La digitalización de la empresa ha convertido el software como servicio (SaaS) en la columna vertebral de procesos críticos: facturación, gestión de clientes, cadena de suministro, recursos humanos. Sin embargo, en nuestra experiencia, muchas empresas firman un contrato SaaS sin haber leído con detenimiento sus cláusulas de propiedad intelectual, de protección de datos o de limitación de responsabilidad. El resultado suele ser el mismo: el proveedor conserva el control sobre el intangible, y el cliente descubre sus carencias cuando ya es tarde para negociar.
Un contrato SaaS no es un contrato de compraventa de software. Es, en esencia, un contrato de prestación de servicios con una licencia de uso subyacente y un tratamiento de datos asociado. Esta distinción importa porque determina qué normas resultan aplicables y qué obligaciones recaen sobre cada parte.
La legislación mercantil española reconoce la libertad de pacto entre empresas, pero establece límites relevantes. La legislación sobre propiedad intelectual protege el código fuente del proveedor como obra del intelecto; sin un contrato bien redactado, el cliente puede encontrarse con que carece de derechos sobre las adaptaciones o los datos generados dentro de la plataforma. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD) imponen, además, un régimen específico cuando el proveedor SaaS actúa como encargado del tratamiento de datos personales del cliente.
¿Sabía usted que la ausencia de un contrato de encargo del tratamiento puede convertir al proveedor en corresponsable del tratamiento? La Agencia Española de Protección de Datos (AEPD) lo ha señalado en diversas orientaciones: la formalización del acuerdo de encargo no es optativa. Es un requisito legal cuyo incumplimiento expone a la empresa a sanciones y a la responsabilidad solidaria frente a afectados.
Adicionalmente, si el proveedor SaaS aloja datos en servidores fuera del Espacio Económico Europeo, entran en juego las reglas de transferencias internacionales del RGPD. El contrato debe preverlo con instrumentos adecuados: cláusulas contractuales tipo, decisiones de adecuación o garantías equivalentes. Esta previsión no puede dejarse a la negociación posterior.
En nuestra práctica hemos observado que las empresas medianas suelen asumir que el contrato estándar del proveedor ya cumple con la normativa española. Rara vez es así sin una revisión adaptada al modelo de tratamiento concreto de la empresa cliente.
La arquitectura de un contrato SaaS eficaz descansa sobre ocho cláusulas que no conviene negociar de forma aislada. Cada una interactúa con las demás.
La cláusula de propiedad intelectual debe especificar quién es titular del software subyacente, de las personalizaciones desarrolladas a petición del cliente y de los datos generados durante el uso del servicio. En muchos contratos estándar, el proveedor retiene la propiedad de las personalizaciones. El cliente debe exigir, al menos, una licencia perpetua sobre los desarrollos realizados a su costa.
Los datos que el cliente introduce en la plataforma son, en principio, del cliente. Pero si el contrato guarda silencio sobre los datos derivados – análisis, patrones de uso, modelos predictivos generados a partir de los datos del cliente – el proveedor puede explotarlos. La cláusula de titularidad de datos derivados es una de las más frecuentemente omitidas y una de las de mayor impacto estratégico.
Los acuerdos de nivel de servicio (Service Level Agreements o SLA) determinan la disponibilidad garantizada del sistema, los tiempos de resolución de incidencias y las compensaciones aplicables. Un SLA que prevea una disponibilidad del 99,5 % anual permite, en teoría, hasta cuarenta y cuatro horas de inactividad al año. Para un proceso crítico, esa cifra puede ser inadmisible.
Las compensaciones pactadas en los SLA suelen ser créditos de servicio, no indemnizaciones dinerarias. El contrato debe ser explícito sobre si esos créditos son la única compensación posible o si el cliente puede acumular otros remedios contractuales por daños y perjuicios. La limitación de responsabilidad del proveedor suele estar redactada en términos muy amplios; revisarla y acotarla es tarea ineludible del asesor jurídico del cliente.
¿Qué ocurre cuando la empresa decide cambiar de proveedor? El contrato debe regular el formato de exportación de los datos, el plazo durante el cual el proveedor mantiene disponibles los datos tras la resolución y el coste asociado a la migración. La ausencia de estas cláusulas genera un efecto de cautividad que beneficia exclusivamente al proveedor.
Un plazo habitual en contratos bien negociados es de treinta días tras la resolución para la exportación de datos en un formato estándar e interoperable. Sin previsión expresa, el proveedor puede eliminar los datos de forma inmediata o cobrar por su exportación a cualquier precio.
El RGPD exige que el encargado del tratamiento – el proveedor SaaS, en este caso – notifique al responsable del tratamiento cualquier brecha de seguridad sin dilación indebida. El contrato debe traducir esa obligación en un plazo concreto y en un procedimiento de notificación predefinido. La notificación a la AEPD tiene un plazo de setenta y dos horas desde que el responsable tiene conocimiento de la brecha; si el proveedor tarda días en informar al cliente, el incumplimiento del plazo legal recaerá sobre la empresa cliente, no sobre el proveedor.
Los proveedores SaaS habitualmente subcontratan infraestructura de nube, servicios de soporte o módulos funcionales. El contrato debe exigir que cualquier subcontratación sea comunicada al cliente, que el subcontratista quede vinculado por las mismas obligaciones de protección de datos y confidencialidad, y que el proveedor principal responda de los actos de sus subcontratistas. Sin esta previsión, el cliente pierde visibilidad sobre la cadena de tratamiento de sus datos.
El cliente que introduce en una plataforma SaaS información estratégica – listas de precios, datos de clientes, proyecciones financieras, fórmulas productivas – está poniendo en manos del proveedor activos que pueden constituir secretos empresariales protegidos por la normativa española. La cláusula de confidencialidad debe definir con precisión qué información es confidencial, durante cuánto tiempo subsiste la obligación tras el término del contrato y qué remedios tiene el cliente ante una filtración.
La protección jurídica del secreto empresarial en España exige que la empresa adopte medidas razonables para mantener la información en secreto. Un contrato que no califique expresamente esa información como confidencial puede hacer que la protección legal sea inaplicable.
Muchos contratos SaaS estándar reservan al proveedor el derecho a modificar las condiciones del servicio y la estructura de precios con un preaviso de treinta días. El cliente debe negociar, al menos, un derecho de resolución sin penalización ante modificaciones sustanciales y un período de vigencia de las condiciones económicas pactadas. En operaciones de cierta dimensión, suele pactarse un período de estabilidad de precios de uno o dos años.
Las cláusulas de resolución anticipada determinan en qué supuestos puede el cliente resolver sin coste y en cuáles deberá abonar una penalización. La insolvencia del proveedor, el incumplimiento reiterado del SLA y el cambio de control societario del proveedor son supuestos que deben figurar expresamente como causas de resolución sin penalización para el cliente.
Para la empresa que desarrolla y comercializa software en modalidad SaaS, la estructura contractual es, al mismo tiempo, un instrumento de protección de su activo principal. El código, los algoritmos y la arquitectura del sistema son obras protegidas por la legislación sobre propiedad intelectual. Pero esa protección automática no sustituye a la claridad contractual.
El proveedor debe definir con precisión qué licencia otorga al cliente: una licencia de uso no exclusiva, intransferible, limitada al número de usuarios y al propósito pactado. Sin esa delimitación, el cliente podría argumentar que puede sublicenciar el acceso a terceros o utilizar la plataforma para servicios que el proveedor no había previsto.
¿Cuántas empresas tecnológicas cuentan con una política de propiedad intelectual interna que incluya sus contratos SaaS? En nuestra experiencia asesorando a empresas tecnológicas e industriales, la respuesta es: menos de las que deberían. La protección del secreto empresarial, del código propietario y de la marca bajo la que se comercializa el servicio forma un sistema integrado. Un contrato SaaS mal diseñado puede abrir brechas en ese sistema que la competencia aprovechará.
Si la empresa proveedor tiene aspiraciones de expandir su servicio a otros mercados europeos, la protección de su marca a través de la Oficina de Propiedad Intelectual de la Unión Europea (EUIPO) le otorga cobertura en todos los Estados miembro con una sola solicitud. La duración de la marca de la Unión Europea es de diez años renovables. Integrar esa protección en el esquema contractual – definiendo, por ejemplo, qué nombre comercial puede usar el cliente en sus comunicaciones sobre el servicio – es un detalle que los contratos estándar suelen omitir.
Para una visión más amplia sobre los instrumentos disponibles en el ámbito de la propiedad intelectual y la tecnología, puede consultar nuestra página de práctica de propiedad intelectual y tecnología.
El contrato SaaS no es un documento que firme el departamento de tecnología y archive el departamento legal. Implica decisiones estratégicas que incumben a la dirección de la empresa.
La primera decisión es la negociación precontractual. La mayoría de los proveedores SaaS disponen de un contrato estándar que favorece claramente sus intereses. Ese contrato es negociable; la pregunta es si la empresa tiene el conocimiento y el apalancamiento para negociarlo. Dedicar tiempo y asesoramiento experto a la fase precontractual es siempre más eficiente que litigar las consecuencias de un contrato desequilibrado.
La segunda decisión afecta al plazo de vigencia y a las renovaciones automáticas. Muchos contratos SaaS se renuevan automáticamente por períodos anuales si ninguna de las partes comunica su voluntad de no renovar con un preaviso determinado. Ese preaviso suele ser de treinta, sesenta o noventa días antes del vencimiento. Si la empresa no controla ese calendario, puede verse atrapada en un nuevo período de vigencia que no desea.
La tercera decisión es la auditoría periódica del contrato. Un contrato SaaS firmado hace tres años puede haber quedado desfasado respecto al volumen de datos tratados, al número de usuarios, a los módulos utilizados o al marco normativo aplicable. La normativa de protección de datos, en particular, ha evolucionado de forma significativa. Conviene revisar los contratos con proveedores críticos al menos cada dos años.
