El acuerdo de nivel de servicio (SLA)

Introducción y finalidad económica de la figura

El acuerdo de nivel de servicio (Service Level Agreement o SLA; en español, ANS) define formalmente qué puede esperar el cliente del servicio prestado por el proveedor, así como sus obligaciones, objetivos de rendimiento, disponibilidad, seguridad y cumplimiento. Es el instrumento por excelencia de la externalización de funciones, especialmente en materia de redes informáticas¹.

Se trata de un instrumento contractual que fija el estándar de calidad que el prestador queda obligado a cumplir, constituyendo el marco de referencia para la medición y evaluación del servicio. Es muy frecuente en mantenimiento de aplicaciones, gestión de infraestructuras y externalización de procesos de negocio.

Su elemento definitorio es la precisión técnica, al regular aspectos cuantificables — tiempos de respuesta, resolución de incidencias, porcentajes de disponibilidad — mediante indicadores acordados por las partes para cada elemento del servicio, fijando también su nivel de criticidad. Ello permite contrastar en todo momento si el nivel de servicio real se ajusta al comprometido, sin margen relevante para la interpretación subjetiva.

Esto es relevante, pues la vulneración del SLA (salvo desviaciones graves) no se equipara al incumplimiento esencial, sino que produce penalizaciones proporcionales a la degradación recibida, lo que aporta seguridad jurídica ante la complejidad técnica, clarificando el régimen de responsabilidad y permitiendo la aplicación automática de consecuencias. Es un acuerdo flexible que suele contemplar la posibilidad de revisar sus condiciones de mutuo acuerdo, o mantener las últimas pactadas en caso de desacuerdo².

Aproximación conceptual a la figura y características principales

Al contratar cualquier contrato relativo a prestación de servicios (incluido el de outsourcing IT, en el que nos centraremos especialmente) aunque el precio sea adecuado y las cláusulas protejan frente a distintos incumplimientos, ello no significa que cubra la prestación de un servicio deficiente.

Un SLA no es estrictamente obligatorio, pero subestimar su importancia deviene fácilmente en disputas entre prestador y cliente. Es esencial reconocer al SLA sustantividad material propia y no tratarlo como un mero añadido accesorio, con independencia de que en la práctica se instrumentalice como anexo³.

Estos acuerdos son esenciales en servicios cloud (infraestructura, software, redes, máquinas virtuales, seguridad, etc.) donde se pasa al modelo de pago por uso, con abaratamiento pero también pérdida de control sobre la⁴ infraestructura, delegada a un tercero⁵. Desde la ingeniería de telecomunicaciones, el SLA se estructura sobre las partes, los parámetros y los objetivos de nivel, articulados mediante métricas cuantificables de calidad y experiencia (QoS/QoE) sobre las que se asientan las consecuencias del incumplimiento⁶.

DESAI defiende que el SLA se instrumentalice como anexo porque, pese a su valor técnico y jurídico independiente, ello permite aislar las cláusulas jurídicas generales (responsabilidad, indemnizaciones, protección de datos, etc.) de los detalles técnicos de la prestación. Esta separación beneficia a (1) la especialización de los intervinientes, en tanto el personal jurídico se centra en el contrato principal y el técnico en el SLA; (2) la operatividad de la ejecución, pues las cuestiones jurídicas se redirigen al contrato principal, las técnicas al SLA; (3) la flexibilidad sobrevenida, dado que permite renegociar el contrato principal (deal information) sin necesidad de alterar el segundo – y viceversa – evitando además duplicidades documentales.⁷

Naturaleza jurídica y régimen jurídico aplicable

El SLA carece de tipificación legal autónoma en el ordenamiento jurídico español. No aparece regulado en el Código Civil, el Código de Comercio, ni en legislación sectorial específica. Su naturaleza depende de la que tenga el contrato principal, y al ser el outsourcing sede natural, analizaremos la naturaleza de este.

Según nuestro Alto Tribunal⁸ la prestación de técnicas informáticas no tiene calificación uniforme, pudiéndose clasificar como arrendamiento de servicios o de obra dependiendo del contenido obligacional. Sectores de la jurisprudencia menor identifican el outsourcing informático como contrato de obra. Así ha ocurrido en el⁹ ámbito laboral, calificándolo como contrato de obra en aras a la protección del trabajador¹⁰. No obstante, otros Tribunales avalan la arquitectura de contrato marco con anexos específicos para instrumentar el outsourcing, y¹¹ concluyen que la figura se ajusta mejor al arrendamiento de servicios por su carácter duradero y continuado, sin perjuicio de que las partes puedan optar por el arrendamiento de obra o combinar ambas figuras¹².

Esta indeterminación implica que debe acudirse a las prestaciones concretas para determinar su naturaleza. Según KAHALE, el SLA se configura como un anexo dentro de un contrato de outsourcing tecnológico, y este último se trata mayoritariamente de un arrendamiento de servicios (art. 1544 CC¹³) en su modalidad atípica y compleja (1255 CC) de los artículos 1254 y siguientes del mismo código¹⁴. En la obligación de medios, el deudor solo queda obligado a desplegar la diligencia razonable en la ejecución sin comprometerse, mientras que en la de resultados asume el deber de obtener un resultado, comprometiendo su responsabilidad si no lo hace.

El criterio que permite la distinción se basa en la distribución de riesgo, y tiene consecuencias a nivel probatorio. BLANCO recoge en su obra¹⁵ una sentencia¹⁶ que refleja las diferencias a nivel probatorio, pues mientras que en la obligación de resultado la no obtención del mismo implica por sí sola incumplimiento, en la obligación de medios se necesita “prueba de la falta de diligencia para apreciar incumplimiento”.

Para determinar si una obligación es de un tipo u otro, la doctrina considera: (a) la propia definición de la obligación en el contrato, (b) el precio y demás elementos del negocio, (c) el grado de aleatoriedad presente y (d) la influencia que puede ejercer la otra parte sobre la ejecución¹⁷. Analizaremos estos requisitos respecto al SLA.

A) La definición de la obligación en el contrato. El criterio que determina si estamos ante medios o resultado es la definición del propio contrato principal. El prestador que asume un compromiso objetivamente cuantificado está contrayendo una obligación de resultado, verificable por la sola constatación de que el indicador se alcanza o no, sin necesidad de prueba adicional y activando directamente las consecuencias previstas (cláusulas penales). Por el contrario, estaremos ante una obligación de medios cuando el proveedor simplemente ponga en marcha toda su prudencia y diligencia para satisfacer al acreedor sin depender del resultado final¹⁸. La apreciación del incumplimiento requerirá acreditar la falta de diligencia del prestador, cuya consecuencia práctica en el SLA son penalizaciones proporcionales a la desviación respecto al umbral pactado.

B) El precio y demás elementos del negocio. Según la doctrina, el criterio que vertebra la distinción medios/resultado es la distribución de riesgos entre las partes¹⁹. El precio pactado es uno de los indicadores objetivos de ese reparto, de manera que un precio estándar de mercado refleja que el prestador solo asume el riesgo de su conducta diligente, mientras que un precio sustancialmente superior indicaría que se ha absorbido el riesgo de obtención del resultado²⁰.

Esta correlación entre precio y riesgo asumido se observa empíricamente en la práctica del sector del outsourcing, hosting y cloud computing, donde puede trazarse una escala que va desde la prestación gratuita sin compromiso alguno hasta la garantía de resultado retribuida con prima. Así, Oracle declara expresamente que su capa gratuita no incluye SLA, sin que ello impida (según refieren) la operatividad efectiva del servicio²¹. Otro ejemplo es el SLA de Amazon DynamoDB, que determina textualmente que estamos ante una obligación de medios (“AWS hará todos los esfuerzos comercialmente razonables...”) estableciendo una cláusula penal con liquidación del daño basada en créditos según tiempos de degradación del servicio, y una limitación respecto al modo de responsabilidad (el crédito como único y exclusivo remedio a su incumplimiento)²². Lo más cercano a la obligación de resultado (aunque no lo es, pero se acerca) son ciertos proveedores como Maple Hosting²³, que anuncian “100% uptime” y reembolso dinerario directo (no créditos) siempre que el incumplimiento se dé en el ámbito de control del prestador.

C) Aleatoriedad en la consecución. CABANILLAS²⁴ opina que en las obligaciones de actividad, dado el carácter aleatorio o incierto del resultado, el deudor no puede garantizar su obtención, cumpliendo simplemente cuando ejerciera experiencia y técnica para conseguir un resultado, sin que pueda asegurarse su consecución.

La calificación variará según el grado de control que el prestador tenga sobre el resultado, que disminuye cuando este depende de factores externos imprevisibles²⁵. VERMA²⁶ refiere que en servicios de alojamiento los SLA no suelen basarse en rendimiento porque hay factores no controlables por el proveedor (ej. latencia) por lo que no pueden asegurarse. De ahí que tiendan a configurarse como obligaciones de medios.

D) Grado de influencia de la otra parte sobre la ejecución. Según UNIDROIT²⁷, «en determinadas situaciones, una de las partes puede tener cierto grado de influencia sobre la ejecución de las obligaciones de la otra. Este hecho puede transformar en obligaciones de medios aquellas que, de otro modo, se habrían calificado como obligaciones de resultado» (traducción propia). Ello enlaza, en nuestro Derecho, con el deber de colaboración del acreedor que integra todo contrato conforme a la buena fe (art. 1258 CC).

Identificación de las partes contratantes

Dado que el SLA se articula como anexo, las partes son formalmente las mismas que en el contrato principal, y aunque la figura admite relación con consumidores, su relevancia se proyecta sobre todo entre profesionales.

En el SLA negociado, ninguna parte actúa como sujeto monolítico, sino que la dirección general y la asesoría jurídica asumen el contrato principal, mientras que el área de tecnologías de la información lidera la configuración técnica del SLA. Esta distribución encierra un riesgo de asimetría de conocimiento —quien negocia no suele ejecutar—, al que DESAI añade un segundo: la degradación del SLA cuando su redacción se delega en perfiles técnicos sin supervisión jurídica, dejando al proveedor sin parámetros claros de exigibilidad y al cliente sin control efectivo²⁸.

En el SLA de adhesión, la asimetría no es interna, sino entre el proveedor que predispone las condiciones y el cliente que las acepta en bloque, lo que desplaza el problema hacia el control del contenido predispuesto.

Programa prestacional

El SLA presupone una descripción suficientemente determinada del servicio y de su entorno técnico (equipos, red, dimensionamiento) pues sin objeto preciso, el nivel de servicio no es medible ni, por tanto, exigible (arts. 1271-1273 CC). Aparte de estos aspectos técnicos y dependientes del contrato principal, y ante la ausencia total de regulación legal, acudimos a la doctrina para determinar las obligaciones que debe asumir cada parte.

La doctrina técnica identifica como componentes típicos de un SLA la descripción del servicio, el nivel de rendimiento esperado, el procedimiento de comunicación de incidencias, los plazos de respuesta y resolución, el proceso de monitorización y reporte, las consecuencias del incumplimiento y las cláusulas de exención²⁹. El presente epígrafe analiza estos elementos desde la perspectiva jurídica, agrupándolos en el programa prestacional que sigue, parándonos luego en otros que merecen atención separada.

Las obligaciones del prestatario se traducen en asegurar el buen funcionamiento y reversibilidad del sistema, prevenir riesgos para la continuidad de la prestación, proponer medidas de mitigación, designar interlocutores, proporcionar formación necesaria, asumir las responsabilidades legales que le incumban, aportar al cliente información y comunicar al cliente las anomalías detectadas o mejoras propuestas³⁰.

Las obligaciones del cliente se concretan en designar interlocutor ante el prestatario, reconocer que el sistema responde a sus necesidades, elegir soluciones, realizar los pagos, guardar responsabilidad de los datos y medios que utilice, realizar declaraciones o hacer aquellas obligaciones legales que le incumban (especialmente en protección de datos personales), y mantener a su personal informado.

La obligación mutua más importante que ambas partes tienen es la de colaboración, que se consigue mediante la puesta en común de los medios e interlocutores con estrecha comunicación de información y vigilancia del correcto cumplimiento de la ejecución del contrato, así como adopción de soluciones cuando proceda³¹.

El funcionamiento conforme a lo acordado y remisión de informes. El SLA debe configurarse como un instrumento equilibrado y objetivamente alcanzable por un prestador que ejecute el servicio con la diligencia ordinaria exigible. Para garantizar su eficacia, es práctica generalizada que el prestador remita al cliente, con la periodicidad pactada, un informe de servicio con los valores reales de cada indicador, sirviendo de base para reuniones periódicas de seguimiento en las que las partes acuerdan las medidas correctoras necesarias cuando el nivel de servicio se sitúe por debajo de los umbrales establecidos³².

La tríada CIA (Confidentiality, Integrity, Availability) y el SecSLA. La práctica contractual ha extendido el objeto del SLA más allá de la disponibilidad para incorporar las restantes dimensiones de la seguridad de la información. La Agencia de la Unión Europea para la Ciberseguridad (ENISA), en su guía sobre monitorización de niveles de seguridad en contratos cloud sitúa el SLA como pieza central de la definición y el seguimiento de los requisitos de seguridad a lo largo de la vida del contrato³³. En el caso concreto de la migración a sistemas en la nube, el papel del SLA es central, de tal suerte que existen SLA específicos para seguridad (llamados SecSLA) que son el núcleo de la seguridad en la nube y permiten tantos controles específicos como permite un SLA, siempre dependiendo del tipo de despliegue elegido (modelos de IaaS, SaaS, PaaS, seguridad como servicio, etc.). De esta forma, el control de seguridad se vuelve obligación contractual respaldada por penalización³⁴.

El marco normativo conexo. La incorporación de las dimensiones de seguridad descritas viene en buena medida impuesta por el artículo 32 RGPD³⁵, que enuncia como objetivos de la seguridad del tratamiento la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas. Junto a él operan los artículos 28 RGPD y 33 LOPDGDD³⁶ cuando media tratamiento de datos personales, los artículos 28 a 30 del Reglamento DORA³⁷, que fijan el contenido mínimo —incluidas métricas de nivel de servicio— de los acuerdos contractuales sobre servicios TIC con entidades financieras; y los artículos 23 a 31 del Data Act³⁸ en lo relativo a la portabilidad. Finalmente, cuando estos servicios constituyan servicios de la sociedad de la información, resultarán aplicables las previsiones de la LSSI³⁹. La práctica contractual refleja así una exigencia legal que conecta, además, con la distinción entre responsable y encargado del tratamiento que se analiza más adelante.

Las bonificaciones y las penalizaciones. El SLA suele incorporar cláusulas de bonificación y, especialmente, de penalización para los supuestos en que el nivel de servicio efectivamente prestado no alcance el objetivo pactado. Estas penalizaciones se articulan habitualmente como cláusulas penales, esto es, estipulaciones accesorias en virtud de las cuales el deudor queda obligado al pago de una suma de dinero (u otra cosa, como obligaciones de hacer) para el caso de incumplimiento o cumplimiento defectuoso. Conforme al artículo 1152 CC, y salvo pacto en contrario, la pena sustituye a la indemnización de daños y al abono de intereses, lo que permite al prestador conocer de antemano el alcance máximo de su responsabilidad económica.

La doctrina técnica, para el incumplimiento, procura realizar un cálculo financiero del riesgo asociado a cada nivel de servicio comprometido (insurance approach) donde habitualmente se ofrece el mismo nivel a todos los clientes y abona los créditos o penalizaciones pactados cuando los límites no son respetados, revisando las condiciones cuando los riesgos se convierten en inasumibles. En palabras de VERMA, el proveedor opera un autoaseguramiento frente al riesgo de incumplir los objetivos de nivel de servicio (traducción propia)⁴⁰. La penalización no retribuye el daño efectivamente causado, sino el riesgo previamente tarifado, lo que enlaza con la función del precio como indicador de la distribución de riesgos ya analizada.

La prestación del servicio por debajo del estándar pactado rara vez tiene la entidad suficiente para considerarse incumplimiento de obligación esencial que permita la resolución del contrato por incumplimiento. Lo habitual es pactar penalizaciones parciales, siendo frecuente que en lugar de penalizaciones pecuniarias, se convenga la prestación de servicios adicionales sin coste para el cliente como mecanismo de compensación⁴¹.

Abono de precio. Los contratos a los que se refiere el SLA son onerosos y sinalagmáticos, sean arrendamientos de obra o de servicios según el contenido obligacional, pero en todo caso a cambio de la prestación se satisface un precio cierto (art. 1544 CC) siendo que en el arrendamiento de servicios el precio retribuye la actividad desplegada, mientras que en el de obra se vincula a la verificación del resultado ejecutado (arts. 1592-1593 CC).

Semejanzas y diferencias con figuras afines

Respecto a figuras del B2C

Servicios básicos garantizados por normativa sectorial. En sectores típicos de suministro a consumidores, la calidad del servicio prestado al consumidor final no se determina mediante negociación bilateral, sino que viene impuesta por regulación sectorial mediante umbrales de obligado cumplimiento, lo que podemos observar en la normativa del sector eléctrico⁴², telecomunicaciones⁴³ u otros ámbitos, como distribución de gas natural⁴⁴. En definitiva, estaríamos ante normativa sectorial administrativa que establece estándares de calidad, y aunque tienen rasgos en común, no es propiamente un SLA pactado.

Condiciones generales de la contratación. Cuando los contratos operan con cláusulas predispuestas por el proveedor, su régimen jurídico es el de las condiciones generales de la contratación (y en su caso, el de las cláusulas abusivas) con aplicación del TRLGDCU⁴⁵. La LCGC⁴⁶ resulta aplicable siempre que una de las partes imponga cláusulas predispuestas a una pluralidad de contratos (art. 1) con independencia de la condición del adherente (art. 2). El SLA quedaría fuera de su ámbito al ser negociado bilateralmente, pero en contratos de adhesión a clausulado de grandes proveedores serían aplicables los controles de incorporación (arts. 5 y 7) si bien el de abusividad quedaría reservado al adherente consumidor (art. 8.2). El control de transparencia, contenido y forma de estas cláusulas es completamente ajeno al SLA, pues en este último caso opera la plena libertad contractual entre las partes (art. 1255 CC).

Garantías comerciales voluntarias. Las promesas del proveedor («99% uptime», «1 Gb simétrico real») reciben distinta consideración según el ámbito sea B2C o B2B. En el caso de cliente consumidor, su incumplimiento se reconduce al régimen de falta de conformidad (arts. 115 y ss. TRLGDCU) y a la integración de la publicidad en el contrato (art. 61 TRLGDCU). En el caso de cliente profesional, el incumplimiento puede articularse como vicio del consentimiento por dolo, cuando la promesa publicitaria fue engañosa y determinante de la contratación (arts. 1269-1270 CC), como incumplimiento contractual por vulneración de la buena fe (arts. 1258 y 1101 CC), o como acto de engaño constitutivo de competencia desleal (art. 5 de la Ley 3/1991).

Deslinde frente al contrato de mantenimiento informático

GONZÁLES AGUILAR et al. advierten que no es infrecuente que contratos de mantenimiento informático no⁴⁷ prevean plazos de intervención ni consecuencias de su incumplimiento, lo que a falta de cláusula designada a tal efecto provoca que una respuesta tardía del proveedor tenga consecuencias indeterminadas, frente al SLA, que sí la prevé expresamente pero como una métrica más.

Ambas figuras comparten estructura e importancia de los plazos, pero en el contrato de mantenimiento el plazo se integra en el mismo contrato (en su caso), mientras que en el SLA el plazo es un indicador parametrizado más, aplicable a cualquier servicio, por lo que nada impediría anexar un SLA a un contrato de mantenimiento informático.

Deslinde frente al contrato de encargo de tratamiento (art. 28 RGPD)

En el outsourcing tecnológico, y especialmente en entornos cloud, el mismo proveedor suele ser a la vez prestador del servicio y encargado del tratamiento, por lo que conviene distinguir el SLA del contrato de encargo de datos personales. Como veremos, son conceptos complementarios pero con objeto distinto.

Son instrumentos de objeto distinto. El SLA regula el nivel de calidad del servicio —disponibilidad, tiempos de respuesta y resolución— en el marco de la autonomía privada (art. 1255 CC). El contrato de encargo (art. 28 RGPD y arts. 28 y ss. LOPDGDD) disciplina quién trata los datos personales, con qué límites y bajo qué garantías, con un contenido imperativamente conformado por el Reglamento: objeto, duración, naturaleza y finalidad del tratamiento; tipo de datos y categorías de interesados; tratamiento conforme a instrucciones documentadas del responsable; régimen de autorización de subcontrataciones; y deber de asistencia en el ejercicio de derechos de los interesados.

No implica compartimentación. En la práctica del cloud, ambos coexisten y se entrecruzan en la seguridad del tratamiento (art. 32 RGPD), articulable mediante: objetivos de nivel de servicio, reversibilidad o devolución de datos a la finalización (art. 28.3.g RGPD) y en la gestión de incidentes, donde los tiempos de respuesta del SLA se cruzan con el deber de notificación de brechas de seguridad (art. 33 RGPD). Cada uno conserva su régimen propio y actúan en dos esferas distintas: el SLA con carácter privado, y el contrato de encargado del tratamiento de manera imperativa.

Conclusiones

La investigación realizada permite sostener que el acuerdo de nivel de servicio es un contrato sin tipicidad legal que, pese a tener autonomía propia, en la práctica se instrumentaliza como anexo de un contrato principal.

La naturaleza del mismo se relaciona directamente con la del contrato principal, por lo que a la hora de determinar si dicho contrato articula una obligación de medios o resultado no bastará el nomen iuris que las partes den al contrato, sino que deberán examinarse individualmente las prestaciones a la luz de factores tales como el precio, la responsabilidad asumida o la falta de control del prestador sobre factores externos.

Se confirma que la característica principal y más destacable de este acuerdo es su régimen de responsabilidad, de manera que cualquier incumplimiento no será necesariamente esencial. El acuerdo trata de anticipar el riesgo minuciosamente, previendo cláusulas penales proporcionales a las desviaciones en el cumplimiento de las obligaciones técnicas pactadas.

La atipicidad de este acuerdo no ha impedido que se articule como un instrumento de alta precisión técnica y jurídica, lo que demuestra que la autonomía privada tiene capacidad para imponerse como estándar en el tráfico jurídico sin necesidad de apoyo legislativo. No obstante, y precisamente por esa consolidación, la tendencia imperante del legislador europeo es absorber su contenido en materias relacionadas con seguridad, resiliencia operativa o portabilidad de datos, lo que inevitablemente estrecha el espacio de lo que una vez no fue más que libertad de pactos.

Bibliografía

Doctrina

• BLANCO PÉREZ-RUBIO, L., «Obligaciones de medios y obligaciones de resultado: ¿tiene relevancia jurídica su distinción?», Cuadernos de Derecho Transnacional, vol. 6, núm. 2, octubre 2014.
• CABANILLAS SÁNCHEZ, A., Las obligaciones de actividad y de resultado, Barcelona, Bosch, 1993.
• DAVARA RODRÍGUEZ, M. A., Manual de Derecho Informático, Aranzadi/Thomson Reuters, 2015.
• DE ELIZALDE, F., «Las obligaciones de medios y de resultado en la Propuesta de Código Mercantil», InDret, núm. 3, 2014.
• DESAI, J., Service Level Agreements: A Legal and Practical Guide, IT Governance Publishing, Ely (Cambridgeshire, Reino Unido), 2010.
• GONZÁLES AGUILAR, A. / FERREYROS SOTO, C. / CARRASCOSA LÓPEZ, V., Los contratos en la sociedad de la información. Formularios de contratos informáticos e Internet, Granada, Comares, 2004.
• HERRERA GARCÍA, L. C. / MARTÍNEZ B., L. G., «Definición de un acuerdo de nivel de servicio que incorpore parámetros y métricas de QoS y QoE», ITECKNE, vol. 7, núm. 2, Universidad Sergio Arboleda (Bogotá, Colombia), diciembre de 2010.
• KAHALE CARRILLO, D. T., «La diversa tipología contractual para la externalización de actividades empresariales: outsourcing», CEFLegal. Revista práctica de Derecho, núm. 76, 2007.
• MATA GONZÁLEZ, M. Á., Aspectos jurídicos del outsourcing tecnológico, Tirant lo Blanch, Valencia, 2021.
• MÁRQUEZ ALCAÑIZ, L. / ROSADO, D. G. / MELLADO, D. / FERNÁNDEZ-MEDINA, E., «Hacia un Proceso de Migración de la Seguridad de Sistemas heredados al Cloud», Actas de la XIII Reunión Española sobre Criptología y Seguridad de la Información (RECSI 2014), Alicante, 2-5 de septiembre de 2014.
• VERMA, D. C., «Service Level Agreements on IP Networks», Proceedings of the IEEE, vol. 92, núm. 9, septiembre 2004.
• BERCOVITZ RODRÍGUEZ-CANO, A. (dir.), Contratos mercantiles, 6.ª ed., Cizur Menor, Aranzadi-Thomson Reuters, 2017.

Jurisprudencia

• STS de 12 de diciembre de 1988 (Sala 1.ª de lo Civil), ECLI:ES:TS:1988:9737, ponente Antonio Carretero Pérez.
• STS núm. 1108/1997, de 13 de diciembre (Sala 1.ª de lo Civil), rec. núm. 3045/1993, ponente Xavier O'Callaghan Muñoz.
• SAP Madrid núm. 701/2004, de 7 de junio (Sección 10.ª), rec. 270/2003, ECLI:ES:APM:2004:8365, ponente Ángel Vicente Illescas Rus.

Legislación

• Real Decreto de 24 de julio de 1889 por el que se publica el Código Civil.
• Ley 7/1998, de 13 de abril, sobre Condiciones Generales de la Contratación.
• Real Decreto 1434/2002, de 27 de diciembre, por el que se regulan las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de gas natural.
• Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.
• Ley 24/2013, de 26 de diciembre, del Sector Eléctrico.
• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (Reglamento General de Protección de Datos).
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• Ley 11/2022, de 28 de junio, General de Telecomunicaciones.
• Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero (DORA).
• Reglamento (UE) 2023/2854 del Parlamento Europeo y del Consejo, de 13 de diciembre de 2023, sobre normas armonizadas para un acceso justo a los datos y su utilización (Reglamento de Datos).
• Texto Refundido de la Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007, de 16 de noviembre).
• Ley 3/1991, de 10 de enero, de Competencia Desleal.

Fuentes documentales y electrónicas

• AMAZON WEB SERVICES, Acuerdo de nivel de servicio para Amazon DynamoDB, actualización de 4 de mayo de 2022. Disponible en: https://d1.awsstatic.com/legal/amazon-dynamodb-sla/ [Consulta: 30/5/2026].
• ENISA, Procure Secure: A Guide to Monitoring of Security Service Levels in Cloud Contracts, 2012.
• MAPLE HOSTING, 100% Uptime SLA Guarantee. Disponible en: https://www.maple-hosting.com/uptime-guarantee-sla [Consulta: 27/5/2026].
• ORACLE, FAQ on Oracle's Cloud Free Tier. Disponible en: https://www.oracle.com/cloud/free/faq/ [Consulta: 28/5/2026].
• UNIDROIT, Principles of International Commercial Contracts 2010. Disponible en: https://www.unidroit.org/instruments/commercial-contracts/unidroit-principles-2010/ [Consulta: 30/5/2026].

Notas

1. VERMA, D. C., «Service Level Agreements on IP Networks», Proceedings of the IEEE, vol. 92, núm. 9, septiembre 2004, p. 1382. ↩
2. MATA GONZÁLEZ, M. Á., Aspectos jurídicos del outsourcing tecnológico, Tirant lo Blanch, Valencia, 2021, pp. 83-86. ↩
3. DESAI, J., Service Level Agreements: A Legal and Practical Guide, IT Governance Publishing, Ely (Cambridgeshire, Reino Unido), 2010, pp. 16-19. ↩
4. DAVARA RODRÍGUEZ, M. A., Manual de Derecho Informático, Aranzadi/Thomson Reuters, 2015, Capítulo XI, apartado 7.2. ↩
5. Ídem, apartado 7.3. ↩
6. HERRERA GARCÍA, L. C. / MARTÍNEZ B., L. G., «Definición de un acuerdo de nivel de servicio que incorpore parámetros y métricas de QoS y QoE», ITECKNE, vol. 7, núm. 2, Universidad Sergio Arboleda (Bogotá, Colombia), diciembre de 2010, pp. 207-212. ↩
7. DESAI, J., op. cit., pp. 18-22. ↩
8. STS de 12 de diciembre de 1988 (Sala 1.ª de lo Civil), ECLI:ES:TS:1988:9737, ponente Antonio Carretero Pérez. ↩
9. BERCOVITZ RODRÍGUEZ-CANO, A. et al., op. cit., Cap. IV, ap. I.1.2.B. ↩
10. BERCOVITZ RODRÍGUEZ-CANO, A. (dir.) et al., Contratos mercantiles, 6.ª ed., Cizur Menor, Aranzadi-Thomson Reuters, 2017, Tomo I, Capítulo IV «Contratos de servicios», ap. I.1.2.B «Tipos contractuales aptos para la externalización empresarial». ↩
11. Sentencia de la Audiencia Provincial de Madrid (Sección 10ª) Nº 701/2004, de 7 de junio (Rec. 270/2003). ECLI:ES:APM:2004:8365. Ponente: Ángel Vicente Illescas Rus. ↩
12. SAP Madrid de 7 de junio de 2004, citada textualmente en la obra de BERCOVITZ anteriormente mencionada: “Otra cuestión de interés apunta a la conveniencia de encuadrar la totalidad del proyecto en un solo tipo contractual o bien dividirlo en módulos independientes. Habida cuenta de la extensa variedad de prestaciones que pueden obtenerse mediante las modalidades convencionales en que el outsourcing se puede materializar, resultaría conveniente establecer un acuerdo marco y prever condiciones específicas para cada servicio, ajustadas a las características de la actividad. En este orden de ideas, es lógico sostener que la forma de contratar una actividad periódica y continuada, es por definición distinta a la de implantación de actividades concretas. Sin embargo, la propia naturaleza del instituto sugiere en general un tratamiento unificador de los servicios, aprovechando el carácter duradero y estable de la relación, pudiendo las partes tipificar el contrato como un arrendamiento de servicios con un precio pactado en función de las unidades de cálculo (horas, meses, entregas, etc.) y estableciendo un control periódico sobre la consecución de los objetivos perseguidos. En definitiva, cabría concluir que, desde el punto de vista doctrinal, el outsourcing se corresponde mejor, en principio, con la figura análoga del arrendamiento de servicios, antes que con el arrendamiento de obra. En el ejercicio de la libertad contractual, empero, nada obsta para que los interesados prefieran el perfil del arrendamiento de servicios o de obra e incluso que combinen ambas figuras, a la luz de los propósitos prácticos que ellos persigan” ↩
13. Real Decreto de 24 de julio de 1889 por el que se publica el Código Civil ↩
14. KAHALE CARRILLO, D. T., «La diversa tipología contractual para la externalización de actividades empresariales: outsourcing», CEFLegal. Revista práctica de Derecho, núm. 76, 2007, pp. 17–44. ↩
15. BLANCO PÉREZ-RUBIO, L., «Obligaciones de medios y obligaciones de resultado: ¿tiene relevancia jurídica su distinción?», Cuadernos de Derecho Transnacional, vol. 6, núm. 2, octubre 2014, p. 58. ↩
16. STS núm. 1108/1997, de 13 de diciembre (Sala 1.ª de lo Civil), rec. núm. 3045/1993, ponente Xavier O'Callaghan Muñoz ↩
17. GONZÁLES AGUILAR, A. / FERREYROS SOTO, C. / CARRASCOSA LÓPEZ, V., Los contratos en la sociedad de la información. Formularios de contratos informáticos e Internet, Granada, Comares, 2004, pp. 141-142. Nota: Los criterios de los apartados (c) y (d) están tomados de los Principios UNIDROIT sobre los contratos comerciales internacionales (arts. 5.4 y 5.5), citados por los autores como referencia doctrinal comparada. Téngase en cuenta que dado su carácter de soft law, operan en este contexto como criterio interpretativo doctrinal, pero no son vinculantes. También al respecto, vid. BLANCO PÉREZ-RUBIO, L., op. cit., pp. 72-73. ↩
18. Ídem, p. 142. ↩
19. DE ELIZALDE, F., «Las obligaciones de medios y de resultado en la Propuesta de Código Mercantil», InDret, núm. 3, 2014, pp. 12-13. ↩
20. Entendemos que el factor precio tiene respaldo subsidiario, a falta de otros criterios, en la interpretación que garantice la mayor reciprocidad de intereses en contratos onerosos (1289 CC). En ese caso podríamos decir que en el SLA, si el contrato principal tiene un precio compatible con la práctica comercial para una obligación de medios de esas características, calificarlo de resultado impondría al prestador una carga superior a la que quiso asumir, por lo que debe reconducirse a la obligación de medios, por ser la más equilibrada entre lo que cada parte da y recibe. ↩
