Umowa SaaS a licencja – czym się różnią i co powinna zawierać bezpieczna umowa SaaS w B2B?

Umowa Saas a licencja – najważniejsze informacje:

• W typowym modelu SaaS klient otrzymuje dostęp do aplikacji utrzymywanej przez dostawcę, bez konieczności instalowania głównego programu na własnych serwerach.
• Umowa SaaS może zawierać elementy licencyjne, np. dotyczące aplikacji instalowanej na urządzeniu użytkownika, dokumentacji lub oprogramowania pośredniczącego.
• Bezpieczna umowa powinna regulować dostępność systemu, odpowiedzialność, bezpieczeństwo, zasady przetwarzania danych i zakończenie współpracy.
• Samo przyznanie klientowi rabatu za awarię zwykle nie zapewnia mu wystarczającej ochrony przed skutkami długiego przestoju. W umowie można przewidzieć kary umowne oraz prawo do rozwiązania kontraktu w razie powtarzających się naruszeń poziomu usług.
• Plan wyjścia powinien określać format, termin i koszt przekazania danych oraz obowiązki dostawcy podczas migracji.

Dlaczego tradycyjne umowy licencyjne mogą nie wystarczyć w modelu SaaS?

Klasyczna umowa dotycząca oprogramowania często zakłada przekazanie klientowi kopii programu, jej instalację w jego środowisku oraz udzielenie prawa do korzystania z niej przez określony czas. W modelu chmurowym dostawca utrzymuje aplikację na własnej albo zewnętrznej infrastrukturze, aktualizuje ją i udostępnia użytkownikom przez sieć.

Umowa SaaS powinna określać, w jakim zakresie dostawca zapewnia następujące świadczenia i które z nich są objęte abonamentem:

• hosting i utrzymanie środowiska;
• aktualizacje oprogramowania;
• obsługę zgłoszeń;
• tworzenie kopii zapasowych;
• monitoring i ochronę danych;
• zapewnianie ciągłości działania.

Z tego powodu wzór przygotowany dla jednorazowego zakupu oprogramowania nie odpowiada ryzykom związanym z usługą świadczoną stale.

Przedsiębiorca powinien zatem ustalić, czy aplikacja będzie dostępna w czasie potrzebnym do prowadzenia działalności, czy możliwe będzie odzyskanie danych oraz czy dostawca zapewni wsparcie przy przejściu do innego rozwiązania.

Umowa SaaS a licencja – jakie są różnice prawne?

Licencja jest upoważnieniem do korzystania z utworu w określonym zakresie. W przypadku programu komputerowego może obejmować między innymi jego zwielokrotnianie, uruchamianie, przechowywanie, modyfikowanie albo rozpowszechnianie. Zakres licencji powinien wynikać z umowy, w tym z oznaczenia sposobów korzystania, czasu i terytorium.

W typowej usłudze SaaS klient nie otrzymuje natomiast samodzielnej kopii głównego programu, którą może zainstalować na własnych serwerach i używać niezależnie od dostawcy. Otrzymuje dostęp do funkcji aplikacji działającej w środowisku kontrolowanym przez dostawcę. Głównym świadczeniem jest zatem zapewnienie działania usługi, a nie samo upoważnienie do korzystania z programu.

Granica nie zawsze jest jednak zupełnie wyraźna. Umowa SaaS może obejmować licencję na aplikację instalowaną na urządzeniu użytkownika, oprogramowanie pośredniczące (middleware), dokumentację, interfejsy lub inne składniki chronione prawem autorskim. Element licencyjny jest wówczas częścią szerszej relacji usługowej.

Rozróżnienie ma praktyczne znaczenie. Umowa oparta wyłącznie na postanowieniach licencyjnych może nie regulować dostępności systemu, usuwania awarii, kopii zapasowych, bezpieczeństwa infrastruktury ani migracji danych. To właśnie te obowiązki decydują najczęściej o bezpieczeństwie biznesowym klienta.

Najważniejsze różnice między klasycznym modelem licencyjnym a SaaS przedstawia poniższa tabela.

