¿Qué es SaaS (Software as a Service)?

El National Institute of Standards and Technology (NIST) de Estados Unidos describió en septiembre de 2011, en la publicación especial 800-145, tres modelos de servicio de la computación en la nube. Se diferencian en lo que controla el propio cliente.

En el software como servicio, el cliente usa aplicaciones del proveedor que funcionan en una infraestructura en la nube, desde un navegador o mediante una interfaz de programación. No gestiona la red, los servidores, los sistemas operativos ni el almacenamiento, y ni siquiera funciones concretas de la aplicación, salvo algunos ajustes limitados propios de cada usuario.

En la plataforma como servicio (PaaS), el cliente despliega en la infraestructura en la nube aplicaciones propias o adquiridas. Controla esas aplicaciones y quizá algunos ajustes del entorno en el que se ejecutan, pero no la infraestructura de debajo.

En la infraestructura como servicio (IaaS), el cliente obtiene capacidad de cálculo, almacenamiento, redes y otros recursos básicos, y puede ejecutar en ellos cualquier software, incluidos sistemas operativos. Controla los sistemas operativos, el almacenamiento y las aplicaciones desplegadas y quizá, de forma limitada, algunos componentes de red como los cortafuegos del host, no la infraestructura de debajo. Más sobre esto en la entrada hosting.

El Reglamento de Datos de la UE, el Reglamento (UE) 2023/2854, cita en su considerando 81 esos mismos tres modelos como formas de servicios de tratamiento de datos. Sus normas sobre el cambio de proveedor se aplican, por tanto, en principio también al SaaS.

El proveedor atiende a muchos clientes con los mismos recursos. El NIST lo llama puesta en común de recursos: los recursos de cálculo del proveedor se agrupan para servir a varios clientes con un modelo multiinquilino y se asignan según la demanda. El cliente no suele saber dónde están exactamente sus datos, aunque a veces puede fijar la ubicación a un nivel más general, como el país o el centro de datos.

El uso se mide y, según el NIST, normalmente se cobra en función de él. Como ejemplos de magnitudes medidas, el NIST cita el almacenamiento, el procesamiento, el ancho de banda y las cuentas de usuario activas. En la práctica se paga a menudo por usuario y mes o por paquete.

En marketing hay muchas herramientas en modo SaaS: el CRM, a menudo el CMS, la analítica web y las herramientas de email y de marketing automation. Según Eurostat, en 2025 el 52,7 % de las empresas de la UE con diez o más empleados (sin el sector financiero, la agricultura, la silvicultura, la pesca ni la minería) usaba servicios de computación en la nube de pago, y en España el 41,7 %. Un CRM como servicio en la nube de pago lo usaban el 14,7 % en la UE y el 17,2 % en España.

El SaaS ahorra instalación, servidores y actualizaciones. A cambio, los datos están en manos del proveedor, y eso tiene dos consecuencias.

La primera afecta a la protección de datos. Si el proveedor trata datos personales por cuenta de la empresa, es encargado del tratamiento según el RGPD. El artículo 28, apartado 3, exige para ello un contrato u otro acto jurídico que lo vincule. En él debe constar, entre otras cosas, que al terminar el servicio suprimirá o devolverá todos los datos personales, a elección del responsable, salvo que la ley exija conservarlos.

La segunda afecta al cambio de proveedor. El Reglamento de Datos se aplica desde el 12 de septiembre de 2025. Según su artículo 25, el contrato debe fijar un plazo máximo de preaviso para iniciar el cambio de dos meses y un período transitorio de treinta días naturales como máximo, durante el cual el proveedor apoya el cambio o el traslado de todos los datos exportables. Si eso no es técnicamente viable, el proveedor debe justificarlo en catorce días hábiles y puede indicar otro plazo de siete meses como máximo. Según el artículo 29, hasta el 12 de enero de 2027 los proveedores solo pueden cobrar costes por cambio reducidos, y después ninguno por el cambio en sí. Quedan fuera los servicios a medida y las versiones de prueba (artículo 31), y con varios servicios en paralelo se pueden cobrar los costes reales de salida de datos (artículo 34). La Comisión ha propuesto modificar el Reglamento de Datos (COM(2025) 837); según EUR-Lex, a 23 de octubre de 2026 esa modificación no está en vigor.

• Aclarar antes de firmar qué datos se pueden exportar y en qué formato.
• Revisar el contrato de encargo del tratamiento antes de que entren datos personales en la herramienta.
• Dejar constancia del país o el centro de datos en que se guardan los datos.
• Hacer exportaciones periódicas y comprobar que se pueden abrir en otro sistema.
• Bloquear de inmediato las cuentas de quien deja la empresa, porque el acceso es posible desde internet.
• Reunir en un solo lugar los plazos de preaviso, las duraciones y los planes de todas las herramientas SaaS.

• Dar por hecho que los datos seguirán disponibles tras la baja sin conocer el plazo.
• Dejar que se traten datos personales sin haber firmado un contrato de encargo del tratamiento.
• Guardar copias solo en un formato que ninguna otra herramienta sabe leer.
• Contratar varias herramientas para la misma tarea porque nadie tiene una visión de conjunto.
• Confundir SaaS con hosting: en el hosting se ejecuta software propio en una infraestructura ajena.