Contrato de Prestación de Servicios IT (España)

El Contrato de Prestación de Servicios IT es, en España, el contrato escrito regulado por Código Civil art. 1544; Ley 34/2002 (LSSI); Real Decreto Legislativo 1/1996 (LPI), que define las prestaciones de cada parte y resulta exigible ante la jurisdicción civil.

El Código Civil distingue el arrendamiento de servicios — en el que el prestador se compromete a actuar con diligencia profesional sin garantizar un resultado concreto (obligación de medios) — del arrendamiento de obra — en el que el prestador se obliga a entregar un resultado o entregable específico (obligación de resultado). El desarrollo de software a medida constituye habitualmente un arrendamiento de obra (art. 1544 CC), puesto que el proveedor está obligado a entregar un producto software funcional conforme a las especificaciones acordadas. Los contratos de mantenimiento y servicios gestionados continuados son generalmente arrendamientos de servicios. Esta distinción determina los remedios disponibles en caso de incumplimiento — en la obligación de resultado, el cliente dispone de derechos más firmes para exigir la entrega o reclamar daños por la no entrega.

La titularidad de la propiedad intelectual sobre el software y los entregables tecnológicos se rige por el Real Decreto Legislativo 1/1996 (Ley de Propiedad Intelectual — LPI). Conforme al Artículo 97 LPI, los derechos de autor sobre un programa de ordenador creado por un trabajador en el marco de su relación laboral corresponden automáticamente al empleador. Para el software desarrollado por un proveedor externo bajo un contrato de servicios, la titularidad depende de lo pactado contractualmente — sin una cláusula expresa de cesión, el proveedor conserva la propiedad intelectual y se limita a otorgar al cliente una licencia de uso (art. 43 LPI). Los clientes que encargan desarrollo a medida deben insistir en la cesión plena y exclusiva de todos los derechos patrimoniales de explotación sobre los entregables (arts. 43 y 97 LPI), incluyendo reproducción, distribución, comunicación pública y transformación.

Las obligaciones en materia de protección de datos del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) son centrales en los contratos de servicios IT españoles. Cuando el proveedor trata datos personales por cuenta del cliente — accediendo a bases de datos, gestionando sistemas CRM u hospedando aplicaciones que tratan datos personales —, actúa como encargado del tratamiento (art. 28 RGPD) y debe suscribirse un Acuerdo de Encargo del Tratamiento (DPA) que forme parte del contrato IT. La Agencia Española de Protección de Datos (AEPD) ha publicado Guías específicas sobre el tratamiento de datos en servicios IT y computación en la nube.

La Ley 34/2002 (LSSI-CE) regula a los prestadores IT que operan como proveedores de servicios en línea — plataformas cloud, aplicaciones SaaS, mercados digitales —, imponiendo obligaciones de transparencia informativa (nombre, NIF, domicilio) y requisitos de contratación electrónica. La Ley 6/2020, de servicios electrónicos de confianza, implementa el Reglamento eIDAS ((UE) 910/2014) para la firma electrónica cualificada en la prestación de servicios IT.

El Contrato de Prestación de Servicios IT en España es necesario siempre que una empresa, un organismo público o un particular contrate a un proveedor tecnológico para que preste servicios de desarrollo de software, soporte IT, gestión de infraestructura u otro servicio tecnológico con alcance comercial, obligaciones continuadas o acceso a datos sensibles.

Se requiere un contrato IT formal cuando una empresa encarga el desarrollo de software a medida — aplicación web, app móvil, integración de ERP o solución de base de datos personalizada. El contrato debe regular los entregables, los procedimientos de pruebas de aceptación, la cesión de propiedad intelectual y la responsabilidad por defectos del software y vulnerabilidades de seguridad.

Es necesario cuando una empresa contrata a un proveedor de servicios gestionados (MSP) para la gestión continua de infraestructura — hosting en la nube, administración de servidores, monitorización de redes, copias de seguridad y recuperación — con acuerdos de nivel de servicio (ANS) definidos para disponibilidad, tiempo de respuesta y resolución de incidencias.

Se precisa cuando una empresa contrata a una empresa de ciberseguridad para pruebas de penetración (pentesting), auditorías de seguridad, análisis de vulnerabilidades o servicios de Centro de Operaciones de Seguridad (SOC). El contrato debe delimitar el alcance de las pruebas autorizadas, las obligaciones de confidencialidad y el cumplimiento del Esquema Nacional de Seguridad (ENS — Real Decreto 311/2022).

Es necesario cuando un proveedor de SaaS (Software como Servicio) entrega una aplicación cloud por suscripción a clientes empresariales españoles — el contrato debe regular la residencia de datos (dentro de la UE/EEE para cumplir el RGPD), los términos de tratamiento de datos del art. 28 RGPD, los ANS de disponibilidad de la plataforma y los derechos de portabilidad y supresión de datos del cliente (arts. 20 y 17 RGPD).

