Software-as-a-Service (SaaS) หรือซอฟต์แวร์ในรูปแบบบริการ ได้กลายเป็นส่วนสำคัญของการดำเนินธุรกิจสมัยใหม่ ตั้งแต่แพลตฟอร์มบริหารจัดการความสัมพันธ์กับลูกค้า (CRM) ซอฟต์แวร์บัญชี ระบบจัดเก็บข้อมูลบนคลาวด์ เครื่องมือบริหารจัดการโครงการ ไปจนถึงระบบจองบริการออนไลน์ ปัจจุบันธุรกิจต่าง ๆ พึ่งพาผู้ให้บริการซอฟต์แวร์จากภายนอกมากขึ้น เพื่อช่วยบริหารจัดการกิจกรรมประจำวันขององค์กร
แม้ว่าโซลูชัน SaaS จะมอบความยืดหยุ่น ความสามารถในการรองรับการเติบโต และความสะดวกสบาย แต่ก็อาจก่อให้เกิดความเสี่ยงทางกฎหมายที่ธุรกิจควรพิจารณาก่อนลงนามในสัญญาสมัครใช้บริการ
ในประเทศไทย สัญญา SaaS อาจเกี่ยวข้องกับกฎหมายหลายด้าน รวมถึงกฎหมายสัญญา ทรัพย์สินทางปัญญา การคุ้มครองข้อมูลส่วนบุคคล และความมั่นคงปลอดภัยทางไซเบอร์ สัญญาที่ร่างไว้อย่างไม่รอบคอบอาจทำให้ธุรกิจต้องเผชิญกับค่าใช้จ่ายที่ไม่คาดคิด การหยุดชะงักของบริการ ข้อพิพาทด้านทรัพย์สินทางปัญญา หรือปัญหาในการเข้าถึงข้อมูลสำคัญทางธุรกิจ
บทความนี้จะกล่าวถึงข้อสัญญาทางกฎหมายที่สำคัญ 7 ประการ ซึ่งธุรกิจที่ดำเนินกิจการในประเทศไทยควรตรวจสอบก่อนเข้าทำสัญญา SaaS
ขอบเขตการให้บริการและเงื่อนไขการสมัครใช้บริการ
ขั้นตอนแรกคือการทำความเข้าใจให้ชัดเจนว่าผู้ให้บริการ SaaS ตกลงที่จะให้บริการอะไรแก่ธุรกิจบ้าง
สัญญาบางฉบับอาจระบุรายละเอียดการให้บริการไว้อย่างกว้าง ๆ โดยไม่ได้กำหนดคุณสมบัติของซอฟต์แวร์ ข้อจำกัดในการสมัครใช้บริการ หรือบริการสนับสนุนทางเทคนิคที่รวมอยู่ในแพ็กเกจไว้อย่างชัดเจน
ธุรกิจควรตรวจสอบให้แน่ใจว่าสัญญาระบุรายละเอียดดังต่อไปนี้:
- บริการซอฟต์แวร์และฟังก์ชันการทำงานที่รวมอยู่ในการสมัครใช้บริการ
- จำนวนผู้ใช้งานที่ได้รับอนุญาตและอุปกรณ์ที่สามารถใช้งานได้
- ค่าบริการสมัครสมาชิกและกำหนดการชำระเงิน
- ค่าใช้จ่ายเพิ่มเติมสำหรับการอัปเกรด พื้นที่จัดเก็บข้อมูล หรือฟังก์ชันพิเศษ
- ข้อจำกัดในการให้บริการและข้อกำหนดทางเทคนิค
- ความรับผิดชอบของผู้ให้บริการในการบำรุงรักษาและอัปเดตซอฟต์แวร์
การระบุรายละเอียดการให้บริการอย่างชัดเจนจะช่วยป้องกันข้อขัดแย้งเกี่ยวกับขอบเขตหน้าที่ที่ผู้ให้บริการต้องปฏิบัติตามสัญญา
สิทธิในทรัพย์สินทางปัญญาและความเป็นเจ้าของซอฟต์แวร์
ทรัพย์สินทางปัญญาเป็นหนึ่งในประเด็นที่สำคัญที่สุดที่ต้องพิจารณาในสัญญาซอฟต์แวร์ทุกประเภท
