Mitä EU-edustajia yhdysvaltalainen SaaS- tai sovellusyritys tarvitsee?

• GDPR:n artikla 27, NIS2, Data Act ja AI Act voivat kaikki vaatia EU-edustajia yhdysvaltalaisille SaaS-/sovellusyrityksille.
• REP27 tarjoaa kaikki nämä roolit yhdellä sopimuksella, mukana varmennettavat todistukset.
• Kilpailijat kattavat usein vain GDPR:n tai yksittäiset kehykset; yhdistetty kattavuus on harvinaista.
• Vuosihinnat vaihtelevat: REP27 alkaen 290 €/vuosi (GDPR), 1 190 €/vuosi (NIS2), AI Act alkaen 290 €/vuosi.
• Piilokulut, irtisanomisajat ja palvelun laajuus vaihtelevat tarjoajittain – katso yksityiskohtainen vertailu.
• Kaikki yritykset eivät tarvitse jokaista edustajaa; vaatimukset riippuvat toiminnasta ja asiakaskunnasta.

Päivitetty 1 November 2026 · 5 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 1 November 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä laki vaatii: artiklanumerot ja soveltamisala

Yhdysvaltalaiset SaaS- tai sovellusyritykset, jotka kohdistavat palvelunsa EU-käyttäjille, kohtaavat monimutkaisen sääntely-ympäristön. Useat EU-lait vaativat EU:n ulkopuolisilta yrityksiltä paikallisen edustajan tai valtuutetun yhteyshenkilön nimeämistä. Jokainen laki koskee eri liiketoiminnan osa-alueita ja sisältää omat nimityssäännöt:

• GDPR artikla 27: Kaikkien EU:n ulkopuolisten yritysten, jotka tarjoavat tavaroita tai palveluita EU:n yksityishenkilöille tai seuraavat heidän käyttäytymistään, on nimettävä EU-edustaja. Tämä koskee useimpia SaaS- ja sovellusyrityksiä, joilla on EU-käyttäjiä, riippumatta palvelun maksullisuudesta. Edustaja toimii pääyhteyshenkilönä EU:n tietosuojaviranomaisille ja yksityishenkilöille (Art. 27 GDPR).
• NIS2-direktiivi: EU:n ulkopuolisten olennaisten ja tärkeiden palveluntarjoajien – kuten pilvipalveluiden, verkkokauppapaikkojen, DNS:n ja CDN:n – on nimettävä edustaja EU:n jäsenvaltiossa, jossa palveluita tarjotaan. Tämä koskee SaaS- ja alustapalveluntarjoajia, joilla on EU-asiakkaita, erityisesti jos palvelut luokitellaan kriittiseksi infrastruktuuriksi (NIS2 Art. 26).
• AI Act: EU:n ulkopuolisten korkean riskin tekoälyjärjestelmiä markkinoille tuovien on nimettävä EU:ssa sijaitseva valtuutettu edustaja ennen järjestelmän saataville asettamista. Tämä koskee SaaS- tai sovellusyrityksiä, jotka tarjoavat tekoälypohjaisia ratkaisuja EU-käyttäjille (AI Act Art. 54).
• Data Act: EU:n ulkopuolisten yhdistettyjen tuotteiden ja niihin liittyvien palveluiden valmistajien, jotka käsittelevät käyttäjätietoja, on nimettävä EU:ssa oikeushenkilöedustaja. Tämä koskee SaaS-/sovellusyrityksiä, joiden palvelut ovat vuorovaikutuksessa IoT-laitteiden kanssa tai käsittelevät tietoja yhdistetyistä tuotteista (REP27 Data Act).

Jokaisella sääntelykehikolla on omat soveltamiskriteerinsä ja laajuutensa. Esimerkiksi GDPR koskee, jos keräät EU-käyttäjiltä henkilötietoja, jopa evästeiden tai analytiikan kautta. NIS2 ja Data Act ovat tarkempia palvelutyypin ja tietojenkäsittelyn suhteen. AI Act keskittyy korkean riskin tekoälyjärjestelmiin, jotka määritellään asetuksessa. Kaikki SaaS-/sovellusyritykset eivät tarvitse jokaista edustajaa, mutta monilla on vähintään yksi velvoite.

