ผู้ให้บริการ SaaS ประกาศปิดบริการ: เอาข้อมูลและงานกลับมาอย่างไร

บริษัทของท่านใช้ระบบ SaaS ทำงานทุกวัน อาจเป็นระบบใบสั่งงาน ระบบบัญชี ระบบจัดการลูกค้า หรือระบบจองคิว แล้ววันหนึ่งผู้ให้บริการส่งอีเมลมาว่าจะปิดบริการ คำถามที่ตามมาคือ ข้อมูลลูกค้าและประวัติงานหลายปีจะเอากลับมาได้ไหม ใครรับผิดชอบช่วงเปลี่ยนผ่าน เงินที่จ่ายล่วงหน้าจะได้คืนหรือเปล่า และสัญญาที่เซ็นไว้ให้สิทธิอะไรบ้าง

คู่มือนี้เขียนจากมุมผู้ซื้อระบบ ใช้คู่กับเรื่อง รูปแบบราคาและสัญญา SaaS สัญญาพัฒนาซอฟต์แวร์และซอร์สโค้ด และ สัญญา MSA และ SLA แบบบริการรายเดือน ถ้าบัญชีผู้ดูแลหรือโดเมนอยู่ในมือคนที่ออกจากงานไปแล้ว ดู พนักงานหรือเอเจนซี่ไม่คืนเพจ LINE OA และโดเมน

คำตอบหลัก

เมื่อมีประกาศปิดบริการ ให้ทำสามอย่างตามลำดับ คือส่งออกข้อมูลทั้งหมดก่อน แล้วใช้สัญญาเรียกสิ่งที่ผู้ให้บริการยังต้องทำ เช่น ช่วงเปลี่ยนผ่านและหนังสือยืนยันการลบ และสุดท้ายจึงคิดเรื่องคืนเงินและค่าเสียหาย เพราะการได้ข้อมูลกลับมามีผลต่อธุรกิจเร็วกว่าเงินคืนเสมอ

หลักกฎหมาย ความสัมพันธ์ระหว่างบริษัทกับผู้ให้บริการเป็นไปตามสัญญา ซึ่งต้องตีความโดยสุจริตโดยคำนึงถึงประเพณีปฏิบัติ (ประมวลกฎหมายแพ่งและพาณิชย์ มาตรา 368) หากผู้ให้บริการไม่ปฏิบัติตามสัญญา บริษัทอาจเลิกสัญญาและให้กลับคืนสู่ฐานะเดิมตามมาตรา 386 ถึง 391 และเรียกค่าเสียหายตามมาตรา 222 เมื่อข้อมูลมีข้อมูลส่วนบุคคล บริษัทเป็นผู้ควบคุมข้อมูลมีหน้าที่ตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 มาตรา 37 ส่วนผู้ให้บริการในฐานะผู้ประมวลผลมีหน้าที่ตามมาตรา 40

มุมมองเชิงปฏิบัติของเรา ปัญหาส่วนใหญ่ไม่ได้อยู่ที่กฎหมายไม่ให้สิทธิ แต่อยู่ที่เวลาและหลักฐาน ผู้ให้บริการที่กำลังปิดมักตัดทีมสนับสนุนก่อน และอาจปิดระบบเร็วกว่าที่ประกาศ จึงควรเก็บข้อมูลเองให้เสร็จก่อน แล้วค่อยเจรจาเรื่องอื่นโดยมีสำเนาข้อมูลอยู่ในมือ

ตัวอย่างสมมติ บริษัทรับซ่อมและติดตั้งเครื่องปรับอากาศแห่งหนึ่งในขอนแก่น (เรียกว่า "บริษัทแอร์") ใช้ระบบ SaaS จัดใบสั่งงานช่าง เก็บประวัติเครื่องของลูกค้าและรูปถ่ายหน้างานมาสามปี วันหนึ่งผู้ให้บริการแจ้งว่าจะปิดบริการในอีก 60 วัน และจะปิดการส่งออกข้อมูลก่อนหน้านั้น 14 วัน ตัวอย่างนี้ใช้ต่อทั้งคู่มือ

