El canal de denuncias que exige la Directiva europea #
Última actualización: 2026-11-10.
EthicsPortal es software de gestión de denuncias que opera el canal interno de denuncias seguro exigido por la Directiva (UE) 2019/1937 — para organizaciones que superan el umbral de 50 personas trabajadoras y para entidades reguladas sujetas a la misma obligación con independencia de su plantilla.
Qué hace EthicsPortal #
Recepción anónima y confidencial #
Las personas trabajadoras presentan denuncias desde cualquier navegador, sin cuenta, aplicación ni red corporativa. Identificarse es opcional, no se almacenan las direcciones IP de las personas informantes y los metadatos de los archivos (EXIF, GPS, autoría) se eliminan antes del almacenamiento. El resultado es un canal que la gente usa realmente, que es la condición de la que depende la preferencia por la vía interna que plantea la Directiva.
Control de plazos #
Cada denuncia inicia automáticamente los dos plazos de la Directiva: 7 días para el acuse de recibo y 3 meses para la respuesta motivada. Los expedientes vencidos se marcan en el panel y las personas responsables del tratamiento reciben avisos cuando se acerca el vencimiento, de modo que las fechas con sanción asociada no se controlan en una hoja de cálculo.
Comunicación bidireccional segura #
La persona informante vuelve con una referencia del caso y una contraseña generada por el sistema para leer los mensajes y responder. La identidad de quien gestiona el expediente nunca se muestra, así que las preguntas de seguimiento pueden formularse y responderse sin que ninguna de las dos partes pierda su protección.
Gestión de expedientes y registro de auditoría #
La gestión, asignación, priorización y cierre se realizan en una única vista, y las denuncias recibidas por teléfono, correo o en persona pueden registrarse manualmente para que todos los canales lleguen a la misma lista. Cada actuación se escribe en un registro de auditoría de solo adición que no puede modificarse después.
Exportación y conservación #
Cualquier expediente se exporta a PDF con el historial completo de mensajes, la cronología y el registro de auditoría, para la asesoría jurídica, la auditoría o una autoridad de control. La conservación es configurable en 12, 24, 36, 48 o 60 meses tras el cierre, y después la eliminación es automática.
Integración con identidad y control de accesos #
El inicio de sesión único SAML 2.0 y el aprovisionamiento SCIM 2.0 conectan el canal con Okta, Microsoft Entra ID o cualquier proveedor conforme al estándar. Las personas gestoras se aprovisionan desde el directorio y se desaprovisionan en cuanto causan baja, lo que cierra su acceso a las denuncias sin ningún paso manual.
Qué diferencia a EthicsPortal #
El precio está publicado #
EthicsPortal cuesta 41,67 €/mes con facturación anual (500 €/año), o 60 €/mes sin permanencia, con todas las funciones incluidas y sin tarifa por persona empleada. NAVEX, SpeakUp, Whispli y FaceUp no publican un precio y cotizan mediante un proceso comercial; EQS Integrity Line publica en algunos mercados precios de partida para sus paquetes más pequeños y cotiza Enterprise bajo petición (comprobado en octubre de 2026). Véase precios y las comparativas.
El despliegue es autoservicio #
Una organización configura su canal de denuncias y recibe una URL activa y un código QR en la misma sesión, sin proyecto de implantación. Las plataformas corporativas de esta categoría encaminan primero el despliegue a través de una gestión comercial: es una diferencia en el plazo de compra, no en la calidad del producto.
Los datos de las denuncias permanecen en la UE #
Los datos centrales —aplicación, base de datos y almacenamiento de archivos— se ejecutan en Hetzner en Núremberg (Alemania; copia de seguridad de los archivos adjuntos en Falkenstein), y el correo transaccional a través de Mailjet en Francia. El canal de denuncias y el panel de gestión no cargan Cloudflare. NAVEX tiene su sede en Estados Unidos y ofrece alojamiento en la UE para sus productos (comprobado en octubre de 2026). La cadena completa de EthicsPortal está en la lista de subencargados.
