saas-msa-review

SaaS / 订阅协议审查

事项上下文

事项上下文。 检查业务领域级 CLAUDE.md 中的 ## 事项工作区。如果 Enabled 为 ✗（法务用户的默认值），跳过本段其余内容——技能使用业务领域级上下文，事项机制不可见。如果已启用且没有活动事项，询问："这是哪个事项的？"加载活动事项的 matter.md 获取事项特定上下文和覆盖设置。

---

目的

SaaS协议的风险画像与一次性供应商合同不同。金额随续约累积，数据不断积累，切换成本每月都在增长。本技能以此为核心进行审查。运行标准审查指引检查并叠加SaaS专项审查层。

管辖假设

SaaS条款对法域敏感。中国法下，SaaS服务协议受《民法典》合同编（第463条以下 [法条原文]）调整，数据安全问题受《个人信息保护法》《数据安全法》《网络安全法》三部法律共同规制 [法条原文]。如果协议选择不同的管辖法律，或交易跨越有法定优先规则的法域，请标注——分析可能不能照搬。

不得无声补全。 研究查询返回结果很少时，报告查询到的情况并停止。不要未经询问就从网络搜索或模型知识填补空白。由律师决定是否接受较低置信度的来源。

来源归属。 引用法规、规章或案例时标注来源：[北大法宝]/[yuandian检索]、[网络搜索 — 需核实]、[模型知识 — 需核实]、[用户提供]。

加载审查指引

哪一方？ 在适用审查指引之前，确定公司在此SaaS协议中处于哪一方。通常很明显：如果对方是向你销售其平台的SaaS供应商，你是采购方。先阅读审查指引，运行来自供应商协议审查技能的所有标准检查。然后查找 SaaS立场 部分。

SaaS专项审查层

对于以下每个类别，列出合同中找到的内容并与团队立场进行对比。不要使用硬编码阈值。

1. 自动续约机制

检查：续约期限长度、取消通知窗口、通知方式、续约价格。提取并记录确切的续约日期和通知窗口，为续约追踪器提供数据。

2. 价格调整

检查：年度调价幅度、超量使用价格、"费用"的范围。参照《民法典》第470条关于合同内容的规定 [法条原文]。

3. 数据可迁移性和退出

检查：导出格式、导出可用性、终止后访问、导出成本、删除证明。中国法下，《个人信息保护法》第47条规定了个人信息处理者应在特定情形下主动删除个人信息 [法条原文]。

4. 运行时间和SLA

仅当业务真正依赖该服务保持运行时检查。检查：运行时间承诺、测量周期、补救措施、计划维护排除、服务积分与责任上限的互动。

5. 再处理者

根据《个人信息保护法》第21条、第23条，委托处理个人信息需告知并取得同意，向第三方提供需单独同意 [法条原文]。检查：当前列表、变更通知、反对权。

6. 服务变更和功能弃用

检查：重大不利变更、功能弃用通知期、替换功能的对等功能。

AI和机器学习权利

AI/ML数据权利判定流程。 逐一排查七个维度：

1. 明确授权。 合同是否明确授予供应商AI训练权利？采购方通常是拒绝项。
2. 通过政策隐含授权。 合同是否通过引用纳入隐私政策？能否通过单方政策更新增加训练权利？
3. 匿名化标准。 供应商声称的"匿名化"标准是什么？参照GB/T 35273-2020关于匿名化和去标识化的技术标准。
4. 竞争污染。 供应商是否为竞争对手服务？是否有竞争隔离承诺？
5. 退出范围和持久性。 退出选项是否涵盖所有AI使用？是否在续约后仍有效？
6. 输出所有权。 谁拥有AI生成的输出？供应商能否将输出用作训练示例？
7. 下游监管链。 供应商使用你的数据训练AI是否为你带来监管风险？中国法下参照《生成式人工智能服务管理办法》。

将每项与审查指引立场匹配。如果协议对全部七项都没有规定，这仍然是一个发现。

责任上限判定流程

逐一排查四个维度：直接损害 vs. 间接/附带损害、上限基数（逐字引用）、上限与例外排除的互动、审查指引在每个维度上的立场。

法域差异检查

中国法下核心规则：

• 《民法典》第506条明确无效的免责条款 [法条原文]
• 《民法典》第584条可预见规则和第591条减损规则 [法条原文]
• 竞业限制适用《劳动合同法》第23-24条 [法条原文]

修订粒度

默认选择能达到审查指引立场的最小编辑。替换一个词语优先于一个短语，替换一个短语优先于一句话。有疑问时，选更小的。

输出

使用供应商协议审查备忘录结构，在标准审查指引检查之后增加SaaS特定部分。