Cómo funciona Alertio, paso a paso.

1. Resumen ejecutivo

Un canal ético o whistleblowing channel es el mecanismo formal, seguro y confidencial que una organización pone a disposición de sus miembros para comunicar acciones u omisiones que puedan constituir infracciones del Derecho de la Unión o del ordenamiento jurídico español. Alertio implementa ese canal como software as a service, con configuración por tenant, hospedado íntegramente en la Unión Europea.

1.1 Qué es un canal ético

No es un buzón de sugerencias ni un formulario de contacto. Es un procedimiento reglado, con plazos, roles, obligaciones de confidencialidad, garantías de indemnidad para el informante y trazabilidad completa del expediente. La ley exige un procedimiento escrito, publicado, accesible y con responsable designado.

1.2 Quién está obligado

• Empresas privadas con 50 o más trabajadores.
• Entidades del sector público, con excepciones para municipios de menos de 10.000 habitantes salvo actividad regulada específica.
• Partidos políticos, sindicatos, organizaciones empresariales y fundaciones que reciban fondos públicos.
• Con independencia del número de trabajadores, entidades del ámbito de servicios financieros, PBC/FT, seguridad del transporte, protección del medio ambiente, etc.

1.3 Sanciones por incumplir

La Ley 2/2023 establece un régimen sancionador propio (arts. 63 y ss.):

• Infracciones muy graves: multa de 600.001 € a 1.000.000 € para personas jurídicas.
• Graves: de 100.001 € a 600.000 €.
• Leves: hasta 100.000 €.
• Sanciones adicionales: prohibición de contratar con el sector público, pérdida de subvenciones o publicación de la sanción.

2. Marco legal detallado

2.1 Ley 2/2023, de 20 de febrero

Reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Transpone la Directiva (UE) 2019/1937 al ordenamiento español. Sus ejes son cuatro:

1. Sistema interno de información: obligación de disponer de un canal interno (arts. 5–15).
2. Canal externo: ante la Autoridad Independiente de Protección al Informante (arts. 16–24).
3. Revelación pública: condiciones en que el informante puede acudir directamente a la opinión pública (arts. 27–28).
4. Medidas de protección: prohibición de represalias y medidas de apoyo (arts. 35–41).

2.2 Directiva (UE) 2019/1937

Norma europea que armoniza los estándares mínimos. En caso de duda, Alertio aplica siempre la más protectora para el informante. Cubre ámbitos como contratación pública, servicios financieros, blanqueo, seguridad de los productos, seguridad del transporte, protección del medio ambiente, protección radiológica y seguridad nuclear, seguridad de los alimentos y de los piensos, sanidad animal, salud pública, protección de los consumidores, protección de la intimidad y protección de datos y seguridad de las redes y sistemas de información.

2.3 RGPD y LOPDGDD

Todo tratamiento en el marco del canal se sujeta al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). La base jurídica principal es el cumplimiento de una obligación legal (art. 6.1.c RGPD) en relación con la propia Ley 2/2023. Los datos son de categorías especiales cuando el hecho denunciado revela infracción penal o afecta a salud, ideología, etc., y se aplica el art. 10 RGPD.

2.4 Autoridad Independiente de Protección al Informante

La A.A.I.I. es el organismo nacional que gestiona el canal externo y supervisa el cumplimiento. Su Consejo tiene competencias sancionadoras. En comunidades autónomas con órgano propio (p. ej. Cataluña, Andalucía, Valencia), este actúa en paralelo. Alertio orienta al informante hacia el canal externo cuando el interno no responde en plazo.

2.5 Ámbito material: qué se puede denunciar

• Infracciones del Derecho de la Unión (Anexo Directiva).
• Infracciones penales o administrativas graves o muy graves.
• Vulneraciones graves de la normativa laboral en materia de seguridad y salud.
• Infracciones financieras, fiscales y de contratación pública.

Quedan fuera las meras discrepancias laborales, las quejas de servicio o el acoso interpersonal cuando no encaje en ilícito penal — para eso hay otros protocolos internos.

2.6 Ámbito personal: quién puede denunciar

La protección alcanza a un catálogo amplio: empleados, autónomos, accionistas, miembros del órgano de administración, becarios, voluntarios, contratistas, subcontratistas, proveedores, ex-empleados y personas que participen en procesos de selección.

2.7 Prohibición de represalias

Se consideran represalias, entre otras: suspensión, despido, no renovación, cambio de puesto no consentido, denegación de formación, evaluaciones negativas, imposición de medidas disciplinarias, coacciones, intimidación, acoso, ostracismo, listas negras, resolución anticipada de contratos o daños reputacionales. La carga de la prueba se invierte: es la empresa quien debe acreditar que la medida es ajena a la denuncia.

3. Primeros pasos con Alertio

3.1 Alta y creación del tenant

1. Accede a alertio.eu/contacto y solicita alta.
2. Recibes email de verificación y creas la cuenta del Owner.
3. Se crea automáticamente un tenant con un slug público único (tu URL de canal: alertio.eu/c/tu-empresa).
4. Se activan 14 días de prueba con todas las funciones.

3.2 MFA obligatorio

La ley exige medidas técnicas y organizativas apropiadas. Alertio exige MFA (TOTP) a todos los usuarios internos. En el primer inicio de sesión el sistema te fuerza a registrar una app compatible (Google Authenticator, 1Password, Authy). Sin MFA verificado no se puede acceder al Inbox ni a la configuración.

3.3 Onboarding guiado

Tras el primer login, el Panel muestra una lista de pasos pendientes: designar Responsable del Sistema, crear categorías, publicar textos del canal, subir política de privacidad específica y probar el envío. Cada paso enlaza a la sección correspondiente y se marca en verde al completarlo.

3.4 Publicar el canal

Cuando marcas el canal como publicado, la URL pública queda accesible. Coloca ese enlace en tu web corporativa (obligatorio por Ley 2/2023 art. 5.2.a), en la intranet y en el contrato de trabajo. Alertio genera un widget embebible y un PDF con el procedimiento escrito para su comunicación a la plantilla.

4. Todo lo que puedes hacer en la webapp

4.1 Panel

Vista global del tenant. Muestra comunicaciones abiertas, plazos próximos a vencer, incongruencias sin revisar, actividad reciente y tareas de onboarding. Los widgets son configurables por rol.

4.2 Inbox (comunicaciones)

Bandeja principal. Cada comunicación es un expediente con:

• Estado: Recibida → Admitida → En instrucción → Resuelta → Archivada.
• Plazo activo: 7 días para acuse, 3 meses para resolución, prorrogable.
• Hilo bidireccional: mensajes con el informante vía PIN.
• Adjuntos cifrados: pruebas documentales.
• Notas internas: solo visibles para el equipo instructor.
• Incongruencias marcadas: con motivo, fecha y responsable.
• Cronología inmutable: log de auditoría con cada acción.

4.3 Diseño del canal

Personaliza colores, logotipo, tipografía, favicon y layout del canal público (alertio.eu/c/tu-empresa). Vista previa en tiempo real. Restricción: no se pueden modificar los textos legales obligatorios ni ocultar los enlaces al canal externo de la A.A.I.I.

4.4 Contenido y textos

Edita los mensajes que ve el informante: bienvenida, aviso legal, información sobre el tratamiento de datos, criterios de admisibilidad, plazos y datos del Responsable del Sistema. Alertio provee plantillas conformes que puedes tomar como base.

4.5 FAQ

Añade preguntas frecuentes ilimitadas. Cada FAQ es multi-idioma y puede reordenarse. Recomendado: incluir siempre "¿Puedo denunciar de forma anónima?", "¿Cuánto tarda la respuesta?" y "¿Qué ocurre si me toman represalias?".

4.6 Documentos

Sube documentos públicos: procedimiento interno, código ético, política anticorrupción, política de protección al informante. Se muestran en la home del canal con descarga directa. Versionado con fecha para trazabilidad.

