Cómo elegir proveedor de canal de denuncias en España: 9 criterios que tu RFP no puede olvidar

El software de canal de denuncias más barato del mercado puede salir muy caro si la Agencia Española de Protección de Datos demuestra que tu proveedor guarda direcciones IP, conserva cookies o no puede acreditar el anonimato real del denunciante. Elegir un proveedor canal de denuncias españa no es una decisión de compras: es una decisión de cumplimiento que va a sostener auditorías, inspecciones de la AEPD y, en el peor de los casos, un procedimiento judicial. Una PYME española de 80 empleados que compara tres opciones antes de pedir presupuesto a dirección necesita una RFP con criterios verificables, no un buen argumento de ventas. Esta guía te da nueve criterios ordenados, una plantilla lista para enviar y las señales de alarma que delatan a un proveedor que no resiste un examen técnico.

Índice

Puntos clave
Por qué el proveedor importa tanto como la política interna
Qué preguntar sobre anonimato técnico (sin aceptar respuestas de marketing)
Cómo verificar que el proveedor cumple los plazos de 7 días y 3 meses
Dónde se alojan los datos y por qué importa la jurisdicción
Modelo de precio: por empleado, por denuncia o tarifa plana
Plantilla de RFP para enviar a proveedores en 48 horas
Cinco señales de alarma al leer una demo comercial
Comparativa de tipos de proveedor: SaaS, on-premise y consultoría legal
Preguntas frecuentes
Fuentes

Puntos clave

Un proveedor canal de denuncias españa debe demostrar anonimato por diseño: sin recopilación de IP, sin cookies, sin huella digital del navegador y sin correo electrónico obligatorio.
El artículo 10 de la Ley 2/2023 fija un acuse de recibo en siete días y un seguimiento en tres meses, y el software tiene que acreditar que los plazos se cumplen aunque el gestor esté de vacaciones.
El alojamiento en un país con legislación equivalente al RGPD (Suiza o un Estado miembro del EEE) es tan importante como el cifrado, porque la jurisdicción decide quién puede exigir los datos.
El precio debe ser por organización y no por empleado ni por denuncia, porque un modelo por uso incentiva a no investigar y deja fuera casos críticos.
Antes de firmar, pide a cada proveedor una demo con un auditor presente, una exportación de registros en formato estándar y un informe técnico de su arquitectura de cifrado.

Por qué el proveedor importa tanto como la política interna

La política interna de whistleblowing define qué se puede denunciar y cómo se investiga; el proveedor define si esa política sobrevive al contacto con un inspector. En España, la Ley 2/2023, que transpuso la Directiva (UE) 2019/1937, obliga a las empresas de 50 o más empleados a mantener un canal interno que cumpla requisitos muy concretos de confidencialidad, acuse de recibo y seguimiento. La política sobre el papel puede ser impecable y, sin embargo, quedar invalidada si el proveedor canal de denuncias españa que la soporta registra metadatos, pierde un mensaje porque se cayó un buzón o no permite reconstruir el expediente ante una inspección de la AEPD.

Por eso el proveedor es, en la práctica, parte del programa de cumplimiento. Y por eso una herramienta interna de denuncias que se elija mal traslada la responsabilidad del cumplimiento desde el comité de dirección hasta el responsable de compliance, que es quien tendrá que explicar a un auditor por qué se confió en una promesa de marketing en lugar de en un informe técnico verificable.

Qué preguntar sobre anonimato técnico (sin aceptar respuestas de marketing)

Un proveedor que dice "somos anónimos" sin poder demostrarlo técnicamente es exactamente el tipo de socio que conviene descartar en la primera reunión. Las preguntas que separan una promesa de una garantía son las mismas que haría un auditor.

¿Recoge el proveedor la IP del denunciante o usa cookies de seguimiento?

Cualquier registro de IP, cookie de sesión o huella digital del navegador rompe el anonimato, aunque el proveedor afirme que "no se asocia al caso". La AEPD ha señalado en sus guías que la conservación de metadatos que permitan reidentificar al denunciante puede considerarse un incumplimiento del deber de confidencialidad. Pide al proveedor que confirme por escrito que no existe ninguna recolección de este tipo en el flujo de denuncia, y que lo demuestre con un volcado de cabeceras HTTP o con un informe de pruebas de penetración reciente.

¿Dónde se cifran los datos y quién tiene las claves?

El cifrado en tránsito (HTTPS) no es anonimato: es transporte. Lo que protege al denunciante es el cifrado en el navegador antes de que el mensaje toque el servidor. Una plataforma con denuncias verdaderamente anónimas cifra cada denuncia con una clave única por caso, envuelta después para cada destinatario autorizado, de forma que ni el propio proveedor pueda leer el contenido aunque un juez se lo ordene.

¿Es necesario identificarse para enviar la denuncia?

Si la herramienta obliga a facilitar un correo electrónico o un inicio de sesión, no es anónima, es confidencial. Son categorías distintas. Confidencial significa que la organización sabe quién es el denunciante pero promete no divulgarlo; anónimo significa que ni siquiera la organización puede saberlo, porque la infraestructura nunca recogió esa información.

Cómo verificar que el proveedor cumple los plazos de 7 días y 3 meses

El artículo 10.2 de la Ley 2/2023 obliga a acusar recibo de la denuncia en un plazo máximo de siete días naturales y a dar respuesta al seguimiento en tres meses, con posibilidad de prórroga justificada hasta seis. Son plazos cortos, y los procesos manuales con correo electrónico o con hojas de cálculo fallan de forma silenciosa: un gestor de vacaciones, un buzón compartido saturado o un ticket mal etiquetado basta para incumplir.

Al evaluar un proveedor, hay que pedir pruebas concretas de que los plazos se miden automáticamente y de que la organización puede auditar su cumplimiento. Un software para responsables de compliance debe generar alertas antes del vencimiento, debe impedir cerrar un caso sin haber marcado el acuse de recibo y debe producir un registro inmutable de actividad que demuestre, caso por caso, qué pasó y cuándo. Si el proveedor dice "tenemos notificaciones", pide ver una: la notificación por correo interno sin pista de auditoría no es prueba ante la AEPD.

¿Qué pasa si el plazo se incumple por error humano?

Un buen proveedor no delega el cumplimiento en la disciplina del gestor, sino que impone el cumplimiento por arquitectura. El sistema debe bloquear el cierre del caso hasta que se haya registrado el acuse de recibo, debe registrar la fecha y la persona que lo emitió, y debe generar un informe de cumplimiento periódico que el responsable pueda enseñar al comité de auditoría sin tener que reconstruirlo a mano.

Dónde se alojan los datos y por qué importa la jurisdicción

Un canal de denuncias que cifra en el navegador pero aloja en un país tercero sin decisión de adecuación convierte una buena medida técnica en un problema legal. Si los datos salen del Espacio Económico Europeo y se almacenan, por ejemplo, en Estados Unidos, la organización necesita un mecanismo de transferencia válido (cláusulas contractuales tipo, decisiones de adecuación específicas) y debe poder demostrarlo. Aun así, sigue expuesta a órdenes de autoridades extranjeras que pueden acabar pidiendo el contenido o las claves.

Por eso la pregunta correcta no es solo "¿está cifrado?", sino "¿en qué jurisdicción viven los datos y quién puede obligar al proveedor a entregarlos?". El alojamiento suizo con cifrado de extremo a extremo es una combinación interesante precisamente porque Suiza mantiene legislación de protección de datos equivalente a la europea y aloja centros de datos certificados ISO 27001 dentro de su territorio nacional.

¿Qué certificaciones debe tener el centro de datos?

La certificación ISO 27001 es el mínimo exigible para acreditar que el proveedor gestiona la seguridad de la información con un sistema auditado. Otras certificaciones útiles son ISO 27017 (seguridad en la nube), ISO 27018 (protección de datos personales en la nube) y SOC 2 Tipo II, que audita controles operativos durante un periodo prolongado. Ninguna de ellas garantiza por sí sola el anonimato del denunciante, pero son indicadores de madurez que reducen el riesgo de incidente.

Modelo de precio: por empleado, por denuncia o tarifa plana

El modelo de precio de un canal de denuncias es, en sí mismo, una decisión de cumplimiento. Si el proveedor cobra por denuncia tramitada, la organización tiene un incentivo perverso a no investigar casos marginales o a cerrarlos rápido para contener el coste. Si cobra por empleado, la factura escala con la plantilla y castiga a las empresas en crecimiento que contratan justamente porque les va bien.

El modelo más alineado con el espíritu de la ley es la tarifa plana por organización: un coste fijo, predecible, que no depende del número de denuncias ni del número de empleados. En el caso de Ashio, el plan Basic incluye recepción anónima, comunicación bidireccional, gestión estructurada de casos, seguimiento de plazos y exportación para auditoría, con un coste de 23 € al mes en la modalidad anual (30 € en mensual) y prueba gratuita de 14 días sin coste por denuncia. Una página de precios transparente es una buena señal: si el precio no está visible, suele esconder un modelo por uso o cláusulas de salida poco claras.

Plantilla de RFP para enviar a proveedores en 48 horas

Una RFP eficaz para un canal de denuncias no necesita ser extensa: necesita ser verificable. Esta plantilla cubre los nueve criterios que un auditor mirará primero y puede enviarse por correo electrónico el lunes por la mañana para tener respuestas de vuelta el miércoles.

Anonymato por diseño. ¿Recogen IP, cookies, huella digital o metadatos del navegador? ¿Dónde se cifran los datos y quién posee las claves? Adjuntar informe técnico o pruebas de penetración.
Cumplimiento de plazos. ¿Cómo se acredita el acuse de recibo en 7 días y el seguimiento en 3 meses? ¿Se generan alertas automáticas? ¿El sistema bloquea el cierre de caso sin acuse?
Jurisdicción y residencia de datos. ¿En qué país se almacenan los datos? ¿Qué certificaciones tiene el centro de datos (ISO 27001, SOC 2)?
RGPD por diseño. ¿Hay registro de actividades, evaluación de impacto, DPA estándar y figura de encargado de tratamiento en la UE?
Modelo de precio. ¿Por organización, por empleado o por denuncia? ¿Hay costes de configuración? ¿Hay permanencia mínima?
Capacidad de auditoría. ¿Se puede exportar el historial completo del caso en formato estándar? ¿Hay un registro inmutable de actividad?
Gestión de equipos. ¿Cuántos gestores pueden trabajar en paralelo? ¿Hay control de acceso por roles?
Idiomas y accesibilidad. ¿Cuántos idiomas soporta la interfaz del denunciante? ¿Es compatible con lectores de pantalla?
Plan de salida. ¿Qué ocurre si cambio de proveedor? ¿Se puede exportar todo el histórico en un formato legible y firmado criptográficamente?

Cinco señales de alarma al leer una demo comercial

Una demo comercial bien preparada puede ocultar problemas graves durante 30 minutos. Estas señales indican que el proveedor no resiste un examen a fondo.

No enseña el registro de actividad. Si durante la demo no puede mostrar un caso real con su línea de tiempo, marcas de acuse de recibo y trazas inmutables, es probable que la auditoría no exista como producto, sino como promesa.
Habla de "confidencial" cuando le preguntas por "anónimo". Son términos distintos, y un proveedor que los mezcla no entiende la diferencia, o no quiere que la entiendas.
No tiene precio visible. La opacidad en el precio suele esconder un modelo por uso, cláusulas de ampliación o costes por denuncia tramitada que aparecerán en la primera factura larga.
No explica qué pasa con los metadatos. Si la respuesta es "no se preocupe, todo está cifrado", el proveedor no ha diferenciado entre cifrado en tránsito y en reposo, y probablemente no protege los metadatos.
Promete "cumplimiento total con la ley" sin documentos. El cumplimiento se demuestra, no se declara. Pide el DPA, la evaluación de impacto y el registro de actividades; un proveedor serio los tiene preparados.

Comparativa de tipos de proveedor: SaaS, on-premise y consultoría legal

Comparativa de tipos de proveedor: SaaS, on-premise y consultoría legal No todos los proveedores hacen lo mismo. Conviene separar tres categorías antes de pedir presupuesto.

SaaS especializado en whistleblowing. Es el modelo más común entre las PYME españolas: una plataforma multiinquilino con las funcionalidades ya construidas. La ventaja es el tiempo de despliegue (días, no meses) y el coste (tarifa plana por organización). La desventaja es que los datos salen del perímetro de la empresa, así que la jurisdicción del proveedor y su arquitectura de cifrado son críticas. Dentro de esta categoría, herramientas como Ashio —un SaaS europeo con cifrado en el navegador, sin IP ni cookies, alojamiento suizo y precio fijo por organización— se orientan a empresas de 50 a 500 empleados que necesitan cumplir la Ley 2/2023 sin montar infraestructura propia. No es la opción adecuada para multinacionales que requieren on-premise ni para organizaciones que necesitan integración con un ERP concreto.

Software genérico de gestión de casos adaptado. Muchos proveedores de GRC o de ticketing han añadido un módulo de "casos de ética" reutilizando su infraestructura existente. La ventaja es que la organización ya conoce la herramienta. La desventaja es que ese tipo de plataformas no nació con anonimato por diseño: registran IP, usan cookies y exponen los datos a administradores del sistema que no deberían ver el contenido de las denuncias.

On-premise o desarrollo a medida. Es la opción para grandes corporaciones o para sectores con requisitos regulatorios muy estrictos (banca, defensa, sanidad). El control es total, pero el coste de despliegue y mantenimiento es alto, y la organización asume toda la responsabilidad de demostrar el cumplimiento ante la AEPD. Una PYME de 80 empleados rara vez tiene justificación para esta vía.

Consultoría legal que monta el canal. Algunas firmas ofrecen montar el canal usando buzones genéricos, formularios web y procesos manuales. Para una empresa que empieza, puede ser un primer paso, pero no resiste una auditoría externa ni cumple los plazos de forma automática: tarde o temprano acaba migrándose a un SaaS especializado.

¿Cuándo compensa el on-premise frente al SaaS?

Solo cuando la organización ya tiene un equipo de seguridad interno capaz de mantener la infraestructura, auditar los registros y certificar el cifrado por su cuenta. Para la mayoría de las PYME españolas, el coste de oportunidad de mantener ese equipo internamente supera con mucho la tarifa plana de un SaaS bien elegido.

Preguntas frecuentes

¿Cuánto cuesta un canal de denuncias para una empresa española?

El plan Basic de Ashio, que sigue un modelo de tarifa plana por organización, cuesta 23 € al mes en modalidad anual (30 € en mensual), sin costes de configuración ni cargos por denuncia tramitada. Los modelos por empleado o por uso pueden parecer más baratos al inicio, pero escalan con la plantilla y desincentivan la investigación de casos.

¿Qué certificaciones debe tener el proveedor?

Como mínimo, ISO 27001 para la gestión de seguridad de la información y cumplimiento demostrable del RGPD. Para datos alojados en la nube son útiles ISO 27017 e ISO 27018, y un informe SOC 2 Tipo II reciente aporta garantías operativas adicionales.

¿El canal interno es obligatorio para empresas de 50 empleados?

Sí. La Ley 2/2023, que transpuso la Directiva (UE) 2019/1937, obliga a las personas jurídicas con 50 o más trabajadores a disponer de un canal interno de denuncias, con acuse de recibo en siete días y respuesta de seguimiento en tres meses.

¿Qué diferencia hay entre denuncia anónima y confidencial?

En una denuncia anónima, ni siquiera la organización conoce la identidad del denunciante porque la infraestructura nunca la recoge. En una denuncia confidencial, la identidad se conoce pero se compromete a no divulgarla. Solo el primer modelo es resistente ante la AEPD cuando se investiga un caso de represalia.

¿Se puede cambiar de proveedor sin perder los expedientes?

Sí, si el contrato incluye un plan de salida con exportación completa del historial en formato estándar y firmado criptográficamente. Cualquier proveedor que no ofrezca esto te está atando por inercia, no por cumplimiento.