สัญญาให้บริการซอฟต์แวร์บนคลาวด์ (Software-as-a-Service: SaaS) และสัญญาอนุญาตใช้สิทธิซอฟต์แวร์ เป็นสัญญาที่มีลักษณะเฉพาะทางเทคนิคและกฎหมายที่ต้องวางโครงสร้าง 7 ชั้นอย่างรัดกุม: (1) การแยกสิทธิในทรัพย์สินทางปัญญากับสิทธิควบคุมข้อมูลลูกค้า (IP กับ Customer Data): ผู้ให้บริการเป็นเจ้าของลิขสิทธิ์ในโปรแกรมคอมพิวเตอร์ซึ่งเป็นวรรณกรรมตามพระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 มาตรา 4 และงานสร้างสรรค์อื่นที่เข้าลักษณะตามมาตรา 6 สัญญาควรระบุขอบเขตสิทธิที่อนุญาตและสงวนสิทธิที่มิได้อนุญาต ส่วนระบบ วิธีทำงาน และข้อมูลที่ไม่เข้าลักษณะงานสร้างสรรค์ควรคุ้มครองด้วยข้อสัญญาและกฎหมายอื่น ทั้งนี้ การคุ้มครองลิขสิทธิ์ไม่คลุมถึงระบบหรือวิธีใช้หรือทำงานตามพระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 มาตรา 6 วรรคสอง ในทางกลับกัน ลูกค้า (ในฐานะผู้ควบคุมข้อมูล) คงสิทธิควบคุมและใช้ประโยชน์ในข้อมูลของตนทั้งหมด และผู้ให้บริการมีสิทธิประมวลผลเฉพาะตามคำสั่งและวัตถุประสงค์ที่สัญญากำหนด พร้อมหน้าที่ในการส่งมอบคืน (Data Portability) ในรูปแบบมาตรฐาน (JSON/CSV) เมื่อเลิกสัญญา (2) การเชื่อมโยง SLA กับสัญญาหลัก (SLA Integration): ควรเสนอให้ระบุตัวชี้วัด Uptime 99.5% - 99.9% (ข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา]), กลไก Service Credits และ ข้อยกเว้นสิทธิเลิกสัญญาเมื่อเกิดภาวะล่มเรื้อรัง (Chronic Failure Termination) (3) การจำกัดความรับผิดทางไซเบอร์ (Cybersecurity Super-Cap): โดยทั่วไปสัญญา SaaS จะจำกัดความรับผิด (Limitation of Liability) ไว้ไม่เกินค่าบริการ 12 เดือนย้อนหลัง แต่สำหรับกรณี เหตุละเมิดข้อมูลส่วนบุคคล (Data Breach) หรือการละเมิดความมั่นคงปลอดภัยไซเบอร์ ลูกค้าควรเจรจาขอแยกเพดานความรับผิดพิเศษ (Super-Cap) เป็น 2-5 เท่าของเพดานปกติเพื่อสะท้อนความเสี่ยงตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ทั้งนี้ เพดานปกติที่ 12 เดือนและตัวคูณ 2-5 เท่าเป็นข้อเสนอเริ่มต้นในการเจรจา มิใช่เกณฑ์ที่กฎหมายกำหนด [ต้องยืนยันแหล่งที่มา]
สถานการณ์ที่ผู้ประกอบการมักพบจริง
- เหตุการณ์: ธนาคารหรือสถาบันการเงินในไทยว่าจ้างผู้ให้บริการ SaaS ต่างชาติ เพื่อใช้ระบบ Core Customer Onboarding มูลค่าสัญญาปีละ 15 ล้านบาท โดยใช้สัญญามาตรฐาน (Click-wrap / Standard Terms) ของผู้ให้บริการ
- ความเข้าใจผิด: ฝ่ายจัดซื้อคิดว่าสัญญาบริการคลาวด์เป็นแบบฟอร์มมาตรฐานสากลที่ไม่สามารถแก้ไขได้ และมุ่งเน้นเพียงส่วนลดราคาค่าบริการ
- จุดพลิก: เกิดเหตุการณ์ระบบคลาวด์ล่มต่อเนื่อง 4 วันทำการ ทำให้ลูกค้าไม่สามารถเปิดบัญชีได้ เกิดความเสียหายทางการค้ากว่า 20 ล้านบาท และข้อมูลบัตรประชาชนลูกค้ารั่วไหล เมื่อธนาคารจะฟ้องร้อง ปรากฏว่าสัญญาจำกัดความรับผิดไว้เพียง "ไม่เกินค่าบริการที่จ่ายจริงในเดือนที่เกิดเหตุ (ประมาณ 1.2 ล้านบาท)" และระบุว่า Service Credits เป็น "การเยียวยาเพียงหนึ่งเดียว (Sole and Exclusive Remedy)" ทำให้ธนาคารอาจถูกจำกัดการเรียกค่าเสียหายที่แท้จริงตามข้อสัญญา แต่ข้อสัญญานั้นเป็นโมฆะในส่วนที่ยกเว้นความรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของผู้ให้บริการตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 ส่วนที่ไม่เป็นโมฆะมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณีตามพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 8 วรรคสอง และมาตรา 4 เมื่อเป็นสัญญาสำเร็จรูป และธนาคารยังอาจถูกธนาคารแห่งประเทศไทยสั่งลงโทษปรับซ้ำ [ต้องยืนยันแหล่งที่มา] ทั้งนี้ สถาบันการเงินต้องตรวจประกาศของธนาคารแห่งประเทศไทยเรื่องการใช้บริการจากผู้ให้บริการภายนอกและความเสี่ยงด้านเทคโนโลยีสารสนเทศก่อนทำสัญญา [ต้องยืนยันแหล่งที่มา]
- สิ่งที่ได้จากบทความ: พิมพ์เขียวสัญญา SaaS 7 ชั้น, เทคนิคการเจรจา Super-Cap สำหรับ Data Breach, การปลดล็อกข้อสัญญา Sole Remedy, เงื่อนไข Data Exit Assistance, และ Checklist 10 จุดตรวจสัญญา SaaS
แกนหลักของสัญญาระบบคลาวด์และ SaaS
SaaS ไม่ใช่ "การขายสินค้า" หรือ "การจ้างทำของ" แบบดั้งเดิม แต่เป็น "สัญญาผสม" ระหว่างการอนุญาตให้ใช้สิทธิในซอฟต์แวร์ (Software License) กับสัญญาให้บริการประมวลผลข้อมูล (Services Agreement) ผู้ใช้งานไม่ได้ครอบครองตัวซอฟต์แวร์หรือซอร์สโค้ด แต่ได้รับสิทธิเข้าใช้งานผ่านเครือข่ายอินเทอร์เน็ต ดังนั้น สาระสำคัญจึงอยู่ที่การรับประกันความต่อเนื่องในการให้บริการ (Availability) และความปลอดภัยของข้อมูล (Security)
หากผู้ให้บริการพัฒนาส่วนปรับแต่งเฉพาะ (Customization) ให้แก่ลูกค้า งานนั้นอาจเข้าลักษณะงานที่สร้างสรรค์ขึ้นโดยการรับจ้าง ซึ่งตามพระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 มาตรา 10 ผู้ว่าจ้างเป็นผู้มีลิขสิทธิ์ในงานนั้น เว้นแต่ผู้สร้างสรรค์และผู้ว่าจ้างจะได้ตกลงกันไว้เป็นอย่างอื่น สัญญาจึงต้องกำหนดเรื่องลิขสิทธิ์ในส่วนปรับแต่งไว้ให้ชัดเจน
ผลกระทบเชิงธุรกิจ Business Consequences
