Contrato de Licencia de Uso de Software SaaS Chile

La Ley 17.336 de 1970 sobre Propiedad Intelectual protege el software en Chile como obra del intelecto humano desde el momento de su creación, sin necesidad de registro. El Artículo 50 de la Ley 17.336 establece expresamente que los programas computacionales — incluyendo el código fuente, el código objeto, los manuales técnicos y la documentación del software — son obras protegidas por el derecho de autor. La protección dura la vida del autor más 70 años para personas naturales, o 70 años desde la primera publicación para obras de personas jurídicas conforme al Artículo 10. El titular del software tiene el derecho exclusivo de reproducir, distribuir, adaptar, transformar y comunicar públicamente el programa conforme al Artículo 8 de la Ley 17.336. La reproducción no autorizada de software (piratería) es delito conforme al Artículo 79 de la Ley 17.336, con penas de multa y presidio menor. El Artículo 50 bis permite al usuario legítimo hacer una copia de respaldo, adaptar el programa para su uso personal, y descompilar el código en casos estrictamente necesarios para la interoperabilidad. El registro voluntario ante el Departamento de Derechos Intelectuales (DDI) del Ministerio de las Culturas proporciona presunción de titularidad y fecha cierta de creación, siendo útil para disputas de autoría. La BSA (Business Software Alliance) y Microsoft Chile han trabajado con el Ministerio Público y los Juzgados de Garantía en Chile para perseguir penalmente la instalación masiva de software sin licencia en empresas.

La Ley 21.719 de 2024, que moderniza el marco de protección de datos personales en Chile y crea la Agencia de Protección de Datos Personales, impone obligaciones significativas a los proveedores SaaS que procesan datos personales de clientes chilenos. Los proveedores SaaS que tratan datos de personas naturales en Chile deben designar un Delegado de Protección de Datos (DPD) si su procesamiento es a gran escala, de categorías especiales de datos (salud, datos biométricos, datos financieros sensibles), o si sus actividades principales requieren monitoreo sistemático de personas. Los proveedores SaaS deben implementar las medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos conforme al principio de seguridad del Artículo 14 ter de la Ley 21.719, incluyendo cifrado de datos en tránsito y en reposo, control de acceso basado en roles, registro de auditoría de accesos, y procedimientos de respuesta a incidentes. El proveedor SaaS que procesa datos por cuenta del licenciatario (responsable del tratamiento) debe suscribir un Acuerdo de Procesamiento de Datos (DPA — Data Processing Agreement) con su cliente, conforme al Artículo 15 quinquies de la Ley 21.719, que establezca el objeto y duración del procesamiento, la naturaleza de los datos, las medidas de seguridad, y las obligaciones del proveedor respecto a los derechos de los titulares. La notificación de brechas de seguridad que afecten datos personales debe realizarse a la Agencia de Protección de Datos Personales dentro de 72 horas de que el responsable tenga conocimiento de la brecha, y a los titulares afectados en un plazo razonable, conforme al Artículo 14 sexies de la Ley 21.719. Las sanciones de la Ley 21.719 alcanzan hasta el 4% de los ingresos anuales globales del infractor para las infracciones más graves.

Un SLA (Service Level Agreement o Acuerdo de Nivel de Servicio) es el componente del contrato SaaS que define las métricas de calidad del servicio que el proveedor garantiza al cliente, las consecuencias del incumplimiento, y los procedimientos de reporte y escalamiento de incidentes. En Chile, el SLA no está regulado por una ley específica — su contenido se determina por la autonomía de la voluntad del Artículo 1545 del Código Civil, los estándares de la industria tecnológica, y las prácticas de organismos como la Cámara Chilena de Tecnología de la Información (CHILETEC). Un SLA completo en un contrato SaaS chileno debe incluir: la definición de disponibilidad del servicio (uptime) expresada como porcentaje mensual (99% equivale a aproximadamente 7,3 horas de downtime mensual; 99,9% a 43,8 minutos; 99,99% a 4,3 minutos); la fórmula de cálculo del uptime (tiempo total en el mes menos tiempo de inactividad no programada, dividido por tiempo total, multiplicado por 100); los niveles de severidad de incidentes (Severidad 1: sistema completamente inoperativo; Severidad 2: funcionalidad crítica degradada; Severidad 3: incidente menor); los tiempos de respuesta (tiempo entre el reporte del incidente y el inicio de la investigación por el proveedor) y tiempos de resolución para cada nivel de severidad; las compensaciones económicas por incumplimiento del SLA (créditos de servicio equivalentes a un porcentaje de la tarifa mensual por cada hora de downtime excedente del SLA); y las exclusiones del SLA (mantenimientos programados anunciados con 48 horas de anticipación, fuerza mayor, interrupciones de internet externas al proveedor). La CMF exige SLAs específicos para servicios tecnológicos contratados por entidades financieras reguladas conforme a la Circular CMF N° 20 de 2020.

