SC- Contratación Directa de Escasa Cuantia. Adquisición de Servicio de uso de plataforma para la gestión de denuncias

• Declaraciones Juradas: Con la oferta se deben presentar las declaraciones juradas y certificaciones establecidas en: (Ver anexo Declaraciones juradas y certificaciones)
• El oferente deberá presentar una carta donde acredite un mínimo de tres años de experiencia formal en el mercado de desarrollo, implementación y licenciamiento de plataformas digitales especializadas en canales de denuncia y gestión de integridad. Para efectos de evaluación, no se considerará ni se contabilizará experiencia en la gestión de canales de denuncia analógicos, tradicionales o manuales (tales como líneas de atención telefónica tradicionales (call centers), buzones físicos, o recepción presencial), debiendo centrarse la experiencia exclusivamente en software nativo digital con esquemas avanzados de anonimato, onmicanalidad y ciberseguridad. La carta deberá indicar nombre de cliente y número de teléfono en caso de que el ICE requiera verificar la veracidad de la información.
• El oferente debe demostrar por medio de una carta; indicando el nombre del cliente y número de teléfono, haber implementado satisfactoriamente su plataforma digital de denuncias en al menos tres clientes.

Línea 1: Servicio de uso de plataforma para la gestión de denuncias.

 El servicio debe proveer un alcance de despliegue integral y simultáneo para la estructura organizativa de la institución, cubriendo de forma segregada y centralizada a las siguientes áreas o unidades de negocio, en una primera fase:

Área 1: Soporte administrativo

Área 2: Investigaciones

Área 3: Talento Humano

Criterios de Despliegue Estructural Requeridos:

Independencia Operativa Local: El sistema debe permitir la configuración de flujos de trabajo, tipologías de denuncias, niveles de criticidad y asignación de investigadores independientes para cada una de las tres áreas mencionadas, garantizando que operen como canales autónomos.

Segregación Criptográfica y Lógica de Datos: Los usuarios gestores o investigadores asignados a una entidad específica no podrán tener acceso visual, de descarga o de auditoría sobre los expedientes, archivos o chats de las otras áreas del grupo, salvo autorizaciones globales expresas.

Consolidación Analítica Central: El sistema debe facultar a los roles de alta dirección, auditoría corporativa o comités de ética globales del holding para acceder a un entorno consolidado de inteligencia de datos. Este entorno debe reflejar estadísticas agregadas y reportes ejecutivos de todo el conglomerado sin vulnerar la privacidad o confidencialidad de las investigaciones locales.

El servicio tecnológico adjudicada debe contar de forma nativa con una arquitectura de software diseñada para la gestión centralizada de tipo conglomerados institucional, la cual debe garantizar el aislamiento operativo y la gobernanza de datos bajo los siguientes criterios obligatorios:

Segmentación Lógica y Perimetral de Entornos (Micro-sitios):

El sistema debe permitir la creación, configuración y despliegue de micro-entornos lógicos independientes para un mínimo de tres (3) áreas bajo una misma suscripción global, con la posibilidad de crecer bajo demanda.

Cada entorno institucional local debe contar con la capacidad de parametrizar sus propios logotipos e identidad visual, asegurando que todo el despliegue gráfico vaya acorde a la imagen del instituto y respetando estrictamente los criterios del código del libro de marca institucional. Asimismo, debe permitir formularios de captura adaptados, tipologías de incidentes específicas, flujos de trabajo personalizados (workflows) y matrices de escalamiento de criticidad autónomas.

Listas de Accesos y Roles:

La plataforma informática debe asegurar mediante controles de acceso basados en roles completamente personalizados al sistema de gestión del grupo y permisos que los usuarios designados como "Gestores", "Investigadores" u “otros” de un área específica no puedan visualizar, buscar, descargar o auditar bajo ninguna circunstancia los expedientes, archivos de evidencia o chats pertenecientes a las otras áreas del grupo corporativo.

El sistema debe impedir de forma nativa la contaminación cruzada de datos entre investigadores de distintas áreas, manteniendo la confidencialidad estricta requerida para las investigaciones internas de cada área de manera perimetral.

Tablero de Control Consolidado Institucional:

El servicio debe proveer un rol de acceso de nivel superior ("Superadministrador Corporativo" o "Auditor Global") diseñado exclusivamente para el área de soporte administrativo de la Dirección Ciberseguridad y Protección Empresarial.

Este rol debe disponer de un Dashboard macro consolidador que centralice la analítica de datos, estadísticas de gestión de casos y reportería ejecutiva agregada de las áreas institucionales de forma simultánea.

El servicio debe constituir un ecosistema omnicanal nativo que centralice y unifique en un único tablero de control de expedientes (Dashboard) los reportes provenientes de los distintos canales de comunicación descritos en este apartado.

Automatización Obligatoria del Flujo de Ingreso y Comunicación Bidireccional Anónima:

Indiferentemente del medio de comunicación o canal electrónico que utilice el informante, el sistema debe capturar, procesar, estructurar e indexar la denuncia de forma directa, inmediata y 100% automatizada dentro del Dashboard principal, sin requerir intervenciones humanas previas o cargas manuales por parte del personal de la institución.

Toda denuncia ingresada al ecosistema omnicanal debe activar las reglas lógicas de enrutamiento, asignación, alertas, categorización y criticidad automáticas, subordinándose y operando en estricto cumplimiento conforme al flujo detallado para la atención de los Canales de Denuncias contenido en el “Procedimiento de Control para la Gestión de Denuncias, Investigaciones Preliminares y Procedimientos Administrativos Disciplinarios”.

Interactividad y Seguimiento Continuo: En la totalidad de los canales de captura implementados, el servicio debe garantizar de forma nativa la posibilidad de establecer, mantener y gestionar una comunicación bidireccional y continua con el denunciante anónimo directamente desde el Dashboard de gestión, utilizando mecanismos de encriptación y códigos únicos que impidan la revelación de la identidad del informante.

Especificaciones por Canal de Captura:

Portal Web de Integridad Corporativa:

Entorno web de acceso público, con diseño adaptativo (Responsive / Mobile-Friendly) para su visualización óptima en navegadores de equipos de cómputo y dispositivos móviles.

Debe permitir la parametrización de formularios dinámicos con campos obligatorios y opcionales, menús desplegables de tipologías de incidentes y áreas de texto libre.

Debe contar con un módulo seguro de carga de archivos adjuntos multimedia (imágenes, audios, videos y documentos de texto) con capacidad de multiprocesamiento masivo.

