Il Software as a Service (SaaS) regge ormai gran parte dei processi aziendali. CRM, piattaforme di e-commerce, gestione documentale e analisi dei dati si usano come servizio via internet, senza installare nulla in locale.

Il vantaggio è evidente, e cambia anche le regole del contratto. Il cliente paga l’accesso a un servizio che gira sull’infrastruttura del fornitore, invece di comprare una copia del software. Disponibilità, dati, sicurezza, aggiornamenti e uscita dal servizio diventano le clausole su cui si gioca il rapporto.

Molte aziende usano ancora modelli generici, e il risultato sono liti su fermi del servizio, dati bloccati e modifiche unilaterali.

Dal 12 settembre 2025 c’è un motivo in più per rivedere quei modelli. Il Data Act, il Regolamento UE 2023/2854, detta per legge alcune clausole dei contratti SaaS su recesso, cambio di fornitore ed export dei dati. Un contratto scritto prima di quella data con ogni probabilità non le contiene.

1. Il SaaS e le regole che si applicano

1.1 Cos’è il SaaS per il diritto

Nel SaaS il cliente non riceve una copia del programma. Accede via internet a un’applicazione ospitata sui server del fornitore, che ne cura manutenzione, aggiornamenti e sicurezza. Paga di solito un canone periodico, per un diritto d’uso temporaneo e condizionato.

Come qualificare questo contratto (servizio, appalto di servizi, contratto atipico) è discusso tra gli studiosi, e la legge non lo dice. Per lo Studio la lettura più utile è quella del servizio continuativo, perché mette al centro ciò su cui il cliente fa affidamento, cioè la disponibilità e la qualità della prestazione nel tempo.

1.2 Il contratto concluso online

La maggior parte dei contratti SaaS si conclude con un clic su “accetto”. Per i contratti conclusi per via elettronica valgono gli obblighi del D.Lgs. 70/2003. Il fornitore deve dire chi è, spiegare come si conclude il contratto, permettere di salvare e riprodurre il testo e confermare l’ordine senza ingiustificato ritardo. Tra imprese, alcuni di questi obblighi si possono derogare per accordo.

Le clausole vessatorie seguono due regimi diversi, e confonderli è un errore frequente.

• Tra imprese – nelle condizioni generali predisposte dal fornitore, clausole come le limitazioni di responsabilità o il tacito rinnovo non hanno effetto se non sono approvate specificamente per iscritto (artt. 1341, comma 2, e 1342 del Codice civile).
• Con i consumatori – la doppia firma non basta. Le clausole vessatorie sono nulle (art. 36, comma 1, del Codice del consumo), salvo che siano state oggetto di una vera trattativa individuale, che spetta al fornitore dimostrare (art. 34, commi 4 e 5). Alcune restano nulle anche se negoziate (art. 36, comma 2).

Se un semplice clic soddisfi la specifica approvazione per iscritto è una questione controversa. La scelta prudente è un’accettazione separata e tracciata delle singole clausole, o la firma elettronica per i contratti di valore.

1.3 Le norme da tenere presenti

Oltre al D.Lgs. 70/2003, un contratto SaaS incrocia di solito cinque discipline.

• GDPR – regola i dati personali trattati nel servizio, e impone il contratto con il responsabile del trattamento (art. 28).
• Data Act – dal 12 settembre 2025 regola il passaggio ad altro fornitore. Il SaaS è uno dei “servizi di trattamento dei dati” definiti dall’art. 2, n. 8, e il regolamento lo nomina espressamente nei considerando.
• Codice del consumo – se il cliente è un consumatore, con regole proprie per i servizi digitali, anche quelli “pagati” con i dati personali.
• NIS2 – se il fornitore offre servizi di cloud computing, o se il cliente è un soggetto essenziale o importante che deve curare la sicurezza della propria catena di fornitura (art. 24 del D.Lgs. 138/2024).
• Digital Services Act – un SaaS che memorizza informazioni fornite dal cliente può essere un servizio di hosting (art. 3, lettera g), punto iii), del Regolamento UE 2022/2065), con obblighi sulle segnalazioni di contenuti illeciti. Le relazioni di trasparenza non si applicano a micro e piccole imprese (art. 15, paragrafo 2).

2. Le clausole essenziali

2.1 Oggetto e limiti del servizio

L’oggetto deve dire con precisione tre cose.

