Autorka: Nikol Sochor
Dne 20. října 2026 narušil problém s napájením v londýnském datovém centru Google Cloud na několik hodin provoz řady služeb. Někteří zákazníci Revolutu měli potíže s platbami kartou i výběry hotovosti. Problémy hlásily také Lloyds a HSBC. Žádná z těchto společností výpadek nezpůsobila, jeho dopady ale pocítili jejich zákazníci.
Pro SaaS firmy z toho plyne jasné poučení: pokud zákazníci na vaší platformě staví své podnikání, váš problém se rychle stává i jejich problémem. Mění se proto to, co od vaší smlouvy očekávají, i závazky, které musíte umět splnit.
Dříve smlouvy pro SaaS řešily hlavně přístup ke službě: co produkt umí, kolik stojí a jak dlouho trvá předplatné. Dnes zákazníci chtějí vědět, co se stane, když něco přestane fungovat. V EU je k těmto požadavkům stále častěji vede i regulace, zejména pokud působí v regulovaných odvětvích.
Zákazníci požadují SLA, tedy dohodu o úrovni poskytovaných služeb, s konkrétními nároky při jejím nedodržení. Chtějí také závazky k zajištění kontinuity provozu, obnově po havárii a jasné komunikaci při incidentech. Tyto požadavky často souvisejí s nařízením DORA, které upravuje digitální provozní odolnost finančního sektoru, a směrnicí NIS2 o kybernetické bezpečnosti.
Zákazníci chtějí konkrétní bezpečnostní standardy, pevnou lhůtu pro oznámení incidentu a vyšší odpovědnost za porušení zabezpečení dat. Pokud zákazník vystupuje jako správce osobních údajů, musí podle článku 33 odst. 1 GDPR porušení zabezpečení osobních údajů ohlásit dozorovému úřadu bez zbytečného odkladu, pokud možno do 72 hodin od chvíle, kdy se o něm dozví. Výjimkou jsou případy, kdy je nepravděpodobné, že by porušení představovalo riziko pro práva a svobody lidí. Jako zpracovatel musíte zákazníkovi oznámit porušení zabezpečení osobních údajů bez zbytečného odkladu poté, co se o něm dozvíte (čl. 33 odst. 2 GDPR). Proto zákazníci ve smlouvách požadují pevnou a krátkou oznamovací lhůtu.
Zákazníci chtějí jasné hranice pro využívání svých dat, včetně analytiky a zlepšování produktu. Pokud osobní údaje zpracováváte jako zpracovatel, článek 28 GDPR vyžaduje, abyste postupovali podle doložených pokynů zákazníka, s výjimkou zpracování uloženého právními předpisy. Využití osobních údajů pro vlastní účely vyžaduje samostatné posouzení vaší role a právního základu zpracování.
Zákazníci požadují seznam dílčích zpracovatelů, tedy dodavatelů, které jako zpracovatel zapojujete do zpracování osobních údajů pro zákazníka. Chtějí předem vědět o změnách a mít možnost vznést námitku. Základem je článek 28 GDPR, širší bezpečnostní rizika dodavatelského řetězce pak samostatně řeší NIS2 nebo u zákazníků z finančního sektoru DORA.
Zákazníci chtějí vědět, jaké AI funkce a poskytovatele využíváte. Požadují také závazek, že na jejich datech nebudete trénovat modely. Tyto požadavky vycházejí především z interních pravidel zákazníků pro práci s daty a ochranu důvěrných informací a z GDPR. Podle konkrétního použití se mohou přidat také povinnosti podle evropského AI Actu, včetně požadavků na porozumění používaným AI systémům.
Zákazníci potřebují export dat v použitelném formátu, čas na jejich stažení a pomoc s migrací. Od 12. září 2025 upravuje změnu poskytovatele služeb zpracování dat evropský Data Act. U služeb, na které tato pravidla dopadají, stanoví nejvýše dvouměsíční výpovědní lhůtu pro zahájení přechodu, přechodné období zpravidla v délce nejvýše 30 kalendářních dnů a následně alespoň 30 kalendářních dní na stažení dat. Přechodné období lze za stanovených podmínek prodloužit. Od 12. ledna 2027 budou zakázány poplatky za samotnou změnu poskytovatele. Do té doby tyto poplatky nesmějí přesáhnout náklady přímo spojené se změnou poskytovatele. Zákaz automaticky neruší standardní poplatky za službu ani oprávněné poplatky za předčasné ukončení smlouvy.
Smluvní podmínky SaaS tak dnes upravují celý obchodní vztah, včetně toho, jak zvládnete problémy a případný odchod zákazníka.
Obchodní tým dojednal zakázku. Nákupní oddělení zákazníka vám ale právě vrátilo smlouvu s dlouhým seznamem změn.
Problém je v tom, že jeden produkt poskytujete mnoha zákazníkům. Individuální lhůta pro oznámení incidentu, audit ve vašich prostorách nebo neomezená odpovědnost za porušení zabezpečení dat mohou u jednoho velkého zákazníka dávat smysl. U stovek či tisíců zákazníků ale mohou být příliš nákladné nebo nesplnitelné. Pokud naopak odmítnete všechny změny, velké firemní zákazníky budete získávat obtížněji.
Jak tedy zákazníkům dát potřebnou jistotu a současně přijímat jen rizika, která zvládnete řídit? U běžných požadavků často existuje standardní alternativa použitelná napříč zákazníky.
Jako první krok nabídněte certifikát ISO 27001 nebo zprávu SOC 2 Type II. Audit na místě vyhraďte pro odůvodněné případy a zachovejte auditní práva, která vyžadují právní předpisy.
Pro porušení zabezpečení dat můžete sjednat samostatný, vyšší limit odpovědnosti, označovaný také jako super-cap.
Sjednejte se zákazníky obecné písemné povolení k zapojení dalších zpracovatelů. O změnách je informujte předem a umožněte jim vznést námitku. Nemusíte pak žádat o samostatné schválení každého dalšího zpracovatele zvlášť.
Připravte standardní SLA pro jednotlivé úrovně předplatného. Zákazníci s vyššími požadavky mohou přejít na vyšší tarif a váš tým bude zajišťovat a vykazovat jen několik úrovní služeb.
Dobrá SaaS smlouva dává zákazníkům konkrétní ochranu a obsahuje závazky, které dokážete splnit.
Při revizi smluv si před souhlasem s požadovanou změnou položte pět otázek:
Vaše služba je součástí infrastruktury, na kterou zákazníci každý den spoléhají. SaaS smlouva proto patří do obchodní strategie i řízení rizik. Cílem není mít delší smlouvu ani si vyjednat co nejširší ochranu.Má vám pomáhat zákazníky získat a udržet díky závazkům, které zvládnete dodržet. Potřebujete smlouvy pro SaaS, které obstojí při vyjednávání s velkými firemními zákazníky?