Ley de Datos (Data Act): lo que cambia para su contrato SaaS a partir de septiembre de 2025

A partir del 12 de septiembre de 2025, se abre una nueva era para los usuarios de software SaaS y, en particular, de CRM profesionales. La Ley Europea de Datos (Reglamento UE 2023/2854) entra plenamente en vigor. Este texto, adoptado por el Parlamento y el Consejo de la Unión Europea, tiene como objetivo devolver el control de los datos a quienes los generan: las empresas y sus usuarios.

En concreto, la Ley de Datos impone nuevas reglas a los proveedores de software: los clientes podrán rescindir su contrato SaaS en cualquier momento, recuperar la totalidad de sus datos y cambiar de proveedor sin bloqueos técnicos ni costes abusivos.

En otras palabras: los contratos con compromisos vinculantes de dos o tres años pertenecen al pasado.

Para las empresas que utilizan un CRM, un ERP o una solución SaaS de gestión comercial, se trata de un punto de inflexión fundamental. Ya no dependerá de un proveedor que bloquee sus datos o limite su libertad de elección. Recuperará el control de sus herramientas y de su estrategia digital.

En este artículo, explicaremos en primer lugar qué prevé la Ley de Datos, a quién afecta y por qué transforma el mercado SaaS. A continuación, veremos qué cambia concretamente para usted, como empresa usuaria o compradora de un CRM o de un servicio SaaS, y cómo sacar provecho de ello desde ahora.

¿A quién afecta la Ley de Datos?

La Ley Europea de Datos pretende otorgar más poder y libertad a los usuarios de productos y servicios conectados, ya sean particulares o empresas. En la actualidad, los datos generados por los objetos conectados a menudo están controlados exclusivamente por el fabricante o el proveedor del servicio. La Ley de Datos quiere invertir esta lógica: los datos producidos por un dispositivo o servicio pertenecen al usuario, no al fabricante ni al proveedor.

Por tanto, a partir del 12 de septiembre de 2025:

• todas las empresas afectadas deberán cumplir con las nuevas normas (rescisión, portabilidad, intercambio de datos, cláusulas contractuales, etc.);

• los clientes y usuarios podrán hacer valer sus derechos (acceso a sus datos, cambio de proveedor SaaS, etc.).

La Ley de Datos no se dirige a un único sector (como la sanidad o la energía), sino a todos los actores económicos implicados en la creación, recogida, tratamiento o intercambio de datos.

Se trata de un reglamento intersectorial, lo que significa que se aplica a todos los ámbitos de la economía digital.

Los fabricantes de objetos conectados

→ Relojes, coches, electrodomésticos, maquinaria industrial, sensores…

Esto significa que cualquier producto físico que recoja o genere datos digitales está afectado.

Los fabricantes deben:

• diseñar sus productos para que los datos se puedan compartir (con el usuario o con un tercero autorizado),

• garantizar un acceso claro, documentado y seguro a dichos datos,

• no restringir el uso de los datos por parte del usuario (salvo por razones legales de confidencialidad o seguridad).

Por ejemplo, un coche conectado deberá permitir que su propietario acceda a los datos de conducción o mantenimiento, no solo el fabricante.

Los proveedores de servicios digitales vinculados a estos objetos

→ Aplicaciones, plataformas, la nube

Esto significa que los desarrolladores de software, plataformas SaaS o servicios en la nube que recopilan, alojan o analizan los datos procedentes de estos objetos conectados también están directamente afectados.

Deben:

• respetar el derecho a la portabilidad de los datos,

• permitir el cambio de proveedor sin trabas técnicas ni tarifas abusivas,

• garantizar la seguridad, la confidencialidad y la transparencia de los datos tratados,

• especificar en sus contratos las condiciones de acceso, uso, exportación o eliminación de los datos.

Por ejemplo, un proveedor de CRM SaaS que aloja los datos de clientes de una empresa, una plataforma de analítica IoT que recoge datos de sensores industriales o un proveedor de servicios en la nube que almacena datos generados por objetos conectados.