Al finalizar el envío, el portal debe generar y desplegar de forma inmediata un código alfanumérico único y confidencial para el seguimiento continuo del caso, envío de correo electrónico, u otros según los medios dispuestos para las notificaciones por parte del denunciante.

Aplicación Móvil Nativa de Reporte Seguro:

Acceso a una aplicación móvil nativa compatible y disponible para los sistemas operativos móviles predominantes en el mercado desde sus tiendas de aplicaciones respectivas con el nombre “ICE Denuncias”.

Por razones de seguridad y protección de la confidencialidad, la aplicación debe integrar a nivel de código fuente restricciones técnicas que bloqueen de forma nativa la ejecución de capturas de pantalla (Anti-Screen Capture) y la grabación de video de la interfaz desde el dispositivo.

Canal de Mensajería Instantánea Masiva:

La integración con servicios de mensajería instantánea debe realizarse obligatoriamente a través de una interfaz de programación de aplicaciones (API) oficial del proveedor del servicio de mensajería masiva de mayor uso y penetración en la población, quedando expresamente excluidas soluciones basadas en emulaciones web, servicios de usuario convencional o automatizaciones basadas en navegación emulada.

El canal debe contar con un asistente virtual automatizado e interactivo (Chatbot) que guíe al usuario de forma algorítmica mediante un árbol de decisiones o preguntas secuenciales.

El sistema automatizado debe capturar texto, recibir y adjuntar de forma automatizada archivos de evidencia (fotografías, audios, ubicaciones y documentos) y asignarle al usuario su folio único de seguimiento directo dentro de la misma conversación, conectándose de inmediato con el flujo general del Dashboard y permitiendo la comunicación bidireccional posterior.

Central de Recepción por Voz Inteligente (Smart-Voice Reporting):

Sistema de atención telefónica o de mensajería de voz automatizada operativa de manera continua (24/7/365).

Debe capturar el mensaje de voz grabado por el informante de forma inalterable, almacenando el archivo de audio original con un sello de tiempo forense dentro del expediente.

El módulo debe procesar dicho audio de manera automatizada mediante un motor de Inteligencia Artificial especializado en transcripción de voz a texto. La transcripción textual generada por la IA debe indexarse e insertarse inmediatamente como texto plano dentro de la bitácora del caso en la consola del investigador, eliminando la necesidad de realizar transcripciones manuales.

Opción de Retorno de Llamada Voluntaria:

El sistema telefónico automatizado debe ofrecer al denunciante de manera explícita la opción enteramente facultativa y voluntaria de registrar un número telefónico de contacto para ser localizado posteriormente por el equipo investigador, garantizando que si el informante decide no proporcionarlo, el reporte sea procesado bajo la condición de anonimato absoluto.

Módulo de Integración de Correo Electrónico:

Sincronización o conexión vía API con cuentas de correo electrónico institucionales destinadas a la recepción de reportes.

El sistema debe capturar el contenido de los correos en tiempo real, extraer de forma automatizada los archivos adjuntos e indexar la información creando un expediente estructurado dentro del gestor de casos, aplicando de forma inmediata las reglas de anonimización perimetral de la plataforma.

La plataforma informática debe proveer una plataforma web de denuncias personalizada para la organización bajo el formato estándar de configuración de la plataforma. Este entorno debe ser de acceso público para que clientes, colaboradores y proveedores puedan ingresar y realizar reportes anónimos bajo las siguientes especificaciones técnicas obligatorias:

 Web de Denuncias Personalizada: Sitio web exclusivo dedicado de forma única a la recepción de quejas o denuncias de la organización, el cual debe estar completamente adaptado acorde al libro marca de la institución y estructurado en estricto cumplimiento del Procedimiento de control para la gestión de denuncias al cual debe aplicarse el uso del servicio para la Gestión de Denuncias.

Personalización de Categorías de Denuncias: Capacidad de edición y parametrización de la sección de acuerdo con las categorías y subcategorías específicas que requiera la institución.

Formularios Personalizados: Capacidad de configurar los campos de información obligatorios u opcionales solicitados al informante al momento de enviar el reporte. Entre los cuales estén al menos: campos de texto, selección única, fecha, campos numéricos y preguntas condicionales.

Sección de Noticias: Espacio administrable para la inclusión de información relevante, avisos o comunicados para ser consultados por los usuarios del Servicio de Uso de Plataforma para la Gestión de Denuncias. Esta sección se debe alimentar y actualizar automáticamente desde el Dashboard principal por parte de los gestores responsables, sin requerir intervenciones técnicas de desarrollo adicionales.

Adjunto de Archivos: Herramienta que faculte la posibilidad de adjuntar documentos o evidencias en diferentes formatos digitales, disponible tanto para los usuarios informantes como para los investigadores/administradores del sistema.

Seguimiento por parte del Denunciante: Mecanismo automatizado mediante el cual, al realizar una denuncia, cada persona obtiene un código único de seguimiento a través del cual podrá verificar el estatus y mantener contacto con el investigador responsable de manera 100% segura y anónima.

Multidioma: Interfaz del usuario y menús de acceso al Servicio de Uso de Plataforma para la Gestión de Denuncias configurables en múltiples idiomas de forma nativa.

Acceso a la Normativa del Servicio de Uso de Plataforma para la Gestión de Denuncias: Repositorio digital integrado para incluir documentación relacionada a la gestión de la ética suministrada por la organización, disponible para consulta de todos los usuarios.

Sección de Preguntas Frecuentes (FAQ): Módulo informativo interactivo donde el denunciante podrá evacuar dudas sobre el funcionamiento, alcances y uso del Servicio de Uso de Plataforma para la Gestión de Denuncias.

Burbujas Informativas de Guía Contextual (Smart-Help): El sistema debe incluir obligatoriamente burbujas informativas dinámicas en cada tipología y campo del formulario. Estas herramientas deben explicar al denunciante de forma clara y sencilla la definición técnica de cada conducta (por ejemplo, diferenciar qué constituye un conflicto de interés versus un acto de corrupción), asegurando que la denuncia sea clasificada correctamente desde el origen y reduciendo el margen de error en la investigación posterior.

Generación de Informe de Denuncia Automático: Al finalizar el proceso de registro, la plataforma debe generar de manera inmediata y autónoma un Informe de Denuncia en formato PDF para el denunciante. Este documento contendrá el resumen del reporte y el código único de seguimiento, sirviendo como comprobante automático de recepción bajo estándares internacionales de transparencia, brindando seguridad jurídica al informante sin requerir intervención manual del administrador.

Como componente fundamental de la plataforma multicanal, se debe desplegar una aplicación móvil nativa personalizada para la organización, diseñada bajo estrictos estándares de seguridad y cifrado de datos, permitiendo reportar cualquier desviación ética de forma anónima, segura y eficiente:

Identidad institucional: Desarrollo adaptado de forma integral a la imagen institucional y criterios estéticos según el libro de marca. Todo el entorno visual, flujos de navegación y pantallas de captura deben estar rigurosamente alineados al “Procedimiento de Control para la Gestión de Denuncias, Investigaciones Preliminares y Procedimientos Administrativos Disciplinarios”.

Disponibilidad Global (iOS y Android): Publicación, compatibilidad y gestión integral en las tiendas oficiales de aplicaciones que indique la institución, garantizando el correcto funcionamiento con las últimas versiones operativas móviles.

Formularios Inteligentes con Burbujas Informativas (Smart-Help): Sistema de guía interactiva al usuario durante el reporte mediante burbujas informativas dinámicas que explican cada tipología de denuncia para asegurar una clasificación precisa desde el origen.

Generación de Informe de Denuncia en PDF: Al finalizar el reporte dentro de la aplicación, esta debe generar automáticamente un comprobante digital en formato PDF con el folio único y el resumen de la denuncia para que el usuario salvaguarde su evidencia de forma inmediata.

Adjunto Multimedia y Evidencia: Capacidad técnica para capturar y cargar documentos, fotografías, videos y grabaciones de voz directamente desde la cámara, el micrófono o la galería del dispositivo móvil.

Seguimiento Anónimo y Seguro: Consulta de estatus del caso en tiempo real mediante el código único de seguimiento, manteniendo una comunicación bidireccional activa con el investigador sin comprometer la identidad.

Notificaciones Push: Envío automatizado de alertas directas al dispositivo móvil del usuario para informar sobre avances en la investigación, solicitudes de mayor información o actualizaciones de la normativa institucional de forma confidencial.

Seguridad y Bloqueo de Capturas: Implementación obligatoria de protocolos a nivel de código fuente que impidan la ejecución de capturas de pantalla (Anti-Screen Capture) y la grabación de video de la interfaz dentro de la aplicación, reforzando la confidencialidad de la información tratada.

Módulo de Voz y Transcripción Automática (Smart-Voice): Los audios enviados a través de la aplicación deben ser procesados mediante un motor integrado de Inteligencia Artificial para su transcripción automática a texto, facilitando la gestión inmediata por parte de los administradores en el panel de control.

Biblioteca de Integridad y FAQ: Acceso directo desde la aplicación al “Procedimiento de Control para la Gestión de Denuncias, Investigaciones Preliminares y Procedimientos Administrativos Disciplinarios”, reglamentos internos y sección de preguntas frecuentes para resolver dudas operativas sobre el canal.

Arquitectura Multidioma: Interfaz gráfica y de contenido configurable en múltiples idiomas para asegurar la accesibilidad global de las operaciones del instituto.

La plataforma debe integrar las cuentas de correo institucionales designadas por la organización directamente con el motor de gestión de casos, tratando la comunicación vía e-mail con el mismo rigor, seguridad y trazabilidad que los reportes web, eliminando la gestión manual de bandejas de entrada conforme a los siguientes criterios:

Garantía de Confidencialidad y Anonimato: El sistema debe actuar como un escudo técnico que procese la información entrante bajo estrictos protocolos de cifrado, garantizando el anonimato al disociar automáticamente los datos de origen (dirección de correo del remitente y metadatos) del contenido analítico de la denuncia.

Ingesta Automática de Reportes: Cuando un denunciante envía un correo electrónico a la dirección designada, el servicio debe detectar el mensaje en tiempo real, extraer el contenido y los archivos adjuntos de forma autónoma, y crear un expediente estructurado con su respectivo folio de seguimiento en el tablero de control.

Notificación Instantánea al Investigador: El sistema debe despachar una alerta inmediata a los funcionarios responsables de cumplimiento, notificando el ingreso de la nueva evidencia para su análisis prioritario según el flujo institucional.

Consola de Respuesta Unificada: El investigador asignado no requerirá salir de la plataforma para responder. Al contestar directamente desde el Dashboard, el sistema enviará el mensaje de vuelta al correo electrónico del denunciante, manteniendo una comunicación fluida pero totalmente registrada bajo protocolos de auditoría.

Historial de Trazabilidad Inalterable: Toda la cadena de mensajes, respuestas y documentos compartidos vía correo electrónico debe quedar vinculada automáticamente al expediente del caso, asegurando una bitácora coherente y auditable de forma interna o externa.

Contar con omnicanalidad vía sistema de mensajería instantánea masiva; el servicio debe implementar una integración avanzada utilizando la interfaz de programación de aplicaciones (API) oficial del proveedor de mensajería instantánea masiva de mayor uso y penetración en la población, operando como una terminal de captura inteligente conectada directamente al motor centralizado bajo las siguientes características:

Garantía de Anonimato y Cifrado: El sistema debe asegurar una capa de protección donde el número telefónico y los metadatos del denunciante sean anonimizados según el protocolo de confidencialidad de la institución. La comunicación debe estar protegida por cifrado de extremo a extremo, cumpliendo con las políticas de privacidad institucionales.

Asistente Virtual (Chatbot) para Recepción 24/7: Al iniciar el contacto por este medio, un asistente virtual debe guiar al denunciante de forma automatizada para tipificar la denuncia, recolectar las evidencias (fotos, audios, videos, archivos) y generar el folio único de seguimiento sin requerir intervención humana inicial.

Notificación en Tiempo Real y Centralización: En el instante en que el reporte se completa en la interfaz de mensajería, el sistema notificará de inmediato al investigador responsable y reflejará la denuncia en el Dashboard central, unificada con los reportes provenientes de los demás canales.

Consola de Respuesta Bidireccional: El investigador gestionará la comunicación directamente desde el dashboard. Sus respuestas se enviarán de forma automatizada de vuelta al chat del servicio de mensajería del denunciante, permitiendo un diálogo seguro mientras el investigador mantiene el control operativo desde un entorno institucional blindado.

Trazabilidad Forense del Chat: El historial completo de la conversación y los archivos multimedia enviados por el canal deben quedar registrados como evidencia inalterable dentro del expediente en la plataforma, facilitando futuras auditorías e impidiendo la pérdida de información en dispositivos móviles individuales.

