Saas Msa Review

---
name: saas-msa-review
description: >
  Локализация РФ. Углублённая проверка договора на SaaS / подписку / облачный сервис:
  квалификация договора (лицензия — ст. 1235, 1286 ГК / услуги — гл. 39 / смешанный —
  п. 3 ст. 421), абонентская модель (ст. 429.4), присоединение и оферта (ст. 428, 437, 438),
  одностороннее изменение условий и цены (ст. 310, 424, 450.1), SLA и ответственность
  за недоступность (ст. 401, 330, 394, 406.1), данные клиента и обучение моделей,
  экспорт и выход, зарубежный провайдер. Надстройка над vendor-agreement-review.
  Загружается из /dogovornoe-pravo:review при обнаружении SaaS/подписки.
user-invocable: false
---

<!--
Независимое ревью другим провайдером (`codex`/OpenAI) выполнено 2026-08-27 — 5 находок применены:
ст. 406.1 ГК разграничена с ответственностью за нарушение SLA (простой — это нарушение, маршрут —
убытки/неустойка, а не возмещение потерь); ст. 1297 ГК не распространяется автоматически на услуги
(только подряд/НИОКР); добавлена оговорка о механизме определения цены на продление (не всегда
одностороннее изменение по ст. 310); смягчена категоричность про сбой хостера как никогда-не-форс-
мажор; формулировка про субпроцессоров унифицирована с `vendor-agreement-review` (не «письменное
согласие на каждую замену», а разрешение + перечень + уведомление).
-->

# Ревью договора SaaS / подписки (РФ)

## Контекст дела

Проверь `## Ведение дел` в конфиге и `dela/_sostoyanie.md`. Если режим выключен — пропусти. Если включён, а активного дела нет — спроси, по какому делу (`/vedenie-del:delo pereklyuchit <slug>`). Выводы — в папку дела. Файлы другого дела не читай без включённого кросс-контекста.

## Проверка адресата

До выдачи — проверь адресата (см. `## Общие guardrails → Проверка адресата`).

«Круг конфиденциальности» здесь — организационная мера, а не правовой институт: за пределами адвокатской деятельности (ст. 8 ФЗ от 31.05.2002 № 63-ФЗ) выход документа за круг не влечёт «утраты привилегии», потому что привилегии нет.

## Назначение и границы

SaaS отличается от разового договора тем, что деньги, данные и зависимость **накапливаются**: цена пересматривается на каждом продлении, данные копятся у провайдера, стоимость ухода растёт каждый месяц. Скилл разбирает именно эту динамику.

**Это надстройка, а не замена.** Общий чек-лист (заключённость по ст. 432, ответственность и её пределы, заверения по ст. 431.2, договорная обвязка по ПДн, применимое право, подсудность, претензионный порядок, санкционный контур) прогоняется скиллом `vendor-agreement-review` — не переписывай его здесь. Порядок: сначала `vendor-agreement-review`, затем этот скилл поверх. Если общий проход не делался — скажи об этом и сделай его первым.

**Регуляторную глубину по ПДн сюда не тащи.** Восемь обязательных условий поручения, правомерность обработки, уведомление РКН, трансграничность, уничтожение — зона `personalnye-dannye:poruchenie-review`. Здесь — только договорный контур и сигнал о хендоффе.

## Предусловие: загрузи плейбук

**До чтения договора прочитай `~/.claude/plugins/config/claude-for-legal-ru/dogovornoe-pravo/CLAUDE.md`** → `## Позиции по SaaS / подписке`, а также плейбук нужной стороны. Если конфиг не настроен — действуй по правилам `vendor-agreement-review` (cold-start или режим «предварительно» с пометкой `[ПРЕДВАРИТЕЛЬНО]`).

**Какая сторона?** Контрагент продаёт вам доступ к сервису — вы **сторона заказчика**. Вы сами продаёте SaaS — вы **сторона исполнителя**. Реселлинг, white-label, маркетплейс — спроси прямо. Никогда не применяй позицию одной стороны к договору другой.

Если плейбук молчит про встретившееся условие:

> Ваш плейбук не покрывает [условие — напр. «максимально приемлемое окно уведомления об отказе от автопродления», «допустимо ли право провайдера использовать наши данные для обучения моделей»]. Какая ваша позиция? Запишу в `## Позиции по SaaS / подписке`.

