Objetivo: Establecer el procedimiento a seguir en caso de detectar cualquier incidencia o comportamiento contrario a los valores de la compañía, a su código de conducta, infracción normativa o susceptible de generar responsabilidad penal.

1. FINALIDAD Y ALCANCE DEL SISTEMA INTERNO DE INFORMACIÓN

El presente documento tiene por objeto establecer, de conformidad con lo preceptuado en el artículo 31 bis 5 del Código Penal, y la Ley 2/2023 de 20 de febrero de protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, el Protocolo de funcionamiento del Sistema Interno de Información (en adelante, el “Protocolo”) de Nyesa Valores Corporación, S.A. (en adelante, “Nyesa” o la “sociedad”), así como el protocolo de actuación en caso de detección de riesgos. De esta forma, se regula así el procedimiento para la comunicación confidencial y posterior tramitación de eventuales acciones u omisiones que puedan suponer infracciones penales o administrativas graves o muy graves y de cualquier infracción del Derecho de la Unión Europea. Asimismo, a través del referido Sistema Interno de Información, se comunicará y tramitará cualquier otra irregularidad detectada en Nyesa referente a una hipotética vulneración de la legalidad vigente.

2. ÁMBITO DE APLICACIÓN SUBJETIVO

El referido Sistema Interno de Información se pone a disposición de todos los integrantes de Nyesa, así como de cualquier tercera parte que pudiera haber tenido conocimiento de algún incumplimiento o infracción de las referenciadas en el apartado anterior cometida en el marco de Nyesa. En concreto, de acuerdo con lo estipulado en el art. 3 de la Ley 2/2023, se aplicará a las personas que:

• tengan la condición de empleados por cuenta ajena, autónomos, accionistas, partícipes y personas pertenecientes al órgano de administración, dirección o supervisión y a cualquier persona que trabaje para o bajo la supervisión y dirección de contratistas, subcontratistas y proveedores,

• así como aquellos informantes que comuniquen o revelen públicamente información sobre infracciones obtenida en el marco de una relación laboral ya finalizada, ya sean consejeros, directivos, voluntarios, becarios, trabajadores en periodo de formación con independencia de que reciban o no remuneración, incluso aunque la relación laboral aún no haya comenzado, si la información ha sido obtenida durante el proceso de selección o de negociación precontractual.

En este sentido, Nyesa garantiza en todo momento el tratamiento confidencial, independiente y objetivo de toda comunicación recibida a través del Sistema Interno de Información.

3. ÓRGANO RESPONSABLE

El destinatario de todas las comunicaciones, peticiones de información o consultas tramitadas a través del Sistema Interno de Información será el Responsable del SII. A estos efectos, el Responsable del SII será el Comité de Cumplimiento.

4. RÉGIMEN JURÍDICO DEL SISTEMA INTERNO DE INFORMACIÓN

El presente Protocolo regula el funcionamiento del Sistema Interno de Información y el régimen de derechos, deberes, garantías, condiciones de acceso y uso del mismo por los integrantes de Nyesa.

El acceso y/o utilización del Sistema Interno de Información -en la versión vigente en cada momento- supone la aceptación plena y sin reservas del presente Protocolo y del tratamiento de datos personales que sea necesario realizar al respecto. Los integrantes de Nyesa que accedan y utilicen el Sistema Interno de Información se comprometen a hacer un uso diligente y correcto del mismo, siempre de acuerdo con la legalidad vigente. Nyesa tendrá la consideración de administrador del Sistema Interno de Información, en las condiciones y con las facultades que se prevén en el presente documento.

Consecuentemente, la sociedad podrá modificar la configuración, acceso, funcionamiento y contenido del Sistema Interno de Información en cualquier momento.