Cecha	Klasyczny model licencyjny (on-premise)	Umowa SaaS (Software as a Service)
Główny przedmiot	Przekazanie kopii programu i prawo do korzystania z programu	Świadczenie usługi dostępu do aplikacji w chmurze
Gdzie działa program?	Infrastruktura klienta (lokalna)	Infrastruktura dostawcy (chmura)
Utrzymanie i aktualizacje	Po stronie klienta albo dostawcy na podstawie odrębnej umowy serwisowej	Utrzymanie środowiska zasadniczo po stronie dostawcy; zakres aktualizacji, wsparcia i świadczeń objętych abonamentem określa umowa.
Przechowywanie danych	Dane przechowywane w środowisku klienta	Dane na infrastrukturze dostawcy; w razie przetwarzania danych osobowych w imieniu klienta konieczna jest umowa powierzenia
Zakończenie umowy	Możliwość dalszego korzystania zależy od zakresu i czasu trwania licencji	Zwykle utrata dostępu po zakończeniu subskrypcji

Umowa licencyjna SaaS – czy nazwa umowy ma znaczenie prawne?

O charakterze kontraktu nie przesądza jego tytuł. Dokument nazwany licencją może w rzeczywistości regulować przede wszystkim świadczenie ciągłej usługi, podobnie jak dokument nazwany umową SaaS może zawierać istotne uprawnienia licencyjne.

W sprawie UsedSoft przeciwko Oracle (C-128/11) Trybunał Sprawiedliwości Unii Europejskiej orzekł, że przekazanie klientowi kopii programu pobieranej z internetu wraz z bezterminowym prawem korzystania (za jednorazową opłatą) należy traktować jak sprzedaż. W efekcie klient może odsprzedać taką kopię osobie trzeciej, jeżeli uniemożliwi korzystanie z własnej kopii i nie podzieli licencji.

Okoliczności tej sprawy różnią się jednak od typowej subskrypcji chmurowej (SaaS), w której dostęp zależy od opłacania abonamentu i ciągłego świadczenia usługi przez dostawcę. Klient nie otrzymuje w niej kopii programu, dlatego do usług SaaS nie stosuje się zasady „wyczerpania prawa” – sama subskrypcja chmurowa nie daje prawa do jej odsprzedaży na podstawie zasady wyczerpania prawa. Możliwość przeniesienia umowy na inną osobę wymaga odrębnej oceny. Także w tradycyjnym modelu licencyjnym możliwość odsprzedaży kopii programu zależy od spełnienia określonych warunków.

Dlatego przy ocenie, czym różni się umowa SaaS od licencji, należy zbadać rzeczywisty sposób dostarczenia oprogramowania. Znaczenie mają następujące kwestie:

• Gdzie program jest uruchamiany?
• Kto kontroluje infrastrukturę, na której działa oprogramowanie?
• Czy klient otrzymuje kopię programu?
• Czy po zakończeniu płatności może nadal korzystać z rozwiązania?

Nieprecyzyjna kwalifikacja może wywołać problemy podczas audytu prawnego, rozliczania praw do oprogramowania albo ustalania obowiązków stron. Nie oznacza to jednak, że użycie słowa „licencja” automatycznie powoduje nieważność umowy. Problemem jest brak zgodności nazwy z treścią i modelem technicznym.

Jak umowa SaaS jest kwalifikowana na gruncie polskiego prawa cywilnego?

Polskie przepisy nie określają jednego ustawowego typu umowy przeznaczonego dla wszystkich usług SaaS. Strony mogą ukształtować współpracę zgodnie z zasadą swobody umów wynikającą z art. 353¹ Kodeksu cywilnego, o ile treść i cel kontraktu nie sprzeciwiają się właściwości stosunku prawnego, ustawie ani zasadom współżycia społecznego.

W praktyce jest to najczęściej umowa nienazwana lub mieszana. Może łączyć elementy świadczenia usług, licencji, wdrożenia, utrzymania, hostingu, pomocy technicznej i przechowywania danych. Do poszczególnych obowiązków mogą znajdować zastosowanie różne przepisy, zależnie od ich charakteru.

Nie należy więc automatycznie uznawać każdej usługi chmurowej za najem programu albo dzierżawę mocy obliczeniowej. Kwalifikację trzeba przeprowadzić na podstawie świadczeń rzeczywiście przyjętych przez strony.

Umowa SaaS powinna szczegółowo określać obowiązki dostawcy i klienta, zamiast pozostawiać ich ustalenie przepisom dotyczącym jednego ustawowego rodzaju umowy.

Jakie ryzyka dla zamawiającego wynikają ze swobody zawierania umów SaaS?

