Anonimato estructural, no prometido
El informante no crea cuenta. No se registra su IP, no se guardan logs de acceso al portal y a los adjuntos se les eliminan los metadatos (EXIF, GPS, autoría del PDF) antes de cifrarlos.
- En marcha en 48 horasPortal con el nombre de su organización y su propia dirección web, listo para publicar.
- Plazos que se vigilan solosAvisos antes de que venzan el acuse de 7 días y la respuesta de 3 meses.
- Datos en EspañaServidores en España y cada expediente cifrado con su propia clave.
Pedir presupuestoPropuesta cerrada en 24 horas
Tener un canal no basta: hay que demostrar cómo se gestiona.
La mayoría de organizaciones cumple el trámite con un buzón de correo. El problema llega en la inspección: un correo no acredita cuándo se acusó recibo, no garantiza el anonimato, no permite suprimir los datos a los tres meses y no impide que un directivo lea una denuncia que le señala.
Infracción muy grave
No disponer de un Sistema Interno de Información en los términos que exige la ley es infracción muy grave si hay dolo (art. 63.1.g). Para una empresa, de 600.001 € a 1.000.000 €, según la intención, el daño, la reincidencia o la facturación (arts. 65 y 66), y además amonestación pública o veto a contratar con el sector público.
Represalias
La ley invierte la carga de la prueba: ante una represalia, es la organización quien debe acreditar que su decisión nada tuvo que ver con la denuncia. Sin traza documental, esa prueba no existe.
La AEPD también mira
Un canal es un tratamiento de datos de alto riesgo: exige base jurídica, plazos de conservación acotados, derechos del denunciado y evaluación de impacto. Las carpetas compartidas no aprueban ese examen.
Cumplimiento construido en la arquitectura, no añadido después.
Cada requisito de la Ley 2/2023 y del RGPD tiene detrás una decisión técnica concreta. Estas son las que sostienen el resto.
Una clave por expediente
Cada denuncia se cifra con su propia clave AES-256-GCM. Destruirla borra el expediente de forma irreversible: es lo que permite cumplir de verdad la supresión a los 3 meses.
Los plazos se cumplen solos
Acuse de recibo en 7 días, respuesta en 3 meses y prórroga de +3 que exige justificar la especial complejidad. La plataforma avisa antes de que venzan y deja constancia de cada hito.
Canal verbal con voz modulada
El informante puede grabar su denuncia y distorsionar su voz en el propio navegador: al servidor solo llega el audio ya modulado. La transcripción también se hace en local, sin salir del equipo.
Libro-registro
Alta automática al recibir la comunicación, fecha de resolución al cerrar y purga a los 10 años. Acceso restringido al responsable del sistema y a la autoridad competente.
Traza inmutable encadenada
Cada acción se registra en un log append-only encadenado por hash: si alguien alterase un registro, la verificación de la cadena lo detecta. Rol de auditor de solo lectura incluido.
Del aviso a la respuesta, con cada plazo bajo control.
- Día 0
La persona comunica
Entra en el portal de su organización, escribe o graba la denuncia y adjunta pruebas. Sin registrarse y sin dejar rastro identificativo.
- Inmediato
Recibe un código
La pantalla del código es el acuse de recibo. Con él consulta el estado y habla con el gestor manteniendo el anonimato. Solo guardamos su hash: si lo pierde, nadie puede recuperarlo.
- ≤ 7 días
Admisión a trámite
El responsable del sistema valora la comunicación y la admite o la inadmite de forma motivada. Todo queda fechado en el expediente.
- ≤ 3 meses
Instrucción y respuesta
Se instruye el expediente, se informa a la persona afectada y se responde al informante. Ampliable +3 meses justificando la complejidad.
Pruébelo ahora, sin registrarse.
Hemos preparado una organización ficticia con expedientes de ejemplo. Recorra los dos lados del canal: el de quien denuncia y el de quien instruye.
Quien denuncia
El portal del informante
Presente una comunicación de prueba, adjunte un archivo o grabe una nota de voz con la voz modulada, y quédese con el código de seguimiento para consultar el estado.
Abrir el portal de demoQuien instruye
El panel del gestor
Entre con las credenciales de demostración y vea el expediente descifrado, los plazos, la línea temporal, el libro-registro y la traza de auditoría.
- Organización
- demo
- Usuario
- demo@budea.es
- Contraseña
- Demo-Budea-2026
Es un entorno de demostración. Los datos son inventados, cualquiera puede entrar y se reinicia periódicamente. No escriba en él información real ni sensible: si tiene una denuncia que presentar, use el canal de su propia organización.
Lo que nos preguntan antes de contratar.
¿No está aquí su duda? Escríbanos a hola@budea.es.
¿Mi empresa está obligada a tener canal de denuncias?
Sí, si tiene 50 o más personas trabajadoras, si opera en determinados sectores (financiero, blanqueo, seguridad del transporte, medio ambiente) con independencia del tamaño, o si es una entidad del sector público. Lo establece el Art. 10 de la Ley 2/2023.
¿Qué pasa si no lo tenemos?
El incumplimiento doloso de la obligación de disponer de un Sistema Interno de Información es infracción muy grave (art. 63.1.g de la Ley 2/2023). Para personas jurídicas, la multa va de 600.001 € a 1.000.000 € y se gradúa caso a caso: intencionalidad, daño causado, reincidencia, resultado económico, subsanación o colaboración con la Autoridad (art. 66). La A.A.I. puede añadir amonestación pública, prohibición de obtener subvenciones hasta cuatro años y de contratar con el sector público hasta tres, y publicar la sanción en el BOE (art. 65). Represaliar a un informante es también infracción muy grave.
¿El anonimato es real o solo confidencialidad?
Real. La Ley 2/2023 obliga en España a admitir comunicaciones anónimas, y la plataforma está construida para que ni siquiera nosotros podamos deshacerlo: sin cuenta de usuario, sin IP, sin metadatos en los adjuntos y con el código de seguimiento guardado únicamente como hash. Aun así, el informante puede identificarse voluntariamente si lo desea.
¿Quién es responsable del tratamiento de los datos?
Su organización es la responsable; nosotros actuamos como encargado del tratamiento, por cuenta de ella y según sus instrucciones (art. 28 del RGPD).
¿Dónde se alojan los datos?
En centros de datos situados en España, dentro de la Unión Europea. No hay transferencias internacionales y ningún proveedor fuera del EEE accede al contenido de los expedientes.
¿Sirve para el sector público?
Sí. La arquitectura se diseñó desde el primer día alineada con el Esquema Nacional de Seguridad (RD 311/2022): trazabilidad, cifrado, segregación de funciones y gestión de claves. Le acompañamos en el expediente de conformidad ENS de su entidad.
Presupuesto a medida en 24 horas.
El precio depende del tamaño de su plantilla y del número de sedes. Cuéntenos su situación y le enviamos una propuesta cerrada, sin compromiso.
- Portal propio con el nombre de su organización
- Formación al responsable del sistema y a los gestores
- Soporte en español y migración desde su canal actual
¿Prefiere escribir directamente? hola@budea.es