Contrato de software PRL/SST: soporte, SLA, propiedad de los datos y cambio de proveedor

Por Pablo Rodríguez

La demostración de un software PRL/SST muestra cómo podría trabajar el equipo. El contrato determina qué se entrega, qué ocurre ante una incidencia y cómo se recupera la información si cambia la relación. Revisar ambos documentos juntos evita que una expectativa comercial termine convertida en una discusión de alcance.

El punto de partida es una lista de procesos necesarios: evaluaciones, medidas, formación, inspecciones o coordinación documental. La ficha de software de PRL/SST permite ordenar ese mapa. Después hay que traducirlo a condiciones verificables, con responsables y evidencias de aceptación.

Describir lo contratado sin depender de una presentación

El anexo de alcance debería identificar módulos, entidades, centros, perfiles de usuario, almacenamiento y servicios profesionales incluidos. Aclare si la migración, la formación inicial, las integraciones y los cambios de configuración forman parte del precio o se presupuestan aparte. La respuesta debe poder localizarse en una versión aceptada por las partes.

Incluya también lo que debe aportar la empresa: calidad de los datos, disponibilidad de interlocutores, validación de permisos y decisiones sobre procesos. Una implantación puede bloquearse aunque el proveedor cumpla sus entregas si nadie del cliente está facultado para aprobar el resultado.

Convertir el SLA en situaciones comprensibles

Un acuerdo de nivel de servicio debe resultar comprensible para quienes utilizarán el sistema. Distinga disponibilidad del servicio, horario de soporte, tiempo de primera respuesta y objetivo de resolución o recuperación. «Atención rápida» no permite comprobar si una incidencia recibió el tratamiento acordado.

Son criterios de negociación, no condiciones comerciales atribuidas a Sabentis. Compruebe asimismo qué evidencias recibe el cliente tras una incidencia y quién coordina comunicaciones cuando interviene una integración con otro sistema.

Aclarar los datos y sus usos

Defina qué información aporta el cliente, qué registros genera el servicio y qué usos puede realizar cada parte. La expresión «propiedad de los datos» no sustituye la definición de finalidades, accesos, conservación y devolución. La AEPD explica la relación entre responsable y encargado del tratamiento, que debe analizarse cuando resulte aplicable el RGPD.

Para una operación en Colombia, revise el régimen aplicable y los flujos internacionales con el responsable correspondiente. Evite copiar una cláusula de otro país sin comprobar su encaje. La ficha sobre datos de salud en SST ayuda a identificar información que merece un tratamiento especialmente delimitado.

Probar la salida antes de necesitarla

Solicite una exportación de prueba con registros, adjuntos y relaciones. Un archivo con nombres y fechas puede resultar insuficiente si desaparece el vínculo entre evaluación, medida y evidencia. Pida un índice de campos y compruebe que otra persona puede interpretar los datos sin depender de la interfaz original.

• Formatos de entrega y documentación de su estructura.
• Coste, plazo y responsables de una exportación final.
• Periodo de consulta durante la transición.
• Tratamiento de copias, conservación y supresión al finalizar.
• Asistencia disponible para resolver incidencias de migración.

En un ejemplo ilustrativo, una empresa cambia de proveedor al terminar su contrato. Haber ensayado antes la exportación permite identificar anexos ausentes y campos ambiguos mientras el servicio sigue activo. La guía de migración de software PRL/SST desarrolla esa comprobación.

Una revisión conjunta de Compras, SST y TI

Distribuya la revisión por especialidad, pero cierre una única lista de pendientes. SST valida procesos y continuidad operativa; TI, seguridad e integraciones; Compras, alcance y condiciones económicas; el equipo jurídico y de privacidad revisa las obligaciones que corresponden. Cada punto debería terminar con una decisión, no con una observación sin propietario.

Registre expresamente las suposiciones durante esta revisión. Si un requisito depende de una integración o un servicio adicional, identifique esa dependencia en el plan de aceptación. Revise el alcance acordado después de un cambio relevante en la implantación, para que los documentos sigan reflejando la operación que se entrega.

Puede preparar la negociación con un RFP de software PRL/SST y contrastar los controles con la guía de seguridad para TI. Al conversar con Sabentis, lleve escenarios concretos y solicite que la propuesta y el contrato recojan el alcance acordado.

Lista de comprobación para contrastar contrato y demostración

Antes de aceptar la propuesta, recorre un caso de compra completo con Compras, SST y TI. Esta revisión permite localizar condiciones que suelen quedar repartidas entre correos, anexos comerciales y documentos técnicos.

• Relacionar cada requisito decisivo de la demostración con una cláusula, un anexo o un criterio de aceptación expresamente acordado.
• Simular una incidencia fuera del horario habitual y comprobar el canal disponible, el calendario aplicable y el inicio de cada plazo.
• Pedir un ejemplo de factura con crecimiento de usuarios, entidades o almacenamiento para entender cómo se calcula el coste adicional.
• Confirmar quién recibe y decide sobre cambios del servicio que puedan afectar a los procesos preventivos o las integraciones.
• Abrir una exportación de prueba en una herramienta independiente y comprobar una relación entre registro, documento y evidencia de cierre.

Preguntas frecuentes

¿SLA y horario de soporte significan lo mismo?

No. El SLA recoge compromisos de servicio; el horario indica cuándo se presta una atención determinada. Comprueba cómo se computa una incidencia iniciada de noche o en festivo y distingue primera respuesta, recuperación y resolución. Cada compromiso necesita una definición medible y excepciones identificables.

¿Qué diferencia hay entre exportar datos y poder cambiar de proveedor?

Una exportación es solo una parte de la transición. También necesitas interpretar campos, recuperar adjuntos, conservar relaciones y establecer una fecha de corte. Solicita un ensayo con un expediente completo y acuerda quién resuelve incidencias de entrega antes de que termine el acceso al sistema anterior.

¿Es suficiente una cláusula que diga que los datos son del cliente?

No aclara por sí sola qué puede hacer cada parte con la información. Deben concretarse finalidades, accesos, subcontratación, conservación y devolución. Cuando hay tratamiento por cuenta de otra entidad, revisa las obligaciones correspondientes al responsable y al encargado conforme al régimen aplicable a la operación.

¿Cómo evito pagar dos veces una necesidad incluida en la oferta?

Identifica la versión aceptada del alcance y sus dependencias, incluidos servicios de configuración o integración. Ante un cambio, pide describir qué necesidad nueva lo justifica y qué impacto tiene. Mantener un registro de acuerdos facilita distinguir una ampliación legítima de un requisito ya contratado.

Normativa y fuentes consultadas

• AEPD: responsable y encargado del tratamiento. España y RGPD: orientaciones sobre la relación entre las partes cuando el proveedor trata datos por cuenta del cliente.
• Ley 1581 de 2012. Colombia: marco de protección de datos que debe considerarse al definir responsabilidades y usos de la información.

Fuentes consultadas el 6 de octubre de 2026.