Swoboda umów pozwala dopasować kontrakt do technologii i organizacji przedsiębiorstwa. Jednocześnie powoduje, że brak odpowiedniego postanowienia może pozostawić klienta bez praktycznego mechanizmu ochrony.

Zgodnie z art. 471 Kodeksu cywilnego dłużnik odpowiada za szkodę wynikającą z niewykonania albo nienależytego wykonania zobowiązania, chyba że jest ono następstwem okoliczności, za które nie ponosi odpowiedzialności. Dochodzenie roszczenia wymaga jednak wykazania przesłanek odpowiedzialności, w tym szkody i związku przyczynowego.

Dostawcy często ograniczają odpowiedzialność do opłat zapłaconych w kilku ostatnich miesiącach, wyłączają utracone korzyści albo ustanawiają jeden wspólny limit dla wszystkich naruszeń. W relacji między przedsiębiorcami takie ograniczenia mogą mieć daleko idące skutki.

Istnieje jednak ustawowa granica swobody stron. Zgodnie z art. 473 § 2 Kodeksu cywilnego nie można skutecznie wyłączyć odpowiedzialności za szkodę wyrządzoną umyślnie.

Przed podpisaniem kontraktu trzeba sprawdzić, czy limit odpowiada realnej skali ryzyka. W negocjacjach warto rozważyć wyłączenie z limitu odpowiedzialności za poniższe naruszenia; nie wszystkie takie wyjątki wynikają automatycznie z przepisów:

• poufności;
• ochrony danych;
• praw własności intelektualnej;
• obowiązków dotyczących zwrotu danych.

Czy regulamin SaaS zaakceptowany przez kliknięcie jest wiążący?

Umowa może zostać zawarta przez zaakceptowanie elektronicznego regulaminu. Wzorzec udostępniany elektronicznie powinien być przekazany przed zawarciem umowy w sposób pozwalający na jego przechowywanie i odtwarzanie.

Sam odnośnik do strony internetowej, której treść dostawca może zmieniać, nie zawsze pozwala udowodnić, jakie warunki klient zaakceptował w chwili zawarcia umowy.

Standardowe regulaminy globalnych dostawców często przewidują:

• możliwość jednostronnego zmieniania usługi albo jej funkcji;
• szerokie wyłączenia odpowiedzialności za przerwy i utratę danych;
• rozliczenie awarii wyłącznie w formie niewielkiego rabatu;
• krótkie terminy na eksport danych po zakończeniu subskrypcji;
• prawo właściwe i sąd położony poza Polską;
• swobodną zmianę podwykonawców oraz lokalizacji przetwarzania danych.

W obrocie między przedsiębiorcami sam fakt, że warunek nie był negocjowany, nie oznacza jeszcze, że jest bezskuteczny. Inaczej może być z jednostronnie narzuconymi warunkami dotyczącymi dostępu do danych i korzystania z nich – w umowach zawieranych od 12 września 2025 r. mogą one zostać uznane za nieuczciwe i niewiążące na podstawie art. 13 Data Act. Należy dlatego pobrać i zarchiwizować wszystkie dokumenty, ustalić ich kolejność stosowania oraz negocjować odstępstwa w umowie głównej albo załączniku.

Warto też pamiętać, że od 1 stycznia 2021 roku część ochrony przewidzianej dla konsumentów obejmuje również przedsiębiorcę będącego osobą fizyczną, gdy zawierana umowa nie ma dla niego charakteru zawodowego. Dotyczy to między innymi kontroli klauzul niedozwolonych, co może mieć znaczenie przy mniejszych klientach prowadzących jednoosobową działalność gospodarczą.

Jakie postanowienia warto uwzględnić w bezpiecznej umowie SaaS?

Zakres umowy powinien wynikać z roli systemu w organizacji. Inaczej ocenia się prostą aplikację pomocniczą, a inaczej system obsługujący sprzedaż, produkcję, finanse lub dane medyczne.

