Canal de denuncias
Ley 2/2023 · Directiva (UE) 2019/1937
El canal que no le oculta nada.
La Ley 2/2023 no pide un buzón. Pide un procedimiento: acuse de recibo en siete días, resolución en tres meses, confidencialidad reforzada de quien informa, responsable designado, trazabilidad de todo lo actuado y salida hacia la autoridad competente.
Casi todo el mercado vende el buzón. Integryty Lab construye el procedimiento.
Código de seguimiento
7K2M · 4XQP · 9DR3
Acuse de recibo · art. 9.2 Enviado · día 2 de 7
Resolución · art. 9.2 Día 34 de 90
Identidad de quien informa
Cifrada con clave propia del caso. Visible únicamente para el instructor asignado.
Cadena de custodia SHA-256 · 14 actuaciones encadenadas
7 días
Acuse de recibo, contado solo
Avisa antes de vencer, no después
3 meses
Resolución, con su prórroga reglada
Una sola, y con motivo escrito
11
Autoridades competentes, ya dentro
La estatal y las diez autonómicas
0
Terceros en el formulario público
Ni fuentes, ni analítica, ni CDN
El procedimiento
Seis tramos, del formulario a la autoridad
El recorrido completo de una denuncia, cerrado de extremo a extremo. Cada tramo deja su rastro encadenado, y ninguno depende de que alguien se acuerde de dar el paso siguiente.
¿Todavía no sabe si le obliga la norma? Lo explicamos, artículo por artículo, en la guía ¿está obligada su empresa a tener canal de denuncias?
01 · Denuncia
Formulario público, anónimo o identificado. Se genera un código de seguimiento que es la única llave del expediente, y que solo tiene quien informa.
02 · Triaje
Quien gestiona el canal valora gravedad, urgencia y riesgo de represalia conforme a la ISO 37002, y asigna instructor. Ve metadatos; no ve identidades.
03 · Instrucción
El instructor investiga, pregunta a quien denunció por un canal seguro sin romper el anonimato, y adjunta las evidencias que va reuniendo.
04 · Resolución
Cierra con conclusión —fundada, no fundada o derivada—, un motivo interno y un texto dirigido a quien denunció. El expediente queda sellado.
05 · Informe
PDF con la cadena de custodia verificable, pensado para salir de la organización sin llevarse dentro lo que no debe salir.
06 · Derivación
Remisión a la Autoridad Independiente o a la autonómica competente, con el destino registrado y comprobable.
Doble ceguera
Aquí no hay una escalera donde el jefe lo ve todo.
La confidencialidad reforzada que exige la ley no se sostiene con una política interna: se sostiene con un reparto de accesos que hace la pregunta imposible. Cada papel ve exactamente lo que necesita, y nada más.
Quien gestiona el canal
Todos los casos de la organización
Ninguna identidad, ni siquiera la de los casos que asigna
Quien instruye
La identidad de su caso
Y de ningún otro. Cada acceso queda registrado
Quien administra la plataforma
Usuarios y configuración
Y no ve casos en absoluto
Preguntar por una identidad a través del sistema de roles no devuelve «no». Devuelve un error, porque es una pregunta que ese mecanismo no puede responder.
Y cuando existe un motivo legítimo para levantar el velo, hace falta doble control: una segunda persona de la organización, una aprobación de un solo uso y tres eventos de auditoría en orden.
Las garantías
Un anonimato que aguanta un análisis técnico
No basta con prometer confidencialidad en la portada. Estas son las tres piezas que la sostienen cuando alguien mira de verdad.
Sin terceros
El formulario público funciona sin JavaScript y sin una sola petición a un tercero: ni fuentes tipográficas, ni analítica, ni CDN. No queda nada con lo que correlacionar quién entró a denunciar.
Cifrado por caso
Cada expediente se cifra con una clave propia derivada dentro de AWS KMS. No se almacena ninguna clave, y cada acceso a una identidad deja rastro en el registro de AWS, no solo en el nuestro.
Metadatos limpios
A los documentos aportados se les retiran autor, programa y coordenadas, y se comprueba que de verdad quedaron limpios. Si un formato no se sabe limpiar, se dice.
Los plazos corren solos
El sistema cuenta los siete días del acuse y los tres meses de resolución, y aplica la regla de cómputo que corresponda según se haya acusado recibo o no.
La prórroga, reglada
Admite la ampliación que la ley permite: una sola, y con motivo escrito. Queda en el expediente como cualquier otra actuación.
Avisa antes, no después
Y un caso todavía sin instructor asignado avisa igual: es justo el que más lo necesita.
La IA, apagada por defecto
Sin configurar no analiza nada, y aun configurada solo actúa en las organizaciones que la activen. Un cliente que no quiera IA sobre las pruebas de sus denunciantes, no la tiene.
Y en Europa
El procesamiento está restringido por código a destinos europeos, y hay una prueba que falla si alguien lo cambia.