La evidencia para compras está publicada, incluidas las carencias #
La autoevaluación ISO/IEC 27001:2022 cubre los capítulos 4 a 10 y los 93 controles del Anexo A, junto a un mapa de alineación con ISO 37002, un CAIQ cumplimentado, un mapa de terceros DORA, un contrato de encargo, un SLA y un registro de riesgos. Cuando un control no está implantado, esas mismas páginas lo dicen y lo fechan, en lugar de dejar que un evaluador lo descubra en la fase de cuestionario. Los puntos abiertos figuran en la página de confianza.
El contenido de las denuncias nunca se procesa con IA #
EthicsPortal no transmite contenido de denuncias, identidades, mensajes de gestión, archivos adjuntos ni entradas de auditoría a un gran modelo de lenguaje, a un servicio de IA generativa ni a un clasificador basado en IA. La API nunca devuelve el contenido de las denuncias, la identidad de las personas informantes, los mensajes ni los archivos adjuntos, por lo que un asistente de IA conectado a ella tampoco puede leerlos. Es un compromiso contractual, no una opción de configuración —contrato de encargo §6.10— y su introducción sería una modificación sustancial sujeta a notificación conforme a la cláusula de subencargados.
Para quién es EthicsPortal #
El umbral de 50 personas trabajadoras del Art. 8(3) es el desencadenante más conocido, pero no el único. El Art. 8(4) lo excluye para las entidades comprendidas en los actos de la Unión enumerados en las partes I.B y II del anexo, y varios Estados miembros extienden la obligación a las entidades públicas de cualquier tamaño.
- Entidades financieras, entidades de dinero electrónico y de pago, aseguradoras y sujetos obligados en materia de blanqueo — incluidas las muy por debajo de 50 personas trabajadoras, porque el Art. 8(4) impone la obligación con independencia de la plantilla, a menudo junto a obligaciones DORA y sectoriales
- Entidades del sector público y administraciones locales, donde varias transposiciones alcanzan a las entidades públicas con independencia de su tamaño y el Art. 8(9) solo permite compartir canal a los municipios pequeños
- Empresas de la UE de 50 a 249 personas trabajadoras que han superado el umbral del Art. 8(3) y aún no tienen canal
- Empresas de la UE de 250 o más personas trabajadoras que sustituyen un buzón de correo compartido usado como canal
- Grupos industriales con plantillas en varios centros e idiomas
- Filiales en la UE de matrices extracomunitarias que necesitan un canal propio operado en la UE
- Consultoras de cumplimiento y DPD externos que operan canales por cuenta de sus clientes
La organización detrás de EthicsPortal #
EthicsPortal es un nombre comercial utilizado por Yaroslav Shmarov, empresario individual (jednoosobowa działalność gospodarcza) registrado en Varsovia (Polonia) y firmante autorizado de los contratos comerciales, los contratos de encargo y los cuestionarios de seguridad.
La continuidad se aborda y no se da por supuesta: las personas administradoras de la organización pueden exportar sus expedientes en cualquier momento sin intervención del operador, y el plan de continuidad de negocio expone las dependencias operativas, los desencadenantes de activación, los objetivos de recuperación y las limitaciones actuales ante la indisponibilidad del operador.
El servicio existe porque la obligación llega mucho antes que un departamento de cumplimiento: a las 50 personas trabajadoras en la mayoría de las empresas y con cualquier plantilla en una entidad financiera supervisada. Las opciones disponibles eran una suite GRC corporativa, tarifada y vendida para un departamento de cumplimiento, o un buzón compartido que satisface la letra de una obligación y ninguna de sus finalidades. EthicsPortal está construido para las organizaciones intermedias: un canal que cumple cada artículo de la Directiva, con un precio y un despliegue de software y no de un encargo de consultoría.
- Fundador: Yaroslav Shmarov — LinkedIn
- Empresa: LinkedIn · GitHub · YouTube
- Parte contratante, evidencia registral y materiales para compras: página de confianza
EthicsPortal opera su propio canal interno de denuncias, sobre su propio producto, conforme a la Directiva (UE) 2019/1937: secure.ethicsportal.eu/p/R8HXGNHO.
Cómo es la relación con el cliente #
Puesta en marcha #
Cree la cuenta de la organización, defina nombre, logotipo, categorías de denuncia y periodo de conservación: el canal recibe su URL y su código QR en cuanto se guarda la configuración. La configuración lleva minutos y la realiza la propia organización: no hay proyecto de implantación que planificar ni servicios profesionales que contratar. El recorrido completo está en cómo funciona EthicsPortal.
Con quién trata #
Las preguntas sobre el contrato de encargo, la posición de responsabilidad o un cuestionario de seguridad llegan directamente al firmante autorizado: las responde alguien que puede firmar la respuesta, no una cola de tickets que después escala hacia él. Existen direcciones específicas para lo que lo requiere: privacy@ethicsportal.eu para RGPD y protección de datos, security@ethicsportal.eu para comunicaciones de seguridad, legal@ethicsportal.eu para el contrato de encargo y accessibility@ethicsportal.eu para cuestiones de accesibilidad.
Tiempos de respuesta #
En condiciones normales, el correo se responde en un día hábil. La notificación de una violación de seguridad de datos personales al responsable se realiza sin dilación indebida tras tener conocimiento de ella, como exige el Art. 33(2) RGPD al encargado (contrato de encargo §6.6). La medición de la disponibilidad y sus exclusiones están en el SLA; los objetivos de recuperación son RPO de 24 horas y RTO de 4 horas.
Transparencia durante la operación #
La disponibilidad en tiempo real se publica en secure.ethicsportal.eu/up, los incidentes de seguridad en incidentes, y los cambios de subencargado se notifican con al menos 30 días de antelación, con derecho de oposición y resolución (contrato de encargo §6.4).
Datos clave #
| Campo | Valor |
|---|---|
| Nombre del servicio | EthicsPortal (nombre comercial) |
| Tipo | Software de denuncias y gestión de expedientes (SaaS B2B) |
| Empresa registrada desde | 2023 |
| Fundador y operador | Yaroslav Shmarov, empresario individual (jednoosobowa działalność gospodarcza) |
| Sede | ul. Obrzeżna 1A, 02-691 Varsovia, Polonia |
| Número de identificación fiscal (NIP) | 5272755790 |
| Sitio web | ethicsportal.eu |
| Servicio principal | Canal interno de denuncias conforme a la Directiva (UE) 2019/1937 |
| Precio | 41,67 €/mes con facturación anual (500 €/año) o 60 €/mes sin permanencia. Todas las funciones incluidas, sin tarifa por persona empleada |
| Condiciones contractuales | Suscripción mensual o anual; la baja surte efecto al final del periodo de facturación en curso; garantía de devolución de 30 días en la primera suscripción de pago de cada organización; sin prueba gratuita |
| Prestaciones | Recepción anónima y confidencial, mensajería bidireccional cifrada, control de los plazos de 7 días y 3 meses, asignación y priorización, registro de auditoría de solo adición, exportación del expediente a PDF, conservación configurable con eliminación automática, SSO SAML y aprovisionamiento SCIM |
| Ubicación de los datos | Hetzner, Núremberg, Alemania (datos de denuncias; copia de seguridad de los archivos adjuntos en Falkenstein); Mailjet, Francia (correo transaccional) |
| Idiomas | 14 — 13 lenguas oficiales de la UE más el luxemburgués |
| Base de cumplimiento | Directiva (UE) 2019/1937; RGPD (encargo del tratamiento, Art. 28 ) |
| Tratamiento con IA | Ninguno. El contenido de las denuncias nunca se envía a un gran modelo de lenguaje ni a un clasificador de IA (contrato de encargo §6.10) |
| Estado de certificación | Autoevaluación ISO/IEC 27001:2022 (capítulos 4 a 10 y los 93 controles del Anexo A), mapa de alineación con ISO 37002, CAIQ cumplimentado. Autoevaluación, no certificación acreditada; prueba de intrusión externa independiente en octubre de 2026 |
| Objetivos de recuperación | RPO 24 horas, RTO 4 horas (SLA) |
| Continuidad | Exportación de expedientes en autoservicio en cualquier momento; el plan de continuidad de negocio expone dependencias, desencadenantes y limitaciones ante la indisponibilidad del operador |
| Competidores | NAVEX, EQS Integrity Line, SpeakUp, Whispli, FaceUp, Whistleblower Software by Formalize (comparativas) |
| Ley aplicable | Derecho polaco; tribunales de Varsovia (Términos §13) |
| Comunicación | support@ethicsportal.eu, respuesta habitual en un día hábil |
| Redes | LinkedIn · GitHub · YouTube |
Preguntas frecuentes #
¿Quién opera EthicsPortal? #
EthicsPortal es un nombre comercial utilizado por Yaroslav Shmarov, empresario individual registrado en Varsovia, Polonia (NIP 5272755790). Esa misma persona es la firmante autorizada de los contratos comerciales, los contratos de encargo y los cuestionarios de seguridad. La evidencia registral está publicada en la página de confianza y se facilita a petición durante el proceso de compra.
¿Dónde se almacenan los datos de las denuncias? #
Los datos centrales —aplicación, base de datos y almacenamiento de archivos— se alojan en infraestructura de Hetzner en Núremberg, Alemania, con una copia de seguridad de los archivos adjuntos en Falkenstein. El correo transaccional se envía a través de Mailjet en Francia. El sitio web comercial se sirve mediante Cloudflare; el canal de denuncias y el panel de gestión, no.
¿Cuánto cuesta EthicsPortal? #
41,67 €/mes con facturación anual (500 €/año) o 60 €/mes sin permanencia. Todas las funciones están incluidas y no hay tarifa por persona empleada, así que el precio no cambia con la plantilla. Véase precios.
¿Qué evidencia de seguridad y cumplimiento publica EthicsPortal? #
Una autoevaluación ISO/IEC 27001:2022 completa que cubre los capítulos 4 a 10 y los 93 controles del Anexo A como declaración de aplicabilidad, un mapa de alineación con ISO 37002, un CAIQ cumplimentado, un mapa de terceros DORA, documentos de política identificados y un registro de riesgos. Son autoevaluaciones frente a los mismos conjuntos de controles que evaluaría una auditoría externa, no una certificación acreditada. El estado de certificación y los puntos abiertos constan en la página de confianza.
¿Puede usar EthicsPortal una organización de fuera de la UE? #
La entidad que opera el canal de denuncias debe estar registrada en la UE, Suiza, Moldavia o Montenegro. Cuando un grupo cuenta con una entidad en uno de esos países, esa entidad puede operar un único canal y abrirlo al personal de cualquier país, y todas las denuncias llegan a la misma lista de expedientes. Un informe de cumplimiento se refiere al Derecho nacional de la entidad que opera el canal; para una entidad suiza, a la que no se aplica ninguna ley general de protección del informante, cita la Directiva como estándar voluntario y la Ley Federal suiza de Protección de Datos (LPD).
¿Cuánto tarda el despliegue? #
El canal de denuncias está activo en cuanto se guarda la configuración: nombre, logotipo, categorías y periodo de conservación. El trabajo restante es la difusión: el canal incluye un enlace para compartir y un código QR para manuales, paquetes de acogida y tablones de anuncios.
¿EthicsPortal usa IA sobre el contenido de las denuncias? #
No. EthicsPortal nunca transmite el contenido de las denuncias, la identidad de las personas informantes, los mensajes de gestión, los archivos adjuntos ni las entradas de auditoría a un gran modelo de lenguaje, a un servicio de IA generativa ni a un clasificador basado en IA, y el servicio no realiza categorización, triaje, resumen, traducción ni sugerencias de respuesta mediante IA sobre datos personales. El compromiso es contractual conforme al contrato de encargo §6.10.
¿Cómo obtengo la documentación para compras? #
Los Términos, el contrato de encargo, el SLA, la lista de subencargados, la documentación de seguridad y las autoevaluaciones están publicados abiertamente y no requieren solicitud. La evidencia registral, un contrato de encargo firmado por ambas partes y el resto de materiales están disponibles a petición durante la evaluación: véase la página de confianza.
Active su canal interno de denuncias →
Última actualización: