Preguntas frecuentes sobre la Ley 2/2023 y el canal de denuncias
Resolvemos las dudas más habituales que nos hacen las empresas y entidades obligadas que estudian implantar su SII.
¿Qué empresas y entidades están obligadas a tener un canal interno por la Ley 2/2023?
Todas las corredurías y mediadores de seguros constituidos como persona jurídica, incluso con menos de 50 empleados, por su encaje en la Directiva IDD 2016/97 (art. 10.1.b + anexo I.B Directiva 2019/1937). También están obligadas el resto de empresas privadas con 50 o más empleados, los sujetos obligados de prevención del blanqueo, ayuntamientos de más de 10.000 habitantes, universidades, partidos políticos, sindicatos y fundaciones con fondos públicos.
¿Qué sanción tiene no tener canal de denuncias?
La Ley 2/2023 tipifica el incumplimiento de la obligación de disponer de Sistema Interno de Información como infracción muy grave (art. 63.1.g). Las multas para personas jurídicas pueden alcanzar 1.000.000 € (aunque la cuantía concreta debe individualizarse conforme al art. 66), además de prohibición de contratar con el sector público hasta 3 años y pérdida de subvenciones hasta 4 años.
¿Cuánto cuesta Cumplecanal?
Desde 149 € al año para empresas de hasta 5 empleados. Hasta 890 € al año para empresas de hasta 250 empleados. Incluye plantillas legales, paquete de comunicación a la AAI, branding configurable, RSII con persona suplente por diseño (buena práctica de continuidad, no exigencia legal del art. 8), audit log inmutable y soporte. Disponible también como licencia perpetua on-premise por 990 €.
¿En cuánto tiempo está operativo?
El alta es inmediata tras rellenar el formulario de onboarding y firmar el contrato. La instancia se provisiona en 24-72 horas hábiles, con branding y RSII designado ya configurados.
¿Qué recibo en las primeras 72 horas después de darme de alta?
Tras el alta te pedimos 5 datos legales por un formulario aparte (DNI del RSII titular y suplente, fecha del acuerdo del órgano competente, órgano aprobador, justificación de la independencia del suplente y URL donde publicarás la política). Con esos datos generamos automáticamente tu paquete legal completo: política interna del canal, procedimiento de gestión, acta de designación del RSII, contrato de encargo de tratamiento firmado por nosotros, contrato SaaS, circular a empleados, guion de la sesión formativa y material de autoestudio. Todo llega por email al contacto principal en un único envío consolidado en el plazo prometido de 24-72 horas hábiles desde que rellenes el formulario. Los accesos al panel del RSII se envían por separado durante el alta.
¿El canal es realmente anónimo?
Sí. No registramos IP, User-Agent ni huellas del navegador en el lado público. Eliminamos metadatos EXIF y Office de los adjuntos. El informante recibe un código de seguimiento que le permite ampliar o consultar su comunicación sin identificarse.
¿Cumple RGPD?
Sí. Base jurídica correcta (art. 6.1.c RGPD, obligación legal, conforme al art. 30.2 Ley 2/2023). Cifrado de campos sensibles con pgcrypto en base de datos, cifrado de adjuntos en MinIO, audit log inmutable, retención hard-cap a 3 meses conforme al art. 32.4, y contrato de encargo de tratamiento (art. 28 RGPD) firmable con cada cliente cuando hospedamos como SaaS.
¿Puedo instalarlo en mi propio servidor?
Sí. Cumplecanal se entrega como paquete Docker portable. La modalidad on-premise incluye licencia perpetua y soporte anual opcional, ideal para entidades con políticas estrictas de hosting.
¿El Responsable del Sistema (RSII) puede ser el CEO?
Puede ser compatible en determinadas estructuras, pero no por el mero hecho de ser CEO. El art. 8 de la Ley 2/2023 exige independencia funcional del RSII respecto del órgano de administración; cuando CEO/administrador único y RSII coinciden, hay que analizar caso a caso y prever expresamente cómo se gestiona una comunicación que pueda afectar al propio administrador. Cumplecanal incluye por diseño una persona suplente para esa regla de abstención (buena práctica recomendada por la AIPI, no obligación legal del art. 8).
