Trusty Whistleblowing: ficha técnica para avaliação de fornecedores
Esta página responde às perguntas que uma equipa de compras, compliance, segurança de TI ou jurídica faz antes de escolher um canal de denúncias. Factos, sem marketing, mantidos pela Trusty AG. Última revisão: 15 de outubro de 2026.
Página do produto: software de canal de denúncias Trusty. Preços: Preços. Contratos: Termos de Serviço, Termos Adicionais de Whistleblowing, Documento de Preços, Acordo de Tratamento de Dados, Adenda DORA. Perguntas sem resposta aqui: marque uma demonstração.
O produto em resumo
| Item | Facto |
|---|---|
| Produto | Trusty Whistleblowing: um site público de denúncias para os denunciantes, uma caixa de mensagens pseudónima para o diálogo bidirecional e um conjunto de gestão de casos para os gestores |
| Fornecedor | Trusty AG, Hünenberg (cantão de Zug), Suíça, fundada em 2022 |
| Tipo | Software como serviço, utilizado no navegador, nada para instalar, sem app e sem e-mail da empresa para denunciar |
| Concebido para | Organizações com 50 ou mais trabalhadores que têm de ter um canal de denúncias interno ao abrigo da Diretiva (UE) 2019/1937 e das suas leis nacionais (em Portugal a Lei 93/2021), e qualquer organização que queira um |
| Normas | Desenvolvido segundo os requisitos da ISO 37002 (sistemas de gestão de denúncias) e da Diretiva (UE) 2019/1937 |
| Clientes | Mais de 1.000 empresas, de empresas com 50 trabalhadores a grupos com mais de 13.500 trabalhadores |
| Planos | LITE, Standard, Advanced (self-service, SaaS partilhado, operacional em minutos); Premium (implementação individual, orçamento individual) |
| Tempo de configuração | Minutos nos planos self-service; o Premium fica normalmente operacional no prazo de um mês após a assinatura |
| Teste | 7 dias, todas as funcionalidades desbloqueadas (o seletor de plano está predefinido em Advanced), cartão debitado apenas após o teste, fatura disponível, cancelamento durante o teste sem compromisso |
| Modelo de preços | Um preço fixo por organização, trabalhadores ilimitados, denúncias e armazenamento ilimitados, faturação anual antecipada, idiomas nunca cobrados à parte |
| Alojamento | Alemanha (UE) para LITE, Standard e Advanced. Suíça, Estados Unidos ou a sua própria infraestrutura com Premium |
Planos e funcionalidades
| Funcionalidade | LITE | Standard | Advanced |
|---|---|---|---|
| Preço (faturação anual) | 49 € por mês, 588 € por ano | 69 € por mês, 828 € por ano | 99 € por mês, 1.188 € por ano |
| Utilizadores administradores | 1 | 2 | Ilimitados, funções Superuser, Admin, User, Limited User |
| Idiomas de denúncia | 1 | 2 | Todos os idiomas suportados |
| Site de denúncias seguro, 24/7, adaptado a telemóvel, URL de denúncia dedicado | Sim | Sim | Sim |
| Denúncia anónima ou identificada, passagem de anónima a identificada a qualquer momento | Sim | Sim | Sim |
| Definições de anonimato configuráveis | Não | Não | Sim |
| Caixa de mensagens do denunciante com diálogo bidirecional seguro (nome de utilizador e palavra-passe aleatórios, sem dados pessoais) | Sim | Sim | Sim |
| Anexos | Sim | Sim | Sim |
| Formulário de denúncia | Formulário simples | Formulário estruturado e guiado | Formulário estruturado e guiado, textos personalizados |
| «Fazer uma pergunta» a par das denúncias | Não | Não | Sim |
| Mensagem de voz no navegador (denúncia oral), transcrição revista pelo denunciante, gravação mantida ou eliminada à sua escolha | Não | Não | Sim |
| Denúncias da cadeia de fornecimento (p. ex. LkSG) | Não | Não | Sim |
| Canal NIS2 de comunicação de vulnerabilidades de cibersegurança | Não | Não | Sim |
| Marca | Modelo predefinido | Modelo predefinido | Logótipo, cores, fonte e textos legais próprios |
| Tratamento dos casos | Básico: estado, nota, diálogo | Standard: estado, tratamento, acompanhamento | Standard mais fluxos de trabalho e lembretes automáticos |
| Confirmação de receção automática na caixa (e por e-mail se for indicado um endereço) | Sim | Sim | Sim |
| Contagem decrescente de 90 dias para a resposta, por caso | Sim | Sim | Sim |
| Notificações por e-mail de novas denúncias | Não | Sim | Sim |
| Gestão do prazo de conservação com lembrete de eliminação | Não (eliminação permanente do caso disponível) | Não | Sim |
| Acesso granular: visibilidade por categoria ou caso, utilizadores limitados, administradores técnicos sem acesso aos casos, exclusão por conflito de interesses | Não | Não | Sim |
| Casos relacionados, modelos, notas privadas, atribuições, análise de causa raiz, e-mails para destinatários externos, documentação de denúncias de outros canais | Não | Não | Sim |
| Relatórios, painéis, exportação de estatísticas, geração de relatórios | Não | Não | Sim |
| Pesquisa por palavra-chave em todos os casos | Não | Não | Sim |
| Tradução automática DeepL | Não | Não | Sim |
| Registo de auditoria à prova de adulteração, encadeado criptograficamente, de cada entrada, consulta e alteração | Sim | Sim | Sim |
| Início de sessão único com o seu fornecedor de identidade (Microsoft Entra ID ou SAML 2.0) | Sim | Sim | Sim |
| Autenticação de dois fatores | Não | Sim, ativada por utilizador | Sim, ativada por utilizador |
| Provedor externo ou sociedade de advogados como utilizador | Não (1 utilizador) | Sim, como um dos 2 utilizadores | Sim |
| Suporte | Suporte online, sem tempo de resposta garantido; erros críticos tratados 24/7 | Suporte online, resposta em 48 horas; erros críticos 24/7 | Suporte online, resposta em 24 horas; erros críticos 24/7 |
| Formação online gratuita sobre o canal de denúncias para trabalhadores | 30 dias a partir do início pago | 30 dias a partir do início pago | 30 dias a partir do início pago |
Premium (grupos, grandes empresas, clientes regulados, parceiros): implementação individual num servidor privado dedicado na região à sua escolha ou na sua própria infraestrutura, com domínio próprio. Formulários totalmente configuráveis: categorias de denúncia, campos obrigatórios e de texto livre, textos de apoio e carregamento de ficheiros podem variar por entidade jurídica ou país, com seleção da entidade ou do país antes do formulário. A organização define os papéis e permissões em número ilimitado, incluindo a visibilidade por entidade jurídica. Várias entidades jurídicas num só ambiente, cada uma com o seu canal, conjuntos de casos separados e uma vista consolidada de grupo. Prazos de conservação configuráveis por categoria de dados, relatórios de revisão de acessos para revisões periódicas, MFA obrigatória, SLA contratual de 99 %, linha telefónica como opção adicional, adenda DORA para entidades financeiras. Taxa única de implementação mais licença anual, orçamento individual. Marque uma demonstração.