El servicio debe incorporar un sistema de recepción telefónica de última generación diseñado para operaciones centralizadas, garantizando que cualquier denuncia verbal sea procesada, analizada y unificada bajo estrictos controles técnicos:

Cobertura Telefónica Dedicada: Habilitación de números telefónicos locales exclusivos, incluyendo la opción de uso de líneas gratuitas para el denunciante y así asegurar que el acceso al canal sea enteramente sin costo para todos los colaboradores, clientes y proveedores de la organización.

Protocolo de Recepción Automatizada (Smart-IVR): Una interfaz de voz inteligente recibirá la llamada de manera continua (24/7/365), guiando al denunciante con instrucciones claras y adaptadas al lenguaje institucional, garantizando la confidencialidad desde el primer contacto.

Opcionalidad de Contacto Telefónico: El sistema automatizado por voz debe ofrecer de manera explícita la opción voluntaria y facultativa para que el denunciante, si así lo desea, registre un número telefónico o dirección de correo electrónica de contacto para recibir comunicaciones posteriores del equipo investigador. En caso de que el informante opte por no proporcionarlo, el sistema continuará el flujo sin almacenar registros de origen.

Procesamiento Cloud y Transcripción Automática por IA: La llamada entrante será captada en un entorno de alta disponibilidad en la nube, donde se ejecutará de forma directa y automatizada el motor de Inteligencia Artificial para la transcripción inmediata de la voz a texto (Speech-to-Text) la cual será almacenada en el expediente único. En caso de que el denunciante lo indique y para blindar el anonimato absoluto del denunciante y evitar cualquier riesgo de identificación por rasgos biométricos de la voz, el sistema descartará el archivo de audio original, registrando en el expediente únicamente la transcripción textual y su correspondiente sello de tiempo indexado.

Ingesta Automática y Segregación: Sin intervención humana manual, la denuncia telefónica transcrita se cargará directamente en el Dashboard del sistema. El expediente se creará de forma autónoma vinculando la transcripción textual, permitiendo al investigador realizar búsquedas por palabras clave de forma inmediata.

Notificación de Alerta Temprana: El gestor o investigador responsable recibirá una alerta inmediata en su tablero de control al completarse la llamada. Al acceder al caso, dispondrá de toda la información estructurada y lista para su gestión, de acuerdo con estándares de auditoría internacional.

La plataforma tecnológica debe proveer a la administración un Dashboard administrativo de alta seguridad, diseñado para centralizar, automatizar, gestionar y auditar de forma integral cada reporte generado desde el ecosistema omnicanal de captura (Web, Aplicación Móvil, Sistema de Mensajería, Correo Electrónico y Central de Voz).

Autenticación de Seguridad Robusta: El ingreso al Dashboard administrativo requerirá de forma obligatoria el uso de credenciales de alta complejidad. El sistema debe forzar técnicamente la actualización periódica de contraseñas bajo parámetros y directrices de seguridad avanzada de la información, este debe integrar al Single Sign On disponible en la institución para cumplir con esto.

Doble Factor de Autenticación (2FA): Integración obligatoria y nativa con aplicaciones de autenticación de contraseñas únicas por tiempo (TOTP). Esta capa adicional de seguridad debe garantizar que el acceso a la información confidencial del Servicio de Uso de Plataforma para la Gestión de Denuncias solo sea posible mediante la validación de un token dinámico generado en el dispositivo del gestor autorizado, para esto se debe integrar al Single Sign On disponible en la institución para cumplir con esto.

Listas de Acceso y Roles: Los permisos de usuario se deben parametrizar según el rol jerárquico asignado y la entidad del grupo correspondiente. Estos roles de acceso dentro del servicio deben ser altamente personalizados y configurables, adaptándose con exactitud al flujo de gestión de casos y responsabilidades según demanda. El sistema garantizará criptográfica y lógicamente que un investigador o gestor asignado a una entidad específica solo pueda visualizar, editar y auditar los expedientes que le correspondan, manteniendo una segregación estricta de los datos.

Logs de Auditoría de Denuncias: Cada interacción, consulta o modificación realizada dentro de un expediente generará un registro automatizado e inalterable. Este registro debe visualizarse en forma de línea de tiempo forense, permitiendo identificar con precisión técnica qué acción se ejecutó, qué usuario la realizó, y el sello de fecha y hora exacto.

Logs de Auditoría de Usuarios: Módulo de monitoreo total de la actividad general de los gestores y administradores dentro de la plataforma, asegurando que el uso de la herramienta informática sea auditable en estricto cumplimiento con las políticas de seguridad de la información corporativas.

Buscador Avanzado y Código Único: Se debe disponer de una bandeja de entrada avanzada que permita localizar expedientes de forma instantánea mediante la introducción del Código Único de Seguimiento, código diferente al que se le debe proporcionar al denunciante o mediante la aplicación de filtros dinámicos por rango de fechas, categoría del incidente, entidad afectada y nivel de prioridad asignado.

Personalización de Estados y Flujos: Los estados de gestión de la denuncia se deben parametrizar para reflejar con exactitud las etapas definidas resultantes para el cumplimiento del “Procedimiento de Control para la Gestión de Denuncias, Investigaciones Preliminares y Procedimientos Administrativos Disciplinarios”. Estos estados se homologarán de forma automatizada en el módulo de analítica de datos del sistema.

Homologación Analítica Automática: Cada vez que un gestor o investigador modifique el estado de un expediente, la plataforma debe actualizar en tiempo real la totalidad de los indicadores, métricas y gráficos del panel analítico, eliminando la necesidad de cargas, tabulaciones o procesamientos manuales de datos.

Asignación de Denuncias (Manual/Automática): El flujo lógico del sistema debe permitir su parametrización para que, según la tipología del incidente o la procedencia de la denuncia, el caso sea asignado automáticamente al área o al investigador responsable correspondiente, de conformidad con lo establecido en el Manual Operativo del grupo.

Motor de Búsqueda Relacional Avanzado: El sistema debe incorporar de forma nativa una funcionalidad de búsqueda inteligente diseñada para identificar coincidencias, patrones comunes y relaciones cruzadas entre los diferentes expedientes registrados en la plataforma (por ejemplo, detectar de forma automatizada si existen múltiples denuncias independientes que involucren a los mismos sujetos, áreas, conductas o modus operandi). Esta herramienta debe proveer una visualización estructurada de los casos vinculados, facilitando sustancialmente las labores de análisis y la ejecución de los procesos de investigación forense por parte de los gestores.

