Cos'è un contratto SaaS

Un contratto di software come servizio (SaaS) è l'accordo con cui un cliente paga per accedere a un software che gira sui sistemi del fornitore, per tutta la durata dell'abbonamento. Non si installa nulla. Nessuna copia passa di mano. Quello che il cliente compra è un diritto d'uso su un'applicazione ospitata, insieme a impegni su quanto bene funzionerà, su cosa succede ai dati che vi inserisce e su cosa ciascuna parte può fare quando il rapporto finisce.

Questa è un'informazione generale su come sono costruiti i contratti SaaS, non una consulenza legale su un contratto specifico. Gli esempi giuridici che seguono sono norme europee e diritto italiano, sempre citati per nome. In Svizzera e negli altri Paesi di lingua italiana valgono regole nazionali diverse.

Dal 12 settembre 2025 questo tipo di servizio ha anche un nome giuridico europeo. Il regolamento sui dati (Data Act, regolamento (UE) 2023/2854) lo chiama servizio di trattamento dei dati: un servizio digitale che dà al cliente accesso di rete su richiesta a un insieme condiviso di risorse informatiche configurabili, scalabili ed elastiche, attivabili e rilasciabili rapidamente con uno sforzo di gestione minimo [1]. Il SaaS rientra in questa definizione, come i servizi di infrastruttura e di piattaforma. La definizione spiega perché questi contratti sono scritti così. Il cliente non controlla quasi nulla di come gira il software, quindi il contratto deve fare il lavoro che un tempo faceva il possesso di una copia.

Contratto SaaS, contratto di abbonamento software, contratto di servizi cloud, contratto di servizi online e contratto quadro indicano lo stesso strumento. Nessuno di questi titoli è una categoria giuridica autonoma. Il titolo non dice nulla sulle condizioni.

Quattro documenti vicini vengono spesso scambiati per il contratto. Non sono la stessa cosa:

• Un accordo sul livello di servizio (SLA) fissa gli impegni di disponibilità e assistenza. Nel SaaS è quasi sempre un allegato al contratto di abbonamento, non un contratto autonomo.
• Un accordo sul trattamento dei dati (DPA) disciplina il trattamento dei dati personali da parte del fornitore e affianca il contratto di abbonamento, di solito come addendum. L'articolo 28 del Regolamento generale sulla protezione dei dati (RGPD) lo impone e ne fissa il contenuto [2].
• Un contratto di licenza con l'utente finale (EULA) riguarda il software installato sul dispositivo dell'utente. Un prodotto puramente SaaS non ne ha bisogno.
• Un ordine, chiamato anche modulo d'ordine o order form, porta la parte commerciale: quale prodotto, quanti utenti, quale prezzo, quale durata. L'ordine è breve e le condizioni a cui rinvia sono lunghe. Entrambi sono il contratto.

La struttura varia più del vocabolario. Un accordo enterprise negoziato è di norma un contratto quadro più ordini, così un acquisto successivo aggiunge una pagina invece di un contratto nuovo. Un acquisto in autonomia è di norma un insieme di condizioni accettate con un clic più una conferma d'ordine. Il secondo vincola allo stesso modo, ed è quello di cui le organizzazioni conservano meno spesso una copia. Tenga presente l'articolo 1341 comma 1 del codice civile: le condizioni generali predisposte da una parte sono efficaci verso l'altra solo se al momento della conclusione questa le ha conosciute o avrebbe dovuto conoscerle usando l'ordinaria diligenza [5].

L'equivoco più diffuso oppone l'abbonamento SaaS alla licenza software tradizionale. La contabilità traccia il confine con precisione. L'IFRS Interpretations Committee (IFRIC) ha stabilito nel marzo 2019 che, se il contratto attribuisce al cliente soltanto il diritto di accedere all'applicazione del fornitore per la durata pattuita, non contiene un leasing. Il cliente non ha alcun potere decisionale su come e per quale scopo il software viene usato: è il fornitore a decidere aggiornamenti, configurazione e infrastruttura su cui gira [3]. Senza quel controllo non nasce un'attività immateriale e il corrispettivo resta un costo per servizi. Nei bilanci redatti secondo i principi contabili nazionali dell'Organismo Italiano di Contabilità l'esito pratico è lo stesso: sta comprando un servizio, non una cosa.

