Preguntas frecuentes #
Para responsables de cumplimiento y decisores #
¿Cumple EthicsPortal con la Directiva (UE) 2019/1937? #
Sí. EthicsPortal está diseñado específicamente para cumplir los requisitos de la Directiva europea de protección del informante. Esto incluye un canal interno de denuncias seguro, comunicación bidireccional anónima, seguimiento de plazos (acuse de recibo en 7 días, respuesta en 3 meses), controles de acceso, políticas de conservación de datos y un registro de auditoría completo. Consulte el mapa de cobertura de la Directiva 2019/1937 para ver un desglose artículo por artículo.
¿En qué países cumple EthicsPortal? #
EthicsPortal cubre los requisitos de la Directiva (UE) 2019/1937, que ha sido transpuesta al Derecho nacional en los Estados miembros de la UE. La plataforma está diseñada para cumplir los requisitos de referencia de la Directiva, que se aplican en toda la UE. Si su país tiene requisitos nacionales adicionales (p. ej., la Loi Waserman de Francia), consulte nuestras guías por país o contacte con nosotros.
¿Puede una empresa de fuera de la UE usar EthicsPortal? #
La entidad que opera el canal de denuncias debe estar registrada en la UE, Suiza, Moldavia o Montenegro. Si el grupo cuenta con una entidad en uno de esos países, esta puede operar un único canal y abrirlo a empleados de cualquier país: todas las denuncias llegan a la misma lista de casos, con independencia de dónde trabaje quien informa.
El personal fuera de la UE dispone de recepción anónima, mensajería cifrada bidireccional y los plazos de la Directiva: 7 días para el acuse de recibo y 3 meses para la respuesta. Ni la legislación estadounidense ni la canadiense exigen esos plazos, de modo que aplicarlos en todo el grupo fija un estándar más estricto que ambas.
El informe de cumplimiento cita la legislación nacional de la entidad que opera el canal. Acredita las obligaciones de esa entidad, no las de operaciones en otras jurisdicciones. Suiza no tiene una ley general de protección del informante, por lo que los documentos de una entidad suiza aplican la Directiva como estándar voluntario, siguen la cascada de comunicación suiza y citan la Ley Federal suiza de Protección de Datos (LPD) en lugar del RGPD.
¿Podemos operar el canal de denuncias internamente? #
Sí: el artículo 8, apartado 5, de la Directiva (UE) 2019/1937 lo permite expresamente. Pero cumplir las condiciones de la Directiva es estructuralmente más difícil de forma interna.
El artículo 9, apartado 1, exige la confidencialidad de la identidad del informante, un seguimiento imparcial y un acceso restringido a las comunicaciones. Un canal interno hace pasar todo ello por los mismos administradores de TI, copias de seguridad y herramientas de retención de litigios que tocan cualquier otro sistema de la empresa. Un subdominio o un buzón aparte no cambia quién tiene acceso.
El RGPD añade un segundo problema. La denuncia de irregularidades figura en la lista de evaluaciones de impacto obligatorias del Comité Europeo de Protección de Datos. Una EIPD interna tiene que documentar cómo el responsable del tratamiento se impide a sí mismo acceder a datos sobre sí mismo, lo cual es circular por su propia naturaleza.
La operación externa está contemplada en el art. 8.5 y en las transposiciones nacionales: Loi Sapin II / Waserman (FR), HinSchG §14 (DE), D.Lgs. 24/2023 (IT), Ley 2/2023 (ES).
¿Dónde se almacenan mis datos? #
Los datos centrales de las comunicaciones se almacenan en servidores de Hetzner en Núremberg, Alemania, con una copia de seguridad de los archivos adjuntos en Falkenstein, Alemania. El sitio web de presentación se entrega a través de Cloudflare (Estados Unidos); el canal de denuncias y el portal de los gestores no. Hetzner es un proveedor de alojamiento alemán sujeto al Derecho europeo de protección de datos. El tratamiento separado del sitio público por Cloudflare y las salvaguardias de transferencia se describen en el Aviso de privacidad, no en la cadena del DPA.
¿La comunicación es realmente anónima? #
Sí, si el informante así lo elige. Facilitar un nombre o datos de contacto es opcional. EthicsPortal no almacena las direcciones IP de los informantes con las comunicaciones ni en los registros de la aplicación, elimina los metadatos de los archivos (EXIF, GPS, información del autor) de las subidas, con dos límites dentro de los PDF, y el hilo de mensajes seguro nunca revela al informante la identidad del gestor del caso. No existe ningún mecanismo técnico para rastrear una comunicación anónima hasta una persona.
¿Cómo funciona el seguimiento de los plazos de 7 días y 3 meses? #
Cuando se presenta una comunicación, EthicsPortal inicia automáticamente dos temporizadores basados en los requisitos de la Directiva:
- 7 días para acusar recibo de la comunicación.
- 3 meses para dar una respuesta sustantiva al informante.
Las comunicaciones vencidas se señalan en el panel y los gestores reciben notificaciones a medida que se acercan los plazos.
¿Ofrecen un contrato de encargado del tratamiento (DPA)? #
Sí. El DPA vigente se publica en DPA, y hay un PDF firmado disponible a petición.
¿Qué certificaciones tienen? #
EthicsPortal publica una autoevaluación ISO/IEC 27001:2022 completa que cubre los capítulos 4 a 10 y los 93 controles del Anexo A como declaración de aplicabilidad, un mapa de alineación con ISO 37002, un CAIQ cumplimentado y documentos de política identificados, junto a las páginas de seguridad, subencargados del tratamiento, incidentes y SLA. Son autoevaluaciones frente a los conjuntos de controles que evaluaría una auditoría externa, no una certificación acreditada: EthicsPortal no reclama certificación ISO 27001 acreditada, y el estado actual consta en la página de confianza.
¿Quién es la parte contratante? #
EthicsPortal es un nombre comercial utilizado por Yaroslav Shmarov, empresario individual registrado en Polonia (NIP: 5272755790). Los datos básicos de contratación y de compras se publican en la página de confianza.
¿Pueden apoyar una revisión de compras? #
Sí. Los materiales públicos de diligencia debida se publican en el sitio web, y hay materiales adicionales de compras disponibles a petición durante la revisión de compras. Consulte la página de confianza.
¿Puedo exportar los datos de los casos para los auditores? #
Sí. Cada comunicación puede exportarse a PDF, incluido el historial completo de mensajes, la cronología y el registro de auditoría. Está diseñado para compartirse con asesores jurídicos, auditores o reguladores. Los administradores también pueden exportar desde la aplicación todos los datos de la organización, como archivo ZIP con archivos JSON y adjuntos, para migración o archivo. Si necesita otro formato, contacte con nosotros durante la revisión de compras o de baja.
Para empleados e informantes #
¿Necesito crear una cuenta para presentar una comunicación? #
No. No necesita una cuenta, una dirección de correo electrónico ni ninguna información personal. Abre el enlace del canal de denuncias, rellena la comunicación y recibe una referencia del caso y una contraseña. Eso es todo.
¿Puedo presentar una comunicación por correo electrónico? #
Sí, si la organización lo ofrece. Cada canal de denuncias tiene su propia dirección de correo electrónico, que se muestra en la página del canal. Su correo se convierte en una comunicación, y recibe una respuesta con una referencia del caso y una contraseña para leer y contestar las preguntas del gestor del caso en el buzón seguro. Los gestores del caso no ven su dirección de correo electrónico. Sin embargo, el correo electrónico no es anónimo: su proveedor de correo guarda una copia, y también el sistema de correo de su empleador si escribe desde una cuenta del trabajo. Para mantener el anonimato, utilice el formulario de denuncia en línea.
¿Puede mi empleador averiguar quién soy? #
No a través de EthicsPortal. Si decide presentar la comunicación de forma anónima (sin facilitar su nombre ni sus datos de contacto), no hay manera de que su empleador le identifique a través de la plataforma. EthicsPortal no almacena su dirección IP con su comunicación ni en sus registros de la aplicación, y elimina los metadatos identificativos de los archivos que suba, con dos límites dentro de los PDF.
Dicho esto, tenga cuidado con lo que escribe: si su comunicación contiene detalles que solo usted podría conocer, eso queda fuera del control de la plataforma.
¿Cómo consulto el estado de mi comunicación? #
Necesita dos cosas, que se le muestran tras presentarla: la referencia del caso (con el formato WB-XXXX-XXXX) y la contraseña. Vuelva al canal de denuncias en cualquier momento, introduzca ambas y vea el estado actual o intercambie mensajes con el gestor del caso. Anote ambas y guárdelas en un lugar seguro. Nadie puede recuperar la contraseña, y EthicsPortal no tiene forma de restablecerla, ni para el gestor del caso ni para nosotros. Si la pierde, presente una nueva comunicación y mencione su referencia del caso.
¿Puedo adjuntar archivos a mi comunicación? #
Sí. Puede subir imágenes, PDF, vídeo y archivos de audio de hasta 100 MB cada uno. Los metadatos identificativos (datos de ubicación, información del autor, detalles de la cámara) se eliminan antes de su almacenamiento para proteger su identidad. Dentro de un PDF se conservan los nombres que figuran en los comentarios y los metadatos de las fotos incrustadas, así que suba las fotos como archivos de imagen independientes.
¿Puedo comunicarme con el gestor del caso de forma anónima? #
Sí. El hilo de mensajes integrado es totalmente anónimo. Verá «Gestor del caso», nunca un nombre real. El gestor ve sus mensajes, pero no tiene forma de identificarle a menos que usted decida compartir esa información.
¿Qué ocurre después de presentar una comunicación? #
Su comunicación la recibe el gestor del caso designado por la organización. Conforme al Derecho de la UE, debe acusar recibo en un plazo de 7 días y dar una respuesta sustantiva en un plazo de 3 meses. Puede consultar el estado en cualquier momento usando su referencia del caso y su contraseña.
Para equipos de TI y técnicos #
¿Qué cifrado utilizan? #
El texto de las comunicaciones, los campos de identidad del informante y los mensajes de los casos se cifran en reposo en la base de datos. Todas las conexiones usan TLS (HTTPS). Los archivos subidos, las grabaciones de voz y las exportaciones de datos se almacenan en infraestructura alojada en la UE (Hetzner, Alemania) y se cifran en reposo con AES-256, con una clave distinta para cada archivo; consulte seguridad.
¿Eliminan los metadatos de los archivos? #
Sí. Las imágenes subidas se depuran en el lado del servidor antes de su almacenamiento. Las subidas de PDF, vídeo y audio también se procesan para eliminar los metadatos en la configuración de producción estándar descrita en la página de seguridad. Dos elementos dentro de un PDF no se eliminan: los nombres que figuran en los comentarios y los metadatos de las fotos incrustadas en él. Suba las fotos como archivos de imagen independientes para que se depuren. Esto reduce el riesgo de revelación accidental de la identidad a través de las propiedades del archivo.
¿Analizan los archivos subidos en busca de virus? #
Sí. Todos los archivos subidos se analizan en busca de malware mediante ClamAV, un motor antivirus de código abierto. El análisis se realiza en el lado del servidor: no se envían datos de archivos a servicios externos. Los archivos infectados se eliminan automáticamente antes de que los gestores del caso puedan acceder a ellos.
¿Registran las direcciones IP? #
No de los informantes. La aplicación no almacena la dirección IP de un informante con las comunicaciones, los mensajes ni los registros de auditoría, y sus registros del canal de denuncia no contienen direcciones IP. La limitación de tasa usa un hash con clave que se conserva solo durante la ventana de limitación. El proxy TLS situado delante de la aplicación mantiene sus propios registros de conexión, que incluyen direcciones IP y rutas de solicitud. La ruta de la página en la que un informante consulta su comunicación contiene el identificador del expediente. Consulte seguridad para conocer la redacción exacta.
¿Qué servicios de terceros utilizan? #
- Hetzner (Alemania) — alojamiento de servidores
- Stripe — procesamiento de pagos
- Mailjet (Francia) — envío de correo electrónico transaccional
- Cloudflare — CDN y analítica del sitio web de presentación
- AppSignal (Países Bajos, UE) — seguimiento de errores y monitorización del rendimiento de la aplicación para las interfaces de administradores y gestores
No se utilizan redes publicitarias ni cookies de seguimiento de terceros en el propio canal de denuncias.
¿Tienen una API? #
La API de metadatos y los webhooks salientes están disponibles para todas las organizaciones. Exponen el estado de las denuncias y sus plazos, nunca su contenido, mensajes, notas ni archivos adjuntos. El acceso de configuración opcional permite que los tokens autorizados creen organizaciones y que los administradores configuren canales de denuncias. Consulte la documentación para desarrolladores.
¿Admiten dominios personalizados? #
No está disponible actualmente. Todos los canales de denuncias se sirven bajo el dominio de EthicsPortal.
¿Admiten inicio de sesión único (SSO)? #
Sí. EthicsPortal admite el inicio de sesión único con SAML 2.0, configurado por organización. Conecte su proveedor de identidad — Okta, Microsoft Entra ID o cualquier proveedor SAML 2.0 — y su equipo inicia sesión a través de él. Puede exigir SSO para sus dominios de correo electrónico y aprovisionar a los miembros automáticamente en el primer inicio de sesión. El inicio de sesión mediante enlace mágico (autenticación por correo electrónico sin contraseña) sigue disponible cuando no se exige el SSO. Combine el SSO con el aprovisionamiento SCIM 2.0 para mantener las cuentas sincronizadas con su directorio.
Facturación #
¿Cuánto cuesta EthicsPortal? #
41,67 €/mes, facturado anualmente (500 €/año), tarifa plana. Un único plan, todo incluido. Sin tarifas por usuario, sin tarifas por comunicación, sin niveles de funciones.
¿Cómo funciona la suscripción? #
EthicsPortal es un servicio de cumplimiento de pago: 41,67 €/mes, facturado anualmente (500 €/año), sin prueba gratuita. Active el canal de denuncias desde la aplicación, configúrelo y comience a operar una vez que la suscripción esté en marcha.
¿Podemos cancelar la suscripción? #
Sí. Las suscripciones pueden cancelarse desde la configuración de la cuenta. No hay tarifas de cancelación.
¿Qué métodos de pago aceptan? #
Tarjetas de crédito y débito a través de Stripe. Si necesita pagar por factura o transferencia bancaria, escriba a support@ethicsportal.eu.
¿Todavía tiene alguna pregunta? #
Escriba a support@ethicsportal.eu. Recibirá respuesta en un día laborable.
Última actualización: