SaaS-avtal och licensavtal — klausulerna som avgör affären

1. Nyttjanderätten — vad kunden faktiskt får göra

Kärnan i ett licensavtal är nyttjanderätten. Kunden köper inte programvaran utan en rätt att använda den på vissa villkor. Det som inte uttryckligen upplåts stannar som utgångspunkt hos leverantören, och avtal om upphovsrätt tolkas restriktivt. Enligt 28 § upphovsrättslagen (1960:729) får den som förvärvat en upphovsrätt inte ändra verket eller överlåta rätten vidare om inte annat har avtalats. Vill kunden låta koncernbolag, konsulter eller egna kunder använda tjänsten måste det alltså stå i avtalet.

Se till att avtalet besvarar åtminstone de här frågorna:

• Vem får använda tjänsten? Namngivna användare, samtidiga användare, hela bolaget eller även koncernbolag.
• För vilket ändamål? Interna verksamhetsändamål, eller får kunden använda tjänsten för att leverera tjänster till sina egna kunder?
• Volym och gränser — antal användare, transaktioner, lagringsutrymme eller API-anrop, och vad som händer när gränsen överskrids.
• Exklusivitet och territorium — vid SaaS nästan alltid icke-exklusivt, men vid licens för varumärken eller specialutvecklad mjukvara kan det vara en central fråga.
• Kundens egna data och resultat — klargör att kunden äger det material den laddar upp och det som genereras i tjänsten, och att leverantören bara får använda det för att leverera tjänsten.

För installerad programvara finns ett undantag att känna till: enligt 26 g § upphovsrättslagen har den som har rätt att använda ett datorprogram bland annat rätt att framställa nödvändiga säkerhetsexemplar, och avtalsvillkor som inskränker den rätten är ogiltiga.

2. Tillgänglighet och SLA — vad lovar leverantören?

För en molntjänst är tillgängligheten ofta viktigare än själva licensvillkoren. Det finns ingen lagregel om hur stor tillgänglighet en SaaS-tjänst ska ha — allt beror på avtalet. Saknas en servicenivå är det svårt för kunden att visa att leverantören har brustit.

En användbar servicenivåbilaga (SLA) brukar reglera:

• Tillgänglighetsnivå angiven i procent per månad, och hur den mäts.
• Undantag — planerat underhåll (hur ofta, hur lång tid och med hur lång varsel), force majeure och fel som beror på kunden.
• Supporttider och svarstider, gärna uppdelade efter hur allvarligt felet är.
• Servicekrediter — prisavdrag om nivån inte uppnås.
• Rätt att säga upp avtalet om nivån upprepade gånger inte uppnås.

Läs också vad avtalet säger om servicekrediternas förhållande till skadestånd. Många leverantörer skriver att servicekrediter är kundens enda påföljd vid bristande tillgänglighet. Det kan vara rimligt för en standardtjänst, men för en affärskritisk tjänst bör kunden åtminstone ha kvar rätten att häva vid väsentliga eller upprepade avbrott.

3. Data, säkerhet och personuppgifter

Nästan varje SaaS-tjänst innehåller personuppgifter — namn och e-post till användare, kunduppgifter i ett CRM, löneuppgifter i ett HR-system. Kunden är då som regel personuppgiftsansvarig och leverantören personuppgiftsbiträde. Enligt artikel 28 i dataskyddsförordningen (GDPR) ska biträdets behandling regleras i ett avtal som bland annat anger att biträdet bara får behandla uppgifterna enligt kundens dokumenterade instruktioner, att det ska vidta lämpliga säkerhetsåtgärder och att uppgifterna ska raderas eller återlämnas när tjänsten upphör.

Ett personuppgiftsbiträdesavtal (DPA) tas oftast fram som en bilaga till huvudavtalet. Läs mer om vad det måste innehålla i vår guide om krav på personuppgiftsbiträdesavtal. Utöver GDPR-frågorna bör huvudavtalet reglera:

• Var data lagras och om underbiträden används, särskilt om uppgifter kan föras över till länder utanför EU/EES.
• Säkerhetsincidenter — hur snabbt och på vilket sätt leverantören ska underrätta kunden, så att kunden kan uppfylla sina egna skyldigheter.
• Säkerhetskopiering — hur ofta och hur länge, och om återställning ingår i priset.
• Leverantörens användning av data — får leverantören använda kundens data i anonymiserad form för statistik, produktutveckling eller för att träna AI-modeller? Om svaret ska vara nej, skriv det.

4. Ansvarsbegränsning — det viktigaste stycket i avtalet

Leverantörer begränsar nästan alltid sitt ansvar, och det är i sig rimligt: en SaaS-tjänst som kostar en mindre summa i månaden kan inte bära risken för kundens hela affär. Vanligt är ett ansvarstak kopplat till de avgifter kunden betalat under en viss period, ofta tolv månader, och att indirekta skador som utebliven vinst och förlorad data undantas helt.

Som kund bör du kontrollera vad som ligger utanför begränsningen. Vanliga undantag är skada som orsakats uppsåtligen eller av grov vårdslöshet, brott mot sekretess eller dataskydd och intrång i tredje mans immateriella rättigheter. Kontrollera särskilt att förlorad data inte undantas helt om leverantören samtidigt ansvarar för säkerhetskopieringen — då är det lätt att avtalet i praktiken saknar påföljd för det som är tjänstens kärna.

Leverantören bör också garantera att tjänsten inte gör intrång i någon annans rättigheter och åta sig att hålla kunden skadeslös vid sådana krav. Ett oskäligt villkor kan jämkas enligt 36 § avtalslagen (1915:218), men mellan företag är domstolarna återhållsamma — utgå från att det ni skriver kommer att gälla. Läs mer i vår guide om ansvarsbegränsning och vite i avtal.

5. Pris och prisändringar

SaaS prissätts oftast som abonnemang per användare, per volym eller i paket. Det som skapar konflikter är sällan det ursprungliga priset utan hur priset får ändras. Det finns ingen allmän lagregel som ger en leverantör rätt att höja priset under en löpande avtalsperiod; rätten måste följa av avtalet.

• Indexering — årlig justering enligt ett angivet index, till exempel konsumentprisindex, är förutsebart för båda parter.
• Ensidiga prisändringar — om leverantören får ändra priset fritt bör det krävas skriftligt besked i god tid och att kunden då får säga upp avtalet innan det nya priset börjar gälla.
• Ändrade villkor — samma sak gäller ändringar av villkoren i övrigt. En klausul om att leverantören när som helst får uppdatera villkoren på sin webbplats är svår att förhandla bort i standardtjänster, men kunden bör åtminstone få en uppsägningsrätt vid väsentliga försämringar.
• Utebliven betalning — ange dröjsmålsränta, betalningspåminnelse och när leverantören får stänga av tjänsten. Avstängning bör föregås av ett skriftligt varsel.

Säljer du en SaaS-tjänst till många kunder är det ofta smidigast att samla dessa villkor i allmänna villkor och bara förhandla pris och servicenivå med varje kund.

6. Avtalstid, uppsägning och dataexport

Ange avtalstiden, hur avtalet förlängs och hur lång uppsägningstiden är. Automatisk förlängning med lång bindningstid är vanligt men bör synas tydligt. Reglera också vad som räknas som väsentligt avtalsbrott och ger rätt att häva — till exempel upprepade avbrott, säkerhetsbrister eller utebliven betalning.

Den del som oftast glöms bort är vad som händer efter avslutet. Avtalet bör ange i vilket format kunden får ut sina data, hur länge efter avslutet det är möjligt, om exporten kostar något och när leverantören raderar uppgifterna. Utan sådana regler kan kunden bli helt beroende av leverantörens goda vilja just när relationen är som sämst.

Sedan den 12 september 2025 gäller dessutom EU:s dataförordning (EU) 2023/2854, ofta kallad Data Act, som innehåller regler om byte mellan databehandlingstjänster. Enligt artikel 25 ska avtalet bland annat ge kunden rätt att byta leverantör eller flytta data till egen infrastruktur, med en uppsägningstid för att inleda bytet på högst två månader och en övergångsperiod som normalt är högst 30 kalenderdagar. Enligt artikel 29 får leverantören från och med den 12 januari 2027 inte ta ut några avgifter för bytet, och fram till dess bara nedsatta avgifter som motsvarar de direkta kostnaderna. Reglerna gäller leverantörer av molntjänster, inklusive SaaS, oavsett om kunden är ett företag eller en konsument, men det finns undantag, bland annat för specialanpassade tjänster och testversioner. Som leverantör bör du gå igenom dina villkor mot förordningen.

För installerad, affärskritisk programvara kan källkodsdeponering (escrow) vara ett alternativ: källkoden lämnas till en oberoende förvaltare och lämnas ut till kunden om leverantören till exempel går i konkurs eller slutar underhålla programmet.

Checklista innan ni skriver under

1. Står det tydligt vem som får använda tjänsten, till vad och i vilken omfattning?
2. Finns en mätbar servicenivå med servicekrediter och hävningsrätt vid upprepade brister?
3. Finns ett personuppgiftsbiträdesavtal, och framgår var data lagras och vilka underbiträden som används?
4. Har ansvarsbegränsningen rimliga undantag för uppsåt, grov vårdslöshet, dataskydd och intrång?
5. Är prisändringar kopplade till index eller till en uppsägningsrätt?
6. Är det reglerat hur och när ni får ut era data, och när de raderas?

Med vårt licensavtal får du frågorna ovan ställda och besvarade i ett avtal anpassat efter din tjänst — oavsett om du upplåter programvara, en SaaS-tjänst eller ett varumärke. Ska ni visa källkod eller affärsplaner innan avtalet är klart, börja med ett sekretessavtal.