Chat con el Denunciante y Notificaciones: Módulo de comunicación bidireccional anónima que permita interactuar con el informante utilizando únicamente su código de seguimiento. Ante cada mensaje nuevo remitido por el denunciante, el sistema disparará de forma automatizada una notificación de alerta al correo electrónico del gestor asignado para asegurar una respuesta ágil y oportuna.

Bitácora Técnico de Investigación: Espacio confidencial exclusivo dentro de cada expediente para que los investigadores detallen hallazgos, adjunten notas internas y registren comentarios de la investigación. Cada actualización registrada en esta bitácora debe generar una notificación automática a los responsables vinculados al caso para mantener la trazabilidad inalterable del proceso.

Chat entre Administradores: Módulo de comunicación interna segura que faculte a los gestores autorizados a colaborar, intercambiar criterios y coordinar acciones sobre casos complejos sin salir del entorno cifrado del servicio. El sistema despachará notificaciones automáticas a los correos electrónicos institucionales de los gestores participantes ante nuevos mensajes.

Dashboard de Analítica de Datos: Sistema de visualización e inteligencia de datos dinámico que permita aplicar filtros por rangos de fecha y por entidad del grupo de forma simultánea. El sistema debe generar de forma automática e inmediata métricas relativas a:

Cantidad y volumen total de denuncias recibidas.

Estados actuales de los casos según las fases del protocolo de investigación de la organización.

Tiempos promedio de respuesta, atención y cierre de casos clasificados según su temática y nivel de prioridad.

Informes Automatizados en Formato Ofimático e Imagen: El servicio debe permitir la actualización, programación y exportación directa de:

Informes ejecutivos individuales de cada denuncia en formatos estructurados y editables de procesamiento de texto de uso masivo (PDF). Generando un informe ejecutivo de cada denuncia de una manera automatizada.

Tabulación de datos analíticos masivos en hojas de cálculo (Excel) para auditorías de datos profundas.

Gráficos e indicadores estadísticos en formatos de imagen de alta replataforma (JPG/PNG) listos para presentaciones ante los comités de ética institucionales.

Analítica de Rendimiento de Usuarios: Monitoreo automatizado de Indicadores Clave de Rendimiento (KPIs) por cada gestor o investigador (tales como casos cerrados, casos reabiertos, volumen de interacciones con denunciantes y tiempos promedio de replataforma), facilitando la optimización y distribución de la carga de trabajo del equipo.

Sección de Documentación sobre Directrices Internacionales (Alineación Estándar): Espacio centralizado dentro del Dashboard para cargar, organizar y gestionar toda la normativa interna, políticas de protección al informante y documentos corporativos alineados a las mejores prácticas internacionales en gestión de canales de denuncia (estándar internacional de referencia ISO 37002 o equivalente), asegurando que el equipo investigador opere bajo el marco normativo vigente. Esta sección debe contar con controles de acceso para que se personalice el acceso a cada documento según los permisos de cada gestor.

Sección de Academia y Formación: Módulo integrado que provea acceso a una biblioteca de conferencias, talleres y formación especializada en materia de ética institucional, cumplimiento y prevención del fraude. El sistema debe facultar al área de soporte administrativo con el fin de cumplimiento para capacitar al personal interno y contar con la funcionalidad de emitir de forma automática certificados de aprovechamiento digital al finalizar con éxito cada módulo de aprendizaje. Adicionalmente la plataforma deberá agregar videos o contenido provisto por la institución.

Notificaciones Masivas Push e Integración de Canales: Funcionalidad para el envío programado y automatizado de noticias, imágenes de campañas éticas y enlaces de interés a todos los usuarios que cuenten con la aplicación móvil instalada para fomentar activamente la cultura de la denuncia. Estas publicaciones deben estar integradas de forma nativa en el ecosistema, asegurando técnicamente que las noticias creadas se desplieguen y visualicen tanto de forma interna dentro de la aplicación móvil corporativa como simultáneamente en la sección de noticias del Portal Web y APP.

Procesos de Socialización vía Correo Electrónico: Herramienta de gestión de campañas de sensibilización y difusión masiva operada directamente desde el Dashboard administrativo, la cual debe incluir:

Creación de Listas de Contactos: Segmentación dinámica por entidad del grupo o público meta.

Personalización y Automatización: Despacho masivo y programado de correos electrónicos informativos que incluyan archivos adjuntos y enlaces multimedia.

Capacidad Operativa: Soporte técnico para la inclusión y envío continuo de hasta cien mil (100,000) correos electrónicos mensuales, garantizando la cobertura y divulgación constante a toda la población laboral y partes interesadas.

Monitoreo y Cruce Automatizado de Listas: El servicio debe integrar una herramienta de consulta automatizada que permita el cruce de información de sujetos bajo investigación contra bases de datos internacionales y listas de control. Esta función debe incluir la capacidad de verificar de forma sistemática perfiles en listas criminales, registros de Personas Políticamente Expuestas (PEPs), listas de sanciones internacionales y bases de datos globales de cumplimiento (compliance).

Repositorio de Auto-capacitación en Video: El Dashboard debe incorporar una sección exclusiva de soporte que aloje tutoriales de uso del sistema en formato de video de alta definición. Estos recursos visuales deben guiar de forma interactiva e intuitiva a los gestores en el uso de todas las funciones del sistema (gestión de bandeja, asignación de casos, generación de informes, entre otros), facilitando la inducción rápida de nuevos usuarios sin requerir soporte técnico externo.

La plataforma informática debe contemplar la integración de un ecosistema de Inteligencia Artificial diseñado para transformar la información en capacidad de acción inmediata, operando bajo un esquema estricto de Soberanía de Datos que garantice que el procesamiento lógico y analítico se mantenga bajo el control exclusivo de la organización.

Ejecución de Modelos de Lenguaje Privados (LLM): El sistema debe utilizar modelos de lenguaje que cumplan con las normas de privacidad necesarias para proteger la información de la institución, el anonimato y confidencialidad de las denuncias. Los datos y el contenido de las denuncias bajo ninguna circunstancia podrán salir del entorno seguro para ser procesados por terceros.

Arquitectura de Generación Aumentada por Recuperación (RAG): El modelo de IA debe implementar una arquitectura técnica que restrinja sus respuestas de forma exclusiva a la base de conocimientos oficial, normativas y reglamentos cargados por la organización, eliminando técnicamente el riesgo de alucinaciones o respuestas fuera del contexto institucional.