- Money (ความเสียหายทางอ้อมและ Data Breach): โทษปรับทางปกครองตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แต่ละฐานความผิดมีเพดานต่างกัน (ไม่เกินหนึ่งล้านบาท สามล้านบาท หรือห้าล้านบาท) และศาลอาจสั่งให้จ่ายค่าสินไหมทดแทนเพื่อการลงโทษเพิ่มขึ้นได้ไม่เกินสองเท่าของค่าสินไหมทดแทนที่แท้จริง (มาตรา 78) รวมทั้งค่าเสียหายจากการถูกแรนซัมแวร์โจมตี เป็นความเสี่ยงที่ลูกค้าอาจเรียกคืนจากผู้ให้บริการไม่ได้ เพราะมักถูกผู้ให้บริการตัดออกในข้อสัญญา Consequential Damages Waiver หากไม่เจรจาข้อยกเว้นไว้
- Control (การถูกล็อกติดกับผู้ให้บริการ - Vendor Lock-in): หากสัญญาไม่ระบุหน้าที่ในการส่งมอบข้อมูลคืนในฟอร์แมตที่ใช้งานต่อได้ บริษัทจะไม่สามารถย้ายระบบไปยังผู้ให้บริการรายใหม่ได้
- Evidence/Timing: ผู้ประมวลผลต้องแจ้งเหตุละเมิดแก่ผู้ควบคุมข้อมูลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 (2) โดยตัวบทมิได้กำหนดเวลา สัญญาจึงควรกำหนดระยะเวลาแจ้งเตือนเหตุการณ์ด้านความมั่นคงปลอดภัย (Security Incident Notification) ให้สั้นพอ (ข้อเสนอเริ่มต้น เช่น ยี่สิบสี่ถึงสี่สิบแปดชั่วโมง [ต้องยืนยันแหล่งที่มา]) เพื่อให้ผู้ควบคุมข้อมูลแจ้งสำนักงานได้ภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ตามมาตรา 37 (4) และปฏิบัติตามหน้าที่ตามกฎหมายได้ทัน
กรอบกฎหมายและ Claim Ledger Legal Framework
| Claim ID | ข้อความทางกฎหมายที่ยืนยัน | ฐานกฎหมายปฐมภูมิ | ตำแหน่งในแหล่ง | สถานะ |
|---|---|---|---|---|
| C-SHIELD-16-01 | โปรแกรมคอมพิวเตอร์เป็นงานวรรณกรรมอันมีลิขสิทธิ์ เจ้าของลิขสิทธิ์มีสิทธิแต่ผู้เดียวในการอนุญาตให้ผู้อื่นใช้สิทธิตามมาตรา 15 (1) (2) หรือ (3) โดยจะกำหนดเงื่อนไขอย่างใดหรือไม่ก็ได้ แต่ต้องไม่กำหนดในลักษณะที่เป็นการจำกัดการแข่งขันโดยไม่เป็นธรรม ซึ่งให้เป็นไปตามหลักเกณฑ์ที่กำหนดในกฎกระทรวง | พระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 มาตรา 4 และมาตรา 15 (5) | มาตรา 4 เป็นบทนิยามซึ่งอยู่ก่อนหมวด 1 ส่วนมาตรา 15 อยู่ในหมวด 1 ลิขสิทธิ์ ส่วนที่ 3 การคุ้มครองลิขสิทธิ์ | แก้ไขแล้ว — LAS Audit |
| C-SHIELD-16-02 | ข้อตกลงล่วงหน้ายกเว้นความรับผิดเพื่อกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของตนเอง ย่อมตกเป็นโมฆะ | ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 | ลักษณะ 2 สัญญา หมวด 2 ผลแห่งสัญญา | ตรวจตรงตัวบท — LAS Audit |
| C-SHIELD-16-03 | ผู้ประมวลผลข้อมูลส่วนบุคคลต้องดำเนินการตามคำสั่งของผู้ควบคุมข้อมูล จัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม และแจ้งเหตุละเมิดแก่ผู้ควบคุมข้อมูล (มาตรา 40) โดยตัวบทมิได้กำหนดเวลาแจ้งของผู้ประมวลผล ส่วนผู้ควบคุมข้อมูลต้องแจ้งสำนักงานภายในเจ็ดสิบสองชั่วโมงนับแต่ทราบเหตุเท่าที่จะทำได้ (มาตรา 37 (4)) | พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 และมาตรา 37 (4) | หมวด 3 สิทธิของเจ้าของข้อมูลส่วนบุคคล | แก้ไขแล้ว — LAS Audit |
| C-SHIELD-16-04 | ข้อสัญญาจำกัดความรับผิดในสัญญาสำเร็จรูปที่ทำให้ผู้กำหนดสัญญาได้เปรียบอีกฝ่ายเกินสมควรมีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณี (มาตรา 4) และข้อตกลงที่ทำไว้ล่วงหน้าเพื่อยกเว้นหรือจำกัดความรับผิดซึ่งไม่เป็นโมฆะ ไม่ว่าจะอยู่ในสัญญาสำเร็จรูปหรือไม่ ก็มีผลบังคับได้เพียงเท่าที่เป็นธรรมและพอสมควรแก่กรณีเช่นกัน (มาตรา 8 วรรคสอง) | พระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 (1) และมาตรา 8 วรรคสอง | มาตรา 4 และมาตรา 8 (พระราชบัญญัตินี้ไม่แบ่งเป็นหมวด) | แก้ไขแล้ว — LAS Audit |
| C-SHIELD-16-05 | บทบัญญัติเรื่องมาตรการรักษาความมั่นคงปลอดภัยไซเบอร์และการแจ้งเหตุภัยคุกคามไซเบอร์ใช้บังคับแก่หน่วยงานโครงสร้างพื้นฐานสำคัญทางสารสนเทศตามที่กฎหมายกำหนด (ผู้อยู่ในบังคับคือหน่วยงานที่มีลักษณะตามที่คณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติประกาศกำหนดตามพระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 49) สัญญา SaaS ไม่อาจโอนหน้าที่ตามกฎหมายนั้นไปยังผู้ให้บริการได้ และสถาบันการเงินต้องตรวจประกาศของธนาคารแห่งประเทศไทยเรื่องการใช้บริการจากผู้ให้บริการภายนอกก่อนทำสัญญา [ต้องยืนยันแหล่งที่มา] | พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 49 มาตรา 54 มาตรา 56 และมาตรา 57 | พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 49 มาตรา 54 มาตรา 56 และมาตรา 57 | แก้ไขแล้ว — LAS Audit |
โครงสร้างพิมพ์เขียวสัญญา SaaS 7 ชั้น
- Layer 1: Scope of Access & Subscription Terms: ขอบเขตสิทธิเข้าใช้งาน (Non-exclusive, Non-transferable), ประเภทผู้ใช้งาน (Authorized Users), เกณฑ์การคิดค่าบริการ (Per Seat กับ Usage-based)
- Layer 2: Service Level Agreement (SLA): รับประกันความพร้อมใช้งาน (Uptime 99.9% ซึ่งเป็นข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา]), หน้าต่างบำรุงรักษา (Scheduled Downtime), ตาราง Service Credits แบบขั้นบันได
- Layer 3: Data Ownership & Security: รับรองว่าลูกค้า (ในฐานะผู้ควบคุมข้อมูล) คงสิทธิควบคุมและใช้ประโยชน์ใน Customer Data ทั้งหมด และผู้ให้บริการมีสิทธิประมวลผลเฉพาะตามคำสั่งและวัตถุประสงค์ที่สัญญากำหนด, มาตรการเข้ารหัสข้อมูล (Encryption AES-256), สิทธิการ Audit ความปลอดภัย
