Yazılım lisansı ile SaaS hizmeti günlük kullanımda benzer görünse de hukuki yapı bakımından aynı değildir. Lisans modelinde müşteriye belirli bir yazılımı kullanma yetkisi verilir. SaaS modelinde ise kullanıcı çoğunlukla sağlayıcının altyapısında çalışan yazılıma internet üzerinden erişir ve sürekli bir hizmet alır. Bu ayrım fikri mülkiyet, veri kontrolü, hizmet seviyesi, güncelleme, fesih ve sistemden çıkış hükümlerinin nasıl düzenleneceğini doğrudan etkiler.
Yazılım lisansında müşteriye ne verilir?
Bilgisayar programları telif hukuku kapsamında korunabilir. Lisans sözleşmesi, eser üzerindeki mülkiyeti otomatik olarak devretmez. Kullanıcıya sözleşmede tanımlanan sınırlar içinde kullanma yetkisi tanır. Kullanıcı sayısı, cihaz sayısı, ülke, süre, alt lisans, yedek kopya, çoğaltma ve kurulum hakkı gibi konular lisansın kapsamını belirler.
Bir şirket yazılım bedelini ödemiş olsa bile kaynak kodun, mali hakların veya yazılımı üçüncü kişilere dağıtma yetkisinin kendisine geçtiği varsayılamaz. Bu hakların ayrıca ve açık biçimde düzenlenmesi gerekir.
SaaS modelinde temel borç nedir?
SaaS hizmetinde müşteri çoğu zaman kendi cihazına kalıcı bir yazılım kopyası edinmez. Sağlayıcı uygulamayı sunucusunda işletir ve müşteriye belirli süre boyunca erişim sağlar. Bu nedenle sözleşmenin merkezine yalnız lisans değil, erişilebilirlik, bakım, güncelleme, barındırma, destek, yedekleme ve veri işleme yükümlülükleri girer.
SaaS sözleşmesinde hizmetin hangi ülkedeki veri merkezinde çalışacağı, planlı bakım süreleri, acil müdahale süresi, performans ölçümü ve yedekten dönme hedefleri yazılmadığında uyuşmazlığın teknik ölçütü belirsiz kalır.
SLA neden SaaS sözleşmesinin merkezindedir?
Hizmet Seviyesi Anlaşması yani SLA, hizmetin hangi performansla sunulacağını ölçülebilir hale getirir. Yüzde erişilebilirlik taahhüdünün yanında kesintinin nasıl ölçüleceği, planlı bakımın hesaba katılıp katılmayacağı, hangi seviyedeki arızaya kaç saatte müdahale edileceği ve ihlal halinde hizmet kredisi veya başka sonuçların doğup doğmayacağı açıklanmalıdır.
Örneğin yüzde 99,9 erişilebilirlik ifadesi tek başına yeterli değildir. Ölçüm aylık mı yıllık mı yapılacak, müşterinin internet kesintisi hariç tutulacak mı, üçüncü taraf bulut sağlayıcısı kaynaklı arıza kimin riski olacak gibi ayrıntılar sonucu değiştirir.
Veri kime aittir ve kim kontrol eder?
SaaS ilişkilerinde en kritik başlıklardan biri müşteri verisidir. Ticari verinin mülkiyeti, erişim yetkisi, yedekleme politikası ve sözleşme sonunda verinin hangi formatta teslim edileceği açıkça belirlenmelidir. Sağlayıcı, müşteri verisini hizmet amacı dışında analiz edecek veya ürün geliştirme için kullanacaksa bunun sözleşmesel ve kişisel veri boyutu ayrıca değerlendirilmelidir.
Kişisel veri işleniyorsa KVKK bakımından veri sorumlusu ve veri işleyen rolleri gerçek faaliyetlere göre belirlenir. Tarafların sözleşmede birbirine verdiği isim tek başına belirleyici değildir. Verinin amacı ve vasıtaları üzerinde kim karar veriyorsa rol analizi buna göre yapılmalıdır.
Yurt dışı bulut altyapısı neyi değiştirir?
SaaS sağlayıcısı veriyi yurt dışındaki bir veri merkezinde tutuyorsa kişisel verilerin yurt dışına aktarılmasına ilişkin KVKK kuralları gündeme gelebilir. Alt işleyenlerin kim olduğu, veri merkezi ülkeleri ve destek ekiplerinin uzaktan erişimi de bu değerlendirmeye dahil edilmelidir.
Sözleşmede yalnız ana sağlayıcıyı yazmak yeterli değildir. Bulut altyapısı, e posta servisi, hata izleme, müşteri destek sistemi ve yedekleme hizmeti gibi alt tedarikçiler de veri zincirinin parçası olabilir.
Kaynak kod ve fikri mülkiyet nasıl düzenlenmelidir?
