Prima di acquisire il primo cliente, è fondamentale operare una verifica su cinque profili fondamentali: (1) definizione del target di riferimento (B2B o B2C); (2) mappatura dei flussi e corretta ripartizione dei ruoli privacy (titolare, responsabile e sub-responsabili); (3) architettura contrattuale adeguata; (4) conformità tecnologica, valutazione dei requisiti di compliance qualora il software integri sistemi di intelligenza artificiale; (5) regolamentazione di settore, allineamento ai recenti framework europei su accessibilità digitale, condivisione dei dati e servizi digitali, oltre alla normativa consumeristica per le vendite a distanza. La checklist completa, con i riferimenti normativi, è in fondo all'articolo.
Immettere un SaaS sul mercato non significa semplicemente pubblicare un software, ma commercializzare un servizio complesso, per questo motivo, l'infrastruttura legale deve precedere e guidare quella tecnica. L'acquisizione del primo cliente rappresenta il banco di prova più severo, il momento in cui possono emergere lacune nella contrattualistica, nella gestione dei pagamenti o nella disciplina del recesso. Di seguito, i passaggi per strutturare il lancio con il massimo rigore e senza lasciare zone d'ombra.
1. Inquadra prima il modello: B2B, B2C o ibrido
La scelta commerciale determina la disciplina applicabile. In caso di vendita del servizio a consumatori (B2C), si applicano le disposizioni del Codice del Consumo relative ai contratti a distanza e alla fornitura di contenuti e servizi digitali, ovvero informazioni precontrattuali (art. 49), diritto di recesso ove applicabile (artt. 52 ss.), disciplina delle clausole vessatorie (artt. 33 ss.) e, per i contratti di fornitura di contenuto o servizio digitale, le specifiche regole sulla fornitura, conformità, aggiornamenti, rimedi e modifiche del servizio previste dagli artt. 135-octies ss. del Codice del Consumo. La disciplina dei rinnovi automatici va inoltre verificata alla luce delle specifiche disposizioni applicabili al contratto e della relativa disciplina consumeristica. In caso di vendita del servizio ad imprese (B2B), prevale in linea generale l'autonomia negoziale, nei limiti delle norme imperative, della disciplina codicistica e delle eventuali normative settoriali applicabili. In funzione del modello contrattuale, poi, occorre verificare eventuali discipline speciali relative a ritardi di pagamento, abuso di dipendenza economica, subfornitura, disciplina antitrust/concorrenza e ulteriori normative settoriali eventualmente applicabili.
2. Privacy: definizione dei ruoli
La domanda fondamentale è: chi è titolare del trattamento? Nel SaaS classico:
- il fornitore SaaS è di regola il titolare dei trattamenti, per i quali determina autonomamente finalità e mezzi, ad esempio quelli necessari alla gestione del rapporto contrattuale, alla fatturazione, alla sicurezza e all'adempimento di obblighi propri; per i dati trattati nell'erogazione del servizio occorre invece qualificare il ruolo sulla base delle effettive finalità e istruzioni;
- il fornitore, se tratta dati dei propri clienti business secondo le loro istruzioni, agisce come responsabile (art. 28 GDPR). Tale circostanza richiede la predisposizione di un DPA;
- i provider infrastrutturali (cloud, API AI) sono sub-responsabili del fornitore, autorizzati dal DPA; tuttavia, possono assumere un ruolo differente a seconda del trattamento dei dati concretamente svolto e delle finalità.
Si suggerisce, inoltre, di verificare: le informative specifiche (artt. 13-14 GDPR), la registrazione dei trattamenti (art. 30), le misure tecniche e organizzative (art. 32), e l'eventuale necessità di una valutazione d'impatto (DPIA) ex art. 35, va verificata sulla base della natura, dell'ambito, del contesto e delle finalità del trattamento e dei rischi per i diritti e le libertà degli interessati; particolare attenzione va prestata ai trattamenti su larga scala di categorie particolari, alla profilazione/valutazione sistematica e ad altre fattispecie individuate dall'art. 35 e dagli elenchi delle autorità di controllo.
3. La contrattualistica minima del SaaS
| Documento | Contenuti essenziali |
|---|---|
| Termini di Servizio | Diritto di accesso e utilizzo del servizio e, ove applicabile, licenza sui componenti software, account, limiti di responsabilità, sospensione, cessazione, restituzione/esportazione dei dati, eventuale assistenza all'uscita e condizioni di switching, legge applicabile, foro per eventuali controversie, verifica dell'applicabilità degli artt. 1341 e 1342 c.c. e delle modalità di accettazione delle condizioni generali, anche con riguardo alle clausole che richiedono specifica approvazione |
| DPA ex art. 28 GDPR | Finalità, istruzioni, misure di sicurezza, sub-responsabili, assistenza, obblighi in caso di data breach, cancellazione o restituzione a fine rapporto |
| SLA (Service Level Agreement) | Livelli di servizio garantiti, tempi di ripristino, crediti o penali, esclusioni (in caso di forza maggiore o manutenzione programmata). Può essere contenuto anche nel contratto principale, senza la necessità di un apposito documento |
| Politica di pagamento | Prezzi, fatturazione, scadenze, rinnovo, sospensione per morosità e disciplina degli interessi di mora, anche alla luce del D.lgs. 231/2002 per le transazioni commerciali |
| Verifica AI Act | Qualificazione del sistema, ruolo dell'operatore e obblighi eventualmente applicabili, inclusi gli specifici obblighi di trasparenza previsti dall'art. 50 ove applicabili |
Attenzione alle clausole di limitazione di responsabilità: nei rapporti B2C sono sottoposte a controllo di vessatorietà (art. 33 Codice del Consumo), mentre nei rapporti B2B devono essere coordinate con l'art. 1229 c.c., con le norme imperative applicabili e con la specifica struttura del contratto.
4. Verifica dei regimi settoriali che potrebbero interessare il servizio
- Digital Services Act - DSA (Reg. 2022/2065): rileva solo se il servizio rientra nella definizione di "servizio della società dell'informazione" con funzione di intermediario (es. marketplace, piattaforme che ospitano contenuti di terzi). Un SaaS tradizionale normalmente non rientra, ma la verifica è opportuna;
- Data Act (Reg. 2023/2854): si applica dal 12 settembre 2025 e disciplina, tra l'altro, specifici obblighi relativi ai servizi di trattamento dei dati, inclusi i modelli SaaS, PaaS e IaaS. Per i servizi rientranti nel relativo ambito di applicazione occorre verificare in particolare le regole contrattuali e operative su switching e portabilità, interoperabilità, assistenza al passaggio e relative condizioni economiche;
- European Accessibility Act - EAA (Dir. 2019/882, recepita dal D.lgs. 82/2022): obbligo di accessibilità per determinati servizi digitali dal 28 giugno 2025, con esclusioni che vanno valutate caso per caso;
- AI Act (Reg. 2024/1689): classificazione del sistema, trasparenza verso gli utenti, istruzioni d'uso per i sistemi ad alto rischio;
- Digital Omnibus on AI (Reg. UE 2026/1744): in vigore dal 27 luglio 2026, ha rivisto il calendario dell'AI Act. Gli obblighi per i sistemi ad alto rischio si applicano dal 2 dicembre 2027 (Allegato III) e dal 2 agosto 2028 (Allegato I); per i sistemi già immessi sul mercato prima del 2 agosto 2026, l'adeguamento alla marcatura degli output sintetici (art. 50, par. 2) va completato entro il 2 dicembre 2026;
- Normativa di trasparenza commerciale: dati di identificazione dell'impresa, P.IVA, comunicazioni commerciali lecite (D.lgs. 70/2003 sull'e-commerce).
5. Checklist di verifica legale pre-lancio
| Verifica | Quando si rende necessaria? |
|---|---|
| Modello B2B / B2C definito e documentazione differenziata | Sempre, poichè la scelta commerciale ha risvolti pratici e legali in tema di normativa applicabile nel caso concreto |
| Informativa privacy | Necessaria in presenza di trattamenti di dati personali |
| Informativa cookie/tracking e, ove necessario, meccanismo di consenso | In funzione delle tecnologie utilizzate |
| DPA ex art. 28 + elenco sub-responsabili | Se il fornitore tratta dati personali per conto del cliente e assume il ruolo di responsabile del trattamento |
| ToS con clausole AI, IP, responsabilità, cessazione | Contrattualistica SaaS coerente con il modello commerciale, contenente, ove pertinenti, disciplina del servizio, licenza/diritto d'uso, IP, responsabilità, sospensione, cessazione, dati ed exit |
| Informazioni precontrattuali e disciplina del recesso | Se il servizio è rivolto anche a soggetti consumatori: informazioni precontrattuali, eventuale diritto di recesso e verifica della disciplina dei contratti di fornitura di servizi/contenuti digitali, inclusi requisiti di conformità, aggiornamenti, rimedi e modifiche del servizio ai sensi degli artt. 135-octies ss. del d.lgs. 206/2005 Codice del Consumo. |
| Classificazione AI Act + informazione utenti (art. 50) | Solo previa verifica dell'applicabilità dell'AI Act e classificazione del sistema, degli eventuali obblighi di trasparenza ex art. 50 e degli ulteriori obblighi eventualmente applicabili |
| Verifica conformità al Data Act | Dipende dal servizio e, ove il SaaS rientri tra i servizi di trattamento dei dati disciplinati dal regolamento, si consiglia di analizzare la conformità delle clausole e dei processi relativi a switching, portabilità, interoperabilità ed exit. |
| Verifica conformità all'European Accessibility Act (EAA) e al Digital Services Act | Parametrata in base all'effettiva inclusione del servizio nei rispettivi ambiti di applicazione. |
| Registro trattamenti | Da verificare in funzione dei presupposti dell’art. 30 GDPR. Le imprese o organizzazioni con meno di 250 dipendenti beneficiano della deroga prevista dall’art. 30, par. 5, salvo che il trattamento possa presentare un rischio per i diritti e le libertà degli interessati, non sia occasionale oppure riguardi categorie particolari di dati personali ai sensi dell’art. 9, par. 1, o dati personali relativi a condanne penali e reati ai sensi dell’art. 10 GDPR. |
| DPIA | Non sempre è necessaria, ma va valutata la ricorrenza dei presupposti ex art. 35 GDPR. |
| Misure tecniche e organizzative per la sicurezza | Necessarie, ma vengono parametrate in relazione al rischio concreto ex art. 32 GDPR. |
| Politica di pagamento, rinnovo, sospensione per mora | Sempre |
Fonti normative
Reg. (UE) 2016/679 (GDPR) — artt. 4, 6, 9, 10, 13-14, 28, 30, 32, 35
D.lgs. 206/2005 (Codice del Consumo) — artt. 33 ss., 49, 52 ss. e 135-octies ss.
Reg. (UE) 2024/1689 (AI Act), come modificato dal Reg. (UE) 2026/1744 (Digital Omnibus on AI); Reg. (UE) 2023/2854 (Data Act); Reg. (UE) 2022/2065 (DSA); Dir. 2019/882 (EAA), D.lgs. 82/2022
D.lgs. 70/2003 — commercio elettronico
Quando una verifica legale personalizzata è particolarmente utile
Quando il servizio tratta dati personali di terzi, utilizza API di terzi per l'AI, prevede abbonamenti a consumatori, coinvolge più fornitori tecnologici o vende anche a clienti business. In questi casi la documentazione standard non basta: il rischio si valuta sul tuo flusso dati reale.
Hai già sviluppato il tuo servizio digitale?
In una sessione dedicata analizziamo modello di servizio, dati trattati, strumenti AI e rapporti con i clienti per individuare le principali criticità e gli adempimenti legali.
Con una prima chiamata gratuita sarà possibile descrivere il proprio progetto nel rispetto della riservatezza e del segreto professionale, comprendere quali sono le necessità operative e richiedere un preventivo per l'attività del professionista.
Contatta l'avvocatoL'articolo ha finalità puramente informativa e non costituisce consulenza legale né instaura un rapporto professionale. Le norme citate sono indicate nella versione vigente alla data di pubblicazione; l'applicazione concreta dipende dalla specifica configurazione del servizio.
L'articolo è dell'Avv. Alessandro Marinuzzi, che ne ha la responsabilità professionale.