Términos SaaS de Washington: una lista de verificación de redacción con capas específicas de Washington
Los términos de servicio (Terms of Service) de SaaS son en su mayoría un ejercicio de redacción de contratos: mecánica de suscripción, uso aceptable, propiedad intelectual, descargo de garantía, tope de responsabilidad y resolución de disputas. Washington agrega tres capas legales que cualquier empresa SaaS que venda en Washington debe entender: la Ley de Protección al Consumidor en el Capítulo 19.86 RCW, la Ley Mi Salud, Mis Datos (MHMDA) en el Capítulo 19.373 RCW y la ley de notificación de violación de datos en el Capítulo 19.255 RCW. Esta guía recorre la lista de verificación de redacción con las capas de Washington señaladas donde realmente cambian el análisis.
Respuesta rápida
Un paquete de términos SaaS que se venda en Washington debe incluir términos básicos sólidos (suscripción, renovación automática, uso aceptable, funciones de IA, descargo de garantía, tope de responsabilidad, resolución de disputas) y tres capas específicas de Washington: una revisión de riesgo bajo la Ley de Protección al Consumidor de las prácticas de marketing y renovación automática, un análisis de MHMDA si el producto toca cualquier dato de salud del consumidor, y un plan de respuesta a incidentes vinculado al Capítulo 19.255 RCW.
Lista de verificación de redacción de términos SaaS
1. Suscripción y renovación automática
- Cadencia de facturación clara (mensual, anual, plurianual) con precio establecido.
- Divulgación de renovación automática: cómo ocurre la renovación, qué aviso se da, cómo cancela el usuario y el plazo de cancelación en relación con la fecha de renovación.
- Política de prorrateo o de no reembolso para cancelaciones a mitad de período, claramente establecida.
- Mecanismo de aumento de precio en la renovación con aviso anticipado.
2. Uso aceptable
- Contenido prohibido (ilegal, infractor, difamatorio, malware, material de abuso sexual infantil conforme a la ley federal).
- Conducta prohibida (interferencia con el servicio, scraping automatizado fuera de las API publicadas, ingeniería inversa).
- Derechos de suspensión y terminación de cuenta por incumplimiento.
- Cooperación con procesos legales y obligaciones de seguridad de la plataforma.
3. Tratamiento de datos
- Delimitación clara de los roles de controlador y procesador (o de empresa y proveedor de servicios según la ley de California).
- Adenda de tratamiento de datos (DPA) para clientes B2B que manejan datos personales.
- Lista de subprocesadores y mecanismo de notificación.
- Mecanismo de transferencia transfronteriza cuando sea aplicable.
- Derechos de auditoría del cliente, alcanzados de forma viable para un proveedor SaaS.
4. Funciones de IA
- Divulgación clara de que las funciones de IA pueden producir resultados inexactos, incompletos o engañosos.
- Obligación del usuario de verificar los resultados de la IA antes de confiar en ellos.
- Política de datos de entrenamiento: si las entradas y salidas del cliente se usan para entrenar modelos, con opción de exclusión para B2B.
- Titularidad de la propiedad intelectual sobre los resultados generados por IA, con exclusiones y descargos apropiados.
- Si el producto es utilizado por abogados, médicos u otros profesionales regulados, descargos por capas sobre resultados específicos de la práctica.
5. Cargas y contenido del usuario
- Licencia del usuario al proveedor SaaS para alojar, procesar y mostrar el contenido del usuario.
- Manifestación del usuario de que tiene los derechos para cargar el contenido.
- Proceso de notificación y retirada DMCA para operaciones en EE. UU.
- Prácticas de retención y eliminación.
6. Descargos de garantía
- Descargos "tal cual" ("as is") y "según disponibilidad" ("as available").
- Descargo de comerciabilidad, idoneidad para un propósito particular y no infracción, en MAYÚSCULAS o mostrado de forma conspicua.
- Exclusión para cualquier compromiso expreso de nivel de servicio que el SaaS realmente asuma.
7. Tope de responsabilidad
- Tope usualmente expresado como las tarifas pagadas en los 12 meses anteriores.
- Exclusión de daños indirectos, consecuentes, especiales, incidentales y punitivos.
- Exclusiones para obligaciones de indemnización, infracción de propiedad intelectual, incumplimiento de confidencialidad y negligencia grave o conducta dolosa.
- Nota de redacción: un tope inconcebible puede ser invalidado, y un tope que pretenda inmunizar a una parte de la conducta intencional generalmente no es exigible.
8. Arbitraje y resolución de disputas
- Arbitraje obligatorio con un foro y reglas elegidas.
- Renuncia a acción colectiva.
- Protocolo de arbitraje masivo (agrupación, proceso bellwether).
- Exclusiones para reclamos menores y medidas de equidad.
- Período informal de resolución de disputas de 30 días antes del arbitraje.
9. Sede y ley aplicable
- Elección de ley (típicamente el estado de origen del proveedor SaaS o un estado comercial neutro como Delaware).
- Elección de foro.
- Tenga en cuenta que las leyes de protección al consumidor del estado de origen del usuario aún pueden aplicarse independientemente de la ley aplicable elegida.
10. Interacción con la privacidad
Los términos de servicio (ToS) deben hacer referencia a la política de privacidad y a cualquier adenda de tratamiento de datos. Los conflictos entre los documentos son una fuente fértil de litigios, así que utilice referencias cruzadas y una versión canónica para cada tema.
Capa de Washington 1: Ley de Protección al Consumidor (Capítulo 19.86 RCW)
La Ley de Protección al Consumidor de Washington, Capítulo 19.86 RCW, prohíbe los actos o prácticas injustas o engañosas en la conducta de cualquier negocio o comercio. La causa privada de acción bajo RCW 19.86.090 permite a un demandante exitoso recuperar daños reales, daños triples hasta un tope legal, honorarios de abogado y una orden judicial. Los cinco elementos del reclamo privado bajo la CPA (según la jurisprudencia de Washington que aplica Hangman Ridge Training Stables v. Safeco Title Ins. Co.) son: un acto injusto o engañoso, en negocio o comercio, que afecta el interés público, causa daño al negocio o propiedad del demandante, y está vinculado causalmente.
Para los fundadores de SaaS, las exposiciones prácticas bajo la CPA se agrupan en torno a afirmaciones de marketing que exageran funciones, prácticas ocultas de renovación automática, flujos de cancelación con patrones oscuros y omisiones materiales en la incorporación. La CPA es el vehículo de aplicación que la Fiscalía General de Washington utiliza con más frecuencia contra prácticas SaaS dirigidas al consumidor, y también es la teoría preferida del demandante privado por el desplazamiento de honorarios y los daños triples.
Capa de Washington 2: Ley Mi Salud, Mis Datos (Capítulo 19.373 RCW)
La Ley Mi Salud, Mis Datos (MHMDA) de Washington, Capítulo 19.373 RCW, regula la recopilación, uso, intercambio y venta de datos de salud del consumidor por parte de entidades reguladas. Se aplica ampliamente a cualquier dato de salud del consumidor (no solo a los datos cubiertos por HIPAA), y cubre un universo de productos mucho más amplio del que los fundadores esperan: aplicaciones de bienestar, rastreadores de actividad física, rastreadores de períodos y fertilidad, herramientas de salud mental, verificadores de síntomas con IA, aplicaciones de sueño, y cualquier SaaS que infiera información relacionada con la salud a partir de las entradas del usuario o señales de dispositivos.
Las obligaciones clave bajo la MHMDA incluyen:
- Divulgaciones de política de privacidad de los datos de salud del consumidor.
- Consentimiento afirmativo, de opción positiva, antes de recopilar o compartir datos de salud del consumidor, con divulgación detallada de categorías y propósitos.
- Una "autorización válida" más estricta para cualquier venta de datos de salud del consumidor.
- Derechos del consumidor de acceso, eliminación y retiro del consentimiento.
- Restricciones al geocercado (geofencing) alrededor de instalaciones de atención médica.
- Un derecho privado de acción a través de la Ley de Protección al Consumidor por violaciones.
El derecho privado de acción a través de la CPA es la parte que la mayoría de los fundadores de SaaS pasa por alto. Una violación de la MHMDA no solo activa la aplicación por parte de la Fiscalía General; también puede activar litigios privados al estilo de la CPA con desplazamiento de honorarios y daños triples. Si un producto toca cualquier cosa que pueda caracterizarse como datos de salud, bienestar, condición física, salud mental o síntomas relacionados con residentes de Washington, esta ley debe estar en la lista de revisión legal.
Capa de Washington 3: Notificación de violación de datos (Capítulo 19.255 RCW)
La ley de notificación de violación de datos de Washington, Capítulo 19.255 RCW, impone obligaciones de notificación cuando hay una violación de la seguridad del sistema que involucra información personal de residentes de Washington. Características clave que los fundadores de SaaS deben incorporar en su plan de respuesta a incidentes y contratos con clientes:
- Un conjunto definido de categorías de datos que califican como "información personal" bajo la ley.
- Un puerto seguro para datos cifrados / asegurados donde los datos estaban cifrados y el mecanismo de descifrado no fue también adquirido.
- Obligaciones de aviso al consumidor en un plazo definido.
- Notificación a la Fiscalía General para violaciones que afecten a más de 500 residentes de Washington, a no más de 30 días después de descubrirse la violación.
- Requisitos definidos de contenido para el aviso a la Fiscalía General.
Para un recorrido completo de las definiciones legales, el puerto seguro de cifrado, los plazos y la comparación con el régimen de notificación de California, vea mi Guía de Notificación de Violación de Datos de Washington.
Apalancamiento legal de Washington
Para una empresa SaaS que vende en Washington, el trabajo de redacción de mayor apalancamiento está en la intersección de estas tres leyes. La CPA es una ley privada de desplazamiento de honorarios con daños triples; la MHMDA incorpora a la CPA como su vehículo de aplicación privada; la ley de violación de datos crea una obligación de notificación a la Fiscalía General que casi siempre se hace pública. Un paquete de términos SaaS que aborde las tres con el texto legal real en mente es materialmente más defendible que una plantilla SaaS genérica que las ignore.
Lista de verificación para fundadores de SaaS en Washington
- Términos de servicio (ToS) redactados contra la lista de verificación SaaS anterior.
- Política de privacidad que aborda los derechos de los residentes de Washington y divulga cualquier recopilación de datos de salud del consumidor.
- Flujo de renovación automática revisado contra las normas estatales y federales de renovación automática.
- Adenda de tratamiento de datos para cualquier cliente B2B que maneje datos personales.
- Plan de respuesta a incidentes con una ruta documentada de notificación a la Fiscalía General bajo el Capítulo 19.255 RCW.
- Si están en juego datos de salud, bienestar o síntomas: una evaluación de cumplimiento de la MHMDA, incluido el flujo de consentimiento, el geocercado y la autorización válida para cualquier venta.
- Revisión de marketing por riesgo bajo la CPA en cualquier afirmación de "sin compromiso", "cancele en cualquier momento", "prueba gratuita" o de renovación automática.
Paquetes de servicios
Recursos relacionados
Para una admisión enfocada en SaaS, vea mi admisión de contratos SaaS. Para paralelos de California, vea el Hub de Privacidad de California y el Hub del Paquete Legal SaaS. Para el análisis profundo de notificación de violaciones, vea mi Guía de Notificación de Violación de Datos de Washington. Para más contexto sobre formación, vea el hub de Derecho Empresarial de Washington.