Virheellinen edustajan nimeäminen voi johtaa ankariin seuraamuksiin, kuten sakkoihin ja EU-markkinoilta kieltoon. On tärkeää ymmärtää, mitkä lait koskevat omaa liiketoimintaa, jotta voi varmistaa vaatimustenmukaisuuden.

Miten valita EU-edustajan tarjoaja

Oikean EU-edustajan tarjoajan valinta on ratkaisevaa vaatimustenmukaisuuden, toiminnan tehokkuuden ja riskienhallinnan kannalta. Näin lähestyä päätöstä:

• Vaadittujen kehyksien kattavuus: Kaikki tarjoajat eivät kata kaikkia soveltuvia lakeja. Esimerkiksi REP27 tarjoaa edustajuuden GDPR:lle, NIS2:lle, Data Actille, AI Actille ja muille yhdellä sopimuksella, kun taas useimmat kilpailijat keskittyvät vain GDPR:ään tai tarjoavat muut kehykset lisäpalveluina. Jos tarvitset useiden kehysten kattavuutta, REP27:n kaltainen tarjoaja vähentää monimutkaisuutta.
• Sopimuksen yksinkertaisuus: Useiden sopimusten hallinta eri kehyksille lisää hallinnollista taakkaa ja riskiä aukkoihin. REP27:n yhden sopimuksen malli helpottaa vaatimustenmukaisuutta yrityksille, jotka tarvitsevat useita edustajia. Kilpailijat, kuten Lionheart Squared, tarjoavat myös monikehyspalveluita, mutta yksityiskohdat ja hinnat ovat usein pyynnön takana.
• Nimityksen todentaminen: Viranomaiset ja markkinapaikat voivat vaatia selkeää, varmennettavaa todistusta. REP27 myöntää QR-koodilla ja varmennuskoodilla varustetun todistuksen jokaisesta nimityksestä, joka on tarkistettavissa verkossa. EU Shield ja rep4eu tarjoavat allekirjoitettuja nimityksiä, mutta julkinen varmennus ei aina ole saatavilla.
• Hinnan läpinäkyvyys: REP27, EU Shield ja rep4eu julkaisevat hinnat GDPR-edustajuudelle. Lionheart Squared ja DataShield pyytävät suoraa hintakyselyä, mikä voi hankaloittaa budjetointia.
• Tuki ja vasteaika: Nopeus nimityksessä on tärkeää, jos kohtaat auditoinnin tai kiireellisen vaatimuksen. REP27 tarkistaa tiedostot ja allekirjoittaa nimitykset 24 työ tunnin sisällä. Muilla tarjoajilla aikataulut voivat vaihdella eikä niitä aina julkisteta.

Käytännön vinkki: Tee lista kaikista EU-lainsäädännöistä, jotka voivat koskea SaaS-/sovellustasi, ja tarkista, kuka tarjoajista kattaa ne kaikki. Jos tarvitset muutakin kuin GDPR:n, yhden tarjoajan ratkaisu on yleensä tehokkaampi ja helpompi hallita.

Mitä hinta todella kattaa (ja piilokulut)

On tärkeää ymmärtää, mitä saat rahallasi – ja mistä saatat joutua maksamaan erikseen. Tässä yhteenveto julkaistujen tietojen perusteella lokakuussa 2026:

• REP27: Alkaen 290 €/vuosi GDPR- tai AI Act -edustajuudesta, 1 190 €/vuosi NIS2:sta. Data Actin hinnoittelu pyynnöstä. Hinta sisältää allekirjoitetun nimityksen, varmennettavan todistuksen, julkisen varmennuksen ja kaikki vaatimustenmukaisuuskirjeenvaihdot. Lisäkehykset voidaan yhdistää yhteen sopimukseen ja laskuun. Oikeudellinen neuvonta ja oikeudenkäynnit eivät sisälly.
• EU Shield: 490 €/vuosi GDPR:lle ja GPSR:lle. Sisältää nimityksen, tietosuojakäytännön sanamuodon, artikla 30 -rekisterin säilytyksen ja viranomaisyhteydet. Ei kata NIS2:ta, AI Actia tai Data Actia. Lisäpalveluista voi aiheutua lisämaksuja.
• rep4eu: 348 €/vuosi GDPR:lle. Lisäosat DSA:lle, NIS2:lle, Data Actille ja e-Evidence:lle saatavilla pyynnöstä, hinnoittelu ei julkinen. Sisältää verkkovarausjärjestelmän ja allekirjoitetun nimityksen GDPR:lle.
• Lionheart Squared: Hinta pyynnöstä. Kattaa GDPR:n, AI Actin, DSA:n ja NIS2:n räätälöidyllä tuella. Sisältö- ja lisämaksutiedot eivät ole julkisia.
• DataShield: Hinta pyynnöstä. Kattaa vain AI Act -edustajuuden, sisältäen dokumentaation, viranomaisyhteydet ja rekisteröintituen. Muut kehykset eivät sisälly.

Piilokulut voivat sisältää:

• Lisäkehysten tai palveluiden maksut, jotka eivät sisälly perushintaan.
• Maksut asiakirjojen tarkastuksesta, viranomaisyhteyksistä tai kiireellisistä pyynnöistä.
• Irtisanomisajat tai minimisopimuskaudet.
• Vastuurajoitukset tai poissulkemiset, jotka voivat vaikuttaa riskialttiuteen.

Pyydä aina täydellinen hinnasto ja tarkista sopimuksen ehdot ennen sitoutumista. Jos tarvitset useita kehyksiä, selvitä, saatko yhden laskun ja todistuksen vai useita, sillä tämä vaikuttaa sekä kustannuksiin että hallintaan.

Miten nimitys tapahtuu: vaihe vaiheelta

EU-edustajan nimitysprosessi on suoraviivainen, mutta vaatii huolellisuutta. Tässä käytännön, vaiheittainen opas REP27:n prosessin ja alan käytäntöjen pohjalta:

1. Tunnista lakisääteiset velvoitteet: Selvitä, mitkä EU-lait koskevat liiketoimintaasi (GDPR, NIS2, AI Act, Data Act). Tämä riippuu käyttäjäkunnasta, palvelutyypistä ja tietojenkäsittelystä.
2. Valitse tarjoaja: Valitse tarjoaja, joka kattaa kaikki vaaditut kehykset. Jos tarvitset useiden lakien kattavuutta, yhden tarjoajan kuten REP27 käyttö helpottaa vaatimustenmukaisuutta.
3. Valmistele dokumentaatio: Kerää tietoja yrityksestäsi, mukaan lukien virallinen nimi, osoite, yritysrekisteri, palvelun kuvaus ja tiedot EU-toiminnasta.
4. Toimita tiedostosi: Täytä tarjoajan onboarding-lomake tai toimita tiedostosi. REP27 vaatii ihmisen tarkastuksen, joka tehdään yleensä 24 työ tunnin sisällä.
5. Tarkastus ja allekirjoitus: Tarjoaja tarkistaa tiedostosi täydellisyyden ja oikeellisuuden. Jos jotain puuttuu, sinuun otetaan yhteyttä. Hyväksynnän jälkeen nimitys allekirjoitetaan.
6. Vastaanota todistus: Saat allekirjoitetun kirjeen, todistuksen QR-koodilla ja varmennuskoodilla sekä tarkan sanamuodon tietosuojaselosteeseen tai dokumentaatioon. REP27:n todistuksen voi tarkistaa julkisesti verkossa.
7. Päivitä lakitiedot: Lisää edustajan tiedot tietosuojaselosteeseen, verkkosivuille tai tuotetietoihin lain vaatimalla tavalla.
8. Varmennus: Viranomaiset, markkinapaikat tai asiakkaat voivat tarkistaa nimityksesi verkossa todistuksen tai koodin avulla.

Tämän päivän tarkistuslista:

1. Arvioi, mitkä EU-lait koskevat SaaS-/sovellustasi.
2. Kerää yrityksen ja palvelun tiedot.
3. Vertaa tarjoajia ja pyydä tarjouksia.
4. Toimita tiedostosi ja suorita onboarding.
5. Päivitä kaikki asiaankuuluvat dokumentit edustajan tiedoilla.