1. 72 ชั่วโมงแรกหลังประกาศปิดบริการ ต้องทำอะไร

ไม่ต้องรอให้รู้คำตอบทางกฎหมายครบ ให้ทำสิ่งที่ย้อนกลับไม่ได้ก่อน

• อ่านสัญญาและประกาศ หาวันปิดบริการจริง วันปิดการส่งออก เงื่อนไขการเลิกสัญญา และข้อความเรื่องข้อมูลของลูกค้า เก็บอีเมลประกาศไว้เป็นหลักฐาน อย่าตอบรับหรือเซ็นเอกสารที่ผู้ให้บริการส่งมาโดยยังไม่อ่าน เพราะอาจมีข้อสละสิทธิ์
• ส่งออกทุกอย่างทันที ใช้ฟังก์ชันส่งออกของระบบ และถ้ามี API ให้ดึงข้อมูลสำรองอีกชุด เก็บในที่ที่บริษัทควบคุมเอง ไม่ใช่เพียงในบัญชีอีเมลของพนักงานคนเดียว
• ทำรายการสิ่งที่มีอยู่ในระบบเท่านั้น เช่น ประวัติการแก้ไข ไฟล์แนบ ความเห็น เทมเพลต รายงานที่ตั้งเวลา และสิทธิของผู้ใช้ เพราะไฟล์ส่งออกมักไม่ครบทุกอย่าง
• ตั้งผู้รับผิดชอบหนึ่งคน พร้อมคนสำรอง ให้เป็นจุดเดียวที่ติดต่อผู้ให้บริการและรายงานผู้บริหาร

ตัวอย่างสมมติ บริษัทแอร์ส่งออกข้อมูลภายในวันแรก พบว่าไฟล์ที่ได้มีรายชื่อลูกค้าและใบสั่งงาน แต่ไม่มีรูปถ่ายและประวัติการแก้ไข จึงขอให้ผู้ให้บริการส่งไฟล์เหล่านี้แยกเป็นลายลักษณ์อักษรทันที

2. สัญญาควรให้สิทธิอะไรบ้าง (ใช้ตรวจสัญญาเดิมและร่างสัญญาใหม่)

ถ้าสัญญาเดิมขาดข้อใด ให้ขอเพิ่มในหนังสือตกลงเปลี่ยนผ่าน ถ้ากำลังเลือกระบบใหม่ ให้ใส่ตั้งแต่ก่อนเซ็น

ข้อเหล่านี้ไม่มีตัวเลขตายตัวในกฎหมาย ต้องตกลงกันตามความสำคัญของระบบ ถ้าสัญญาเงียบ ให้อาศัยหลักตีความโดยสุจริตตามมาตรา 368 แต่ควรทำให้เป็นลายลักษณ์อักษรดีกว่ารอไปโต้แย้ง

3. ผู้ให้บริการผิดสัญญา เลิกสัญญาและเรียกค่าเสียหายได้แค่ไหน

การปิดบริการกลางสัญญาโดยบริษัทไม่ได้ยินยอมอาจเป็นการไม่ปฏิบัติตามสัญญา บริษัทมีทางเลือกคือยืนยันให้ปฏิบัติต่อ (ซึ่งมักทำไม่ได้เมื่อระบบปิดแล้ว) หรือเลิกสัญญา