La posibilidad del proveedor SaaS de modificar unilateralmente el contrato o los precios en Chile depende de la calidad del licenciatario y de las cláusulas contractuales. Si el licenciatario es un consumidor (persona natural que adquiere el servicio para uso personal) conforme al Artículo 1 de la Ley 19.496 (Ley de Protección al Consumidor), las cláusulas que permiten modificaciones unilaterales del precio o condiciones sin el consentimiento del consumidor pueden ser declaradas abusivas conforme al Artículo 16 letra a) de la Ley 19.496, que prohíbe las cláusulas contrarias a la buena fe que generan desequilibrio en los derechos y obligaciones de las partes. El SERNAC puede iniciar procedimientos de interés colectivo contra proveedores SaaS con cláusulas abusivas en sus términos y condiciones. Si el licenciatario es una empresa (B2B), aplica el principio general de la autonomía de la voluntad del Artículo 1545 del Código Civil, y el proveedor puede reservarse el derecho de modificar precios o condiciones con previo aviso (habitualmente 30 o 60 días) conforme al contrato. Sin embargo, las modificaciones sustanciales que alteren el equilibrio económico del contrato pueden ser impugnadas como abuso del derecho conforme al Artículo 1546 del Código Civil (buena fe en el cumplimiento de los contratos). La práctica recomendada es incluir en el contrato SaaS una cláusula de notificación de cambios (change notice), un período de transición antes de que los cambios sean efectivos, y el derecho del cliente a terminar el contrato sin penalización si no acepta las modificaciones, conforme a los estándares de la industria tecnológica chilena y los modelos de contratos de plataformas internacionales operando en Chile.

La portabilidad y eliminación de datos al término del contrato SaaS es uno de los aspectos más críticos para el licenciatario y está regulado por la Ley 19.628 de 1999 y la nueva Ley 21.719 de 2024. El licenciatario tiene derecho a exportar todos sus datos (registros de clientes, transacciones, documentos, configuraciones) en un formato estándar y legible antes del término del contrato — el proveedor SaaS que dificulta o impide la portabilidad de datos puede incurrir en infracción de los derechos del titular conforme a la Ley 21.719 y en prácticas contrarias a la libre competencia conforme al Decreto Ley 211 de 1973 si su posición de mercado es dominante. El contrato SaaS debe establecer expresamente: el formato de exportación de datos (CSV, JSON, XML, PDF), el plazo durante el cual el cliente puede exportar sus datos después de notificar la terminación (habitualmente 30 a 90 días), el plazo durante el cual el proveedor retiene los datos después del término antes de eliminarlos (habitualmente 30 a 90 días), la obligación del proveedor de certificar la eliminación completa de los datos del cliente de todos sus sistemas y subprocesadores después del período de retención, y los costos, si los hay, de la exportación masiva de datos. La Ley 21.719 refuerza el derecho de portabilidad de los titulares de datos personales al introducir el derecho de portabilidad de datos del Artículo 14 B, que obliga a los responsables y encargados del tratamiento a proporcionar los datos en formato electrónico estructurado y de uso común. El proveedor SaaS que retiene datos después del plazo de retención pactado puede incurrir en responsabilidad civil por incumplimiento del contrato y en infracción a la Ley 21.719.

La transferencia internacional de datos personales en contratos SaaS con proveedores extranjeros (por ejemplo, datos chilenos procesados en servidores en Estados Unidos, Irlanda o Brasil) está regulada por el Artículo 5 inciso 2 de la Ley 19.628 de 1999 y los nuevos Artículos 14 octies y siguientes de la Ley 21.719 de 2024. La Ley 21.719 permite la transferencia internacional de datos personales cuando: el país destinatario ofrece un nivel adecuado de protección de datos (determinado por la Agencia de Protección de Datos Personales chilena mediante decisión de adecuación); o el responsable del tratamiento haya implementado garantías adecuadas, como Cláusulas Contractuales Tipo aprobadas por la Agencia, Reglas Corporativas Vinculantes (BCR) para grupos empresariales multinacionales, o certificaciones reconocidas por la Agencia. En la práctica actual, antes de la plena implementación de la Ley 21.719, los contratos SaaS con proveedores extranjeros incluyen cláusulas de transferencia de datos basadas en el consentimiento del licenciatario (Artículo 4 de la Ley 19.628) o en las Cláusulas Contractuales Estándar de la Unión Europea adaptadas al contexto chileno, dado que muchos proveedores globales (AWS, Microsoft Azure, Google Cloud) tienen sus términos de procesamiento de datos alineados con el RGPD europeo. La Agencia de Protección de Datos Personales creada por la Ley 21.719 tiene un plazo de implementación gradual y comenzará a supervisar activamente las transferencias internacionales cuando esté plenamente operativa conforme al calendario de implementación de la ley.

La limitación de responsabilidad del proveedor SaaS en Chile se rige por el Artículo 1545 del Código Civil (autonomía contractual) con los límites del Artículo 1547 sobre responsabilidad por culpa y dolo, y del Artículo 16 de la Ley 19.496 si el licenciatario es consumidor. Las cláusulas típicas de limitación de responsabilidad en contratos SaaS B2B incluyen: limitación del monto máximo de la responsabilidad del proveedor a un múltiplo de las tarifas pagadas en los últimos 12 meses (habitualmente 1 a 3 veces las tarifas anuales); exclusión de responsabilidad por daños indirectos, pérdida de beneficios, pérdida de datos no respaldados por el cliente, o daños de reputación; y exclusión de responsabilidad por fallos causados por el mal uso del software por el cliente, modificaciones no autorizadas, o incumplimiento del cliente de sus propias obligaciones de seguridad. Estas cláusulas son generalmente válidas en contratos B2B conforme al Artículo 1545 del Código Civil, salvo que impliquen dolo o culpa grave del proveedor: el Artículo 1465 del Código Civil establece que la condonación del dolo futuro no produce efecto, por lo que las cláusulas que pretenden exonerar al proveedor de responsabilidad por dolo o culpa grave son nulas absolutamente. Para contratos con consumidores (B2C), las cláusulas que limiten desproporcionadamente la responsabilidad del proveedor pueden ser declaradas abusivas por el SERNAC o los Tribunales conforme al Artículo 16 letra e) de la Ley 19.496. La Ley 21.719 sobre protección de datos personales introduce responsabilidad específica por brechas de seguridad que no puede ser limitada contractualmente por debajo de los mínimos legales de la ley.