Ajoissa tapahtuva nimitys on ratkaisevan tärkeää – viivästykset voivat johtaa valvontatoimiin tai menetettyihin liiketoimintamahdollisuuksiin, erityisesti jos markkinapaikat tai kumppanit vaativat todisteita vaatimustenmukaisuudesta.

Riskit ja sakot vaatimusten laiminlyönnistä

EU-edustajan nimeämättä jättäminen voi aiheuttaa vakavia seurauksia SaaS- ja sovellusyrityksille:

• GDPR: Sakot voivat nousta jopa 20 miljoonaan euroon tai 4 % maailmanlaajuisesta liikevaihdosta, riippuen kumpi on suurempi (Art. 83 GDPR). Edustajan nimeämättä jättäminen on suora rikkomus ja voi johtaa tutkintoihin, valvontatoimiin ja mainehaittoihin.
• NIS2: NIS2-direktiivi määrää hallinnollisia sakkoja ja toistuvia rangaistuksia, joiden määrät määrittää kukin jäsenvaltio. Laiminlyönti voi johtaa myös EU-toiminnan keskeytysmääräyksiin tai palvelurajoituksiin (NIS2).
• AI Act: Sakot vaihtelevat 40–50 miljoonan euron välillä tai 2–4 % maailmanlaajuisesta liikevaihdosta rikkomuksesta riippuen. Korkean riskin tekoälyjärjestelmien osalta edustajan nimeämättä jättäminen voi johtaa EU-markkinoilta kieltämiseen (AI Act).
• Data Act: Sakot määritellään jäsenvaltioittain, mutta valvontaan voi kuulua hallinnollisia seuraamuksia ja määräyksiä tietojenkäsittelyn tai palveluiden lopettamisesta EU:ssa.

Muita riskejä ovat:

• Markkinapaikat (kuten Amazon tai Shopify) voivat keskeyttää tuotteidesi myynnin, jos et pysty toimittamaan voimassa olevaa EU-edustajaa koskevaa todistusta.
• Liiketoimintamahdollisuuksien tai kumppanuuksien menettäminen vaatimustenmukaisuuden puuttuessa.
• Mainehaitat ja asiakasluottamuksen menetys.

Oikean edustajan nimeäminen ei ole pelkkä muodollisuus – se on keskeinen vaatimustenmukaisuuden askel, joka suojaa liiketoimintaasi merkittäviltä taloudellisilta ja toiminnallisilta riskeiltä.

Päätösmatriisi: kuka tarvitsee mitä?

Käytä tätä matriisia määrittääksesi, ketä edustajaa yrityksesi tarvitsee liiketoimintamallisi ja toimintasi perusteella:

Käytännön ohjeita:

• Tarkista käyttäjäkuntasi ja tuotteesi/palvelusi tarjonta määrittääksesi, mitkä velvoitteet koskevat sinua.
• Jos käsittelet henkilötietoja EU:n yksityishenkilöiltä, GDPR artikla 27 koskee sinua.
• Jos tarjoat pilvi-, markkinapaikka- tai kriittisiä digitaalisia palveluita EU:lle, tarkista NIS2:n soveltuvuus.
• Jos tarjoat korkean riskin tekoälyjärjestelmiä, AI Act -edustaja on pakollinen.
• Jos palvelusi on vuorovaikutuksessa yhdistettyjen laitteiden kanssa tai käsittelee IoT-dataa, tarkista Data Actin vaatimukset.

Epäröidessäsi tutustu virallisiin teksteihin tai pyydä valvontatarkastus valitsemaltasi tarjoajalta.

Mitä tarjoajat eivät yleensä kerro

Monet tarjoajat eivät korosta etukäteen tärkeitä yksityiskohtia ja poissulkemisia:

• Kehyksen rajoitukset: Monet tarjoajat kattavat vain GDPR:n, eivät NIS2:ta, Data Actia tai AI Actia. Jos tarvitset monikehyspalvelua, saatat tarvita useita sopimuksia – ellei käytä REP27:n kaltaista tarjoajaa.
• Irtisanomisajat ja sopimusehdot: Irtisanomisajat ja minimisopimuskaudet ovat usein piilotettuja sopimuksen pieniin kirjaimiin. Tämä voi vaikuttaa mahdollisuuteesi vaihtaa tarjoajaa tai lopettaa palvelu.
• Vastuurajoitukset: Tarjoajat voivat rajoittaa vastuunsa vaatimustenmukaisuuden epäonnistumisissa tai kaventaa vastuualueitaan. Tarkista aina sopimuksen ehdot näiden osalta.
• Pyynnöstä veloitettavat maksut: Joillakin tarjoajilla on lisämaksuja viranomaisyhteyksistä, asiakirjojen tarkastuksista tai kiireellisistä pyynnöistä. Näitä ei välttämättä kerrota selkeästi verkkosivuilla.
• Nimityksen todistus: Kaikki tarjoajat eivät tarjoa varmennettavaa todistusta tai julkista varmennussivua. Tämä voi olla ongelma viranomaisten tai markkinapaikkojen kanssa, jotka vaativat todisteita.
• Poissulkemiset: Oikeudellinen neuvonta, oikeudenkäynnit ja syvällinen vaatimustenmukaisuuskonsultointi eivät yleensä sisälly perusedustajapalveluihin. Jos tarvitset näitä, varaudu maksamaan erikseen tai käyttämään erillistä asiantuntijaa.

Ennen sopimuksen allekirjoittamista pyydä koko sopimus, kysy kaikki mahdolliset maksut ja tarkista palvelun laajuus. Monimutkaisia tarpeita omaaville SaaS-/sovellusyrityksille läpinäkyvä, kokonaisvaltainen tarjoaja vähentää piiloriskiä ja hallinnollista taakkaa.

Realistiset skenaariot: mitkä velvoitteet koskevat?

• Skenaario 1: Yhdysvaltalainen SaaS, jolla on EU-käyttäjiä
  Yhdysvaltalainen SaaS-yritys tarjoaa projektinhallintatyökalua EU:n yrityksille ja yksityishenkilöille. Se kerää käyttäjätietoja ja tarjoaa pilvipalveluita. Yritys tarvitsee GDPR artikla 27 -edustajan (tietojenkäsittely), NIS2-edustajan (pilvipalvelut) ja AI Act -edustajan, jos se tarjoaa tekoälyominaisuuksia. Jos SaaS integroituu IoT-laitteisiin tai käsittelee yhdistettyjen tuotteiden tietoja, tarvitaan myös Data Act -edustaja. Helpoin tapa on nimittää REP27, joka kattaa kaikki nämä roolit yhdellä sopimuksella, yhdellä todistuksella ja julkisella varmennuksella.
• Skenaario 2: Kiinalainen Amazon-myyjä
  Kiinalainen myyjä listaa elektroniikkaa Amazon.de:ssä ja kerää EU-asiakastietoja. Hän tarvitsee GDPR-edustajan (tietojenkäsittely) ja GPSR-vastuuhenkilön (tuoteturvallisuus). REP27 ja EU Shield tarjoavat nämä palvelut. Jos myyjä kohdistaa myös UK-markkinoille, REP27 voi toimittaa UK-edustajan samassa prosessissa.
• Skenaario 3: UK-verkkokauppa, joka myy EU:lle
  Brittiläinen verkkokauppa myy kosmetiikkaa EU-kuluttajille Brexitin jälkeen. Se tarvitsee GDPR artikla 27 -edustajan (koska UK on EU:n ulkopuolella) ja vastuuhenkilön kosmetiikkatuotteille. REP27 kattaa sekä EU- että UK-velvoitteet, myöntäen kaksi todistusta ja yhden laskun.

Nämä skenaariot havainnollistavat, kuinka tärkeää on kartoittaa liiketoiminnan EU-velvoitteet. Tarjoajan valinta, joka kattaa kaikki vaaditut kehykset, helpottaa vaatimustenmukaisuutta ja vähentää hallinnollista kuormaa.