• Funzionalità incluse – moduli, reportistica, API, integrazioni.
• Limiti – numero di utenti, spazio di archiviazione, richieste API al giorno.
• Piano sottoscritto – quali funzioni sono attive e quali si pagano a parte.

Un esempio di clausola: “Il servizio consente la gestione di fino a 50.000 record cliente e l’accesso di 10 utenti simultanei. L’uso oltre questi limiti richiede il passaggio a un piano superiore.”

2.2 Condizioni d’uso

Questa parte stabilisce come il cliente può usare il servizio.

• Creazione e gestione degli account, e regole sulla condivisione delle credenziali.
• Uso lecito e conforme alla legge.
• Divieto di scraping, uso fraudolento o eccessivo.

Se il fornitore vuole poter sospendere il servizio o risolvere il contratto in caso di violazione, deve prevederlo espressamente, indicando i casi.

2.3 Aggiornamenti e manutenzione

Nel SaaS gli aggiornamenti sono centralizzati e, di regola, si applicano a tutti. Il contratto deve distinguere quattro tipi di manutenzione.

• Correttiva – correzione di errori e vulnerabilità.
• Adeguativa – adattamento a modifiche normative o tecniche.
• Evolutiva – nuove funzionalità.
• Migliorativa – ottimizzazione delle prestazioni.

Va chiarito se gli aggiornamenti evolutivi sono inclusi nel canone o si pagano a parte.

2.4 Prezzi e modifiche tariffarie

Il contratto fissa canone, modalità di pagamento e scadenze. Se prevede aumenti legati all’inflazione, tra imprese vale quanto concordato. Verso il consumatore la clausola di indicizzazione non si presume vessatoria se la legge la consente e ne descrive espressamente le modalità di variazione (art. 33, comma 6, del Codice del consumo).

Per evitare sorprese conviene prevedere un preavviso sulle variazioni di prezzo, per esempio 60 giorni, e il divieto di spostare in un piano più costoso funzioni già incluse in quello sottoscritto.

2.5 Limitazioni di responsabilità

Nella prassi si trovano tre elementi.

• Tetto quantitativo – per esempio il canone di un anno.
• Esclusione dei danni indiretti – mancato guadagno, danno reputazionale.
• Eccezioni – dolo e colpa grave non si possono escludere né limitare, e sono nulli anche i patti che esonerano dalla violazione di obblighi di ordine pubblico (art. 1229 del Codice civile).

Due cautele. Escludere la responsabilità per la perdita dei dati, in un servizio il cui compito principale è custodirli, rischia di svuotare l’obbligazione del fornitore, ed è una clausola da valutare con attenzione. E dal 9 dicembre 2026 il software, anche fornito come SaaS, diventa espressamente un prodotto ai fini della responsabilità per danno da prodotto difettoso (Direttiva UE 2024/2853). Verso il danneggiato quella responsabilità non si può escludere per contratto, ma la direttiva tutela le persone fisiche e non tocca il tetto concordato tra imprese. Deve ancora essere recepita in Italia.

3. SLA: la disponibilità misurabile

Il Service Level Agreement (SLA) traduce in numeri quello che il fornitore promette. Il cliente non controlla l’infrastruttura, e senza SLA un “disservizio” resta difficile da dimostrare.

3.1 Gli indicatori

Ogni indicatore va definito con una formula di calcolo precisa.

• Uptime – la percentuale di tempo in cui il servizio è disponibile, di solito dal 99% al 99,99% su base mensile. Il 99,9% corrisponde a circa 43 minuti di fermo al mese.
• Tempo di presa in carico – dalla segnalazione all’inizio dell’intervento.
• Tempo medio di ripristino (MTTR) – dalla segnalazione al pieno ripristino del servizio.
• Prestazioni minime – per esempio la velocità di risposta delle API.
• Tempi del supporto – entro quanto l’assistenza risponde a una richiesta.

Le due misure di tempo vanno chiamate in modo diverso. Una stessa sigla per due metriche crea esattamente l’ambiguità che lo SLA dovrebbe eliminare.

3.2 Crediti e rimedi

I rimedi più comuni sono tre.

• Crediti di servizio – uno sconto sul canone proporzionato al disservizio.
• Rimborsi – meno frequenti, tipici dei contratti enterprise.
• Risoluzione – quando le violazioni sono gravi o ripetute.