5. PRINCIPIOS BÁSICOS DEL SISTEMA INTERNO DE INFORMACIÓN

El Sistema Interno de Información de Nyesa se basa en los siguientes principios:
• Principio de buena fe y compromiso de no represalia. Los integrantes de Nyesa que hagan uso del Sistema Interno de Información deben actuar de buena fe y no hacer acusaciones falsas. La buena fe consiste en proporcionar información sin malicia, sin considerar el beneficio personal y considerando la información veraz de forma razonable y con los medios de que se dispone. Si un usuario que deliberadamente realice declaraciones falsas o engañosas o de mala fe es integrante de Nyesa, podrá ser objeto de acciones disciplinarias de conformidad con la legislación vigente. Por otra parte, Nyesa no tolerará represalias de ningún tipo cometidas sobre aquellas personas que hagan uso de los procedimientos establecidos para la comunicación de conductas irregulares, siempre y cuando sean comunicadas de buena fe y no se pretendan con estas denuncias otros objetivos maliciosos.
• Derecho a ser informado. El denunciante o informante tiene derecho de ser informado desde la presentación de la consulta o denuncia. A estos efectos recibirá acuse de recibo de la recepción de su denuncia en el plazo de siete (7) días naturales. Asimismo, el SII pondrá en su conocimiento, la admisión o no de la misma, o, en su caso, la existencia de una investigación interna y de su resolución en el plazo de tres (3) meses desde la recepción de la comunicación, salvo casos de especial complejidad en que este plazo podrá ser ampliado otros tres meses.
• Confidencialidad. Los datos de los intervinientes podrán ser objeto de comunicación solo en el caso de que el hecho informado dé lugar al inicio de actuaciones por parte de las autoridades administrativas o judiciales y en la medida en que sean requeridos por éstas, así como, en cumplimiento de la normativa en materia de protección de datos, y en su caso, a las personas implicadas en cualquier investigación posterior o procedimiento judicial incoado como consecuencia de la investigación. En especial, en el caso de denuncias no anónimas, la identidad del denunciante deberá mantenerse confidencial en todas las etapas del proceso de investigación y resolución de la denuncia, por lo que no se divulgará a terceros ni, por tanto, a la persona denunciada, ni tampoco a los mandos directivos del denunciante.
• Derecho al honor, a la presunción de inocencia y de defensa. Nyesa velará por tales derechos, garantizando los derechos de las personas afectadas por la comunicación a defenderse de cualesquiera acusaciones que se les dirigieran con las máximas garantías legales
• Remisión de la información al Ministerio Fiscal. Cuando, a través de alguna de las comunicaciones recibidas, se detecte la posible comisión de un ilícito penal, Nyesa se compromete a remitir, con carácter inmediato, al Ministerio Fiscal o a la Fiscalía de la Unión Europea, la información de la que se disponga sobre la eventual infracción.

6. PROCEDIMIENTO DE COMUNICACIÓN

(i) Usuarios y obligación de comunicación y colaboración. El acceso y uso del Sistema Interno de Información está permitido a todos los integrantes de Nyesa, así como a cualquier tercera parte referenciada anteriormente. Los usuarios del Sistema Interno de Información vendrán obligados a velar por la legalidad vigente, debiendo informar, cuando tengan conocimiento o cuenten con indicios razonables de ello, cualquier hecho presuntamente delictivo y/o acto fraudulento, así como cualquier otra irregularidad de cualquier naturaleza, detectados en el seno de Nyesa.

Asimismo, vendrán obligados a prestar colaboración en caso de ser requeridos a tal efecto en el seno de las investigaciones que pudieran instruirse con motivo de las comunicaciones recibidas a través del Sistema Interno de Información. El Sistema Interno de Información no podrá ser utilizado para otros fines distintos a aquellos para los que ha sido creado.

(ii) Acceso al Sistema Interno de Información. Cualquier comunicación podrá realizarse en el Sistema Interno de Información de la web de la organización, por escrito, a través del buzón habilitado al efecto, o verbalmente, a través de una grabación de voz. Además, a petición del informante, la comunicación podrá presentarse presencialmente.

Se permitirá incluso la recepción y tramitación de comunicaciones anónimas. Las comunicaciones verbales, incluidas las presenciales, serán documentadas mediante una transcripción o grabación. La persona informante tendrá el derecho de comprobar, rectificar y aceptar mediante su firma la transcripción de la conversación, sin perjuicio de los derechos sobre la normativa de Protección de Datos que le asistan.

Por último, si el informante decidiera realizar la comunicación de forma presencial, o en las entrevistas presenciales realizadas a lo largo de la investigación, se advertirá al mismo de que la comunicación será grabada, se le informará del tratamiento de sus datos de acuerdo con la normativa de Protección de Datos y se solicitará el consentimiento para la grabación.

(iii) Contenido mínimo de la comunicación. La comunicación presentada deberá contener como mínimo los siguientes aspectos:

• Datos de contacto. Si la comunicación es anónima, no se requerirán los datos identificativos de la persona informante.

• Identidad del afectado, indicando el nombre y apellidos y, si fuera conocido, su cargo en Nyesa.

• Hecho motivador de la comunicación: en qué consiste la conducta informada, fecha en la que tuvo lugar, fecha en la que se detectó, modo en el que se ha conocido, medios empleados para su comisión o área de la sociedad afectada, entre otros aspectos.

• Documentos o medios de prueba que, en su caso, se estimen necesarios.

• Aceptación expresa del tratamiento de datos personales realizado por Nyesa.

• Lugar y fecha.

En todo caso, la comunicación deberá ser lo más descriptiva posible, a fin de facilitar al Responsable del SII la identificación de los hechos comunicados. No se tramitará ninguna comunicación que omita cualquiera de los puntos anteriormente enumerados, informándose de tal circunstancia al informante para que pueda completar la comunicación.

