El contrato de mantenimiento informático regula la relación continuada entre una empresa y su proveedor de servicios IT: quién mantiene qué sistemas, con qué rapidez se atienden las averías, qué cubre la cuota mensual y qué se factura aparte. Es un contrato que casi todas las pymes tienen de facto (un informático «de confianza» que viene cuando algo falla) y casi ninguna tiene por escrito, hasta que un servidor caído un lunes por la mañana revela que nadie se había comprometido a nada.
Las dos cláusulas que dan valor real al contrato son el inventario y los SLA. El inventario delimita el perímetro: equipos, servidores, red, software y servicios en la nube cubiertos por la cuota; lo que no está en la lista se presupuesta aparte, y las incorporaciones se formalizan por anexo. Los niveles de servicio (SLA) convierten la promesa comercial en compromiso medible: tiempo máximo de respuesta y objetivo de resolución según la criticidad de la incidencia, computados dentro del horario de soporte, con penalizaciones en forma de descuento si el proveedor incumple de forma reiterada.
Este modelo genera un contrato completo de doce cláusulas: alcance con inventario, mantenimiento preventivo con informe trimestral y correctivo con registro de avisos, soporte remoto o mixto, SLA de dos niveles con penalización progresiva, exclusiones típicas, copias de seguridad a cargo del proveedor o del cliente, contrato de encargado de tratamiento del artículo 28 del RGPD, confidencialidad sobre credenciales, limitación de responsabilidad y una cláusula de reversibilidad que obliga a entregar contraseñas y documentación al cambiar de proveedor.
Modelo de contrato de mantenimiento informático (texto completo)
Este es el texto íntegro del modelo genérico. Sustituya los datos entre corchetes por los suyos, o utilice el formulario guiado de esta página para obtener el documento ya personalizado en Word y PDF, con las variantes legales adaptadas a su caso.
[Nombre o razón social del cliente] NIF [NIF del cliente] [Domicilio del cliente]
[Nombre o razón social del proveedor] NIF [NIF del proveedor] [Domicilio del proveedor]
En [Localidad de firma], a [Fecha de hoy]
Asunto: Contrato de mantenimiento informático
REUNIDOS
De una parte, [Nombre o razón social del cliente], con NIF [NIF del cliente] y domicilio en [Domicilio del cliente], representada por [Representante del cliente], en adelante «el cliente».
De otra parte, [Nombre o razón social del proveedor], con NIF [NIF del proveedor] y domicilio en [Domicilio del proveedor], representada por [Representante del proveedor], en adelante «el proveedor».
Ambas partes se reconocen capacidad legal suficiente y suscriben el presente CONTRATO DE MANTENIMIENTO INFORMÁTICO, de naturaleza mercantil (artículos 1544 y siguientes del Código Civil), con arreglo a las siguientes
CLÁUSULAS
PRIMERA. Objeto y alcance. El proveedor prestará al cliente el servicio de mantenimiento informático de los siguientes equipos y sistemas: [Equipos y sistemas cubiertos] Los equipos incorporados con posterioridad se integrarán en el inventario mediante anexo firmado, con la revisión de cuota que proceda.
SEGUNDA. Contenido del servicio. El servicio comprende: (a) mantenimiento preventivo programado: actualizaciones de sistemas y software cubierto, revisión de seguridad, antivirus, estado de discos y copias, con un informe trimestral; (b) mantenimiento correctivo: diagnóstico y resolución de las incidencias comunicadas por el cliente; (c) soporte a usuarios sobre los sistemas cubiertos; y (d) asesoramiento básico en la renovación de equipos y licencias.
TERCERA. Modalidad y horario. El soporte se prestará prioritariamente de forma remota mediante herramientas de acceso seguro autorizadas por el cliente. Los desplazamientos presenciales se limitarán a las incidencias que no puedan resolverse en remoto y se facturarán conforme a la tarifa de desplazamiento comunicada, salvo que deriven de un incumplimiento del propio proveedor. El horario de soporte es: [Horario de soporte]. Las incidencias se comunicarán por el canal designado por el proveedor (teléfono, correo o portal de soporte), que registrará cada aviso con fecha y hora.
CUARTA. Niveles de servicio (SLA). Las incidencias se clasificarán por criticidad: crítica (sistema o servicio esencial parado para toda la organización) y normal (resto). Los compromisos son: incidencia crítica, [SLA incidencia crítica (respuesta / resolución objetivo)]; incidencia normal, [SLA incidencia normal (respuesta / resolución objetivo)]. Los tiempos de respuesta se computan dentro del horario de soporte desde el registro del aviso. Si el proveedor incumple el tiempo de respuesta en más de tres incidencias durante un trimestre, el cliente tendrá derecho a un descuento del 10% en la cuota del mes siguiente por cada incumplimiento adicional, con un máximo del 50%, sin perjuicio de la resolución por incumplimiento grave reiterado.
QUINTA. Exclusiones. Quedan excluidos de la cuota y se presupuestarán aparte: las nuevas instalaciones, migraciones y proyectos; la reparación de daños causados por mal uso, manipulación por terceros no autorizados, sobretensiones o siniestros; el coste de piezas, equipos, licencias y consumibles; la recuperación forense de datos; y el soporte de software no incluido en el inventario. El proveedor presupuestará estos trabajos por escrito antes de ejecutarlos.
SEXTA. Precio. La cuota pactada es: [Cuota y periodicidad]. Las facturas se abonarán por transferencia dentro de los quince días siguientes a su emisión; el retraso devengará el interés de demora de la Ley 3/2004 y, transcurridos treinta días desde el requerimiento de pago, facultará al proveedor para suspender el servicio con preaviso escrito de cinco días. La cuota podrá actualizarse anualmente según el IPC, comunicándolo con un mes de antelación.
SÉPTIMA. Copias de seguridad. El proveedor configurará, ejecutará y supervisará copias de seguridad diarias de los datos alojados en los sistemas cubiertos, con al menos una copia externa a las instalaciones del cliente, verificará periódicamente su integridad y realizará una prueba de restauración semestral, informando al cliente del resultado. La retención mínima será de treinta días.
OCTAVA. Protección de datos. En la medida en que el servicio implica acceso a datos personales de los que el cliente es responsable, el proveedor actuará como encargado del tratamiento conforme al artículo 28 del RGPD y a la Ley Orgánica 3/2018, con arreglo al contrato de encargado que las partes suscriben como anexo: tratamiento solo bajo instrucciones documentadas, confidencialidad del personal, medidas de seguridad adecuadas, notificación de violaciones de seguridad sin dilación indebida, no subcontratación sin autorización y supresión o devolución de los datos al finalizar el servicio.
NOVENA. Confidencialidad. El proveedor guardará estricta confidencialidad sobre la información del cliente a la que acceda (datos, contraseñas, configuraciones, información de negocio), usará las credenciales de administración exclusivamente para prestar el servicio y las custodiará con medidas de seguridad adecuadas. Esta obligación subsistirá durante tres años tras la terminación del contrato.
DÉCIMA. Responsabilidad. El proveedor responde de los daños directos causados por su negligencia en la prestación del servicio, con el límite del importe de las cuotas de los doce meses anteriores al hecho causante. No responde del lucro cesante, de la pérdida de datos cuando las copias de seguridad sean responsabilidad del cliente, ni de los fallos imputables a fabricantes, operadores de comunicaciones o proveedores de servicios en la nube ajenos al contrato. Esta limitación no ampara el dolo ni la culpa grave.
UNDÉCIMA. Duración y terminación. El contrato entrará en vigor el [Fecha de inicio del servicio] con la siguiente duración: [Duración y renovación]. Cualquiera de las partes podrá resolverlo por incumplimiento grave de la otra no subsanado en quince días desde el requerimiento escrito. A la terminación, el proveedor entregará al cliente las contraseñas de administración, la documentación técnica de los sistemas y una copia de los datos en formato estándar, y colaborará de buena fe en la transición al nuevo proveedor durante un máximo de quince días laborables.
DUODÉCIMA. Ley aplicable y jurisdicción. Este contrato se rige por la legislación española. Para cuantas controversias deriven del mismo, las partes se someten a los juzgados y tribunales que resulten competentes conforme a derecho.
Y en prueba de conformidad, las partes firman el presente contrato por duplicado y a un solo efecto, en el lugar y fecha indicados.
Firmado:
[Representante del cliente] (el cliente) y [Representante del proveedor] (el proveedor)
SLA: los niveles de servicio que debe exigir por escrito
| Criticidad | Ejemplo | Respuesta | Resolución objetivo |
|---|---|---|---|
| Crítica | Servidor caído, red inoperativa, correo parado para todos | 1 hora | 8 horas laborables |
| Alta | Aplicación de gestión inaccesible para un departamento | 2 a 4 horas | 1 día laborable |
| Normal | Un puesto con problemas, impresora de red, lentitud | 4 a 8 horas | 2 a 3 días laborables |
| Petición | Alta de usuario, instalación de programa, consulta | 1 día laborable | Según planificación |
Respuesta no es resolución
El tiempo de respuesta (cuándo un técnico empieza a atender la incidencia) puede garantizarse; el de resolución depende del diagnóstico y suele pactarse como objetivo, no como garantía absoluta. Lo importante es que ambos se midan desde el registro del aviso en un canal formal (portal, correo, teléfono con ticket), que las penalizaciones por incumplimiento estén tasadas (descuento en cuota) y que el incumplimiento grave reiterado abra la puerta a resolver el contrato sin penalización.
Copias, datos y salida: las cláusulas que se descubren tarde
- Copias de seguridad: decida y escriba quién las hace, con qué periodicidad, dónde se guarda la copia externa y cada cuánto se prueba la restauración. La mayoría de los desastres no vienen de la avería, sino de descubrir que la copia llevaba meses fallando sin que nadie la verificara.
