#SaaS

La concentración tecnológica no es un problema de arquitectura por sí mismo, sino de procesos críticos que dependen de un único proveedor sin alternativa realista en tiempo y forma.

La dependencia (lock-in) en SaaS no suele aparecer en la compra inicial, sino cuando cambian precios, condiciones, servicio o prioridades del proveedor, y entonces el coste de salida se vuelve visible.

Un contrato con un proveedor no debe limitarse a trasladar obligaciones legales: debe funcionar como un control operativo que define cómo se previenen, detectan, escalan y resuelven incidentes reales.

El Shadow IT no desaparece por decreto: se reduce cuando la empresa ofrece un proceso oficial más rápido, claro y útil que la compra por libre.

Una clasificación de datos útil no necesita diez niveles ni una taxonomía perfecta: con cuatro niveles, ejemplos claros y dueños definidos, la organización puede decidir más rápido qué datos se comparten, dónde se almacenan y si pueden usar

Revisar el DPA de un proveedor SaaS no debería convertirse en una negociación infinita: un checklist común entre compras, IT y DPO/legal permite pedir lo importante según el riesgo real del servicio.

Este playbook ayuda a estructurar una evaluación exprés de un proveedor SaaS en torno a 60 minutos, con un enfoque proporcional: criticidad, checklist mínimo, scoring y decisión documentada.