Att teckna en molntjänst går ofta snabbt. Ett konto skapas, ett kort registreras och avtalsvillkoren godkänns med en bock. Men villkoren styr hur du kan använda tjänsten i flera år, vad som händer med din data och vem som bär risken när något går fel. Här går vi igenom åtta saker som är värda att kontrollera innan du skriver på. Texten är allmän information och inte juridisk rådgivning.
Åtta saker att kontrollera
1. Personuppgiftsbiträdesavtal
När en molntjänst behandlar personuppgifter åt ditt företag, till exempel kunduppgifter i ett CRM eller anställdas uppgifter i ett lönesystem, är leverantören normalt personuppgiftsbiträde. Då krävs ett personuppgiftsbiträdesavtal enligt artikel 28 i dataskyddsförordningen (GDPR). Många leverantörer har ett standardavtal som går att godkänna digitalt.
Läs det ändå. Enligt artikel 28.3 ska avtalet bland annat ange att leverantören bara behandlar uppgifterna enligt dina dokumenterade instruktioner, att personalen har tystnadsplikt, att lämpliga säkerhetsåtgärder vidtas och att underbiträden bara anlitas med ditt tillstånd. Avtalet ska också säga att leverantören hjälper dig när registrerade utövar sina rättigheter, att uppgifterna raderas eller återlämnas när tjänsten upphör och att du får tillgång till den information som behövs för granskning.
2. Var data lagras
Fråga var uppgifterna lagras och om de kan föras över till ett land utanför EU/EES, ett så kallat tredjeland. Det gäller även support och underleverantörer som når data därifrån. En sådan överföring kräver stöd i GDPR kapitel V, till exempel ett beslut om adekvat skyddsnivå eller standardavtalsklausuler. För certifierade amerikanska företag finns sedan juli 2023 ett sådant beslut genom EU–US Data Privacy Framework. Kontrollera i så fall att leverantören faktiskt är certifierad. Integritetsskyddsmyndigheten har också granskat hur molntjänster används, bland annat i en rapport om molntjänster i offentlig sektor som kan vara nyttig läsning även för privata företag.
3. Tillgänglighet och SLA
Ett SLA, servicenivåavtal, anger hur mycket tjänsten ska vara tillgänglig. Titta på vad som faktiskt utlovas och hur det mäts. Gäller siffran per månad eller per år? Räknas planerat underhåll som avbrott? Vad händer om leverantören inte når upp till nivån? Ofta är servicekrediter, alltså en rabatt på kommande fakturor, den enda kompensationen. En procentsats kan vara svår att relatera till verkligheten. Med Upptidsräknaren kan du räkna om ett SLA i procent till hur mycket driftstopp det tillåter per månad och år.
4. Bindningstid och uppsägning
Kontrollera hur länge avtalet löper, hur lång uppsägningstiden är och om avtalet förlängs automatiskt. Automatisk förlängning är vanligt och kan innebära att du är bunden en period till om du missar sista dagen för uppsägning. Notera datumet i kalendern redan när du tecknar avtalet.
5. Priser och prisjusteringar
Det pris som gäller i dag är inte alltid det som gäller nästa år. Se efter om leverantören får justera priset under avtalstiden, hur ofta och med hur långt varsel. Kontrollera också vad som ingår i grundpriset och vad som kostar extra, som fler användare, mer lagring eller integrationer. För att jämföra alternativ över tid kan du använda SaaS-kalkylen, som räknar fram totalkostnaden över flera år.
6. Export när avtalet upphör
En vanlig fallgrop är inlåsning: data som är lätt att lägga in men svår att få ut. Ta reda på om du kan exportera all din data, i vilket format och hur länge den finns kvar efter att avtalet upphört. Ett öppet och väldokumenterat format gör det enklare att byta system. Den som vill minska beroendet av en enskild leverantör kan också läsa om hur licenser för öppen källkod fungerar.
7. Säkerhet och incidenter
Fråga hur leverantören arbetar med informationssäkerhet och om verksamheten är certifierad, till exempel enligt ISO/IEC 27001. En certifiering är ingen garanti, men den visar att det finns ett ledningssystem som granskas. Lika viktigt är hur och hur snabbt du får besked om en säkerhetsincident som berör dina uppgifter, eftersom du som personuppgiftsansvarig kan behöva agera själv.
8. Support och ansvar
Kontrollera vilken support som ingår, när den är tillgänglig och på vilket språk. Läs också avsnittet om ansvarsbegränsning. Många avtal begränsar leverantörens ansvar kraftigt, ofta till ett belopp kopplat till avgiften, och utesluter indirekta skador. Det behöver inte vara ett skäl att avstå, men du bör veta vilken risk du själv bär.
Gör en enkel checklista
Innan du godkänner villkoren kan du gå igenom följande:
- Finns ett personuppgiftsbiträdesavtal som uppfyller artikel 28?
- Var lagras data, och sker överföring till tredjeland?
- Vad utlovar SLA:t, hur mäts det och vad blir kompensationen?
- Hur lång är bindningstiden, och förlängs avtalet automatiskt?
- Får priset ändras under avtalstiden?
- Kan all data exporteras i ett användbart format?
- Hur rapporteras säkerhetsincidenter?
- Vilken support ingår, och hur är ansvaret begränsat?
Alla punkter är inte lika viktiga för alla tjänster. Ett enkelt verktyg för projektplanering kräver mindre granskning än ett affärssystem med kund- och personaldata. Men en halvtimme med villkoren innan du skriver på är oftast väl använd tid, och vid större avtal kan det vara värt att ta hjälp av någon med juridisk kompetens.
Källor: Dataskyddsförordningen, artikel 28; Integritetsskyddsmyndigheten, rapport om användning av molntjänster inom offentlig sektor. Texten är allmän information och inte juridisk rådgivning.