, dokumentacja techniczna, polityka bezpieczeństwa, SLA, cennik oraz zasady korzystania z API.
Problem pojawia się jednak, kiedy dostawca zastrzega sobie prawo do jednostronnej zmiany tych dokumentów. Przed podpisaniem umowy na usługę w chmurze warto sprawdzić, czy dostawca może zmienić funkcjonalność systemu, zakres usługi, zasady korzystania z API lub cenę bez zgody klienta.
Czytaj też w LEX: Oprogramowanie w modelu SaaS – co prawnik wiedzieć powinien? >
Jednym z najważniejszych elementów umowy SaaS jest SLA. Jest to dokument lub załącznik do umowy, w którym dostawca zobowiązuje się do utrzymania określonej jakości oraz ciągłości usługi. Samo zapewnienie, iż system jest dostępny lub niezawodny, posiada niewielką wartość prawną, jeżeli umowa nie określa konkretnych parametrów.
SLA powinno wskazywać przede wszystkim gwarantowany poziom dostępności usługi, sposób pomiaru dostępności, wyłączenia odpowiedzialności oraz procedurę zgłaszania i obsługi incydentów. W przypadku systemów krytycznych warto również określić maksymalny czas reakcji na awarię i czas usunięcia problemu, a także zasady komunikacji z klientem.
Bardzo ważnym aspektem jest również określenie konsekwencji niewykonania SLA – czy w takiej sytuacji przedsiębiorcy przysługuje obniżenie wynagrodzenia, kara umowna, a może prawo do rozwiązania umowy. Należy zwrócić szczególną uwagę, czy przewidziane mechanizmy rzeczywiście rekompensują ryzyko powiązane z ewentualną niedostępnością systemu.
W przypadku aplikacji wykorzystywanej do obsługi sprzedaży, księgowości, produkcji czy procesów kadrowych nawet kilkugodzinna awaria może oznaczać realną stratę. Odpowiedzialność dostawcy w takiej sytuacji powinna być dostosowana do znaczenia systemu dla działalności przedsiębiorstwa.
Czytaj też w LEX: Umowy ICT w świetle DORA i NIS2 – nowy standard odporności cyfrowej >
Przed zawarciem umowy SaaS ważną kwestią jest ustalenie, co się dzieje z danymi, które są wprowadzane do systemu. Umowa SaaS powinna jednoznacznie potwierdzać prawa przedsiębiorcy do jego danych oraz określać zakres uprawnień dostawcy do ich przetwarzania.
Jeżeli w systemie znajdują się dane osobowe lub wrażliwe, konieczne jest dodatkowo dostosowanie regulacji umownych na gruncie RODO. Dostawca SaaS często występuje jako podmiot przetwarzający dane, zaś przedsiębiorca jako administrator danych. Umowa powierzenia powinna odpowiednio podkreślać przedmiot oraz czas przetwarzania danych, jego charakter oraz cel, rodzaje danych, kategorie osób oraz obowiązki stron. Europejska Rada Ochrony Danych wskazuje również na znaczenie prawa administratora do uzyskiwania informacji oraz przeprowadzania audytów podmiotu przetwarzającego.
Warto również ustalić, gdzie dane będą przechowywane oraz przetwarzane, a także czy dostawca korzysta z dalszych podmiotów przetwarzających. Sama informacja, iż usługa jest w chmurze, nie odpowiada jeszcze na pytanie o lokalizację infrastruktury ani o to, jaki podmiot faktycznie będzie miał dostęp do danych.
W umowie SaaS bezpieczeństwo (danych, dostępu oraz innych) powinno zostać określone w sposób możliwie konkretny. Przed zawarciem umowy warto dokonać weryfikacji zasad kontroli dostępu, szyfrowania danych, wykonania kopii zapasowych, zabezpieczenia przed utratą danych, procedury reagowania na incydenty oraz obowiązki dostawcy w przypadku naruszenia bezpieczeństwa.
Dobrą praktyką jest także wymaganie od dostawcy informacji o stosowanych standardach bezpieczeństwa i wynikach niezależnych audytów lub certyfikacji, jeżeli są one adekwatne do charakteru usługi. Istotne jest również ustalenie, w jakich przypadkach dostawca ma obowiązek poinformowania przedsiębiorcy o incydencie. W praktyce samo zobowiązanie do „niezwłocznego” powiadomienia może okazać się niewystarczające.
Niejednokrotnie dostawca SaaS sam korzysta z usług innych podmiotów – operatorów centrów danych, dostawców infrastruktury chmurowej, narzędzi analitycznych czy usług bezpieczeństwa. Przedsiębiorca powinien znać zasady korzystania przez dostawcę z usług dalszych podwykonawców, a w szczególności warunki ich angażowania oraz obowiązki informacyjne dostawcy dotyczące zmian w strukturze podwykonawców. W sytuacji, gdy łańcuch podmiotów uczestniczących w świadczeniu usługi jest dłuższy, tym trudniej ustalić, gdzie znajdują się dane i kto ponosi odpowiedzialność za konkretny problem.
Czytaj też w LEX: Chmura publiczna – ale czy bezpieczna? >
Jednym z najbardziej pomijanych elementów podczas negocjacji umów SaaS jest zakończenie współpracy. Tymczasem istotne jest już przed samym podpisaniem umowy, jak przedsiębiorca odzyska powierzone dane. W praktyce powinno się ustalić format eksportu danych, zakres danych podlegających eksportowi, sposób ich przekazania, termin realizacji oraz koszty. Warto również sprawdzić, czy eksport obejmie nie tylko dane użytkowników, lecz także konfigurację systemu, historię operacji, dokumenty oraz inne zasoby cyfrowe.
Czytaj też w LEX: Testowe, ale niekoniecznie bezpieczne: jak złe nawyki w procesie dewelopmentu prowadzą do wycieków >
Klauzula „dane zostaną zwrócone po zakończeniu umowy” jest zdecydowanie niewystarczająca. Przedsiębiorca powinien wiedzieć, jak, kiedy oraz w jakim formacie dane zostaną zwrócone oraz kto poniesie koszty migracji. Dlatego przed zawarciem umowy warto przeprowadzić „test wyjścia”, który polega na dokonaniu weryfikacji jak będzie wyglądał proces przeniesienia usługi do innego dostawcy.
Przed podpisaniem umowy warto odpowiedzieć na wskazane poniżej pytania:
Najważniejsza zasada jest prosta – umowę SaaS należy negocjować nie tylko z perspektywy rozpoczęcia współpracy, ale również jej zakłócenia i zakończenia.
Zobacz też w LEX: Halucynacje AI: Jak weryfikować informacje i unikać błędów >
Autorka: Kamila Marlena Ziemian, radca prawny w Olczak-Klimek, van der Kroft, Węgiełek Kancelaria Radców Prawnych sp.p.
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