Gobernanza de Datos y Listas de Control de Acceso (ACL): El motor de IA debe ser compatible con los perfiles y las listas de control de acceso del sistema. Esto garantiza que la IA solo tendrá visibilidad y capacidad de análisis sobre los datos y expedientes a los que el usuario en sesión tiene permisos explícitos de acceso, respetando estrictamente la segregación de datos de la organización.

Inteligencia Artificial aplicada a la Normativa y Formación Interna:

Debe contar con un asistente virtual de alta precisión basado en IA diseñado para la consulta inmediata de reglamentos, códigos de ética, directrices y protocolos de la organización. La plataforma realizará estas consultas utilizando única y exclusivamente la información almacenada en el módulo documental del servicio, entregando respuestas inmediatas al gestor acompañadas de citas textuales directas de la norma cargada.

Contar con una herramienta interactiva integrada directamente a la sección de capacitación dentro de la herramienta, la cual indexará de forma exclusiva los materiales educativos, conferencias y sesiones de entrenamiento de la organización alojados en dicho módulo, transformándolos en una base de conocimientos disponible 24/7 para resolver dudas complejas del equipo de cumplimiento basándose estrictamente en el contexto impartido.

Disponer de un agente Experto en Estándares Globales: Módulo de IA especializado en marcos normativos internacionales aplicables a la gestión de denuncias (tales como la ISO 37002, ISO 37001 o equivalentes). El agente asistirá al investigador analizando técnicamente cómo los procesos y hallazgos del caso actual se alinean con las mejores prácticas globales de compliance, basando su análisis en el repositorio documental de la plataforma.

Uso de un asistente virtual inteligente integrado en el Dashboard, entrenado para actuar como un asesor técnico en tiempo real sobre el uso del servicio, guiando al usuario o investigador sobre cómo ejecutar funciones avanzadas, aplicar filtros específicos o parametrizar flujos de trabajo de forma eficiente a partir de los manuales y guías del sistema.

La plataforma adjudicada no debe limitarse a ser un receptor pasivo, sino que debe operar como un Centro de Comando de Cultura Ética centralizado. El sistema propuesto debe integrar un protocolo de socialización automatizado y estratégico, diseñado para maximizar el impacto y conocimiento del Servicio de Uso de Plataforma para la Gestión de Denuncias en todos los miembros internos y externos de la organización, eliminando procesos operativos manuales y asegurando la consistencia e integridad del mensaje institucional. Como componente fundamental para la puesta en marcha de la plataforma, se debe hacer entrega obligatoria de los siguientes activos y materiales técnicos de comunicación:

Boletines de Socialización Especializados (Newsletters): Entrega de piezas gráficas en formatos de imagen estándar de alta replataforma (como JPG o PNG), completamente adaptadas y personalizadas con la imagen institucional, colores corporativos y valores de la organización, diseñadas específicamente para captar la atención de los usuarios y generar confianza en el ecosistema.

Formatos Editables de Comunicación: Se deben proporcionar de forma obligatoria los archivos fuente originales y editables de la totalidad de los boletines entregados. Esto tiene como fin que el equipo de comunicación interna de la institución pueda adaptar, modificar o actualizar los mensajes específicos de acuerdo con las necesidades futuras del canal.

Guía Táctica de Socialización y Despliegue: Un manual instructivo detallado paso a paso que describa la metodología idónea para implementar campañas de socialización (tanto en su fase de lanzamiento inicial como en su ejecución continua). Este documento debe detallar cómo optimizar el uso de las funciones tecnológicas de del servicio para alcanzar de manera efectiva a todos los niveles de la organización.

La plataforma debe permitir automatizar la difusión de los contenidos de integridad a través de los siguientes canales integrados y administrables desde el Dashboard:

Notificaciones Masivas Push e Integración de Medios: Funcionalidad para el envío programado y automatizado de noticias, imágenes de campañas éticas y enlaces de interés directamente a todos los usuarios que cuenten con la aplicación móvil instalada. La plataforma garantizará técnicamente la sincronización en tiempo real para que estas novedades se reflejen simultáneamente tanto en el aplicativo móvil como en la sección de noticias del Portal Web de Denuncias.

Campaña de Socialización vía Correo Electrónico: Herramienta de gestión centralizada desde el tablero de control para la ejecución de campañas de sensibilización profunda, la cual debe cumplir con los siguientes requisitos técnicos:

Segmentación Inteligente de Listas: Capacidad de estructurar bases de datos personalizadas y segmentadas por entidad, departamento, región o público meta (diferenciando flujos para colaboradores, proveedores o clientes).

Automatización de Envíos: Programación lógica de correos electrónicos informativos que incluyan archivos adjuntos y enlaces estratégicos, diseñados para mantener el canal presente en la mente de los usuarios sin requerir intervención operativa constante del gestor.

Capacidad Operativa del Motor de Correos: Soporte técnico para la inclusión y envío continuo de hasta cien mil (100,000) correos electrónicos mensuales, garantizando una comunicación fluida, masiva y recurrente con los grupos de interés de la organización.

La integración de las herramientas de comunicación dentro del entorno administrativo debe permitir a los gestores de cumplimiento documentar, auditar y controlar de forma centralizada la ejecución del plan de socialización mediante lassiguientes capacidades técnicas:

Historial y Bitácora de Campañas de Socialización: El Dashboard administrativo debe incorporar un módulo de registro histórico y auditable que almacene de manera inalterable la totalidad de las comunicaciones emitidas. Este espacio debe permitir a la administración consultar detalladamente:

La cantidad exacta de noticias corporativas y campañas informativas enviadas a la aplicación móvil y al portal web.

El volumen preciso de correos electrónicos de socialización remitidos mensualmente, desglosado por lista de distribución o segmento.

El registro del contenido íntegro (texto, imágenes, enlaces y adjuntos) de cada comunicación enviada, garantizando una bitácora de trazabilidad de los esfuerzos de socialización para efectos de auditorías internas o externas.

La unificación de las funciones operativas de difusión masiva (mensajería en app y correos) con el entorno centralizado de control debe habilitar a la administración para supervisar de forma integral el despliegue de las campañas de integridad, asegurando que el canal sea adoptado de forma orgánica por la institución bajo altos estándares de transparencia y procesos totalmente documentados.

