Contract SaaS. Software-ul este în cloud. Datele sunt ale tale.

• Model de acces: SaaS — acces remote prin browser/API, fără instalare. Licență — software instalat local pe serverele/dispozitivele clientului
• Model de plată: SaaS — subscripție periodică (lunar/anual). Licență — plată unică (perpetuă) plus mentenanță anuală
• Actualizări: SaaS — automate, incluse în subscripție. Licență — separate, plătite prin contractul de mentenanță
• Controlul datelor: SaaS — datele sunt pe serverele provider-ului (risc de lock-in). Licență — datele sunt pe serverele clientului (control total)
• Calificare juridică: SaaS nu este o licență software (nu se livrează software), ci un contract de prestări servicii, supus regulilor antreprizei (art. 1851 Cod Civil)

• Uptime garantat: 99.9% (maximum 8.7 ore downtime/an), 99.95% (maximum 4.4 ore/an), 99.99% (maximum 52 minute/an). Excluderi standard: mentenanță planificată, forță majoră, probleme cauzate de clientul însuși
• Timp de răspuns la incidente: Severitate 1 (serviciu indisponibil): răspuns în 15 minute, rezolvare în 4 ore. Severitate 2 (funcționalitate majoră afectată): răspuns în 1 oră, rezolvare în 8 ore. Severitate 3 (probleme minore): răspuns în 4 ore, rezolvare în 48 de ore
• Penalități (service credits): credit de 5% din factura lunară pentru fiecare 0.1% sub uptime-ul garantat. Cap: 25% până la 30% din factura lunară
• RPO/RTO: Recovery Point Objective (cât de vechi pot fi datele restaurate: de regulă sub 1 oră) și Recovery Time Objective (în cât timp se restaurează serviciul: de regulă sub 4 ore)

Aceasta este clauza cea mai importantă dintr-un contract SaaS:

• Proprietatea datelor: „Toate datele introduse, generate sau stocate de Client în Platformă rămân proprietatea exclusivă a Clientului. Provider-ul nu dobândește niciun drept asupra Datelor Clientului"
• Export de date: clientul are dreptul de a exporta toate datele sale în orice moment, în format standard deschis (CSV, JSON, XML) sau prin API
• Perioadă de tranziție la exit: după încetarea contractului, provider-ul menține accesul la date minimum 30 până la 90 de zile pentru migrare
• Ștergerea post-exit: după perioada de tranziție, provider-ul șterge irevocabil toate datele clientului, cu certificare scrisă de ștergere
• Backup: provider-ul efectuează backup zilnic al datelor clientului și permite restaurarea la cerere

• Calificarea GDPR: clientul este operator de date personale, provider-ul SaaS este procesator (art. 28 GDPR). Necesită DPA (Data Processing Agreement) obligatoriu
• Localizarea serverelor: datele trebuie stocate în UE/SEE. Transferul în afara UE necesită Standard Contractual Clauses (SCC) sau decizie de adecvare
• Sub-procesatori: provider-ul trebuie să declare toți sub-procesatorii (hosting, CDN, analytics). Clientul are dreptul de a obiecta la adăugarea de sub-procesatori noi
• Măsuri de securitate: criptare la repaus (AES-256) și în tranzit (TLS 1.3), autentificare multi-factor, logare acces, teste de penetrare anuale, certificare ISO 27001 sau SOC 2
• Notificarea breșelor: provider-ul notifică clientul în maximum 48 de ore de la descoperirea unei breșe de securitate

• Modele de pricing: per user/lună, per tranzacție, per volum de date, flat rate (preț fix indiferent de utilizare), freemium (bază gratuită + funcționalități premium)
• Reînnoire: auto-renewal cu drept de denunțare cu 30 până la 60 de zile înainte de expirare. Atenție la clauzele de creștere automată a prețului la reînnoire
• Lock-in period: contractele enterprise au de regulă o perioadă minimă de 12 până la 36 de luni, cu penalitate de exit anticipat
• Exit strategy: plan de migrare, asistență de tranziție din partea provider-ului, export de date în format standard, perioadă de funcționare în paralel