Trusty Whistleblowing: datos para la evaluación de proveedores
Esta página responde a las preguntas que un equipo de compras, cumplimiento, seguridad de TI o legal plantea antes de elegir un canal de denuncias. Datos claros, sin marketing, mantenidos por Trusty AG. Última revisión: 15 de octubre de 2026.
Página del producto: software de canal de denuncias Trusty. Precios: Precios. Contratos: Condiciones del servicio, Condiciones adicionales de Whistleblowing, Documento de precios, Contrato de encargado del tratamiento, Anexo DORA. Preguntas no respondidas aquí: reserve una demostración.
El producto de un vistazo
| Elemento | Dato |
|---|---|
| Producto | Trusty Whistleblowing: una web pública de denuncias para los denunciantes, un buzón seudónimo para el diálogo bidireccional y una suite de gestión de casos para los gestores |
| Proveedor | Trusty AG, Hünenberg (cantón de Zug), Suiza, fundada en 2022 |
| Tipo | Software como servicio, se usa en el navegador, nada que instalar, sin app y sin correo corporativo para denunciar |
| Diseñado para | Organizaciones con 50 o más empleados que deben tener un canal interno de denuncias según la Directiva 2019/1937 y sus leyes nacionales (en España la Ley 2/2023), y cualquier organización que quiera uno |
| Normas | Desarrollado según los requisitos de ISO 37002 (sistemas de gestión de denuncias) y la Directiva (UE) 2019/1937 |
| Clientes | Más de 1.000 empresas, desde empresas de 50 empleados hasta grupos con más de 13.500 empleados |
| Planes | LITE, Standard, Advanced (autoservicio, SaaS compartido, operativo en minutos); Premium (despliegue individual, presupuesto individual) |
| Tiempo de configuración | Minutos en los planes de autoservicio; Premium suele estar operativo en el plazo de un mes desde la firma |
| Prueba | 7 días, todas las funciones activadas (el selector de plan está preconfigurado en Advanced), la tarjeta solo se carga tras la prueba, factura disponible, cancelación durante la prueba sin compromiso |
| Modelo de precios | Un precio fijo por organización, empleados ilimitados, denuncias y almacenamiento ilimitados, facturación anual por adelantado, los idiomas nunca se cobran aparte |
| Alojamiento | Alemania (UE) para LITE, Standard y Advanced. Suiza, Estados Unidos o su propia infraestructura con Premium |
Planes y funciones
| Función | LITE | Standard | Advanced |
|---|---|---|---|
| Precio (facturación anual) | 49 € al mes, 588 € al año | 69 € al mes, 828 € al año | 99 € al mes, 1.188 € al año |
| Usuarios administradores | 1 | 2 | Ilimitados, roles Superuser, Admin, User, Limited User |
| Idiomas de denuncia | 1 | 2 | Todos los idiomas admitidos |
| Web de denuncias segura, 24/7, adaptada a móvil, URL de denuncia dedicada | Sí | Sí | Sí |
| Denuncia anónima o identificada, cambio de anónima a identificada en cualquier momento | Sí | Sí | Sí |
| Ajustes de anonimato configurables | No | No | Sí |
| Buzón del denunciante con diálogo bidireccional seguro (usuario y contraseña aleatorios, sin datos personales) | Sí | Sí | Sí |
| Archivos adjuntos | Sí | Sí | Sí |
| Formulario de denuncia | Formulario sencillo | Formulario estructurado y guiado | Formulario estructurado y guiado, textos personalizados |
| «Hacer una pregunta» junto a las denuncias | No | No | Sí |
