Service Level Agreement (SLA) Spain
SERVICE LEVEL AGREEMENT (ACUERDO DE NIVEL DE SERVICIO)
El presente Acuerdo de Nivel de Servicio (en adelante, "ANS") se formaliza al amparo del artículo 1255 del Código Civil, en virtud del principio de autonomía de la voluntad, entre:
PROVEEDOR DE SERVICIOS: [Provider Name], con NIF/CIF [Provider NIF], domicilio social en [Provider Address], representado por [Provider Representative] (en adelante, el "Proveedor").
CLIENTE: [Client Name], con NIF/CIF [Client NIF], domicilio social en [Client Address], representado por [Client Representative] (en adelante, el "Cliente").
Ambas partes, reconociéndose mutuamente capacidad legal suficiente para obligarse, acuerdan las siguientes estipulaciones:
1. SERVICE DESCRIPTION AND SCOPE
1.1 El Proveedor se compromete a prestar al Cliente los siguientes servicios conforme a los términos de este ANS:
[Service Description]
1.2 El presente ANS entra en vigor el [Start Date] y tendrá una duración inicial de [Contract Duration], salvo resolución anticipada conforme a la Cláusula 7. El ANS se renovará automáticamente por períodos sucesivos de 12 meses, salvo que cualquiera de las partes notifique su voluntad de no renovación con 90 días de antelación a la expiración del período en curso.
1.3 La cuota mensual por los servicios descritos en el presente ANS asciende a [Monthly Fee] € (euros), más el IVA aplicable al tipo vigente conforme a la Ley 37/1992 del Impuesto sobre el Valor Añadido.
2. SERVICE LEVEL COMMITMENTS
2.1 Disponibilidad. El Proveedor se compromete a mantener una disponibilidad del servicio del [Availability Target], medida mensualmente, excluyendo las ventanas de mantenimiento programado y los supuestos de fuerza mayor conforme al artículo 1105 del Código Civil. La disponibilidad se calcula como: (Minutos Totales del Mes − Minutos de Inactividad) / Minutos Totales del Mes × 100.
2.2 Tiempos de Respuesta y Resolución de Incidencias. Las incidencias se clasificarán y atenderán conforme a la siguiente matriz de prioridades: P1 – Crítica (producción completamente inoperativa): Respuesta en [P1 Response Time]; Resolución objetivo en [P1 Resolution Time]. P2 – Alta (impacto significativo sin solución alternativa): Respuesta en 1 hora; Resolución objetivo en 8 horas. P3 – Media (impacto moderado con solución alternativa disponible): Respuesta en 4 horas; Resolución objetivo en 2 días hábiles. P4 – Baja (impacto mínimo): Respuesta en 1 día hábil; Resolución objetivo en 5 días hábiles.
2.3 Horario de Soporte. El Proveedor prestará soporte durante el siguiente horario: [Support Hours].
2.4 Mantenimiento Programado. Las ventanas de mantenimiento planificado son: [Maintenance Window]. El Proveedor notificará al Cliente con al menos 5 días hábiles de antelación cualquier mantenimiento programado. Las ventanas de mantenimiento se excluyen del cálculo de disponibilidad.
3. SERVICE CREDITS AND PENALTIES
3.1 Créditos de Servicio. Si el Proveedor no alcanza el compromiso de disponibilidad establecido en la Cláusula 2.1 en cualquier mes natural, el Cliente tendrá derecho a un crédito de servicio calculado como [Credit Percentage] de la cuota mensual por cada punto porcentual completo de déficit de disponibilidad por debajo del objetivo acordado. Los créditos de servicio constituyen el remedio exclusivo del Cliente por incumplimientos de disponibilidad por debajo del umbral de resolución de la Cláusula 3.3.
3.2 Límite Máximo de Créditos. El total acumulado de créditos de servicio aplicables en un solo mes no excederá del [Max Monthly Credit] de la cuota mensual. Los créditos de servicio se aplicarán como deducciones en la factura del mes siguiente.
