Wat is SaaS en wat moet ik daarvoor regelen?

Steeds meer softwareleveranciers bieden hun software aan op basis van een zogenaamde SaaS-formule. SaaS heeft zeker voordelen, maar er zijn ook een aantal risico’s aan verbonden. Voor ondernemers is het belangrijk dat ze deze risico’s grondig afdekken. Hieronder leggen we uit wat SaaS is, welke documenten nodig zijn en hoe je met persoonsgegevens moet omgaan.

Wat is SaaS?

SaaS is de afkorting van ‘Software as a Service’. Het gaat om software die door een ontwikkelaar wordt gemaakt en waarbij de gebruiker de software niet hoeft te kopen, maar in ruil daarvoor een vast bedrag per maand betaalt. Hierbij ontzorgt de ontwikkelaar de gebruiker maximaal en staat de ontwikkelaar bijvoorbeeld in voor de installatie, het onderhoud, het beheer enzovoort. De gebruiker zelf krijgt via het internet toegang tot de software.

Een voorbeeld van SaaS is het boekhouden in de cloud. Hierbij draait de software op de servers van de ontwikkelaar en is de omgeving via een online tool te bereiken. De boekhouding is dus steeds beschikbaar en de gebruiker hoeft zich nergens zorgen om te maken. Zo staat de ontwikkelaar bijvoorbeeld in voor back-ups en past het de software ook aan als de wetgeving wijzigt.

SaaS-overeenkomst

In de eerste plaats moet een SaaS-overeenkomst worden opgesteld. In de SaaS-overeenkomst staat onder meer dat de gebruiker een gebruiksrecht heeft op de software en dat hij daarvoor een prijs moet bepalen. Daarnaast bevat de SaaS-overeenkomst telkens nog enkele andere bepalingen. Het gaat dan bijvoorbeeld om minimale garanties, bepalingen over back-ups, gevolgen van het faillissement van de SaaS-dienstverlener, wat er met de data moet gebeuren als de gebruiker niet meer zou betalen, enzovoort. Je merkt dat er juridisch gezien best wel wat risico’s aan een SaaS-overeenkomst verbonden zijn. Met goede afspraken vallen deze risico’s perfect af te dekken, maar ook dan is een goede SaaS-overeenkomst gewoon onmisbaar.

Privacyrechtelijke vraagstukken

Wanneer de software wordt gebruikt om persoonsgegevens te verwerken, zijn er extra aandachtspunten. Dat is bijvoorbeeld het geval voor boekhoudsoftware waar namen, adressen en contactgegevens van klanten in te vinden zijn. In zo’n geval is een verwerkersovereenkomst onmisbaar. In de verwerkersovereenkomst staat duidelijk welke persoonsgegevens de cloudaanbieder mag verwerken, welke beveiligingsmaatregelen hij moet treffen enzovoort.

Daarnaast moet je je eigen privacyverklaring aanpassen. In je privacyverklaring moet je per slot van rekening niet alleen aangeven welke persoonsgegevens je verzamelt, maar ook wat je met die persoonsgegevens doet, met wie je ze deelt en met welk doel je dat doet. Het belangrijkste is natuurlijk dat beide documenten bij elkaar aansluiten. Het kan niet de bedoeling zijn dat je verwerkersovereenkomst verwerkingen toestaat die op grond van je privacyverklaring niet zijn toegestaan.

Opletten bij Amerikaanse servers

Wanneer de persoonsgegevens op Amerikaanse servers worden opgeslagen, kunnen er zich extra problemen stellen. Het probleem is dat Amerikaanse inlichtingendiensten deze servers kunnen inzien en dus vrij aan de persoonsgegevens kunnen. Vroeger kon je je dan baseren op het EU-VS-Privacyschild, maar deze overeenkomst tussen de Europese Unie en de Verenigde Staten werd op 16 juli 2020 door het Europees Hof van Justitie ongeldig verklaard. Hier zijn er heel wat extra aandachtspunten en moet er gekeken worden naar alternatieven contracten. MKBrecht.nl staat je graag bij.

Meer weten over de juridische aspecten van SaaS of de gevolgen van de vernietiging van het EU-VS-Privacyschild? Plan dan een belafspraak in met een van de experts van MKBrecht.nl.