Preguntas frecuentes sobre la Ley 2/2023 y el canal de denuncias

Todas las corredurías y mediadores de seguros constituidos como persona jurídica, incluso con menos de 50 empleados, por operar en servicios financieros. También están obligadas el resto de empresas privadas con 50 o más empleados, los sujetos obligados de prevención del blanqueo, ayuntamientos de más de 10.000 habitantes, universidades, partidos políticos, sindicatos y fundaciones con fondos públicos.

La Ley 2/2023 considera la ausencia de SII como infracción muy grave. Las multas para personas jurídicas pueden alcanzar el millón de euros, además de la prohibición de contratar con el sector público hasta 3 años y la pérdida de subvenciones públicas hasta 4 años.

Desde 149 € al año para empresas de hasta 5 empleados. Hasta 890 € al año para empresas de hasta 250 empleados. Incluye plantillas legales, paquete de comunicación a la AAI, branding configurable, RSII titular y suplente, audit log inmutable y soporte. Disponible también como licencia perpetua on-premise por 990 €.

El alta es inmediata tras rellenar el formulario de onboarding y firmar el contrato. La instancia se provisiona en 24-72 horas hábiles, con branding y RSII designado ya configurados.

Tras el alta te pedimos 5 datos legales por un formulario aparte (DNI del RSII titular y suplente, fecha del acuerdo del órgano competente, órgano aprobador, justificación de la independencia del suplente y URL donde publicarás la política). Con esos datos generamos automáticamente tu paquete legal completo: política interna del canal, procedimiento de gestión, acta de designación del RSII, contrato de encargo de tratamiento firmado por nosotros, contrato SaaS, circular a empleados, guion de la sesión formativa y material de autoestudio. Todo llega por email al contacto principal en un único envío consolidado en el plazo prometido de 24-72 horas hábiles desde que rellenes el formulario. Los accesos al panel del RSII se envían por separado durante el alta.

Sí. No registramos IP, User-Agent ni huellas del navegador en el lado público. Eliminamos metadatos EXIF y Office de los adjuntos. El informante recibe un código de seguimiento que le permite ampliar o consultar su comunicación sin identificarse.

Sí. Cifrado de campos sensibles con pgcrypto en base de datos, cifrado de adjuntos en MinIO, registro inmutable de accesos, política de retención automática de 90 días (configurable), y contrato de encargo de tratamiento (art. 28 RGPD) firmable con cada cliente cuando hospedamos como SaaS.

Sí. Cumplecanal se entrega como paquete Docker portable. La modalidad on-premise incluye licencia perpetua y soporte anual opcional, ideal para entidades con políticas estrictas de hosting.

Legalmente sí, según el artículo 8 de la Ley 2/2023. Recomendamos designar además un RSII suplente para los casos en los que la comunicación afecte al titular. Cumplecanal automatiza la regla de abstención y el escalado al suplente para garantizar imparcialidad.

Pregunta legítima. Respuesta honesta: ningún sistema técnico es a prueba del operador del servidor, ni el nuestro ni el de Whistleblower Software, EQS, Tu Canal de Denuncias o cualquier otro proveedor del mercado. Nuestra protección no es pretender lo contrario, es triple. Primero: medidas técnicas estándar del sector (cifrado pgcrypto en BD, RLS multi-tenant, audit log inmutable con cadena hash SHA-256). Segundo: el audit log es auditable por ti desde el panel del RSII — podemos acceder, pero queda rastro y la cadena de hashes hace que no podamos manipularlo silenciosamente sin romper toda la secuencia posterior, lo que cualquier perito detectaría. Tercero: contrato de Encargo de Tratamiento (Art. 28 RGPD) con cláusula penal específica de 30.000 € por acceso fuera de los supuestos autorizados, acumulable con la indemnización por daños. La cláusula está publicada en /comercial/encargo-tratamiento — léela antes de firmar.