3.3 Resolución por Incumplimiento Reiterado. El Cliente podrá resolver el presente ANS por causa conforme al artículo 1124 del Código Civil si el Proveedor incumple el compromiso de disponibilidad durante [Termination Threshold]. En tal caso, el Cliente deberá notificar por escrito con 30 días de antelación y el Proveedor prestará asistencia razonable en la transición sin coste adicional.
3.4 Las penalizaciones previstas en la presente Cláusula constituyen cláusulas penales conforme al artículo 1152 del Código Civil, ejecutables sin necesidad de acreditar el daño real. Los tribunales españoles conservan la facultad de moderar las penalizaciones manifiestamente excesivas conforme al artículo 1154 del Código Civil.
4. ESCALATION AND SUPPORT PROCEDURES
4.1 El Cliente comunicará las incidencias a través del canal de soporte designado por el Proveedor. Contacto principal de soporte: [Primary Contact]. Gestor de escalado: [Escalation Contact].
4.2 Durante las incidencias graves (P1 y P2), el Proveedor proporcionará actualizaciones de estado al Cliente al menos cada 60 minutos hasta la resolución, así como un análisis de causa raíz en un plazo de 5 días hábiles desde la resolución.
5. DATA PROTECTION
5.1 Tratamiento de datos personales en el marco del presente ANS: [Data Processing]. Cuando los servicios impliquen el tratamiento de datos personales por cuenta del Cliente, el Proveedor actuará como encargado del tratamiento y el Cliente como responsable del tratamiento conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Se suscribirá un Contrato de Encargado del Tratamiento independiente como anexo al presente ANS, que formará parte integrante del mismo.
5.2 El Proveedor implementará las medidas de seguridad técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, notificará al Cliente cualquier brecha de datos personales en un plazo de 72 horas desde su conocimiento conforme al artículo 33 del RGPD, y cooperará con la Agencia Española de Protección de Datos (AEPD) cuando sea requerido.
6. GENERAL PROVISIONS
6.1 Ley Aplicable. El presente ANS se rige por el derecho español, en particular por el Código Civil y la normativa mercantil aplicable. [Governing Law].
6.2 Resolución de Controversias. Las partes procurarán resolver amistosamente las controversias derivadas del presente ANS. En caso de no alcanzarse un acuerdo, las controversias se someterán a mediación conforme a la Ley 5/2012 de Mediación en Asuntos Civiles y Mercantiles antes de iniciar procedimientos judiciales. Si la mediación resultase infructuosa, las controversias se resolverán ante los tribunales de [Governing Law] competentes conforme a la Ley de Enjuiciamiento Civil (Ley 1/2000).
6.3 Integridad del Acuerdo. El presente ANS, junto con sus anexos, constituye la totalidad del acuerdo entre las partes en lo relativo a los niveles de servicio y sustituye todas las manifestaciones orales o escritas previas sobre la misma materia.
SIGNATURES
En prueba de conformidad, las partes suscriben el presente Acuerdo de Nivel de Servicio en la fecha arriba indicada.
Proveedor de Servicios
[Provider Name]
Cliente
[Client Name]
What Is a Service Level Agreement (SLA) Spain?
A Service Level Agreement Spain (Acuerdo de Nivel de Servicio — ANS) under Código Civil art. 1255 is a formal written contract between a service provider (proveedor de servicios) and a client (cliente) defining the specific quality, availability, and performance standards the provider commits to deliver, along with the remedies and penalties applicable when those standards are not met. The Código Civil de España (Real Decreto de 24 de julio de 1889), Article 1255, enshrines the principle of autonomía de la voluntad — freedom of contract — permitting parties to establish any terms they agree upon, provided they do not contravene law, morality, or public policy. Article 1273 Código Civil additionally requires that the object of a contract be determinable with sufficient certainty — a requirement that directly shapes how service level metrics must be defined in Spanish SLAs.
