Usługi w modelu SaaS kuszą szybkością wdrożenia i niskim kosztem startu, ale to umowa decyduje o realnym bezpieczeństwie twoich danych i procesów. Poniższy przewodnik pokazuje, na co zwrócić uwagę przy czytaniu i negocjowaniu regulaminu/umowy oraz SLA: dostępność, wsparcie, kopie zapasowe, bezpieczeństwo, prawo do danych, migrację i ryzyka „vendor lock-in”.
Co właściwie kupujesz: licencja, usługa, dane i wsparcie
- Model świadczenia: upewnij się, że to „Software as a Service” (dostęp do funkcji online), a nie licencja instalowana u ciebie. Inne są obowiązki i odpowiedzialność dostawcy.
- Zakres funkcji: lista modułów, limity użytkowników, transferu, API, przechowywania danych. Każdy limit powinien być policzalny i widoczny w panelu.
- Zakres wsparcia: kanały kontaktu (e-mail, czat, telefon), godziny pracy, czas pierwszej odpowiedzi i czasy rozwiązania dla różnych priorytetów.
- Podwykonawcy: dostawcy chmury, dostawcy poczty, analityki. Poproś o listę subprocesorów i prawo do sprzeciwu przy zmianach wrażliwych.
Dostępność (SLA) bez marketingu
- Definicja „dostępności”: kiedy uznaje się usługę za niedostępną (np. brak logowania, błędy 5xx, brak API). Unikaj definicji ograniczonych tylko do strony logowania.
- Metoda pomiaru: interwał monitoringu, lokalizacje testów, wyłączenia planowanych prac, maksymalna długość pojedynczej awarii wliczana do SLA.
- Poziom SLA: np. 99,9% miesięcznie. Zapytaj o progi wyższe dla krytycznych modułów (płatności, API). Wymagaj raportów z realnego uptime’u.
- Rekompensaty: kredyty na fakturze, zwroty części opłaty. Warunki naliczenia bez dodatkowych wniosków i bez klauzul „wyłączających wszystko”.
- Maintenance windows: okna serwisowe ogłaszane z wyprzedzeniem i planowane poza godzinami szczytu twojej firmy.
Backup, retencja i Disaster Recovery (RTO/RPO)
- Częstotliwość kopii: jak często wykonywane są kopie (np. co 24 h) oraz jak długo są przechowywane (retencja). Dla danych transakcyjnych krótsze RPO bywa krytyczne.
- Separacja kopii: kopie w innej strefie dostępności/regionie chmury. Zapytaj o testy odtwarzania i ich cykliczność.
- RTO i RPO: maksymalny czas przywracania usługi i maksymalna utrata danych. W umowie powinny być konkretne wartości, nie ogólniki.
- Self-service export: czy możesz samodzielnie pobrać pełny zrzut danych (np. JSON/CSV) wraz z plikami binarnymi i metadanymi.
Bezpieczeństwo i zgodność
- RODO/DPA: aneks powierzenia przetwarzania danych (DPA), role stron, kategorie danych, środki techniczne i organizacyjne, lokalizacja przetwarzania.
- Szyfrowanie: „w spoczynku” i „w tranzycie”, zarządzanie kluczami, rotacja kluczy, polityka haseł i MFA.
- Logi i audyt: dostęp do dzienników zdarzeń, retencja logów, możliwość ich eksportu (np. do SIEM).
- Testy bezpieczeństwa: cykliczne testy penetracyjne, programy bug bounty, certyfikacje (np. ISO 27001) i zakres certyfikacji.
- Zgłaszanie incydentów: terminy powiadomień, zakres informacji i kanały kontaktu w trybie 24/7.
Zmiany regulaminu i wersji usługi
- Tryb informowania: z wyprzedzeniem (np. 30 dni) i prawo do wypowiedzenia bez kar przy zmianie pogarszającej warunki.
- Kompatybilność wsteczna: dotyczy API i integracji. Wymagaj okna deprecjacji (np. 6 miesięcy) i dokumentacji migracyjnej.
- Mapowanie planów: co się stanie po podwyżce cen lub redukcji funkcji planu. Chroń kluczowe funkcje „grandfatheringiem”.
Wyjście z usługi i unikanie vendor lock-in
- Prawo do danych: potwierdź, że jesteś ich właścicielem. Ustal maksymalny czas i format eksportu przy rozwiązaniu umowy.
- Formaty otwarte: eksport w CSV/JSON/Parquet i pełna dokumentacja schematów. Brak „tajnych” pól uniemożliwiających migrację.
- API i limitacje: limity rate-limit, koszty nadlimitów, możliwość masowego odczytu danych w oknie migracji.
- Okres przejściowy: równoległy dostęp do systemu po wypowiedzeniu (np. 30–60 dni) w celu migracji.