Cumplecanal lo opera una correduría — ¿podríais ver las denuncias de mis empleados?
Pregunta legítima. Respuesta honesta: ningún sistema técnico es a prueba del operador del servidor, ni el nuestro ni el de Whistleblower Software, EQS, Tu Canal de Denuncias o cualquier otro proveedor del mercado. Nuestra protección no es pretender lo contrario, es triple. Primero: medidas técnicas estándar del sector (cifrado pgcrypto en BD, RLS multi-tenant, audit log inmutable con cadena hash SHA-256). Segundo: el audit log es auditable por ti desde el panel del RSII — podemos acceder, pero queda rastro y la cadena de hashes hace que no podamos manipularlo silenciosamente sin romper toda la secuencia posterior, lo que cualquier perito detectaría. Tercero: contrato de Encargo de Tratamiento (Art. 28 RGPD) con cláusula penal específica de 30.000 € por acceso fuera de los supuestos autorizados, acumulable con la indemnización por daños. La cláusula está publicada en /comercial/encargo-tratamiento — léela antes de firmar.
¿Tu pregunta no está aquí? Escríbenos al contratar y te respondemos antes de cerrar el alta.
Qué NO incluye Cumplecanal
Transparencia es saber qué te aporta el producto y qué no. Si necesitas algo de esta lista, te derivamos a quien sí lo cubre.
Asesoramiento jurídico individualizado sobre cada comunicación recibida
Cumplecanal es la plataforma técnica del canal y aporta plantillas legales validadas, pero la valoración jurídica de cada denuncia concreta (¿es delito? ¿afecta a un directivo? ¿procede notificación a fiscalía?) corresponde al RSII designado por la entidad o a su asesor legal externo.
Alternativa: Si necesitas asesoramiento legal por comunicación, contrata por separado un abogado especialista en compliance o un servicio de DPO externo.
Servicio de DPO (Delegado de Protección de Datos) externo
Cumplecanal cumple los requisitos técnicos del RGPD aplicables al SII, pero no actúa como DPO de tu entidad. Si tu organización está obligada a designar DPO (Art. 37 RGPD), debe hacerlo por separado.
Alternativa: Despachos especializados o consultoras como Datax, Govertis, Pintos & Salgado.
Certificación ISO 27001, SOC 2, ENS o equivalentes
Aplicamos buenas prácticas alineadas con ISO 27001 (cifrado, audit log, control de accesos, plan de continuidad), pero no aportamos certificación formal a fecha de hoy. Si tu sector exige certificación reconocida para contratar (típico en sector público vía ENS Medio), es un requisito que Cumplecanal aún no satisface.
Alternativa: Para Administraciones Públicas que requieran ENS Medio, recomendamos esperar a nuestra hoja de ruta de certificación o evaluar proveedores ya certificados.
Investigación interna, instrucción del expediente disciplinario o procedimiento sancionador
Cumplecanal registra, traza y custodia las comunicaciones, pero la investigación material (entrevistas, recopilación de pruebas, redacción del informe final) la realiza tu RSII o un investigador externo contratado al efecto.
Alternativa: Despachos de compliance e investigación interna especializados.
Asesoramiento sobre prevención de blanqueo (PBC/FT), riesgos laborales o ciberseguridad ofensiva
Somos canal interno de denuncias; no cubrimos disciplinas conexas como PBC/FT, prevención de riesgos laborales o pentesting. Si una denuncia recibida revela carencias en alguna de estas áreas, derivar al especialista correspondiente.
Alternativa: SEPBLAC para PBC/FT; servicios de prevención propios o ajenos para PRL.
¿Todo claro? Tu canal en 24-72 horas.
Sin sustos, sin permanencia, con todas las garantías legales y técnicas.
Contratar ahora