Avtalsvillkor för molnbaserade affärssystem: en checklista

Molnbaserade affärssystem kräver en egen avtalscheck

Molnbaserade system (SaaS) är i dag normen för svenska småföretag. Lokalt installerade system ses allt mer som ett arv från en tidigare era eller som en premiumlösning för särskilda branscher.

Du har alltid tillgång till den senaste versionen, uppdateringar och säkerhetspatchar sköts automatiskt och du kan arbeta var du än befinner dig – utan egen serverinfrastruktur.

Grundpaketen på den svenska marknaden omfattar normalt bokföring, fakturering, lönehantering, skattedeklaration och projektplanering. Priserna börjar kring 179 kr per månad, och det finns över 20 system anpassade för små företag.

Eftersom drift, uppdateringar och åtkomst ligger hos leverantören, är avtalet den enda platsen där tillgång, data, ansvar och kostnad faktiskt regleras.

Konsumentskyddet fångar inte upp brister i molnavtal. Lagen (2005:59) om distansavtal och avtal utanför affärslokaler gäller konsumentskydd vid distansavtal. Med konsument avses en fysisk person som handlar huvudsakligen utanför näringsverksamhet.

Ett företag som tecknar avtal om ett affärssystem faller utanför skyddet. Villkoren i det egna avtalet blir styrande.

Vem är din motpart – och vem äger molnet?

Fastställ först vem som är avtalspart, var moderbolaget är registrerat och vilka underleverantörer som ingår i leveransen.

Lagstiftningen i det land där moderbolaget är registrerat gäller för innehållet på servern.

Att du sitter i Sverige och tecknar avtal om molnlagring med ett dotterbolag på Irland eller i Sverige spelar ingen roll om moderbolaget är amerikanskt. Då gäller amerikansk lagstiftning för ditt innehåll på servern.

Kontrollera avtalspartens organisationsnummer och hemvist, vem som äger den juridiska personen, var koncernen har sitt säte och vilka underbiträden som anlitas för drift, support och lagring.

Notera att amerikanska molntjänster har tvingats erbjuda lagring inom EU för att uppfylla GDPR. Det är en annan sak än att koncernmoderbolaget byter hemvist.

Var ligger data – och vilka myndigheter kan begära den?

CLOUD Act innebär att en leverantör av elektronisk kommunikationstjänst eller fjärrdatatjänst som är börsnoterad i USA ska bevara, säkerhetskopiera eller, om så behövs, avslöja innehållet i en molntjänst som gäller en kund eller abonnent. Det gäller oavsett om informationen finns inom eller utanför USA.

Vid sidan av CLOUD Act finns FISA 702.

För svenska företag betyder det att amerikansk nationell lagstiftning inte kan avtalas bort när civilrättsliga avtal tecknas med bolagen. Affärskritisk information kan därför exponeras för utländska myndigheter trots att lagringen sker i serverhallar inom EU.

Frågorna till leverantören: I vilket land ligger servern fysiskt? I vilket land ligger moderbolaget? Vilken lagstiftning lyder leverantören under? Vem har teknisk möjlighet att komma åt data?

Den sista frågan är avgörande: kryptering ger inget reellt skydd om leverantören samtidigt måste kunna lämna ut innehållet till en myndighet. Då är den tekniska säkerheten inte värd något, och du har fortfarande inte full kontroll över dina data.

Svensk och europeisk lagstiftning ger bättre skydd än amerikansk i detta avseende. Svensk och europeisk drift kan minska både juridisk och operativ risk.

Placeringen av såväl moderbolag som servrar bör därför regleras i avtalet, inte bara nämnas i säljmaterial.

Jämförelse av avtalsvillkor: Sverige vs USA (CLOUD Act)

Fördelar och risker med amerikanska molntjänster för svenska företag

Personuppgifter: roller, biträdesavtal och överföringar

GDPR trädde i kraft den 25 maj 2018 och ersatte personuppgiftslagen (PUL). Den gäller som EU-lag direkt och kräver inte omsättning i nationell lagstiftning, till skillnad från dataskyddsdirektivet från 1995. Det ger en mer harmoniserad reglering mellan medlemsstaterna.

Ett affärssystem som hanterar löner, kunder eller leverantörsregister behandlar regelmässigt personuppgifter. Ansvarsfördelningen mellan dig och leverantören måste därför framgå av avtalet: vem som är personuppgiftsansvarig, vem som är personuppgiftsbiträde och vilka underbiträden som får anlitas.

Överföring till tredje land har egna krav. Under PUL krävdes att landets personuppgiftslagstiftning ansågs jämförbar med den europeiska, att individen samtyckt eller genom avtal accepterat utlämningen, eller att regeringen meddelat särskilt undantag.

Sedan dess har flera överföringsmekanismer prövats. Safe Harbor ogiltigförklarades av EU-domstolen i C-362/14 den 6 oktober 2015. EU-kommissionen beslutade den 2 februari 2016 om Privacy Shield. Standardavtalsklausuler (Standard Contract Clauses) och Binding Corporate Rules har samtidigt varit de huvudsakliga alternativen.

Biträdesavtalet bör svara på vilka kategorier av personuppgifter och registrerade som behandlas. Det bör också ange var behandlingen sker geografiskt och vilken rättslig grund som finns för varje tredjelandsöverföring. Dessutom: hur underbiträden godkänns och byts ut, hur incidenter och personuppgiftsincidenter rapporteras och inom vilken tid, samt hur uppgifterna gallras eller återlämnas när avtalet upphör.

Drift, uppdateringar och tillgång till systemet

Molnmodellen ger dig automatiskt tillgång till den senaste versionen, och leverantören sköter uppdateringar och säkerhetspatchar.

Baksidan är beroendet: när drift, underhåll och support ligger hos leverantören måste avtalet beskriva vad som gäller vid avbrott, planerat underhåll, hur felanmälan görs och inom vilken tid åtgärder ska vidtas.

Säkerställ att kritiska funktioner verkligen finns i den version du tecknar avtal om.

En äldre svensk studie om verksamhetskritiska affärssystem noterade att molnbaserade affärssystem ofta saknade viss funktionalitet jämfört med traditionella affärssystem.

Kontrollera därför modul för modul mot din egen process, särskilt integrationer mot bank, lönesystem och e-handel.

Bestäm före signering vad som händer den dag avtalet upphör: hur data exporteras, i vilket format, under hur lång tid och hur den gallras hos leverantören.

Utan det svaret är åtkomsten till ditt eget underlag beroende av motpartens goda vilja.

Pris, abonnemang och uppsägning

Svenska grundpaket är abonnemangsbaserade och prissatta per månad. Nivåerna börjar i dagsläget kring 179 kr per månad, och bokföring, fakturering, lönehantering, skattedeklaration och projektplanering ingår ofta.

Utgångspunkten för granskningen är att prisnivån gäller ett definierat innehåll – frågan är vad som ligger utanför.

Gå igenom abonnemangsformen (per användare, per modul eller per företag), vad som ingår i nivån och vad som debiteras utöver. Granska också hur prisjusteringar får göras och med vilken varseltid, bindningstidens längd, uppsägningstiden och hur uppsägning ska ske praktiskt.

Kontrollera om prisjusteringar är kopplade till ett index eller till leverantörens eget omdöme, och om du vid uppsägning fortsatt kan exportera data under en period.

Med över 20 system anpassade för små företag är jämförelsen möjlig: ställ samma frågor till flera leverantörer och kräv att svaren skrivs in i avtalet i stället för att stanna i offerten.

Ansvar, sekretess och tvistelösning

Enligt Almis avtalsguide är tvistelösning, sekretess och ansvarsfördelning avgörande för att du ska stå stark när något skaver.

Ett skriftligt avtal mellan företag minskar risken för missförstånd, konflikter eller ekonomiska bakslag, enligt Almis guide.

I molnavtalet motsvarar det ansvarsbegränsningens tak och vad den omfattar, force majeure-formuleringen, sekretessens omfattning och varaktighet, samt vilken lag som tillämpas och var en tvist ska avgöras.

Läs två punkter ordagrant: om ansvarsbegränsningen gäller även vid driftavbrott, dataförlust eller brott mot personuppgiftsreglerna, och om leverantören har rätt att ändra villkoren ensidigt – i så fall med vilken varseltid.

Om avtalet ska gälla internationellt eller affären är större bör du enligt Almis guide ta hjälp av juridisk expertis.

Snabbchecklista innan du signerar