Bajo la Ley de Sociedades de Capital (LSC) RDL 1/2010, el Registro Mercantil inscribe a las sociedades españolas. El Código de Comercio de 1885 regula las obligaciones mercantiles. La AEAT administra el Impuesto sobre Sociedades (IS) bajo la Ley 27/2014. La CNMC aplica la normativa de competencia. El Código Civil regula las obligaciones contractuales generales (art. 1255).

Un Contrato de Prestación de Servicios IT válido en España conforme al Artículo 1544 del Código Civil, la Ley 34/2002 (LSSI), el Real Decreto Legislativo 1/1996 (LPI) y el RGPD debe contener los siguientes elementos esenciales para proteger a ambas partes y cumplir con las obligaciones en materia de propiedad intelectual, protección de datos y obligaciones mercantiles.

Identificación de las partes: Nombre completo, NIF/CIF, domicilio social e inscripción registral en el Registro Mercantil de cliente y prestador. Datos de contacto para comunicaciones formales y consultas RGPD. Deben indicarse los datos de la póliza de seguro de responsabilidad civil profesional del prestador.

Alcance de los servicios: Descripción precisa de todos los servicios IT a prestar — entregables específicos, hitos, especificaciones funcionales, requisitos técnicos, servicios excluidos y servicios de transición o incorporación. Para proyectos de desarrollo de software, debe incorporarse por referencia un documento de especificaciones técnicas o PRD. Debe precisarse si la obligación es de medios o de resultado, pues determina el estándar de cumplimiento y los remedios disponibles.

Calendario de hitos: Para servicios de proyecto (desarrollo, implementación), fechas de inicio, entrega de hitos y finalización del proyecto. Puede incorporarse un diagrama de Gantt por referencia. Las cláusulas de gestión de cambios de alcance — cómo se acuerdan, documentan y presupuestan — son esenciales en proyectos de software.

Acuerdos de Nivel de Servicio (ANS): Para contratos de servicios gestionados y soporte, parámetros ANS medibles — disponibilidad del sistema (% de tiempo activo), tiempos de respuesta y resolución por nivel de gravedad, procedimientos de escalado. Créditos de servicio por incumplimiento del ANS como cláusula penal válida (art. 1152 CC). Metodología de medición y frecuencia de reporting.

Propiedad intelectual: Cláusula expresa que regule la titularidad de todos los entregables tecnológicos — software, código fuente, documentación y bases de datos. Para desarrollo a medida: cesión plena y exclusiva de todos los derechos patrimoniales de explotación (arts. 43 y 97 LPI), incluyendo reproducción, distribución, transformación y comunicación pública. Para productos estándar o SaaS: alcance y condiciones de la licencia otorgada al cliente. Garantía del proveedor de que los entregables no infringen derechos de propiedad intelectual de terceros.

Protección de datos: Acuerdo de Encargo del Tratamiento obligatorio (art. 28 RGPD) si el proveedor trata datos personales por cuenta del cliente, con detalle de: categorías de datos, finalidades, medidas de seguridad (art. 32 RGPD), restricciones sobre subencargados, notificación de brechas de seguridad (72 horas a la AEPD, art. 33 RGPD) y supresión o devolución de datos al término del contrato. Para transferencias internacionales fuera del EEE, deben incorporarse las Cláusulas Contractuales Tipo (CCT) de la Comisión Europea (art. 46 RGPD).

Confidencialidad: Obligaciones recíprocas de confidencialidad sobre la información propietaria, datos empresariales, especificaciones técnicas, código fuente y datos personales, bajo la Ley 1/2019 de Secretos Empresariales. Duración de las obligaciones de confidencialidad tras la extinción del contrato.

Pago: Estructura de honorarios acordada — precio fijo, tiempo y materiales, cuota mensual o pagos por hitos — con periodicidad de facturación, condiciones de pago e intereses de demora conforme a la Ley 3/2004. El IVA al 21% se aplica a los servicios IT (Ley 37/1992).

Forms-legal.com facilita este modelo de Contrato de Servicios IT para España como marco de partida. Los proyectos de desarrollo complejos, los contratos de IA y los servicios gestionados de infraestructura crítica o datos financieros requieren revisión por abogado especializado en derecho tecnológico, propiedad intelectual y protección de datos para confirmar el cumplimiento íntegro del RGPD, la Ley 1/2019, la LPI y la LSSI. La plataforma forms-legal.com ofrece esta plantilla adaptada a la legislación española vigente para facilitar la elaboración de este documento con todas las garantías legales.