La soglia del credito deve essere coerente con l’uptime promesso. Un esempio: “Con disponibilità mensile inferiore al 99,9%, il cliente ha diritto a un credito del 10% del canone mensile per ogni ulteriore ora di fermo.” Valori e percentuali sono prassi di mercato, e si negoziano.

3.3 Monitoraggio e report

Il contratto deve dire chi misura le prestazioni (il fornitore, un terzo indipendente o entrambi), ogni quanto si producono i report, come il cliente accede ai dati di monitoraggio e come si contesta un report.

4. Dati, privacy e sicurezza

4.1 Chi fa cosa per il GDPR

Nel SaaS aziendale i ruoli sono di solito questi.

• Cliente – titolare del trattamento, perché decide finalità e mezzi.
• Fornitore – responsabile del trattamento, perché tratta i dati per conto del cliente.
• Eccezione – se il fornitore usa i dati anche per scopi propri, come l’addestramento di modelli o l’analisi statistica, per quel trattamento diventa titolare.

La qualificazione si fa caso per caso, guardando a chi decide davvero.

4.2 Il contratto con il responsabile (DPA)

Il DPA è obbligatorio quando il fornitore è responsabile del trattamento. L’art. 28, paragrafo 3, GDPR ne fissa il contenuto minimo, e l’elenco è più lungo di quanto molti modelli riportino.

• Oggetto, durata, natura e finalità del trattamento, tipi di dati e categorie di interessati.
• Trattamento solo su istruzioni documentate del cliente.
• Impegno alla riservatezza del personale autorizzato.
• Misure di sicurezza adeguate.
• Regole per i sub-responsabili, con autorizzazione del cliente.
• Assistenza sulle richieste degli interessati, sulla sicurezza, sui data breach e sulle valutazioni d’impatto.
• Cancellazione o restituzione dei dati a fine servizio.
• Informazioni e audit a disposizione del cliente.

La Commissione europea ha adottato clausole tipo per questo contratto (Decisione di esecuzione UE 2021/915), che sono un buon punto di partenza.

Quanto ai dati, il cliente non ne è “proprietario” in senso tecnico. La formula corretta è che i dati restano nella disponibilità del cliente, e il fornitore ha solo il diritto di usarli per erogare il servizio.

4.3 Sicurezza e data breach

Il contratto dovrebbe indicare gli standard di sicurezza (per esempio cifratura e certificazione ISO 27001), le procedure di backup e di ripristino, e i tempi di notifica degli incidenti.

Sui tempi c’è un equivoco ricorrente. Le 72 ore sono il termine del titolare verso il Garante (art. 33, paragrafo 1, GDPR). Il fornitore, come responsabile, deve avvisare il cliente “senza ingiustificato ritardo” (art. 33, paragrafo 2), e il termine in ore si fissa nel contratto. Deve essere abbastanza breve da lasciare al cliente il tempo di notificare.

Se il cliente è un soggetto NIS2, i tempi sono ancora più stretti. Deve inviare al CSIRT Italia una pre-notifica entro 24 ore e una notifica entro 72 ore (art. 25, comma 5, del D.Lgs. 138/2024), e il contratto con il fornitore deve permettergli di rispettarli.

4.4 Trasferimenti fuori dall’Unione

Se il fornitore o un suo sub-responsabile tratta dati fuori dallo Spazio economico europeo, il contratto deve indicare i paesi coinvolti e le garanzie applicate, come le clausole contrattuali tipo (Decisione UE 2021/914) o una decisione di adeguatezza, più le eventuali misure supplementari.

Le sanzioni non sono tutte uguali. Un DPA mancante o incompleto espone a sanzioni fino a 10.000.000 euro o al 2% del fatturato mondiale (art. 83, paragrafo 4, GDPR). Un trasferimento senza garanzie arriva fino a 20.000.000 euro o al 4% (art. 83, paragrafo 5).

5. Recesso e cambio di fornitore

5.1 Cosa impone il Data Act

Fino al 2025 recesso ed export dei dati erano lasciati alla trattativa, e molti contratti prevedevano preavvisi di quattro mesi o nessuna assistenza all’uscita. Dal 12 settembre 2025 il contratto SaaS deve contenere, per iscritto, alcune clausole minime (art. 25, paragrafo 2, del Data Act).