## Шаг 0. Критичность сервиса — калибровка глубины

Определи уровень **до** разбора: он решает, за что стоит биться, а где не тратить переговорный капитал.

| Уровень | Признаки | Что проверяем |
|---|---|---|
| 🟢 Вспомогательный | Малая цена, замена за недели, наших ПДн и сведений под режимом КТ нет | Квалификация, абонентская модель, автопродление и цена, минимальная выгрузка. SLA и exit — бегло |
| 🟡 Рабочий | Встроен в процесс, замена 1–3 месяца, есть ПДн работников/клиентов или коммерческие данные | Весь чек-лист, кроме глубокого SLA-торга |
| 🔴 Критичный | Простой останавливает выручку или производство; замена дольше 3 месяцев либо невозможна; объём ПДн, попадающий под ст. 13.11 КоАП; сведения под режимом КТ (ФЗ-98) или ноу-хау (ст. 1465 ГК) | Весь чек-лист + возмещение потерь (ст. 406.1) + план выхода + эскалация независимо от суммы |

Уровень выставляет бизнес-владелец, не юрист. Если не с кем свериться — спроси и не подставляй молча.

## Шаг 1. Квалификация договора — первым делом

**В праве РФ у SaaS нет своего договорного типа.** От квалификации зависят существенные условия, право на выход и НДС, поэтому это проверка № 1, а не терминологический спор.

| Квалификация | Признаки | Что тянет за собой |
|---|---|---|
| **Лицензионный договор** (ст. 1235, 1236, 1286 ГК) | Предмет — предоставление права использования ПО/БД; названы способы использования по ст. 1270 ГК | Существенные условия: предмет с указанием РИД и способов использования (п. 6 ст. 1235) и **размер вознаграждения или порядок его определения** при возмездности (п. 5 ст. 1235) — иначе договор **незаключён**. Срок по умолчанию — 5 лет (п. 4 ст. 1235). По умолчанию лицензия простая, неисключительная (п. 2 ст. 1236). Ст. 782 ГК не применяется |
| **Возмездное оказание услуг** (гл. 39 ГК) | Предмет — обеспечение доступа, поддержка, обработка, хостинг; клиент сам ПО не использует в смысле ст. 1270 | Цена не существенное условие (п. 3 ст. 424). Правила о подряде через ст. 783 ГК. **Императивное право на немотивированный отказ у обеих сторон (ст. 782)** — договорный запрет ничтожен |
| **Смешанный** (п. 3 ст. 421 ГК) | И право использования, и сервисная составляющая (поддержка, SLA, доработки, хранение) | К каждой части применяются правила соответствующего договора «в соответствующих частях». Именно сюда попадает большинство реальных SaaS `[проверить квалификацию по конкретному тексту]` |

**Разворот, которого нет в англо-американской модели.** В SaaS клиент, как правило, не воспроизводит экземпляр, не распространяет и не перерабатывает ПО — то есть не осуществляет способы использования из ст. 1270 ГК; он получает удалённый доступ к функциональности на серверах провайдера. Отсюда устойчивый риск **переквалификации «лицензии» в услуги**. Не принимай ярлык из шапки договора: смотри, что реально предоставляется. `[проверить актуальную практику]`

**Кликврэп и упрощённый лицензионный договор (п. 5 ст. 1286 ГК).** Лицензия на ПО/БД может заключаться в упрощённом порядке: условия изложены в электронном виде, начало использования означает согласие, письменная форма считается соблюдённой; такой договор — договор присоединения. **Ловушка:** упрощённый лицензионный договор **безвозмезден, если договором не предусмотрено иное** (п. 5 ст. 1286 ГК). Для платного SaaS, оформленного кликврэпом без прямо названного размера вознаграждения или порядка его определения, это даёт **развилку, а не сумму дефектов**: либо договор признаётся безвозмездным (и провайдер лишается договорного основания требовать плату по нему), либо — если возмездность из условий всё же следует — он считается **незаключённым** по п. 5 ст. 1235 ГК, причём п. 3 ст. 424 ГК к определению цены не применяется. Оба исхода плохи для провайдера; выбор между ними — предмет спора, поэтому размер вознаграждения должен быть назван прямо.

**Последствия для НДС `[к tax-advisor]`.** Освобождение по пп. 26 п. 2 ст. 149 НК РФ применяется к правам на ПО и БД, **включённые в единый реестр российского ПО** (после ФЗ от 31.07.2020 № 265-ФЗ; редакция нормы менялась — сверять на дату применения). Услуги по гл. 39 облагаются в общем порядке. Переквалификация «лицензии» в услуги = доначисление НДС, пени, штраф. **Правовую конструкцию оцениваю я; налоговый эффект, режим и расчёт — к роли `tax-advisor`.** Проверь заодно, есть ли в договоре НДС-оговорка (см. `vendor-agreement-review`).

- **На стороне заказчика:** квалификация «услуги» или «смешанный» даёт ст. 782 ГК — рычаг выхода, который договором не отнять. Не соглашайся на чистую лицензионную обёртку там, где реально покупаешь сервис.
- **На стороне исполнителя:** лицензионная квалификация закрывает ст. 782 и может дать льготу по НДС, но требует, чтобы предмет был описан через способы использования, а вознаграждение — прямо названо. Обёртка без содержания даёт худшее из двух: и НДС доначислят, и от отказа не защитит.

