Lo que ya no vale en un contrato SaaS desde el 12 de enero de 2027: el Data Act, cláusula a cláusula

Las grandes nubes no esperaron. En los tres meses siguientes a la entrada en vigor del Reglamento (UE) 2023/2854, conocido como Data Act, Google Cloud, Amazon Web Services y Microsoft dejaron de cobrar la transferencia de datos a los clientes que abandonaban sus plataformas. En septiembre de 2025, Salesforce incorporó a sus condiciones un anexo específico y reconoció a todos sus clientes europeos, también a los que ya tenían contrato firmado, el derecho a cambiar de proveedor en los términos del Reglamento.

La pregunta incómoda es si el resto del mercado ha hecho lo mismo, y las cifras invitan a dudarlo. En una encuesta de Bitkom a 605 empresas alemanas con veinte o más empleados, realizada en la primavera de 2025, solo el 1 % había aplicado el Data Act por completo y el 4 % en parte, mientras que el 52 % creía que no le afectaba. No existe un estudio equivalente en España, pero el patrón es reconocible: condiciones generales redactadas en 2021 o 2022 que nadie ha vuelto a abrir, con renovación automática, preaviso de noventa días y un «servicio de migración» que se factura aparte.

Los grandes proveedores reescribieron sus contratos en 2024 y 2025. Para el resto, el 12 de enero de 2027 es el día en que cualquier cargo por la salida del cliente pasa a estar prohibido.

La mayoría de las reglas se aplican ya desde el 12 de septiembre de 2025 (artículo 50). El 12 de enero de 2027 cierra el círculo, porque desde ese día no se puede cobrar nada por la salida (artículo 29.1). Esta es la comparación, cláusula a cláusula:

• Preaviso para irse: noventa días o más, o solo al vencimiento → dos meses como máximo (artículo 25.2.d)
• Permanencia: el cliente paga todas las cuotas hasta el final → el cliente puede irse y solo debe una penalización proporcionada (considerando 89)
• Tarifa por exportar datos: la que fije el proveedor → solo el coste directo hasta el 12 de enero de 2027; después, ninguna (artículo 29)
• Cuota de baja o de migración: habitual en los planes anuales → es un coste por cambio, prohibido desde el 12 de enero de 2027 (artículos 2.36 y 29.1)
• Formato de los datos: un CSV parcial o una copia en formato propio → todos los datos exportables, en formato estructurado y legible por máquina (artículos 25.2.e y 30.5)
• Exportación según el plan: completa solo en el plan superior → interfaces abiertas y gratuitas para todos los clientes por igual (artículos 23.c y 30.2)
• Ayuda en la migración: a presupuesto, o ninguna → asistencia razonable durante hasta treinta días, con el servicio funcionando (artículo 25.2.a)
• Información sobre costes: en la letra pequeña → antes de firmar y publicada en la web (artículos 29.4 y 29.6)

¿Por qué afecta también a un proveedor de diez personas?

Casi todo lo publicado sobre el Data Act trata de aparatos conectados, la materia de su capítulo II, y de ahí nace buena parte de ese 52 % que se cree fuera. Las reglas sobre cambio de proveedor están en el capítulo VI y se dirigen a los proveedores de servicios de tratamiento de datos, una categoría que el artículo 2.8 define en términos que abarcan cualquier servicio en la nube y que el considerando 81 extiende expresamente al software como servicio. El Reglamento se aplica aunque el proveedor esté fuera de la Unión, siempre que tenga clientes en ella (artículo 1.3.f).

Tampoco hay rebaja por tamaño. El artículo 7.1 exime a microempresas y pequeñas empresas de las obligaciones del capítulo II, y de ninguna otra. El programa de gestión para clínicas con trescientos clientes en contratos anuales autorrenovables, el ERP vertical para asesorías que factura aparte la migración de datos o la plataforma de reservas que solo permite descargar el último año en CSV están exactamente donde está Salesforce, con la diferencia de que Salesforce ya ha adaptado sus condiciones.

¿Cómo es la salida de un cliente con el Data Act?

El Reglamento convierte la salida en un procedimiento con fases y plazos tasados. Si un cliente comunica el 1 de octubre que se va a otro proveedor, el calendario queda así:

• Preaviso, hasta el 1 de diciembre. El contrato no puede exigir más de dos meses (artículo 25.2.d).
• Transición, hasta finales de diciembre. Treinta días naturales como máximo, con el contrato en vigor, durante los que el proveedor asiste en la migración, mantiene el servicio, avisa de los riesgos que conozca y protege los datos (artículo 25.2.a). Si el plazo es técnicamente inviable, debe justificarlo en catorce días hábiles y proponer otro de hasta siete meses (artículo 25.4), y el cliente puede prorrogar la transición una vez (artículo 25.5).
• Recuperación, al menos hasta finales de enero. Treinta días naturales como mínimo para descargar lo que falte (artículo 25.2.g).
• Borrado. Concluido ese plazo, el proveedor elimina los datos (artículo 25.2.h), y el contrato se da por terminado al completarse el cambio (artículo 25.2.c).