Preços, faturação e condições contratuais
| Item | Facto |
|---|---|
| Contrato | Termos de Serviço online mais Termos Adicionais de Whistleblowing e Documento de Preços (sem contrato individual nos planos self-service); lei suíça, tribunais de Zug |
| Período de faturação | 12 meses antecipados, em EUR |
| Métodos de pagamento | Cartão ou transferência bancária contra fatura (pagamentos processados pela Stripe); a primeira fatura vence em 7 dias |
| Taxas de configuração, taxas por utilizador, taxas por idioma | Nenhuma |
| IVA | Preços sem IVA |
| Alterações de preços | Indexação anual ao índice de preços no consumidor da UE (Eurostat); outros aumentos aplicam-se apenas a partir da renovação seguinte |
| Duração e renovação | Vigora até ser cancelado; cancele a qualquer momento a partir da app, com efeito no final do período pago, acesso total até lá, sem pré-aviso |
| Rescisão imediata | Possível antes do fim do período como pedido de serviço manual pago |
| Teste | 7 dias grátis, todas as funcionalidades desbloqueadas; cancele durante o teste e nada é cobrado; se nada for alterado, a subscrição anual começa no plano escolhido no dia 8 |
| O que acontece no final | Conta bloqueada durante 30 dias com exportação e gestão de conta disponíveis, depois eliminação permanente da produção; a eliminação das cópias de segurança segue a rotação habitual |
| Responsabilidade | Limitada a 30.000 EUR ao abrigo dos Termos de Serviço |
| Alterações de plano durante o período | Upgrade a qualquer momento, a diferença é cobrada pro rata pelo período restante; o downgrade produz efeitos na renovação seguinte |
Requisitos legais abrangidos
Diretiva (UE) 2019/1937 e transposições nacionais, em Portugal a Lei 93/2021. A Trusty é um fornecedor de software, não uma sociedade de advogados: o cliente continua responsável pelo seu próprio cumprimento; a tabela mostra que funcionalidade apoia cada obrigação.
| Obrigação (artigo da Diretiva) | Como a Trusty a cumpre |
|---|---|
| Proteger a identidade do denunciante e de qualquer pessoa mencionada; aceitar denúncias por escrito ou verbalmente (art. 9.º, n.º 1, al. a), 9.º, n.º 2, 16.º) | Site público de denúncias e caixa pseudónima para o seguimento confidencial; o denunciante decide se permanece anónimo; mensagens de voz no navegador no Advanced e no Premium |
| Designar uma pessoa ou serviço imparcial para o seguimento e o contacto com o denunciante (art. 9.º, n.º 1, al. c), d)) | As funções de utilizador controlam quem vê um caso; exclusão por conflito de interesses e visibilidade granular no Advanced; um provedor externo pode ser utilizador |
| Acusar a receção em 7 dias, dar resposta em 3 meses; conservar registos não mais tempo do que o necessário (art. 9.º, n.º 1, al. b), f); art. 18.º, n.º 1) | Confirmação de receção automática em todos os planos, contagem decrescente de 90 dias por caso, prazo de conservação com lembrete de eliminação no Advanced, eliminação permanente com registo de auditoria em todos os planos |
| Operar os canais de forma segura; tratar os dados pessoais ao abrigo do RGPD (art. 9.º, n.º 1, al. a); art. 17.º) | Alojamento certificado ISO 27001 na Alemanha, encriptação em trânsito e em repouso, testes de intrusão externos, sem endereços IP nem carimbos temporais dos denunciantes, acordo de tratamento nos termos do art. 28.º do RGPD |
| Limiar de 50 trabalhadores e dever de canal interno transpostos por cada Estado-Membro (art. 8.º, 26.º) | Site e formulários de denúncia em todos os idiomas suportados; prazos de conservação ajustados à lei local |
| Seguimento diligente; informação clara sobre a denúncia externa (art. 9.º, n.º 1, al. d), g)) | Painéis e exportação de estatísticas; carregamento de documentos, como os canais de denúncia externos, na página de denúncias |
Leis nacionais mais pedidas: Lei 93/2021 (Portugal), Hinweisgeberschutzgesetz (Alemanha), Ley 2/2023 (Espanha), D.Lgs. 24/2023 (Itália), loi Waserman e Sapin II (França). Denúncias da cadeia de fornecimento para a LkSG alemã no Advanced. Empresas cotadas nos EUA: canal anónimo e confidencial para questões contabilísticas e de auditoria ao abrigo da secção 301 da Sarbanes-Oxley. Diretiva NIS2 2022/2555: canal de comunicação de vulnerabilidades no Advanced. DORA: adenda para entidades financeiras, a Trusty atua como prestador terceiro de serviços de TIC não crítico.
Segurança e proteção de dados
| Item | Facto |
|---|---|
| Localização do alojamento | Servidores virtuais na Hetzner Online GmbH em Nuremberga, Alemanha, centros de dados certificados ISO 27001; os dados ficam na UE |
| Outras regiões de alojamento | Suíça (CloudSigma, Zurique), Estados Unidos (DigitalOcean, Califórnia) ou a infraestrutura própria do cliente, com Premium; as cópias de segurança dos ambientes suíço e norte-americano são mantidas na UE Um ambiente nunca é movido para outra região sem a aprovação do cliente. |
| Arquitetura | SaaS multi-inquilino, uma conta por organização, dados logicamente isolados; Premium num servidor virtual privado dedicado |
| Encriptação em trânsito | TLS 1.2 / 1.3 em todas as ligações |
| Encriptação em repouso | Conteúdo das denúncias e diálogo com o denunciante encriptados com AES (CBC, OpenSSL); ficheiros encriptados com AES-256 CTR; palavras-passe com hash bcrypt |
| Proteção da aplicação | Firewall de aplicações web (ModSecurity, OWASP Core Rule Set) e firewall Linux iptables; os ficheiros carregados são validados no servidor, restringidos por tipo e guardados fora da raiz web pública; desenvolvimento segundo os princípios OWASP com consultas parametrizadas e uma content security policy; revisão de código a quatro olhos antes de cada lançamento |
| Gestão de vulnerabilidades | Verificação automatizada contínua com prazos de correção escalonados (crítico: 1 dia); teste de intrusão externo anual com reteste, resultados disponíveis sob NDA |
| Privacidade desde a conceção | Sem endereços IP nem carimbos temporais dos denunciantes, apenas cookies de sessão, nome de utilizador aleatório por denunciante |
| Controlo de acessos | SSO (Microsoft Entra ID ou SAML 2.0) em todos os planos; 2FA a partir do Standard, MFA obrigatória com Premium; permissões baseadas em papéis. Administração dos servidores apenas com chaves SSH, incluindo chaves de hardware/FIDO2, sem início de sessão por palavra-passe nem como root; MFA em todos os sistemas com dados de clientes ou dados pessoais |
| Registo de auditoria | Registo encadeado criptograficamente de cada entrada, consulta e alteração em todos os planos; com Premium, relatórios de revisão de acessos (listagens de utilizadores e relatórios de acesso) para revisões periódicas |
| Cópias de segurança e recuperação | Cópias diárias encriptadas em dois fornecedores independentes da UE (França); objetivo de ponto de recuperação 24 horas, objetivo de tempo de recuperação 4 horas; plano de recuperação de desastres testado anualmente; processo formal de resposta a incidentes com níveis de escalonamento definidos e exercícios anuais |
| Disponibilidade | 99 % por mês civil, esforços comercialmente razoáveis, medida da meia-noite à meia-noite incluindo manutenção; crédito pro rata se não for cumprida; manutenção programada anunciada com 2 dias úteis de antecedência e fora das 08:00 às 17:00. SLA contratual de 99 % com Premium |
| RGPD | Tratamento apenas na UE/EEE (alojamento na Alemanha, cópias de segurança em França), sem transferências para países terceiros em funcionamento normal; acordo de tratamento de dados nos termos do art. 28.º do RGPD, cópia assinada a pedido; notificação de violação ao cliente em 24 horas, à autoridade em 72 horas quando exigido A Suíça e a UE/EEE reconhecem-se mutuamente um nível adequado de proteção de dados. Acordos ao abrigo do art. 28.º com todos os prestadores de serviços e registo de todos os subcontratantes com o estado do respetivo acordo; contacto designado para a proteção de dados; autoavaliação anual de proteção de dados |
| Conceito de conservação | Conceito documentado de conservação e eliminação por categoria de dados; prazo de conservação selecionável por caso encerrado no Advanced, configurável por categoria de dados com Premium |
| Subcontratantes (whistleblowing, configuração padrão UE) | Hetzner Online GmbH, Alemanha (alojamento); AWS EMEA SARL, Luxemburgo (envio de e-mails de notificação). Lista completa no acordo de tratamento; aviso com 30 dias de antecedência antes de alterações |
| Exportação e eliminação de dados | Exportação a partir da app durante os 30 dias de conservação após a rescisão; depois eliminação permanente da produção e, na rotação habitual, das cópias de segurança |
| Certificações | Os centros de dados de alojamento são certificados ISO 27001. A própria Trusty AG não detém um certificado ISO 27001; o seu quadro de segurança da informação e gestão de riscos está alinhado com a ISO/IEC 27001. Os questionários de segurança, incluindo formulários bancários, são respondidos a pedido; as políticas podem ser consultadas sob NDA |
| Quadro de políticas | Conjunto completo de políticas internas versionadas, revistas pelo menos uma vez por ano, sob a responsabilidade do Head of IT / Information Security Officer: políticas de segurança da informação, controlo de acessos, palavras-passe, utilização aceitável, anti-malware, gestão de vulnerabilidades e desenvolvimento seguro; papéis e responsabilidades de proteção de dados, registo de subcontratantes e política de conservação e eliminação; plano de resposta a incidentes de cibersegurança e plano de recuperação de desastres; política de risco de terceiros com registo de fornecedores, política de entrada e saída de utilizadores, registo de riscos de segurança da informação. Confidenciais, disponíveis para due diligence sob NDA |
| Governação de acessos e riscos | Acessos segundo o princípio do privilégio mínimo com um processo regulado de entrada, mudança e saída; arquitetura de TI alvo documentada e registo de todos os serviços cloud utilizados; desde agosto de 2026 uma segunda pessoa participa na revisão de código, na triagem de vulnerabilidades, na cobertura da resposta a incidentes e nas revisões de fornecedores; registo de riscos revisto trimestralmente |
| Acessibilidade | WCAG 2.1 AA / EN 301 549: parcialmente conforme, melhorias em curso; será publicada uma declaração de acessibilidade no Legal Center (trusty.report/documents) |
Implementação e suporte
| Item | Facto |
|---|---|
| Esforço de implementação (planos self-service) | Sem projeto de TI: escolher um plano, adicionar logótipo, cores e idiomas, convidar os gestores de casos, publicar a ligação ou o código QR de denúncia, no próprio dia |
| Implementação (Premium) | Textos preliminares da Trusty, revisão do cliente, implementação de teste numa semana, workshop de 1 a 2 horas, testes do cliente, entrada em produção; normalmente no prazo de um mês |
| Integração dos trabalhadores | 30 dias de formação online gratuita sobre o canal de denúncias para os trabalhadores, incluídos em cada subscrição |
| Integrações | SSO via Microsoft Entra ID ou SAML 2.0; ligação ou incorporação da página de denúncias no seu site ou intranet; ligação a partir de um hub Compliance App; linha telefónica adicional com Premium. Sem integração com sistemas de RH |
| Canal de suporte | support@trusty.report; os erros críticos (plataforma indisponível ou perda de funcionalidades essenciais) são tratados 24/7 em todos os planos |
| Tempo de resposta do suporte | Standard 48 horas, Advanced 24 horas, Premium 8×5 (segunda a sexta, 09:00 às 17:00, hora de Zug); LITE sem tempo de resposta garantido |
| Idiomas do suporte | Todos os idiomas suportados |
| Tecnologia | Stack de código aberto (Linux, Apache, MySQL, Laravel), sem programas de terceiros licenciados |
Empresa
| Item | Facto |
|---|---|
| Entidade jurídica | Trusty AG, Bösch 82, 6331 Hünenberg, Suíça (cantão de Zug) |
| Fundação | 2022 |
| Produtos | Whistleblowing, Compliance App (políticas, formação, whistleblowing), QuickScreen360 para verificação de terceiros, EUDR Passport, Trusty Compliance App, MiCA Booster Pack |
| Clientes | Mais de 1.000 empresas utilizam o software da Trusty |
| Modelo de parceiros | Implementação em marca branca para sociedades de advogados, consultores e provedores que servem os seus próprios clientes |
| Site | trusty.report; acesso dos gestores em trusty-compliance.com |
Esta página é mantida pela Trusty AG e revista a cada alteração de produto, preço ou contrato.