## Шаг 2. Абонентская модель (ст. 429.4 ГК)

Если плата вносится за право требовать исполнения, абонент обязан платить **независимо от того, было ли исполнение затребовано** (п. 2), если иное не установлено законом или договором. Плата может быть фиксированной, в том числе периодической, либо состоять в ином предоставлении, не зависящем от объёма затребованного исполнения; договором может быть установлен верхний предел объёма исполнения (Постановление Пленума ВС РФ от 25.12.2018 № 49, п. 33).

- **Заказчик:** это риск оплаты неиспользуемых лицензий и «полки» неактивных пользователей. Требуй права сокращать объём в течение периода, приостановки, либо прямой оговорки «иное» по п. 2 ст. 429.4. Отдельно проверь верхний предел объёма исполнения — упёршись в него, ты продолжишь платить, но перестанешь получать.
- **Исполнитель:** называй абонентскую природу прямо, иначе спор о возврате платы за неиспользованный период. Абонентская модель **не отменяет** ст. 782 ГК для услуговой части — не подавай её клиенту как запрет на выход.

## Шаг 3. Присоединение, оферта, порядок акцепта

1. **Присоединение (ст. 428 ГК).** П. 2 даёт право требовать изменения или расторжения явно обременительных условий; п. 3 распространяет это на B2B, когда условия определены одной стороной, а другая поставлена в положение, затрудняющее согласование. Суд вправе применить п. 2 ст. 428 ГК к договору с явно обременительными условиями, если контрагент был поставлен в положение, затрудняющее согласование иного содержания (**п. 9** Постановления Пленума ВАС РФ от 14.03.2014 № 16). Кроме того, слабая сторона вправе заявить о недопустимости применения несправедливых договорных условий на основании **ст. 10 ГК** либо о их ничтожности по **ст. 169 ГК** (**п. 10** Пленума ВАС № 16). Это **запасной аргумент**, когда провайдер отказывается двигаться, а не основной план: он работает постфактум и через суд.
2. **Ограничение ответственности в оферте (п. 2 ст. 400 ГК).** Соглашение об ограничении размера ответственности ничтожно в договоре присоединения либо ином договоре, где кредитор — гражданин-потребитель, если размер ответственности определён законом и соглашение заключено до наступления обстоятельств. Проверь оба условия: без законом определённого размера норма не срабатывает, и ссылка на неё в меморандуме будет ложной опорой.
3. **Оферта и акцепт.** Публичная оферта — ст. 437, акцепт конклюдентными действиями — п. 3 ст. 438, момент заключения — ст. 433. Зафиксируй, **чем доказывается** заключение: платёж, лог регистрации, версия документа и дата, галочка с сохранением артефакта. Для лицензии на ПО — п. 5 ст. 1286 (см. Шаг 1).
4. **Версионность документов.** Если условия лежат по URL, зафиксируй редакцию на дату акцепта и требуй сохранения архива редакций у провайдера. Без этого спор о содержании договора не выигрывается.

## Шаг 4. Одностороннее изменение условий и цены

**Два разных вопроса, не смешивай.**

1. **Допустимо ли изменение в принципе (ст. 310 ГК).** Договорное право на одностороннее изменение работает, только когда обязательство связано с предпринимательской деятельностью **всех** сторон; если предприниматель лишь одна сторона, такое право может быть предоставлено договором только непредпринимательской стороне, если иное не установлено законом. Проверь ОПФ обеих сторон.
2. **Как оно осуществляется.** «Провайдер вправе изменить условия, публикуя новую редакцию; продолжение использования означает согласие» — квалифицируй: это (а) реализация договорного права на изменение (ст. 310, ст. 450, 452 ГК) либо (б) новая оферта с акцептом конклюдентными действиями (п. 3 ст. 438). В варианте (б) провайдеру придётся доказать, что клиент узнал об оферте. Публикация на сайте сама по себе не является доставкой юридически значимого сообщения по ст. 165.1 ГК, если такой порядок прямо не согласован. `[проверить практику]`

**Цена (ст. 424 ГК).** Изменение цены после заключения допускается в случаях и на условиях, предусмотренных договором или законом (п. 2). Формулировка «по действующим на дату продления тарифам» **чаще всего** работает как договорное право на одностороннее изменение цены — оценивай её по ст. 310, а не как техническую деталь. Но это не автоматика: если тарифная сетка на дату продления зафиксирована заранее и объективно (публичный прайс-лист, известный на момент заключения порядок его пересмотра, а не усмотрение провайдера ad hoc), это может быть не «одностороннее изменение», а заранее согласованный **способ определения цены** нового периода (п. 2 ст. 424 без привязки к ст. 310) — квалифицируй по конкретной формулировке и порядку публикации тарифов, а не по одному ярлыку фразы. `[проверить по конкретному тексту]` [сверено 2026-08-27]