4.7 Idiomas

El canal público está disponible en 27 idiomas de la UE. Puedes activar los que correspondan a tu plantilla y traducir textos personalizados. El informante ve el canal en el idioma detectado por su navegador, con opción de cambio manual.

4.8 Usuarios

Alta y baja de usuarios internos. Cada usuario tiene: email, MFA obligatorio, rol, cargo, categorías a las que accede, entidades del grupo asignadas y política de retención específica. Auditoría completa de accesos.

4.9 Cargos

Un cargo agrupa permisos frecuentes en tu organización (p. ej. "Compliance Officer", "Auditor interno"). Al asignar un cargo a un usuario, se aplican los permisos por defecto. Útil para altas masivas.

4.10 Categorías

Taxonomía de comunicaciones (Fraude, PBC/FT, RGPD, Acoso, Medio ambiente, etc.). Cada categoría puede tener asignados instructores concretos, plantillas de respuesta y plazos personalizados. El informante elige categoría al enviar; el sistema encamina automáticamente.

4.11 Entidades del grupo

Modela grupos empresariales o varias sociedades bajo un mismo tenant. Cada entidad tiene su propio slug público, textos y equipo instructor, pero comparte usuarios y auditoría global. Cumple con la posibilidad legal de compartir recursos en grupos y en entidades con menos de 250 trabajadores.

4.12 Relaciones informante-empresa

Define las relaciones que puede declarar el informante (empleado, ex-empleado, proveedor, candidato…). Sirve para estadística agregada anónima y para orientar el flujo. No es campo obligatorio: el informante puede omitirlo.

4.13 Configuración general

Datos fiscales del tenant, DPO designado, Responsable del Sistema, política de retención por categoría, integraciones (webhook, email), zona horaria, idioma por defecto de la webapp.

4.14 Seguridad

Política de contraseñas, sesiones activas por usuario, historial de MFA, restricción de IP, log de auditoría exportable en CSV/JSON, revocación de tokens y borrado seguro de expedientes archivados.

4.15 Facturación

Suscripción, método de pago, facturas descargables, cambio de plan, cancelación en un clic. Toda la información fiscal generada cumple con Verifactu y con la normativa europea de facturación electrónica.

5. Roles y permisos

La segregación de funciones no es opcional: la ley exige que quien reciba y gestione las comunicaciones sea independiente. Alertio implementa cinco roles.

5.1 Owner (Titular)

Persona física titular del tenant. Puede transferir la titularidad. Único rol que puede eliminar el tenant, contratar planes y firmar el DPA.

5.2 Administrador

Gestiona usuarios, cargos, entidades y configuración. No accede al contenido de expedientes salvo que además tenga rol de gestor o instructor.

5.3 Gestor — Responsable del Sistema de Información

Figura obligatoria del art. 8 Ley 2/2023. Recibe las comunicaciones, decide la admisión, asigna instructores y firma la resolución. Debe ser independiente y no tener conflicto de interés con lo denunciado.

5.4 Instructor

Investiga los hechos: dialoga con el informante, recaba pruebas, redacta propuesta de resolución. Solo ve las comunicaciones asignadas a su categoría o expediente.

5.5 Visor / Auditor externo

Acceso solo lectura, con o sin datos anonimizados, para auditorías internas o externas. Su actividad queda registrada de forma diferenciada.

5.6 Segregación de funciones

Alertio impide que un mismo usuario sea a la vez informante e instructor del mismo expediente, y bloquea el acceso a expedientes en los que haya conflicto de interés declarado. Estos bloqueos se registran en el log.

6. Ciclo de vida de una comunicación

6.1 Envío por el informante

El informante entra en alertio.eu/c/tu-empresa, elige categoría, redacta su comunicación, adjunta ficheros si procede y decide si se identifica o permanece anónimo. Al enviar recibe un PIN de 12 caracteres. Es la única llave para retomar el hilo. Alertio no almacena ese PIN en claro: se guarda su hash con Argon2id.

6.2 Acuse de recibo (7 días)

En un plazo máximo de 7 días naturales, el Responsable del Sistema debe enviar acuse. Alertio genera un mensaje automático inicial y avisa al equipo si en 5 días no ha habido interacción humana.

6.3 Análisis de admisión

Se valora si la comunicación entra en el ámbito material y personal, si tiene visos de veracidad y si es competencia del canal. Se documenta la decisión (admisión, inadmisión motivada o remisión a otro canal).

6.4 Instrucción

El instructor asignado recaba información: solicita aclaraciones al informante, entrevista a personas afectadas (con las cautelas legales), obtiene documentos. Todas las actuaciones quedan trazadas.

6.5 Medidas y cierre

Si hay indicios: propuesta de medidas disciplinarias, comunicación al Ministerio Fiscal si hay indicio de delito, revisión de controles internos. Si no hay indicios: archivo motivado.

6.6 Resolución al informante (3 meses)

Se le comunica el resultado — sin revelar identidades de terceros — dentro del plazo máximo de 3 meses. Si se prorroga hasta 6 meses, se notifica la prórroga y su motivo.

6.7 Conservación y borrado

Alertio aplica la política de retención definida: por defecto 10 años para el expediente completo, con supresión a los 3 meses de los datos personales que no sean necesarios. El borrado es criptográfico y verificable.

7. Plazos legales — cómo los automatiza Alertio

7.1 7 días — acuse de recibo

Contador visible en cada expediente. A los 5 días naturales sin interacción, correo automático al Responsable del Sistema. A los 7 días, alerta en Panel y marca roja.

7.2 3 meses — resolución

Timeline con hitos: día 30, 60, 75 y 90. Cada hito lanza recordatorio. Al día 90 sin resolución, el expediente se marca como vencido y aparece en el Panel del Owner.

7.3 Prórroga hasta 6 meses

El gestor puede activar la prórroga desde el expediente. Se envía comunicación automática al informante justificando la complejidad y se extiende el timeline. La ley no permite superar los 6 meses acumulados salvo casos excepcionales justificados.

7.4 Cron diario y alertas

Un cron ejecutado cada mañana revisa todos los expedientes abiertos, calcula días restantes, envía emails a instructores con vencimientos próximos y a gestores con incidencias. Se puede ver el histórico en Configuración → Seguridad → Log de auditoría.

8. Incongruencias e integridad del relato

8.1 Qué es una incongruencia

Una incongruencia es una contradicción interna en el relato del informante o una discrepancia entre lo denunciado y los indicios objetivos hallados. No es lo mismo que una falsedad: puede deberse a errores de memoria, información parcial o desconocimiento del alcance del hecho.

8.2 Tipos habituales

• Temporales: fechas o secuencia de sucesos que no cuadran con registros verificables.
• Documentales: pruebas aportadas que no coinciden con lo relatado.
• Testificales: versiones cruzadas contradictorias entre personas mencionadas.
• Materiales: importes, ubicaciones o partes implicadas que no encajan.
• Jurídicas: encaje normativo inexistente para lo descrito.

8.3 Cómo se tratan en Alertio

1. El instructor abre "Incongruencia" dentro del expediente y describe la contradicción con referencia a pruebas.
2. Se registra fecha, autor y tipo.
3. Se solicita aclaración al informante, sin desvelar la existencia del expediente al denunciado.
4. Si la aclaración resuelve la incongruencia, se marca "subsanada".
5. Si no, se documenta en la propuesta de resolución con el peso probatorio correspondiente.

Cada incongruencia es un objeto auditable con su propia trazabilidad. No se comparte con el informante en su literalidad para no comprometer la investigación.

8.4 Denuncias de mala fe

La Ley 2/2023 (art. 63.1.i) tipifica como infracción muy grave la comunicación de información falsa a sabiendas. Si tras la instrucción se acredita mala fe se pierde la protección como informante y puede activarse la vía sancionadora interna y, en su caso, denuncia penal por acusación falsa. Alertio permite documentar formalmente esta conclusión.

9. Anonimato y protección del informante

9.1 Anonimato técnico

Cuando el informante envía anónimo, Alertio no registra IP en el expediente, no aplica fingerprinting, no exige cookies, no requiere login. El único identificador es el PIN que solo él conoce.

9.2 Comunicación por PIN

Con el PIN el informante puede volver al canal para leer respuestas, aportar documentación o solicitar prórroga. Si pierde el PIN, la comunicación no se puede recuperar: es el precio del anonimato real.

9.3 No hay desanonimización

Ni la empresa ni el equipo de Alertio pueden desanonimizar una comunicación. No hay backdoor. Si un juez la requiere, se aporta lo que exista, que por diseño no incluye identidad.

9.4 Protección frente a represalias

Además de la comunicación principal, el canal público ofrece una vía específica para reportar represalias sufridas tras haber informado, con el mismo estándar de confidencialidad y con un tratamiento prioritario.

10. RGPD aplicado al canal

10.1 Base jurídica y minimización

Base jurídica: obligación legal (art. 6.1.c RGPD, art. 30 Ley 2/2023). Minimización: solo se recogen los datos imprescindibles. Los formularios de envío no piden nombre, DNI ni teléfono salvo que el informante decida aportarlos.

10.2 Derechos del interesado

Los derechos de acceso, rectificación, supresión, oposición y portabilidad se garantizan, con las limitaciones del art. 32 Ley 2/2023 cuando su ejercicio pueda comprometer la investigación o la identidad de otros informantes. Las solicitudes se canalizan a través del DPO.

10.3 Plazos de conservación

• Datos personales irrelevantes: supresión a los 3 meses de la recepción.
• Expediente admitido: hasta 10 años desde el archivo, salvo obligación legal superior.
• Auditoría de sistema: 10 años.

10.4 Encargado del tratamiento (DPA)

Alertio actúa como encargado. El DPA se firma en el proceso de contratación y recoge medidas técnicas y organizativas, subencargados autorizados, ubicación de tratamiento (UE) y procedimiento en caso de brechas. Puedes consultarlo en /legal/dpa.

11. Seguridad e infraestructura

11.1 Hosting UE

Bases de datos y almacenamiento de ficheros hospedados en centros de datos certificados dentro de la Unión Europea. Sin transferencias internacionales salvo las estrictamente necesarias documentadas en el DPA.

11.2 Cifrado en tránsito y en reposo

TLS 1.3 para todas las comunicaciones. Cifrado en reposo AES-256 sobre discos. Cifrado a nivel de aplicación en los adjuntos de expedientes con claves gestionadas.

11.3 Trazabilidad y auditoría

Cada acción sobre un expediente queda registrada con usuario, fecha, IP interna y detalle. El log es inmutable a nivel de aplicación y exportable en CSV/JSON para auditores externos.

11.4 Copias y recuperación

Copias cifradas diarias con retención de 30 días. Plan de recuperación con RPO de 24 h y RTO de 4 h. Pruebas de restauración documentadas trimestralmente.

12. Preguntas frecuentes

13. Glosario

A.A.I.I.

Autoridad Independiente de Protección al Informante. Canal externo.

Canal interno

Sistema propio de la organización. Es lo que Alertio implementa.

Canal externo

Ante la A.A.I.I. o autoridad autonómica competente.

Revelación pública

Difusión abierta cuando los canales anteriores han fallado o hay riesgo inminente.

Responsable del Sistema

Persona designada al frente del canal interno (art. 8 Ley 2/2023).

Informante

Quien comunica de buena fe hechos con visos de veracidad.

Denunciado

Persona a la que la comunicación atribuye la conducta. Titular de derechos de defensa.

PIN

Clave de 12 caracteres que permite al informante retomar la comunicación anónima.

Incongruencia

Contradicción documentada durante la instrucción. No equivale a falsedad.

Represalia

Acto u omisión desfavorable derivado directa o indirectamente de haber informado.

DPA

Acuerdo de tratamiento de datos entre responsable y encargado (art. 28 RGPD).

Esta guía es orientativa y no constituye asesoramiento jurídico. Si necesitas una revisión personalizada de tu procedimiento interno, escríbenos a [email protected].