The Service Level Agreement Spain occupies a critical position in Spanish commercial practice because Spanish courts — Juzgados de lo Mercantil for commercial disputes and Juzgados de Primera Instancia for civil matters — treat SLAs as fully binding contractual obligations enforceable through the acción de cumplimiento (specific performance) under Article 1124 Código Civil or the acción de resolución (contract termination) for substantial breach. The Ley de Enjuiciamiento Civil (Ley 1/2000, LEC) governs civil litigation procedure, and SLA disputes involving amounts above €6,000 follow the juicio ordinario before the Juzgado de Primera Instancia or Juzgado de lo Mercantil. The Código de Comercio (Real Decreto de 22 de agosto de 1885) applies to commercial SLAs between empresarios, and the Registro Mercantil records of both parties are relevant for establishing the contracting entities and their authorised representatives.
In the technology sector, SLAs in Spain must account for the Reglamento (UE) 2016/679 (RGPD — Reglamento General de Protección de Datos) and Ley Orgánica 3/2018 (LOPDGDD) when the service involves personal data processing. Under Article 28 RGPD, the data processor (encargado del tratamiento) must execute a Data Processing Agreement (Contrato de Encargado del Tratamiento) with the data controller — this instrument is frequently appended to or incorporated into the SLA. The Agencia Española de Protección de Datos (AEPD) supervises compliance and may impose fines up to €20 million or 4 percent of global annual turnover for serious RGPD infringements, affecting SLA counterparties across all sectors.
For telecommunications and cloud services, the Ley General de Telecomunicaciones (Ley 11/2022, de 28 de junio) establishes mandatory service quality obligations and complaint procedures for electronic communications providers regulated by the Comisión Nacional de los Mercados y la Competencia (CNMC). The CNMC publishes quality-of-service metrics that frequently inform SLA benchmarks in Spanish technology contracts. Operators of essential digital infrastructure are additionally subject to the Esquema Nacional de Seguridad (ENS — Real Decreto 311/2022), which categorises security requirements as basic, medium, or high and is mandatory for entities providing services to public administrations.
The Ley 34/2002 de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE) applies to SLAs for digital and online services provided in Spain, imposing transparency requirements regarding service characteristics, pricing, and complaint mechanisms. The Agencia Estatal de Administración Tributaria (AEAT) supervises IVA (Ley 37/1992) and Impuesto sobre Sociedades (Ley 27/2014, IS) compliance for service fee payments under Spanish SLAs, including withholding tax obligations on payments to non-resident service providers under the Convenios de Doble Imposición administered by the Ministerio de Hacienda.
Spanish commercial practice increasingly aligns SLA metrics with ISO/IEC 20000 (IT Service Management System) and ITIL (Information Technology Infrastructure Library) frameworks, particularly for managed IT services, software-as-a-service (SaaS), and outsourcing contracts. While these standards carry no direct legal force in Spain, Spanish courts consider industry-standard benchmarks when assessing whether a provider's performance was commercially reasonable under Article 1104 Código Civil — which defines culpable breach by reference to the standard of a diligent contractor (diligencia del buen padre de familia or diligencia profesional exigida en el sector).
The Ley de Contratos del Sector Público (LCSP — Ley 9/2017, de 8 de noviembre) applies to SLAs where one party is a Spanish public administration. Public sector SLAs require mandatory service quality penalties under Article 192 LCSP, oversight by the Intervención General de la Administración del Estado (IGAE), and publication of contract details on the Plataforma de Contratación del Sector Público. The Tribunal de Cuentas supervises compliance with LCSP service quality obligations. Forms-legal.com provides this Service Level Agreement Spain template as a practical starting point for commercial service contracts under Spanish law.
When Do You Need a Service Level Agreement (SLA) Spain?
A Service Level Agreement Spain is needed whenever a Spanish company engages a third-party service provider and requires contractual certainty over service quality, availability, response times, and financial remedies for non-performance. Without a formal SLA, the client relies only on the general implied obligations of care under Article 1104 Código Civil, which provides insufficient specificity for technology and outsourcing contracts and leaves both parties exposed to litigation over undefined performance expectations.
