La adopción de software como servicio (SaaS) en el tejido empresarial español ha acelerado de forma notable durante los últimos años. Las empresas contratan plataformas de terceros para gestionar desde la contabilidad hasta la relación con sus clientes, cediendo en el proceso datos críticos, procesos internos y, en muchos casos, el control sobre activos que determinan su competitividad. Sin embargo, los contratos que regulan esa relación suelen negociarse con prisa, firmarse sin lectura exhaustiva y archivarse hasta que surge un conflicto.
El modelo SaaS invierte la lógica clásica del contrato de servicios tecnológicos. El cliente no adquiere el software: accede a él. No controla la infraestructura: la usa. No puede auditar el código: confía en la disponibilidad declarada por el proveedor. Esta asimetría estructural tiene consecuencias jurídicas que conviene no subestimar.
Desde la perspectiva de la propiedad intelectual y tecnología, el contrato SaaS es, en esencia, un contrato de licencia de uso sobre software ajeno combinado con un contrato de prestación de servicios de alojamiento y mantenimiento. Que ambas modalidades convivan en un solo documento no elimina sus diferencias: los derechos cedidos, las limitaciones de uso y las condiciones de terminación siguen rigiéndose por regímenes distintos.
En nuestra experiencia asesorando a empresas en España, el error más frecuente no es firmar un contrato desfavorable. Es firmar un contrato sin haber identificado qué cláusulas son verdaderamente críticas para el negocio concreto. Una empresa de fabricación que usa un SaaS de gestión de producción tiene un perfil de riesgo completamente distinto al de una consultora que usa la misma plataforma para gestionar su agenda de reuniones.
La experiencia práctica de la firma permite identificar cuatro grupos de cláusulas que concentran la mayor parte del riesgo jurídico y operativo en los contratos SaaS.
La cláusula de titularidad de datos es, con diferencia, la más infravalorada. Los proveedores suelen incluir en sus condiciones generales una licencia amplia sobre los datos del cliente para operar el servicio, mejorar la plataforma y desarrollar nuevas funcionalidades. La empresa firma sin leer y, semanas después, descubre que sus datos de ventas, sus patrones de comportamiento de clientes o sus modelos operativos alimentan el entrenamiento de sistemas de inteligencia artificial del proveedor.
¿Cómo evitarlo? La negociación debe circunscribir la licencia de datos al estricto objeto del servicio contratado y excluir expresamente cualquier uso secundario sin consentimiento previo y explícito. Esta restricción es negociable. Es también una obligación que impone el Reglamento General de Protección de Datos (RGPD) cuando los datos incluyen información personal de empleados, clientes o proveedores de la empresa.
Conforme al RGPD, el proveedor SaaS actúa como encargado del tratamiento. El contrato debe incluir un acuerdo de tratamiento de datos con el contenido mínimo exigido por la normativa: instrucciones de tratamiento, medidas de seguridad, condiciones de subcontratación y obligaciones en caso de brecha. La notificación de una brecha de seguridad a la Agencia Española de Protección de Datos (AEPD) debe producirse en el plazo de 72 horas. Sin cláusula contractual que obligue al proveedor a notificar la brecha al cliente de forma inmediata, ese plazo resulta imposible de cumplir.
Los acuerdos de nivel de servicio (SLA, por sus siglas en inglés) definen la disponibilidad comprometida por el proveedor, habitualmente expresada como un porcentaje de tiempo activo mensual. Una disponibilidad del 99,9 % parece elevada. Equivale, sin embargo, a algo menos de nueve horas de inactividad permitida al año. Para un e-commerce o una plataforma de atención al cliente, esa cifra puede suponer pérdidas operativas significativas.
El problema real no es la cifra de disponibilidad. Es el mecanismo de compensación. La mayoría de los contratos SaaS limitan el remedio por incumplimiento del SLA a un crédito de servicio, es decir, a una reducción proporcional de la siguiente factura. Ese crédito no cubre los daños reales sufridos por el cliente: pérdida de ventas, coste de medidas alternativas o daño reputacional.
