Специальных норм о договоре SaaS в ГК РФ нет, поэтому подписку на облачный сервис оформляют как лицензионный договор с удалённым доступом, договор оказания услуг или смешанный договор с элементами абонентского (ст. 421, 429.4, 779, 1235 ГК РФ). От выбора модели зависят НДС, порядок оплаты и отказа, ответственность за перебои. Разберём, как выбрать конструкцию, что включить в SLA и как оформить обработку данных клиента.

Кратко

  • Стороны вправе заключить смешанный договор, к каждой его части применяются правила соответствующего договора (п. 3 ст. 421 ГК РФ).
  • При абонентской модели клиент платит за доступ на период, а не за фактическое пользование, если договор не установил иное (ст. 429.4 ГК РФ).
  • Передача прав на программы из единого реестра российского ПО, в том числе через удалённый доступ по интернету, освобождена от НДС (подп. 26 п. 2 ст. 149 НК РФ).
  • Провайдер, который обрабатывает персональные данные клиентов заказчика, действует по поручению оператора, а перед субъектами отвечает оператор (ч. 3, 5 ст. 6 Закона № 152-ФЗ).
  • Предприниматель отвечает за нарушение договора независимо от вины, если не докажет непреодолимую силу, но договор может это изменить (п. 3 ст. 401 ГК РФ).

Содержание

Договор SaaS, лицензия или услуга

SaaS (software as a service) означает, что клиент не устанавливает программу у себя, а работает с ней через браузер или приложение на серверах провайдера. Юридически здесь переплетены два элемента, право использовать программу и обеспечение её работы. Поэтому на практике встречаются три модели.

МодельЧто получает клиентПлюсыРиски
Лицензионный договор с удалённым доступомПростую лицензию на использование программыЯсная связь с авторским правом, льгота по НДС для ПО из реестраНужно описать способы использования, иначе права не предоставлены
Договор оказания услугУслугу доступа к функциям сервисаУдобно описывать уровень сервиса и поддержкуНДС по общим правилам, клиент вправе отказаться с оплатой фактических расходов
Смешанный договор с элементами абонентскогоЛицензию и сопутствующие услуги за фиксированный периодический платёжГибкость, платёж за период независимо от объёма использованияНужна аккуратная формулировка, чтобы суд и налоговая поняли разделение частей

По лицензионному договору правообладатель предоставляет право использования в пределах, указанных в договоре, а право, прямо в нём не названное, не считается предоставленным (п. 1 ст. 1235 ГК РФ). Договор должен определять программу и способы её использования (п. 6 ст. 1235 ГК РФ). Для SaaS обычно указывают использование функций через интернет определённым числом пользователей без права копирования и модификации.

По договору оказания услуг исполнитель совершает действия по заданию заказчика (п. 1 ст. 779 ГК РФ), здесь это обеспечение работы сервиса, хостинг, обновления, поддержка. Если договор содержит элементы обоих видов, это смешанный договор, и к каждой части применяют свои правила (п. 3 ст. 421 ГК РФ).

Для массовых клиентов документ обычно делают публичной офертой с акцептом при регистрации. Для программ и баз данных закон прямо разрешает заключить лицензию с пользователем в упрощённом порядке, как договор присоединения (п. 5 ст. 1286 ГК РФ). Подробнее о таком соглашении в статье о лицензионном соглашении для приложения.

Абонентский договор по ст. 429.4 ГК РФ для подписки

Подписка с ежемесячным платежом хорошо ложится на конструкцию абонентского договора. Клиент здесь платит не за конкретные действия, а за возможность обращаться к сервису в нужном ему объёме весь оплаченный период (п. 1 ст. 429.4 ГК РФ). Плата причитается и тогда, когда клиент ничего не запрашивал, если закон или договор не устанавливает другое правило (п. 2 ст. 429.4 ГК РФ).