ภายใต้พระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 ของประเทศไทย โปรแกรมคอมพิวเตอร์ได้รับความคุ้มครองตามกฎหมายลิขสิทธิ์ ดังนั้น ธุรกิจจึงควรแยกความแตกต่างระหว่างการได้รับอนุญาตให้ใช้ซอฟต์แวร์กับการได้รับกรรมสิทธิ์ในตัวซอฟต์แวร์นั้น
สัญญา SaaS ส่วนใหญ่มักให้สิทธิแก่ลูกค้าในการใช้แพลตฟอร์มของผู้ให้บริการภายใต้ใบอนุญาตแบบจำกัดหรือสิทธิการเข้าถึงตามระยะเวลาการสมัครสมาชิก ซึ่งไม่ได้หมายความว่ากรรมสิทธิ์ในซอฟต์แวร์หรือซอร์สโค้ดจะถูกโอนไปยังลูกค้าโดยอัตโนมัติ
ธุรกิจควรตรวจสอบให้ชัดเจนในประเด็นต่อไปนี้:
- ใครเป็นเจ้าของซอฟต์แวร์พื้นฐานและซอร์สโค้ด
- การสมัครใช้บริการให้สิทธิการใช้งานแบบผูกขาดหรือไม่ผูกขาด
- ใครเป็นเจ้าของฟังก์ชันที่พัฒนาขึ้นเป็นพิเศษและระบบเชื่อมต่อที่จัดทำขึ้นตามความต้องการของลูกค้า
- ลูกค้าสามารถส่งออกหรือนำเนื้อหาและข้อมูลของตนเองกลับไปใช้ได้หรือไม่
- สิทธิในทรัพย์สินทางปัญญาจะได้รับการจัดการอย่างไรเมื่อสัญญาสิ้นสุดลง
การพัฒนาซอฟต์แวร์ตามความต้องการเฉพาะของลูกค้าควรได้รับการพิจารณาเป็นพิเศษ ภายใต้มาตรา 9 และมาตรา 10 ของพระราชบัญญัติลิขสิทธิ์ของประเทศไทย มีหลักเกณฑ์เกี่ยวกับการเป็นเจ้าของลิขสิทธิ์ในงานที่สร้างขึ้นในระหว่างการจ้างงานและงานที่สร้างขึ้นตามสัญญาจ้างทำของแตกต่างกัน ดังนั้น ควรกำหนดเรื่องความเป็นเจ้าของและสิทธิการใช้งานไว้ในสัญญาเป็นลายลักษณ์อักษรอย่างชัดเจน
การคุ้มครองข้อมูลส่วนบุคคลและหน้าที่ในการรักษาความลับ
แพลตฟอร์ม SaaS มักประมวลผลข้อมูลที่มีความสำคัญทางธุรกิจและข้อมูลส่วนบุคคลแทนลูกค้าหรือองค์กรที่ใช้บริการ
สำหรับธุรกิจที่ดำเนินกิจการในประเทศไทย พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 หรือที่เรียกกันทั่วไปว่า PDPA อาจมีผลบังคับใช้ ทั้งนี้ขึ้นอยู่กับลักษณะของกิจกรรมการประมวลผลข้อมูล
เมื่อผู้ให้บริการ SaaS ประมวลผลข้อมูลส่วนบุคคลแทนลูกค้า ทั้งสองฝ่ายควรประเมินบทบาทและหน้าที่ของตนภายใต้ PDPA อย่างรอบคอบ
สัญญาควรระบุรายละเอียดเกี่ยวกับประเด็นต่อไปนี้:
- ประเภทของข้อมูลส่วนบุคคลที่ได้รับการประมวลผลผ่านแพลตฟอร์ม
- วัตถุประสงค์และขอบเขตของการประมวลผลข้อมูลที่ได้รับอนุญาต
- หน้าที่และความรับผิดชอบของลูกค้าและผู้ให้บริการ
- หน้าที่ในการรักษาความลับของพนักงานและผู้รับจ้างช่วง
- มาตรการรักษาความมั่นคงปลอดภัยเพื่อปกป้องข้อมูลที่จัดเก็บไว้
- ขั้นตอนการจัดการเหตุการณ์ที่เกี่ยวข้องกับข้อมูลส่วนบุคคล
- การลบหรือส่งคืนข้อมูลเมื่อสัญญาสิ้นสุดลง
ในกรณีที่เหมาะสม ธุรกิจควรพิจารณาด้วยว่าจำเป็นต้องจัดทำข้อตกลงการประมวลผลข้อมูลส่วนบุคคลแยกต่างหาก (Data Processing Agreement หรือ DPA) หรือไม่
การกำหนดกรอบสัญญาที่ชัดเจนจะช่วยให้ธุรกิจเข้าใจวิธีการจัดการข้อมูลของตน และลดความไม่แน่นอนเมื่อต้องทำงานร่วมกับผู้ให้บริการเทคโนโลยีภายนอก
ข้อตกลงระดับการให้บริการ (SLA) และความพร้อมใช้งานของระบบ
เมื่อธุรกิจต้องพึ่งพาซอฟต์แวร์บนคลาวด์ในการดำเนินงานประจำวัน ความพร้อมใช้งานของบริการจึงกลายเป็นประเด็นสำคัญทางธุรกิจ
การหยุดทำงานของระบบอาจส่งผลกระทบต่อการสื่อสารกับลูกค้า การทำธุรกรรมออนไลน์ การดำเนินงานภายในองค์กร และกิจกรรมที่สร้างรายได้
ข้อตกลงระดับการให้บริการ (Service Level Agreement หรือ SLA) ควรกำหนดมาตรฐานการให้บริการที่สามารถวัดผลได้ ซึ่งรวมถึง:
- ระดับความพร้อมใช้งานของระบบที่รับประกันหรือกำหนดเป็นเป้าหมาย
- ช่วงเวลาการบำรุงรักษาระบบตามกำหนดการ
- ช่วงเวลาให้บริการสนับสนุนทางเทคนิคและระยะเวลาการตอบสนอง
- ขั้นตอนการแจ้งเหตุขัดข้องหรือการหยุดชะงักของบริการ
- เป้าหมายระยะเวลาในการแก้ไขปัญหา
- เครดิตค่าบริการหรือมาตรการเยียวยาตามสัญญาอื่น ๆ ในกรณีที่เกี่ยวข้อง
ธุรกิจควรตรวจสอบด้วยว่าเครดิตค่าบริการเป็นเพียงวิธีเยียวยาตามสัญญาเพียงอย่างเดียวในกรณีที่บริการหยุดชะงักหรือไม่ หรือยังสามารถใช้สิทธิเรียกร้องการเยียวยาเพิ่มเติมได้ในสถานการณ์ที่กำหนดไว้
ข้อกำหนดเหล่านี้ช่วยสร้างความรับผิดชอบที่ชัดเจนและเป็นกรอบในการจัดการกับปัญหาการหยุดชะงักของการดำเนินงาน
การจำกัดความรับผิดและการชดใช้ค่าเสียหาย
ข้อกำหนดเกี่ยวกับความรับผิดจะกำหนดวิธีการแบ่งสรรความรับผิดชอบทางการเงินเมื่อเกิดปัญหาหรือความเสียหายขึ้น
สัญญา SaaS บางฉบับอาจกำหนดข้อจำกัดความรับผิดไว้อย่างเข้มงวด ซึ่งอาจจำกัดสิทธิของลูกค้าในการเรียกร้องค่าชดเชยอย่างมีนัยสำคัญเมื่อเกิดเหตุการณ์ร้ายแรง
ก่อนยอมรับข้อกำหนดเหล่านี้ ธุรกิจควรตรวจสอบประเด็นต่อไปนี้:
- วงเงินความรับผิดสูงสุดและวิธีการคำนวณ
- ข้อยกเว้นความรับผิดสำหรับความเสียหายทางอ้อมหรือความเสียหายสืบเนื่อง
- ความรับผิดชอบต่อการเปิดเผยข้อมูลลับโดยไม่ได้รับอนุญาต
- ความรับผิดที่เกิดจากการละเมิดสิทธิในทรัพย์สินทางปัญญา
- ความรับผิดชอบต่อเหตุการณ์ด้านความปลอดภัยและความล้มเหลวของบริการ
- หน้าที่ในการชดใช้ค่าเสียหายระหว่างคู่สัญญา
ธุรกิจควรให้ความสำคัญเป็นพิเศษกับการพิจารณาว่าวงเงินจำกัดความรับผิดมีความเหมาะสมกับความเสี่ยงทางการเงินและการดำเนินงานที่เกี่ยวข้องกับบริการหรือไม่