An SLA is required for managed IT services contracts — when a Spanish empresa (sociedad limitada, sociedad anónima, or autónomo operating as a business) outsources infrastructure management, helpdesk support, cybersecurity monitoring, backup and disaster recovery, or cloud hosting to a proveedor tecnológico. These arrangements demand uptime guarantees, incident response times classified by priority, and data recovery point objectives (RPO) and recovery time objectives (RTO) that must align with the Esquema Nacional de Seguridad (ENS — Real Decreto 311/2022) where the client is a public body or interacts with public administrations.
A Service Level Agreement Spain is needed for SaaS and cloud platform contracts — when a Spanish business subscribes to software-as-a-service platforms such as ERP systems, CRM software, or cloud storage, the SLA defines scheduled maintenance windows, availability percentages, support tier response times, and service credits triggered by outages. The Agencia Española de Protección de Datos (AEPD) requires that data processing obligations under RGPD Article 28 be formally documented in the SLA or an annexed Data Processing Agreement (Contrato de Encargado del Tratamiento).
An ANS is required for telecommunications contracts with Spanish carriers regulated by the Comisión Nacional de los Mercados y la Competencia (CNMC). The Ley General de Telecomunicaciones (Ley 11/2022) and CNMC regulations require operators to publish quality parameters, but enterprise clients require contractual SLAs specifying latency, packet loss, jitter, provisioning timelines, and dedicated escalation contacts beyond the statutory minimums for meaningful commercial protection.
A Service Level Agreement Spain is needed for facility management and outsourcing contracts — cleaning services, security services, catering, and building maintenance agreements across Spain routinely include SLA annexes defining incident response times, periodic inspection schedules, and penalty regimes (penalizaciones) deductible from invoices under Article 1255 Código Civil. Workers employed by the outsourcing contractor are subject to Estatuto de los Trabajadores (RDL 2/2015) obligations, and the Tesorería General de la Seguridad Social (TGSS) may hold the client jointly liable for unpaid Social Security contributions under Article 42 ET where the outsourcing relationship is classified as a contrata o subcontrata.
An SLA is required when entering public administration contracts under the Ley de Contratos del Sector Público (LCSP — Ley 9/2017) — public bodies must define service performance criteria and penalty structures in their pliegos de prescripciones técnicas published on the Plataforma de Contratación del Sector Público. The IGAE conducts post-award monitoring of service delivery against LCSP-mandated performance criteria.
A Service Level Agreement Spain is needed when a Spanish company acts as a sub-processor under RGPD Article 28.4 — the sub-processing agreement must match or exceed the data protection obligations in the primary SLA, ensuring the AEPD compliance chain is unbroken from controller to processor to sub-processor.
What to Include in Your Service Level Agreement (SLA) Spain
A valid Service Level Agreement Spain under Código Civil art. 1255 and Spanish commercial practice must contain the following key provisions to be enforceable and commercially effective before the Juzgados de lo Mercantil and the Audiencias Provinciales.
**Party Identification and Contract Scope.** Full legal names, NIFs registered with the Agencia Estatal de Administración Tributaria (AEAT), Registro Mercantil data, and registered addresses of both proveedor de servicios and cliente. The scope section must define precisely which services are covered — a vague scope renders SLA metrics unenforceable under Article 1273 Código Civil's certainty requirement and creates disputes about which components are subject to the penalty regime.
**Service Description and Catalogue.** A detailed description of each service component — for IT services, hardware specifications, software versions, network infrastructure, and support coverage hours. For professional services, deliverables, formats, and acceptance criteria under Article 1544 Código Civil. The catalogue must align with the procurement scope in the pliegos de prescripciones técnicas for public sector contracts under the LCSP.
**Service Level Metrics (Indicadores de Nivel de Servicio).** Precise, measurable performance indicators including: availability percentage (porcentaje de disponibilidad) calculated monthly or annually with defined exclusions for scheduled maintenance and force majeure; mean time to respond (MTTR) and mean time to repair for incidents; incident classification matrix (P1 crítico through P4 menor) with response and resolution time commitments for each priority level; and data backup frequency and retention periods complying with RGPD Article 5.1(e) storage limitation requirements supervised by the AEPD.