- **Заказчик:** требуй (а) прямое уведомление на согласованный адрес (ст. 165.1 ГК), а не публикацию; (б) срок до вступления изменений в силу; (в) право выйти без санкции и вернуть предоплату за неиспользованный период; (г) потолок повышения — привязку к индексу потребительских цен Росстата или фиксированный процент. Изменение, ухудшающее функциональность при сохранении цены, — тоже изменение условий, оговори его отдельно.
- **Исполнитель:** право на изменение сохраняй, но не через «молчаливое согласие»: пропиши уведомление, срок и право клиента отказаться. Условие, которое суд признает явно обременительным (п. 2 ст. 428, п. 9 Пленума ВАС № 16), защиты не даёт, а спор порождает.

## Шаг 5. Автопродление и деградация сервиса

Проверь и **выпиши в меморандум отдельными строками**: дата окончания текущего периода; длительность периода продления (тот же срок или дольше); окно уведомления об отказе и дата «отказаться не позднее»; способ уведомления (только личный кабинет — флаг: увязывай со ст. 165.1 ГК); механизм цены на новый период.

Типовые находки: окно уведомления длиннее, чем срок, за который бизнес успевает решить; продление на срок больший исходного; уведомление о новой цене **после** закрытия окна отказа — это делает право на отказ декоративным.

- **Заказчик:** уведомление о цене продления должно приходить **до** начала окна отказа, с запасом. Требуй права отказаться в течение N дней после такого уведомления, даже если окно формально закрылось.
- **Исполнитель:** фиксируй автопродление прямо и увяжи с адресом по ст. 165.1 ГК. Помни: для услуговой части ст. 782 ГК всё равно даёт заказчику немотивированный отказ — автопродление удерживает выручку, а не клиента.

**Деградация и снятие функций.** Провайдер меняет продукт — это нормально, пока не выключает то, ради чего покупали. Проверь срок предупреждения о выводе функции из эксплуатации, сохранение функционального паритета на замещающем тарифе и право выйти с возвратом при существенном ухудшении. Ст. 451 ГК (существенное изменение обстоятельств) здесь **не выручит** — она срабатывает редко; нужен договорный механизм.