El contenido de la mudanza tampoco queda a criterio del proveedor. El contrato debe enumerar los datos que el cliente puede llevarse, con todos los datos exportables como mínimo (artículo 25.2.e): lo que el cliente introduce, lo que el servicio genera con su uso y los metadatos asociados (artículo 2.38). Una copia de seguridad que solo sabe abrir la aplicación de origen no cumple.

¿Qué puede seguir cobrando el proveedor?

Cuando un cliente se marcha, el proveedor puede facturarle por tres conceptos que los contratos suelen mezclar. La cuota ordinaria sigue devengándose mientras el contrato está vivo, también durante el preaviso y la transición. La penalización por salida anticipada en un contrato de duración determinada se admite si es proporcionada (considerando 89), y la definición legal de costes por cambio la deja fuera (artículo 2.36). Los costes por cambio, que son todo lo que se cobra precisamente por marcharse, solo pueden cubrir el coste directo de esa migración hasta el 12 de enero de 2027 y desaparecen después (artículo 29). Una tarifa de 0,10 euros por gigabyte exportado puede encajar hoy si refleja lo que el proveedor paga por sacar los datos; una cuota fija de baja de 500 euros difícilmente.

El margen, y la incertidumbre, está en la penalización, porque el Reglamento no dice qué es proporcionado. Un proveedor que vende su software a 2.400 euros al mes sin compromiso o a 2.000 euros con contrato de tres años, y que regala una implantación que le cuesta 6.000 euros, ve cómo un cliente se marcha a los doce meses. Quedan 48.000 euros en cuotas pendientes. La pérdida real es otra: 4.800 euros de descuento ya disfrutado más 4.000 euros de implantación sin amortizar, 8.800 euros en total. Una lectura del Reglamento permitiría reclamar la primera cifra y otra, más coherente con su finalidad, solo la segunda. Sin autoridad ni sentencias sobre la cuestión, lo decidirán los jueces con las reglas de la cláusula penal del Código Civil, y la segunda cifra es mucho más fácil de defender ante ellos.

El Reglamento deja además espacio para lo razonable. Un desarrollo a medida para un único cliente, fuera del catálogo general, puede seguir cobrando costes por cambio, aunque debe respetar el preaviso y la transición (artículo 31.1). Las versiones de prueba sin uso productivo quedan fuera del capítulo (artículo 31.2), y en ambos casos hay que advertirlo antes de contratar (artículo 31.3). El proveedor puede también excluir de la exportación los datos internos que revelarían sus secretos comerciales, si los identifica en el contrato y no retrasa el cambio (artículo 25.2.f). Corregir todo esto cuesta poco en el primer modelo de contrato y bastante con cientos de clientes firmados; adaptar el modelo y los contratos vigentes es el trabajo de nuestro encargo de Data Act para SaaS.

¿Qué se arriesga quien no adapta el contrato?

Quien mantiene las condiciones antiguas asume un riesgo sobre todo económico. Llega por cuatro vías, y la multa es la última:

• Cobros que no se pueden exigir. Por regla general, una cláusula contraria a una norma imperativa es nula (artículo 6.3 del Código Civil). El cliente puede negarse a pagar la tarifa de exportación o las cuotas posteriores a su salida, y el proveedor que demande para cobrarlas se expone a perder el pleito y pagar las costas. Lo cobrado indebidamente desde septiembre de 2025 puede reclamarse.
• Responsabilidad por entorpecer la salida. Una migración sin asistencia o con datos inutilizables genera al cliente costes (licencias duplicadas, consultores, semanas de retraso) que puede reclamar como daños por incumplimiento (artículo 1101 del Código Civil).
• Descuento en la valoración. Las cláusulas incompatibles aparecen en cualquier revisión legal previa a una ronda o a una venta.
• Sanciones cuando llegue la autoridad. El artículo 40 obliga a cada Estado a fijar sanciones efectivas, proporcionadas y disuasorias, y la competencia corresponde al Estado donde el proveedor está establecido (artículo 37.10). España no había designado autoridad a principios de 2026, pero los contratos que sigan sin adaptar cuando lo haga quedarán expuestos.