La cuarta decisión es la gestión del riesgo de concentración. Cuando un proceso crítico depende de un único proveedor SaaS, la empresa asume un riesgo de continuidad que debe identificarse en el mapa de riesgos corporativo. El contrato puede mitigar ese riesgo mediante obligaciones de escrow de código fuente, planes de continuidad del servicio o derechos de acceso de emergencia.
El escrow de código fuente es un mecanismo por el cual el proveedor deposita el código fuente de su software ante un tercero de confianza, que lo libera al cliente en determinados supuestos predefinidos: insolvencia del proveedor, abandono del producto o incumplimiento grave del contrato. Para empresas con dependencia crítica de un software SaaS, el escrow es una garantía de continuidad que conviene negociar contractualmente desde el principio.
En nuestra práctica hemos asesorado a grupos industriales que, tras una interrupción del servicio de su proveedor SaaS, carecían de cualquier mecanismo para continuar sus operaciones. El coste de esa situación – en términos de producción parada, clientes insatisfechos y contratos incumplidos – superó con creces el coste de haber negociado un acuerdo de escrow en su momento.
El escrow no es exclusivo de grandes contratos. En operaciones de dimensión media, una cláusula de entrega del código fuente en caso de cese del servicio puede ser suficiente para garantizar la continuidad operativa. Lo importante es que esa previsión figure en el contrato antes de que el problema se materialice.
Hemos protegido marcas, software y secretos empresariales de compañías tecnológicas e industriales en situaciones donde la ausencia de previsión contractual había generado conflictos costosos. La experiencia confirma que el asesoramiento temprano reduce el coste total de la relación contractual de forma sustancial.
La tesis que sostenemos en Velarde & Vidal es simple: el coste del asesoramiento jurídico en la fase de estructuración de un contrato SaaS es, sistemáticamente, menor que el coste de gestionar las consecuencias de un contrato mal redactado.
Los riesgos que un contrato SaaS deficiente puede materializar son varios. En primer lugar, la pérdida de control sobre los datos: si el contrato no define con precisión la propiedad de los datos generados, el cliente puede encontrarse sin acceso a información crítica de su propio negocio. En segundo lugar, la responsabilidad por incumplimiento de la normativa de protección de datos: si el acuerdo de encargo del tratamiento es inexistente o deficiente, la empresa cliente asume responsabilidades que debería haber distribuido contractualmente. En tercer lugar, la dependencia tecnológica: sin cláusulas de portabilidad y resolución, el cliente queda a merced de las decisiones unilaterales del proveedor sobre precios y condiciones.
¿En qué momento debe intervenir el asesor jurídico? La respuesta es: antes de la firma, no después. La fase de negociación es el único momento en que la empresa tiene capacidad de influir sobre el contenido del contrato. Una vez firmado, la posición del cliente se debilita considerablemente, salvo que el contrato prevea mecanismos de revisión periódica.
El asesoramiento en propiedad intelectual y tecnología, como el que prestamos en nuestra práctica, no se limita a revisar un contrato estándar. Incluye la identificación de los activos intangibles en juego, la propuesta de cláusulas adaptadas al modelo de negocio concreto y la negociación con la parte contraria cuando sea necesario. Un abogado especializado en propiedad intelectual con experiencia en contratos tecnológicos aporta un conocimiento sectorial que un generalista no puede replicar.
Si desea profundizar en la protección de activos tecnológicos mediante patentes y otros instrumentos, la lectura de nuestra sección sobre preguntas frecuentes sobre patentes puede resultar de utilidad para comprender el ecosistema completo de protección de la innovación.
A modo de referencia operativa, recogemos los elementos que, en nuestra práctica, consideramos imprescindibles en un contrato SaaS de ámbito empresarial:
Este listado no es exhaustivo. Cada contrato SaaS debe adaptarse al modelo de negocio, al volumen de datos tratados, al perfil del proveedor y a la criticidad del servicio para la empresa cliente. La personalización es, precisamente, lo que distingue un contrato seguro de un contrato estándar.
Cuando la empresa opera en sectores regulados – financiero, sanitario, energético – las exigencias contractuales se amplifican. La normativa sectorial puede imponer requisitos adicionales de auditoría, de localización de datos o de continuidad operativa que el contrato SaaS debe recoger expresamente. En esos contextos, la intervención de un abogado especializado en propiedad intelectual con conocimiento de la regulación sectorial es especialmente valiosa.
Para una visión comparativa de cómo gestionar la coexistencia de marcas y licencias en entornos tecnológicos, puede resultar de interés nuestro análisis sobre coexistencia de marcas: cuándo pactar.
La estructuración de un contrato SaaS forma parte de un ecosistema más amplio de protección de activos intangibles. Las empresas que gestionan software, datos y tecnología propietaria se benefician también de asesoramiento en registro de marca en la Oficina Española de Patentes y Marcas (OEPM) y ante la EUIPO para cobertura de marca UE, protección de patentes y modelos de utilidad, y diseño de políticas de secreto empresarial. El contrato de licencia es, en muchos casos, el instrumento complementario al registro que define quién puede usar el activo, en qué condiciones y con qué contraprestación.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.