	Abbonamento SaaS	Licenza software tradizionale
Cosa ottiene il cliente	Un diritto di accesso a un'applicazione ospitata	Una copia in licenza, spesso perpetua
Dove gira	Sull'hardware del fornitore o di un terzo	Sui server o sui dispositivi del cliente
Quando i pagamenti cessano	Cessa l'accesso e con esso l'uso	La copia in licenza di regola continua a funzionare
Aggiornamenti	Applicati dal fornitore a tutti	Acquistati, pianificati e installati dal cliente
Forma della spesa	Canoni di abbonamento ricorrenti	Corrispettivo di licenza più manutenzione annuale
Principale preoccupazione di conformità	Localizzazione dei dati, sicurezza e uscita	Conteggio delle licenze e rischio di audit
Trattamento contabile	Servizio, nessuna attività immateriale [3]	Attività o licenza a seconda del controllo [3]

Se il documento che ha davanti concede un diritto perpetuo di installare ed eseguire il software, sta leggendo una licenza e l'anatomia è un'altra. Contracko tratta quello strumento a parte in che cos'è un contratto di licenza software e come gestire i contratti di licenza software.

Finalità e usi più comuni

Il contratto esiste per rendere esigibile una promessa di disponibilità continua. Una licenza si consegna una volta. Un abbonamento si consegna ogni giorno, per anni, quindi l'accordo deve dire che cosa significa "funzionante", chi porta il rischio quando si ferma e a cosa ha diritto il cliente se si ferma troppo spesso.

Risolve anche due domande che nel modello ospitato non hanno una risposta naturale. La prima: di chi sono i dati una volta che stanno sull'infrastruttura del fornitore. La seconda: come li riprende il cliente, in quale formato ed entro quale finestra, quando il rapporto finisce.

Gli scenari sono familiari. Un'azienda compra una piattaforma di paghe, assistenza, analisi o gestione contratti per una funzione. Un fornitore vende la stessa piattaforma a migliaia di clienti a condizioni standard. Un acquirente regolamentato aggiunge un allegato sulla sicurezza e un accordo sul trattamento dei dati. Un rivenditore o un fornitore di servizi gestiti rivende l'accesso a un cliente finale, che è un assetto diverso e si copre con un contratto di rivendita.

L'assetto smette di funzionare quando il carico di lavoro deve girare sull'infrastruttura del cliente, quando i dati non possono lasciare un ambiente determinato, o quando il cliente ha bisogno della garanzia che il software funzionerà ancora tra dieci anni a prescindere dalla situazione commerciale del fornitore. Nessuna di queste tre esigenze sopravvive a un abbonamento ospitato.

Parti di un contratto SaaS

Il fornitore, chiamato anche prestatore o provider, gestisce e mantiene l'applicazione, detiene la proprietà intellettuale sulla piattaforma, eroga l'assistenza e porta gli obblighi di sicurezza e disponibilità. Decide anche la roadmap del prodotto, ed è per questo che le modifiche al servizio quasi mai dipendono dal cliente.

Il cliente, chiamato anche abbonato o committente, paga i canoni, amministra gli account utente, decide quali dati entrano nel sistema e risponde di come lo usano le sue persone. Gli obblighi di uso accettabile scendono di norma dal cliente ai suoi utenti.

Gli utenti autorizzati sono le persone che effettivamente accedono. Non sono parti del contratto. Il contratto rende di regola il cliente responsabile dei loro atti e delle loro omissioni, quindi la definizione di utente autorizzato è una clausola commerciale e non un tecnicismo.

Le società del gruppo sono le entità collegate autorizzate a usare l'abbonamento. Sapere se sono coperte conta al rinnovo, nelle riorganizzazioni e all'uscita. Se il contratto tace, non dia per scontato che una controllata possa entrare.

I sub-responsabili sono i fornitori dietro al fornitore: hosting, analisi, strumenti di assistenza e, sempre più spesso, fornitori di modelli di intelligenza artificiale. Non firmano nulla con il cliente, ma gli obblighi di conformità di quest'ultimo arrivano fino a loro. L'articolo 28 paragrafi 2 e 4 del RGPD richiede l'autorizzazione a ricorrervi e l'imposizione degli stessi obblighi [2]. Il contratto o l'accordo sul trattamento dei dati dovrebbe nominarli, o almeno impegnarsi a un elenco e a un preavviso prima di modificarlo.

Clausole e condizioni principali

Perimetro dell'abbonamento e utenti

La clausola di concessione dice a che cosa il cliente può accedere, chi può accedere e con quali limiti. Guardi prima la metrica. Postazioni, utenti nominali, utenti concorrenti, volume di transazioni, chiamate all'interfaccia e spazio di archiviazione si comportano in modo diverso quando l'attività cresce. Un contratto a postazione con un tetto basso e una tariffa cara per l'eccedenza è un impegno diverso dallo stesso prezzo su una metrica di consumo.

Le restrizioni vietano di solito rivendita, benchmarking, reverse engineering e uso da parte di chi non è utente autorizzato. Se prevede di collegare il servizio ai suoi sistemi, verifichi che l'interfaccia di programmazione (API) sia compresa nella concessione e non venduta a parte.

Canoni, prezzi di rinnovo ed eccedenze

L'ordine porta il prezzo. Il contratto quadro porta la meccanica: quando si emettono le fatture, quali termini di pagamento si applicano, se i canoni sono anticipati e cosa può fare il fornitore quando una fattura è in ritardo. La sospensione per mancato pagamento è frequente e va letta con attenzione, perché sospendere un sistema in cui si lavora ogni giorno è un evento di continuità operativa.

I termini di pagamento li fissa il decreto legislativo 231/2002. In assenza di accordo il termine è di 30 giorni; le parti possono pattuirne uno più lungo, ma oltre 60 giorni la pattuizione deve risultare per iscritto e non essere gravemente iniqua per il creditore [5].

Due cose decidono quanto costa tutto questo nel tempo. La prima è l'aumento al rinnovo: se il fornitore può alzare il prezzo e di quanto. Un tetto a quell'aumento è, nella maggior parte dei contratti SaaS, la clausola commerciale più preziosa. La seconda è come vengono tariffati gli utenti o i consumi aggiunti in corso di periodo, e se ridurli prima del rinnovo è possibile. Se la facoltà di modifica unilaterale sta in condizioni generali predisposte, ricade tra le clausole che l'articolo 1341 comma 2 del codice civile considera onerose e che non hanno effetto se non sono specificamente approvate per iscritto [5]. Non ci conti. Faccia scrivere il tetto.

Il regolamento sui dati ha già chiuso una voce di costo. Fino al 12 gennaio 2027 il fornitore può applicare solo tariffe di trasferimento ridotte, limitate ai costi direttamente collegati al passaggio. Dal 12 gennaio 2027 non può applicare alcuna tariffa di trasferimento [1].

Livelli di servizio e note di credito

Lo SLA risponde a tre domande: quale disponibilità viene promessa, come si misura il disservizio e cosa ottiene il cliente quando la promessa non è rispettata. Gli esempi pubblicati mostrano la forma. Google si impegna nel Google Workspace Service Level Agreement a una disponibilità mensile di almeno il 99,9 per cento in ogni mese solare, con crediti di servizio pari a 3, 7 o 15 giorni di servizio gratuito a seconda di quanto il mese è sceso sotto quella soglia [4].

Due dettagli pesano più della percentuale. Il primo è che cosa conta come disservizio, visto che manutenzione programmata e problemi imputabili alla rete del cliente sono di solito esclusi. Il secondo è che i crediti sono quasi sempre l'unico rimedio e vanno richiesti. In quello stesso SLA il cliente deve avvisare Google entro trenta giorni da quando matura il diritto al credito, altrimenti lo perde [4]. Un credito che nessuno chiede non è un risarcimento.

L'assistenza è una promessa a parte. Tempi di risposta per livello di gravità, orari di assistenza e percorsi di escalation stanno normalmente in un allegato dedicato. La scheda di clausola di Contracko sull'accordo sul livello di servizio ne analizza la redazione, e che cos'è uno SLA copre lo strumento per intero.

Titolarità dei dati, privacy e sicurezza

Un contratto SaaS scritto bene dice senza giri di parole che i dati sono del cliente e che i diritti del fornitore su di essi si limitano all'erogazione del servizio. Se la frase manca, la faccia aggiungere.

Tre domande decidono se quella titolarità valga qualcosa nella pratica:

1. Che cosa può fare il fornitore con dati aggregati o anonimizzati derivati dal suo utilizzo, e può addestrare modelli di intelligenza artificiale sui suoi contenuti? Se il contratto tace, chieda una clausola esplicita.
2. Dove sono conservati e trattati i dati, e quali sub-responsabili li toccano?
3. Quali impegni di sicurezza sono contrattuali e non pubblicitari? Una relazione di audit indipendente o una certificazione, i termini di notifica delle violazioni, la cifratura e il controllo degli accessi appartengono all'allegato sulla sicurezza, dove una modifica richiede accordo. In Italia l'Agenzia per la Cybersicurezza Nazionale (ACN) qualifica i servizi cloud destinati alla pubblica amministrazione, e quel riferimento è utile come metro anche per un acquirente privato [7].

La normativa privacy porta clausole che non si saltano. L'articolo 28 paragrafo 3 del RGPD impone un atto scritto che fissi oggetto, durata, natura e finalità del trattamento, il tipo di dati personali e le categorie di interessati, e che obblighi il responsabile a trattare i dati solo su istruzione documentata, a garantire la riservatezza, ad adottare le misure di sicurezza dell'articolo 32, ad assistere il titolare, a cancellare o restituire i dati al termine della prestazione e a consentire gli audit [2]. In Italia vigila il Garante per la protezione dei dati personali, con il codice in materia di protezione dei dati personali come norma nazionale di raccordo.

La sicurezza è anche materia di diritto pubblico. Il decreto legislativo 138/2024, in vigore dal 16 ottobre 2024, ha recepito la direttiva (UE) 2022/2555, nota come NIS2, estendendo obblighi di gestione del rischio e di notifica a nuovi settori, tra cui i fornitori di servizi cloud, sotto la vigilanza dell'ACN [5]. Se rientra tra i soggetti obbligati, quegli obblighi arrivano fino alla sua catena di fornitura. Se la sua organizzazione è un'entità finanziaria, l'articolo 30 del regolamento sulla resilienza operativa digitale (DORA, regolamento (UE) 2022/2554), applicabile dal 17 gennaio 2025, elenca alla lettera che cosa deve contenere il contratto informatico: descrizione di funzioni e servizi, subappalto, luoghi di erogazione e di trattamento e conservazione dei dati, preavviso in caso di loro modifica, livelli di servizio, diritti di recesso e strategie di uscita [6]. Quell'elenco funziona come metro anche fuori dal settore finanziario.

Responsabilità, garanzie e manleva

Le garanzie del fornitore nel SaaS sono di solito strette: il servizio funziona in modo sostanzialmente conforme alla documentazione, seguito da un'ampia esclusione delle altre garanzie.

Il massimale di responsabilità è il numero che conta. I massimali sono spesso ancorati ai canoni pagati in un periodo recente, quindi un abbonamento economico porta un massimale basso a prescindere dal danno che un fermo o un incidente sui dati possono causare. Guardi che cosa sta fuori dal massimale, perché le esclusioni contengono la ripartizione vera: riservatezza, incidenti di sicurezza, obblighi di manleva e canoni dovuti.

In Italia un massimale non è intoccabile. L'articolo 1229 del codice civile rende nullo qualsiasi patto che escluda o limiti preventivamente la responsabilità per dolo o colpa grave. E se la limitazione vive in condizioni generali predisposte, l'articolo 1341 comma 2 la elenca tra le clausole prive di effetto se non specificamente approvate per iscritto, insieme alle facoltà di recedere o di sospendere l'esecuzione e alle clausole di tacita proroga o rinnovazione [5]. È una correzione in giudizio, non un piano.

La manleva che conta per il cliente è quella sulla proprietà intellettuale: le pretese secondo cui il servizio violerebbe diritti di terzi. Verifichi cosa può fare il fornitore quando arriva una pretesa simile, perché le opzioni consuete sono modificare il servizio, sostituirlo, oppure risolvere l'abbonamento rimborsando la quota non goduta.

Durata, risoluzione e uscita

La clausola sulla durata genera la maggior parte del lavoro di calendario. Legga quattro elementi insieme: la lunghezza del periodo iniziale, se il rinnovo è automatico, quanto preavviso richiede il mancato rinnovo e in quale forma quel preavviso va dato.

Le clausole di uscita decidono quanto fa male la fine. Qui il regolamento sui dati ha cambiato di più. L'articolo 25 impone che il contratto scritto consenta al cliente, su richiesta, di passare a un altro fornitore o di riportare i dati sulla propria infrastruttura, con un preavviso per avviare il passaggio non superiore a due mesi e un periodo transitorio massimo di 30 giorni di calendario, prorogabile fino a sette mesi soltanto quando il passaggio è tecnicamente irrealizzabile in 30 giorni. Dopo il periodo transitorio si apre una finestra di recupero di almeno 30 giorni, al termine della quale il fornitore cancella integralmente tutti i dati esportabili [1].

L'articolo 30 riguarda la tecnica. I fornitori di servizi diversi da quelli di infrastruttura, e quindi i fornitori SaaS, devono mettere a disposizione interfacce aperte a titolo gratuito e, finché non sono pubblicate specifiche comuni, esportare su richiesta tutti i dati esportabili in un formato strutturato, di uso comune e leggibile da dispositivo automatico [1]. L'articolo 31 prevede due eccezioni: i servizi la cui maggior parte delle funzionalità principali è stata sviluppata su misura per un singolo cliente e non è offerta su larga scala a catalogo, e le versioni non di produzione fornite per prove e valutazioni. Il fornitore deve dire prima della conclusione quali obblighi non si applicano [1].

Nulla di tutto ciò sostituisce le sue domande. Per quanto tempo i dati restano disponibili dopo la cessazione, in quale formato escono, quanto costa l'assistenza alla migrazione oltre l'esportazione gratuita e come viene confermata la cancellazione. Lo metta nel contratto, perché il minimo di legge è un minimo e non un piano di migrazione.

Date e scadenze del ciclo di vita

I contratti SaaS falliscono più spesso sulle date che sulla redazione. Le date che seguono meritano di essere campi della scheda contratto e non righe dentro il documento.

Data o evento	Perché conta
Data di efficacia	Fa partire il contratto e spesso non è il giorno in cui parte il servizio
Data di avvio del servizio	La durata talvolta decorre da qui e non dalla firma
Fine del periodo iniziale	Il periodo di impegno su cui è stato costruito il prezzo
Termine ultimo di disdetta	La scadenza vera. Si calcola a ritroso dalla fine del periodo
Data di rinnovo automatico	Quando iniziano il periodo successivo e la fattura successiva
Finestra di preavviso di aumento	Il periodo in cui il fornitore può comunicare un rincaro
Date di fattura e di pagamento	Un ritardo può far scattare la sospensione del servizio
Data di misurazione o conguaglio	Quando postazioni o consumi vengono contati e fatturati
Termine per chiedere i crediti SLA	I crediti si perdono se non sono richiesti in tempo [4]
Rinnovo della relazione di sicurezza	Relazioni di audit e certificazioni scadono ogni anno
Finestra di esportazione e cancellazione	L'intervallo tra la cessazione e la sparizione dei dati [1]

La data che fa danni è il termine ultimo di disdetta, perché cade mesi prima del rinnovo e niente la fa emergere da sola. Il calcolatore di contratti SaaS di Contracko ricava dalla data di fine e dal preavviso il termine ultimo di disdetta.

Non si aspetti un salvataggio normativo. In Italia le clausole di tacita proroga o rinnovazione non sono vietate: l'articolo 1341 comma 2 del codice civile chiede soltanto che, quando stanno in condizioni generali predisposte da una parte, siano specificamente approvate per iscritto, altrimenti non hanno effetto [5]. Quella doppia sottoscrizione è una formalità che quasi tutti i fornitori raccolgono. Nel contratto negoziato non serve nemmeno quella. Un'impresa che lascia scadere un preavviso di sei mesi resta vincolata.

Una regola europea aiuta davvero. Dal 12 settembre 2025 il regolamento sui dati non ammette un preavviso superiore a due mesi per avviare il passaggio a un altro servizio di trattamento dei dati [1]. Un preavviso di sei mesi per cambiare fornitore diventa quindi difficile da sostenere. Non dice però nulla sull'obbligo commerciale di pagare il periodo residuo. Quel lavoro lo fa il contratto, oppure non lo fa nessuno.

Rischi ed errori più comuni

Perdere la finestra di disdetta. L'errore più costoso nel SaaS è il silenzio. Il rinnovo scatta perché nessuno ha agito, e il cliente resta impegnato per un intero periodo a un prezzo che nessuno ha esaminato.

Scambiare l'ordine per l'intero contratto. L'ordine è una pagina. Le condizioni richiamate per relationem possono essere trenta, possono stare su una pagina web e possono essere modificabili dal fornitore. Conservi ciò a cui l'ordine rinvia e registri se il fornitore può cambiarlo da solo.

Nessuna traccia degli acquisti con un clic. I reparti comprano SaaS con una carta, accettano condizioni online e non archiviano nulla. L'organizzazione resta vincolata a condizioni che non può produrre e si rinnova a date che non conosce. In caso di lite la domanda è se quelle condizioni fossero conoscibili con l'ordinaria diligenza, e lì aiuta aver conservato la versione datata [5].

Scambiare i crediti di servizio per un risarcimento. Sono sconti su servizio futuro, di solito con un tetto, di solito l'unico rimedio e di solito persi se non richiesti entro il termine [4].

Lasciare l'uscita senza piano. Formato di esportazione, finestra di esportazione, costo dell'assistenza alla migrazione e conferma della cancellazione si negoziano per poco alla firma e costano moltissimo durante una controversia. Il regolamento sui dati fissa un minimo, non un piano [1].

Contare su un ripiego che non esiste. Senza il diritto a una copia eseguibile non c'è nulla su cui ripiegare se il servizio si ferma. La continuità si costruisce con diritti di esportazione, preavvisi e a volte un deposito fiduciario.

Ignorare i cambiamenti silenziosi. Elenchi di sub-responsabili, allegati sulla sicurezza, politiche d'uso e clausole sull'addestramento dei modelli cambiano tra un rinnovo e l'altro. Se nessuno ha il compito di leggere le comunicazioni di modifica, il contratto che ha firmato si allontana dal contratto sotto cui lavora.

Rinnovare senza dati di utilizzo. Il numero di postazioni cresce e raramente scende. Il rinnovo è l'unico momento in cui quel numero è davvero negoziabile, e serve l'utilizzo reale invece dell'ultima fattura.

Checklist per la gestione dei contratti SaaS

Da registrare alla firma

1. Archivi l'ordine e le condizioni che richiama come un'unica scheda, compresa una copia datata di ogni condizione ospitata sul sito del fornitore.
2. Registri la metrica commerciale in un campo dedicato: postazioni, utenti nominali o unità di consumo, con la quantità contrattuale e la tariffa per l'eccedenza.
3. Registri la fine del periodo iniziale, la durata del rinnovo e il preavviso come tre campi distinti.
4. Calcoli il termine ultimo di disdetta e salvi quella data. Non salvi solo la scadenza contando di fare il conto più avanti.
5. Registri se il fornitore può aumentare al rinnovo, quale tetto si applica e quale preavviso deve dare.
6. Registri l'impegno di disponibilità, le percentuali di credito e il termine per richiederli.
7. Registri dove sono ospitati i dati, l'elenco corrente dei sub-responsabili e se il fornitore può usare i suoi contenuti per addestrare modelli.
8. Registri la finestra di esportazione dopo la cessazione, il formato di esportazione ed eventuali costi di assistenza alla migrazione.
9. Nomini un responsabile interno e il referente designato del fornitore, e registri chi ha l'autorità di approvare un aumento.
10. Alleghi SLA, allegato sulla sicurezza, accordo sul trattamento dei dati e ogni addendum firmato alla stessa scheda.

Da mettere in agenda

11. Un promemoria al termine ultimo di disdetta, e uno anteriore che lasci tempo per raccogliere i dati di utilizzo e decidere.
12. Un promemoria prima che si apra la finestra di preavviso di un aumento di prezzo.
13. Un promemoria prima di ogni data di misurazione o conguaglio dei consumi.
14. Un promemoria per confrontare la disponibilità del mese con lo SLA, in tempo utile per chiedere un credito entro la finestra [4].
15. Un promemoria annuale per farsi consegnare la relazione di audit o la certificazione aggiornate del fornitore.
16. Un promemoria all'apertura di ogni finestra di esportazione successiva alla cessazione, assegnato a chi eseguirà l'esportazione.

Da rivedere periodicamente

17. Ogni trimestre confronti postazioni o consumi a contratto con l'utilizzo reale, e registri lo scarto, così il rinnovo si negozia su prove.
18. Ogni trimestre confronti le comunicazioni di modifica ricevute con le condizioni archiviate, inclusi sub-responsabili e aggiornamenti delle politiche.
19. Due volte l'anno passi in rassegna il portafoglio per individuare strumenti doppi comprati da reparti diversi.
20. Prima di ogni rinnovo ripercorra cosa accadrebbe se questo fornitore sparisse in novanta giorni, e sistemi ciò che quell'esercizio fa emergere.

Gran parte di tutto questo è lavoro di archivio, e dura quanto dura l'abbonamento. Contracko tiene contratti di abbonamento, ordini e allegati su un'unica scheda dentro un archivio contratti consultabile, e usa l'estrazione con IA per ricavare date, parti, valori e obblighi dai documenti invece di farli digitare. I campi personalizzati tengono ciò che serve a un contratto SaaS e non a uno qualsiasi: numero di postazioni, termine ultimo di disdetta, tetto all'aumento e finestra di esportazione. I promemoria di scadenza si assegnano al collega che deve agire, possono ripetersi e si rinnovano insieme al contratto, e la reportistica mostra valore annuo dei contratti, rinnovi in arrivo e principali fornitori sull'intero portafoglio invece che un accordo alla volta. C'è una prova gratuita se vuole caricare un contratto di abbonamento reale e vedere che cosa ne esce.

Se la sua domanda riguarda il governo di un intero parco software e non il funzionamento di un singolo contratto, la gestione dei contratti SaaS copre quel flusso di lavoro.

Fonti

[1] Unione europea, regolamento (UE) 2023/2854 (regolamento sui dati, Data Act), applicabile dal 12 settembre 2025 (definizione di servizio di trattamento dei dati all'articolo 2 e capo VI sul passaggio a un altro fornitore: obblighi contrattuali all'articolo 25, tariffe di trasferimento all'articolo 29, obblighi tecnici all'articolo 30 ed eccezioni all'articolo 31). eur-lex.europa.eu/eli/reg/2023/2854/oj

[2] Unione europea, regolamento (UE) 2016/679 (RGPD), articolo 28 (contenuto obbligatorio dell'atto con il responsabile del trattamento e regole per i sub-responsabili). eur-lex.europa.eu/eli/reg/2016/679/oj

[3] IFRS Interpretations Committee, agenda decision marzo 2019, Customer's Right to Receive Access to the Supplier's Software Hosted on the Cloud (IAS 38) (un diritto di accesso all'applicazione del fornitore non contiene un leasing e non attribuisce al cliente il controllo sul software). ifrs.org/content/dam/ifrs/supporting-implementation/agenda-decisions/2019/ias38-customers-right-to-receive-access-to-the-suppliers-software-hosted-on-the-cloud-mar-19.pdf

[4] Google, Google Workspace Service Level Agreement (un impegno di disponibilità pubblicato, le fasce di credito e il termine per richiederli). workspace.google.com/terms/sla.html

[5] Normattiva: codice civile (efficacia delle condizioni generali all'articolo 1341 comma 1, clausole onerose da approvare specificamente per iscritto all'articolo 1341 comma 2, moduli e formulari all'articolo 1342, nullità dei patti di esonero da responsabilità per dolo o colpa grave all'articolo 1229), decreto legislativo 231/2002 sui ritardi di pagamento nelle transazioni commerciali e decreto legislativo 138/2024 di recepimento della direttiva (UE) 2022/2555. normattiva.it

[6] Unione europea, regolamento (UE) 2022/2554 (DORA), articolo 30 (clausole obbligatorie dei contratti per servizi informatici delle entità finanziarie, tra cui luoghi di trattamento, subappalto, livelli di servizio, recesso e strategia di uscita). eur-lex.europa.eu/eli/reg/2022/2554/oj

[7] Agenzia per la Cybersicurezza Nazionale (vigilanza sul recepimento italiano della direttiva NIS2 e qualificazione dei servizi cloud per la pubblica amministrazione). acn.gov.it

Le immagini di questo articolo sono state generate con l'aiuto dell'IA.