**Measurement Methodology.** The agreed method for calculating service levels — monitoring tools, measurement windows, exclusion periods (scheduled maintenance agreed in advance, force majeure under Article 1105 Código Civil, client-caused outages), and the reporting period. Under Article 1288 Código Civil, Spanish courts construe ambiguous SLA measurement provisions against the party that drafted them (interpretación contra proferentem), making precision essential.
**Service Credits and Penalties (Créditos y Penalizaciones).** The penalty structure triggered by service level failures — credit amounts expressed as a percentage of monthly fees per unit of availability shortfall, maximum aggregate monthly credit caps, and the procedure for claiming credits. Under Article 1255 Código Civil, penalty clauses (cláusulas penales) substitute liquidated damages under Article 1152 Código Civil and are enforceable without proof of actual loss. Under Article 1154 Código Civil, courts may reduce manifestly disproportionate penalties, so credits should be set at commercially reasonable levels relative to the service fee.
**Escalation and Support Procedures.** Contact details and escalation paths — primary technical contact, escalation manager, account manager — with defined communication channels (ticketing system, telephone hotline, dedicated account portal) and communication frequency during major incidents. For public sector SLAs, escalation procedures must align with the contracting authority's internal governance and IGAE oversight obligations.
**Change Management (Gestión del Cambio).** Procedures for requesting, approving, and implementing changes to service scope, configurations, or performance targets — aligned with ITIL change management principles. Material scope changes must be documented in a written amendment (adenda al contrato) to preserve enforceability under Article 1255 Código Civil.
**Business Continuity and Disaster Recovery.** RTO and RPO commitments, geographic redundancy of data centres in Spain or the EU (aligned with RGPD Article 32 technical security requirements and ENS — Real Decreto 311/2022), and testing frequency for disaster recovery plans. For financial sector clients, Banco de España Circular 2/2016 on outsourcing imposes specific business continuity requirements reflected in the SLA.
**Data Protection Obligations.** Where personal data is processed, an integrated Data Processing Agreement (DPA) under RGPD Article 28 covering processing purposes, data categories, sub-processor lists, data transfer mechanisms (Standard Contractual Clauses for transfers outside the EEA under Commission Decision 2021/914), and the processor's obligation to notify the controller of data breaches within 72 hours under RGPD Article 33. Failure to execute a compliant DPA constitutes a RGPD infringement enforceable by the AEPD with fines up to €10 million under Article 83.4 RGPD.
**Term, Renewal, and Exit.** Contract duration, auto-renewal provisions, termination for cause and termination for convenience with notice periods — typically 30 to 90 days — and transition assistance obligations upon termination. For public sector contracts under the LCSP, termination rights are governed by Article 211 LCSP.
Forms-legal.com provides this Service Level Agreement Spain template as a practical reference for documenting SLA frameworks in Spanish commercial and technology contracts. Every SLA should be reviewed by a qualified abogado especialista en derecho mercantil or derecho tecnológico to reflect the specific service scope, RGPD obligations supervised by the AEPD, and any sector-specific requirements applicable to the client's industry.
Cite this page
Reference this free template in an article, syllabus, or research note:
Forms Legal. (2026). Service Level Agreement (SLA) Spain (Spain) [Legal document template]. Forms Legal. https://forms-legal.com/espana/business/contracts/service-level-agreement-spain
"Service Level Agreement (SLA) Spain (Spain)." Forms Legal, 2026, https://forms-legal.com/espana/business/contracts/service-level-agreement-spain.
