La arquitectura legal de tu SaaS, resuelta antes de lanzar

Como mínimo: términos y condiciones de uso, política de privacidad, política de cookies si hay web, contrato con los clientes o comercios que usen la plataforma, contratos de encargo de tratamiento (art. 28 RGPD) con los proveedores tecnológicos que traten datos personales, y un sistema de consentimientos si se envían comunicaciones comerciales. El punto de partida es el mapa de roles: quién es responsable y quién encargado de cada tratamiento.

Depende de quién decide para qué se usan los datos. Si tus clientes gestionan los datos de sus propios clientes dentro de tu plataforma, tu SaaS suele actuar como encargado y necesitas un contrato de encargo con cada cliente. Si tu plataforma también decide finalidades propias (analítica, mejora del producto, comunicaciones propias), eres responsable de esos tratamientos. Y si plataforma y clientes deciden conjuntamente, puede haber corresponsabilidad (art. 26 RGPD), que exige un acuerdo específico. Puedes hacerte una idea con nuestro mapa de roles orientativo.

Solo con consentimiento previo del destinatario o bajo la excepción de cliente previo del art. 21.2 LSSICE, y siempre con posibilidad de baja en cada envío. Si son tus clientes quienes envían comunicaciones a través de tu plataforma, el sistema debe estar diseñado para recoger y acreditar esos consentimientos, porque un envío ilegal puede acabar en sanción de la AEPD y el diseño de la herramienta influye en quién responde.

Con cada proveedor que trate datos personales por cuenta de tu plataforma (hosting, base de datos, envío de emails, analítica, soporte) necesitas un contrato de encargo de tratamiento del art. 28 RGPD, normalmente el DPA que el propio proveedor ofrece y que hay que revisar y documentar. Si el proveedor trata datos fuera del Espacio Económico Europeo, hay que verificar además las garantías de transferencia internacional.

Depende del mapa de roles y de lo que digan los contratos. Frente a la AEPD responde en primer término el responsable del tratamiento afectado, pero el encargado también puede ser sancionado si incumple sus obligaciones. Frente a los usuarios, la responsabilidad se reparte según los términos y condiciones y el contrato entre plataforma y cliente. Por eso los límites de responsabilidad deben pactarse por escrito antes de lanzar, no después del primer incidente.

No, pero conviene no esperar más. Revisamos lo que ya tienes publicado y firmado (términos, privacidad, contratos, consentimientos recogidos), detectamos los huecos y los cerramos por orden de riesgo, sin frenar el producto. Regularizar a tiempo cuesta mucho menos que hacerlo después de una reclamación o durante una due diligence.

Sí. El RGPD y la LSSICE se aplican igual aunque no cobres: lo relevante es que se tratan datos personales, no que haya precio. Un piloto es de hecho el mejor momento para ordenar la parte legal, porque los contratos y consentimientos que se firmen entonces valdrán para la fase comercial y evitarás rehacer documentación o pedir consentimientos dos veces.