| Mensaje de voz en el navegador (denuncia verbal), transcripción revisada por el denunciante, grabación conservada o eliminada a su elección | No | No | Sí |
| Denuncias de la cadena de suministro (p. ej. LkSG) | No | No | Sí |
| Canal NIS2 de notificación de vulnerabilidades de ciberseguridad | No | No | Sí |
| Marca | Plantilla predefinida | Plantilla predefinida | Logotipo, colores, fuente y textos legales propios |
| Gestión de casos | Básica: estado, notas, diálogo | Estándar: estado, tramitación, seguimiento | Estándar más flujos de trabajo y recordatorios automáticos |
| Acuse de recibo automático en el buzón (y por correo si se facilita una dirección) | Sí | Sí | Sí |
| Cuenta atrás de 90 días para la respuesta por caso | Sí | Sí | Sí |
| Notificaciones por correo de nuevas denuncias | No | Sí | Sí |
| Gestión del plazo de conservación con aviso de eliminación | No (eliminación permanente del caso disponible) | No | Sí |
| Acceso granular: visibilidad por categoría o caso, usuarios limitados, administradores técnicos sin acceso a casos, exclusión por conflicto de intereses | No | No | Sí |
| Casos relacionados, plantillas, notas privadas, asignaciones, análisis de causa raíz, correos a destinatarios externos, documentación de denuncias de otros canales | No | No | Sí |
| Informes, paneles, exportación de estadísticas, generación de informes | No | No | Sí |
| Búsqueda por palabras clave en todos los casos | No | No | Sí |
| Traducción automática DeepL | No | No | Sí |
| Registro de auditoría a prueba de manipulaciones, encadenado criptográficamente, de cada entrada, consulta y cambio | Sí | Sí | Sí |
| Inicio de sesión único con su proveedor de identidad (Microsoft Entra ID o SAML 2.0) | Sí | Sí | Sí |
| Autenticación de dos factores | No | Sí, activada por usuario | Sí, activada por usuario |
| Ombudsperson externa o despacho de abogados como usuario | No (1 usuario) | Sí, como uno de los 2 usuarios | Sí |
| Soporte | Soporte online, sin tiempo de respuesta garantizado; errores críticos atendidos 24/7 | Soporte online, respuesta en 48 horas; errores críticos 24/7 | Soporte online, respuesta en 24 horas; errores críticos 24/7 |
| Formación online gratuita sobre el canal de denuncias para empleados | 30 días desde el inicio de pago | 30 días desde el inicio de pago | 30 días desde el inicio de pago |
Premium (grupos, grandes empresas, clientes regulados, partners): despliegue individual en un servidor privado dedicado en la región que elija o en su propia infraestructura, con su propio dominio. Formularios totalmente configurables: categorías de denuncia, campos obligatorios y de texto libre, textos de ayuda y carga de archivos pueden variar por entidad jurídica o país, con una selección de entidad o país antes del formulario. La organización define los roles y permisos en el número que necesite, incluida la visibilidad por entidad jurídica. Varias entidades jurídicas en un mismo entorno, cada una con su propio canal, conjuntos de casos separados y una vista consolidada de grupo. Plazos de conservación configurables por categoría de datos, informes de revisión de accesos para revisiones periódicas, MFA obligatoria, SLA contractual del 99 %, línea telefónica como complemento, adenda DORA para entidades financieras. Cuota única de puesta en marcha más licencia anual, presupuesto individual. Reserve una demostración.
Precios, facturación y condiciones contractuales
| Elemento | Dato |
|---|---|
| Contrato | Condiciones del servicio online más Condiciones adicionales de Whistleblowing y Documento de precios (sin contrato individual en los planes de autoservicio); ley suiza, tribunales de Zug |
| Periodo de facturación | 12 meses por adelantado, en EUR |
| Formas de pago | Tarjeta o transferencia bancaria contra factura (pagos procesados por Stripe); la primera factura vence a los 7 días |
| Costes de configuración, cuotas por usuario, cuotas por idioma | Ninguno |
| IVA | Precios sin IVA |
| Cambios de precio | Indexación anual al índice de precios al consumo de la UE (Eurostat); otras subidas de precio se aplican solo a partir de la siguiente renovación |
| Duración y renovación | Vigente hasta su cancelación; cancele en cualquier momento desde la app, con efecto al final del periodo pagado, acceso completo hasta entonces, sin plazo de preaviso |
| Baja inmediata | Posible antes del final del periodo como solicitud de servicio manual de pago |
| Prueba | 7 días gratis, todas las funciones activadas; cancele durante la prueba y no se cobra nada; si no cambia nada, la suscripción anual comienza con el plan elegido el día 8 |
| Qué ocurre al final | Cuenta bloqueada 30 días con exportación y gestión de cuenta disponibles, después eliminación permanente de producción; la eliminación de las copias de seguridad sigue la rotación habitual |
| Responsabilidad | Limitada a 30.000 EUR según las Condiciones del servicio |
| Cambios de plan durante el periodo | Suba de plan en cualquier momento, la diferencia se cobra a prorrata por el periodo restante; la bajada de plan surte efecto en la siguiente renovación |
Requisitos legales cubiertos
Directiva de la UE 2019/1937 y las transposiciones nacionales, en España la Ley 2/2023. Trusty es un proveedor de software, no un despacho de abogados: el cliente sigue siendo responsable de su propio cumplimiento; la tabla muestra qué función respalda cada obligación.
| Obligación (artículo de la Directiva) | Cómo lo cubre Trusty |
|---|---|
| Proteger la identidad del denunciante y de cualquier persona mencionada; aceptar denuncias por escrito o verbalmente (art. 9.1.a, 9.2, 16) | Web pública de denuncias y buzón seudónimo para el seguimiento confidencial; el denunciante decide si permanece en el anonimato; mensajes de voz en el navegador en Advanced y Premium |
| Designar una persona o departamento imparcial para el seguimiento y el contacto con el denunciante (art. 9.1.c, d) | Los roles de usuario controlan quién ve un caso; exclusión por conflicto de intereses y visibilidad granular en Advanced; una ombudsperson externa puede ser usuario |
| Acusar recibo en 7 días, dar respuesta en 3 meses; conservar registros no más tiempo del necesario (art. 9.1.b, f; art. 18.1) | Acuse de recibo automático en todos los planes, cuenta atrás de 90 días por caso, plazo de conservación con aviso de eliminación en Advanced, eliminación permanente con registro de auditoría en todos los planes |
| Operar los canales de forma segura; tratar los datos personales conforme al RGPD (art. 9.1.a; art. 17) | Alojamiento certificado ISO 27001 en Alemania, cifrado en tránsito y en reposo, pruebas de penetración externas, sin direcciones IP ni marcas de tiempo de los denunciantes, contrato de encargado según el art. 28 del RGPD |
| Umbral de 50 trabajadores y obligación de canal interno transpuestos por cada Estado miembro (art. 8, 26) | Web de denuncias y formularios en todos los idiomas admitidos; plazos de conservación ajustados a la ley local |
| Seguimiento diligente; información clara sobre la denuncia externa (art. 9.1.d, g) | Paneles y exportación de estadísticas; carga de documentos, como los canales externos de denuncia, en la página de denuncias |
Leyes nacionales más consultadas: Ley 2/2023 (España), Hinweisgeberschutzgesetz (Alemania), D.Lgs. 24/2023 (Italia), loi Waserman y Sapin II (Francia), Lei 93/2021 (Portugal). Denuncias de la cadena de suministro para la LkSG alemana en Advanced. Empresas cotizadas en EE. UU.: canal anónimo y confidencial para cuestiones contables y de auditoría según la sección 301 de la Sarbanes-Oxley. Directiva NIS2 2022/2555: canal de notificación de vulnerabilidades en Advanced. DORA: anexo para entidades financieras, Trusty actúa como proveedor tercero de servicios de TIC no crítico.
