Contrato de suscripción SaaS

Qué es y cuándo se utiliza

El contrato de suscripción SaaS (software como servicio) se utiliza cuando un proveedor explota una plataforma de software y un cliente quiere acceder a ella y utilizarla a través de internet, sin instalarla. El cliente paga una suscripción; el proveedor aloja el servicio, lo mantiene operativo, presta soporte y protege los datos que se cargan en él.

El contrato SaaS de Dealroom funciona como un marco acompañado de un Formulario de Pedido: un documento independiente, firmado por ambas partes, que fija el plan de servicio, el número de Usuarios Autorizados, el Período de Suscripción y las Tarifas. El contrato regula después los aspectos jurídicos y operativos: qué puede hacer el cliente con el servicio, qué disponibilidad y soporte asume el proveedor, quién es titular de los datos, cómo se renueva y se extingue la suscripción y hasta dónde llega la responsabilidad de cada parte.

Está pensado para clientes empresariales que contratan el acceso a una plataforma alojada para sus fines internos de negocio. El derecho de acceso que concede es no exclusivo, intransferible y no sublicenciable.

Quién lo firma y en qué condición

Firman dos partes:

• El Proveedor: la empresa que explota la plataforma de software como servicio.
• El Cliente: la empresa que desea acceder al servicio y utilizarlo.

Los empleados, agentes y colaboradores independientes a los que el Cliente autoriza a usar el servicio son los Usuarios Autorizados. No firman el contrato, pero el Cliente debe asegurarse de que lo cumplen y de que custodian sus credenciales sin compartirlas entre varias personas.

Cláusulas principales

El contrato tiene diez cláusulas negociables y un conjunto de cláusulas estándar que se aplican siempre.

Nivel de servicio de disponibilidad

Porcentaje del tiempo que el proveedor se compromete a mantener el servicio disponible, medido cada mes natural. Opciones: 99,99%, 99,9%, 99,5% o esfuerzos comercialmente razonables sin porcentaje garantizado. Cada «nueve» adicional supone aproximadamente diez veces menos inactividad. No se computan el mantenimiento programado (con al menos 48 horas de aviso cuando sea razonablemente posible), el mantenimiento de emergencia, la fuerza mayor ni las interrupciones causadas por el cliente.

Tiempo de respuesta de soporte

Rapidez con la que el proveedor debe atender las solicitudes de soporte. Las opciones van desde el soporte premium 24/7 (1 hora para incidencias críticas) y el estándar en horario laboral (4 horas para incidencias críticas) hasta el básico por correo electrónico con objetivo de 24 horas. La skill aclara que «respuesta» significa acuse de recibo, no resolución.

Titularidad de los datos del Cliente

El cliente conserva siempre la titularidad de sus datos. Se negocia la licencia del proveedor: limitada a la prestación del servicio; ampliada a datos agregados y anonimizados para análisis y mejora del producto, siempre que no permitan identificar al cliente ni a personas físicas; o una licencia mundial amplia para analizar los datos y crear obras derivadas con fines de desarrollo de productos.

Derechos de exportación de datos

Durante cuánto tiempo pueden exportarse los datos tras la finalización de la suscripción: 30, 60 o 90 días. Transcurrido ese plazo, los datos se eliminan. La skill considera la portabilidad esencial para evitar la dependencia del proveedor.

Derechos de resolución

Si el cliente puede poner fin anticipadamente a la suscripción y con qué coste: período fijo sin resolución anticipada; resolución por conveniencia con 60 días de preaviso y una penalización del 50% de las tarifas restantes; o resolución por cualquiera de las partes con 90 días de preaviso y sin penalización.

Renovación automática y preaviso de cambio de precio

Si la suscripción se renueva automáticamente por períodos iguales (con 30 o 60 días de preaviso para evitarlo) o si el cliente debe renovarla de forma activa. Otra cláusula fija con cuánta antelación (30, 60 o 90 días) debe el proveedor anunciar un cambio de precio antes de la renovación.

Límite de responsabilidad

Importe máximo de la responsabilidad de cada parte. Opciones: las tarifas de los 12 meses anteriores a la reclamación; solo daños directos, con el mismo límite de 12 meses; o un régimen reforzado en el que el incumplimiento de las obligaciones de seguridad de datos tiene un límite del triple de esas tarifas. Las cláusulas estándar excluyen los daños indirectos y dejan fuera del límite, entre otras, las indemnizaciones, el incumplimiento de la confidencialidad, las tarifas impagadas y el dolo o la culpa grave.

Estándares de seguridad

Qué certificación independiente debe mantener el proveedor durante la suscripción: SOC 2 Tipo II, ISO 27001 o ambas.

Ley aplicable y jurisdicción

Dónde se resuelven las controversias: los tribunales de la jurisdicción de la ley aplicable (San Francisco, Londres o Madrid), los tribunales de Delaware o un arbitraje JAMS, CCI, AAA o LCIA. Una opción personalizada permite indicar en los detalles del acuerdo la ley y los tribunales que las partes prefieran.

