Saltar para o conteúdo principal Exigido pela legislação da UE para organizações com 50 ou mais trabalhadores

Perguntas frequentes #

Para responsáveis de conformidade e decisores #

O EthicsPortal cumpre a Diretiva (UE) 2019/1937? #

Sim. O EthicsPortal é construído especificamente para cumprir os requisitos da Diretiva da UE relativa à proteção dos denunciantes. Isto inclui um canal de denúncia interno seguro, comunicação anónima bidirecional, acompanhamento de prazos (7 dias para acusar a receção, 3 meses para dar seguimento), controlos de acesso, políticas de conservação de dados e um registo de atividades completo. Consulte o mapa de cobertura da Diretiva 2019/1937 para uma análise artigo a artigo.

Em que países o EthicsPortal é conforme? #

O EthicsPortal cobre os requisitos da Diretiva (UE) 2019/1937, que foi transposta para o direito nacional nos Estados-Membros da UE. A plataforma foi concebida para cumprir os requisitos de base da Diretiva, que se aplicam em toda a UE. Se o seu país tiver requisitos nacionais adicionais (por exemplo, a Loi Waserman de França), consulte os nossos guias específicos por país ou contacte-nos.

Uma empresa fora da UE pode usar o EthicsPortal? #

A entidade que opera o canal de denúncia tem de estar registada na UE, na Suíça, na Moldávia ou no Montenegro. Se o grupo tiver uma entidade num desses países, esta pode operar um único canal e abri-lo a colaboradores de qualquer país: todas as denúncias chegam à mesma lista de casos, independentemente de onde o denunciante trabalhe.

Os colaboradores fora da UE têm submissão anónima, mensagens cifradas bidirecionais e os prazos da Diretiva: 7 dias para o aviso de receção e 3 meses para o retorno. Nem a legislação norte-americana nem a canadiana exigem esses prazos, pelo que aplicá-los a todo o grupo fixa um padrão mais exigente do que ambas.

O relatório de conformidade remete para o direito nacional da entidade que opera o canal. Comprova as obrigações dessa entidade, não as de operações noutras jurisdições. A Suíça não tem uma lei geral de proteção dos denunciantes, pelo que os documentos de uma entidade suíça aplicam a Diretiva como norma voluntária, seguem a cascata de denúncia suíça e citam a Lei Federal suíça de Proteção de Dados (LPD) em vez do RGPD.

Podemos operar o canal de denúncia internamente? #

Sim — o artigo 8.º, n.º 5, da Diretiva (UE) 2019/1937 permite-o explicitamente. Mas cumprir as condições da Diretiva é estruturalmente mais difícil internamente.

O artigo 9.º, n.º 1, exige a confidencialidade da identidade do denunciante, um seguimento imparcial e um acesso restrito às denúncias. Um canal interno passa estes elementos pelos mesmos administradores de TI, cópias de segurança e ferramentas de retenção para litígios que tocam todos os outros sistemas da empresa. Um subdomínio ou caixa de correio separados não alteram quem tem acesso.

O RGPD acrescenta um segundo problema. A denúncia consta da lista de avaliações de impacto sobre a proteção de dados obrigatórias do CEPD. Uma avaliação de impacto interna tem de documentar como o responsável pelo tratamento se impede a si próprio de aceder a dados sobre si próprio — o que é circular à partida.

A operação externa está prevista no art. 8.º, n.º 5, e nas transposições nacionais: Loi Sapin II / Waserman (FR), HinSchG §14 (DE), D.Lgs. 24/2023 (IT), Ley 2/2023 (ES).

Onde são armazenados os meus dados? #

Os dados essenciais das denúncias são armazenados em servidores da Hetzner em Nuremberga, Alemanha, com uma cópia de segurança dos anexos em Falkenstein, Alemanha. O site de marketing é entregue através da Cloudflare (Estados Unidos); o canal de denúncia e o portal de gestão não. A Hetzner é um fornecedor de alojamento alemão sujeito à legislação de proteção de dados da UE. O tratamento separado do site público pela Cloudflare e as salvaguardas de transferência estão descritos no Aviso de privacidade, não na cadeia DPA.

A denúncia é verdadeiramente anónima? #

Sim, se o denunciante o escolher. Fornecer um nome ou informação de contacto é opcional. O EthicsPortal não armazena os endereços IP dos denunciantes com as denúncias nem nos registos da aplicação, remove os metadados dos ficheiros (EXIF, GPS, informação do autor) dos carregamentos, com duas limitações dentro dos PDF, e o fio de mensagens seguro nunca revela ao denunciante a identidade do gestor do caso. Não existe qualquer mecanismo técnico para associar uma denúncia anónima a uma pessoa.