- Layer 4: Data Processing Agreement (DPA): ภาคผนวกประมวลผลข้อมูลตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40, การควบคุม Sub-processor, หน้าที่แจ้ง Data Breach แก่ผู้ควบคุมข้อมูลภายในระยะเวลาที่สั้นพอให้ผู้ควบคุมข้อมูลแจ้งสำนักงานได้ภายในเจ็ดสิบสองชั่วโมง (ข้อเสนอเริ่มต้น เช่น 24-48 ชั่วโมง [ต้องยืนยันแหล่งที่มา])
- Layer 5: Representations, Warranties & IP Infringement Indemnity: คำรับประกันว่าระบบไม่ละเมิดสิทธิบัตร/ลิขสิทธิ์ของบุคคลภายนอก และสัญญาชดใช้ความเสียหายเต็มจำนวน (Uncapped IP Indemnity)
- Layer 6: Limitation of Liability & Cybersecurity Super-Cap: เพดานความรับผิดทั่วไป (12 เดือนค่าบริการ ซึ่งเป็นข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา]) ควบคู่กับ Super-Cap พิเศษ สำหรับคดี Data Breach และความลับทางการค้ารั่วไหล
- Layer 7: Term, Termination & Exit Transition: การเลิกสัญญาจาก Chronic SLA Failure, หน้าที่ส่งมอบข้อมูลคืน (Data Portability) ภายในสามสิบวัน ลูกค้ายืนยันการรับข้อมูลครบเป็นหนังสือ แล้วจึงลบข้อมูลถาวร (Secure Deletion) ภายในสามสิบวันนับจากการยืนยัน (ระยะเวลาเป็นข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา])
ตารางเปรียบเทียบ: On-Premise Software กับ Cloud SaaS
| ประเด็นพิจารณา | On-Premise Software License | Cloud SaaS Subscription |
|---|---|---|
| การติดตั้งและครอบครอง | ติดตั้งบนเซิร์ฟเวอร์ภายในองค์กรของลูกค้า | ประมวลผลบนคลาวด์ของผู้ให้บริการ เข้าถึงผ่าน Web/API |
| การควบคุมข้อมูล | ลูกค้าควบคุมข้อมูลและระบบรักษาความปลอดภัยเอง | ผู้ให้บริการคลาวด์เป็นผู้เก็บรักษาข้อมูล (ต้องมี DPA รัดกุม) |
| การรับประกันความพร้อมใช้งาน | รับประกันการทำงานของซอฟต์แวร์ตามสเปก (Software Bug) | รับประกัน Service Uptime (เช่น 99.9%) และกู้คืนระบบ (RTO/RPO) |
| ความเสี่ยงเมื่อหมดสัญญา | ยังคงใช้งานซอฟต์แวร์เวอร์ชันเดิมได้ (Perpetual License) | ถูกตัดสิทธิการใช้งานทันที ต้องเร่ง Export ข้อมูลออก |
สัญญา SaaS ของผู้ให้บริการมักระบุว่า: "Service Credits เป็นการเยียวยาเพียงหนึ่งเดียว (Sole and Exclusive Remedy) สำหรับความล่าช้าหรือการหยุดชะงักของระบบ"
ฝ่ายกฎหมายของลูกค้า ต้องเพิ่มข้อยกเว้น (Carve-out) ดังนี้เสมอ:
"เว้นแต่ในกรณีที่ระบบหยุดชะงักเรื้อรัง (Chronic Failure) ซึ่งหมายถึง Uptime ต่ำกว่า 95% ติดต่อกัน 2 เดือน หรือต่ำกว่า 90% ในเดือนใดเดือนหนึ่ง ลูกค้ามีสิทธิบอกเลิกสัญญาได้ทันทีโดยไม่ต้องเสียค่าปรับหรือค่าธรรมเนียมเลิกก่อนกำหนด (ระบุรายการที่ยกเว้นให้ชัดเจน) และมีสิทธิฟ้องเรียกค่าเสียหายที่แท้จริงนอกเหนือจาก Service Credits"
เกณฑ์ Chronic Failure ข้างต้นเป็นข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา] สิทธิเลิกสัญญาเมื่อระบบล่มเรื้อรังเป็นสิทธิโดยข้อสัญญาตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 386 ซึ่งต้องแสดงเจตนาแก่อีกฝ่ายหนึ่งและถอนไม่ได้ สัญญาจึงควรกำหนดให้แสดงเจตนาเลิกสัญญาเป็นหนังสือ หากไม่มีข้อสัญญา การเลิกเพราะผู้ให้บริการไม่ชำระหนี้ต้องกำหนดระยะเวลาพอสมควรแล้วบอกกล่าวก่อนตามมาตรา 387 และการเลิกสัญญาไม่กระทบสิทธิเรียกร้องค่าเสียหายตามมาตรา 391 วรรคท้าย
ข้อต่อสู้ของผู้ให้บริการ SaaS กับผู้ใช้งาน Devil's Advocate
| ข้ออ้างของผู้ให้บริการ SaaS | ข้อต่อสู้ขององค์กรผู้ใช้งานตามกฎหมายไทย | หลักฐานที่ชี้ขาด |
|---|---|---|
| ระบบล่มเกิดจากปัญหาของเครือข่ายอินเทอร์เน็ตภายนอก ถือเป็นเหตุสุดวิสัย | เหตุสุดวิสัยตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 8 ต้องเป็นเหตุที่ไม่อาจป้องกันได้แม้ได้จัดการระมัดระวังตามสมควรอันพึงคาดหมายได้จากบุคคลในฐานะและภาวะเช่นนั้น หากผู้ให้บริการไม่จัดระบบสำรองตามมาตรฐานที่ควรมี ผู้ให้บริการอาจไม่สามารถอ้างเหตุสุดวิสัยตามมาตรา 8 หรือมาตรา 219 เพื่อหลุดพ้นจากการชำระหนี้ได้ ทั้งนี้ขึ้นกับข้อเท็จจริง | รายงาน Uptime & Latency Logs จากระบบตรวจวัดอิสระ |
| สัญญาจำกัดความรับผิดไว้เพียง 1 เดือนค่าบริการ ลูกค้าจะเรียกร้องเกินกว่านั้นไม่ได้ | หากพิสูจน์ได้ว่าการรั่วไหลเกิดจากกลฉ้อฉลหรือความประมาทเลินเล่ออย่างร้ายแรงของผู้ให้บริการ ข้อตกลงล่วงหน้ายกเว้นความรับผิดในกรณีนั้นเป็นโมฆะตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 373 ส่วนความรับผิดที่เหลือต้องพิจารณาตามข้อสัญญาจำกัดความรับผิดและมาตรา 8 วรรคสองของพระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 หากความบกพร่องเป็นของฝ่ายลูกค้า (เช่น ไม่เปลี่ยนรหัสผ่านเริ่มต้น) ค่าสินไหมทดแทนอาจลดลงตามมาตรา 223 | รายงานการไต่สวนการละเมิดความปลอดภัย (Forensic Audit Report) |
| ผู้ให้บริการมีสิทธิใช้ข้อมูลลูกค้าเพื่อนำไปเทรนระบบ AI ภายในของตนเอง | สัญญาไม่อนุญาตให้ใช้ Customer Data เพื่อวัตถุประสงค์อื่นนอกเหนือจากการให้บริการตามสัญญา และสำหรับข้อมูลส่วนบุคคล ผู้ประมวลผลต้องดำเนินการตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้น หากใช้ข้อมูลส่วนบุคคลเพื่อวัตถุประสงค์ของตนเอง เช่น การฝึกโมเดล ให้ถือว่าเป็นผู้ควบคุมข้อมูลสำหรับการใช้นั้นตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40 จึงต้องรับหน้าที่และความรับผิดของผู้ควบคุมข้อมูล (ใช้เฉพาะข้อมูลส่วนบุคคล มิใช่ข้อมูลธุรกิจทั่วไป) | ข้อสัญญา Data Ownership & IP Protection ในสัญญา SaaS |