Condiciones de deseables:

 Protección de datos

1.1.1.    Protección frente a prompt Injection, básicamente seria implementar controles de seguridad que impidan que usuarios, archivos, sitios web o fuentes externas manipulen las instrucciones originales de un modelo de IAG (Inteligencia Artificial Generativa) para alterar su comportamiento, obtener información no autorizada o ejecutar acciones indebidas.

1.1.2.    Garantía contractual de no utilización de la información institucional para entrenamiento de modelos de IA, esto por cuanto el componente de IA procesará información altamente sensible y confidencial.

 Seguridad

1.2.1.    Plan de continuidad y recuperación documentado, la documentación no evidencia requerimientos explícitos relacionados con:

RTO (Recovery Time Objective), que sería el tiempo máximo aceptable que el servicio, sistema o proceso puede permanecer fuera de operación después de una interrupción o desastre.

RPO (Recovery Point Objective), para definir la cantidad máxima de datos que la institución está dispuesta a perder debido a una interrupción.

Planes de recuperación.

Gestión de incidentes de ciberseguridad.

Notificación de brechas.

1.2.2.    Derecho de auditoría técnica por parte del ICE, es decir, el que brinde la plataforma deberá reconocer y garantizar el derecho del ICE de realizar auditorías técnicas por cuenta propia o por terceros, revisiones de seguridad y actividades de verificación sobre los servicios, plataformas, procesos e infraestructura relacionados con la prestación del servicio contratado.

El servicio

Actualizaciones Automáticas y Transparentes: Todo el proceso de mantenimiento correctivo, preventivo y evolutivo se debe realizar de forma autónoma en la infraestructura de la plataforma en la nube suministrada por el contratista. Esto garantizará técnicamente que la organización siempre cuente con la versión más robusta, estable y segura de la plataforma, sin requerir intervenciones operativas, desarrollos adicionales o consumo de horas de ingeniería por parte del equipo de TI o soporte técnico institucional.

Modelo de Innovación Continua Integrado: Todas las mejoras tecnológicas, actualizaciones de ejecutables, optimizaciones de seguridad de la información y nuevas funcionalidades estándar que se liberen para el servicio deben estar plenamente cubiertas y garantizadas dentro del modelo del servicio. El contratista garantizará expresamente que la evolución técnica la plataforma no generará ningún cargo económico adicional, costos ocultos, ni cobros por horas de desarrollo complementarias para la institución durante la vigencia contractual.

El servicio debe estar desarrollada bajo tecnologías web modernas y operar mediante un modelo de despliegue en la nube (Cloud). El contratista debe proveer la infraestructura de servidores en internet con toda la configuración, aprovisionamiento y seguridad necesarios para la puesta en marcha de la plataforma. Para garantizar la integridad, escalabilidad y protección de los datos institucionales, los servicios de infraestructura de terceros que soporten el servicio deben cumplir, de forma obligatoria, con los siguientes estándares de la industria y certificaciones internacionales:

La Base de Datos: El motor de base de datos no relacional utilizado por la plataforma debe proveer de forma nativa servicios avanzados de encriptación, respaldos automáticos y fragmentación de datos (shards). El proveedor de este servicio debe contar activamente con las certificaciones de seguridad: SOC 2, EU-US Privacy Shield e HIPAA (o equivalentes internacionales).

Almacenamiento de Clientes Web y Frontend: El servicio encargado de almacenar y servir la interfaz web de los usuarios debe estar respaldado por un proveedor de infraestructura global que certifique el cumplimiento de las normativas: SOC 2, SOC 3, Cloud Security Alliance (CSA), GDPR (Reglamento General de Protección de Datos) y Global Cross-Border Privacy Rules (CBPR).

Motor de Envío de Correos Electrónicos: La retransmisión y salida de correos electrónicos masivos y notificaciones automatizadas del sistema debe contar obligatoriamente con la certificación de seguridad y controles operativos SOC 2.

Entorno de Ejecución del Backend: El servicio donde se aloja, procesa y ejecuta la lógica central del sistema (backend) debe permitir el escalado elástico de recursos informáticos bajo demanda y disponer de medidas perimetrales activas para evitar el escaneo de puertos o mitigación de ataques de denegación de servicio (DDoS). Este entorno debe acreditar las certificaciones internacionales: ISO 27001, ISO 27017, ISO 27018 y SOC 2.

Almacenamiento de Archivos Adjuntos y Expedientes: Los archivos, documentos de prueba, audios o videos adjuntados por los denunciantes e investigadores deben ser custodiados de forma aislada en un servicio cloud especializado de almacenamiento de objetos con redundancia distribuida. Este servicio debe garantizar una durabilidad de los datos de nivel empresarial, acceso seguro mediante enlaces firmados temporalmente y cifrado automático en reposo.

Control e Integración de Canales de Comunicación: Los servicios en la nube encargados de la recepción, atención y control de correos electrónicos de denuncia, así como las interfaces de comunicación con plataformas de mensajería (redes de mensajería corporativa) y telefonía automatizada para el manejo de números telefónicos y llamadas, deben operar sobre plataformas de infraestructura que acrediten de forma estricta las certificaciones ISO 27001 y SOC 2.

Autenticación Robusta y Multifactor (2FA): El ingreso al Dashboard administrativo estará estrictamente restringido mediante credenciales de alta complejidad y la integración obligatoria de un segundo factor de autenticación (2FA) basado en aplicaciones de contraseñas únicas por tiempo (TOTP), blindando el acceso contra ataques de suplantación de identidad, esto logrado con la integración al Single Sign On del Instituto Costarricense de Electricidad.

Listas de Control de Acceso (ACL) y Roles: Los permisos de los usuarios gestores se deben administrar de forma granular mediante perfiles y roles previamente parametrizados. El sistema debe contar con la capacidad técnica de soportar parametrizaciones altamente específicas y configuraciones a la medida que se ajusten de manera vinculante según necesidades de la institución. Esto garantizará la rigurosa segregación de funciones, restringiendo el acceso a secciones sensibles y bloqueando la visualización, descarga o modificación de datos por parte de personal no autorizado de acuerdo con los flujos de trabajo institucionales.

Borrado Seguro de Datos (Data Purging): El sistema debe incorporar la capacidad técnica de configurar políticas automatizadas de retención y borrado seguro de datos. Esta función debe permitir la eliminación permanente e irrecuperable de la información una vez que se hayan cumplido los plazos estipulados por el marco legal aplicable y las instrucciones de la organización.