Y se puede negar
A quien denuncia se le dice que sus documentos se analizarán automáticamente, antes de aportarlos, y puede negarse. Si se niega, no se analizan.
Las contradicciones se señalan
Si dos pruebas del mismo expediente sitúan el mismo hecho en fechas distintas, o dan importes distintos, el sistema lo señala y dice en qué documentos. Resolver la contradicción es la instrucción del expediente, y eso lo hace una persona que responde de ello.
El informe sale limpio de la organización
Lo genera quien instruye, pero lo lee un auditor o una autoridad, y eso decide su contenido: lleva qué pasó, cuándo, quién lo hizo, cómo terminó y cómo comprobarlo. Sin identidad, y sin el desglose del riesgo de represalia, que en una plantilla pequeña permitiría deducir quién es.
El encaje español
Sabe a qué autoridad hay que remitir, y cuál está operativa.
Varios competidores europeos resuelven bien el anonimato y el cifrado. Lo que ninguno resuelve es la relación con las autoridades españolas, y ahí es donde un canal deja de ser una herramienta genérica y empieza a servir de verdad.
Integryty Lab trae el catálogo completo — la Autoridad Independiente estatal y las diez autonómicas — transcrito de la fuente oficial, con la norma de creación de cada una.
11
autoridades competentes en el sistema: la estatal y las diez autonómicas, cada una con su norma de creación.
Y avisa de cuál no ejerce todavía
Algunas autonómicas están creadas pero aún no ejercen sus competencias. El sistema lo dice antes de que usted remita, no después.
La cadena de custodia, cerrada con sello
Cada actuación queda encadenada con SHA-256. Al cerrar, el expediente recibe un sello que resume lo que contenía en ese momento: si después falta un evento, sobra o cambia alguno, el sello no cuadra y el sistema se niega a emitir el informe. Un documento sellado lo dan por bueno quienes lo reciben; por eso, si la cadena está rota, lo que no se hace es entregarlo.
Los límites
Dónde termina la máquina y empieza usted
Estas fronteras son decisiones documentadas, no funciones pendientes. Son casi tan definitorias como todo lo anterior, y por eso están aquí y no en la letra pequeña.
Una evidencia aportada se queda
No existe la ruta para borrarla. Una prueba retirada en silencio es exactamente lo que un canal de denuncias no puede permitir.
La instrucción la firma una persona
El sistema señala qué pruebas se contradicen y en qué documentos. Decidir cuál es la correcta es la instrucción del expediente, y no existe ningún campo donde el sistema pudiera hacerlo.
El código de seguimiento no se recupera
Poder recuperarlo significaría que alguien más puede obtenerlo. Es la contrapartida honesta de un anonimato que se sostiene.
Un expediente cerrado queda cerrado
No se cierra dos veces ni se escribe en uno resuelto: reescribiría la conclusión y el sello de un expediente que ya salió. Y cuando algo falla, el estado «no se pudo verificar» llega a quien lee el resultado, en vez de quedarse en un campo interno.
Precios
Por plantilla, y con el precio delante
Un canal de denuncias es una obligación legal, no una compra por impulso: usted necesita saber lo que cuesta antes de pedir una reunión. Cuota anual pagada por adelantado, sin coste de alta, y las condiciones completas aquí abajo.
Essential
1 – 49 empleados
290 €
al año · IVA no incluido
Para entidades obligadas por una vía distinta de la plantilla: sector público, municipios y sujetos obligados sectoriales.
Starter Más habitual
50 – 249 empleados
590 €
al año · IVA no incluido
El tramo donde empieza la obligación de la Ley 2/2023 por número de empleados.
Professional
250 – 999 empleados
1.490 €
al año · IVA no incluido
Organizaciones con varios centros y un volumen de casos que exige repartir la instrucción.
Enterprise
1.000 empleados o más
A medida
Grupos y multi‑entidad
No lleva precio de catálogo a propósito: a este tamaño la configuración de entidades y roles decide el alcance.
Si tiene menos de 50 empleados, léase esto antes de contratar
Por debajo de ese umbral, la obligación de tener canal no viene del número de empleados. Puede estar obligada por otra vía —sector público, municipio de más de 10.000 habitantes, sujeto obligado sectorial— o no estarlo en absoluto. Nosotros no podemos distinguirlo por la plantilla y no lo adivinamos: se lo decimos, y lo confirma usted antes de firmar.
Condiciones
Por qué lo hacemos así
Preguntar por una identidad que no le toca devuelve un error, no un «no»
Porque es una pregunta que ese mecanismo no puede responder, y decirlo así es más honesto que negarla. La misma idea gobierna los otros dos productos: construimos sistemas que saben cuándo no saben, y que lo dicen.
El paradigma de JRV Lab →Empezar
Su prueba empieza por el recorrido completo
De la denuncia a la derivación, con datos sintéticos, para que vea el procedimiento entero antes de decidir nada. Los plazos corriendo, el triaje, la doble ceguera y el informe de cierre — tal y como funcionarían en su organización.