Для провайдера это удобно. Если клиент месяц не заходил в сервис, плата всё равно причитается, ведь доступ ему предоставлялся. Для клиента абонентская модель значит, что вернуть деньги за неиспользованный период проще всего при досрочном отказе, а не потому, что он мало пользовался. О том, как суды смотрят на абонентские платежи, мы рассказывали в статье об абонентском договоре.

Если клиент гражданин и подписка для личных нужд, он вправе отказаться от договора об оказании услуг в любое время с оплатой фактически понесённых исполнителем расходов (ст. 32 Закона о защите прав потребителей). Условия о невозврате оплаченного периода в такой ситуации обычно не работают. Для компаний условия отказа определяет договор и ст. 782 ГК РФ, если сервис оформлен как услуга.

Лицензия или услуга, что меняется по НДС

Подпункт 26 п. 2 ст. 149 НК РФ освобождает от НДС передачу исключительных прав и прав использования программ и баз данных, включённых в единый реестр российских программ, включая обновления и дополнительные функции, в том числе путём предоставления удалённого доступа через интернет. Это прямо охватывает модель SaaS, но только для ПО из реестра.

Льгота не применяется, если передаваемые права состоят в возможности распространять рекламу в интернете, получать доступ к ней, размещать предложения о покупке или продаже товаров и услуг, искать информацию о покупателях и продавцах. Это сказано в той же норме НК РФ. Сервисы объявлений и рекламные кабинеты под освобождение не подпадают.

Если же сервис оформлен как услуга, а не как лицензия, освобождение по подп. 26 п. 2 ст. 149 НК РФ применить сложнее. Поэтому провайдеру ПО из реестра важно, чтобы договор прямо называл предоставление права использования программы и выделял его стоимость, если наряду с ним оказываются платные услуги, например внедрение или настройка. Как попасть в реестр, мы рассказали в статье о реестре российского ПО.

SLA, уровень сервиса и ответственность

SLA (service level agreement) описывает, насколько стабильно должен работать сервис и что получает клиент, если провайдер не справился. Закон таких показателей не устанавливает, всё определяет договор. Обычно в SLA включают:

  • Доступность. Процент времени в месяц, когда сервис работает, и как его измеряют.
  • Плановые работы. Сколько часов в месяц и с каким предупреждением провайдер может отключать сервис, не нарушая SLA.
  • Время реакции и устранения. Сроки по категориям инцидентов, от критических до мелких.
  • Компенсации. Скидка или кредит на следующий период за каждый пункт ниже нормы доступности.
  • Исключения. Сбои из-за действий клиента, третьих сервисов, атак, непреодолимой силы.
  • Резервное копирование. Как часто делаются копии данных и за какое время данные восстановят.

Лицо, нарушившее обязательство в предпринимательской деятельности, отвечает, если не докажет, что исполнение было невозможно из-за непреодолимой силы, но закон или договор могут установить иное (п. 3 ст. 401 ГК РФ). Поэтому SLA часто вводит исчерпывающий перечень последствий, например только сервисные кредиты, и ограничивает общую сумму ответственности. Такие условия между компаниями допустимы, кроме случаев умышленного нарушения, ограничить ответственность за которое заранее нельзя (п. 4 ст. 401 ГК РФ). Если договор заключён с гражданином, ограничения ответственности, не основанные на законе, недопустимы (подп. 4 п. 2 ст. 16 Закона о защите прав потребителей).

Отдельно продумайте, как сбои третьих лиц, например дата-центра или платёжного шлюза, влияют на ответственность провайдера. Нарушение обязанностей со стороны контрагентов должника к непреодолимой силе не относится (п. 3 ст. 401 ГК РФ). Если провайдер хочет снять с себя такой риск, это нужно прямо записать в договоре.

Данные клиента в облачном сервисе

Клиент загружает в сервис свои данные, базу покупателей, документы, переписку. Договор SaaS должен ответить на несколько вопросов:

  1. Кому принадлежат данные. Обычно фиксируют, что данные остаются у клиента, а провайдер использует их только для оказания сервиса.
  2. Конфиденциальность. Обязанность провайдера не раскрывать данные, перечень его сотрудников и субподрядчиков с доступом.
  3. Экспорт и удаление. В каком формате и в какой срок клиент получит выгрузку при прекращении договора, когда провайдер удалит копии.
  4. Обезличенная статистика. Может ли провайдер использовать агрегированные данные для улучшения продукта.

Персональные данные

Если в сервисе хранятся персональные данные клиентов или сотрудников заказчика, оператором остаётся заказчик, а провайдер обрабатывает данные по его поручению. Поручение возможно с согласия субъекта, если иное не предусмотрено законом, и в нём должны быть определены перечень данных, действия с ними, цели обработки, обязанность соблюдать конфиденциальность и меры защиты (ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»). Получать согласие субъектов сам провайдер не обязан (ч. 4 ст. 6 Закона № 152-ФЗ).

Перед гражданами за действия провайдера отвечает оператор, а провайдер отвечает перед оператором (ч. 5 ст. 6 Закона № 152-ФЗ). Поэтому заказчику важно включить в договор обязанность провайдера сообщать об инцидентах, возмещать убытки и участвовать в проверках. При сборе данных граждан России запись, систематизация, накопление, хранение и ряд других действий с ними с использованием баз данных за рубежом не допускаются, кроме случаев из закона (ч. 5 ст. 18 Закона № 152-ФЗ). Проверьте, где находятся серверы провайдера. Общие обязанности бизнеса мы разобрали в статье о персональных данных.

Пример (условные цифры). Сеть клиник подключает облачную CRM за 40 000 ₽ в месяц. В договоре провайдер подтверждает включение программы в реестр российского ПО, доступность 99,5% в месяц, кредит 5% месячной платы за каждые 0,5% ниже нормы, хранение данных на серверах в России, выгрузку всей базы в течение 10 рабочих дней после расторжения и отдельный раздел о поручении обработки персональных данных.

Когда нужен юрист

Юрист нужен, когда вы запускаете SaaS-продукт и готовите оферту, выходите к корпоративным клиентам с их требованиями к SLA и защите данных или, наоборот, подключаете облачный сервис для хранения клиентской базы. Юрист выберет модель договора с учётом НДС, пропишет уровень сервиса, ответственность, поручение обработки персональных данных и выход из договора с выгрузкой данных.

Мы готовим и проверяем IT-договоры дистанционно, для провайдеров и клиентов по всей России. Подробнее о работе с договорами → Если нужен подробный разбор с документами, запишитесь на онлайн-консультацию с партнёром.

Частые вопросы

Договор SaaS это лицензия или услуга
Закон не даёт однозначного ответа. Договор можно оформить как лицензию с удалённым доступом, как услугу или как смешанный договор (п. 3 ст. 421, ст. 779, 1235 ГК РФ), выбор влияет на НДС и порядок отказа.

Облагается ли подписка на SaaS НДС
Не облагается, если программа включена в единый реестр российского ПО и клиенту передаются права её использования, в том числе через удалённый доступ (подп. 26 п. 2 ст. 149 НК РФ). Исключение составляют рекламные и торговые сервисы.

Можно ли оформить подписку как абонентский договор
Да. Подписка с фиксированной платой за месяц или год подходит под ст. 429.4 ГК РФ, клиент платит за возможность пользоваться сервисом, а не за каждое обращение.

Что писать в SLA к договору SaaS
Уровень доступности, плановые работы, сроки реакции на инциденты, компенсации за простой, исключения и порядок резервного копирования.

Кто отвечает за утечку персональных данных из облачного сервиса
Перед гражданами отвечает оператор, то есть заказчик, а провайдер отвечает перед оператором (ч. 5 ст. 6 Закона № 152-ФЗ). Поэтому распределение ответственности нужно прописать в договоре.

Правовая база

Статья носит информационный характер и актуальна на дату обновления. Для решения вашей ситуации обратитесь к юристу.