# Saas Msa Review

> 中国SaaS订阅协议审查——专注订阅交易中最关键的条款： 自动续期机制、价格上涨、数据迁移、SLA正常运行时间、子处理者权利。 适用情形：用户说"审一下这个SaaS合同"、"评估这个订阅协议"。 内置于 /commercial-legal:review，当检测到SaaS或订阅协议时自动加载。

- Skill: `vivy-yi/saas-msa-review` (Agent Skill)
- Install (CLI): `npx skillmds@latest add vivy-yi/saas-msa-review`
- Raw SKILL.md: https://api.skillmd.com/api/skills/vivy-yi/saas-msa-review/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- Author: vivy-yi (https://skillmd.com/u/vivy-yi)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/vivy-yi/saas-msa-review

---


## 数据源与判断框架引用

本 skill 引用场景级配置 `../../CLAUDE.md`。
来源标注规范（[YD]/[WKL]/[BD]/[GOV]/[model]）参见场景级 references/ 目录。

# /saas-msa-review — SaaS订阅协议审查

## 加载上下文

首次使用时，读取 `../CLAUDE.md` 获取合同审查风险等级规则和违约金判断规则。

## 核心概念

SaaS订阅协议是长期绑定的技术服务合同，核心风险不在签约时的一次性条款，而在持续履行过程中的自动续期、价格上涨、SLA达标、数据导出和供应商锁定等长期性问题。中国PIPL和数据安全法对SaaS服务提出了额外的合规要求，尤其是数据跨境传输和个人信息委托处理方面。

## 工作流程

### 第一步：定价与续期条款审查

| 条款 | 绿灯 ✅ | 黄灯 ⚠️ | 红灯 🔴 |
|------|--------|---------|---------|
| 自动续期 | 有续期通知窗口≥60天 | 通知窗口30-60天 | 无通知窗口或<30天 |
| 价格上涨 | 有CPI或固定比例上限（如每年≤5%）| 有上限但较高（>10%）| 无上限/"合理调整" |
| 付款条款 | 月付/季付 | 年付 | 预付多年且不可退款 |
| 最低消费 | 无 | 有但可协商调整 | 有且严格不可调 |

**建议谈判要点**：
```
自动续期：
  → 争取：提前60天书面通知续期意向，否则自动不续期
  → 底线：至少提前30天通知，给出退出窗口

价格上涨：
  → 争取：锁定当前价格3年，后续涨幅不超过CPI
  → 底线：每年涨幅不超过5%，提前6个月通知
```

### 第二步：SLA与服务等级审查

| SLA要素 | 底线要求 | 理想要求 |
|---------|---------|---------|
| 正常运行时间 | ≥99.5% | ≥99.9% |
| 月度可用性计算 | 排除计划内维护（须在非工作时间）| 排除计划内维护+不超过8小时/月 |
| 服务信用（SLA退费）| 月度可用性99-99.5%：5%退费 | 99.5-99.9%：10%；<99%：25% |
| 响应时间 | P1（严重）1小时内响应 | P1 30分钟内响应 |
| 问题升级路径 | 有明确的升级联系人和流程 | 有SLA违约自动退费机制 |
| 第三方集成服务 | Saa供应商对第三方供应商的SLA不负责 | 对第三方供应商的选择和执行负责 |

**SLA审查清单**：
- [ ] 可用性计算是否包含计划内维护？
- [ ] 计划内维护是否有时间限制（如工作时间外）？
- [ ] 服务信用的支付是否自动触发还是需要申请？
- [ ] 服务信用的年度上限是否合理？
- [ ] 是否有SLA豁免情形（如超出用户控制范围的事件）？
- [ ] 针对关键业务，是否有SLA升级承诺？

### 第三步：数据与隐私条款审查

| 条款 | 审查要点 | 合规要求 |
|------|---------|---------|
| 数据处理 | 服务商处理哪些数据？处理器还是控制器？ | PIPL第21条要求明确委托处理范围 |
| DPA（数据处理协议）| 是否有独立DPA？内容是否符合PIPL？ | 须包含：处理目的、期限、方式、数据种类、保护措施 |
| 数据存储 | 数据存储在中国境内还是境外？ | 关键信息基础设施+个人信息达到一定数量须境内存储 |
| 跨境传输 | 是否有跨境传输安排？ | PIPL第38条：安全评估/认证/标准合同 |
| 子处理者 | 是否允许使用子处理者？变更是否通知？ | 须有子处理者名单+变更通知+我方异议权 |
| 数据导出 | 合同终止后数据能否完整导出？格式是否开放？ | 建议争取：免费导出+标准格式+60天导出期 |
| 数据删除 | 合同终止后何时删除数据？ | 建议争取：合同终止30天内删除+书面确认 |
| AI训练 | 服务商能否用我方数据训练AI模型？ | 须明确禁止或取得书面同意，尤其涉及商业秘密 |

### 第四步：终止与退出条款审查

| 情形 | 审查要点 | 建议 |
|------|---------|------|
| 无故终止 | 供应商是否有权无故终止？ | 争取：对等约定，或供应商不可无故终止 |
| 违约终止 | 通知期限和补救期 | 重大违约：30天补救期；支付违约：10天 |
| 退出支持 | 合同终止后的过渡支持 | 争取：90天过渡期+合理费用 |
| 数据迁移 | 是否有标准的数据迁移工具和格式？ | 争取：免费数据导出+API访问+60天 |

### 第五步：升级决策门

> "SaaS订阅协议是长期绑定合同，签约后的运营限制往往远大于签约时的条款风险。以下情形须移交专业律师：(1)无SLA或SLA低于行业标准；(2)价格涨幅无上限；(3)无数据导出权利或导出费用过高；(4)使用AI训练客户数据的条款；(5)数据跨境传输不符合PIPL要求；(6)无DPA或DPA不符合PIPL标准。本审查为初步风险评估，不构成正式法律意见，正式签署前建议由数据合规律师审核DPA和跨境传输安排。"

## 输出格式

```
═══════════════════════════════════════
SaaS订阅协议审查报告
═══════════════════════════════════════
供应商：[自动填写]
合同期间：[___]年
费用结构：[___]
风险等级：[HIGH/MEDIUM/LOW]
═══════════════════════════════════════

## 分类结果

🔴 RED — 须律师审核
- [条款]

⚠️ YELLOW — 建议修改
- [条款]

✅ GREEN — 可接受
- [条款]

## 关键条款审查
| 条款 | 评分 | 建议 |
|------|------|------|
| 自动续期 | ✅/⚠️/🔴 | [___] |
| 价格上涨 | ✅/⚠️/🔴 | [___] |
| SLA | ✅/⚠️/🔴 | [___] |
| 数据保护/DPA | ✅/⚠️/🔴 | [___] |
| 数据导出/删除 | ✅/⚠️/🔴 | [___] |
| AI训练 | ✅/⚠️/🔴 | [___] |
| 终止权 | ✅/⚠️/🔴 | [___] |

## 谈判要点优先级
1. [___]（必须修改）
2. [___]（建议修改）
3. [___]（可接受）

## 路由
[业务自行签署/法务审核/外部律师审核+数据合规]
```

## 本技能不涵盖

- **全面PIPL合规审查** — 须专项数据合规技能
- **具体SaaS产品功能验收** — 合同条款与产品功能的匹配性确认
- **代理SaaS合同纠纷诉讼**
- **开源软件许可合规性审查**