La tercera vía es la que más pesa en una empresa que busca financiación. Una empresa que factura 1,2 millones de euros en suscripciones, el 70 % con contratos de tres años, presentaba hasta ahora ese 70 % como ingreso comprometido. Con el Data Act, cada uno de esos clientes puede irse con dos meses de aviso, y lo único asegurado es la penalización que el contrato permita cobrar. Si además ingresaba 30.000 euros al año por tarifas de exportación, esa línea sale de las proyecciones en 2027. El abogado del inversor lo trasladará a una garantía, a una condición previa al cierre o al precio, como explicamos en la guía sobre la due diligence legal en una ronda de inversión.

¿Qué gana el proveedor de SaaS frente a su propia nube?

Los mismos derechos que debe a sus clientes, y aquí los ejemplos reales enseñan algo. Los programas voluntarios que las grandes nubes lanzaron en 2024 venían con condiciones: Microsoft exigía cancelar todas las suscripciones de Azure antes de abonar el crédito, y AWS revisaba cada solicitud y daba sesenta días para completar la salida. En septiembre de 2025, Microsoft pasó a cobrar a precio de coste las transferencias a otros proveedores para sus clientes europeos, y Google eliminó en Europa las tarifas por mover datos entre su nube y las de la competencia.

El Data Act convierte esas políticas comerciales en derechos que no dependen de la voluntad del proveedor: preaviso máximo de dos meses, asistencia en el traslado (artículo 25), equivalencia funcional en la infraestructura contratada (artículo 30.1) y salida sin costes desde el 12 de enero de 2027 (artículo 29). Si la carga se reparte entre dos nubes, solo pueden cobrar lo que la salida de datos cueste realmente (artículo 34.2). Es una posición poco habitual para una empresa mediana: cuando un cliente grande le impone cláusulas NIS2 que la ley no le exige, todo depende de lo que consiga negociar, mientras que frente a un hiperescalador el contenido mínimo del contrato lo fija la norma (artículo 25.2).

¿Puede cambiar algo antes del 12 de enero de 2027?

Hay una propuesta en tramitación. La Comisión presentó el 19 de noviembre de 2025 la propuesta de Reglamento Ómnibus Digital, que reconoce expresamente las penalizaciones proporcionadas por salida anticipada y aligera las obligaciones para servicios a medida y para pymes y empresas de pequeña y mediana capitalización que no ofrezcan infraestructura, aunque solo en contratos firmados hasta el 12 de septiembre de 2025. A finales de julio de 2026 seguía en negociación en el Consejo. Contamos en qué punto está el expediente en este análisis del Ómnibus digital de datos. Mientras no se apruebe, los contratos deben ajustarse al texto vigente, y la revisión puede empezar por tres preguntas sobre cada uno: cuánto preaviso exige al cliente que se va, qué le cobra por marcharse y en qué formato le entrega sus datos.

Preguntas frecuentes

¿El Data Act afecta a los contratos firmados antes de septiembre de 2025?

Sí. El artículo 50 prevé regímenes transitorios para otras partes del Reglamento, pero ninguno para el capítulo VI, de modo que las reglas de cambio se aplican también a los contratos vigentes firmados antes. Salesforce, por ejemplo, las reconoce a sus clientes europeos con contrato anterior.

¿Puede un cliente irse a mitad de un contrato de tres años?

Sí, con un preaviso máximo de dos meses (artículo 25.2.d). Lo que el proveedor puede exigirle es la penalización por salida anticipada que se haya pactado e informado antes de firmar (artículo 29.4), siempre que sea proporcionada.

¿Se puede seguir cobrando por exportar los datos?

Hasta el 12 de enero de 2027, solo por el coste directo de esa migración concreta (artículo 29.3). Desde esa fecha, no (artículo 29.1).

¿Se puede reservar la exportación completa al plan más caro?

Es arriesgado. El contrato debe permitir llevarse todos los datos exportables (artículo 25.2.e), el proveedor no puede poner obstáculos comerciales a esa portabilidad (artículo 23.c) y las interfaces abiertas deben ofrecerse gratis y por igual a todos los clientes (artículo 30.2).

¿Afecta a una startup o a una pyme de software?

Sí. La única exención por tamaño, la del artículo 7.1, se refiere a los aparatos conectados del capítulo II. El capítulo VI se aplica igual a una empresa de cinco personas que a una multinacional.

¿Qué ocurre si el proveedor está fuera de la Unión Europea?

El Reglamento se le aplica si tiene clientes en la Unión (artículo 1.3.f). Debe designar un representante legal en un Estado miembro (artículo 37.11) y, mientras no lo haga, queda bajo la competencia de todos ellos (artículo 37.13).

Si tu situación encaja, puedes reservar una videoconsulta aquí (90€, descontables de la primera factura si finalmente aceptamos tu encargo).