• Preavviso – per avviare il passaggio ad altro fornitore, non più di due mesi.
• Periodo transitorio – al massimo 30 giorni, durante i quali il servizio continua e il fornitore assiste il cliente nel passaggio.
• Dati esportabili – l’elenco dettagliato dei dati e delle risorse digitali che si possono trasferire.
• Recupero dei dati – almeno 30 giorni dopo il periodo transitorio.
• Cancellazione – la garanzia della completa cancellazione dei dati del cliente al termine.

Un preavviso di 120 giorni per cambiare fornitore, frequente nei modelli più vecchi, oggi non è ammesso.

5.2 Le tariffe di passaggio

Fino al 12 gennaio 2027 il fornitore può chiedere tariffe di passaggio solo ridotte, e non superiori ai costi che il passaggio gli causa davvero. Dal 12 gennaio 2027 non potrà chiederne affatto (art. 29 del Data Act).

5.3 Le eccezioni

Alcuni obblighi, tra cui quello sulle tariffe, non si applicano ai servizi costruiti per la maggior parte su misura di un singolo cliente e non offerti su larga scala a catalogo (art. 31, paragrafo 1). Le regole sul passaggio non valgono per le versioni di prova, fornite per un periodo limitato e non destinate alla produzione (art. 31, paragrafo 2).

5.4 Durata e rinnovo

Restano da regolare durata iniziale, rinnovo automatico o manuale, cause di recesso anticipato come violazioni gravi dello SLA, e un piano di uscita ordinata. Tra imprese il tacito rinnovo, se sta nelle condizioni generali del fornitore, va approvato specificamente per iscritto (art. 1341, comma 2, del Codice civile).

6. Modifiche al servizio e consumatori

6.1 Tra imprese

Tra imprese, di regola, la legge non impone una procedura per le modifiche unilaterali dei termini di servizio. È buona prassi prevedere un preavviso, l’evidenza delle modifiche rilevanti e il diritto di recedere senza costi se incidono in modo significativo sull’uso del servizio.

6.2 Con i consumatori

Con i consumatori le regole sono più precise.

• Modifiche al servizio – sono ammesse solo se il contratto le prevede con una motivazione valida, senza costi aggiuntivi e con un’informazione chiara. Se la modifica incide negativamente sull’uso, il consumatore va avvisato con anticipo su supporto durevole e può recedere gratuitamente entro 30 giorni (art. 135-vicies-semel, commi 1 e 2, del Codice del consumo). Il fornitore può in alternativa consentirgli di mantenere il servizio senza la modifica (comma 4).
• Modifiche alle condizioni – la clausola che consente di cambiarle senza un giustificato motivo indicato nel contratto si presume vessatoria (art. 33, comma 2, lettera m).
• Funzione di recesso – dal 19 giugno 2026, nei contratti a distanza conclusi online, il consumatore deve poter recedere anche con un’apposita funzione sull’interfaccia (art. 54-bis).
• Servizi “gratuiti” – quando il consumatore paga con i propri dati personali, le regole sui servizi digitali si applicano anche a lui, salvo che il fornitore usi quei dati solo per erogare il servizio o per obblighi di legge (art. 135-octies, comma 4). L’uso dei dati per altri scopi resta soggetto al GDPR.

7. Gli errori da evitare

• Nessuna regola di uscita – senza clausole su export, formati e cancellazione il cliente resta legato al fornitore, e oggi il contratto viola il Data Act.
• DPA assente o incompleto – con una catena di sub-responsabili che nessuno ha verificato.

Conclusioni

Il contratto SaaS è l’ossatura del rapporto tra cliente e fornitore. Regola l’accesso al software, ma soprattutto la gestione dei dati, la qualità del servizio, la sicurezza e l’uscita.

Il Data Act ha cambiato il baricentro. Recesso, cambio di fornitore ed export dei dati non si negoziano più da zero, perché la legge fissa un minimo che il contratto deve contenere. Per chi fornisce un SaaS è un obbligo da recepire nei propri modelli. Per chi lo acquista è una leva negoziale nuova.

Per lo Studio il contratto su misura è una misura di sicurezza. Prima di firmare o di proporre un contratto SaaS conviene una lettura congiunta, tecnica e legale, di SLA, DPA, aggiornamenti e uscita.

Punti chiave

Fonti e risorse utili