- Encargo de tratamiento RGPD: el proveedor accede a servidores con datos de clientes y empleados, así que el artículo 28 del RGPD exige un contrato de encargado con contenido mínimo obligatorio. Sin él, la propia empresa cliente incumple.
- Credenciales de administración: el cliente debe conservar (o poder obtener en todo momento) las contraseñas de administrador de sus propios sistemas. Un proveedor que se niega a entregarlas convierte el mantenimiento en secuestro.
- Reversibilidad: la cláusula de salida obliga al proveedor a entregar contraseñas, documentación técnica y datos en formato estándar, y a colaborar en la transición. Es la que evita quedar cautivo de un servicio mediocre.
- Exclusiones claras: proyectos, migraciones, piezas, licencias y daños por mal uso van aparte y con presupuesto previo por escrito; así la cuota no se convierte en fuente de sorpresas ni de discusiones.
El anexo de encargado de tratamiento puede generarse con el contrato de acceso a datos RGPD. Para proyectos puntuales fuera de la cuota (una migración, un desarrollo), utilice un contrato de prestación de servicios específico; y si el proveedor le licencia además un software propio, formalícelo con el contrato de licencia de software.
Preguntas frecuentes
¿Qué diferencia hay entre mantenimiento preventivo y correctivo?
El preventivo es el trabajo programado que evita averías: actualizaciones de sistemas y de seguridad, revisión del antivirus y del estado de los discos, verificación de las copias de seguridad y limpieza de equipos, normalmente con un informe periódico. El correctivo es la reacción ante incidencias: diagnóstico y reparación cuando algo falla, sujeto a los SLA pactados. Un contrato serio incluye ambos, porque un servicio solo correctivo (pagar por avisos) incentiva justamente lo contrario de lo que el cliente quiere: que las cosas fallen. La cuota fija con preventivo incluido alinea los intereses, ya que el proveedor gana más cuanto menos se avería el parque.
¿Qué pasa con los datos y contraseñas si cambio de proveedor informático?
Es el momento crítico que la cláusula de reversibilidad regula por adelantado. Con este modelo, a la terminación el proveedor debe entregar las contraseñas de administración de todos los sistemas, la documentación técnica (configuraciones de red, inventario, licencias) y una copia de los datos en formato estándar, además de colaborar de buena fe en la transición durante un máximo de quince días laborables. Sin esta cláusula, algunos proveedores retienen credenciales o documentación como medida de presión, y recuperar el control de los propios sistemas puede exigir un requerimiento formal e incluso acciones judiciales. Las contraseñas de administrador de sus sistemas son suyas: exíjalas actualizadas en el informe trimestral, no solo al final.
¿Es obligatorio firmar un contrato de encargado de tratamiento con el informático?
Sí. El proveedor de mantenimiento accede de forma habitual a servidores, correo y aplicaciones que contienen datos personales de clientes, empleados y proveedores de la empresa. El artículo 28.3 del RGPD exige que esa relación se regule mediante un contrato con contenido mínimo: tratamiento solo bajo instrucciones documentadas, deber de confidencialidad del personal, medidas de seguridad, régimen de subcontratación, asistencia al responsable, notificación de brechas de seguridad y destino de los datos al finalizar. La ausencia de este contrato es una infracción sancionable por la AEPD que afecta a ambas partes. Este modelo lo incorpora por referencia como anexo, que puede generar con nuestro contrato de acceso a datos RGPD.
¿Quién responde si se pierden datos por un fallo del servidor?
Depende de lo pactado sobre las copias de seguridad, que es exactamente lo que este contrato obliga a decidir. Si el proveedor gestiona las copias (modalidad incluida), responde de que existan, se ejecuten a diario, se verifiquen y se prueben con restauraciones periódicas: una pérdida de datos por copias mal configuradas o no verificadas es negligencia suya, dentro del límite de responsabilidad pactado. Si las copias son responsabilidad del cliente, el proveedor solo supervisa y advierte por escrito de los fallos detectados, y no responde de la pérdida derivada de copias inexistentes o incompletas. En ambos casos, el hardware averiado en sí es cuestión de la garantía del fabricante, no del mantenedor.
¿Puedo resolver el contrato si el servicio es malo aunque no haya terminado el plazo?
Sí, por la vía del incumplimiento. Este modelo prevé la resolución por incumplimiento grave no subsanado en quince días desde el requerimiento escrito, y configura el incumplimiento reiterado de los SLA como causa de resolución además de generar descuentos automáticos en la cuota. La clave práctica es documentar: registre cada incidencia por el canal formal, guarde los tickets y los tiempos de respuesta reales, y envíe el requerimiento de subsanación por medio fehaciente (burofax o correo electrónico con acuse) describiendo los incumplimientos concretos. Sin ese rastro, la resolución anticipada se convierte en una discusión de versiones y el proveedor puede reclamar las cuotas restantes del periodo comprometido.