Standart SaaS ürününde kaynak kod genellikle sağlayıcıda kalır. Müşteriye kullanım erişimi verilir. Buna karşılık müşteri için özel geliştirilen modüllerde hangi tarafın hak sahibi olduğu, mevcut kod ile proje kapsamında yaratılan yeni kodun ayrımı ve üçüncü taraf açık kaynak bileşenlerin lisans koşulları ayrıca yazılmalıdır.
Kritik sistemlerde kaynak kod escrow düzenlemesi düşünülebilir. Sağlayıcının faaliyetini durdurması veya desteği kalıcı olarak verememesi gibi önceden belirlenmiş hallerde kaynak kodun güvenilir üçüncü kişiden müşteriye verilmesi kararlaştırılabilir.
Sözleşme sona erdiğinde en büyük risk nedir?
SaaS sözleşmesinin sona ermesi yalnız hesabın kapanması değildir. Müşterinin verisini alabilmesi, başka sisteme geçebilmesi ve iş sürekliliğini koruyabilmesi gerekir. Veri dışa aktarım formatı, teslim süresi, ek ücret, geçiş desteği ve verinin sağlayıcı sistemlerinden ne zaman silineceği sözleşmede baştan belirlenmelidir.
Çıkış planı yazılmamışsa müşteri yıllarca kullandığı hizmetten ayrılırken veri bağımlılığı yaşayabilir. Bu durum teknik bir sorun olduğu kadar sözleşmesel bir risk yönetimi konusudur.
Ücret ve yenileme hükümlerinde nelere bakılmalıdır?
SaaS ücretleri kullanıcı sayısı, işlem hacmi, depolama, API çağrısı veya modül bazında değişebilir. Otomatik yenileme, fiyat artış mekanizması, kur farkı, minimum kullanıcı taahhüdü ve kullanılmayan dönemin iadesi açık olmalıdır. Tek taraflı fiyat değişikliği yetkisinin kapsamı belirsiz bırakılmamalıdır.
Ayıp ve hizmet kusuru nasıl ayrılır?
Yazılımın vaat edilen fonksiyonu yerine getirmemesi, hatalı çalışması veya güvenlik açığı içermesi sözleşmenin niteliğine göre ayıplı ifa veya hizmet kusuru tartışması doğurabilir. Ancak her hata sözleşmeye aykırılık değildir. Kabul kriterleri, hata önem seviyeleri ve garanti kapsamı önceden yazılırsa uyuşmazlığın teknik eşiği daha kolay belirlenir.
Sorumluluk sınırı her durumda geçerli midir?
Teknoloji sözleşmelerinde sağlayıcının toplam sorumluluğunu belirli bir ücret tutarıyla sınırlayan hükümler yaygındır. Ancak böyle bir hükmün kapsamı, emredici hukuk kuralları, ağır kusur, gizlilik, kişisel veri, fikri mülkiyet ihlali ve üçüncü kişi talepleri gibi alanlar bakımından ayrıca incelenmelidir. Her zararı tek cümleyle sınırlamak hukuken ve ticari olarak yeterli değildir.
Pratik sözleşme kontrol listesi
- Lisans mı erişim hizmeti mi verildiği açıkça tanımlanmalı.
- Kullanıcı, cihaz, süre ve kullanım alanı sınırları yazılmalı.
- SLA ve destek seviyeleri ölçülebilir olmalı.
- Müşteri verisinin sahipliği, yedeklenmesi ve dışa aktarımı düzenlenmeli.
- KVKK rolleri ve alt işleyenler belirlenmeli.
- Kaynak kod ve özel geliştirme hakları ayrılmalı.
- Fesih sonrası geçiş desteği ve veri silme süreci yazılmalı.
SaaS sözleşmesinde asıl risk hizmeti satın alırken değil, hizmet çalışmadığında veya sözleşmeden çıkmak istendiğinde ortaya çıkar. Bu iki senaryo sözleşmede önceden çözülmelidir.
Av. Mehmet Uğur BABUŞCU
Sık Sorulan Sorular
SaaS satın alınca yazılımın sahibi olunur mu?
Genellikle hayır. Kullanıcı hizmete erişim hakkı kazanır. Fikri hakların devri ayrıca ve açık biçimde kararlaştırılmalıdır.
SaaS sağlayıcısı müşteri verisini silebilir mi?
Saklama ve silme süreci sözleşme ve kişisel veri yükümlülüklerine göre belirlenmelidir. Sözleşme sonunda veri iadesi ve silme takvimi önceden yazılmalıdır.
Kaynak kod mutlaka müşteriye verilmeli midir?
Standart ürünlerde böyle genel bir zorunluluk yoktur. Özel geliştirme ve kritik iş sürekliliği ihtiyaçlarında kaynak kod veya escrow düzenlemesi ayrıca kararlaştırılabilir.