Technical Due Diligence
Readiness Report
Evaluación integral del backend core de Sesame HR. Riesgos identificados, fortalezas documentadas y plan de acción concreto para afrontar la auditoría de Serie C con garantías.
La arquitectura del codebase sigue patrones que competidores con 4x más recursos también adoptaron. Los hallazgos encontrados son de limpieza operativa — resolubles en semanas, no meses — no problemas de diseño estructural.
Qué es una due diligence técnica
Cuando un inversor de Serie C evalúa una empresa SaaS, contrata a una firma especializada (AKF Partners, madewithlove, Blue Hat Associates) para auditar el código y la infraestructura. Esta auditoría determina si la tecnología puede soportar el crecimiento que justifica la valoración.
Lo que buscan
Arquitectura escalable, código mantenible, seguridad robusta, procesos de desarrollo maduros, equipo sin dependencias críticas [1][2]
Lo que mata deals
Vulnerabilidades sin remediar, deuda técnica ingobernable, dependencia de 1-2 ingenieros, sin tests ni CI/CD, licencias open-source conflictivas [3][1]
Impacto en valoración
Hallazgos técnicos no resueltos dan al inversor palanca para negociar a la baja, imponer hitos de remediación, o condicionar desembolsos [4][5]
Cifras principales del análisis
(bounded contexts)
sin que nadie se entere
hallazgos críticos
Estado por área
Cada área evaluada según los criterios que firmas de due diligence como AKF Partners y Blue Hat Associates aplican en auditorías reales [1].
Arquitectura
49 bounded contexts con responsabilidad aislada. Los equipos pueden trabajar en paralelo sin conflictos, lo que permite escalar la organización de ingeniería sin desacelerar el desarrollo.
AKF Partners define la capacidad de escalar equipos sin pérdida de velocidad como criterio clave de due diligence [1]. El patrón CQRS complementa esta separación.
Seguridad
4 vectores de SQL injection activos y contraseñas que aparecen en texto legible en registros del sistema. Un auditor clasificaría estos hallazgos como deal-critical.
Según Black Duck, el 99% de las auditorías M&A encuentran vulnerabilidades [3]. El criterio de evaluación no es la ausencia de vulnerabilidades, sino la existencia de un proceso de remediación documentado.
Visibilidad de errores
El 93.5% de las excepciones del sistema no generan registro, alerta ni diagnóstico. Sin visibilidad de errores, los SLAs enterprise no son demostrables.
Las métricas DORA miden el MTTR como indicador de madurez operativa. Sin logging, el MTTR es impredecible [6].
Capacidad de crecimiento
53 operaciones cargan datos sin límite (findAll sin LIMIT). Con el volumen actual funcionan; al duplicar la base de clientes, estas queries intentarían cargar millones de registros en memoria simultáneamente.
Tradeoff: La corrección es mecánica pero requiere verificar cada punto de llamada. Sin corregirlo, el primer pico de carga expondría el problema en producción.
Documentación técnica
No existe documentación preparada para un auditor externo. Las decisiones arquitecturales no están registradas en ADRs. Sin documentación, el tiempo y coste de auditoría se incrementan.
Según madewithlove, la documentación reduce el tiempo de auditoría significativamente. Una auditoría de 4 semanas en vez de 2 duplica el coste y añade fricción al proceso [7].
Testing y calidad
5,492 archivos de test, quality gates automatizados con SonarQube, y validación pre-commit. Existe cultura de calidad con procesos automatizados.
AKF Partners establece un umbral de >75% de cobertura automatizada como indicador de madurez [1]. La presencia de quality gates en CI/CD es un indicador positivo relevante.
Fortalezas identificadas
Decisiones de diseño que facilitan escalar el equipo y el producto sin reescritura. Relevantes en contexto de auditoría técnica.
49 módulos independientes
Equipos pueden trabajar en paralelo sin conflictos. Preparado para crecer de 50 a 200 ingenieros.
CQRS: lectura y escritura separadas
Permite escalar rendimiento selectivamente. Patrón adoptado por Deel y empresas enterprise-grade.
Domain-Driven Design
El software refleja la estructura del negocio. Reduce errores de traducción entre producto y desarrollo.
9,641 clases blindadas (final)
26% del código protegido contra modificaciones accidentales. Indicador de disciplina de diseño.
28,670 datos inmutables (readonly)
Datos que no cambian por error una vez creados. PHP 8.1+ con prácticas modernas.
5,492 tests + SonarQube gates
Verificación automática continua. CI/CD con calidad controlada.
Eventos de dominio
Comunicación desacoplada entre módulos. Base para event sourcing y escalado futuro.
Value Objects
Conceptos de negocio tipados (Email, Phone, CompanyId). Previenen errores de datos en origen.
Qué preguntará el auditor Serie C
Basado en los frameworks de evaluación publicados por AKF Partners (200+ auditorías), Black Duck (1,700+ auditorías M&A) y el Software Improvement Group [1][3][5].
Vulnerabilidades de seguridad
"¿Han tenido un incidente de seguridad? ¿Tienen registro de accesos? ¿Qué protocolo de remediación siguen? ¿Con qué cadencia hacen pentesting?"
Observabilidad y SLAs
"Si algo falla, ¿cómo se enteran? ¿Cuál es el uptime real verificable? ¿Pueden garantizar SLAs a clientes enterprise T1/T2?"
Escalabilidad
"¿Qué pasa al duplicar la base de clientes? ¿El sistema aguanta? ¿Dónde está el cuello de botella? ¿Hay capacity planning?"
Dependencia de personas
"Si se van 2 ingenieros senior, ¿cuánto tarda un nuevo en ser productivo? ¿Hay documentación? ¿Cuál es el bus factor?" [8]
Deuda técnica gestionada
"¿Qué % del tiempo de ingeniería se dedica a deuda técnica? ¿Hay un tech debt register? ¿Se está reduciendo o acumulando?" El estándar es 12-25% [1].
Licencias open-source
"¿Han hecho análisis SCA? ¿Hay componentes con licencia copyleft (GPL/AGPL) en código propietario?" El 86% de auditorías M&A encuentran conflictos [3].
Cada hallazgo no resuelto da al inversor capacidad para negociar la valoración a la baja, o imponer condiciones como hitos de deuda técnica vinculados al desembolso. La remediación previa se estima en 4-6 semanas con 1 senior dedicado.
Fuentes citadas en este resumen
- [1] AKF Partners — Technology Due Diligence Checklist. akfpartners.com
- [2] Blue Hat Associates — Technology Due Diligence for SaaS Investments. thinkbluehat.com
- [3] Black Duck (Synopsys) — OSSRA (Open Source Security and Risk Analysis). blackduck.com
- [4] CohnReznick — Strategic Imperative of Software Due Diligence in Tech Investments. cohnreznick.com
- [5] Software Improvement Group (SIG) — How Code Quality Impacts Software Valuation. softwareimprovementgroup.com
- [6] DORA — Software Delivery Performance Metrics. dora.dev
- [7] madewithlove — Technical Due Diligence for SaaS Startups and VCs. madewithlove.com
- [8] AKF Partners — Technical Due Diligence: Did We Get It Right. akfpartners.com
Radiografía
| Métrica | Valor | Contexto |
|---|---|---|
| Archivos PHP | 36,965 | Monolito estructurado con DDD |
| Líneas de código | ~2M | Sin blancos ni comentarios |
| Bounded contexts | 49 | Alta separación de dominios |
| Entidades Doctrine | 943 | XML mapping |
| declare(strict_types=1) | 52.2% | Objetivo: 100% |
| Clases final | 26.1% | 9,641 clases |
| Archivos de test | 5,492 | 14.9% del codebase |
| Handlers > 200 líneas | 216 / 4,749 | 4.5% necesitan split |
| @deprecated sin migrar | 659 | Código muerto activo |
| API pública | v3 (OpenAPI 3.0) | Spec validada en tests E2E |
4 fases, 18 acciones, 4-6 semanas
Cada fase tiene resultado medible. Ordenadas por prioridad de impacto en due diligence. Recursos: 1 senior developer dedicado + code review de segundo senior.
Nota sobre tiempos: El equipo de Sesame ha adoptado Claude Code (AI coding assistant) en su workflow diario. Los tiempos estimados ya incorporan esta aceleración (~2-3x en tareas de refactoring y migración mecánica). Sin esta herramienta, los tiempos se multiplicarían proporcionalmente.
Comparativa competitiva estimada
Estimaciones basadas en estándares del sector para scaleups B2B SaaS en rango Serie B-C. Las notas de competidores son aproximaciones basadas en información pública de stacks y prácticas.
Stacks verificados vía job postings, StackShare y blogs de ingeniería. Notas de calidad son estimaciones basadas en prácticas públicas.
| Aspecto | Sesame (actual) | Sesame (post-fix) | Factorial | Personio | HiBob | BambooHR | Deel |
|---|---|---|---|---|---|---|---|
| Stack | PHP/Symfony DDD | PHP/Symfony DDD | Ruby on Rails | Kotlin/Spring (ex-PHP) | Kotlin/Scala | PHP, Java | Node.js/TS |
| Arquitectura | A | A | B+ | A | A- | B | A |
| Seguridad | C | A- | B+ | A- | B+ | B | A |
| Observabilidad | D | B+ | B | B+ | B+ | B | A |
| Escalabilidad | C+ | B+ | B | A- | B+ | C+ | A |
| Documentación | D | B+ | C+ | B+ | B | C+ | B |
| Nota global | B- | B+/A- | B | B+ | B+ | B | A- |
| Financiación | Serie B+, camino a C | $300M · $1B val. | $772M · $8.5B val. | $574M · $2.7B val. | No pública | $982M · $17.3B val. | |
| Empleados (est.) | ~370 | ~1,400-2,200 | ~2,020 | ~1,000-2,000 | ~1,600 | ~5,000-8,700 | |
| Eng Blog | No | No | Sí (Medium) | Sí (Medium) | No | No | |
Nota: Personio migró de PHP a Kotlin/Spring Boot (microservicios). BambooHR usa PHP+Java. Factorial usa Ruby on Rails. Dato relevante: Sesame comparte stack con Personio (origen PHP con DDD) y BambooHR. Fuentes: Crunchbase, job postings, StackShare, blogs de ingeniería.
Inversión vs. Retorno
La remediación previa protege la valoración objetivo. Sin ella, los hallazgos de seguridad dan al auditor palanca para renegociar condiciones.
Coste de no actuar
Negociación a la baja
Cada hallazgo crítico da palanca al inversor. Dextralabs/Flippa documentan ajustes de 15-25% en valoración por hallazgos de DD técnica [4].
Hitos condicionados
El inversor puede condicionar tramos de desembolso a remediación de hallazgos técnicos. Más lento, más caro, con presión.
Auditoría más larga
Sin documentación preparada, la auditoría tarda 4 semanas en vez de 2. Doble coste y más fricción en el proceso.
Percepción de inmadurez
Según AKF Partners, si el equipo no tiene documentada su deuda técnica, el auditor tiende a asumir que hay más debajo [8]. La deuda documentada invierte esa percepción.
La arquitectura está construida. Los fundamentos están en su sitio.
Los hallazgos pendientes son de limpieza operativa, observabilidad y documentación. Estimación: 4-6 semanas, 1 senior dedicado.
Fuentes y referencias
- [1] AKF Partners — Technology Due Diligence Checklist (200+ auditorías realizadas). akfpartners.com
- [2] Blue Hat Associates — Technology Due Diligence for SaaS Investments. thinkbluehat.com
- [3] Black Duck (Synopsys) — Open Source Security and Risk Analysis. 1,700+ auditorías M&A. blackduck.com
- [4] CohnReznick — Strategic Imperative of Software Due Diligence in Tech Investments. cohnreznick.com
- [5] Software Improvement Group (SIG) — How Code Quality Impacts Software Valuation. softwareimprovementgroup.com
- [6] DORA (Google) — Software Delivery Performance Metrics. dora.dev
- [7] madewithlove — Technical Due Diligence for SaaS Startups and VCs. madewithlove.com
- [8] AKF Partners — Technical Due Diligence: Did We Get It Right. akfpartners.com
- [9] FE International — SaaS Due Diligence: How to Evaluate a SaaS Business. feinternational.com
- [10] Beyond M&A — What Investors Miss in Tech Due Diligence. beyond-ma.com
Resumen para el financiero e inversores
Esta vista sintetiza el impacto financiero de los hallazgos técnicos y posiciona a Sesame frente al mercado. Datos verificados con fuentes públicas.
Sesame vs. competidores: contexto financiero
| Empresa | Financiación total | Valoración | Empleados | Stack | Nota técnica (est.) |
|---|---|---|---|---|---|
| Sesame HR | Serie B+ (camino a C) | — | ~370 | PHP/Symfony DDD, CQRS | B- → B+/A- |
| Factorial | $300M (7 rondas) | $1B (2022) | ~1,400-2,200 | Ruby on Rails + React | B |
| Personio | $772M (8 rondas) | $8.5B (2022) | ~2,020 | Kotlin/Spring Boot (ex-PHP) | B+ |
| HiBob | $574M | $2.7B (2023) | ~1,000-2,000 | Kotlin, Scala, Java | B+ |
| BambooHR | No pública | No pública | ~1,600 | PHP, Java + AngularJS | B |
| Deel | $982M | $17.3B (2025) | ~5,000-8,700 | Node.js + TypeScript | A- |
Fuentes: Crunchbase, TechCrunch, PitchBook, job postings, StackShare. Notas técnicas estimadas basadas en stacks y prácticas publicadas.
Lo que dice la industria sobre deuda técnica y valoración
por hallazgos en DD técnica
puede ser deuda técnica
madurez digital como top 3
operaciones digitales maduras
Fuentes: Dextralabs/Flippa (15-25% ajuste), PwC UK (20-40% tech debt), Dextralabs (75% inversores evalúan madurez digital, 25% mayor rentabilidad).
Narrativa para el inversor
El codebase presenta una arquitectura DDD con 49 bounded contexts y CQRS — patrones que competidores con 4x más recursos también adoptaron. La remediación de hallazgos (4-6 semanas, 1 senior) proyecta la nota técnica de B- a B+/A-, comparable a Factorial/Personio.
Argumentos a favor
Arquitectura enterprise-grade con una fracción del equipo de competidores. DDD + CQRS = preparado para scale.
Eficiencia de capital: resultados técnicos comparables con ~10x menos financiación que Personio y ~3x menos que Factorial.
Remediación rápida y cuantificada: plan de 18 acciones con tiempos verificables. El equipo usa Claude Code (AI) para acelerar ~2-3x.
Deuda conocida y gestionada: hallazgos identificados, cuantificados y con plan de remediación documentado.
Riesgos a mitigar antes de la ronda
Seguridad: 4 SQL injection + passwords en texto plano. Deal-breaker hasta que se remedie (estimado: 1-2 semanas).
Observabilidad: 93.5% errores sin logging. Imposible garantizar SLAs enterprise sin ello (estimado: 1 semana).
Documentación: inexistente para auditor externo. Ralentiza y encarece la DD (estimado: 1 semana).
God classes: 3 archivos de 3,000-8,700 líneas. No es quick win pero debe estar en el tech debt register.
Coste de actuar vs. no actuar
| Escenario | Coste | Impacto en valoración | Riesgo |
|---|---|---|---|
| Remediar ANTES de la ronda | 4-6 semanas · 1 senior | Protege la valoración objetivo. Auditor encuentra codebase limpio y documentado. | Bajo |
| Remediar DURANTE la ronda | Mismas semanas + presión de timeline | Auditor ya ha visto los hallazgos. Puede negociar hitos condicionados a remediación. | Medio |
| No remediar | $0 upfront | Ajuste de 15-25% en valoración. Posibles cláusulas de earn-out vinculadas a remediación técnica. | Alto |
Referencia: Dextralabs y Flippa documentan ajustes de 15-25% en valoración por hallazgos de DD técnica. PwC UK identifica que la deuda técnica puede representar 20-40% del valor de un tech estate.
Eficiencia de capital: Sesame vs. mercado
(Factorial, Personio, HiBob)
(más resultado por empleado)
Con ~5x menos empleados, el equipo ha construido una arquitectura (DDD, CQRS, 49 bounded contexts) técnicamente comparable a la de competidores que han levantado $300M-$772M. La ratio de resultado por recurso es un dato relevante para la evaluación de eficiencia de capital.
El caso Personio: de PHP a $8.5B
Personio comenzó con PHP (como Sesame) y migró a Kotlin/Spring Boot en microservicios. Su Serie E valorada en $8.5B indica que el stack de origen no fue determinante — la arquitectura y la capacidad de evolución pesaron más.
Personio hizo
Migrar de PHP monolito a Kotlin microservicios. Coste: años de ingeniería y 2,000+ empleados.
Sesame ya tiene
PHP moderno con DDD y 49 bounded contexts. La arquitectura ya está modularizada — una migración futura (si se necesita) sería context por context, no big-bang.
Fuentes financieras y de mercado
- Factorial — $120M Serie C (Oct 2022, $1B valuation). TechCrunch. $120M debt financing (Mar 2025). Crunchbase.
- Personio — $772M total, $8.5B valuation (Jun 2022). Personio press release. 115 layoffs (Jan 2025). Wikipedia.
- HiBob — $574M total, $2.7B valuation (Sep 2023). Calcalist, Crunchbase.
- BambooHR — $274M ARR (2024), 26,000 customers. Latka. StackShare para tech stack.
- Deel — $982M total, $17.3B valuation (Oct 2025). BusinessWire, UNLEASH.
- PwC UK — Demystifying Technical Debt for Deals (20-40% valor). pwc.co.uk
- Dextralabs/Flippa — DD adjustments 15-25%. dextralabs.com
Roadmap hacia la excelencia técnica (A+)
El análisis de las secciones anteriores sitúa a Sesame en un rango B+ / A−: arquitectura DDD con 49 bounded contexts, CQRS implementado, tipado estricto, sin hallazgos bloqueantes. Esta sección detalla qué haría falta para alcanzar un A+ — el punto en que la organización de ingeniería deja de ser «sólida» y pasa a ser un moat estratégico en sí misma. Cada iniciativa incluye esfuerzo estimado y fuentes verificables.
B+/A− vs A+: qué buscan los auditores
B+/A− significa «sin red flags, arquitectura sólida, equipo competente». A+ significa que la organización de ingeniería es en sí misma un activo estratégico — los sistemas, la cultura y la gobernanza permiten escalar de forma predecible y medible.
| Aspecto | B+/A− (actual) | A+ (objetivo) |
|---|---|---|
| Deuda técnica | Conocida y documentada | Cuantificada con burn-down rate, 15-20% de sprint asignado |
| Distribución de conocimiento | Documentación parcial, pairing puntual | Bus factor ≥3 en cada sistema crítico, runbooks por servicio |
| Decisiones de arquitectura | Tomadas y registradas informalmente | Repositorio de ADR, buscable, referenciado en PRs |
| Dependencias | Rastreadas manualmente | Pipeline automatizado de upgrades, SLA por dependencia, fallbacks documentados |
| DORA metrics | No instrumentadas | Elite: múltiples deploys/día, lead time <1h, MTTR <1h |
Iniciativas imprescindibles para A+
Alto impacto, esfuerzo contenido. Estas 6 iniciativas son lo primero que un auditor busca y lo que más rápido mueve la nota.
DORA Metrics + Dashboard
2-4 semanas
Instrumentar las 4 métricas DORA desde el CI/CD existente. Dashboard visible para toda la org. Los performers elite son 2x más propensos a exceder objetivos de rentabilidad (Google Cloud Research).
Fuente: dora.dev
Context Mapping (49 bounded contexts)
2-4 semanas
Mapa visual de los 49 bounded contexts, sus relaciones (upstream/downstream, conformist, anti-corruption layer, shared kernel) y patrones de integración. Quick win que demuestra intencionalidad arquitectónica.
SLI/SLO + Error Budgets
2-3 meses
Definir indicadores y objetivos de nivel de servicio para cada servicio orientado a cliente. Implementar política de error budgets: cuando se agota el presupuesto, feature work se detiene y se prioriza fiabilidad. Solo el 39% de las organizaciones usan SLOs para priorizar el trabajo de ingeniería.
SOC 2 Type II (iniciar)
9-12 meses total
Iniciar el proceso de certificación. Timeline: 9-12 meses (implementación + periodo de observación). Solo el 32% completa en menos de 9 meses. Coste estimado: 30K-75K€ (auditoría) + 50-75K€ (preparación). Prácticamente obligatorio para Serie C en B2B SaaS.
Fuente: Sprinto
ADR Repository + Tech Debt Quantification
2-3 meses
Repositorio de decisiones arquitectónicas buscable y versionado. Sistema de cuantificación de deuda técnica con burn-down rate y capacidad asignada. Fundamento para todo lo demás.
Mutation Testing en CI
2-4 semanas
Integrar Infection PHP o Pest v3 en el pipeline. El Mutation Score Indicator (MSI) valida la calidad real de los tests, no solo cobertura. Target: >80% en dominios críticos. SymfonyOnline June 2025 dedicó sesión específica al tema.
Fuente: infection.github.io, pestphp.com
Consolidación: de competente a excepcional
Platform Engineering + Golden Paths
4-6 meses
Equipo dedicado de plataforma. Self-service: make new-service → repo + CI/CD + monitoring + DB + staging en <10 min. Portal interno tipo Backstage. El modelo de madurez CNCF define 4 niveles; objetivo: Level 3 (Scalable).
Contract Testing (Pact)
2-3 meses
Pact PHP v10 (FFI bindings, HTTP + async messaging). Los contract tests reemplazan tests E2E costosos para comunicación entre los 49 bounded contexts. Demuestra que la arquitectura escala.
Fuente: pact-foundation/pact-php
Distributed Tracing (OpenTelemetry)
3-4 meses
Cada request trazable a través de los 49 bounded contexts con correlation IDs. Modelo de madurez AWS Observability: Stage 3-4 = correlación de señales, anomaly detection, alertas pre-incidente.
Fuente: AWS Observability Maturity Model
Security Pipeline Completo
2-3 meses
SAST + DAST + SCA + SBOM generation, todo bloqueando pipeline en findings críticos. CISA actualizó requisitos mínimos de SBOM en 2025. Security champions program: 1 persona security-minded por squad.
Fuente: CISA SBOM 2025
Developer Satisfaction Program
2-4 semanas
Encuestas trimestrales ligeras (5-10 min, patrón GitHub DevSat). Medir cognitive load, tiempo en «toil» vs trabajo creativo, fricción del entorno. El framework DX Core 4 une DORA + SPACE + DevEx en 4 dimensiones medibles.
Fuente: getdx.com, GitHub DevSat
Excelencia: moat técnico defendible
Event Sourcing en dominios críticos
6-12 meses
No los 49 bounded contexts, sino los de alto valor: billing, ciclo de vida de suscripción, dominios con requisito de auditoría. Event store con replay. Ecosistema PHP: prooph/event-store o Ecotone.
Chaos Engineering
2-3 meses
Empezar con game days manuales, progresar a chaos automatizado en staging. Documentar resultados. La existencia de experimentos de chaos documentados demuestra madurez operacional más allá de «tenemos monitoring».
Bug Bounty Program
6-8 sem setup
Plataforma (HackerOne/Bugcrowd): 15-50K€/año + payouts. Señal para inversores: «confiamos lo suficiente en nuestra seguridad para invitar testing adversarial». Requiere fundación de seguridad sólida (Tier 1-2 primero).
Data Mesh + ML-Ready Infra
9-15 meses
Equipos de dominio como dueños de sus data products (alineado con los 49 bounded contexts / DDD). Self-serve data infra, data contracts, data quality SLOs. Feature store para ML. Prerequisito: context mapping + event catalog.
Referencias verificables
- AKF Partners — Technical Due Diligence Checklists. akfpartners.com
- Madewithlove — 12 Learnings from 140+ Audits. madewithlove.com
- CNCF — Platform Engineering Maturity Model. cncf.io
- AWS — Observability Maturity Model. aws-observability.github.io
- DORA — Official Metrics Guide. dora.dev
- DX — Developer Experience Guide. getdx.com
- Infection PHP. infection.github.io
- Pact PHP. pact-foundation/pact-php
- CISA — SBOM Minimum Elements 2025. cisa.gov
- Sprinto — SOC 2 for SaaS. sprinto.com
- Grafana — State of Observability 2025. grafana.com
La plataforma como activo estratégico
Sesame v3 expone toda la plataforma HR vía MCP. Los clientes pueden conectar cualquier agente IA (Claude, GPT, Gemini, custom) a sus datos HR y construir experiencias propias. A febrero de 2026, ninguna plataforma HR competidora ofrece esta capacidad.
IA y valoración SaaS: los números
| Dato | Valor | Fuente |
|---|---|---|
| AI-enabled SaaS vs tradicional | 2-3x mayores múltiplos | Eqvista |
| Late-stage AI revenue multiples | ~25.8x mediana (vs ~6.1x SaaS público) | Aventis Advisors |
| Share de VC en AI | 64% (vs 56% en Q3 2024) | SaaStock Q3 2025 |
| Serie C deal size | +30% YoY | Carta Q3 2025 |
| Platform companies vs standalone | 2-3x valoración | JetSoftPro |
| Retención con integraciones activas | +10pp anual | APIFuse |
El protocolo que está conectando enterprise SaaS con IA
| Hito | Fecha | Detalle |
|---|---|---|
| Lanzamiento (Anthropic) | Nov 2024 | Protocolo abierto para conectar agentes IA a datos y herramientas |
| OpenAI adopta MCP | Mar 2025 | Agents SDK, Responses API, ChatGPT desktop |
| Google DeepMind | Abr 2025 | Soporte MCP para Gemini |
| Microsoft/GitHub | May 2025 | Steering committee en Build 2025 |
| 16,000+ servers | Nov 2025 | Spec v2: async, statelessness, registry |
| Linux Foundation | Dic 2025 | Anthropic dona MCP a la Agentic AI Foundation |
| Google managed servers | Dic 2025 | Drive, Calendar, Cloud como MCP servers |
Quién ya expone MCP en enterprise
| Empresa | Implementación |
|---|---|
| HubSpot | Primer CRM con MCP server en producción; deep research connector para ChatGPT |
| Salesforce | MCP vía Agentforce; hosted servers para APIs específicas |
| Gong | MCP Gateway (inbound) + MCP Server (outbound) para revenue intelligence |
| Managed MCP servers: Drive, Calendar, Cloud | |
| HR SaaS | Ninguna plataforma HR ha anunciado soporte MCP (feb 2026) |
Fuentes: Anthropic, Pento, HubSpot, Salesforce, Gong, TechCrunch
Posición de cada competidor en IA
| Competidor | Estrategia IA (2025-26) | Madurez | MCP |
|---|---|---|---|
| Deel $17.3B val. |
«AI Workforce»: 7 agentes especializados + custom agent builder + performance tracking | Muy alta | No |
| Personio ~$8.5B val. |
AI Assistant (empleados + HR). People analytics en tiempo real. Performance summaries. | Alta | No |
| HiBob $2.7B val. |
Payslip co-pilot. FP&A AI. Predictive analytics 150+ métricas. Integración OpenAI. | Alta | No |
| Factorial $1B val. |
«Factorial One» agent. AI Meetings. Auto-scheduling. Payroll automation. | Media | No |
| BambooHR | «Ask BambooHR» NL queries. Theme detection. Onboarding auto. | Media | No |
| Sesame v3 | Plataforma completa vía MCP. Los clientes construyen sobre datos HR con sus propios agentes. No features IA aisladas: la plataforma es la API. | Plataforma | Sí ✓ |
Fuentes: Deel, Personio, HiBob, Factorial
Deel es el más agresivo en features IA propietarias. Pero todos los competidores siguen el mismo patrón: construir features IA cerradas sobre sus datos. Sesame v3 se diferencia en la capa de infraestructura: no ofrece un chatbot; ofrece el backend completo para que cualquier agente IA opere sobre datos HR.
De herramienta HR a infraestructura de datos
Cuando los agentes IA de un cliente dependen de Sesame como capa de datos HR — consultas de nómina, workflows de vacaciones, analytics de equipo — el coste de cambio pasa de «migrar datos» a «reescribir integraciones de agentes». Es el mismo efecto que hace que Stripe o Twilio sean difíciles de reemplazar una vez integrados.
Tres escenarios de posicionamiento ante inversores
Cada escenario acumula lo anterior. El escenario 1 refleja la posición actual; el 2 ejecuta el plan de remediación base (18 acciones, 4-6 semanas); el 3 completa el roadmap A+ incluyendo certificaciones y plataforma interna (+12 meses).
Escenario 1: Posición actual
HOY — Sesame v3 + MCP
Sesame ya tiene v3 con MCP. Ningún competidor HR lo ofrece. La arquitectura DDD con 49 bounded contexts soporta el modelo. Nota técnica actual: B− (pre-remediación).
Narrativa inversores
First-mover en HR + MCP. Plataforma abierta frente a competidores cerrados. Arquitectura DDD que permite escalar equipos. Data propietario multi-país para alimentar agentes. Posición junto a HubSpot, Salesforce, Gong en la liga de plataformas AI-accessible.
Riesgo: bajo. El activo ya existe.
Escenario 2: Remediación base ejecutada
+4-6 SEMANAS — Plan de Acción (18 acciones, 1 senior)
Todo lo anterior más las 18 acciones del plan de remediación: 4 SQL injection corregidos, passwords hasheados, catch con logging (>50%), queries paginadas, top 10 N+1 resueltos, ADRs documentados, tech debt register.
Narrativa inversores
Todo lo del Escenario 1, más: 0 hallazgos de seguridad críticos, observabilidad operativa, documentación preparada para auditor, deuda técnica conocida y cuantificada con plan de remediación. La DD pasa limpia: nota B+/A− sin hallazgos bloqueantes.
Esfuerzo: 4-6 semanas, 1 senior dedicado. Sin contrataciones extra.
Escenario 3: Excelencia técnica A+ + plataforma
+12 MESES MÍNIMO — Roadmap A+ completo (Tier 1 + 2 + 3)
Todo lo del Escenario 2, más el roadmap A+ completo: DORA metrics con dashboard, context mapping de los 49 bounded contexts, SLI/SLO + error budgets, mutation testing en CI, SOC 2 Type II obtenido (9-12 meses de proceso), platform engineering con self-service, contract testing, distributed tracing con OpenTelemetry, event sourcing en dominios críticos.
Narrativa inversores
Plataforma HR con MCP (única en el vertical) + organización de ingeniería A+ verificable: métricas DORA elite, SOC 2 certificado, gobernanza arquitectónica, developer experience medida. El moat es doble: los clientes dependen de la plataforma como infraestructura IA (coste de cambio = reescribir integraciones de agentes), y la calidad de ingeniería hace predecible la ejecución del roadmap. Posición para negociar múltiplos de plataforma AI, no de vertical HR.
Esfuerzo: +12 meses (certificaciones tipo SOC 2 requieren 9-12 meses). Resultado: A+ en DD + premium de plataforma AI-native.
Referencias verificables
- Carta — SaaS Industry Spotlight Q3 2025. carta.com
- Eqvista — AI vs SaaS Valuation Multiples. eqvista.com
- Aventis Advisors — AI Valuation Multiples 2025. aventis-advisors.com
- SaaStock — Q3 2025 Funding Recap. saastock.com
- Anthropic — Introducing MCP. anthropic.com
- Pento — A Year of MCP. pento.ai
- HubSpot MCP Server. developers.hubspot.com
- Salesforce MCP. developer.salesforce.com
- Gong MCP. gong.io
- TechCrunch — Google MCP Servers. techcrunch.com
- Deel AI Workforce. deel.com
- Personio HUG 2025. personio.com
- HiBob + OpenAI. hibob.com
- Factorial AI. factorialhr.com
- High Alpha — NRR 2025. highalpha.com
- APIFuse — Retention with Integrations. apifuse.io
- JetSoftPro — Platform Thinking. jetsoftpro.com
- RSM US — AI DD in PE. rsmus.com