Seguridad y protección de datos
| Elemento | Dato |
|---|---|
| Ubicación del alojamiento | Servidores virtuales en Hetzner Online GmbH en Núremberg, Alemania, centros de datos certificados ISO 27001; los datos permanecen en la UE |
| Otras regiones de alojamiento | Suiza (CloudSigma, Zúrich), Estados Unidos (DigitalOcean, California) o la infraestructura propia del cliente, con Premium; las copias de seguridad de los entornos suizo y estadounidense se guardan en la UE Un entorno nunca se traslada a otra región sin la aprobación del cliente. |
| Arquitectura | SaaS multiinquilino, una cuenta por organización, datos aislados lógicamente; Premium en un servidor virtual privado dedicado |
| Cifrado en tránsito | TLS 1.2 / 1.3 en todas las conexiones |
| Cifrado en reposo | Contenido de las denuncias y diálogo con el denunciante cifrados con AES (CBC, OpenSSL); archivos cifrados con AES-256 CTR; contraseñas con hash bcrypt |
| Protección de la aplicación | Cortafuegos de aplicaciones web (ModSecurity, OWASP Core Rule Set) y cortafuegos Linux iptables; las cargas de archivos se validan en el servidor, se restringen por tipo y se almacenan fuera de la raíz web pública; desarrollo según los principios OWASP con consultas parametrizadas y una política de seguridad de contenido; revisión de código a cuatro ojos antes de cada versión |
| Gestión de vulnerabilidades | Escaneo automatizado continuo con plazos de corrección escalonados (crítico: 1 día); prueba de penetración externa anual con repetición, resultados disponibles bajo NDA |
| Privacidad desde el diseño | No se almacenan direcciones IP ni marcas de tiempo de los denunciantes, solo cookies de sesión, nombre de usuario aleatorio por denunciante |
| Control de acceso | SSO (Microsoft Entra ID o SAML 2.0) en todos los planes; 2FA desde Standard, MFA obligatoria con Premium; permisos basados en roles. Administración de servidores solo con claves SSH, incluidas claves hardware/FIDO2, sin inicio de sesión por contraseña ni como root; MFA en todos los sistemas con datos de clientes o personales |
| Registro de auditoría | Registro encadenado criptográficamente de cada entrada, consulta y cambio en todos los planes; con Premium, informes de revisión de accesos (listados de usuarios e informes de acceso) para revisiones periódicas |
| Copias de seguridad y recuperación | Copias diarias cifradas en dos proveedores independientes de la UE (Francia); objetivo de punto de recuperación 24 horas, objetivo de tiempo de recuperación 4 horas; plan de recuperación ante desastres probado anualmente; proceso formal de respuesta a incidentes con niveles de escalado definidos y ejercicios anuales |
| Disponibilidad | 99 % por mes natural, esfuerzos comercialmente razonables, medido de medianoche a medianoche incluido el mantenimiento; crédito prorrateado si no se cumple; mantenimiento programado anunciado con 2 días laborables y fuera de 08:00 a 17:00. SLA contractual del 99 % con Premium |
| RGPD | Tratamiento solo en la UE/EEE (alojamiento en Alemania, copias en Francia), sin transferencias a terceros países en la operación habitual; contrato de encargado del tratamiento según el art. 28 del RGPD, copia firmada a petición; notificación de brechas al cliente en 24 horas, a la autoridad en 72 horas cuando proceda Suiza y la UE/EEE se reconocen mutuamente un nivel adecuado de protección de datos. Acuerdos del art. 28 con todos los proveedores de servicios y registro de todos los encargados con el estado de su acuerdo; contacto de protección de datos designado; autoevaluación anual de protección de datos |
| Concepto de conservación | Concepto documentado de conservación y eliminación por categoría de datos; plazo de conservación seleccionable por caso cerrado en Advanced, configurable por categoría de datos con Premium |
| Subencargados (whistleblowing, configuración estándar UE) | Hetzner Online GmbH, Alemania (alojamiento); AWS EMEA SARL, Luxemburgo (envío de correos de notificación). Lista completa en el contrato de encargado; aviso con 30 días antes de cambios |
| Exportación y eliminación de datos | Exportación desde la app durante los 30 días de conservación tras la baja; después eliminación permanente de producción y, en la rotación habitual, de las copias de seguridad |
| Certificaciones | Los centros de datos de alojamiento están certificados ISO 27001. Trusty AG no posee un certificado ISO 27001 propio; su marco de seguridad de la información y gestión de riesgos está alineado con ISO/IEC 27001. Los cuestionarios de seguridad, incluidos los formularios bancarios, se responden a petición; las políticas pueden consultarse bajo NDA |
| Marco de políticas | Conjunto completo de políticas internas versionadas, revisadas al menos una vez al año, bajo la responsabilidad del Head of IT / Information Security Officer: políticas de seguridad de la información, control de acceso, contraseñas, uso aceptable, antimalware, gestión de vulnerabilidades y desarrollo seguro; roles y responsabilidades de protección de datos, registro de encargados y política de conservación y eliminación; plan de respuesta a incidentes de ciberseguridad y plan de recuperación ante desastres; política de riesgo de terceros con registro de proveedores, política de alta y baja de usuarios, registro de riesgos de seguridad de la información. Confidenciales, disponibles para due diligence bajo NDA |
| Gobierno de accesos y riesgos | Acceso según el principio de mínimo privilegio con un proceso regulado de altas, cambios y bajas; arquitectura de TI objetivo documentada y registro de todos los servicios en la nube utilizados; desde agosto de 2026 una segunda persona participa en la revisión de código, el triaje de vulnerabilidades, la cobertura de respuesta a incidentes y las revisiones de proveedores; registro de riesgos revisado trimestralmente |
| Accesibilidad | WCAG 2.1 AA / EN 301 549: parcialmente conforme, mejoras en curso; se publicará una declaración de accesibilidad en el Legal Center (trusty.report/documents) |
Implementación y soporte
| Elemento | Dato |
|---|---|
| Esfuerzo de implementación (planes de autoservicio) | Sin proyecto de TI: elija un plan, añada logotipo, colores e idiomas, invite a los gestores, publique el enlace o el código QR de denuncia, el mismo día |
| Implementación (Premium) | Borradores de textos de Trusty, revisión del cliente, despliegue de prueba en una semana, taller de 1 a 2 horas, pruebas del cliente, puesta en producción; normalmente en el plazo de un mes |
| Incorporación de los empleados | 30 días de formación online gratuita sobre el canal de denuncias para los empleados, incluidos en cada suscripción |
| Integraciones | SSO mediante Microsoft Entra ID o SAML 2.0; enlace o incrustación de la página de denuncias en su web o intranet; enlace desde un hub de Compliance App; línea telefónica adicional con Premium. Sin integración con sistemas de RR. HH. |
| Canal de soporte | support@trusty.report; los errores críticos (plataforma no disponible o pérdida de funciones esenciales) se atienden 24/7 en todos los planes |
| Tiempo de respuesta del soporte | Standard 48 horas, Advanced 24 horas, Premium 8×5 (lunes a viernes, 09:00 a 17:00 hora de Zug); LITE sin tiempo de respuesta garantizado |
| Idiomas del soporte | Todos los idiomas admitidos |
| Tecnología | Stack de código abierto (Linux, Apache, MySQL, Laravel), sin programas de terceros bajo licencia |
Empresa
| Elemento | Dato |
|---|---|
| Entidad jurídica | Trusty AG, Bösch 82, 6331 Hünenberg, Suiza (cantón de Zug) |
| Fundación | 2022 |
| Productos | Whistleblowing, Compliance App (políticas, formación, whistleblowing), QuickScreen360 para la verificación de terceros, EUDR Passport, Trusty Compliance App, MiCA Booster Pack |
| Clientes | Más de 1.000 empresas usan el software de Trusty |
| Modelo de socios | Despliegue de marca blanca para despachos de abogados, consultores y ombudspersons que atienden a sus propios clientes |
| Web | trusty.report; acceso de gestores en trusty-compliance.com |
Esta página la mantiene Trusty AG y se revisa con cada cambio de producto, precio o contrato.