La negociación debe perseguir dos objetivos. Primero, que el SLA defina con precisión qué se mide, cómo se mide y quién lo mide. Segundo, que el régimen de compensación contemple, al menos para interrupciones prolongadas, la posibilidad de resolver el contrato sin penalización. Esta segunda cláusula es la que los proveedores resisten con mayor firmeza y la que más justifica la intervención de asesoramiento jurídico especializado antes de la firma.
Hemos observado que muchas empresas descubren la importancia de esta cláusula solo cuando deciden cambiar de proveedor. En ese momento, comprueban que el contrato no garantiza la exportación de sus datos en un formato utilizable, que el proveedor fija un precio desorbitado por el servicio de migración o que el plazo de conservación de datos tras la baja es de apenas treinta días.
La portabilidad de datos no es solo un derecho derivado del RGPD cuando se trata de datos personales. Es una necesidad operativa básica para cualquier empresa que quiera mantener el control sobre su continuidad de negocio. El contrato debe establecer con precisión: el formato en que se entregan los datos, el plazo de entrega desde la solicitud, el período durante el cual el proveedor conserva los datos tras la terminación y el coste, si lo hubiera, del proceso de exportación.
La portabilidad garantizada en formato estructurado y de uso común es una condición que debe negociarse en el momento de la contratación, no cuando la relación ya se ha deteriorado.
Las limitaciones de responsabilidad son ubicuas en los contratos SaaS. Algunos proveedores las configuran como exclusiones totales de responsabilidad por daños indirectos, pérdida de beneficios o pérdida de datos. Otros fijan un techo de responsabilidad equivalente a las cuotas pagadas en los últimos tres o seis meses.
Estas cláusulas no son automáticamente válidas en Derecho español. La legislación mercantil española establece límites a la exclusión de responsabilidad cuando existe dolo o negligencia grave. Los tribunales españoles han declarado nulas cláusulas que, en la práctica, vacían de contenido la obligación esencial del proveedor. En nuestra práctica hemos observado que los contratos redactados bajo ley extranjera y sometidos a jurisdicción foránea presentan una mayor resistencia a la impugnación, lo que refuerza la importancia de negociar tanto la ley aplicable como el foro antes de la firma.
La estrategia no es eliminar toda limitación de responsabilidad, lo cual es poco realista en proveedores de gran escala. La estrategia es reducir el techo de responsabilidad a importes que sean realmente proporcionales al impacto que un fallo del servicio puede causar al negocio del cliente.
La empresa que contrata un servicio SaaS no es un consumidor pasivo. La normativa le atribuye obligaciones propias que no puede delegar en el contrato.
Desde la perspectiva de la protección de datos, la empresa es responsable del tratamiento aunque lo ejecute un tercero. Si el proveedor SaaS subcontrata servicios de alojamiento en centros de datos fuera del Espacio Económico Europeo, la empresa debe verificar que existen garantías adecuadas de transferencia internacional. El contrato debe imponer al proveedor la obligación de informar con antelación suficiente sobre cualquier cambio en la cadena de subencargados que pueda afectar a esas garantías.
En el ámbito de la propiedad intelectual, la empresa debe proteger activamente su know-how y sus secretos empresariales antes de compartirlos con un proveedor SaaS. Si la plataforma requiere acceso a modelos de negocio, algoritmos propietarios o bases de datos con valor competitivo, el contrato debe incluir cláusulas de confidencialidad robustas y mecanismos que garanticen el retorno o la destrucción de esa información al término de la relación.
La protección del secreto empresarial está regulada en España por la normativa de competencia desleal, que transpone la directiva europea en la materia. Para que el secreto esté protegido, la empresa debe demostrar que tomó medidas razonables para mantenerlo reservado. Un contrato SaaS sin cláusula de confidencialidad puede debilitar esa posición defensiva.
El contrato SaaS no es solo un asunto de los equipos de tecnología. Involucra decisiones que afectan a la estrategia, las finanzas y el riesgo corporativo. La dirección debe gestionar activamente al menos cuatro momentos críticos.
Este es el momento de mayor palanca. Una vez firmado el contrato, renegociar cláusulas desfavorables requiere una posición de negociación que pocas empresas mantienen frente a proveedores consolidados.