• เลิกสัญญา ตามมาตรา 386 ถึง 391 เมื่อมีสิทธิเลิกตามสัญญาหรือตามกฎหมาย บางกรณีต้องกำหนดระยะเวลาพอสมควรให้ผู้ให้บริการปฏิบัติก่อน (มาตรา 387) ควรบอกเลิกเป็นหนังสือ
• กลับคืนสู่ฐานะเดิม เมื่อเลิกสัญญา คู่สัญญาต้องคืนสิ่งที่ได้รับ เช่น ผู้ให้บริการคืนค่าบริการล่วงหน้าส่วนที่ไม่ได้ใช้ บริษัทหยุดใช้และคืนสิ่งที่ต้องคืน
• ค่าเสียหาย การเลิกสัญญาไม่ตัดสิทธิเรียกค่าเสียหาย (มาตรา 391) ซึ่งขึ้นกับความเสียหายที่พิสูจน์ได้ เช่น ค่าย้ายระบบ ค่าแรงทำข้อมูลใหม่ และต้องดูข้อจำกัดความรับผิดในสัญญาด้วย ส่วนความผิดของฝ่ายบริษัทเองอาจลดค่าเสียหายได้ตามมาตรา 223

ข้อควรระวังคือสิทธิเหล่านี้ไม่ได้ทำให้ได้เงินจริงเสมอไป ถ้าผู้ให้บริการไม่มีเงินหรือล้มละลาย ดูหัวข้อ 5

4. มุม PDPA: บริษัทเป็นผู้ควบคุมข้อมูล ผู้ให้บริการเป็นผู้ประมวลผล

ในระบบ SaaS ที่เก็บข้อมูลลูกค้า พนักงาน หรือผู้ติดต่อ บริษัทมักเป็นผู้ควบคุมข้อมูลส่วนบุคคล และผู้ให้บริการเป็นผู้ประมวลผล เรื่องนี้มีผลสองทาง

• หน้าที่ของผู้ควบคุมข้อมูล (มาตรา 37) ต้องจัดให้มีมาตรการป้องกันไม่ให้ผู้ประมวลผลใช้หรือเปิดเผยข้อมูลโดยไม่ชอบ และต้องลบหรือทำลายข้อมูลเมื่อพ้นระยะเวลาเก็บรักษาหรือเมื่อไม่จำเป็น ดังนั้นการปล่อยให้ข้อมูลค้างอยู่ในระบบที่ปิดไปแล้วโดยไม่รู้ชะตากรรมเป็นความเสี่ยงของบริษัทเอง
• หน้าที่ของผู้ประมวลผล (มาตรา 40) ต้องดำเนินการตามคำสั่งของผู้ควบคุมข้อมูล จัดมาตรการรักษาความมั่นคงปลอดภัย และแจ้งเหตุละเมิดให้ผู้ควบคุมทราบ บริษัทจึงมีฐานเรียกให้ส่งคืนและลบข้อมูลได้

ให้ขอเป็นหนังสือ ระบุว่าส่งคืนแล้วจึงลบ รวมสำเนาสำรองและผู้ประมวลผลช่วง (sub-processor) และขอหนังสือยืนยัน การลบจริงต้องตรวจให้ได้ ถ้าเกิดเหตุข้อมูลรั่วในช่วงปิดระบบ ดู ขั้นตอนแรกเมื่อข้อมูลรั่ว และดู รายการตรวจ PDPA ประกอบ

5. ผู้ให้บริการล้มละลายหรือไม่มีเงิน

ถ้าผู้ให้บริการถูกฟ้องล้มละลายหรือกำลังฟื้นฟู ให้ถือเป็นสถานการณ์ที่ต้องระวังเป็นพิเศษ

• เงินที่จ่ายล่วงหน้าและค่าเสียหายเป็นหนี้ที่ต้องยื่นขอรับชำระผ่านกระบวนการล้มละลาย อาจได้รับบางส่วนหรือล่าช้า ไม่ใช่ชำระทันที
• การเข้าถึงข้อมูลอาจขึ้นกับผู้ที่ได้รับมอบหมายให้จัดการทรัพย์สินของผู้ให้บริการ จึงควรทำหนังสือถึงผู้นั้นเพื่อขอส่งออกข้อมูลที่เป็นของบริษัท
• ข้อมูลที่เป็นของบริษัทไม่ควรถูกนับเป็นทรัพย์สินของผู้ให้บริการ แต่ในทางปฏิบัติต้องมีหลักฐานว่าข้อมูลใดเป็นของใคร

