Klikasz „akceptuję regulamin" i zaczynasz korzystać z systemu. Tak wygląda zawarcie większości umów SaaS (Software as a Service) – bez czytania, bez negocjacji, bez świadomości, na co się zgadzasz.
Dopóki wszystko działa – nie ma problemu. Problem pojawia się wtedy, gdy funkcjonalności oprogramowania przestają działać, dochodzi do sporu, okazuje się, że Twoje dane biznesowe wyciekły albo od miesięcy trenują cudzy model AI. Wtedy sięgasz po regulamin aplikacji SaaS i zaczynasz czytać. Najczęściej za późno.
W umowie SaaS jest kilka klauzul, które mają znaczenie zawsze – niezależnie od tego, czy sprzedajesz dostęp do oprogramowania, czy z niego korzystasz. To na tych kluczowych elementach warto się skupić weryfikując obowiązki stron.
„Regulamin SaaS jest traktowany jak formalność – coś, co się akceptuje i zapomina. To błąd, który w kancelarii widzimy regularnie. Klienci przychodzą do nas w momencie eskalacji – gdy dane już wyciekły, system przestał działać, a dostawca milczy. Dobry regulamin to nie biurokratyczny obowiązek. To precyzyjne narzędzie, które określa, kto za co odpowiada, co się dzieje gdy coś zawiedzie i jakie środki nacisku przysługują klientowi." — radca prawny Damian Sawicki, Sawicki Legal.
Klauzula 1: SLA – czy zapis „99,9% dostępności" usługi SaaS naprawdę cokolwiek gwarantuje?
SLA (Service Level Agreement) to sekcja określająca gwarantowany poziom dostępności systemu i konsekwencje jego niedotrzymania – i jest to pierwszy zakres, który obie strony umowy powinny zrozumieć.
Dla dostawcy SLA wyznacza granicę zobowiązania. Dla klienta – poziom ochrony, gdy system zawiedzie. Problem zaczyna się wtedy, gdy do SLA dołączona jest lista wyłączeń – i nagle mamy inny skutek.
99,9% dostępności rocznie to w praktyce 8,7 godziny niedostępności. Siła wyższa czy awarie infrastruktury zewnętrznej to standardowe wyłączenia – nikt ich nie kwestionuje. Problem zaczyna się wtedy, gdy lista wyłączeń rozrasta się o pozycje, które trudno już uznać za uzasadnione – np. wszelkie prace serwisowe bez limitu czasu i częstotliwości, niedostępność spowodowana „działaniem użytkownika" zdefiniowanym bardzo szeroko, albo okresy zalegania z płatnością, nawet jednodniowego. W takich przypadkach 99,9% SLA może być gwarancją tylko na papierze.
Dobre SLA zawiera jasne zasady w przedmiocie:
- sposobu liczenia dostępności, w szczególności czy i jakie konkretnie wyłączenia ją pomniejszają,
- procedury zgłaszania, rozpatrywania i naprawy awarii,
- konsekwencji niedotrzymania SLA (tzw. service credits).
Bez tych elementów SLA jest narzędziem marketingowym, a nie zabezpieczeniem prawnym. Dostawca nie ma jasnych granic odpowiedzialności, a klient nie ma podstawy do roszczeń.
{{widget49}}
Klauzula 2: Ochrona danych, w tym ochrona danych osobowych – kto i w jakim celu może wykorzystywać dane wprowadzane do aplikacji SaaS?
Co do zasady dane wprowadzone do systemu SaaS należą do klienta. Jednak często regulamin przyznaje dostawcy usługi SaaS określone uprawnienia do tych danych – i to właśnie te uprawnienia warto dokładnie sprawdzić.
Na co zwrócić uwagę:
- czy dostawca może wykorzystywać dane klienta do własnych celów – analityki, benchmarkingu, ulepszania produktu?
- kto poza dostawcą ma dostęp do danych – jakich podwykonawców i podmiotów trzecich dostawca angażuje i na jakich zasadach?
- jakie środki bezpieczeństwa dostawca stosuje, żeby chronić dane przed nieuprawnionym dostępem osób trzecich?
- jakie sankcje zostały przewidziane na wypadek naruszenia poufności?
- co dzieje się z danymi po zakończeniu umowy – są zwracane, usuwane, czy pozostają na serwerach dostawcy?
Równie ważnym elementem jest ochrona danych osobowych. Należy zastanowić się jakie kategorie danych są przetwarzane w aplikacji. Jeśli w systemie SaaS przetwarzane są dane osobowe klientów lub pracowników, dostawca staje się podmiotem przetwarzającym w rozumieniu RODO. W takiej sytuacji, zgodnie z wymogami prawnymi, obowiązkowe jest zawarcie umowy powierzenia przetwarzania danych (DPA) zgodnie z art. 28 RODO.
O szczegółach dot. DPA przeczytasz tutaj: RODO w praktyce - czy jest umowa przetwarzania danych osobowych
Klauzula 3: Zasady odpowiedzialności – za co i do jakiej wysokości odpowie dostawca w modelu SaaS?
Klauzula ograniczenia odpowiedzialności (liability cap) określa maksymalną kwotę, do której dostawca odpowiada za szkody wyrządzone klientowi – i jest to jedno z postanowień, które warto przeczytać szczególnie uważnie. Warto zwrócić uwagę nie tylko na sam limit kwotowy, ale również na to, jakiego rodzaju szkody są nim objęte. W regulaminach SaaS powszechne jest wyłączenie zakresu odpowiedzialności za utracone korzyści – czyli korzyści, których klient nie osiągnął wskutek niedostępności systemu, np. kontrakty, których nie udało się zawrzeć. Odpowiedzialność dostawcy ograniczona jest wtedy wyłącznie do szkody rzeczywistej.
Standardowy zapis brzmi: „Łączna odpowiedzialność dostawcy nie przekroczy kwoty opłat uiszczonych przez klienta w ciągu 12 miesięcy przed wyrządzeniem szkody."
Przykład: subskrypcja kosztuje 500 PLN miesięcznie. Awaria systemu powoduje rzeczywistą szkodę w wysokości 150 000 PLN – utracone dane, koszty odtworzenia, przestój operacyjny. Dostawca odpowiada maksymalnie do 6 000 PLN. Resztę pokrywa klient.
W relacjach B2B takie postanowienie może być legalne – ale tylko wtedy, gdy jest prawidłowo skonstruowane.
Klauzula wyłączenia odpowiedzialności nie działa m.in. w sytuacjach, gdy:
- szkoda wynikła z winy umyślnej (art. 473 par 2 k.c.),
- kontrakt jest zawierany z konsumentem (art. 385 (3) k.c.).
Dla dostawcy liability cap eliminuje ryzyko, w którym jednorazowa awaria generuje roszczenia nieproporcjonalne do wartości umowy i realnych możliwości odszkodowawczych firmy. Dla klienta liability cap to maksymalna kwota, jaką może odzyskać od dostawcy – nawet jeśli rzeczywista szkoda wielokrotnie tę kwotę przekracza. Im bardziej ciągłość działania systemu przekłada się bezpośrednio na przychód, tym bardziej wysokość capu powinna być przedmiotem negocjacji, a nie elementem akceptowanym bez analizy.
Klauzula 4: AI i dane treningowe – czy Twoje dane uczą cudzy model?
Dane wprowadzane przez użytkowników do systemu są dla dostawcy czymś więcej niż logami aktywności – to materiał treningowy, który bezpośrednio podnosi wartość jego modelu AI. W wielu przypadkach może dziać się to legalnie.
Od 2023 roku większość dostawców SaaS wbudowuje funkcje AI w swoje produkty. Asystenci w CRM, automatyczne podsumowania w narzędziach projektowych, analityka predyktywna w ERP. Brzmi użytecznie. Problem zaczyna się w regulaminie, gdzie standardowo pojawia się postanowienie: „Możemy używać danych wprowadzonych do systemu w celu ulepszania naszych usług i modeli."
W praktyce klient płaci za subskrypcję i przy okazji finansuje cudzy model AI własną przewagą konkurencyjną. Dane handlowe, bazy kontaktów, strategie sprzedażowe, wewnętrzna korespondencja, prawa autorskie (co może wiązać się z naruszeniem IP) – bezpłatnie i najczęściej nieświadomie.
Klauzula 5: Prawo właściwe i jurysdykcja – przed jakim sądem będzie toczył się spór z dostawcą SaaS?
Prawo właściwe i jurysdykcja to postanowienia określające, prawo którego kraju stosuje się do umowy i przed którym sądem rozstrzygane są spory. Poniższe uwagi dotyczą relacji B2B – w przypadku konsumentów zasady są odmienne i znacznie bardziej restrykcyjne wobec dostawcy.
W kontekście zagranicznego dostawcy SaaS jest to klauzula, która może całkowicie przekreślić możliwość dochodzenia roszczeń.
Standardowy regulamin amerykańskiego dostawcy SaaS wskazuje prawo stanu Delaware i jurysdykcję tamtejszych sądów. Koszty obsługi prawnej w USA sprawiają, że dochodzenie nawet uzasadnionych roszczeń jest dla polskiej firmy ekonomicznie nieopłacalne – niezależnie od tego, czy ma rację.
Na co zwrócić uwagę:
- czy kontrakt wskazuje prawo polskie lub prawo innego państwa UE?
- czy przewiduje arbitraż jako alternatywę dla postępowania sądowego?
- czy dostawca zagraniczny ma europejską spółkę, z którą faktycznie zawierasz umowę?
„W Sawicki Legal często spotykamy firmy, które zgłaszają się do nas w momencie, gdy system jest już niedostępny albo doszło do naruszenia danych. Na tym etapie pole manewru jest ograniczone. Tymczasem wcześniejsza analiza umowy – identyfikacja red flagów i wynegocjowanie właściwych postanowień – może albo skutecznie ograniczyć ryzyko, albo dać podstawę do rezygnacji ze współpracy, zanim problem w ogóle powstanie.” — radca prawny Damian Sawicki, Sawicki Legal.
Więcej o tym, co powinien zawierać regulamin SaaS od strony dostawcy, przeczytasz tutaj: Co powinien zawierać regulamin SaaS? 15 niezbędnych elementów
FAQ
Czy regulamin SaaS to to samo co umowa SaaS?
Tak. Regulamin pełni funkcję umowy – jego akceptacja przez kliknięcie „zgadzam się" jest prawnie wiążącym zawarciem umowy o takiej samej mocy jak podpisany kontrakt.
Czy mogę negocjować warunki umowy SaaS z dużym dostawcą?
Przy małych subskrypcjach – zazwyczaj nie. Przy kontraktach enterprise negocjacje są możliwe i warto z nich korzystać, szczególnie w zakresie liability cap, SLA i klauzul dotyczących danych.
Co zrobić, gdy dostawca SaaS kończy działalność i mam dane w jego systemie?
Działaj natychmiast – samodzielnie, a jeżeli jest to niemożliwe, zażądaj eksportu danych. Jeśli kontrakt precyzuje procedurę zakończenia usługi, postępuj zgodnie z nią.
Czy mały dostawca SaaS musi mieć regulamin?
Tak – niezależnie od wielkości. Brak regulaminu nie oznacza braku zobowiązań. Oznacza odpowiedzialność bez żadnych ograniczeń i brak jakiejkolwiek ochrony prawnej.
Czym różni się DPA od umowy SaaS?
Umowa SaaS reguluje zasady korzystania z rozwiązania. DPA reguluje kwestie RODO – czyli sposób, w jaki dostawca przetwarza dane osobowe klientów lub pracowników użytkownika. Jeśli w systemie SaaS przechowujesz jakiekolwiek dane osobowe, DPA jest obowiązkowa.
Co zrobić teraz?
Niezależnie od tego, czy korzystasz z oprogramowania SaaS, czy je dostarczasz – wróć do umowy i sprawdź te 5 klauzul. Jeśli ich nie ma albo są napisane tak, że nic z nich nie wynika – to właśnie jest moment na niezbędne zmiany i rozmowę z prawnikiem.
👉 Umów się na konsultację z Sawicki Legal – przeanalizujemy Twoją umowę SaaS, odpowiemy na Twoje pytania lub pomożemy Ci przygotować regulamin SaaS, który rzeczywiście działa:
Konsultacja z radcą prawnym Damianem Sawickim
Wypełnij formularz kontaktowy
Akty prawne:
Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny
Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji
Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną
