≡En resumen
- Evalúa a la empresa por cómo trabaja, no solo por lo que enseña: repositorios, pruebas, despliegues y documentación.
- Deja por escrito quién conserva la propiedad intelectual del código, qué derechos de explotación te ceden y en qué condiciones podrías comprar el código completo.
- Un SLA útil define tiempos de respuesta y resolución por gravedad, disponibilidad y qué pasa si no se cumplen.
- Si la web trata datos personales, firma un contrato de encargado del tratamiento antes de darle acceso.
01 ¿Qué es una web development company?
El término inglés aparece en directorios internacionales y cuando se compara con proveedores de otros países. En esta ficha no hablamos de precios ni de rankings, sino de cómo hacer una revisión técnica (due diligence) del proveedor antes de firmar. Si antes quieres entender qué fases tiene un proyecto, repasa el ciclo de web development.
02 Tipos de empresas de desarrollo web
| Tipo | Cómo trabaja | Encaja cuando | Riesgo a vigilar |
|---|---|---|---|
| Agencia digital con desarrollo | Diseño, desarrollo, SEO y marketing en un mismo equipo | Webs corporativas, tiendas y proyectos con objetivos de captación | Que el desarrollo sea un servicio secundario |
| Consultora o software factory | Equipos grandes, procesos formales, proyectos por fases | Grandes empresas y sector público | Rotación de personas y documentación excesiva |
| Estudio de producto | Equipo reducido de diseño e ingeniería que se implica en el producto | Startups, SaaS y MVP | Capacidad limitada si el proyecto crece mucho |
| Proveedor nearshore u offshore | Equipo en otro país, a menudo por horas | Ampliar capacidad con coste ajustado | Comunicación, husos horarios y transferencias internacionales de datos |
| Colectivo de freelances | Varios profesionales coordinados por uno de ellos | Proyectos pequeños y flexibles | Continuidad si alguien se va |
Si lo que te planteas es si desarrollar a medida o contratar una herramienta existente, lee antes la comparativa de software a medida vs SaaS: a veces la mejor empresa de desarrollo es la que te dice que no necesitas desarrollar.
03 Due diligence técnica: qué revisar antes de contratar
- ✓Stack: lenguajes y frameworks con soporte vigente y comunidad amplia, no tecnologías propietarias de la agencia.
- ✓Arquitectura propuesta por escrito, con diagrama de sistemas, integraciones y alojamiento.
- ✓Control de versiones con Git, revisión de código entre compañeros y ramas protegidas.
- ✓Pruebas automatizadas y una integración continua que las ejecute en cada cambio.
- ✓Entornos separados de desarrollo, pruebas y producción, con despliegues reproducibles.
- ✓Documentación técnica entregable: instalación, variables de entorno, despliegue y decisiones de arquitectura.
- ✓Accesibilidad y rendimiento incluidos en los criterios de aceptación.
- ✓Referencias de clientes con proyectos parecidos que puedas llamar.
04 Propiedad del código y acceso a los repositorios
Es el punto que más problemas da al cambiar de proveedor. En España, la Ley de Propiedad Intelectual atribuye al empresario los derechos de explotación del software que crean sus propios trabajadores asalariados (art. 97.4), pero esa regla no cubre a una empresa externa. Cuando encargas el desarrollo, la cesión de derechos debe pactarse en el contrato, y la ley exige que toda cesión se formalice por escrito (art. 45).
- ✓Cláusula de cesión de los derechos de explotación del código desarrollado a medida, con ámbito, duración y territorio.
- ✓Lista de componentes de terceros y sus licencias (código abierto, plugins o temas de pago).
- ✓Condiciones y precio para comprar el código completo si algún día lo necesitas.
- ✓Dominio, hosting, cuentas de nube y servicios externos a tu nombre.
- ✓Entrega de credenciales, documentación y copias al finalizar la relación.
- ✓Qué ocurre con los componentes reutilizables propios de la agencia: licencia de uso perpetua o cesión.
05 SLA y mantenimiento: qué debe incluir el acuerdo de nivel de servicio
| Elemento | Qué define | Pregunta que debes poder responder |
|---|---|---|
| Clasificación de incidencias | Niveles de gravedad (crítica, alta, media, baja) con ejemplos | ¿Una pasarela de pago caída es crítica? |
| Tiempo de respuesta | Cuánto tardan en empezar a trabajar en cada nivel | ¿Hay cobertura fuera de horario para lo crítico? |
| Tiempo de resolución | Plazo objetivo para solucionar o dar un remedio temporal | ¿Se cuenta en horas naturales o laborables? |
| Disponibilidad | Porcentaje de tiempo en servicio si ellos gestionan el alojamiento | ¿Qué queda excluido del cálculo? |
| Actualizaciones | Frecuencia de parches de seguridad y de versiones | ¿Quién decide cuándo se actualiza el framework? |
| Copias de seguridad | Periodicidad, retención y pruebas de restauración | ¿Cuándo se probó la última restauración? |
| Penalizaciones y salida | Compensaciones por incumplimiento y plan de traspaso | ¿Cómo recupero todo si cambio de proveedor? |
Las copias de seguridad solo sirven si se ha probado que se pueden restaurar; pide que el SLA lo diga expresamente.
06 Seguridad: cómo evaluar las prácticas del proveedor
La referencia más usada es el OWASP Top 10, cuya edición de 2025 encabezan el control de acceso defectuoso, la configuración de seguridad incorrecta y los fallos en la cadena de suministro de software. Pregunta cómo previene cada uno. Un proveedor preparado responde con procesos concretos, no con un «nuestras webs son seguras». Si quieres entender los riesgos habituales, repasa cómo proteger tu página de los ataques más comunes.
Dependencias
Inventario de librerías, alertas automáticas de vulnerabilidades y política de actualización.
Accesos
Autenticación en dos pasos en repositorios y servidores, y mínimos privilegios para cada persona.
Secretos
Contraseñas y claves fuera del código, en gestores de secretos o variables de entorno.
Registro y alertas
Logs de seguridad y avisos ante accesos anómalos o errores masivos.
07 RGPD: la empresa de desarrollo como encargada del tratamiento
Si el proveedor accede a datos personales de tus clientes o empleados (una base de datos de usuarios, formularios, pedidos), actúa como encargado del tratamiento. El artículo 28 del RGPD te obliga a elegir solo encargados que ofrezcan garantías suficientes y a firmar un contrato con un contenido mínimo. Es una obligación tuya como responsable; no depende de que el proveedor lo proponga.
- ✓Tratar los datos solo siguiendo tus instrucciones documentadas.
- ✓Confidencialidad de todas las personas que accedan a ellos.
- ✓Medidas de seguridad adecuadas según el artículo 32.
- ✓No recurrir a subencargados (hosting, correo, herramientas) sin tu autorización previa por escrito.
- ✓Ayudarte a atender los derechos de los interesados y a cumplir tus obligaciones de seguridad.
- ✓Suprimir o devolver los datos al terminar el servicio.
- ✓Poner a tu disposición la información necesaria para auditorías.
Presta atención a dónde se alojan los datos y si el equipo trabaja desde fuera del Espacio Económico Europeo, porque eso implica transferencias internacionales con garantías adicionales. Tienes el contexto general en la ficha sobre la ley de protección de datos.
08 Modelos de contratación y presupuesto
| Modelo | Cómo funciona | Ventaja | Inconveniente |
|---|---|---|---|
| Precio cerrado | Alcance definido a cambio de un importe fijo | Previsibilidad de coste | Cada cambio exige renegociar; riesgo de recortar calidad |
| Tiempo y materiales | Pagas las horas reales dedicadas | Flexibilidad para cambiar prioridades | Necesita seguimiento y confianza |
| Equipo dedicado | Un equipo reservado para ti durante meses | Continuidad y conocimiento del producto | Coste fijo alto |
| Mixto | Fase inicial cerrada y evolución por bolsa de horas | Equilibrio entre control y flexibilidad | Requiere un buen documento de alcance |
Compara propuestas con el mismo alcance y desconfía de las muy baratas que no detallan pruebas, documentación ni mantenimiento. Si te ayuda ver cómo lo hacen otras empresas del sector, tienes una guía de empresas desarrolladoras de apps en España con criterios para elegir.
09 El siguiente paso
En appyweb somos una agencia de desarrollo web que trabaja con Laravel y JavaScript moderno: si estás comparando proveedores, usa esta lista también con nosotros. Si tu proyecto es un producto con suscripciones y varios clientes, también hacemos desarrollo de SaaS de principio a fin.
Preguntas frecuentes sobre Web Development Company
Es una empresa de desarrollo web: construye por encargo sitios y aplicaciones web, desde la arquitectura y la programación hasta el despliegue y el mantenimiento.
Revisa su stack, cómo trabaja con repositorios, pruebas y despliegues, qué documentación entrega, su SLA de soporte, sus prácticas de seguridad qué derechos sobre el código recoge el contrato y el contrato de encargado del tratamiento.
Depende del contrato. La Ley de Propiedad Intelectual solo atribuye automáticamente al empresario el software de sus asalariados, así que con un proveedor externo la cesión de derechos debe pactarse por escrito.
Es el acuerdo de nivel de servicio: define niveles de gravedad, tiempos de respuesta y resolución, disponibilidad, copias de seguridad y consecuencias si el proveedor no cumple.
Sí, si accede a datos personales de tus clientes o empleados. Actúa como encargada del tratamiento y el artículo 28 del RGPD exige un contrato con un contenido mínimo.
Qué stack propone y por qué, cómo prueba y despliega, quién será el equipo, a nombre de quién estará el dominio, qué derechos tendrás sobre el código, qué incluye el mantenimiento y cómo sería el traspaso si cambias de proveedor.
El precio cerrado encaja con alcances muy claros; por horas, con proyectos que evolucionan. Muchos proyectos combinan una primera fase cerrada con una bolsa de horas para la evolución.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