Cómo contratar un SaaS: redactar SLA y acuerdos de nivel de servicio

¿Tienes razón?

Cuando comparas distintos proveedores SaaS, lo que te da verdadera protección no es el marketing, sino el SLA y las condiciones técnicas anexas. Las claves son: las métricas que se miden (disponibilidad, latencia, tiempo de recuperación), cómo se calculan, qué herramientas o logs se usan para medirlas y quién controla la medición; las compensaciones concretas por incumplimiento; las exclusiones por caso fortuito o mantenimiento; el tratamiento de datos y las responsabilidades en materia de backup; y las condiciones de terminación y exportación de datos.

También importa el nivel de control que tengas sobre la infraestructura: servicios multitenant ofrecen menos control pero normalmente mayor estandarización; servicios con instancias dedicadas implican más responsabilidad del proveedor en el mantenimiento. Otro factor decisivo es la continuidad del negocio: si tu operación depende críticamente del SaaS, deberías exigir cláusulas de contingencia y pruebas periódicas de recuperación.

Por último, no subestimes la solvencia del proveedor y su política de subcontratación: un SLA bien redactado te sirve poco si el proveedor no puede hacer frente a sus obligaciones o delega en terceros sin controles.

Cómo se soluciona

1. Define métricas concretas. No uses términos vagos. Para disponibilidad, define la fórmula de cálculo (porcentaje de tiempo operacional medido sobre ventanas acordadas). Para latencia o tiempos de respuesta, acuerda percentiles y métodos de medición. Pide ejemplos de reportes.

1. Establece procedimientos de notificación y escalado. Pacta quién recibe los incidentes, cómo se notifican (canales, formatos) y los pasos de escalado. Incluye requisitos de logs y de acceso a registros técnicos para auditar el cumplimiento.

1. Compensaciones y créditos. En vez de hablar de “penalizaciones”, negocia créditos de servicio aplicables a facturas futuras o derecho a reparación acelerada. Define la fórmula para calcular los créditos y los umbrales de activación.

1. Define exclusiones razonables y pacta ventanas de mantenimiento. Acepta mantenimiento programado con preaviso razonable y límites en la frecuencia, pero limita las excluyentes que permiten al proveedor eludir el SLA sin control.

1. Backup, integridad y exportación de datos. Pacta responsabilidades sobre backups, retenciones, integridad y formato de exportación. Exige pruebas de exportación y de restauración periódicas. Define plazos y formatos de entrega de tus datos al terminar el contrato.

1. Seguridad y cumplimiento. Exige medidas técnicas y organizativas mínimas, incident response plan, pruebas de pentesting y certificaciones aplicables. Si se tratan datos personales, incorpora cláusulas de encargo de tratamiento y subcontratación.

1. Pruebas y aceptación. Para integraciones críticas, incluye un periodo de pruebas y criterios de aceptación técnica que permitan validar el servicio antes de su despliegue en producción.

1. Salida y portabilidad. Define el proceso de terminación y migración, incluyendo asistencia técnica y entrega de datos en formato utilizable. Si el proveedor ofrece servicios de migración, acuerda condiciones y costes si proceden.

Qué puedes hacer tú: definir las necesidades y recopilar métricas de negocio. Qué necesita abogado: redactar las cláusulas contractuales sobre limitaciones de responsabilidad, créditos, protección de datos y cláusulas de salida.

Qué puede pasar

1) Solución mediante ajuste del SLA. Muchas discrepancias se resuelven pactando un anexo técnico o ajustando las métricas tras pruebas de aceptación. Esto es habitual y eficaz.

2) Acuerdo con compensación. Si el proveedor incumple, es frecuente negociar créditos o descuentos. Aunque no recuperes todo el daño, a menudo compensa por la compra de tiempo y menor coste de cambio.

3) Reclamación judicial. Si el incumplimiento causa un daño relevante y no hay acuerdo, la vía judicial puede exigir cumplimiento o resarcimiento. Ten en cuenta que si el proveedor está insolvente, ejecutar la sentencia puede ser difícil. También existe el riesgo de costas procesales si el tribunal así lo determina.

Y si ganas, ¿cobras? La ejecución de la sentencia funciona si el proveedor tiene activos suficientes; por eso, en contratos críticos, exige garantías o seguros.

Errores que arruinan el caso

• Aceptar métricas vagas: “alta disponibilidad” sin definición. Sin fórmula clara, no hay medida.
• No exigir acceso a logs: confiar solo en los informes del proveedor impide verificar el cumplimiento.
• Olvidar la exportación de datos: no definir formato y proceso de entrega complica la migración.
• No controlar subcontratación: servicios que dependen de terceros sin control pueden fallar y dejarte sin remedio.
• Pagar por adelantado sin garantías ni créditos: reduce tu palanca de negociación en caso de incumplimiento.