Cómo contratar un SaaS: redactar SLA y acuerdos de nivel de servicio

¿Tienes razón?

Contratar un SaaS es habitual, pero tu protección depende de cómo esté redactado el SLA y el contrato de servicio. Tres elementos determinan si estás tranquilo o expuesto. Primero, las métricas: tiempo de disponibilidad, ventana de mantenimiento, y criterios de medición deben estar claras y auditables. Segundo, las obligaciones de seguridad y protección de datos: qué medidas se aplican, cómo se notifican incidentes y quién asume la respuesta ante violaciones. Tercero, los remedios: qué compensaciones o créditos existen si el proveedor incumple y qué derechos tienes para terminar la relación sin penalidad. Si el SLA traduce las promesas comerciales en obligaciones verificables y hay procesos de aceptación y salida, tu riesgo baja; si el SLA es vago o remite a políticas públicas del proveedor sin incorporar condiciones específicas, tu posición es débil.

Cómo se soluciona

1. Solicita el SLA por escrito. Pide el documento que contenga las métricas y procedimientos que el proveedor usa para medir su servicio. Guarda la versión vigente y cualquier comunicación. Esto lo haces tú.

1. Define métricas y cómo se miden. Asegúrate de que la disponibilidad y el downtime se expresen con fórmulas claras y que el proveedor explique la herramienta de medición. Exige que las ventanas de mantenimiento planificado sean notificadas con antelación razonable y que no se cuenten como indisponibilidad si se cumplieron los avisos.

1. Establece eventos críticos y niveles. Identifica incidencias críticas que requieren respuesta inmediata (por ejemplo, caídas que impiden operaciones) y define tiempos de respuesta y resolución. Incluye procesos de escalamiento y responsables técnicos.

1. Remedios y créditos. Pacta remedios proporcionados al impacto: créditos de servicio, derecho a terminación sin penalidad si se repiten fallas graves, y obligación de remediar la causa raíz. Evita cláusulas que limiten responsabilidad por negligencia grave o dolo.

1. Seguridad y tratamiento de datos. Exige medidas mínimas, informes de auditoría y pruebas de cumplimiento de estándares relevantes. Aclara quién es responsable ante reclamaciones por uso indebido de datos personales y qué apoyo dará el proveedor en investigaciones regulatorias.

1. Respaldo, contingencia y portabilidad. Define frecuencia de backups, mecanismos de restauración y formato de exportación de datos para que puedas migrar si terminas el servicio. Asegura que tendrás acceso completo a tus datos en condiciones operativas.

1. Subcontratación y terceros. Exige transparencia sobre subcontratistas y cláusula que garantice que estos cumplan las mismas obligaciones de seguridad y confidencialidad.

1. Auditorías y certificaciones. Pide evidencias de auditorías y certificaciones; si el servicio es crítico, negocia derecho de auditoría o informes periódicos.

1. Plan de salida. Asegura que, al terminar, recibirás copia íntegra de tus datos y acceso temporal para exportar sin cargos abusivos.

1. Involucra a abogado y equipo técnico. El abogado materializa las obligaciones en lenguaje legal y revisa cláusulas de responsabilidad y salida; el equipo técnico valida las métricas y el plan de migración.

Qué puede pasar

1. Se arregla con enmienda al SLA. Frecuente: acordar mejoras en las medidas de disponibilidad o compensaciones mediante un anexo o addendum, sin romper la relación.

1. Negociación con remedios. Si hay incumplimiento, la negociación puede dar lugar a créditos de servicio o al ajuste de condiciones. Un acuerdo puede ser ventajoso porque evita escalamiento y costos.

1. Terminación y litigio. Si las fallas son repetidas y el proveedor no corrige, puedes terminar el contrato y reclamar daños. Si pierdes, podrías no recuperar todo si el proveedor es insolvente. Si ganas, la ejecución depende de garantías y activos.

Y si ganas, ¿cobras? Cobrar por daños a menudo depende de si hay seguros o activos del proveedor y de si existen garantías contractuales o depósitos en garantía.

Errores que arruinan el caso

• No incorporar el SLA al contrato principal: deja las métricas en documentos separados que el proveedor puede cambiar.
• Aceptar métricas sin método de medición verificable. Si no hay métricas auditables, no hay evidencia clara de incumplimiento.
• No pactar portabilidad de datos ni formato de exportación al terminar.
• Confiar en promesas comerciales orales sobre disponibilidad sin que queden por escrito.
• No considerar subcontratistas: muchos fallos vienen de terceros fuera del control directo del proveedor.