La empresa debe identificar, antes de sentarse a negociar, sus activos más sensibles: qué datos va a cargar en la plataforma, qué procesos va a automatizar, qué información sobre clientes o sobre su propia producción va a quedar almacenada en servidores ajenos. Ese inventario de activos es la base para definir qué cláusulas son prescindibles y cuáles son innegociables.
En nuestra experiencia, los proveedores de tamaño medio tienen más flexibilidad para negociar condiciones específicas que los grandes proveedores globales, cuyos contratos estándar son prácticamente inamovibles en los términos generales. Pero incluso con los grandes proveedores, es posible negociar condiciones particulares mediante órdenes de trabajo o acuerdos de nivel de servicio adicionales que complementen el contrato marco.
La mayoría de los contratos SaaS exigen que el cliente notifique los incumplimientos del SLA dentro de un plazo específico para poder reclamar el crédito correspondiente. Esos plazos son habitualmente cortos. Una empresa que no tiene un proceso interno de monitorización del servicio y de documentación de las incidencias perderá sistemáticamente su derecho a compensación.
La gestión contractual activa no es burocracia. Es una herramienta para acumular evidencia que resulta valiosa tanto en una renegociación como en una eventual reclamación judicial o arbitral.
Muchos contratos SaaS incluyen cláusulas de renovación automática con preaviso de terminación. Si la empresa no notifica su voluntad de no renovar dentro del plazo pactado, queda vinculada por un nuevo período completo. Hemos observado situaciones en las que empresas que habían decidido cambiar de proveedor descubrieron que su contrato se había renovado automáticamente por doce meses adicionales porque nadie en la organización había controlado el calendario contractual.
El control de los plazos de preaviso en contratos de renovación automática debe integrarse en los procesos de gestión de contratos de la empresa, no delegarse en la memoria de ninguna persona en particular.
La terminación de un contrato SaaS, ya sea por decisión propia o por resolución por incumplimiento del proveedor, activa un conjunto de obligaciones que deben estar claramente reguladas en el contrato. La empresa debe planificar con antelación la extracción de sus datos, verificar que el formato de exportación es compatible con el sistema receptor y garantizar que no hay datos residuales en los servidores del proveedor que puedan comprometer su confidencialidad o sus obligaciones en materia de protección de datos.
¿Tiene su empresa un protocolo de salida para cada contrato SaaS activo? En la mayoría de los casos, la respuesta es negativa. Y esa omisión puede convertir una decisión empresarial ordinaria en una transición costosa y conflictiva.
La creación de valor en las empresas modernas descansa cada vez más en activos intangibles: datos, algoritmos, bases de clientes, modelos de negocio y know-how operativo. Esos activos pueden estar en riesgo cuando se gestionan a través de plataformas de terceros sin las cautelas contractuales adecuadas.
Un secreto empresarial no tiene coste de registro. A diferencia de una patente ante la Oficina Española de Patentes y Marcas (OEPM) o de una marca ante la Oficina de Propiedad Intelectual de la Unión Europea (EUIPO), el secreto empresarial se protege por la mera confluencia de tres requisitos: que la información sea secreta, que tenga valor comercial derivado de ese carácter secreto y que haya sido objeto de medidas razonables de protección.
El contrato SaaS puede ser tanto una amenaza como una oportunidad para la protección del secreto. Una cláusula de confidencialidad bien redactada, combinada con una definición precisa de la información protegida y obligaciones claras de destrucción o devolución al término del contrato, refuerza la posición de la empresa en caso de litigio. Una cláusula genérica que se limita a declarar que "las partes mantendrán la confidencialidad de la información intercambiada" ofrece una protección jurídica considerablemente más débil.
La protección del secreto empresarial se articula también a través del contrato de licencia. Cuando la empresa no solo usa un SaaS, sino que integra su propio software con la plataforma del proveedor mediante interfaces de programación de aplicaciones (API), el contrato de licencia que regula esa integración define quién es el titular del resultado y bajo qué condiciones puede el proveedor usar las mejoras o desarrollos derivados de la integración.
Existe una creencia extendida en el entorno empresarial que conviene desmontar: que el asesoramiento jurídico en contratos tecnológicos es un coste que solo tiene sentido cuando hay conflicto. Es una premisa errónea, y los datos lo confirman.