ในทางร่างสัญญา ควรกำหนดจุดวัดผลของ SLA ณ ขอบเขต Cloud Infrastructure ของผู้ให้บริการโดยตรง เพื่อมิให้ปัญหาของเครือข่ายภายนอกถูกอ้างเป็นเหตุยกเว้นความรับผิดโดยไม่มีหลักฐาน
ตัวอย่างสถานการณ์จำลอง Worked Example
ข้อเท็จจริงสมมติ: บริษัท A จำกัด ทำสัญญาใช้ระบบคลาวด์ SaaS ในการคำนวณเบี้ยประกันภัย ค่าบริการปีละ 12 ล้านบาท สัญญามาตรฐานจำกัดความรับผิดไว้ที่ 12 ล้านบาท
การเจรจาปรับปรุงสัญญาโดย LAS: (1) ใส่ข้อสัญญา Cybersecurity Super-Cap กำหนดว่ากรณีระบบถูกแฮกเกอร์โจมตีและข้อมูลลูกค้ารั่วไหล ผู้ให้บริการต้องรับผิดในเพดานพิเศษ 60 ล้านบาท (5 เท่าของค่าบริการ), (2) กำหนดเวลาส่งมอบข้อมูลคืน (Exit Transition) ภายใน 30 วันหลังสิ้นสุดสัญญา และผู้ให้บริการต้องช่วยโอนย้ายข้อมูลโดยไม่คิดค่าบริการเพิ่ม โดยผู้ให้บริการลบข้อมูลถาวรได้เมื่อลูกค้ายืนยันการรับข้อมูลครบเป็นหนังสือแล้วเท่านั้น, (3) กำหนดสิทธิในการขอตรวจ Audit รายงาน SOC 2 Type II เป็นประจำทุกปี
ตัวเลขเพดานความรับผิดพิเศษและกำหนดเวลาในตัวอย่างนี้เป็นข้อเสนอเริ่มต้นในการเจรจา มิใช่เกณฑ์ที่กฎหมายกำหนด [ต้องยืนยันแหล่งที่มา]
ขั้นตอนการเจรจาและบริหารสัญญา SaaS Action Steps
| ขั้นตอน | การดำเนินงาน | ผู้รับผิดชอบ | เอกสารผลลัพธ์ | กำหนดเวลา |
|---|---|---|---|---|
| 1 | ตรวจทานสัญญามาตรฐานของผู้ให้บริการและคัดกรองจุดตาย | ฝ่ายกฎหมาย LAS | SaaS Contract Redline & Risk Matrix | ก่อนสั่งซื้อระบบ |
| 2 | เจรจาแนบท้ายสัญญา DPA และ Cybersecurity Super-Cap | ฝ่ายจัดซื้อ / กฎหมาย | Signed Custom Addendum to SaaS Agreement | ก่อนลงนามสัญญา |
| 3 | ตรวจสอบผลการดำเนินงาน Uptime ประจำเดือนและเคลมเครดิต | ฝ่าย IT & DevOps | Monthly SLA Performance & Credit Report | ทุกสิ้นเดือน |
| 4 | ประเมินความต่อเนื่องทางธุรกิจและการสำรองข้อมูล (Data Backup) | ทีมความมั่นคงปลอดภัยไซเบอร์ | Disaster Recovery & Exit Test Report | ทุก 6 เดือน |
Checklist 10 จุดตรวจสัญญา SaaS & Cloud Licensing
- ระบุชัดเจนว่าลูกค้า (ในฐานะผู้ควบคุมข้อมูล) คงสิทธิควบคุมและใช้ประโยชน์ในข้อมูลลูกค้า (Customer Data) ทั้งหมด และผู้ให้บริการมีสิทธิประมวลผลเฉพาะตามคำสั่งและวัตถุประสงค์ที่สัญญากำหนด