Como funciona o acompanhamento dos prazos de 7 dias e 3 meses? #

Quando uma denúncia é submetida, o EthicsPortal inicia automaticamente dois contadores com base nos requisitos da Diretiva:

As denúncias em atraso são assinaladas no painel, e os gestores recebem notificações à medida que os prazos se aproximam.

Disponibilizam um acordo de tratamento de dados (DPA)? #

Sim. O DPA atual está publicado em DPA, e um PDF contra-assinado está disponível a pedido.

Que certificações têm? #

O EthicsPortal publica uma autoavaliação ISO/IEC 27001:2022 completa sobre os capítulos 4 a 10 e os 93 controlos do Anexo A sob a forma de declaração de aplicabilidade, um mapa de alinhamento com a ISO 37002, um CAIQ pré-preenchido e documentos de política identificados, a par das páginas de segurança, subcontratantes, incidentes e SLA. São autoavaliações face aos conjuntos de controlos que uma auditoria externa avaliaria, e não uma certificação acreditada: o EthicsPortal não reivindica certificação ISO 27001 acreditada, e o estado atual consta da página de confiança.

Quem é a parte contratante? #

O EthicsPortal é um nome comercial utilizado por Yaroslav Shmarov, empresário em nome individual registado na Polónia (NIP: 5272755790). Os dados de base da contratação e do aprovisionamento estão publicados na página de confiança.

Podem apoiar a revisão de aprovisionamento? #

Sim. Os materiais públicos de diligência devida estão publicados no site, e materiais de aprovisionamento adicionais estão disponíveis a pedido durante a revisão de aprovisionamento. Ver a página de confiança.

Posso exportar os dados dos processos para os auditores? #

Sim. Cada denúncia pode ser exportada para PDF, incluindo todo o histórico de mensagens, a cronologia e o registo de atividades. Isto foi concebido para partilha com advogados, auditores ou reguladores. Os administradores podem também exportar na aplicação todos os dados da organização, como ficheiro ZIP com ficheiros JSON e anexos, para migração ou arquivo. Se precisar de outro formato, contacte-nos durante a revisão de aprovisionamento ou de cessação.

Para trabalhadores e denunciantes #

Preciso de criar uma conta para submeter uma denúncia? #

Não. Não precisa de uma conta, de um endereço de email nem de qualquer informação pessoal. Abre o link do canal de denúncia, preenche a denúncia e recebe um ID do caso e uma palavra-passe. É tudo.

Posso fazer uma denúncia por email? #

Sim, se a organização o disponibilizar. Cada canal de denúncia tem o seu próprio endereço de email, indicado na página do canal. O seu email torna-se uma denúncia, e recebe uma resposta com um ID do caso e uma palavra-passe para ler e responder às perguntas do gestor do caso na caixa de entrada segura. Os gestores do caso não veem o seu endereço de email. No entanto, o email não é anónimo: o seu fornecedor de email guarda uma cópia, tal como o sistema de correio do seu empregador se escrever a partir de uma conta profissional. Para se manter anónimo, use o formulário de denúncia online.

O meu empregador pode descobrir quem eu sou? #

Não através do EthicsPortal. Se optar por submeter de forma anónima (sem fornecer o seu nome ou dados de contacto), não há forma de o seu empregador o identificar através da plataforma. O EthicsPortal não armazena o seu endereço IP com a sua denúncia nem nos seus registos da aplicação, e remove os metadados identificadores dos ficheiros que carregue, com duas limitações dentro dos PDF.

Dito isto, tenha cuidado com o que escreve — se a sua denúncia contiver detalhes que só você poderia conhecer, isso está fora do controlo da plataforma.

Como volto a consultar a minha denúncia? #

Precisa de duas coisas, ambas mostradas após a submissão: o ID do caso (formato WB-XXXX-XXXX) e a palavra-passe. Regresse ao canal de denúncia a qualquer momento, introduza ambos e veja o estado atual ou troque mensagens com o gestor do caso. Anote ambos e guarde-os num local seguro. Ninguém pode recuperar a palavra-passe, e o EthicsPortal não tem forma de a redefinir, nem para o gestor do caso nem para nós. Se a perder, submeta uma nova denúncia e mencione o seu ID do caso.

Posso anexar ficheiros à minha denúncia? #

Sim. Pode carregar imagens, PDF, vídeo e ficheiros de áudio até 100 MB cada. Os metadados identificadores (dados de localização, informação do autor, detalhes da câmara) são removidos antes do armazenamento para proteger a sua identidade. Dentro de um PDF, os nomes nos comentários e os metadados das fotografias incorporadas são mantidos, por isso carregue as fotografias como ficheiros de imagem separados.

Posso comunicar com o gestor do caso de forma anónima? #

Sim. O fio de mensagens integrado é totalmente anónimo. Vê “Gestor do caso” — nunca um nome real. O gestor vê as suas mensagens, mas não tem forma de o identificar a menos que você opte por partilhar essa informação.

O que acontece depois de submeter uma denúncia? #

A sua denúncia é recebida pelo gestor do caso designado da organização. Ao abrigo da legislação da UE, este deve acusar a receção no prazo de 7 dias e dar seguimento substantivo no prazo de 3 meses. Pode consultar o estado a qualquer momento usando o seu ID do caso e a palavra-passe.

Para equipas de TI e técnicas #

Que cifragem utilizam? #

O texto das denúncias, os campos de identidade do denunciante e as mensagens dos casos são cifrados em repouso na base de dados. Todas as ligações usam TLS (HTTPS). Os carregamentos de ficheiros, as gravações de voz e as exportações de dados são armazenados em infraestrutura alojada na UE (Hetzner, Alemanha) e cifrados em repouso com AES-256, com uma chave distinta para cada ficheiro; consulte segurança.

Removem os metadados dos ficheiros? #

Sim. Os carregamentos de imagens são processados do lado do servidor antes do armazenamento. Os carregamentos de PDF, vídeo e áudio também são processados para a remoção de metadados na configuração padrão de produção descrita na página de segurança. Dois elementos dentro de um PDF não são removidos: os nomes nos comentários e os metadados das fotografias nele incorporadas. Carregue as fotografias como ficheiros de imagem separados para que sejam processadas. Isto reduz o risco de divulgação acidental da identidade através das propriedades dos ficheiros.

Analisam os ficheiros carregados em busca de vírus? #

Sim. Todos os ficheiros carregados são analisados em busca de software malicioso com o ClamAV, um motor antivírus de código aberto. A análise ocorre do lado do servidor — nenhum dado dos ficheiros é enviado para serviços externos. Os ficheiros infetados são removidos automaticamente antes de os gestores do caso lhes poderem aceder.

Registam endereços IP? #

Não para os denunciantes. A aplicação não armazena o endereço IP de um denunciante com as denúncias, as mensagens ou os registos de auditoria, e os seus registos do canal de denúncia não contêm endereços IP. A limitação de débito usa um hash com chave conservado apenas durante a janela de limitação. O proxy TLS à frente da aplicação mantém os seus próprios registos de ligação, que incluem endereços IP e caminhos de pedido. O caminho da página em que um denunciante consulta a sua denúncia contém o ID do caso. Consulte segurança para a formulação exata.

Que serviços de terceiros utilizam? #

Não são utilizadas redes de publicidade nem cookies de rastreio de terceiros no próprio canal de denúncia.

Têm uma API? #

A API de metadados e os webhooks de saída estão disponíveis para todas as organizações. Disponibilizam o estado das denúncias e os prazos, nunca o conteúdo, as mensagens, as notas ou os anexos. O acesso opcional à configuração permite que os tokens autorizados criem organizações e que os administradores configurem canais de denúncia. Consulte a documentação para programadores.

Suportam domínios personalizados? #

Não disponível atualmente. Todos os canais de denúncia são servidos sob o domínio do EthicsPortal.

Suportam SSO? #

Sim. O EthicsPortal suporta o início de sessão único SAML 2.0, configurável por organização. Ligue o seu fornecedor de identidade — Okta, Microsoft Entra ID ou qualquer fornecedor SAML 2.0 — e a sua equipa inicia sessão através dele. Pode exigir SSO para os seus domínios de email e aprovisionar membros automaticamente no primeiro início de sessão. O início de sessão através de link mágico (autenticação por email sem palavra-passe) permanece disponível quando o SSO não é obrigatório. Combine o SSO com o aprovisionamento SCIM 2.0 para manter as contas sincronizadas com o seu diretório.

Faturação #

Quanto custa o EthicsPortal? #

41,67 €/mês, faturado anualmente (500 €/ano), fixo. Um plano, tudo incluído. Sem taxas por utilizador, sem taxas por denúncia, sem escalões de funcionalidades.

Como funciona a subscrição? #

O EthicsPortal é um serviço de conformidade pago: 41,67 €/mês, faturado anualmente (500 €/ano), sem período experimental gratuito. Ative o canal de denúncia a partir da aplicação, configure-o e comece a operação assim que a subscrição estiver em vigor.

Podemos cancelar a subscrição? #

Sim. As subscrições podem ser canceladas nas definições da conta. Não há taxas de cancelamento.

Que métodos de pagamento aceitam? #

Cartões de crédito e de débito através da Stripe. Se precisar de pagar por fatura ou transferência bancária, envie um email para support@ethicsportal.eu.

Ainda tem uma questão? #

Envie um email para support@ethicsportal.eu. Receberá resposta no prazo de um dia útil.

Última atualização: