הסכמי SaaS: מה לבדוק לפני שחותמים

למה הסכם SaaS אינו רישיון תוכנה

עמוד השירות: עורך דין מסחר דיגיטלי ו-AI: תקנון, פרטיות ודיוור.

ברישיון תוכנה קלאסי מקבלים עותק ומפעילים אותו על חומרה שבשליטתכם. בשירות תוכנה כשירות — SaaS — מקבלים הרשאת גישה בלבד. התוכנה, השרתים והנתונים נמצאים אצל הספק, והיכולת שלכם להמשיך לעבוד תלויה בו. מכאן נגזרות כל השאלות המשפטיות: מה קורה כשהשירות נופל, כשהמחיר עולה, כשהספק נמכר או נסגר, וכשמישהו נכנס למאגר בלי הרשאה.

הסכם SaaS מורכב כמעט תמיד משכבות: מסמך הזמנה או הצעת מחיר, תנאי שימוש כלליים שמפורסמים באתר הספק, מסמך רמת שירות, ונספח עיבוד מידע. הרבה מחלוקות נולדות מהיררכיה לא ברורה בין השכבות. סעיף סדר עדיפויות מפורש — איזה מסמך גובר על איזה — הוא מהסעיפים הזולים והמועילים ביותר בהסכם.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

תנאי שימוש שנחתמים בקליק — ומה מהם עומד בישראל

תנאי שימוש סטנדרטיים שמפורסמים באתר ומאושרים בסימון תיבה הם חוזה אחיד: נוסח שתנאיו נקבעו מראש בידי צד אחד כדי לשמש חוזים רבים מול לקוחות בלתי מסוימים. לכן חלות עליהם ההוראות של חוק החוזים האחידים, התשמ״ג-1982, לצד דיני החוזים הכלליים שבחוק החוזים (חלק כללי), התשל״ג-1973.

סעיף 5 לחוק קובע שני תנאים בטלים: תנאי השולל או מגביל את זכות הלקוח לפנות לערכאות, ותנאי הפוטר את הספק — במלואו או בחלקו — מאחריות לנזק גוף או למעשה זדון. סעיף 4 מוסיף חזקות קיפוח, וכמה מהן נוגעות ישירות לנוסחים המקובלים בענף:

• פסקה (1) — פטור מאחריות שהדין מטיל, או סיוג בלתי סביר של האחריות החוזית. תקרת אחריות בגובה דמי המנוי לחודש אחד, כשהנזק הצפוי מהשבתה גדול בסדרי גודל, היא בדיוק הסוג שנבחן כאן.
• פסקה (2) — זכות בלתי סבירה של הספק לבטל, להשעות או לדחות את ביצוע החוזה, או לשנות חיובים מהותיים. ״הספק רשאי להפסיק פיצ׳ר בכל עת״ נכלל.
• פסקה (4) — זכות לקבוע או לשנות מחיר לאחר כריתת החוזה, על דעת הספק בלבד.
• פסקה (6) — שלילה או הגבלה של זכות או תרופה שעומדות ללקוח לפי דין, או התנייתן בהודעה בצורה או בזמן בלתי סבירים.
• פסקאות (8)–(10) — סעיף בוררות, ובפרט בוררות שבה לספק השפעה גדולה יותר על זהות הבורר, מקומה וסדרי הדין.
• פסקה (9) — התניה על הוראות הדין בדבר מקום שיפוט, או זכות בלעדית של הספק לבחור את מקום השיפוט.

המסקנה המעשית ללקוח: סעיף שנראה חסין אינו בהכרח חסין. המסקנה לספק: תקרת אחריות סבירה, שקשורה לתמורה שהתקבלה בפועל בתקופה מוגדרת ומחריגה במפורש נזק גוף וזדון, שורדת טוב יותר מפטור גורף.

רמת השירות: זמינות, זיכוי ותרופות

מסמך רמת השירות מגדיר את זמינות השירות באחוזים. ההפרש קטן במספרים וגדול בפועל: 99.9% מתירים כשמונה שעות וארבעים ושש דקות השבתה בשנה; 99.99% מתירים כחמישים ושתיים דקות. לפני שמתווכחים על הספרה, כדאי לבדוק שלושה דברים אחרים:

• איך נמדדת ההשבתה — מי מודד, באיזה חלון זמן, והאם חלון תחזוקה מתוכנן יוצא מהחישוב.
• מה הסעד — ברוב ההסכמים הסעד היחיד הוא זיכוי באחוזים מדמי המנוי, ולעתים מוגדר כ״סעד בלעדי״. זיכוי אינו פיצוי, ו״סעד בלעדי״ הוא בדיוק תנאי שנבחן לפי סעיף 4(6) לחוק החוזים האחידים.
• מה קורה בהפרה נמשכת — לקוח שמסתמך על השירות זקוק לזכות יציאה מוקדמת ולהחזר יחסי אם הזמינות יורדת מתחת לסף לאורך כמה חודשים רצופים, ולא רק לזיכוי.

בעלות על הנתונים, אימון מודלים וייצוא

הכלל צריך להיכתב במפורש: הנתונים שהלקוח מזין הם של הלקוח, והספק מקבל בהם רישיון מוגבל למטרת אספקת השירות בלבד. שלוש נקודות שדורשות ניסוח נפרד:

• שימוש משני — האם הספק רשאי להשתמש בנתונים לשיפור המוצר או לאימון מודלים? אם כן, באיזה היקף, והאם לאחר הסרת פרטים מזהים. ברירת מחדל שקטה לטובת הספק היא סיכון אמיתי, במיוחד כשבנתונים יש מידע של לקוחות הלקוח.
• ייצוא — לא ״אפשרות ייצוא״ בכללי, אלא פורמט, היקף (כולל קבצים מצורפים והיסטוריית פעילות) וחלון זמן שבו הייצוא אפשרי לאחר סיום ההתקשרות.
• מחיקה — מתי נמחקים הנתונים מהסביבה החיה ומהגיבויים, ומי מאשר בכתב שהמחיקה בוצעה.

אבטחת מידע ומיקור חוץ: מה הדין הישראלי דורש בהסכם

כאן נמצא החלק שהכי הרבה הסכמי SaaS בישראל מדלגים עליו. לפי חוק הגנת הפרטיות, התשמ״א-1981, כנוסחו לאחר תיקון מס׳ 13 שנכנס לתוקף ב-14 באוגוסט 2025, בעל שליטה במאגר הוא מי שקובע את מטרות עיבוד המידע, ומחזיק הוא גורם חיצוני שמעבד מידע בעבורו. הלקוח הוא בדרך כלל בעל השליטה; ספק ה-SaaS הוא המחזיק.

תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 מטילות בתקנה 15 חובה קונקרטית על כל התקשרות עם גורם חיצוני הכרוכה במתן גישה למאגר: לבחון מראש את סיכוני אבטחת המידע, ולקבוע במפורש בהסכם את המידע שהגורם החיצוני רשאי לעבד ומטרות השימוש המותרות; אילו מערכות מותר לו לגשת אליהן; סוג העיבוד או הפעולה; משך ההתקשרות, אופן השבת המידע בסיומה, השמדתו אצל הגורם החיצוני ודיווח על כך; אופן יישום חובות אבטחת המידע שהמחזיק חב בהן; חובה להחתים את בעלי ההרשאות על התחייבות לסודיות; חובת הגורם החיצוני לכלול את אותם נושאים בהסכם עם ספק משנה שאושר; וחובת דיווח שנתית לבעל המאגר, ודיווח מיידי במקרה של אירוע אבטחה. בנוסף נדרש לפרט את הדברים בנוהל האבטחה ולנקוט אמצעי בקרה על עמידת הספק בהסכם. ההצלבה בין נספח עיבוד המידע לבין ההסכם המסחרי היא עיקר העבודה בליווי משפטי למסחר דיגיטלי ובינה מלאכותית.

במילים אחרות: בישראל אין צורך להסתמך על תבנית זרה כדי לדעת מה חייב להופיע בנספח עיבוד המידע — התקנה מונה את הרשימה. הסכם SaaS שמפנה רק ל״מדיניות הפרטיות של הספק״ אינו ממלא אחריה.

לעניין תקלות אבטחה, תקנה 11 מחייבת תיעוד של כל אירוע שמעלה חשש לפגיעה בשלמות המידע או לשימוש בלא הרשאה, וקביעת הוראות טיפול בנוהל האבטחה. באירוע אבטחה חמור — כהגדרתו בתקנות לפי רמת האבטחה של המאגר — קמה חובת הודעה מיידית לרשות ודיווח על הצעדים שננקטו. לכן ההסכם צריך לקבוע לוח זמנים מחייב שבו הספק מודיע ללקוח, ולא ״בהקדם האפשרי״.

שכבה נוספת: סעיף 17ב1 לחוק מחייב מינוי ממונה על הגנת הפרטיות גם אצל בעל שליטה או מחזיק שעיסוקיו העיקריים כרוכים בפעולות עיבוד המחייבות ניטור שוטף ושיטתי של בני אדם בהיקף ניכר, או בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. ספקי SaaS רבים נכנסים להגדרה — ושאלת המינוי היא שאלת בדיקת נאותות לגיטימית מול ספק.

תנאי יציאה והמשכיות עסקית

היציאה מספק SaaS היא הרגע שבו כל מה שלא נכתב מתברר. ארבעה סעיפים שמחזיקים מים:

• הודעה מוקדמת סימטרית — אם הלקוח חייב להודיע 90 יום מראש, גם הספק צריך.
• תקופת סיוע במעבר — פרק זמן מוגדר שבו החשבון נשאר פעיל לקריאה ולייצוא, גם לאחר סיום ההתקשרות, ותמורה מוסכמת מראש לשירותי מעבר.
• המשכיות במקרה של חדלות פירעון או שינוי שליטה — הפקדת קוד ונתונים אצל נאמן, או לכל הפחות התחייבות לייצוא מיידי ומלא. הסדר כזה שווה את עלותו רק בשירותים שקריטיים לפעילות.
• זכויות בהתאמות — פיתוחים ייעודיים שהוזמנו ומומנו בידי הלקוח: למי הם שייכים, ומה קורה בהם ביציאה.