เรื่องนี้ขึ้นกับข้อเท็จจริงและคำสั่งของศาล ควรปรึกษาก่อนยื่นขอรับชำระหนี้ เพราะมีกำหนดเวลาตามกฎหมายล้มละลาย

6. เลือกและย้ายไปผู้ให้บริการรายใหม่

• ทดลองกับข้อมูลจริงก่อน นำข้อมูลที่ส่งออกไปลองนำเข้าระบบใหม่ ตรวจว่าฟิลด์ วันที่ และไฟล์แนบครบ
• เปรียบเทียบสัญญา ตรวจข้อในหัวข้อ 2 ตั้งแต่ก่อนเซ็น และดูว่าผู้ให้บริการรายใหม่มีฐานะทางการเงินพอสมควร
• ทำงานคู่ขนาน ใช้ระบบเก่าและใหม่พร้อมกันช่วงสั้น ๆ ก่อนปิดระบบเก่า
• ถ้ามีข้อมูลส่วนบุคคล ทำสัญญาประมวลผลข้อมูลกับผู้ให้บริการรายใหม่ และแจ้งผู้ที่เกี่ยวข้องตามที่จำเป็น ดู นโยบาย AI และข้อมูลลูกค้า หากระบบใหม่ใช้ AI

7. ใครในบริษัทถือบัญชีผู้ดูแลและ API key

หลายบริษัทพบว่าบัญชีผู้ดูแลอยู่ในชื่อพนักงานที่ลาออก หรือ API key ฝังอยู่ในระบบอื่นโดยไม่มีใครรู้ ควรกำหนดให้ชัดว่าบัญชีผู้ดูแลหลักใช้อีเมลของบริษัท มีผู้ถือสิทธิอย่างน้อยสองคน เก็บรายการ API key และระบบที่เชื่อมต่อไว้ และเปลี่ยนหรือยกเลิก key ที่ผูกกับระบบเดิมเมื่อย้ายเสร็จ ดูแนวส่งมอบงานเมื่อมีผู้ลาออกใน เช็กลิสต์ส่งมอบงานเมื่อกรรมการลาออก

ตารางตัวอย่าง: ข้อมูลและงานแต่ละรายการ

ตัวอย่างหนังสือขอส่งออกข้อมูลและขอความช่วยเหลือช่วงเปลี่ยนผ่าน

เรื่อง ขอส่งออกข้อมูลและความช่วยเหลือช่วงเปลี่ยนผ่าน ก่อนการเลิกบริการ
เรียน [ชื่อผู้ให้บริการ]

อ้างถึงประกาศเลิกบริการลงวันที่ [วันที่] และสัญญาบริการลงวันที่ [วันที่]
บริษัท [ชื่อบริษัท] ขอให้ท่านดำเนินการดังนี้

1. ส่งออกข้อมูลทั้งหมดของบริษัทในระบบ ได้แก่ [รายการข้อมูล] ในรูปแบบ [CSV/JSON/ไฟล์ต้นฉบับ]
   พร้อมคำอธิบายโครงสร้างข้อมูล ภายในวันที่ [วันที่]
2. คงการเข้าถึงระบบเพื่ออ่านและส่งออกข้อมูลต่อจนถึงวันที่ [วันที่]
3. ให้ความช่วยเหลือในการย้ายระบบ โดยแจ้งผู้ติดต่อและค่าใช้จ่าย (ถ้ามี) เป็นลายลักษณ์อักษร
4. เมื่อบริษัทยืนยันว่าได้รับข้อมูลครบแล้ว ให้ลบข้อมูลทั้งหมดรวมสำเนาสำรอง
   และออกหนังสือยืนยันการลบ
5. แจ้งแนวทางคืนค่าบริการล่วงหน้าส่วนที่ไม่ได้ใช้ ภายในวันที่ [วันที่]