Estos actores deberán tener la capacidad técnica de facilitar todos los datos a petición del cliente y garantizar su reversibilidad.

Las empresas que utilizan estos productos en su actividad

→ Industrias, transportistas, usted

Esto significa que las empresas que utilizan estos objetos conectados en su operativa también están implicadas, como beneficiarias de nuevos derechos.

A partir de ahora tienen derecho a:

• acceder a los datos generados por sus propias máquinas o dispositivos,

• explotarlos para mejorar su rendimiento,

• compartirlos con otros socios o proveedores de servicios,

• y cambiar de proveedor sin perder sus datos.

Por ejemplo, una empresa de transportes que utilice vehículos conectados podrá recuperar los datos de geolocalización y consumo para optimizar sus rutas, o una industria podrá extraer los datos de uso de una máquina conectada, incluso si el fabricante quisiera reservárselos en exclusiva.‍

Y sobre todo… cualquier empresa que genere, procese o comparta datos

→ En un entorno B2B o B2C a través de servicios o productos conectados

Es fundamental comprender que la Ley de Datos no se limita al Internet de las cosas (IoT).

Se aplica a cualquier actividad económica en la que se recopilen, analicen, almacenen o intercambien datos digitales entre diferentes actores, ya sea en una relación entre empresas (B2B) o entre una empresa y un consumidor (B2C).

‍Dicho de otro modo, un proveedor SaaS, una tienda online, una plataforma de marketing o incluso una pyme que recopile y analice datos de clientes están todos sujetos a la Ley de Datos.

Por ejemplo:

• Un CRM almacena los datos de clientes de una empresa. Debe permitir al cliente exportarlos y transferirlos a otro lugar.

• Una herramienta de facturación online procesa datos financieros. Debe garantizar su portabilidad y su confidencialidad.

• Un sitio de comercio electrónico recopila datos de navegación o de pedidos. Debe ser transparente en cuanto al uso y la reutilización de dichos datos.

La Ley de Datos en pocas palabras: las nuevas medidas explicadas

Ya conocemos a los actores a los que concierne la Ley de Datos y lo que implica para cada uno de ellos. Pasemos ahora a los cambios concretos, detallados medida por medida.

Para saber con precisión qué supone este cambio para usted como empresa, también puede consultar este feed de LinkedIn dedicado a la Ley de Datos.

Aumentar la seguridad jurídica

Lo que dice el texto: las empresas y consumidores que generan datos (por ejemplo, a través de objetos conectados, aplicaciones o servicios SaaS) contarán a partir de ahora con normas claras sobre quién puede utilizar esos datos, cómo y bajo qué condiciones.

La idea es evitar las zonas grises contractuales y los abusos, al tiempo que se garantiza que las empresas que recopilan o alojan estos datos sigan invirtiendo en su calidad y seguridad.

La Ley de Datos crea un marco de confianza.

‍Antes, cada contrato debía definir desde cero quién tenía derecho a hacer qué con los datos. A partir de ahora, los derechos y deberes de cada parte están armonizados a escala europea. En otras palabras, el generador del dato sabe lo que puede compartir o no, el usuario sabe lo que puede explotar y las normas de confidencialidad son las mismas en toda la Unión Europea.

En la práctica, esto facilita el intercambio y la circulación de datos entre proveedores, socios y clientes, garantizando al mismo tiempo la seguridad jurídica de los contratos. Los desarrolladores también podrán apoyarse en cláusulas contractuales tipo redactadas por la Comisión Europea, para simplificar sus términos y condiciones, por ejemplo.

Mitigar el abuso de los desequilibrios contractuales

Lo que dice el texto: la Ley de Datos busca proteger a las empresas frente a las cláusulas abusivas impuestas por actores mucho más poderosos (grandes proveedores de servicios en la nube, desarrolladores dominantes, plataformas esenciales, etc.).

La Ley de Datos quiere equilibrar la relación contractual. Al firmar un contrato con su proveedor SaaS, dispondrá de un marco de negociación más justo y de una mayor transparencia. Los proveedores ya no podrán imponer unilateralmente condiciones de salida, de exportación o de uso de los datos que resulten desfavorables.

Acceso y uso de los datos por parte del sector público

Lo que dice el texto: las autoridades públicas (administraciones locales, organismos de salud, servicios de protección civil, etc.) podrán acceder a ciertos datos en manos del sector privado en situaciones de interés general o de emergencia pública (catástrofes naturales, crisis sanitarias, etc.).

Esto refuerza la cooperación público-privada y la capacidad de respuesta ante situaciones de crisis. No obstante, el texto especifica con claridad que este acceso debe ser proporcionado y respetar la confidencialidad comercial y la protección de datos personales.

Cambio de un proveedor a otro (portabilidad SaaS y nube)

Se trata de la famosa medida contra el “vendor lock-in” (bloqueo o cautiverio contractual de los clientes).

Lo que dice el texto: la Ley de Datos crea un marco para permitir que los clientes puedan cambiar más fácilmente de proveedor de servicios de tratamiento de datos (SaaS, nube, PaaS, etc.).

Hasta ahora, cambiar de CRM o de proveedor de nube podía ser un dolor de cabeza: contratos abusivos de varios años, formatos de datos incompatibles, costes elevados, ausencia de API, imposibilidad de exportar... A partir de ahora, los proveedores SaaS deberán:

• ofrecer formatos de exportación estandarizados,

• garantizar la continuidad del servicio durante la transición,

• y limitar o eliminar las tarifas de salida.

Por ejemplo, si desea cambiar de proveedor de CRM SaaS, ahora puede rescindir el contrato en cualquier momento, con un preaviso de 30 días. Su proveedor tiene la obligación de facilitar la portabilidad y documentar los procesos de exportación/migración.

Por fin se convierte en el único dueño de sus datos. Compartimos plenamente esta filosofía: en Sidely, nuestros clientes siempre han sido los propietarios de sus datos y siempre han podido exportarlos en cualquier momento.

Equilibrio entre titulares y usuarios de datos (y revisión de los derechos sobre las bases de datos)

La Ley de Datos revisa ciertos aspectos del derecho sui generis sobre las bases de datos (Directiva 96/9/CE). El objetivo es aclarar en qué casos un fabricante o creador de una base puede prohibir o no la reutilización de datos, especialmente cuando estos proceden del Internet de las cosas (IoT).

Lo que dice el texto: algunas empresas se amparaban en el “derecho sobre las bases de datos” para bloquear el acceso o la reutilización de los datos que alojaban, aun cuando estos datos procedían de un usuario o de un dispositivo conectado propiedad de un cliente. La Ley de Datos viene a corregir este desequilibrio.

Esto implica que si usted utiliza un dispositivo conectado, una aplicación SaaS o una plataforma que recoge datos, debe poder recuperar y explotar esos datos. Los proveedores ya no pueden escudarse en el derecho sobre las bases de datos para denegarle el acceso.

En la práctica, ¿qué cambia esto para usted?

Usted retoma el control

Hasta ahora, muchas empresas firmaban contratos SaaS con compromisos de larga duración, a menudo de 24 o 36 meses, sin una posibilidad real de salida anticipada. En caso de insatisfacción o cambio de estrategia, era habitual quedarse «atrapado»: el proveedor controlaba sus datos, los formatos eran cerrados y los costes de migración inasumibles.

La Ley de Datos pone fin a esta situación: «El cliente podrá resolver el contrato de servicios de tratamiento de datos en cualquier momento mediante un preaviso razonable, sin costes desproporcionados ni obstáculos técnicos.» (Artículo 23 del Reglamento UE 2023/2854)

Puede rescindir su contrato cuando quiera

A partir de septiembre de 2025, cualquier cliente de una solución SaaS podrá poner fin a su contrato en cualquier momento, respetando simplemente un preaviso razonable.

En la práctica, la mayoría de los proveedores fijarán este plazo en 30 días.

Esto significa:

• se acabó la obligación de esperar al fin de un contrato de 2 o 3 años;

• posibilidad de cambiar de solución si ya no responde a sus necesidades;

• mayor flexibilidad en la gestión presupuestaria y en la planificación de herramientas.

Si actualmente utiliza un CRM de campo con una permanencia de 36 meses y desea cambiar a una herramienta más móvil o adaptada a su equipo comercial: podrá rescindir con un simple preaviso de un mes, solicitar la entrega de sus datos y migrar a un nuevo proveedor.

Por suerte, ¡en Sidely podemos migrar sus datos con total rapidez!

Sus datos le pertenecen por completo

La Ley de Datos reafirma un principio fundamental: los datos generados por el uso de un servicio le pertenecen a usted. La empresa proveedora de SaaS deja de ser la propietaria de la información que usted introduce.

Por tanto, usted obtiene:

• un derecho de acceso permanente a sus datos,

• un derecho de exportación en un formato estructurado y de uso común,

• y la posibilidad de transferirlos a otro servicio o almacenarlos en otro lugar, sin merma de calidad ni restricciones de uso.

Ya no se tolerarán los formatos cerrados o carentes de documentación.

Un CRM deberá, por ejemplo, permitirle extraer la totalidad de sus clientes, oportunidades, visitas, historiales, informes y configuraciones, en un formato legible (CSV, JSON, XML…) y utilizable por otro sistema.

Puede cambiar de proveedor con total libertad

La Ley de Datos establece un derecho incuestionable: es libre de cambiar de proveedor de servicios SaaS en cualquier momento, sin trabas técnicas ni tarifas abusivas.

Los proveedores deberán garantizar:

• la compatibilidad técnica (interoperabilidad) entre servicios;

• la documentación necesaria para que un tercero pueda integrar o importar los datos;

• la transparencia en cuanto a los plazos y métodos de transferencia.

Esta portabilidad se aplica tanto entre proveedores de la competencia como entre distintos entornos en la nube.

Podrá así migrar desde una plataforma estadounidense a un proveedor europeo sin mayores obstáculos técnicos, lo que también refuerza su soberanía digital.

El texto busca claramente acabar con el bloqueo o cautiverio de clientes («vendor lock-in») y promover la competencia leal entre los desarrolladores SaaS.

Mantiene el acceso a su servicio durante la transición

El reglamento estipula que el proveedor debe mantener el acceso al servicio hasta que finalice el periodo de preaviso o hasta que se haya completado la migración de los datos.

Esta disposición protege a las empresas contra las interrupciones abruptas del servicio. Seguirá plenamente operativo mientras se transfieren sus datos.

En el caso de un CRM, esto significa: sus comerciales podrán seguir trabajando, introduciendo sus informes de visita y consultando sus historiales mientras el traspaso técnico se lleva a cabo en segundo plano.

Ya no pagará por recuperar sus datos

Hasta la fecha, algunos proveedores cobraban “gastos de recuperación de datos” o de “desactivación de cuenta” que podían ascender a varios cientos de euros.

La Ley de Datos regula de forma estricta estas prácticas:

• hasta enero de 2027, solo se podrá facturar el coste técnico real y justificado;

• a partir de esa fecha, quedan prohibidos todos los costes de salida.

Por lo tanto, ya no tendrá que pagar por recuperar algo que ya es suyo.

En Sidely, la exportación de sus datos ya es libre y totalmente gratuita.

¿Qué ocurre si cuenta con un proveedor de CRM híbrido?

Un proveedor de CRM híbrido suele combinar:

• una instalación local (on premise): el software se ejecuta en los servidores o equipos del cliente,

• servicios complementarios en la nube: sincronización, copias de seguridad, alojamiento de bases de datos secundarias, aplicaciones móviles, actualizaciones automáticas, API, almacenamiento de informes, etc.

Un ejemplo habitual es el de un CRM instalado en sus servidores internos, pero que sincroniza los datos comerciales con una aplicación móvil alojada por el proveedor.

En este caso, la Ley de Datos se aplica únicamente a la parte en la nube / SaaS del servicio. Esto implica que su proveedor debe permitir la exportación íntegra de los datos almacenados en la nube, garantizar la portabilidad a otro proveedor, suprimir las tarifas de salida abusivas y mantener el acceso al servicio durante el periodo de migración. Si retomamos nuestro ejemplo: su base de datos de clientes está alojada en local, pero sus informes, tarjetas de contacto y datos móviles se sincronizan en la nube del proveedor. Podrá solicitar la exportación de todos los datos de la parte alojada (informes, tarjetas de visita, datos móviles) en un formato abierto y transferirlos a otro proveedor cloud.

Sin embargo, no podrá hacerlo con la base de datos de clientes. Efectivamente, la Ley de Datos no se aplica de forma directa a aquello alojado de forma exclusiva en su infraestructura interna, puesto que ya controla esos datos. Ahora bien, el proveedor debe garantizar igualmente que los datos puedan exportarse en un formato abierto, no imponer bloqueos técnicos (formatos propietarios que imposibiliten la exportación) e informar con claridad al cliente sobre la distinción entre lo que corresponde al ámbito local y a la nube.

Por tanto, si detecta que su base de datos propietaria no dispone de opción de exportación en su aplicación local, está en su derecho de exigir a su proveedor una solución técnica de migración; de lo contrario, estaría yendo en contra del espíritu de la Ley de Datos.

¿Me afecta el fin de los contratos con permanencia?

La Ley de Datos prohíbe a partir de ahora el “lock-in” o bloqueo contractual para los servicios de procesamiento de datos en la nube. Los proveedores ya no pueden restringir el acceso a sus datos alojados, ni impedir su transferencia a otro proveedor, ni facturar indebidamente por estas operaciones.

En cambio, para las soluciones híbridas, la aplicación tiene más matices. Si su contrato corresponde a una licencia de software instalada localmente (on-premise), la normativa no se aplica directamente a la licencia, ya que no se considera un servicio de tratamiento de datos en el sentido del texto. No obstante, en cuanto una parte del servicio se basa en la nube (sincronización, copias de seguridad, soporte remoto…), la Ley de Datos resulta aplicable. Dicho de otro modo, un proveedor no puede restringir su acceso a sus propios datos ni condicionar su transferencia a costes abusivos, siempre que estén alojados de manera remota. Aunque su solución sea parcialmente local, estas obligaciones se aplican a la parte en la nube. Con respecto a la parte puramente local (instalada en sus servidores), puede existir un compromiso de mantenimiento o de licencia, pero el proveedor ya no puede utilizarlo para bloquear el dato en sí mismo.

Pero, ¿qué sucede con los programas exclusivamente on-premise? Si utiliza una solución instalada exclusivamente en sus servidores, la Ley de Datos no se aplica. La licencia de software local no entra en el ámbito de los “servicios de tratamiento de datos”. Por tanto, en este caso no se beneficiará de los nuevos derechos en materia de portabilidad, rescisión o prohibición de costes.

Qué puede hacer usted como cliente

Como empresa cliente de una solución híbrida, debe:

1. Identificar la frontera entre lo que se aloja localmente y lo que está en la nube.

2. Revisar las cláusulas contractuales: ¿a quién pertenecen qué datos? ¿cuáles son las modalidades de exportación? ¿qué formatos se contemplan?

3. Exigir una cláusula de portabilidad integral para toda la parte en la nube.

4. Solicitar formatos abiertos en la parte on-premise para facilitar una posible transferencia en el futuro.

5. Negociar desde ya la eliminación de tarifas de salida en los servicios alojados.

¿Cómo aprovecharlo desde ahora?

Revise sus contratos actuales

Empiece por examinar sus contratos existentes de SaaS o CRM:

• ¿Cuál es la duración del compromiso?

• ¿Existe alguna cláusula de resolución anticipada?

• ¿Están especificadas las modalidades de exportación de los datos?

• ¿Se definen costes por la salida?

Si estos puntos no están claros, es el momento idóneo para preparar la transición.

Desde este momento puede negociar un anexo contractual anticipándose a las normas de la Ley de Datos. Muchos proveedores aceptarán ajustar sus condiciones para conservar su confianza.

Anticipe sus proyectos de migración

La Ley de Datos facilita la migración, pero esta debe planificarse:

• Haga una lista de los datos que desea transferir;

• Compruebe los formatos de exportación disponibles;

• Evalúe la compatibilidad entre su antiguo y su nuevo proveedor;

• Planifique un periodo de solapamiento de 30 días para llevar a cabo la transición.

En Sidely, por ejemplo, el equipo de integración acompaña a los clientes en la exportación e importación de sus datos para garantizar una migración fluida y sin pérdidas.

Elija proveedores transparentes y conformes

A partir de ahora, la elección de un CRM no se basará únicamente en las funciones o en el precio, sino también en la transparencia de las condiciones contractuales, la facilidad de exportación e interoperabilidad y el cumplimiento de la Ley de Datos.

Antes de firmar, plantee estas cuestiones:

• ¿Puedo rescindir en cualquier momento?

• ¿Cómo recupero mis datos?

• ¿Cuáles son los formatos de exportación disponibles?

• ¿Existen costes asociados a la salida?

• ¿Se compromete ya el proveedor a cumplir con la Ley de Datos?

Un proveedor claro y transparente en estos aspectos es un socio de confianza.

Para las direcciones comerciales y departamentos de TI (CIO)

La Ley de Datos también representa una oportunidad estratégica.

• Para los departamentos de TI, facilita la gobernanza y la circulación de datos entre sistemas.

• Para las direcciones comerciales, reduce el riesgo de dependencia de una herramienta y fortalece el control del pipeline y del historial de clientes.

• Para los equipos de campo, garantiza la continuidad de la actividad en caso de cambiar de solución.

En definitiva, la Ley de Datos pone la información al servicio de su rendimiento, y no al revés.

Una nueva era de transparencia contractual

A partir de ahora, los proveedores deberán:

• especificar por escrito y de forma explícita las condiciones de rescisión y portabilidad,

• proporcionar una guía de migración clara,

• detallar los formatos de datos disponibles para la exportación,

• y comunicar los plazos y posibles costes asociados a la transferencia.

Para usted, como usuario de un CRM, esto se traduce en mayor claridad y menos riesgos. Las condiciones generales ya no podrán esconder requisitos abusivos ni cláusulas de renovación automática sin consentimiento explícito.

La Ley de Datos supone una ruptura profunda en el mundo SaaS: las empresas ya no están atadas por contratos de larga duración ni son cautivas de sus propios datos.

A partir de septiembre de 2025, podrá rescindir libremente, exportar su información y cambiar de CRM o de proveedor SaaS sin miedo a perder su historial ni a afrontar costes desproporcionados.

Esta evolución va mucho más allá de un cambio legislativo: se trata de una auténtica transformación cultural.

El dato vuelve a convertirse en un activo estratégico bajo su control.

El mercado del software SaaS, por su parte, pasa a ser más transparente, más competitivo y más orientado a aportar valor real al cliente.

Anticípese desde hoy. Revise sus contratos, evalúe a sus proveedores y elija socios que ya cumplan con estos principios.

Si busca un CRM móvil diseñado para equipos comerciales itinerantes y ya adaptado al espíritu de la Ley de Datos, ¡pruebe Sidely!