En caso de recibirse más de una comunicación relativa a los mismos hechos o hechos relacionados, el Responsable del SII podrá acumular la tramitación de dichas comunicaciones en un único procedimiento.

7. REGISTRO DE INFORMACIONES

El Responsable del SII se encargará de llevar a cabo un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar, si fuera el caso, pudiéndose distinguir entre aquellas que han sido archivadas de las que no.

Se deberá garantizar, además, los requisitos de confidencialidad mencionados anteriormente. Así pues, este registro no será público, sin perjuicio de que, mediante una petición razonada de la autoridad judicial competente, debidamente motivada mediante resolución judicial, pueda accederse total o parcialmente al contenido del referido registro.

8. PROTECCIÓN DE DATOS PERSONALES

Los datos personales relativos que contenga el libro-registro mencionado anteriormente, solo se conservarán durante el período estrictamente necesario y proporcionado a efectos de cumplir con los requisitos de la Ley 2/2023. En ningún caso podrán conservarse por un período superior a 10 años.

Además, el acceso de los datos personales quedará limitado exclusivamente a:

- El Responsable del Sistema (en este caso el Comité de Cumplimiento) y a quien lo gestione directamente.

- El responsable de Recursos Humanos o el órgano competente debidamente designado, cuando proceda la adopción de medidas disciplinarias contra un trabajador.

- Si han de imponerse medidas legales, podrá tener acceso a los datos el responsable de los Servicios Jurídicos.

- Los encargados de tratamiento que eventualmente se designen.

- El Delegado de Protección de Datos, en su caso.

Sin perjuicio de lo anterior, el tratamiento por otras personas de datos personales obtenidos por el Sistema Interno de Información será lícito cuando resulte necesario para la adopción de medidas correctoras, tramitación de procedimientos sancionadores o penales, si procedieran.

En ningún caso a la persona afectada por la comunicación se le informará sobre la identidad del informante.

Cualquier persona que haya sido objeto de comunicación será informada sobre dichas circunstancias, del hecho del que se le atribuye, de los departamentos y terceros que podrán ser destinatarios de dicha circunstancia. Asimismo, se le informará de cómo ejercitar sus derechos de acceso, rectificación, supresión, portabilidad y limitación u oposición, de conformidad con la normativa vigente en materia de protección de datos personales. Esta comunicación deberá remitirse a la persona afectada por la comunicación en el plazo máximo de tres meses desde la recepción de la comunicación o en menor plazo conforme a la legislación que, en su caso, sea exigible.

Los informantes y personas afectadas podrán ejercitar sus derechos de acceso, rectificación, supresión, portabilidad y limitación u oposición en la dirección de correo electrónico que a tal efecto se establece en el Sistema Interno de Información, de acuerdo con la Ley 2/2023. En cualquier caso, la sociedad, como garantía de confidencialidad al informante, confirma que el ejercicio del derecho de acceso del investigado estará limitado a los propios datos personales objeto de tratamiento, sin que se pueda entender incluido dentro del ejercicio de ese derecho los datos relativos al informante. La conservación de los datos contenidos en las notificaciones y en los expedientes a que dé lugar la investigación de los mismos, deberá respetar el principio de proporcionalidad y calidad de los datos establecidos por la normativa en materia de protección de datos, de modo que estos solo podrán ser mantenidos mientras resulten pertinentes para la finalidad para la que fueron recabados.

La cancelación no implica la supresión de los datos, sino que, de acuerdo con la normativa en materia de protección de datos, ha de ser entendida como el bloqueo de los datos. El bloqueo consistirá en la implementación de un control, bien en la aplicación o bien en la base de datos, con el fin de impedir el tratamiento de los mismos, pudiendo accederse a los datos en caso de que así lo solicitaran las Administraciones Públicas, Jueces y Tribunales para la atención de las posibles responsabilidades y solo durante el plazo de prescripción de dichas responsabilidades.

Asimismo, y con el fin de que los datos mantenidos sean lo más exactos posible, se procederá a la inmediata cancelación de los datos de las notificaciones falsas o infundadas, de las que sean retiradas por los propios notificantes y de aquellas respecto de las cuales, una vez investigados los hechos, se concluyera que son inexactas o falsas.

Estas comunicaciones falsas o manifiestamente infundadas solo serán registradas indicando la fecha, el número del expediente, el motivo y su carácter infundado.

9. SEGURIDAD DE LAS COMUNICACIONES

Todas las comunicaciones que de acuerdo con la presente Política se realicen por correo postal, grabación de voz, presencialmente o correo electrónico deberán adoptar las oportunas medidas de seguridad, especialmente el uso de certificados, acuses de recibo o cifrado.

10. ENTRADA EN VIGOR

El presente documento ha sido aprobado por el Consejo de Administración de Nyesa, entrando en vigor de inmediato y estando plenamente vigente en tanto no se produzca ninguna modificación en el mismo.