หนังสือฉบับนี้ไม่เป็นการสละสิทธิเรียกร้องใด ๆ ของบริษัท
ผู้ติดต่อของบริษัท: [ชื่อ ตำแหน่ง อีเมล โทรศัพท์]

ขอแสดงความนับถือ
[ชื่อ ตำแหน่ง]

เช็กลิสต์เมื่อผู้ให้บริการ SaaS ประกาศปิดบริการ

72 ชั่วโมงแรก

• เก็บอีเมลประกาศและอ่านสัญญา จดวันปิดบริการและวันปิดการส่งออก
• ส่งออกข้อมูลทุกประเภทและเก็บไว้ในที่ที่บริษัทควบคุม
• ทำรายการสิ่งที่มีอยู่ในระบบเท่านั้น
• ตั้งผู้รับผิดชอบหลักและคนสำรอง

ข้อตกลงกับผู้ให้บริการ

• ส่งหนังสือขอส่งออกข้อมูลและช่วงเปลี่ยนผ่านเป็นลายลักษณ์อักษร
• ตกลงเรื่องบริการช่วยเหลือและค่าใช้จ่าย (ถ้ามี)
• ขอแนวทางคืนค่าบริการล่วงหน้า
• ไม่เซ็นเอกสารสละสิทธิโดยไม่ตรวจ

ข้อมูลส่วนบุคคลและความเสี่ยง

• ขอให้ส่งคืนแล้วลบข้อมูล และขอหนังสือยืนยันการลบ
• ตรวจว่ามีผู้ประมวลผลช่วงหรือสำเนาสำรองหรือไม่
• ถ้าผู้ให้บริการมีปัญหาการเงิน ปรึกษาเรื่องการขอรับชำระหนี้

ย้ายระบบ

• ทดลองนำเข้าข้อมูลจริงในระบบใหม่
• เปรียบเทียบสัญญาใหม่กับหัวข้อ 2
• ย้ายสิทธิผู้ดูแลและ API key แล้วยกเลิกของเดิม

อ่านเพิ่มเติม

• รูปแบบราคาและสัญญา SaaS — ตรวจเงื่อนไขการเลิกและการต่ออายุก่อนเซ็น
• สัญญาพัฒนาซอฟต์แวร์และซอร์สโค้ด — กรณีต้องการซอร์สโค้ดหรือการฝากไว้กับบุคคลที่สาม
• สัญญา MSA และ SLA แบบบริการรายเดือน — เขียนระดับบริการและสิทธิเลิกให้ชัด
• รายการตรวจ PDPA — หน้าที่ของผู้ควบคุมข้อมูลในภาพรวม
• ขั้นตอนแรกเมื่อข้อมูลรั่ว — ถ้าเกิดเหตุระหว่างปิดระบบ
• เช็กลิสต์ส่งมอบงานเมื่อกรรมการลาออก — ส่งมอบบัญชีผู้ดูแลและสิทธิเข้าถึง

เราช่วยตรวจสัญญา SaaS เดิม ร่างหนังสือถึงผู้ให้บริการ จัดทำสัญญาฉบับใหม่ และวางแนวปฏิบัติด้าน PDPA ให้ตรงกับธุรกิจของท่าน ปรึกษาเบื้องต้น โทร 092-254-2045 หรือ ส่งรายละเอียดให้เรา ดูเพิ่มเติมที่ PDPA และการคุ้มครองข้อมูล และ จัดทำสัญญาและเอกสารธุรกิจ

คู่มือนี้เผยแพร่โดย สำนักงานกฎหมายสุวรรณวรา ลอว์เฟิร์ม — สำนักงานกฎหมายในจังหวัดขอนแก่น ก่อตั้งเมื่อปี 1986 เป็นข้อมูลทั่วไปเท่านั้น ไม่ใช่คำแนะนำทางกฎหมายสำหรับเรื่องใดเรื่องหนึ่งโดยเฉพาะ