ตัวอย่างเช่น บริษัทที่ใช้แพลตฟอร์ม SaaS เพื่อบริหารจัดการข้อมูลสำคัญของลูกค้า อาจจำเป็นต้องได้รับความคุ้มครองตามสัญญาที่เข้มงวดมากกว่าธุรกิจที่ใช้แอปพลิเคชันทั่วไปสำหรับจัดตารางงานภายในองค์กร
ผู้รับจ้างช่วง บริการจากบุคคลที่สาม และการโอนข้อมูล
ผู้ให้บริการ SaaS จำนวนมากพึ่งพาโครงสร้างพื้นฐานจากภายนอก บริษัทให้บริการโฮสติ้งบนคลาวด์ ผู้ให้บริการประมวลผลการชำระเงิน และพันธมิตรด้านเทคโนโลยีรายอื่น ๆ
ด้วยเหตุนี้ ข้อมูลของลูกค้าอาจถูกประมวลผลหรือจัดเก็บโดยองค์กรหลายแห่ง แทนที่จะอยู่ภายใต้การดูแลของผู้ให้บริการซอฟต์แวร์หลักเพียงรายเดียว
ธุรกิจควรทำความเข้าใจว่าบุคคลที่สามรายใดบ้างที่อาจเข้าถึงข้อมูลของตน และมีมาตรการคุ้มครองตามสัญญาอย่างไรสำหรับความสัมพันธ์ดังกล่าว
ประเด็นสำคัญที่ควรตรวจสอบ ได้แก่:
- ผู้ให้บริการสามารถแต่งตั้งผู้รับจ้างช่วงได้โดยไม่ต้องได้รับอนุมัติล่วงหน้าหรือไม่
- ลูกค้าจะได้รับแจ้งอย่างไรเมื่อมีการเปลี่ยนแปลงผู้รับจ้างช่วงที่มีนัยสำคัญ
- บุคคลที่สามมีหน้าที่รักษาความลับและปฏิบัติตามมาตรการรักษาความปลอดภัยอย่างไร
- ข้อมูลทางธุรกิจและข้อมูลส่วนบุคคลถูกจัดเก็บไว้ที่ใด
- ข้อมูลอาจถูกโอนไปยังต่างประเทศหรือไม่
- การโอนข้อมูลไปยังต่างประเทศที่เกี่ยวข้องต้องมีมาตรการคุ้มครองอย่างไรภายใต้ PDPA
การโอนข้อมูลไปยังต่างประเทศเป็นประเด็นที่ต้องให้ความสำคัญเป็นพิเศษเมื่อผู้ให้บริการ SaaS ใช้โครงสร้างพื้นฐานในต่างประเทศ ธุรกิจควรประเมินข้อกำหนดที่เกี่ยวข้องภายใต้ PDPA แทนการสันนิษฐานว่าการจัดเก็บข้อมูลบนระบบโฮสติ้งระหว่างประเทศตามมาตรฐานของผู้ให้บริการจะเป็นไปตามกฎหมายไทยโดยอัตโนมัติ
การสิ้นสุดสัญญา การเคลื่อนย้ายข้อมูล และสิทธิในการยุติการใช้บริการ
หนึ่งในประเด็นที่มักถูกมองข้ามมากที่สุดในสัญญา SaaS คือสิ่งที่จะเกิดขึ้นเมื่อลูกค้าต้องการยุติการใช้บริการ
เมื่อเวลาผ่านไป ธุรกิจอาจพึ่งพาแพลตฟอร์มใดแพลตฟอร์มหนึ่งมากขึ้น จนทำให้การย้ายไปใช้บริการของผู้ให้บริการรายอื่นเป็นเรื่องยากหรือมีค่าใช้จ่ายสูง
สัญญาที่จัดทำไว้อย่างเหมาะสมควรระบุรายละเอียดดังต่อไปนี้:
- ระยะเวลาของสัญญาและเงื่อนไขการต่ออายุ
- ระยะเวลาการแจ้งล่วงหน้าก่อนการยกเลิกสัญญา
- เหตุแห่งการบอกเลิกสัญญาในกรณีที่มีการผิดสัญญา
- สิทธิในการเข้าถึงข้อมูลในช่วงระยะเวลาเปลี่ยนผ่าน
- รูปแบบไฟล์ที่สามารถส่งออกข้อมูลได้และค่าใช้จ่ายที่เกี่ยวข้อง
