Olyan szoftvert, amelyet a fejlesztőcég termékként elad a megrendelő számára, de a megrendelő a fejlesztőt bízza meg a szoftver üzemeltetésével, aki a saját infrastruktúrája részeként üzemelteti azt, a megrendelő EIR-jének kell tekinteni, de a védelmi intézkedések érvényre juttatása megoszlik a megrendelő és a fejlesztő között.