21. Oracle, FAQ on Oracle's Cloud Free Tier, https://www.oracle.com/cloud/free/faq/ [Consulta: 28/5/2026] ↩
22. Amazon Web Services, Acuerdo de nivel de servicio para Amazon DynamoDB. Actualización de 4 de mayo de 2022, https://d1.awsstatic.com/legal/amazon-dynamodb-sla/Amazon%20DynamoDB%20Service%20Level%20Agreement_2022-05-04-en_us- es_419-R-C.pdf [Consulta: 30/5/2026]. ↩
23. Maple Hosting, 100% Uptime SLA Guarantee, disponible en https://www.maple-hosting.com/uptime-guarantee-sla [Consulta: 27/5/2026]. ↩
24. CABANILLAS SÁNCHEZ, A., Las obligaciones de actividad y de resultado, Barcelona, Bosch, 1993, p. 30. ↩
25. Por ejemplo, la obligación de crear copias periódicas de soportes de almacenamiento podría ser resultado, pero resultaría imposible la misma calificación ante el compromiso de mantener el sistema absoluta y totalmente libre de ataques informáticos, lo que obviamente resulta materialmente imposible garantizar. ↩
26. VERMA, D. C., op. cit., p. 1384. ↩
27. UNIDROIT, Principles of International Commercial Contracts 2010, comentario oficial al art. 5.1.5, disponible en https://www.unidroit.org/instruments/commercial-contracts/unidroit-principles-2010/chapter-5-section-1/ [Consulta: 30/5/2026]. ↩
28. DESAI, J., op. cit., pp. 99-104. ↩
29. VERMA, D. C., op. cit., pp. 1382-1383. ↩
30. GONZÁLES AGUILAR et al., op. cit., pp. 144-145. ↩
31. Ídem, p. 145. ↩
32. MATA GONZÁLEZ, M. Á., op. cit., p. 84. ↩
33. ENISA, Procure Secure: A Guide to Monitoring of Security Service Levels in Cloud Contracts, 2012, pp. 9-12. ↩
34. MÁRQUEZ ALCAÑIZ, L. / ROSADO, D.G. / MELLADO, D. / FERNÁNDEZ-MEDINA, E., «Hacia un Proceso de Migración de la Seguridad de Sistemas heredados al Cloud», Actas de la XIII Reunión Española sobre Criptología y Seguridad de la Información (RECSI 2014), Alicante, 2-5 de septiembre de 2014, p. 192. ↩
35. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos ↩
36. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales ↩
37. Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero ↩
38. Reglamento (UE) 2023/2854 del Parlamento Europeo y del Consejo, de 13 de diciembre de 2023, sobre normas armonizadas para un acceso justo a los datos y su utilización, y por el que se modifican el Reglamento (UE) 2017/2394 y la Directiva 2020/1828 ↩
39. Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico ↩
40. VERMA, D. C., op. cit., pp. 1385-1386. ↩
41. MATA GONZÁLEZ, M. Á., op. cit., pp. 84-85. ↩
42. Art. 51.3 y 51.4 de la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico: “La Administración General del Estado establecerá las líneas de actuación en materia de calidad del servicio [...] determinará los índices objetivos de calidad del servicio [...] Si la baja calidad de la distribución de una zona es continua, o pudiera producir consecuencias graves [...] la Administración General del Estado requerirá que los planes de inversiones presentados por dichas empresas presenten actuaciones que impulsen la mejora de la calidad de servicio en dicha zonas.” ↩
43. Art. 69 de la Ley 11/2022, de 28 de junio, General de Telecomunicaciones: “La Comisión Nacional de los Mercados y la Competencia, previo informe de la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, especificará los parámetros de calidad de servicio que habrán de cuantificarse y los métodos de medición aplicables [...] podrá exigir a los operadores de servicios de acceso a internet y de servicios de comunicaciones interpersonales disponibles al público la publicación de información completa [...] ya sea directamente o en virtud de un acuerdo de nivel de servicio en este sentido [...]” ↩
44. Real Decreto 1434/2002, de 27 de diciembre, por el que se regulan las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de gas natural, recoge en su artículo 10 la obligación de la distribuidora de trasladar a la Administración "información sobre calidad de servicio", y el artículo 38 la obligación de especificar en el contrato con el consumidor las condiciones de calidad y las "repercusiones económicas por incumplimiento de la calidad del suministro". ↩
45. Ley 7/1998, de 13 de abril, sobre Condiciones Generales de la Contratación y, especialmente el Texto Refundido de la Ley General para la Defensa de Consumidores y Usuarios. Al respecto, los artículos 80 a 91 al regular los requisitos de las cláusulas no negociadas individualmente (transparencia, accesibilidad, buena fe y equilibrio) y régimen de las cláusulas abusivas (concepto, nulidad de pleno derecho y catálogo de supuestos típicos). ↩
46. Ley 7/1998 de Condiciones Generales de la Contratación ↩
47. GONZÁLES AGUILAR et al., op. cit., pp. 191 y ss. ↩