- ขั้นตอนการส่งคืนหรือลบข้อมูลของลูกค้า
- ความช่วยเหลือในการย้ายข้อมูลไปยังผู้ให้บริการรายใหม่
ธุรกิจควรตรวจสอบด้วยว่าผู้ให้บริการสามารถระงับการเข้าถึงบริการได้ทันทีในบางกรณีหรือไม่ และลูกค้าจะได้รับการแจ้งเตือนล่วงหน้าอย่างเพียงพอ รวมถึงมีโอกาสแก้ไขปัญหาก่อนถูกระงับบริการหรือไม่
ข้อกำหนดเกี่ยวกับการยุติการใช้บริการที่มีประสิทธิภาพจะช่วยให้ธุรกิจสามารถดำเนินงานได้อย่างต่อเนื่อง และหลีกเลี่ยงการพึ่งพาผู้ให้บริการเทคโนโลยีรายใดรายหนึ่งมากเกินความจำเป็น
เหตุใดธุรกิจในประเทศไทยจึงควรตรวจสอบสัญญา SaaS อย่างรอบคอบ
การใช้แพลตฟอร์ม SaaS ไม่ใช่เพียงการตัดสินใจด้านเทคโนโลยีเท่านั้น แต่ยังเป็นการผูกพันตามสัญญาและกฎหมาย ซึ่งอาจส่งผลกระทบต่อการดำเนินธุรกิจ สิทธิในทรัพย์สินทางปัญญา ข้อมูลของลูกค้า และความเสี่ยงทางการเงินขององค์กร
สำหรับบริษัทที่ดำเนินธุรกิจในประเทศไทย การตรวจสอบสัญญาเหล่านี้ก่อนลงนามจะช่วยให้สามารถระบุปัญหาที่อาจเกิดขึ้น และทำให้มั่นใจได้ว่าข้อผูกพันตามสัญญามีความเหมาะสมกับลักษณะการดำเนินงานขององค์กร
การตรวจสอบทางกฎหมายควรพิจารณาถึงลักษณะเฉพาะของบริการ หน้าที่และความรับผิดชอบของคู่สัญญาแต่ละฝ่าย กฎหมายไทยที่เกี่ยวข้อง ตลอดจนประเด็นที่เกี่ยวข้องกับการดำเนินงานข้ามพรมแดน (Cross-border) หากมี
บทสรุป: ปกป้องธุรกิจของคุณก่อนลงนามในสัญญา SaaS
สัญญา SaaS ช่วยให้ธุรกิจสามารถเข้าถึงเครื่องมือดิจิทัลที่มีประโยชน์ได้อย่างสะดวก อย่างไรก็ตาม ความสะดวกสบายของบริการบนคลาวด์ไม่ควรเข้ามาแทนที่การตรวจสอบสัญญาอย่างรอบคอบ
การตรวจสอบขอบเขตการให้บริการ ความเป็นเจ้าของทรัพย์สินทางปัญญา การคุ้มครองข้อมูลส่วนบุคคล ความพร้อมใช้งานของบริการ ความรับผิด การใช้ผู้รับจ้างช่วง และสิทธิในการยุติสัญญา จะช่วยให้ธุรกิจเข้าใจสถานะทางกฎหมายของตนเองได้ดียิ่งขึ้นและลดความเสี่ยงที่สามารถหลีกเลี่ยงได้
ก่อนเข้าทำสัญญา SaaS ฉบับใหม่หรือต่ออายุการสมัครใช้บริการที่มีอยู่ ธุรกิจควรตรวจสอบให้แน่ใจว่าสัญญาสอดคล้องกับความต้องการในการดำเนินงานและมีมาตรการคุ้มครองทางกฎหมายที่เหมาะสม
ต้องการความช่วยเหลือทางกฎหมายเกี่ยวกับสัญญา SaaS ในประเทศไทยหรือไม่? PimLegal ให้คำปรึกษาด้านกฎหมายดิจิทัล สัญญาซอฟต์แวร์ ทรัพย์สินทางปัญญา การคุ้มครองข้อมูลส่วนบุคคล และความเสี่ยงทางกฎหมายที่เกี่ยวข้องกับธุรกิจออนไลน์ ติดต่อทีมงานของเราเพื่อพูดคุยเกี่ยวกับแนวทางในการช่วยปกป้องธุรกิจของคุณในยุคดิจิทัล