Contrato Mantenimiento Informático

Modalidades de mantenimiento informático

Contenido del contrato de mantenimiento informático

Preguntas frecuentes sobre mantenimiento informático

¿Qué SLA (acuerdo de nivel de servicio) debe incluir un contrato de mantenimiento informático?

El SLA es el corazón del contrato. Debe especificar al menos: (1) TIEMPOS DE RESPUESTA por severidad: crítica (sistema caído) → 1-4h; alta (función principal afectada) → 4-8h; media (función secundaria) → 24h; baja (mejora o consulta) → 48-72h. (2) TIEMPOS DE RESOLUCIÓN: crítica 4-8h, alta 24h, media 72h, baja a definir. (3) DISPONIBILIDAD comprometida: típicamente 99% (3.65 días caída/año), 99.5% (1.83 días) o 99.9% (8.76h) — la "alta disponibilidad" comercial. (4) HORARIO de soporte: 9-18 L-V (laboral), 24x5 (laboral ampliado) o 24x7 (siempre). (5) PENALIZACIONES por incumplimiento: descuento 5-25% factura mensual según severidad y duración. (6) MÉTRICAS y reporting mensual con tickets, tiempos reales y disponibilidad medida.

¿Diferencia entre mantenimiento preventivo, correctivo, evolutivo y 24x7?

PREVENTIVO: tareas programadas para evitar incidencias — actualizaciones, parches de seguridad, copias de seguridad verificadas, monitorización proactiva, limpieza de logs, optimización BBDD. Coste fijo mensual. CORRECTIVO: respuesta a incidencias cuando algo se rompe — restaurar copia, recuperar correo, sustituir equipo. Suele ir en bolsa de horas o en cuota fija con SLA. EVOLUTIVO: nuevos desarrollos o mejoras, NO reparaciones — instalar nuevo software, migrar a la nube, ampliar red. Se factura por horas o por proyecto, NO incluido en cuota mensual habitual. 24x7: soporte ininterrumpido con guardias, requiere personal disponible noches y fines de semana, multiplica el coste por 2-3x. Para PYMES habitual: paquete preventivo + correctivo en horario laboral con SLA básico, evolutivo facturado aparte. Para empresas críticas (e-commerce, hospitales): 24x7 con SLA estricto.

¿Cómo se regula el acceso del proveedor IT a los datos de la empresa cliente?

El proveedor IT es ENCARGADO DE TRATAMIENTO RGPD (art. 28 RGPD) cuando accede a datos personales del cliente para mantener sus sistemas. Es OBLIGATORIO firmar un Anexo de Encargo de Tratamiento (DPA) además del contrato comercial. Contenido mínimo: (1) Tipos de datos a los que accede el proveedor (clientes, empleados, proveedores). (2) Finalidad limitada (solo mantenimiento técnico, NUNCA uso comercial). (3) Duración del tratamiento (igual que el contrato). (4) Confidencialidad obligatoria de todo el personal del proveedor. (5) Medidas de seguridad: cifrado, control de accesos, logs de actividad. (6) Subencargados: lista de proveedores que el IT pueda usar (cloud, herramientas remotas) con autorización escrita del cliente. (7) Brechas de seguridad: el IT debe notificar al cliente en 24h si detecta una brecha, para que el cliente pueda notificar a la AEPD en 72h. (8) Devolución/destrucción de datos al fin del contrato. Sanciones RGPD por no firmar DPA: hasta 20 millones € o 4% facturación.

¿Cómo facturar el mantenimiento informático? ¿Cuota fija o bolsa de horas?

Tres modelos habituales: (1) CUOTA FIJA MENSUAL (más estable): incluye preventivo ilimitado + correctivo con SLA. Pago todos los meses tenga o no incidencias. Ventaja para el cliente: presupuesto previsible. Ventaja para el proveedor: ingreso recurrente. Habitual para PYMES con infraestructura estable. (2) BOLSA DE HORAS: cliente compra paquete (10/20/40h/mes) que se consumen según necesidad. Si sobran horas, se pierden o se acumulan al mes siguiente según contrato. Si se agotan, se facturan horas adicionales a tarifa premium. Habitual para empresas con incidencias variables. (3) PAY-PER-INCIDENT: solo se factura cuando hay incidencia, sin cuota fija. Más caro por hora pero útil para empresas con buenos sistemas que solo necesitan ayuda esporádica. IVA siempre al 21% (servicios profesionales no exentos). Retención IRPF 15% si el cliente es empresa o autónomo y el proveedor es persona física autónomo. Plazo legal de pago entre empresas: máximo 60 días (Ley 15/2010 morosidad), si no se pacta otra cosa, 30 días.

¿Quién es responsable si hay un fallo grave o pérdida de datos?

Tres capas de responsabilidad: (1) RESPONSABILIDAD DEL PROVEEDOR: si el fallo es por NEGLIGENCIA del proveedor (no hizo copia que estaba contratada, configuró mal el firewall, instaló parche sin probar) → indemnización al cliente por daños y perjuicios. Limitar contractualmente la responsabilidad a un múltiplo (1-3 veces) de la facturación anual del contrato. (2) RESPONSABILIDAD DEL CLIENTE: si el fallo es por acción del usuario (clic en phishing, contraseña débil, no aplicar protocolos), el proveedor NO responde. Documentar formaciones impartidas y avisos enviados. (3) FUERZA MAYOR: catástrofes naturales, ataques masivos a la cadena de suministro (Log4j, SolarWinds), proveedores cloud caídos (AWS, Azure) → ninguna parte responde si actuó con diligencia. SEGURO obligatorio para el proveedor: Responsabilidad Civil Profesional con cobertura mínima 300.000€ por incidencia. Si maneja datos personales, también seguro de Ciberriesgo (500.000€ mínimo). Para clientes críticos (sanidad, banca), exigir seguro propio del cliente y plan de continuidad de negocio.