Zakres zabezpieczeń należy dopasować do usługi i ryzyka. Przy przygotowaniu umowy SaaS warto rozważyć następujące obszary:

• Przedmiot usługi – dokładny opis funkcji, użytkowników, środowisk i dozwolonego użycia.
• Wdrożenie systemu – procedurę wdrożenia, odbioru i zgłaszania błędów.
• Poziom świadczenia usług – parametry dostępności, wydajności i wsparcia.
• Zmiany w oprogramowaniu – zasady aktualizacji oraz wycofywania funkcji.
• Poufność i ochronę danych – ochronę informacji poufnych i danych osobowych.
• Prawa do danych i materiałów – zasady dostępu, wykorzystywania, udostępniania, eksportowania i usuwania danych oraz zakres praw do materiałów wprowadzanych do systemu, z uwzględnieniem praw osób trzecich.
• Wykorzystanie sztucznej inteligencji – zasady wykorzystania danych klienta, w tym do trenowania modeli i funkcji sztucznej inteligencji.
• Kopie zapasowe – zasady ich tworzenia, okresy przechowywania i procedury odtworzenia.
• Odpowiedzialność stron – limity, wyłączenia i kary umowne.
• Podwykonawstwo – zasady korzystania z podwykonawców i zmiany dostawców infrastruktury.
• Zakończenie współpracy – czas trwania umowy, wypowiedzenie, rozwiązanie z ważnych przyczyn i plan wyjścia.
• Rozliczenia i subskrypcja – wysokość opłat, zasady zmiany ceny, automatyczne odnawianie umowy oraz przesłanki zawieszenia lub blokady dostępu.

Niezależnie od powyższych rekomendacji, jeżeli zastosowanie ma ustawa o świadczeniu usług drogą elektroniczną, regulamin powinien zawierać elementy wymagane przez jej art. 8, w tym wymagania techniczne, zakaz dostarczania treści bezprawnych, warunki zawierania i rozwiązywania umów oraz tryb postępowania reklamacyjnego.

Jak uregulować wykorzystanie danych klienta do trenowania modeli AI?

W przypadku usług SaaS wykorzystujących sztuczną inteligencję szczególnego znaczenia nabierają zasady przetwarzania danych wprowadzanych przez klienta do systemu.

Ze względu na ochronę tajemnicy przedsiębiorstwa, poufność informacji, a w przypadku danych osobowych – także RODO, umowa powinna jasno zabraniać lub ściśle limitować możliwość wykorzystywania wrażliwych danych biznesowych klienta do trenowania modeli sztucznej inteligencji dostawcy.

Brak takich ograniczeń może prowadzić do ujawnienia poufnych informacji, w tym know-how przedsiębiorstwa.

Dlaczego umowa SaaS powinna określać hierarchię dokumentów?

Warto ustalić hierarchię dokumentów, aby rozstrzygnąć ewentualne sprzeczności między umową główną, opisem usługi, regulaminem, SLA i postanowieniami powierzenia. Należy przy tym pamiętać, że zgodnie z art. 385 § 1 Kodeksu cywilnego w razie sprzeczności treści umowy z wzorcem strony są związane umową. Uzgodniona hierarchia dokumentów nie może wyłączać przepisów bezwzględnie obowiązujących.

Jak zabezpieczyć dostępność systemu SaaS i odpowiedzialność za przestoje?

Samo zobowiązanie do zapewnienia dostępności na poziomie 99,9% nie wystarcza. Umowa powinna określać:

• metodę pomiaru dostępności;
• okres rozliczeniowy;
• źródło danych;
• wyłączenia;
• planowane prace serwisowe;
• sposób kwalifikowania częściowych zakłóceń.

Ważne są także czasy reakcji i usunięcia awarii, uzależnione od jej znaczenia. Innego działania wymaga niedostępność całego systemu, a innego błąd funkcji dodatkowej. Klient powinien mieć prawo do eskalacji oraz regularnej informacji o stanie prac.

Czy za niedostępność systemu SaaS można zastrzec karę umowną?

Za naruszenie obowiązku niepieniężnego można zastrzec karę umowną. Podstawę prawną stanowi art. 483 Kodeksu cywilnego. Jeżeli klient ma zachować prawo do odszkodowania przekraczającego wysokość kary, trzeba przewidzieć to wyraźnie. Trzeba również pamiętać, że na zasadach określonych w art. 484 § 2 Kodeksu cywilnego sąd może zmniejszyć karę umowną, w szczególności gdy jest ona rażąco wygórowana.

Rabat na przyszłą fakturę nie musi być karą umowną i często nie pokrywa szkody wywołanej przestojem.

Warto również ustalić, czy powtarzające się naruszenia poziomu usług uprawniają do rozwiązania umowy bez dodatkowych kosztów. Dzięki temu dostawca nie może przez wiele miesięcy rekompensować niskiej jakości symbolicznymi obniżkami wynagrodzenia.

Jak zabezpieczyć możliwość zmiany dostawcy SaaS i odzyskania danych?

Największe ryzyko ujawnia się często dopiero po wypowiedzeniu umowy. Dane klienta mogą być zapisane w formacie zrozumiałym wyłącznie dla dotychczasowego systemu, a ich eksport może nie obejmować załączników, historii zmian, powiązań lub metadanych.

Plan wyjścia powinien określać:

• zakres danych eksportowalnych i aktywów cyfrowych;
• format oraz strukturę eksportu;
• dokumentację niezbędną do odczytania danych;
• terminy udostępnienia kolejnych kopii;
• wsparcie dostawcy podczas migracji;
• okres równoległego działania usług;
• zasady usunięcia danych i potwierdzenia ich usunięcia;
• opłaty związane z migracją.

Jakie obowiązki dotyczące zmiany dostawcy chmury przewiduje Data Act?

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854, nazywane aktem w sprawie danych (Data Act), nakazuje dostawcom usług przetwarzania danych usuwać przeszkody utrudniające zmianę dostawcy.

Umowa ma jasno określać prawa klienta, pomoc w migracji, ciągłość usługi oraz zasady przeniesienia danych. Okres powiadomienia poprzedzający rozpoczęcie zmiany dostawcy nie może przekraczać dwóch miesięcy. Następujący po nim okres przejściowy wynosi co do zasady maksymalnie 30 dni kalendarzowych. Jeżeli zachowanie tego terminu jest technicznie niewykonalne, dostawca musi w ciągu 14 dni roboczych od żądania zmiany poinformować klienta, uzasadnić przeszkody i wskazać alternatywny okres, nieprzekraczający siedmiu miesięcy. Umowa powinna również zapewniać co najmniej 30 dni kalendarzowych na pobranie danych po zakończeniu okresu przejściowego.

Do 12 stycznia 2027 r. opłaty za zmianę dostawcy mogą być pobierane w ograniczonym zakresie i nie mogą przekraczać kosztów poniesionych przez dostawcę, bezpośrednio związanych z procesem zmiany. Od tej daty pobieranie takich opłat będzie co do zasady zakazane. Nie oznacza to jednak automatycznego zniesienia zwykłych opłat za usługę ani dopuszczalnych opłat za wcześniejsze zakończenie umowy. Należy także sprawdzić szczególne wyłączenia przewidziane w art. 31 Data Act, dotyczące m.in. określonych usług tworzonych indywidualnie dla klienta.

Jakie obowiązki dotyczące ochrony danych i cyberbezpieczeństwa powinna regulować umowa SaaS?

Jeżeli dostawca przetwarza dane osobowe w imieniu klienta, konieczne jest uregulowanie relacji zgodnie z art. 28 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Role stron wynikają z ich rzeczywistych decyzji i działań, a nie tylko z nazw użytych w umowie.

Co powinna zawierać umowa powierzenia przetwarzania danych osobowych?

Umowa powierzenia przetwarzania danych osobowych powinna określać:

• przedmiot, czas, charakter i cel przetwarzania;
• rodzaje danych osobowych i kategorie osób, których dane dotyczą;
• obowiązki i prawa stron;
• zasady przetwarzania danych na udokumentowane polecenie;
• obowiązek zachowania poufności;
• środki bezpieczeństwa;
• warunki korzystania z dalszych podmiotów przetwarzających;
• zasady pomocy przy realizacji praw osób, których dane dotyczą;
• zasady pomocy administratorowi w zapewnianiu bezpieczeństwa danych, zgłaszaniu naruszeń ochrony danych i ocenie skutków dla ochrony danych;
• zasady przeprowadzania audytów;
• warunki zwrotu albo usunięcia danych.

Jakie zabezpieczenia techniczne należy uwzględnić w umowie SaaS?

Opis zabezpieczeń nie powinien ograniczać się do ogólnego zapewnienia, że dostawca przestrzega RODO.

Umowa powinna zawierać informacje pozwalające ocenić ryzyko związane z przetwarzaniem danych osobowych, w szczególności dotyczące:

• szyfrowania danych;
• zarządzania dostępem;
• tworzenia kopii zapasowych;
• rejestrowania zdarzeń;
• testowania zabezpieczeń;
• reagowania na incydenty.

Jak uregulować przekazywanie danych osobowych poza EOG?

Należy również ustalić lokalizacje przetwarzania oraz możliwość dostępu z państw spoza Europejskiego Obszaru Gospodarczego.

Jeżeli dochodzi do przekazania danych do państwa trzeciego, trzeba wskazać właściwą podstawę i ocenić, czy zapewnia ona wymagany poziom ochrony.

Standardowe klauzule umowne mogą wymagać uzupełnienia dodatkowymi zabezpieczeniami, na co Trybunał Sprawiedliwości Unii Europejskiej zwrócił uwagę w wyroku z 16 lipca 2020 r., C-311/18 (Schrems II). Przy dostawcach z USA podstawą przekazania może być także decyzja Komisji z 10 lipca 2023 r. w sprawie EU-US Data Privacy Framework, o ile odbiorca uczestniczy w tym programie. Sąd Unii Europejskiej oddalił skargę na tę decyzję (T-553/23), ale sprawa toczy się dalej przed TSUE.

Kiedy umowa SaaS musi uwzględniać dodatkowe obowiązki cyberbezpieczeństwa?

Obowiązki cyberbezpieczeństwa zależą także od statusu klienta i dostawcy.

Podmioty kluczowe i ważne w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa (znowelizowanej w 2026 r. w związku z dyrektywą NIS2) albo podmioty objęte regulacjami sektorowymi powinny zapewnić w umowie odpowiednie wymagania dotyczące:

• zarządzania ryzykiem;
• zgłaszania i obsługi incydentów;
• bezpieczeństwa łańcucha dostaw;
• współpracy podczas kontroli.

W sektorze finansowym dodatkowe wymagania wobec zewnętrznych dostawców technologii wynikają w szczególności z art. 28–30 rozporządzenia (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA).

Zakres obowiązków oraz terminy ich realizacji trzeba ustalić z uwzględnieniem przepisów przejściowych. Dla podmiotów, które spełniały kryteria uznania za podmiot kluczowy lub ważny w dniu wejścia w życie nowelizacji KSC, termin wdrożenia nowych obowiązków przypada co do zasady na 3 kwietnia 2027 r. Nie oznacza to zawieszenia dotychczasowych obowiązków dotyczących bezpieczeństwa.

Jak negocjować warunki umowy SaaS z dostawcą oprogramowania?

Dostawcy niechętnie akceptują zmiany w proponowanych przez siebie umowach, dlatego negocjacje warto oprzeć na ocenie ryzyka. Priorytetem powinny być postanowienia, których brak może zatrzymać działalność albo uniemożliwić odzyskanie danych.

Skuteczna strategia polega na rozdzieleniu wymagań na trzy grupy: konieczne, istotne i pożądane.

Zakres negocjacji powinien odpowiadać znaczeniu systemu dla działalności przedsiębiorstwa. Dla systemu krytycznego konieczne mogą być:

• prawo audytu;
• szybkie zgłaszanie incydentów;
• kopie zapasowe;
• określony czas odtworzenia;
• szczegółowy plan migracji.

W przypadku prostego narzędzia pomocniczego część tych obowiązków można uprościć.

Przedsiębiorca powinien przeanalizować również całkowite koszty korzystania z usługi. Niski koszt miesięczny może zostać zniwelowany przez opłaty za dodatkowe środowiska, eksport danych, wsparcie, wyższy poziom dostępności albo wcześniejsze zakończenie współpracy.

Dlaczego warto skorzystać z pomocy prawnika przed podpisaniem umowy SaaS?

Prawnik zajmujący się umowami SaaS powinien połączyć analizę prawną ze zrozumieniem modelu technicznego. Przegląd postanowień licencyjnych powinien obejmować również kwestie infrastruktury, bezpieczeństwa danych i ciągłości działania usługi.

Szczególnej uwagi wymagają ograniczenia odpowiedzialności. Limit może obejmować wszystkie zdarzenia łącznie, odnosić się wyłącznie do opłat netto albo wyłączać szkody, które w praktyce są dla klienta najważniejsze.

Analiza prawna powinna również uwzględniać relację limitu odpowiedzialności do:

• kar umownych;
• roszczeń osób trzecich;
• naruszeń ochrony danych;
• kosztów odtworzenia informacji.

Wsparcie prawne jest najbardziej efektywne, gdy rozpoczyna się przed wyborem dostawcy. Wtedy wymagania umowne mogą zostać uwzględnione w zapytaniu ofertowym, a klient może negocjować odpowiednie zabezpieczenia jeszcze przed podjęciem decyzji technologicznej.

Umowa SaaS w B2B – o czym trzeba pamiętać?

Bezpieczna umowa SaaS powinna uwzględniać charakter usługi świadczonej w sposób ciągły. Musi opisywać obowiązki dotyczące infrastruktury, procedur bezpieczeństwa, podwykonawców i reagowania na awarie, a także określać zasady korzystania z oprogramowania.

Przed zawarciem umowy warto ustalić wymagania biznesowe, przeprowadzić ocenę ryzyka i sprawdzić cały zestaw dokumentów. Najważniejsze zabezpieczenia dotyczą zazwyczaj dostępności, odpowiedzialności, ochrony danych oraz możliwości zakończenia współpracy bez utraty informacji i ciągłości operacyjnej.

Bibliografia

• Ustawa z dnia 23 kwietnia 1964 r. – Kodeks cywilny, t.j. Dz.U. z 2026 r. poz. 795 ze zm., w szczególności art. 353¹, 384, 471, 473 oraz 483–484.
• Ustawa z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, t.j. Dz.U. z 2025 r. poz. 24 ze zm., w szczególności art. 41, 65–67 oraz 74–75.
• Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, t.j. Dz.U. z 2024 r. poz. 1513 ze zm.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO), w szczególności art. 28, 32 oraz 44–49.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/2854 z dnia 13 grudnia 2023 r. w sprawie zharmonizowanych przepisów dotyczących sprawiedliwego dostępu do danych i ich wykorzystywania (Data Act), w szczególności art. 13, 23–31 oraz 50.
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, t.j. Dz.U. z 2026 r. poz. 20 ze zm.
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. z 2026 r. poz. 252.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA).
• Decyzja wykonawcza Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych do państw trzecich.
• Decyzja wykonawcza Komisji (UE) 2021/915 z dnia 4 czerwca 2021 r. w sprawie standardowych klauzul umownych między administratorami a podmiotami przetwarzającymi.
• Wyrok Trybunału Sprawiedliwości Unii Europejskiej z dnia 3 lipca 2012 r., C-128/11, UsedSoft przeciwko Oracle.
• Wyrok Trybunału Sprawiedliwości Unii Europejskiej z dnia 16 lipca 2020 r., C-311/18, Schrems II.
• Decyzja wykonawcza Komisji (UE) 2023/1795 z dnia 10 lipca 2023 r. stwierdzająca odpowiedni stopień ochrony danych osobowych zapewniany przez ramy ochrony danych UE–USA (EU-US Data Privacy Framework).
• Wyrok Sądu Unii Europejskiej z dnia 3 września 2025 r., T-553/23, Latombe przeciwko Komisji.
• Wytyczne Europejskiej Rady Ochrony Danych 07/2020 dotyczące pojęć administratora i podmiotu przetwarzającego w RODO.

Często zadawane pytania (FAQ)

01 Czy każda umowa SaaS zawiera licencję?

Nie. Głównym przedmiotem typowej umowy jest dostęp do funkcji aplikacji utrzymywanej przez dostawcę. Element licencyjny może jednak dotyczyć aplikacji użytkownika, dokumentacji, interfejsów lub innych chronionych składników.

02 Czy umowa licencyjna SaaS jest nieważna?

Nie z powodu samej nazwy. Trzeba jednak sprawdzić, czy jej treść prawidłowo opisuje usługę. Jeżeli dokument reguluje tylko prawa autorskie, może nie zabezpieczać dostępności, danych, wsparcia i migracji.

03 Czy regulamin zaakceptowany przez kliknięcie wiąże przedsiębiorcę?

Może być wiążący, jeżeli został prawidłowo udostępniony przed zawarciem umowy. Klient powinien mieć możliwość jego zachowania i późniejszego odtworzenia.

04 Czy umowa powierzenia zawsze musi być osobnym dokumentem?

Nie. Wymagane postanowienia mogą znajdować się w umowie głównej albo w załączniku. Powinny jednak tworzyć wiążącą, pisemną, również elektroniczną, podstawę przetwarzania i obejmować wszystkie elementy wymagane przez RODO.

05 Czy dostawca może całkowicie wyłączyć odpowiedzialność za awarię?

W relacji między przedsiębiorcami możliwe są szerokie ograniczenia, ale ich skuteczność zależy od treści i okoliczności. Nie można z góry wyłączyć odpowiedzialności za szkodę wyrządzoną umyślnie.