¿Qué cláusulas de los contratos con proveedores controlan su riesgo legal?

La mayor parte del riesgo en los contratos con proveedores se decide en unas seis cláusulas: limitación de responsabilidad, indemnización, seguros, seguridad de datos, derechos de auditoría y terminación. El resto del contrato importa, pero esas seis determinan quién paga cuando el software del proveedor deja de funcionar, cuando su técnico lesiona a alguien en sus instalaciones o cuando sus sistemas filtran los datos de sus clientes. Muchas empresas firman el contrato estándar del proveedor porque el precio y las condiciones del servicio parecen correctos, y descubren con el primer problema serio que el proveedor solo les debe el reembolso de un mes de honorarios y nada más.

Este artículo explica qué hace cada cláusula, qué conviene pedir y dónde suelen resistirse los proveedores. Las condiciones de los proveedores son a menudo la mayor exposición sin revisar que encontramos en las revisiones de gestión de riesgos y cumplimiento legal que realizamos para empresas en crecimiento.

Limitación de responsabilidad: la cláusula que más importa

Una cláusula de limitación de responsabilidad fija un tope a lo que cualquiera de las partes puede recuperar, normalmente igual a los honorarios pagados durante un período determinado, y a menudo excluye los daños indirectos o consecuentes (consequential damages), como el lucro cesante. Los proveedores proponen topes bajos porque sus precios presuponen una exposición limitada. Qué revisar:

• Si el tope es recíproco o solo protege al proveedor.
• El monto del tope en comparación con el daño real que una falla podría causarle. Un tope equivalente a tres meses de honorarios puede estar bien para un contrato de artículos de oficina y ser insuficiente para el sistema que procesa su nómina.
• Las excepciones (carve-outs), es decir, las reclamaciones que quedan fuera del tope. Las habituales son el incumplimiento de la confidencialidad, las violaciones de la seguridad de los datos, las obligaciones de indemnización, la negligencia grave o la conducta dolosa y la infracción de derechos de propiedad intelectual. Un proveedor puede aceptar un tope separado y más alto para las filtraciones de datos en lugar de una exposición ilimitada, lo que a menudo es un punto intermedio razonable.
• Si la exclusión de daños consecuentes se traga su pérdida real. Si su principal perjuicio por una filtración serían los costos de notificación, las multas regulatorias y la pérdida de clientes, una exclusión de daños indirectos puede anular lo que usted podría recuperar, a menos que esas categorías se mencionen expresamente como recuperables.

Indemnización y seguros

La indemnización traslada el costo de las reclamaciones de terceros. Si el producto del proveedor infringe la patente de alguien, o uno de sus empleados lesiona a un visitante, una cláusula de indemnización obliga al proveedor a defender y pagar la reclamación. Revise a quién cubre (a usted, a sus afiliadas, a sus directivos), qué activa la obligación (negligencia, incumplimiento, infracción, violación de la ley) y cómo funciona la defensa, incluido quién elige a los abogados y quién aprueba un acuerdo transaccional.

Una indemnización vale solo lo que el proveedor pueda pagar, y por eso importan los seguros. Pida constancia de una cobertura acorde con el riesgo: responsabilidad civil general, responsabilidad civil profesional para los prestadores de servicios, seguro de ciberriesgos para cualquiera que maneje sus datos y seguro de accidentes de trabajo (workers’ compensation) para los proveedores cuyo personal trabaje en sus instalaciones. Pida que se le incluya como asegurado adicional (additional insured) cuando corresponda y exija que se le notifique si la cobertura se cancela.

Seguridad de datos, privacidad y derechos de auditoría

Si un proveedor almacena o procesa datos personales o información confidencial de su negocio, o puede acceder a ellos, el contrato debe fijar estándares mínimos de seguridad, limitar el uso de sus datos a la prestación del servicio, exigir un aviso inmediato ante un incidente de seguridad y definir quién gestiona y paga la respuesta a una filtración. Todos los estados de EE. UU. tienen una ley de notificación de filtraciones de datos, y la obligación de notificar a las personas afectadas suele recaer en la empresa dueña de los datos, no en el proveedor que los perdió. El contrato es la vía para recuperar esos costos.

Los derechos de auditoría le permiten verificar el cumplimiento mediante cuestionarios, informes de auditoría independientes como SOC 2 o revisiones en el sitio para los proveedores de alto riesgo. Si opera en un sector regulado, verifique si su regulador espera un nivel específico de supervisión de proveedores y asegúrese de que el contrato le dé el acceso necesario para ejercerla. Exija que el proveedor traslade las mismas obligaciones a sus subcontratistas.

Terminación y condiciones de salida

La cláusula de salida es la que menos atención recibe durante la negociación y la que más importa durante una disputa.

Derechos de terminación

¿Puede terminar el contrato por conveniencia, o solo con causa? ¿Cuánto dura el plazo para subsanar un incumplimiento? ¿Se renueva automáticamente el contrato, y con cuánta anticipación debe avisar para evitarlo?

Asistencia en la transición

Para cualquier proveedor que guarde sus datos o administre una función esencial, exija que le devuelva sus datos en un formato utilizable y que colabore en el traspaso durante un período definido después de la terminación.

Ley aplicable y disputas

Los contratos de los proveedores suelen elegir la ley y los tribunales del estado del proveedor, o exigen arbitraje. Eso puede encarecer incluso una reclamación sólida. Nuestro artículo sobre mediación o arbitraje en disputas comerciales explica qué significan esas cláusulas en la práctica.

Cómo priorizar sus contratos con proveedores

No necesita renegociar todos los acuerdos. Clasifique a los proveedores según lo que costaría una falla: acceso a datos sensibles, importancia para las operaciones, valor del contrato y dificultad para reemplazarlos. Concentre su esfuerzo en el nivel más alto y use un anexo estándar para el resto. Antes de cada renovación, revise los contratos del nivel superior frente a su riesgo actual, ya que un proveedor que hace tres años tenía una pequeña parte de sus datos puede tenerlos todos hoy.

Para la redacción y la negociación en sí, nuestros abogados de revisión de contratos y asesoría ejecutiva pueden hacer observaciones al contrato del proveedor y proponer posiciones alternativas que permitan cerrar el trato sin renunciar a las protecciones importantes. Una evaluación de riesgos legales más amplia también es una buena forma de identificar qué contratos con proveedores necesitan atención primero.

Si está por firmar o renovar un contrato con un proveedor que afecta sus datos, sus operaciones o a sus clientes, Capitol Law Partners puede revisar las cláusulas de riesgo antes de que usted se comprometa. Programe una consulta.

Este artículo tiene únicamente fines informativos y no constituye asesoramiento legal. Esta comunicación no establece una relación abogado-cliente.

Cagatay Ersoy. Estrategia práctica para fundadores, inversores y empresas en crecimiento.

¿Necesita ayuda con este tema? Consulte nuestra página de gestión de riesgos y cumplimiento legal o programe una consulta.