Paslaugų teikimo užsakomosios paslaugos SaaS įmonėms Lietuvoje

Išorės finansų direktorius atlieka vyresniosios SaaS įmonės finansinę priežiūrą – ne tik buhalterijos priežiūrą, bet ir tikrą strateginį finansų valdymą. SaaS verslui tai reiškia mėnesines ataskaitas apie svarbius rodiklius (MRR, ARR, NRR, klientų praradimą, CAC, LTV), paramą investuotojų komunikacijai, finansinį planavimą ir valdymą bei konsultacijas dėl finansinių sprendimų, turinčių įtakos įmonės vertei. Išorės finansų direktorius sujungia buhalterį, kuris pateikia skaičius, ir generalinio direktoriaus, kuris turi juos priimti.

Pareigų apimtis: mėnesinis SaaS metrikos ataskaitų teikimas, investuotojų informavimas, finansinis planavimas, pinigų srautų valdymas ir valdybos lygmens finansinė priežiūra.

• Mėnesinė SaaS metrikų ataskaitų suvestinė – MRR, ARR, naujas MRR, prarastas MRR, plėtros MRR, NRR, bendroji pelno marža, CAC, LTV
• MRR krioklio ataskaita – judėjimo nuo MRR atidarymo iki uždarymo vizualizacija su naujais, pakeistais ir išplėstiniais komponentais
• Investuotojų ataskaitų paketas – valdymo ataskaitos ir SaaS rodikliai, suformatuoti esamiems investuotojams ir valdybos peržiūrai
• Pinigų srauto analizė – mėnesinis pinigų srauto deginimo rodiklis, dabartinis pinigų srauto deginimas ir pagrindinių prielaidų jautrumo analizė
• Biudžeto ir faktinių rezultatų analizė – rezultatų stebėjimas pagal planą; nukrypimų ir jų veiksnių žymėjimas
• Finansinis lėšų pritraukimo pasiruošimas – finansinio modelio peržiūra, investuotojų duomenų saugyklos finansinė dalis ir išsamus patikrinimas
• Valdybos posėdžio finansinis pristatymas – finansinių medžiagų rengimas ir pristatymas valdybos posėdžiuose
• Kainodaros ir vieneto ekonomikos konsultavimas – kainodaros pokyčių, planų restruktūrizavimo ir naujų rinkos dalyvių finansinio poveikio modeliavimas

Išorės teisininkas teikia nuolatines teisines konsultacijas SaaS įmonei – peržiūri ir derasi dėl komercinių sutarčių, konsultuoja intelektinės nuosavybės klausimais, stebi reguliavimo pokyčius, turinčius įtakos produktui ar verslo modeliui, ir rengia teisinę korespondenciją bei dokumentus, susijusius su kasdiene veikla. SaaS įmonei, kuri nuolat sudaro klientų sutartis, partnerių sutartis ir darbo dokumentus, teisinis patarėjas teikia vyresniojo rango teisinę apsaugą už nuspėjamą mėnesinį mokestį, be kintamų valandinio teisinio atsiskaitymo išlaidų.

Pareigų apimtis: nuolatinė sutarčių peržiūra, intelektinės nuosavybės valdymas, darbo teisės konsultavimas, reguliavimo stebėsena ir teisinė korespondencija.

• Kliento sutarties peržiūra – gaunamų įmonės klientų pateiktų prenumeratos sutarties apribojimų peržiūra
• DPA derybos – kliento siūlomų nestandartinių DPA sąlygų peržiūra ir atsakymas į jas
• Intelektinės nuosavybės valdymas – konsultavimas dėl intelektinės nuosavybės perleidimo klausimų, kai jie kyla; intelektinės nuosavybės nuosavybės registro tvarkymas
• Darbo teisės konsultacijos – konsultacijos dėl įdarbinimo sprendimų, atleidimo iš darbo, nekonkuravimo principo vykdymo ir žmogiškųjų išteklių ginčų
• Komercinių sutarčių rengimas — naujos partnerių sutartys, perpardavėjų sąlygos, API sutartys ir konfidencialumo sutartys
• Reguliavimo pokyčių stebėsena – produkto ir verslo modelio aktualių teisinių pokyčių stebėjimas Lietuvoje ir ES.
• Teisinė korespondencija – oficialių pranešimų klientams, sandorio šalims ir reguliavimo institucijoms rengimas
• Mėnesinė teisinė apžvalga – rašytinė bet kokių reguliavimo pokyčių, reikalaujančių veiksmų ar informuotumo, santrauka

Pagal BDAR 37 straipsnį duomenų apsaugos pareigūno (DAP) paskyrimas yra privalomas, kai organizacijos pagrindinė veikla apima reguliarų ir sistemingą asmenų stebėjimą dideliu mastu, didelio masto specialių kategorijų asmens duomenų arba duomenų, susijusių su apkaltinamaisiais nuosprendžiais ir nusikaltimais, tvarkymą arba kai taikomas kitas taikytinas teisinis reikalavimas. SaaS platformos valdymas arba didelio skaičiaus vartotojų asmens duomenų tvarkymas automatiškai nereiškia, kad DAP paskyrimas yra privalomas. Reikalavimas turi būti vertinamas atsižvelgiant į tvarkymo veiklos pobūdį, apimtį, tikslus ir mastą. DAP stebi BDAR laikymąsi, konsultuoja duomenų apsaugos įsipareigojimų klausimais, veda mokymus ir veikia kaip duomenų subjektų ir Valstybinės duomenų apsaugos inspekcijos (VDAI) kontaktinis asmuo. BDAR aiškiai leidžia DAP vaidmenį atlikti išorės paslaugų teikėjui. SaaS įmonėms DAP funkcija turi specifinį aspektą: įmonė yra ir duomenų valdytoja (savo vartotojų duomenims), ir duomenų tvarkytoja (savo klientų vartotojų duomenims), ir DAP turi suprasti abu vaidmenis.