- มีข้อห้ามเด็ดขาดมิให้ผู้ให้บริการนำข้อมูลลูกค้าไปประมวลผล ฝึกฝนโมเดล AI หรือเปิดเผยแก่บุคคลอื่น (สำหรับข้อมูลส่วนบุคคล ผู้ประมวลผลต้องดำเนินการตามคำสั่งของผู้ควบคุมข้อมูลเท่านั้นตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 40)
- SLA มีการรับประกัน Uptime ชัดเจน (ไม่ต่ำกว่า 99.5% - 99.9% ซึ่งเป็นข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา]) พร้อมตารางคิด Service Credits
- มีข้อยกเว้นสิทธิบอกเลิกสัญญาโดยไม่ต้องจ่ายค่าปรับเมื่อเกิดเหตุระบบล่มเรื้อรัง (Chronic Failure) ซึ่งเป็นสิทธิโดยข้อสัญญาตามประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 386 โดยระบุให้ชัดว่าค่าปรับหรือค่าธรรมเนียมเลิกก่อนกำหนดรายการใดที่ยกเว้น และสงวนสิทธิเรียกค่าเสียหายตามมาตรา 391 วรรคท้าย
- มีการลงนามในสัญญาประมวลผลข้อมูลส่วนบุคคล (DPA) แนบท้ายตามข้อกำหนด PDPA มาตรา 40
- มีเพดานความรับผิดพิเศษ (Cybersecurity Super-Cap) สำหรับกรณีข้อมูลรั่วไหลหรือการละเมิดความปลอดภัย
- ผู้ให้บริการให้คำรับประกันการไม่ละเมิดทรัพย์สินทางปัญญา (IP Non-Infringement) พร้อมสัญญาชดใช้ความเสียหายเต็มจำนวน
- กำหนดหน้าที่แจ้งเตือนเหตุละเมิดความมั่นคงปลอดภัยสารสนเทศแก่ผู้ควบคุมข้อมูลภายในไม่เกิน 24-48 ชั่วโมง (ข้อเสนอเริ่มต้นในการเจรจา [ต้องยืนยันแหล่งที่มา]) เพื่อให้ผู้ควบคุมข้อมูลแจ้งสำนักงานได้ภายในเจ็ดสิบสองชั่วโมงตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 (4)
- ผู้ให้บริการต้องส่งมอบรายงานผลการตรวจประเมินความปลอดภัยอิสระ (เช่น SOC 2 Type II หรือ ISO 27001) ทุกปี
- มีข้อกำหนดหน้าที่ช่วยเหลือในการโอนย้ายข้อมูลคืน (Exit Assistance & Data Portability) ในฟอร์แมตสากลเมื่อเลิกสัญญา
คำถามที่พบบ่อย Frequently Asked Questions
อ้างอิง — References
- พระราชบัญญัติลิขสิทธิ์ พ.ศ. 2537 มาตรา 4 มาตรา 6 มาตรา 10 มาตรา 15 (5) และมาตรา 30
- ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 8 มาตรา 219 มาตรา 223 มาตรา 373 มาตรา 386 มาตรา 387 และมาตรา 391
- พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 28 มาตรา 29 มาตรา 37 มาตรา 40 และมาตรา 78
- พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 มาตรา 49 มาตรา 54 มาตรา 56 และมาตรา 57
- ประกาศธนาคารแห่งประเทศไทยเรื่องการใช้บริการจากผู้ให้บริการภายนอกและความเสี่ยงด้านเทคโนโลยีสารสนเทศ [ต้องยืนยันแหล่งที่มา]
- พระราชบัญญัติว่าด้วยข้อสัญญาที่ไม่เป็นธรรม พ.ศ. 2540 มาตรา 4 และมาตรา 8
- สำนักงานคณะกรรมการกฤษฎีกา — ระบบสืบค้นกฎหมาย (OCS)