@misc{formslegal-service-level-agreement-spain,
author = {{Forms Legal}},
title = {Service Level Agreement (SLA) Spain (Spain)},
year = {2026},
howpublished = {\url{https://forms-legal.com/espana/business/contracts/service-level-agreement-spain}},
note = {Free legal document template}
}
Frequently Asked Questions
Un Acuerdo de Nivel de Servicio España es plenamente vinculante conforme al artículo 1255 del Código Civil, que establece el principio de autonomía de la voluntad — las partes pueden pactar cualesquiera condiciones que no sean contrarias a la ley, la moral ni el orden público. Una vez suscrito, el ANS constituye un contrato ejecutable ante los tribunales civiles españoles. Los Juzgados de lo Mercantil tienen competencia sobre disputas de ANS entre partes comerciales (empresarios) conforme a la Ley de Enjuiciamiento Civil (Ley 1/2000, LEC). El incumplimiento de los compromisos de nivel de servicio otorga a la parte afectada los remedios especificados en el ANS — créditos de servicio, resolución o indemnización por daños y perjuicios — además de los remedios contractuales generales conforme al artículo 1124 del Código Civil. Los tribunales españoles tratan las cláusulas penales en los ANS como mecanismos válidos de liquidación anticipada de daños conforme al artículo 1152 del Código Civil, ejecutables sin necesidad de prueba del daño real, aunque los tribunales conservan la facultad de reducir las penalizaciones manifiestamente excesivas a instancia de la parte incumplidora conforme al artículo 1154 del Código Civil. Para que el ANS sea ejecutable, el objeto y las métricas de rendimiento deben ser suficientemente determinados conforme al artículo 1273 del Código Civil — los KPI vagos o no medibles corren el riesgo de ser declarados inejecutables.
Los contratos tecnológicos españoles — que abarcan servicios de TI gestionados, plataformas SaaS, alojamiento en la nube, telecomunicaciones y externalización — utilizan habitualmente las siguientes métricas de nivel de servicio alineadas con la práctica comercial española y los estándares regulatorios de la CNMC. La disponibilidad es la métrica más fundamental, expresada como porcentaje del tiempo total mensual o anual — una disponibilidad del 99,9 % (tres nueves) equivale a aproximadamente 8,76 horas de inactividad al año, y el 99,99 % (cuatro nueves) equivale a aproximadamente 52 minutos. El Tiempo Medio de Respuesta (MTTR de respuesta) y el Tiempo Medio de Reparación (MTTR de resolución) definen la rapidez con la que el proveedor acusa recibo y resuelve las incidencias, clasificadas habitualmente en cuatro niveles de prioridad (P1 crítico, P2 alto, P3 medio, P4 bajo) con compromisos diferenciados de tiempo de respuesta y resolución. El Objetivo de Tiempo de Recuperación (RTO) y el Objetivo de Punto de Recuperación (RPO) definen las capacidades de recuperación ante desastres — alineados con el Esquema Nacional de Seguridad (ENS — Real Decreto 311/2022) para clientes del sector público. Las métricas de throughput, latencia y pérdida de paquetes se utilizan en los ANS de telecomunicaciones conforme a las directrices de la CNMC. Las métricas de retención de datos y frecuencia de copias de seguridad deben cumplir con los requisitos de limitación del almacenamiento del artículo 5.1.e) del RGPD supervisados por la Agencia Española de Protección de Datos (AEPD). Todas las métricas deben medirse mediante una herramienta de monitorización acordada y reportarse mensualmente.
Las cláusulas penales en un Acuerdo de Nivel de Servicio España operan conforme a los artículos 1152 a 1154 del Código Civil como mecanismo de liquidación anticipada de daños — las partes preacuerdan la consecuencia económica de un incumplimiento del nivel de servicio, evitando la necesidad de que la parte afectada pruebe el daño real. Conforme al artículo 1152 del Código Civil, una cláusula penal válida sustituye a la indemnización general por daños y perjuicios — la parte afectada reclama la penalización estipulada en lugar de probar el perjuicio económico exacto causado por la interrupción o incumplimiento. Conforme al artículo 1155 del Código Civil, la cláusula penal no impide que la parte perjudicada reclame también el cumplimiento, salvo que el contrato establezca expresamente la penalización como remedio exclusivo. La estructura de penalización de ANS más habitual en España consiste en créditos de servicio aplicados como un porcentaje de reducción en la factura mensual siguiente — por ejemplo, un crédito del 10 % de la cuota mensual por cada hora completa de disponibilidad por debajo de la garantía del 99,9 %. Los tribunales españoles aplican el artículo 1154 del Código Civil para reducir las cláusulas penales manifiestamente desproporcionadas — habitualmente cuando la penalización excede con creces el valor económico del servicio incumplido — por lo que los créditos deben ser comercialmente razonables. Los Juzgados de lo Mercantil realizan un análisis fáctico detallado al evaluar la proporcionalidad, tomando como referencia la cuota del servicio, el impacto del incumplimiento y la práctica del sector conforme al artículo 1104 del Código Civil.
Cuando un Acuerdo de Nivel de Servicio España cubre el tratamiento de datos personales, el acuerdo debe incorporar un Contrato de Encargado del Tratamiento conforme al artículo 28 del RGPD y la Ley Orgánica 3/2018 (LOPDGDD), supervisado por la Agencia Española de Protección de Datos (AEPD). Los elementos obligatorios incluyen: (1) Objeto del tratamiento y base jurídica conforme al artículo 6 del RGPD; (2) Categorías de datos e interesados — empleados, clientes, usuarios finales; (3) Duración alineada con el plazo del ANS y el calendario de retención conforme al artículo 5.1.e) del RGPD; (4) Obligaciones del encargado — tratar solo conforme a instrucciones documentadas, mantener la confidencialidad, implementar medidas de seguridad conforme al artículo 32 del RGPD y no contratar subencargados sin autorización escrita; (5) Lista de subencargados con obligaciones equivalentes del RGPD impuestas a cada subencargado; (6) Notificación de brechas de datos al responsable en un plazo de 72 horas conforme al artículo 33 del RGPD; (7) Cláusulas Contractuales Tipo (CCT) conforme a la Decisión de la Comisión 2021/914 para transferencias fuera del EEE; y (8) Devolución o eliminación segura de todos los datos personales al finalizar el ANS. La falta de suscripción de un contrato de encargado conforme constituye una infracción del RGPD sancionable por la AEPD con multas de hasta 10 millones de euros conforme al artículo 83.4 del RGPD.
Los Acuerdos de Nivel de Servicio con administraciones públicas españolas se rigen por la Ley de Contratos del Sector Público (LCSP — Ley 9/2017, de 8 de noviembre) además de los principios contractuales generales del Código Civil. Conforme al artículo 192 de la LCSP, los contratos públicos de servicios deben incluir criterios de calidad del servicio y disposiciones obligatorias de penalidades en los pliegos de prescripciones técnicas, publicados en la Plataforma de Contratación del Sector Público gestionada por el Ministerio de Hacienda. Las métricas de ANS para contratos tecnológicos del sector público deben alinearse con el Esquema Nacional de Seguridad (ENS — Real Decreto 311/2022), que clasifica los sistemas de información en categoría de seguridad básica, media o alta e impone las correspondientes medidas de seguridad técnicas y organizativas. Los ANS públicos deben cumplir también con los requisitos del Esquema Nacional de Interoperabilidad (ENI — Real Decreto 4/2010) para sistemas que intercambian datos con otras administraciones públicas. La Intervención General de la Administración del Estado (IGAE) y el Tribunal de Cuentas supervisan el cumplimiento de los compromisos de calidad de servicio de la LCSP, y el responsable del contrato designado por la autoridad contratante realiza el seguimiento diario del rendimiento del ANS conforme al artículo 62 de la LCSP. Los plazos de pago para los ANS del sector público se rigen por la Ley de Morosidad (Ley 3/2004) — las administraciones públicas deben pagar en un plazo de 30 días desde la recepción de la factura, con interés de demora automático al tipo de referencia del Banco de España más 8 puntos porcentuales.
La resolución de un Acuerdo de Nivel de Servicio España activa obligaciones contractuales, de protección de datos y operativas conforme al Código Civil y al RGPD. La resolución por causa (resolución por incumplimiento) conforme al artículo 1124 del Código Civil se aplica cuando el proveedor incumple sustancialmente el ANS — por ejemplo, incumplimiento reiterado de las garantías críticas de disponibilidad o una brecha de datos causada por medidas de seguridad inadecuadas conforme al artículo 32 del RGPD. La parte afectada debe notificar por escrito (burofax o carta certificada al domicilio del proveedor inscrito en el Registro Mercantil) y, cuando se aplique un período de subsanación, conceder una oportunidad razonable para remediar el incumplimiento. La resolución por conveniencia requiere el plazo de preaviso pactado — habitualmente de 30 a 90 días — y el pago de las cuotas de servicio pendientes. Tras la resolución, las obligaciones del proveedor conforme al artículo 28 del RGPD exigen la eliminación segura o la devolución de todos los datos personales, con confirmación escrita para el expediente de cumplimiento ante la Agencia Española de Protección de Datos (AEPD). La asistencia en la transición — habitualmente de 30 a 90 días durante los cuales el proveedor continúa prestando el servicio en las condiciones existentes mientras el cliente migra — debe incluirse expresamente. Las disputas derivadas de la resolución del ANS se resuelven ante el Juzgado de lo Mercantil conforme al procedimiento de Juicio Ordinario de la Ley de Enjuiciamiento Civil (LEC).
El Esquema Nacional de Seguridad (ENS — Real Decreto 311/2022, de 3 de mayo) es obligatorio para todos los sistemas de información utilizados por las administraciones públicas españolas y para cualquier operador privado que preste servicios a dichas administraciones. El ENS clasifica los sistemas de información en tres categorías de seguridad — básica, media y alta — en función del impacto potencial de un incidente de seguridad sobre la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información. Los Acuerdos de Nivel de Servicio con clientes del sector público en España deben incorporar medidas de seguridad alineadas con el ENS como requisitos técnicos mínimos. Conforme al artículo 13 del ENS y al Anexo II, los sistemas de categoría alta exigen los controles más estrictos, incluyendo cifrado en reposo y en tránsito, autenticación multifactor, monitorización continua de seguridad (SIEM), pruebas de penetración y procedimientos formales de respuesta ante incidentes. El Centro Criptológico Nacional (CCN), adscrito al Centro Nacional de Inteligencia (CNI), publica guías de cumplimiento del ENS (guías CCN-STIC) que los anexos de seguridad del ANS deben referenciar. Los proveedores de servicios privados deben obtener la certificación ENS de un organismo de auditoría acreditado ante el CCN antes de prestar servicios a sistemas de categoría media y alta. Los créditos y penalizaciones del ANS deben contemplar los incumplimientos del ENS como una categoría diferenciada de incumplimiento del nivel de servicio, con plazos específicos de notificación de incidentes alineados con el artículo 33 del RGPD (notificación de brechas en 72 horas) y los protocolos de reporte de incidentes del CCN.
This template is provided for informational purposes only and does not constitute legal advice. Laws vary by jurisdiction and change over time. Consult a qualified attorney for advice specific to your situation.Full disclaimer
Found an error? Let us knowRelated Documents
You may also find these documents useful:
Acuerdo de Distribución (España)
Acuerdo de Distribución para España — regulado por el Código de Comercio (artículo 244) y la Ley 12/1992 de Contrato de Agencia, que establece una relación de distribución exclusiva o no exclusiva con ámbito territorial, obligaciones de compra mínima y cláusulas de extinción.
Contrato de Comisión Mercantil España
Contrato de Comisión Mercantil para España, regulado por los artículos 244 a 280 del Código de Comercio. Cubre comisiones mercantiles para compraventa, transporte y operaciones financieras, con cláusulas de cálculo de comisión, del credere y rendición de cuentas.
Contrato de Mediación Comercial España — CCom art. 244 y Ley 12/1992
Contrato de Mediación Comercial para España conforme al artículo 244 del Código de Comercio (CCom) sobre corredores mercantiles, los artículos 1544 y 1709 del Código Civil y la Ley 12/1992 de Contrato de Agencia, que regula la actividad de los intermediarios comerciales que ponen en contacto a compradores y vendedores a cambio de una comisión.
Contrato SaaS España (Contrato de Software como Servicio)
Contrato de Software como Servicio para España regulado por la Ley 34/2002 LSSI-CE artículo 23, el Real Decreto Legislativo 1/1996 LPI y el Reglamento (UE) 2016/679 RGPD, que establece los términos de acceso a software en la nube, cuotas de suscripción, tratamiento de datos y titularidad de la propiedad intelectual.