Pareigų apimtis: BDAR atitikties programos valdymas, ryšių palaikymas su SDPI, duomenų subjektų teisių tvarkymas, subrangovų valdymas ir konsultacijos DPA klausimais.

• BDAR atitikties programos priežiūra – privatumo sistemos peržiūra ir priežiūra, atsižvelgiant į produkto ir komandos raidą
• Duomenų subjekto teisių valdymas – atsakymų į prieigos, ištrynimo, perkeliamumo ir prieštaravimų prašymus koordinavimas laikantis BDAR nustatytų terminų.
• Duomenų saugumo pažeidimo vertinimas ir pranešimas apie jį – asmens duomenų saugumo pažeidimų vertinimas ir pranešimų koordinavimas pagal BDAR 33 ir 34 straipsnius. Duomenų valdytojas privalo nedelsdamas pranešti kompetentingai priežiūros institucijai ir, kai įmanoma, per 72 valandas nuo tada, kai sužinojo apie asmens duomenų saugumo pažeidimą, nebent pažeidimas neturėtų kelti pavojaus asmenų teisėms ir laisvėms. Nukentėjusieji asmenys paprastai turi būti informuojami nedelsiant, kai pažeidimas gali sukelti didelę riziką, laikantis taikytinų išimčių. Kai SaaS įmonė veikia kaip duomenų tvarkytoja, ji privalo nedelsdama pranešti atitinkamam duomenų valdytojui po to, kai sužinojo apie pažeidimą.
• DPAV priežiūra – duomenų apsaugos poveikio vertinimų peržiūra, susijusi su naujomis produkto funkcijomis ar tvarkymo veikla
• Subtvarkytojų valdymas – subtvarkytojų sąrašo tvarkymas; klientų informavimas apie papildymus; subtvarkytojų duomenų apsaugos sutarčių peržiūra
• Kliento duomenų apsaugos konsultacijos – konsultacijos dėl klientų BDAR užklausų dėl platformos duomenų tvarkymo
• Valstybinės duomenų apsaugos inspekcijos ryšių palaikymo pareigūnas – atsako į VDAI užklausas ir bendradarbiauja su priežiūros institucijomis
• Metinė BDAR peržiūra – privatumo programos peržiūra atsižvelgiant į dabartines reguliavimo gaires ir produktų pakeitimus
• Darbuotojų duomenų apsaugos mokymai – metinis mokymų vedimas; lankomumo ir kompetencijos įrašai

SaaS įmonėms, kurioms reikalingas ir nuolatinis teisinis patarėjas, ir duomenų apsaugos pareigūnas, gali būti tinkamas jungtinis paslaugų susitarimas, jei pagal BDAR 38 straipsnį užtikrinamas duomenų apsaugos pareigūno nepriklausomumas ir interesų konfliktų nebuvimas. Kai tas pats specialistas atlieka abi funkcijas, reikia atidžiai įvertinti jo atsakomybę, siekiant užtikrinti, kad jis nenustatytų asmens duomenų tvarkymo tikslų ir priemonių arba neprižiūrėtų sprendimų, už kuriuos jis yra asmeniškai atsakingas. Kai šių reikalavimų neįmanoma įvykdyti, teisinio patarėjo ir duomenų apsaugos pareigūno funkcijas turėtų atlikti atskiri specialistai. VGC yra pagrindinis įmonės teisinis resursas, tvarkantis komercines sutartis, intelektinės nuosavybės klausimus, darbo teisę, BDAR atitiktį ir duomenų apsaugą, turintis vieną kontaktinį asmenį, kuris supranta visą įmonės teisinį vaizdą. Tai efektyviausia SaaS įmonių struktūra augimo etape, kai teisiniai ir BDAR įsipareigojimai auga sparčiau, nei galėtų valdyti vienas asmuo, tačiau dar ne tokiu mastu, kad būtų galima samdyti atskirus specialistus.

Pareigų apimtis: Visapusiškas nuolatinis teisinis konsultavimas, apimantis komercines sutartis, intelektinę nuosavybę, darbo santykius, BDAR, duomenų apsaugos pareigūno funkcijas ir reguliavimo stebėseną.

• Viskas, kas įskaičiuota į išorės teisininko sutartį, plius:
• Visos duomenų apsaugos pareigūno funkcijos – BDAR programos valdymas, ryšių palaikymas SDPI, duomenų saugumo pažeidimų valdymas ir duomenų subjektų teisės
• Integruotas teisinis ir privatumo konsultavimas – konsultacijos, kuriose vienu metu atsižvelgiama į teisinius ir duomenų apsaugos aspektus.
• Subtvarkytojo ir DPA valdymas – visapusiškas DPA portfelio ir subtvarkytojų sąrašo valdymas.
• Privatumo užtikrinimo peržiūra projektuojant – konsultacijos dėl naujų produktų funkcijų tiek teisiniu, tiek BDAR požiūriu prieš kuriant produktą
• Koordinuotas teisinis ir duomenų apsaugos konsultavimas – integruotų paslaugų teikimas, kartu išsaugant duomenų apsaugos pareigūno įstatyminį nepriklausomumą. Duomenų apsaugos pareigūnas turi turėti galimybę tiesiogiai atsiskaityti aukščiausiam vadovybės lygmeniui ir atlikti savo stebėsenos bei konsultavimo pareigas be nurodymų dėl šių pareigų vykdymo. Gali prireikti atskirų specialistų arba tinkamų vidinių apsaugos priemonių, kai teisinių ir duomenų apsaugos pareigūno pareigų derinys sukelia interesų konfliktą.