תמחור, היקף שימוש וחידוש אוטומטי

שלוש מחלוקות חוזרות בהסכמי SaaS נולדות מהגדרות ולא מסכומים. הראשונה היא יחידת החיוב: מנוי לפי מושב (מספר משתמשים מורשים) מול חיוב לפי שימוש בפועל. בשני המודלים נדרשת הגדרה מדויקת של ״משתמש״ ושל ״שימוש״ — האם משתמש שהושבת באמצע החודש נספר, והאם קריאות אוטומטיות נספרות כשימוש.

השנייה היא חריגה מהיקף מוסכם: מה קורה כשעוברים את המכסה — חיוב אוטומטי לפי מחירון, חסימה, או התראה והזדמנות להסדיר. השלישית היא חידוש אוטומטי: תקופת ההתחייבות, המועד האחרון להודעת אי־חידוש, והאם המחיר בתקופת החידוש נשאר זהה. הסכם שקובע חידוש אוטומטי לשנה נוספת עם חלון ביטול של שבוע אחד הוא הסכם שכמעט תמיד מתחדש.

לצד אלה, הספק זקוק למדיניות שימוש הוגן שמגדירה מה אסור לעשות בשירות, לאיסור הנדסה לאחור ולהבהרה שהקניין הרוחני בתוכנה נשאר שלו — בעוד הלקוח מקבל רישיון שימוש מוגבל ובלתי בלעדי לתקופת ההסכם.

שינויים חד-צדדיים, מחיר ודין החל

סעיף ״הספק רשאי לעדכן את התנאים מעת לעת, והמשך השימוש מהווה הסכמה״ הוא סטנדרט בענף — ובחוזה אחיד הוא נבחן לפי חזקות הקיפוח שבסעיף 4. ניסוח מאוזן קובע הודעה מראש בפרק זמן מוגדר, מבחין בין שינוי טכני לשינוי מהותי, ומעניק ללקוח זכות סיום בלא קנס אם השינוי מהותי. לעניין מחיר — עדיף מנגנון ידוע מראש (למשל תקרת עדכון שנתית) על פני שיקול דעת בלתי מוגבל.

בהסכם מול ספק זר, סעיף הדין והשיפוט קובע כמה יעלה להתדיין. שיפוט זר הופך תביעה בסכום בינוני לבלתי כלכלית, ולכן זהו סעיף מסחרי ולא פורמלי. אם אי־אפשר להשיג שיפוט ישראלי, בוררות במוסד מוכר, בשפה ובמקום שסוכמו מראש, עדיפה על התדיינות במדינה רחוקה — ובלבד שהלקוח אינו לקוח בחוזה אחיד שבו סעיף הבוררות עצמו נכנס לחזקת הקיפוח.

שאלות ותשובות

מה ההבדל בין תנאי שימוש לבין הסכם SaaS?

תנאי שימוש הם מסמך אחיד שהספק מפרסם ומעדכן, ונועד בעיקר להגן עליו. הסכם SaaS ראוי לשמו מוסיף את מה שהלקוח צריך: התחייבות לרמת שירות עם סעד ממשי, בעלות מפורשת על הנתונים, נספח עיבוד מידע שעומד בתקנה 15 לתקנות אבטחת המידע, ותנאי יציאה. כשמסמכי הספק סותרים את מסמך ההזמנה — סעיף סדר העדיפויות הוא שמכריע.

האם נדרש נספח עיבוד מידע בהסכם עם ספק ישראלי?

כן, כשההתקשרות כרוכה במתן גישה למאגר מידע והספק אינו יחיד (תקנה 15(ג)). תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 מחייבת לקבוע במפורש בהסכם את היקף העיבוד, המערכות, סוג הפעולות, משך ההתקשרות, השבת המידע והשמדתו, יישום חובות האבטחה, התחייבות לסודיות, כללים לספק משנה וחובות דיווח. זה נכון גם בלי זיקה לאירופה.

תקרת אחריות בגובה דמי המנוי — האם היא תקפה?

לא אוטומטית. בחוזה אחיד, פטור מאחריות שהדין מטיל או סיוג בלתי סביר של האחריות החוזית נכנס לחזקת הקיפוח שבסעיף 4(1), ופטור מאחריות לנזק גוף או למעשה זדון בטל לפי סעיף 5(ב). תקרה מידתית, שמחריגה במפורש נזק גוף, זדון והפרת סודיות, עמידה הרבה יותר מפטור גורף.

מה לבדוק אצל ספק לפני חתימה?

היכן מאוחסנים הנתונים ואילו ספקי משנה מעורבים; אילו תקני אבטחה וביקורות חיצוניות יש לספק; האם מונה אצלו ממונה על הגנת הפרטיות לפי סעיף 17ב1 לחוק הגנת הפרטיות; מה לוח הזמנים לדיווח על אירוע אבטחה; ומה בדיוק אפשר לייצא ביום שאחרי הסיום.