Cláusulas estándar

Todo contrato SaaS incluye además: concesión de acceso, restricciones de uso (sin reventa, ingeniería inversa, código malicioso ni exceso de los límites), responsabilidades del Cliente, titularidad del Proveedor sobre su plataforma y sobre los comentarios recibidos, disponibilidad y mantenimiento, protección de datos (cifrado en tránsito y en reposo, control de accesos, aviso de brechas en 72 horas), derecho de suspensión, confidencialidad, garantías, indemnización, limitación de responsabilidad, fuerza mayor y las cláusulas generales habituales.

Qué suelen negociar las partes

El Proveedor suele preferir compromisos más bajos y mayor certidumbre de ingresos; el Cliente, compromisos más exigentes y más libertad para salir. Cuando eligen opciones distintas, Dealroom propone la posición equilibrada:

• Disponibilidad: el Proveedor se inclina por el 99,5% o los esfuerzos razonables; el Cliente, por el 99,99%. El punto intermedio es el 99,9%, que la skill califica de estándar del sector.
• Soporte: el punto intermedio es el soporte estándar en horario laboral, con 4 horas para incidencias críticas.
• Datos: el Proveedor prefiere una licencia amplia; el Cliente, la titularidad plena con licencia limitada. El punto intermedio es la titularidad del Cliente con uso de datos agregados y anonimizados por el Proveedor.
• Resolución: el Proveedor prefiere el período fijo; el Cliente, la resolución con preaviso sin penalización. La opción más próxima al centro es la resolución anticipada con penalización.
• Renovación y precios: el punto intermedio es la renovación automática con 60 días de preaviso y un preaviso de 60 días para cambios de precio.
• Exportación: el punto intermedio son 60 días tras la resolución.
• Responsabilidad: el Proveedor se inclina por limitarla a daños directos; el Cliente, por el límite reforzado para brechas de datos. El punto intermedio son 12 meses de tarifas.
• Seguridad: SOC 2 Tipo II o ISO 27001 por separado se sitúan cerca del centro; exigir ambas favorece al Cliente.

Todas las opciones de resolución de controversias se consideran neutrales entre las partes.

Jurisdicciones e idiomas que admite Dealroom

Dealroom redacta el contrato SaaS conforme al Derecho de California, de Inglaterra y Gales o de España, en español o en inglés. Cada jurisdicción añade sus propias disposiciones:

• California: información sobre la renovación automática conforme a la California Automatic Renewal Law (condiciones claras antes de la compra, acuse de recibo y cancelación en línea), renuncia al juicio con jurado y obligaciones de proveedor de servicios según la CCPA/CPRA.
• Inglaterra y Gales: exclusión de derechos de terceros, responsabilidad que no puede excluirse (como el fraude o la muerte o lesiones causadas por negligencia), derechos de la Consumer Rights Act 2015 cuando procedan y obligaciones de encargado del tratamiento según el RGPD del Reino Unido.
• España: cumplimiento de la LSSI-CE, interpretación conforme a la buena fe y a las reglas del Código Civil, y obligaciones del RGPD y la LOPDGDD, con un acuerdo de encargo de tratamiento conforme al artículo 28 del RGPD.

Errores frecuentes

• Ignorar las reglas de renovación automática en California. La skill advierte de que la ley californiana exige informar de forma clara y visible de la renovación automática antes de aceptar el pago, ofrecer un medio de cancelación sencillo y enviar recordatorios. La renovación manual evita esos requisitos.
• Elegir un preaviso corto sin controlarlo. Con 30 días de preaviso, el cliente puede dejar pasar el plazo y quedar vinculado otro período completo.
• Confundir «respuesta» con «resolución». Los tiempos de soporte solo garantizan el acuse de recibo.
• Conceder una licencia amplia sobre los datos sin revisar su alcance. La skill señala que puede incluir usos con datos identificables. El uso agregado exige una anonimización efectiva.
• Exportar los datos demasiado tarde. Vencido el plazo pactado, los datos se eliminan.
• Pedir más de lo necesario. La skill indica que el 99,99%, el soporte 24/7 y la doble certificación tienen precio premium y pueden ser excesivos para la mayoría de usos.
• Olvidar el encargo de tratamiento. Si el proveedor trata datos personales por cuenta del cliente, hace falta un acuerdo de encargo de tratamiento.

# 1. Leer las cláusulas, las opciones y los datos que pide
curl https://dealroom.todo.law/api/v1/agent/templates/SAAS \
  -H "Authorization: Bearer drk_YOUR_KEY"

# 2. Crear el contrato (las cláusulas que no indique toman la opción por defecto)
curl -X POST https://dealroom.todo.law/api/v1/agent/deals \
  -H "Authorization: Bearer drk_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: $(uuidgen)" \
  -d '{
    "schema": "dealroom.solo-intake/1",
    "contractType": "SAAS",
    "governingLaw": "SPAIN",
    "language": "es",
    "dealName": "Prueba SAAS",
    "selectionPolicy": "defaults"
  }'