- Kasowanie danych: harmonogram i certyfikat usunięcia (w tym kopii zapasowych) po zakończeniu świadczenia.
Odpowiedzialność i prawo właściwe
- Limity odpowiedzialności: nieakceptowalne są limity niższe niż suma opłat z ostatnich 12 miesięcy przy szkodach spowodowanych rażącym niedbalstwem lub naruszeniem danych.
- Wyłączenia: kary administracyjne, utracone korzyści, siła wyższa. Dąż do włączenia szkód wynikłych z naruszenia poufności i ochrony danych.
- Prawo i sąd: jurysdykcja przyjazna twojej firmie. Rozważ mediację/arbitraż dla sporów technicznych.
Wsparcie techniczne i plan eskalacji
- Poziomy wsparcia: standard, premium, enterprise. Określ czasy reakcji i rozwiązania dla priorytetów P1–P3.
- Eskalacja: imienny opiekun, ścieżka do zespołu SRE/DevOps przy incydentach P1.
- Komunikacja podczas awarii: status page, kanały informacyjne, retrospektywy po incydencie i działania zapobiegawcze.
Cennik, indeksacja i dodatki
- Indeksacja cen: jasny wskaźnik (np. inflacja) i limity roczne. Zmiany cen z wyprzedzeniem oraz prawo do wypowiedzenia.
- Dodatkowe opłaty: nadlimity API, dodatkowe miejsca, backup on-demand, wsparcie premium. Żądaj kalkulatora kosztów.
- Zwroty i kredyty: zasady naliczania kredytów SLA oraz zwrotów przy długotrwałych awariach.
Checklisty do przeglądu umowy/SLA
- Dostępność: definicja awarii, realny pomiar, progi SLA, kredyty bez dodatkowych wniosków.
- Backup/DR: częstotliwość, retencja, testy odtwarzania, wartości RTO/RPO.
- Dane: własność, pełny eksport w otwartych formatach, API do hurtowego odczytu, okres przejściowy.
- Bezpieczeństwo: szyfrowanie, MFA, logi, testy pentest, zgłaszanie incydentów w 24/7.
- Zmiany: powiadomienia z wyprzedzeniem, deprecjacje API, ochrona kluczowych funkcji.
- Odpowiedzialność: rozsądne limity, włączenie naruszeń danych, prawo i sąd.
- Wsparcie: czasy reakcji/naprawy, eskalacja, status page, retrospektywy.
- Cennik: indeksacja, nadlimity, kalkulator kosztów, kredyty SLA.
Czerwone flagi w zapisach
- „Dostępność liczona jedynie dla strony logowania” lub brak definicji błędów API.
- „Kopie zapasowe wykonywane okresowo” bez harmonogramu i retencji.
- Brak możliwości pełnego eksportu danych albo eksport tylko w formacie binarnym bez specyfikacji.
- Jednostronna zmiana funkcji planu bez prawa do wypowiedzenia.
- Limity odpowiedzialności niższe niż opłaty z 12 miesięcy oraz pełne wyłączenie szkód wynikających z naruszeń danych.
Jak negocjować w mikrofirmie
- Poproś o „załącznik SLA” z doprecyzowanymi metrykami i kredytami.
- Dodaj „Załącznik Danych” z formatami eksportu, schematami pól i przykładowym zrzutem.
- Wprowadź klauzulę „okna migracji” po wypowiedzeniu i obowiązek wsparcia migracji.
- Zażądaj listy subprocesorów i prawa do sprzeciwu przy wrażliwych zmianach.
- Ustal indeksację cen oraz limity podwyżek w danym roku.
Podsumowanie
Dobra umowa SaaS to nie broszura marketingowa. Szukaj konkretów: definicji awarii, mierzalnych poziomów SLA, jasnych zasad backupu i odtwarzania, gwarancji pełnego eksportu danych i realnego planu wyjścia. Te elementy, razem z rozsądną odpowiedzialnością i czytelną polityką zmian, decydują, czy usługa będzie przewidywalnym filarem twojej firmy, czy źródłem przestojów i kosztów.
Źródła
Prezes UODO – wytyczne i decyzje dot. ochrony danych
https://uodo.gov.pl/
Serwis organu nadzorczego: komunikaty, decyzje i materiały o bezpieczeństwie danych w usługach online.
European Data Protection Board (EDPB) – wytyczne
https://edpb.europa.eu/
Wytyczne dotyczące transferów, powierzeń przetwarzania i roli dostawców chmurowych.
ENISA – dobre praktyki cyberbezpieczeństwa
https://www.enisa.europa.eu/
Raporty nt. zarządzania ryzykiem w chmurze, kopii zapasowych i odporności usług.
ISO/IEC 27001 – systemy zarządzania bezpieczeństwem informacji
https://www.iso.org/standard/27001
Opis standardu i wymagań certyfikacyjnych często stosowanych przez dostawców SaaS.