## Шаг 6. SLA и ответственность за недоступность

1. **Что такое «кредит» по SLA.** Квалифицируй по существу: (а) **перерасчёт цены** за период недоступности — уменьшение встречного предоставления; (б) **неустойка** (ст. 330 ГК) — фиксированная сумма за нарушение. От квалификации зависит соотношение с убытками по ст. 394 ГК: по умолчанию неустойка зачётная. Формулировки «заранее оценённые убытки», «liquidated damages», «твёрдая компенсация» в РФ — неустойка, а не отдельная конструкция. Практическая разница между (а) и (б): к неустойке применима ст. 333 ГК — суд может её снизить по заявлению должника-предпринимателя при явной несоразмерности, а **перерасчёт цены снижению по ст. 333 не подлежит**, это не мера ответственности. Альтернативы кредиту: соразмерное уменьшение цены за услугу ненадлежащего качества (ст. 723 через ст. 783 ГК) и приостановление встречного исполнения либо отказ от него с требованием убытков (п. 2 ст. 328 ГК). Для 🔴 контура — ст. 406.1 ГК (см. п. 5).
2. **«Кредит — единственное средство защиты».** Это попытка сделать неустойку **исключительной** (п. 1 ст. 394 ГК). Само по себе законом допускается, но ограничено: **п. 4 ст. 401 ГК** — заключённое заранее соглашение об устранении или ограничении ответственности за умышленное нарушение ничтожно (это работает всегда). П. 2 ст. 400 ГК добавляется **только** если размер ответственности для данного нарушения определён законом, а договор является договором присоединения либо кредитор — гражданин-потребитель; для типового B2B SaaS оба условия обычно не выполняются — не опирайся на эту норму без проверки. Практический эффект для заказчика: закрываются не только убытки, но и ст. 393.1 ГК (разница по замещающей сделке), а размер кредита обычно на два порядка меньше потерь от простоя. Для критичного контура это 🔴.
3. **Исключения из SLA.** Плановые работы без ограничения окна и без уведомления; «обстоятельства вне разумного контроля провайдера». Последнее шире, чем непреодолимая сила: п. 3 ст. 401 ГК **прямо исключает** из неё нарушение обязанностей контрагентами должника, отсутствие на рынке нужных товаров и отсутствие денежных средств. Обычный сбой у хостера, дата-центра или оператора связи — это, как правило, именно нарушение обязанностей контрагентом провайдера, и одно только это от ответственности не освобождает — сильный довод при торге. **Но не абсолютно во всех случаях**: если первопричина самого сбоя (а не факт «контрагент подвёл») формально отвечает признакам непреодолимой силы — чрезвычайности и непредотвратимости при данных условиях (например, стихийное бедствие, вывод из строя инфраструктуры действиями третьих лиц/органов власти) — она теоретически может быть форс-мажором сама по себе; тогда спор идёт не о статусе «сбой контрагента», а о квалификации первопричины. `[проверить обстоятельства конкретного случая]` [сверено 2026-08-27]
4. **Измеримость.** Кто считает доступность, по чьим логам, что считается недоступностью (полный отказ или деградация ниже порога), период измерения, право на доступ к данным мониторинга, порядок фиксации инцидента и срок заявления требования. SLA без этого недоказуем: спор упрётся в бремя доказывания, а логи будут у провайдера.
5. **Возмещение потерь (ст. 406.1 ГК) — не замена ответственности за нарушение SLA.** Ст. 406.1 рассчитана на потери, возникающие **не из нарушения обязательства** самой обязанной стороной (типовой пример — претензии третьих лиц, доначисление налогов, последствия признания сделки недействительной), а не на любую недоступность сервиса. **Простой сверх X часов сам по себе — это нарушение обязательства провайдера** (обязательства обеспечить доступность), и правильный маршрут для него — убытки/неустойка за нарушение SLA (ст. 15, 330, 393, 394 ГК), а не возмещение потерь. Использование ст. 406.1 для «недоступность/потеря данных» рискованно вдвойне: суд может переквалифицировать условие в неустойку (тогда применится ст. 333) либо отказать в применении 406.1 как таковой (Постановление Пленума ВС РФ от 24.03.2016 № 7, п. 15–18 `[проверить точные пункты]`). Ст. 406.1 остаётся уместным инструментом для критичного контура **там, где основание — не сам факт простоя, а следующие из него события, формально не являющиеся нарушением договора**: прекращение доступа по требованию третьих лиц (регулятор, суд, правообладатель), утрата данных вследствие действий третьих лиц вне контроля провайдера и т. п. — но не как параллельный или альтернативный механизм ответственности за само нарушение SLA. Работает только между сторонами, действующими при осуществлении предпринимательской деятельности (п. 1), и должно быть прямо и определённо выражено с указанием размера или порядка определения. Не путай с убытками — см. процедуру по ответственности в `vendor-agreement-review`. [сверено 2026-08-27]

- **Заказчик:** минимальный набор — измеримый порог, автоматическое начисление кредита без заявительного порядка, право на расторжение при повторяющихся нарушениях, изъятие из «единственного средства защиты» для утечки ПДн и нарушения конфиденциальности.
- **Исполнитель:** «единственное средство защиты» держи, но с прямым изъятием для умысла — иначе условие ничтожно в этой части (п. 4 ст. 401), а у клиента остаётся ложное ощущение защиты, что оборачивается спором. Плановые окна и порядок измерения описывай точно: расплывчатый SLA продаёт хуже, чем скромный и точный.

## Шаг 7. Данные клиента, обучение моделей, субпроцессоры

**Раздели три режима — они регулируются по-разному:**

1. **Персональные данные** — ФЗ-152.
2. **Сведения под режимом коммерческой тайны (ФЗ-98) или ноу-хау (ст. 1465 ГК)** — см. `nda-review`, уровни проверяются раздельно.
3. **Прочие данные** (контент, конфигурации, справочники, телеметрия) — «права собственности на данные» в праве РФ нет; работает только договорный запрет плюс ответственность за его нарушение. Пробел здесь ничем не восполняется по умолчанию.

**Ключевой вопрос — чья цель обработки.** Пока провайдер обрабатывает ПДн по заданию клиента и в его интересах — это обработка по поручению (ч. 3 ст. 6 ФЗ-152), провайдер обработчик, отвечает перед оператором, а перед субъектом отвечает **оператор** (ч. 5 ст. 6). Как только провайдер использует те же данные для **своих** целей — улучшение продукта, обучение моделей, аналитика, продажа производных выборок — по этим целям он выходит за пределы поручения и становится **самостоятельным оператором** (оператор — лицо, определяющее цели обработки, п. 2 ст. 3 ФЗ-152): ему нужно собственное правовое основание по ст. 6 ФЗ-152, и согласие, «данное» клиентом-юрлицом за субъектов, таковым не является. Условие «Провайдер вправе использовать Данные Клиента для улучшения Сервиса» — это про смену роли, а не про технику. `[проверить практику применения]`

**Проверь по тексту:**
- Определения. Выведена ли телеметрия, логи, метаданные, «Usage Data» из-под определения «Данные Клиента» — тогда ограничения на использование к ним не применяются. Частый и тихий приём.
- Включение политики конфиденциальности «в редакции, действующей время от времени» — это право добавить обучение моделей односторонним обновлением. Оценивай по Шагу 4.
- «Обезличенные» и «агрегированные» производные. Обезличивание — п. 9 ст. 3 ФЗ-152; требования и методы — ст. 13.1 ФЗ-152 в редакции ФЗ от 08.08.2024 № 233-ФЗ (нормы вводились поэтапно, часть — с 01.09.2025) `[проверить редакцию и подзаконные акты на дату применения]`. Слово «обезличенные» без указания метода и без запрета обратного восстановления не даёт ничего.
- Право провайдера на выходные результаты (если сервис сам генерирует тексты, сводки, модели) и право использовать их как обучающие примеры.
- **Субпроцессоры.** Ч. 3 ст. 6 ФЗ-152 термин «субпроцессор» отдельно не регулирует и не требует письменного согласия оператора на каждую конкретную замену — регулирует лишь то, что поручение даёт оператор, а обработчик действует в его пределах. Надёжная договорная конструкция (единая с `vendor-agreement-review`): предварительное договорное разрешение оператора на привлечение субпроцессоров + опубликованный и актуальный перечень + уведомление об изменениях с правом возразить и выйти без санкции + полное переложение условий поручения на субпроцессора. В подписке перечень **меняется по ходу срока** — разовая проверка на подписании ничего не гарантирует. [сверено 2026-08-27]
- **Локализация (ч. 5 ст. 18 ФЗ-152 в ред. ФЗ от 28.02.2025 № 23-ФЗ, с 01.07.2025)** и **трансграничная передача (ст. 12)** — для облачного сервиса с зарубежной инфраструктурой это чаще всего решающий блок, а не формальность. Детали — в `vendor-agreement-review` → «Персональные данные», не дублируй.
- Изъятие штрафов по ст. 13.11 КоАП из лимита ответственности — суммы и составы см. в `vendor-agreement-review`, повторять не нужно.

**Хендофф.** Если в договоре есть поручение на обработку (в теле, приложением или по ссылке) — передай его в `personalnye-dannye:poruchenie-review`: правомерность, восемь обязательных условий, требования к безопасности, трансграничность, уничтожение. Скажи прямо: без этого прохода анализ по ПДн **частичный**.

## Шаг 8. Экспорт данных и выход

Право «забрать своё» в B2B в РФ **целиком договорное**: аналога права на переносимость данных здесь нет. Отсутствие условия — не пробел, а находка 🟠/🔴 для заказчика: восполнять придётся через ст. 314 ГК и суд, а данные к тому времени будут удалены по политике хранения.

Проверь: формат выгрузки (машиночитаемый и документированный либо «в разумном формате» — второе бесполезно); доступность (самостоятельно в любой момент / по запросу / только при расторжении); срок доступности после прекращения; цена выгрузки; переходное содействие и его стоимость; срок и порядок уничтожения с подтверждением. Для ПДн подтверждение уничтожения — акт и выгрузка из журнала регистрации событий ИСПДн (Требования, утв. приказом Роскомнадзора от 28.10.2022 № 179, действуют с 01.03.2023) `[сверить редакцию на дату применения]`.

**Удержание данных за долг.** Формулировка «при просрочке оплаты доступ блокируется, выгрузка не предоставляется до полного погашения» — это **не удержание по ст. 359 ГК**: предметом удержания может быть только вещь, подлежащая передаче должнику; данные и права требования им не охватываются. `[проверить допустимость и практику]` Ближайшая рабочая конструкция — приостановление встречного исполнения (ст. 328 ГК), но она обосновывает приостановку **оказания услуги**, а не отказ вернуть то, что принадлежит клиенту. Дополнительный аргумент: если в данных есть ПДн, блокировка выгрузки не снимает с клиента-оператора обязанностей перед субъектами (ст. 14, 20, 21 ФЗ-152), а отвечает перед субъектом именно оператор (ч. 5 ст. 6).

- **Заказчик:** выгрузка предоставляется независимо от спора об оплате; приостановление функциональности допустимо, удержание данных — нет. Срок доступности выгрузки после расторжения — не меньше времени, за которое реально мигрировать (для 🔴 контура это месяцы, а не 30 дней).
- **Исполнитель:** приостановление увязывай со ст. 328 ГК и предупреждением, а не с «удержанием»; ограничивай период бесплатного хранения после расторжения и назначай цену за продлённое хранение — иначе получишь бессрочную обязанность хранить чужие ПДн, что само по себе нарушение принципа ограничения срока хранения.

## Шаг 9. Зарубежный провайдер

- **Применимое право и форум.** Иностранное право или иностранный арбитраж — авто-флаг и эскалация. Санкционный контур (ст. 248.1, 248.2 АПК) работает в обе стороны: иностранная оговорка перестаёт быть надёжной и для нас. Детали — в `vendor-agreement-review`.
- **Риск одностороннего прекращения сервиса.** Условие «провайдер вправе прекратить оказание услуг при невозможности их предоставления в вашей юрисдикции» оценивай как право на односторонний отказ (ст. 310, 450.1 ГК), а не как оговорку о рисках. Требуй: срок предупреждения, возврат оплаты за неиспользованный период (иначе — гл. 60 ГК, неосновательное обогащение), гарантированную выгрузку данных, возмещение потерь по ст. 406.1 ГК для 🔴 контура.
- **Уведомления (ст. 165.1 ГК).** Адрес, язык, канал. Иностранный адрес плюс требование нотариального перевода делают юридически значимое уведомление дорогим и медленным — на практике это способ сделать твой отказ неисполнимым в срок.
- **Исполнимость.** Есть ли у провайдера активы и представительство в РФ; чем закончится выигранный спор.
- **Расчёты.** Валютное законодательство (ФЗ от 10.12.2003 № 173-ФЗ), риск блокировки платежа, оплата через реселлера. Если платим российскому реселлеру — проверь цепочку прав: сублицензия допускается с письменного согласия лицензиара и только в пределах прав и срока основного договора (ст. 1238 ГК). Разрыв цепочки означает, что платим тому, кто не вправе предоставлять.
- **ПДн.** Зарубежная инфраструктура плюс сбор ПДн граждан РФ — сначала ч. 5 ст. 18 и ст. 12 ФЗ-152, потом всё остальное. Порядок именно такой: если маршрут недопустим, торг об SLA бессмыслен.

Любой вывод по санкционному и валютному блоку помечай `[проверить актуальную редакцию]` и делай веб-поиск **до** опоры на знания модели.

## Шаг 10. Доработки, интеграции, API

- **Кто получает права на доработку.** Если создание модуля, коннектора или отчёта **прямо названо** предметом договора — работает ст. 1296 ГК: исключительное право у заказчика, если договором не предусмотрено иное. **Ст. 1297 ГК автоматически на доработку в чистом SaaS (гл. 39 ГК, услуги) не распространяется** — статья по тексту говорит о подряде и НИОКР, а не об услугах. Если доработка сделана «попутно» в рамках договора, квалифицированного как услуги, вывод «право у исполнителя по ст. 1297» требует отдельного обоснования: либо конкретно эта часть предмета фактически подрядная/смешанная (тогда 1297 применима к ней), либо нужен отдельный договорный режим прав (по умолчанию для чистых услуг закон прямо не отдаёт исключительное право ни одной стороне — решает договор, а при его молчании — общие правила о результатах интеллектуальной деятельности требуют отдельной проверки). Не пиши в меморандуме «по ст. 1297 право у исполнителя» без этой оговорки. Для SaaS, где доработка всё же подпадает под 1297 (напрямую или по аналогии), это часто приемлемо, но проверь два следствия: сможешь ли пользоваться доработкой после ухода из сервиса и не уйдут ли твои бизнес-правила в общий продукт провайдера, доступный конкурентам. [сверено 2026-08-27]
- **Исполнитель:** ст. 1297 ГК по умолчанию на твоей стороне — не потеряй это неаккуратной формулировкой «все результаты принадлежат заказчику». Отдельно оговори право переиспользовать наработки.
- **Сторонние и open-source компоненты** в составе сервиса и доработок — ст. 1286.1 ГК (открытая лицензия); проверь copyleft-обязательства.
- **API.** Право доступа, лимиты, срок поддержки версии, порядок вывода версии из эксплуатации. Для заказчика с построенной интеграцией смена версии API — это расходы, и защищает от них только договорный срок поддержки.

## Формат вывода

Раздел добавляется к меморандуму `vendor-agreement-review` **после** стандартных проверок; шапка и заметка ревьюера — оттуда, повторно не ставь. Каждая находка несёт обе оси серьёзности (см. конфиг `## Общие guardrails → Двойная серьёзность`). Автопродление, повышение цены и выгрузка данных чаще всего дают 🟢 правовой риск при 🔴 бизнес-трении — выводи их по бизнес-оси, иначе находка потеряется.

```markdown
## SaaS / подписка — находки

**Критичность сервиса:** 🟢 / 🟡 / 🔴 — [чем обосновано, кто подтвердил]
**Квалификация договора:** [лицензия (ст. 1235, 1286) / услуги (гл. 39) / смешанный (п. 3 ст. 421)] — [по тексту / по существу, если расходятся]
**Абонентская модель (ст. 429.4):** [да / нет / спорно] · **Присоединение (ст. 428):** [да / нет]
**Последствия квалификации:** ст. 782 ГК [применяется / нет] · НДС `[к tax-advisor]` · существенные условия [согласованы / нет]

### Автопродление и цена
**Текущий период до:** [дата] · **Продление на:** [срок]
**Отказаться не позднее:** [дата] ([N] дней, способ: [канал])
**Цена на продление:** [механизм как написано] · **Потолок повышения:** [есть / нет]

### SLA и ответственность за недоступность
[уровень, период измерения, вид «кредита» — перерасчёт или неустойка (ст. 330, 394), «единственное средство защиты» и его пределы (п. 4 ст. 401, п. 2 ст. 400), исключения против п. 3 ст. 401, измеримость]

### Данные и обучение моделей
[роль провайдера по каждой цели; выведена ли телеметрия из определения; «обезличенные» производные; субпроцессоры; локализация и трансграничка — сигнал, глубина в poruchenie-review]

### Экспорт и выход
[формат, срок, цена, уничтожение, удержание за долг]

### Зарубежный провайдер
[право и форум, прекращение сервиса, уведомления, расчёты, цепочка сублицензий]

### Доработки и API
[ст. 1296 / 1297, open source, срок поддержки версии API]
```

**Короткая сводка в чат:** `[Провайдер] SaaS 🔴 критичный — ТРЕБУЕТ РАБОТЫ. Квалификация спорна (лицензия по шапке, услуги по существу — НДС + ст. 782). 2🔴 (SLA-кредит как единственное средство защиты; выгрузка не гарантирована при споре об оплате), 3🟠.`

## Хендоффы

- **`personalnye-dannye:poruchenie-review`** — поручение на обработку, правомерность, обязательные условия, безопасность, трансграничность, уничтожение. Обязателен, если в сервисе обрабатываются ПДн.
- **`escalation-flagger`** — если находка попадает в список «никогда не принимаем» или в авто-триггеры конфига.
- **Роль `tax-advisor`** — НДС-последствия квалификации, реестр российского ПО, режим налогообложения. Я не считаю налог.
- **Роль `paralegal`** — массовая проверка практики и статуса контрагента.
- **Дата продления и окно отказа** — выпиши явным блоком в меморандум для внесения в реестр договоров вручную; отдельного скилла-трекера в плагине пока нет.

## Проверки перед выдачей

- [ ] Общий проход `vendor-agreement-review` сделан; этот скилл не переписывает его чек-лист
- [ ] Критичность сервиса определена и подтверждена бизнес-владельцем, а не подставлена молча
- [ ] Квалификация договора разобрана по существу, а не по названию; названы последствия для ст. 782 ГК, существенных условий и НДС (с маршрутом к `tax-advisor`)
- [ ] Проверена возмездность и размер вознаграждения, если конструкция лицензионная (п. 5 ст. 1235, п. 5 ст. 1286 — по умолчанию безвозмездность)
- [ ] Абонентская модель (ст. 429.4) и присоединение (ст. 428, п. 2 ст. 400) применены к нужной стороне
- [ ] Одностороннее изменение проверено по **допустимости** (ст. 310) и по **порядку** (ст. 165.1, п. 3 ст. 438); цена — по п. 2 ст. 424
- [ ] Автопродление выписано датами: окончание периода, окно, «отказаться не позднее», цена продления
- [ ] «Кредит» по SLA квалифицирован (перерасчёт или неустойка ст. 330, соотношение по ст. 394, применимость ст. 333 только к неустойке); «единственное средство защиты» проверено против п. 4 ст. 401 (работает всегда) и — только при законом определённом размере ответственности и договоре присоединения либо кредиторе-потребителе — против п. 2 ст. 400; исключения SLA — против п. 3 ст. 401
- [ ] Использование данных провайдером разобрано по **целям**: где заканчивается поручение (ч. 3 ст. 6 ФЗ-152) и начинается своя обработка провайдером
- [ ] Поручение на ПДн передано в `personalnye-dannye:poruchenie-review`, либо прямо сказано, что анализ по ПДн частичный
- [ ] Выход разобран: формат, срок, цена, уничтожение; удержание данных за долг оценено (ст. 359, 328 ГК) с пометкой `[проверить допустимость]`
- [ ] Для зарубежного провайдера санкционный и валютный блок проверен веб-поиском, а не по памяти
- [ ] Права на доработки квалифицированы по ст. 1296 / 1297 ГК, а не по формулировке «все права заказчику»

## Закрой деревом следующих шагов

Заверши деревом опций из `## Выводы`, адаптировав ветки под то, что скилл только что выдал. Дерево — это вывод; выбирает юрист.