Contrato de licencia de datos

curl -X POST https://dealroom.todo.law/api/v1/agent/contracts \
  -H "Authorization: Bearer drk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: $(uuidgen)" \
  -d '{
    "contractType": "DATA_LICENSING",
    "governingLaw": "SPAIN",
    "language": "es",
    "party": {
      "legalName": "Tu empresa"
    },
    "counterparty": {
      "legalName": "La otra empresa"
    },
    "terms": {
      "data-categories": "<data-categories>",
      "license-fee": "10000"
    },
    "inline": "md"
  }'

Qué es y cuándo se usa

Este contrato se usa en alianzas de datos como la licencia de segmentos de audiencia, datos de comportamiento o contextuales y analítica para publicidad y medición. Se describen las categorías de datos, el canon de licencia y, opcionalmente, la duración en meses. Las condiciones estándar recogen la concesión de la licencia, la entrega segura (API, SFTP u otro método acordado) con documentación, las medidas de seguridad (cifrado, control de accesos, registros, respuesta a incidentes), la confidencialidad y las garantías del proveedor de que puede licenciar los datos, de que se obtuvieron lícitamente y de que existen los consentimientos y bases jurídicas necesarios.

Quién lo firma y en qué calidad

El Proveedor de Datos (licenciante, titular o responsable de los datos) y el Licenciatario/a de Datos (quien adquiere el acceso).

Cláusulas principales

Alcance, uso y exclusividad

Conjuntos de datos concretos enumerados en un anexo, todos los datos de unas categorías (incluidos los futuros) o acceso completo a la plataforma. Usos permitidos según lo indicado en las preguntas. Licencia exclusiva o no exclusiva.

Precio y calidad

Canon anual fijo (con subidas limitadas al 5 % anual), pago por uso (CPM) o participación en ingresos. SLA de precisión garantizada con créditos de servicio, o calidad de mejor esfuerzo sin SLA.

Privacidad y usos prohibidos

Responsables independientes o relación responsable-encargado. Prohibiciones estrictas (reidentificación, combinación con datos personales, seguimiento entre dispositivos) o restricciones estándar del sector que permiten el seguimiento entre dispositivos con consentimiento y entornos clean room.

Conservación y auditoría

Supresión en 30 días o período de transición de 90 días. Auditorías completas hasta dos veces al año, o autocertificación anual con auditoría solo ante sospecha razonable.

Responsabilidad y territorio

Indemnización recíproca con límite igual al canon anual, o limitación favorable al proveedor. Uso restringido a territorios concretos, o licencia mundial con salvaguardas de transferencia.

Reglamento de Datos de la UE

Una duodécima cláusula sitúa el contrato frente al Reglamento (UE) 2023/2854 de Datos, aplicable desde el 12 de septiembre de 2025. O bien las partes hacen constar que las condiciones se negociaron y no se impusieron, reconocen el control de cláusulas abusivas del Reglamento e incorporan, si se licencian datos de productos conectados, sus mínimos obligatorios; o bien dejan constancia de su evaluación de que el Reglamento no se aplica. Esa constancia no impide su aplicación si en realidad procede.

Qué suelen negociar las partes

El Proveedor prefiere conjuntos concretos, uso solo para segmentación, no exclusividad, calidad de mejor esfuerzo, prohibiciones estrictas, supresión inmediata, auditorías completas, responsabilidad limitada y restricción territorial. El Licenciatario/a prefiere el acceso completo, el uso integral, la exclusividad, el SLA garantizado, el período de transición, la autocertificación y la licencia mundial. Las posiciones equilibradas son segmentación más analítica y medición, indemnización recíproca con límite y el paquete de conformidad con el Reglamento de Datos; en usos prohibidos, las restricciones estándar del sector son las más cercanas al punto medio. Si las partes discrepan, Dealroom propone estas opciones intermedias, ponderadas según la firmeza de cada parte.

Jurisdicciones e idiomas disponibles en Dealroom

Dealroom redacta este contrato bajo derecho de España, Inglaterra y Gales o California, en español o inglés. Para España, el modelo aplica la LOPDGDD y el RGPD, designa a la AEPD como autoridad de control, exige seguir sus guías sobre cesión de datos y elaboración de perfiles (incluida la evaluación de impacto del artículo 35 del RGPD), somete las disputas a los tribunales de Madrid y admite para las transferencias fuera del EEE el Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo (Decisión 2021/914). Para Inglaterra y Gales, aplica el UK GDPR y la Data Protection Act 2018 en la redacción dada por la Data (Use and Access) Act 2025, trata las condiciones como acuerdo de cesión de datos conforme al código del ICO y utiliza para las transferencias los reglamentos de adecuación británicos, el IDTA o el Addendum del Reino Unido. Para California, aplica la CCPA y la CPRA, califica la licencia de información personal como "venta" (o "compartición" en publicidad conductual), obliga a respetar señales de exclusión como Global Privacy Control y, si el proveedor es un data broker, recoge su registro y la tramitación desde el 1 de agosto de 2026 de las solicitudes de supresión de la plataforma DROP de la Delete Act, que se trasladan al licenciatario/a.

Errores frecuentes

• Alcance demasiado amplio. Puede incluir datos personales protegidos; los segmentos de audiencia pueden serlo conforme al RGPD.
• Calificar mal los roles de privacidad. Puede acarrear sanciones importantes.
• No regular los datos derivados. Debe acordarse qué puede conservarse tras la terminación.
• Permitir el entrenamiento de modelos sin análisis. Plantea riesgos de privacidad y de propiedad intelectual.
• Límites de responsabilidad bajos. Las multas del RGPD pueden llegar al 4 % del volumen de negocio mundial.
• Transferencias internacionales sin mecanismo. Fuera del EEE se necesita una decisión de adecuación o salvaguardas.