La intervención jurídica antes de la firma de un contrato SaaS tiene un coste marginal en comparación con el coste de gestionar un conflicto derivado de un contrato mal estructurado. Los litigios sobre incumplimiento de SLA, pérdida de datos o disputas sobre titularidad de intangibles se extienden durante meses, movilizan recursos de dirección y, con frecuencia, comprometen relaciones comerciales que la empresa no puede permitirse perder.
El asesoramiento temprano actúa en tres planos. Primero, identifica las cláusulas críticas antes de que sean cláusulas problemáticas. Segundo, proporciona a la empresa un lenguaje contractual que sus equipos internos pueden reutilizar en futuras negociaciones, reduciendo el coste unitario de cada contrato sucesivo. Tercero, permite a la empresa construir una posición de negociación informada frente a proveedores que cuentan con equipos jurídicos propios.
Hemos protegido marcas, software y secretos empresariales de compañías tecnológicas e industriales que, en su momento, consideraron que la revisión jurídica de sus contratos era prescindible. En varios de esos casos, el coste del asesoramiento previo habría sido una fracción mínima del coste de la disputa que siguió.
Un análisis adicional relevante para empresas con actividades de distribución puede encontrarse en nuestra guía sobre distribución y diseño de redes comerciales, donde abordamos la interacción entre contratos tecnológicos y acuerdos de distribución digital.
Los contratos SaaS no tienen una regulación específica en el Derecho español. Su régimen jurídico resulta de la aplicación combinada de varias ramas normativas.
La legislación sobre propiedad intelectual regula los derechos sobre el software: quién es titular, qué derechos corresponden al desarrollador y cuáles pueden cederse contractualmente. El software está protegido como obra literaria, y el contrato SaaS es, en su dimensión de propiedad intelectual, un contrato de licencia de uso no exclusivo sobre el programa.
La normativa de contratación mercantil española establece el marco general de validez, interpretación y ejecución de los contratos entre empresas. Los principios de buena fe contractual, el régimen de vicios del consentimiento y las limitaciones a las cláusulas abusivas entre partes no consumidoras tienen aplicación directa sobre las condiciones generales de los proveedores SaaS.
El RGPD y la Ley Orgánica de Protección de Datos (LOPDGDD) imponen obligaciones que no pueden eliminarse por contrato: el acuerdo de encargado del tratamiento, las garantías de transferencia internacional, los derechos de los interesados y el régimen de responsabilidad entre responsable y encargado.
La normativa sobre protección de la información confidencial y los secretos empresariales completa el cuadro, especialmente relevante cuando la plataforma SaaS da acceso a información estratégica de la empresa.
En operaciones con proveedores establecidos fuera de la Unión Europea, la ley aplicable y el foro competente adquieren una importancia decisiva. Un contrato sometido a ley de un estado de Estados Unidos y con cláusula de arbitraje en ese país coloca a la empresa española en una posición de desventaja procesal considerable en caso de conflicto. Coordinamos con abogados locales de confianza en la jurisdicción correspondiente cuando la operación así lo requiere.
A modo de síntesis operativa, estas son las cláusulas que cualquier empresa debe revisar antes de comprometerse con un proveedor SaaS, independientemente de su tamaño o sector.
¿Ha revisado su empresa estas cláusulas en los últimos contratos SaaS que ha firmado? Si la respuesta genera dudas, conviene no aplazarlo.
La adecuada gestión contractual del entorno SaaS conecta directamente con otras áreas de práctica. Las empresas que trabajan con plataformas tecnológicas de terceros suelen tener, de forma paralela, necesidades de protección de su marca y de su propiedad industrial. El registro de marca ante la OEPM a nivel nacional o ante la EUIPO para una marca de la Unión Europea garantiza que el posicionamiento comercial de la empresa queda protegido con independencia de los proveedores tecnológicos que use en cada momento. Del mismo modo, las obligaciones de cumplimiento en materia de protección de datos derivadas de un contrato SaaS se articulan mejor cuando la empresa cuenta con un programa de compliance integral que cubre toda la cadena de tratamiento de datos.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.