Vilka avtalsvillkor är viktiga vid molntjänster?

Bindningstid, uppsägning och förlängning

Internetstiftelsen: kontrollera först bindningstiden. Kontrollera också om avtalet förlängs automatiskt och vilken uppsägningstid som gäller.

Gå igenom hur uppsägning ska göras: skriftligen, via portal eller e-post. Kontrollera om leverantören måste bekräfta den, vad som händer med data och tjänster efter uppsägning samt om avgifter eller villkor gäller för förtida avslut.

Vid automatisk förlängning: notera sista uppsägningsdagen och lägg en påminnelse i god tid. Begär förlängnings- och uppsägningsvillkoren skriftligt, så att de inte bara finns i leverantörens standardvillkor, som kan ändras.

Underleverantörer och insyn i kedjan

Enligt Delphi måste kunden känna till vilka av molntjänstleverantörens underleverantörer som behandlar personuppgifter. Avtalet bör därför ge insyn i vilka underleverantörer som används, åtminstone de som hanterar personuppgifter.

Fråga efter en förteckning över underleverantörer, hur du får information om ändringar i kedjan och om du kan invända mot nya underleverantörer. Kontrollera att personuppgiftsbiträdesavtal och motsvarande villkor omfattar underleverantörerna.

Insynen avgör din kontroll: utan kännedom om vilka som behandlar data kan du inte bedöma risker, uppfylla egna skyldigheter eller planera leverantörsbyte. Se därför till att avtalet inte bara listar underleverantörer vid ingången, utan också reglerar hur du informeras löpande.

Leverantörsbyte, exit och interoperabilitet

Data Act (förordning (EU) 2023/2854) ska tillämpas från och med den 12 september 2025. Enligt Fondia handlar en central del om kundens möjlighet att byta molntjänst och samtidigt behålla en miniminivå av tjänstefunktioner, utan driftstopp. En annan del är att kunna använda flera leverantörers tjänster samtidigt utan onödiga hinder och kostnader för dataöverföring.

Förordningen kräver att molntjänstleverantörer tar in obligatoriska villkor i kundavtal. De ska säkerställa kundens rätt att byta till annan leverantör av samma tjänstetyp, följa de tekniska skyldigheter som möjliggör bytet, informera kunderna och underlätta interoperabilitet för parallell användning av molntjänster.

Leta i avtalet efter villkor om rätt att byta leverantör, exportformat, kostnader för dataöverföring och parallell användning med en annan leverantörs tjänst. Kontrollera att villkoren inte begränsar bytet mer än förordningen tillåter.

Nyckelhändelser i molntjänstreglering

Förväntat avtalsskydd enligt Data Act och svensk lag

Exitplan och intern kompetens

ECB:s vägledning om utkontraktering av molntjänster säger att enheter under tillsyn regelbundet bör kontrollera att personalen har de färdigheter som krävs för att utföra uppgifterna som anges i exitplanerna.

Avtalet bör stödja exitplanen genom att reglera leverantörens medverkan vid avslut: format för data, tid och kostnad. Även om din organisation inte står under ECB:s tillsyn är principen användbar: planen måste gå att genomföra med den egna personalens kompetens.

Gå igenom exitplanen regelbundet. Säkerställ att någon internt kan exportera data, verifiera dem och ta dem i drift hos ny leverantör eller i egen miljö. Saknas kompetensen måste den byggas upp innan den behövs.

Information och transparens från leverantören

Enligt Fondia innebär Data Act att molntjänstleverantörer ansvarar för att informera kunderna. Avtalet bör därför tydliggöra vilken information du får, i vilken form och med vilken framförhållning.

Kontrollera att avtalet beskriver hur du underrättas om ändringar i tjänsten, i avtalsvillkoren, i underleverantörskedjan och om förutsättningar för leverantörsbyte. Begär att informationen kommer i sådan tid att du kan agera, till exempel invända eller planera ett byte.

Säkerhet, servicenivåer, ansvarsbegränsning och revisionsrätt

Utöver bindningstid, underleverantörer och exit behöver avtalet tydliggöra säkerhetskraven. Gå igenom vilka tekniska och organisatoriska skyddsåtgärder som krävs, hur incidenter hanteras och hur du följer upp efterlevnaden.

Servicenivåer (SLA) bör reglera tillgänglighet, svarstider, felavhjälpning samt åtgärder eller ersättningar vid avtalsbrott. Kontrollera att nivåerna är mätbara och att uppföljning och rapportering beskrivs.

Ansvarsbegränsning och revisionsrätt är centrala. Avtalet bör visa hur ansvaret fördelas vid fel eller incidenter och ge dig rimlig rätt att granska leverantörens efterlevnad, antingen genom revision eller genom annan dokumenterad uppföljning.