Capa de Protección Activa y Antimalware: La infraestructura de servidores en la nube debe contar con una capa de protección perimetral avanzada y un sistema de detección y mitigación de código malicioso activo en tiempo real, encargado de escanear, neutralizar y bloquear cualquier archivo infectado que intente ser cargado en el servicio.

Filtrado de Datos Maliciosos e Inspección Profunda: El sistema debe implementar filtros de inspección de paquetes en la capa de aplicación para sanitizar las entradas de datos, limitando y bloqueando el envío de scripts maliciosos, intentos de inyección SQL o ataques de ejecución de comandos cruzados (XSS), asegurando que solo peticiones legítimas sean procesadas por el backend.

Prevención de Ataques DDoS y Fuerza Bruta: El servicio debe disponer de medidas de mitigación activas ante eventos de denegación de servicio distribuidos o intento de accesos automatizados por medio de fuerza bruta.

Resiliencia mediante Fragmentación de Datos (Sharding): La arquitectura de la base de datos debe permitir la distribución y replicación de los datos mediante técnicas de fragmentación (shards) y espejos automatizados. Estos deben activarse de forma inmediata y transparente ante cualquier fallo del servidor principal, garantizando la continuidad operativa y la disponibilidad técnica 24/7 de la plataforma.

Trazabilidad y Log de Auditoría Inalterable: Cada acción ejecutada por los administradores o investigadores dentro del sistema debe generar un registro de auditoría (log) automatizado, detallado e inalterable. Esta bitácora forense permitirá supervisar con precisión técnica qué usuario interactuó, en qué fecha y hora, y qué acción específica ejecutó sobre cualquier expediente, cumpliendo rigurosamente con los estándares internacionales de auditoría de TI.

Soporte y Acuerdos de Nivel de Servicio, Canales de Soporte Técnico y Trazabilidad para el servicio:

Mesa de Ayuda Integrada y Trazabilidad: El contratista adjudicado debe proveer servicios de soporte técnico con disponibilidad de veinticuatro (24) horas al día, los siete (7) días de la semana y los trescientos sesenta y cinco (365) días del año (24/7/365). El Dashboard administrativo de la plataforma debe incorporar, de forma nativa, un sistema de gestión de tiquetes y soporte técnico interno.

Canal de Interacción y Chat en Tiempo Real: Este módulo integrado debe permitir a cada usuario gestor abrir, consultar y dar seguimiento al ciclo de vida completo de sus solicitudes de asistencia. Asimismo, el servicio debe habilitar una función de chat interactivo dentro de la misma interfaz para que el gestor mantenga una comunicación directa y en tiempo real con el personal de soporte del contratista. El sistema registrará de manera inalterable la bitácora e historial de interacciones, mensajes y archivos adjuntos intercambiados por cada tiquete, garantizando una auditoría forense y trazabilidad completa del soporte brindado.

Canales de Respaldo: Como mecanismos complementarios de comunicación, el contratista dispondrá de un canal formalizado de soporte vía correo electrónico institucional y herramientas de notificación externa automatizadas.

Matriz de Niveles de Severidad y Tiempos de Respuesta: Una vez notificada o registrada una solicitud de asistencia en el servicio, el contratista dispondrá de un plazo máximo de doce (12) horas para iniciar formalmente el trámite de atención, acusar recibo o requerir aclaraciones técnicas complementarias. Las incidencias se tipificarán y resolverán con base en la siguiente matriz de prioridades:

Prioridad Alta (Incidencias Críticas): Se clasificarán bajo este nivel los eventos que comprometan la seguridad, la continuidad de la operación o la integridad de los datos, tales como: detección de una brecha de seguridad informática; fallo crítico donde alguna de las herramientas principales del sistema presente un comportamiento ajeno o nulo respecto a su diseño operativo; incompatibilidad total provocada por la actualización masiva de los navegadores web soportados o los sistemas operativos de los dispositivos móviles; o discordancia y desincronización de la información almacenada en la base de datos respecto a las vistas del usuario. Estas incidencias deben ser atendidas de forma inmediata, ejecutando las correcciones y liberando los parches o actualizaciones directo en el servidor de producción o tiendas de aplicaciones inmediatamente se cuente con la plataforma técnica.

Prioridad Media (Solicitudes Operativas): Se clasificarán bajo este nivel los requerimientos que no interrumpen la operación base del canal, pero limitan la gestión del administrador, incluyendo: solicitudes de modificación, alta o baja de perfiles de usuario; requerimientos de reestructuración u organización interna de los accesos de los gestores; consultas operativas o técnicas sobre el uso avanzado y funciones del sistema; o solicitudes de ajustes en la parametrización interna del servicio. Estas situaciones recibirán atención y seguimiento continuo mediante interacciones técnicas con la institución utilizando los canales de comunicación autorizados hasta su cierre definitivo, estas tendrán un plazo máximo de 6 horas para su atención.

Prioridad Baja (Ajustes Menores): Se clasificarán bajo este nivel las peticiones estéticas o de contenido secundario, tales como: reajustes gráficos, de diseño o alineación visual de elementos en las interfaces de usuario; modificaciones en descripciones, textos informativos o capturas de pantalla (screenshots) desplegadas en las tiendas de aplicaciones móviles; o cambios menores de configuración o textos solicitados por la institución. Estas incidencias serán solventadas mediante mantenimiento programado y se verán reflejadas de manera transparente en las ventanas de actualización periódica del sistema, estas tendrán un plazo máximo para el inicio de atención de 12 horas.

El servicio debe ajustarse rigurosamente a las leyes y regulaciones aplicables a las instituciones y empresas públicas del Estado, incluyendo de forma enunciativa más no limitativa:

Protección de Datos Personales: Cumplimiento estricto de la Ley N° 8968 (Ley de Protección de la Persona frente al tratamiento de sus datos personales), sus reformas y su respectivo Reglamento, garantizando el tratamiento seguro de datos sensibles.

Control Interno y Combate a la Corrupción: Alineación total con la Ley N° 8292 (Ley General de Control Interno) y la Ley N° 8422 (Ley Contra la Corrupción y el Enriquecimiento Ilícito en la Función Pública), proveyendo las herramientas tecnológicas necesarias para coadyuvar con las labores de la Contraloría General de la República (CGR) y las auditorías internas institucionales.

Responsabilidad de las Personas Jurídicas: Cumplimiento integral con lo estipulado en la Ley N° 9699 (Ley de Responsabilidad de las Personas Jurídicas sobre Cohechos Domésticos, Soborno Transnacional y otros Delitos), asegurando que el canal digital opere como el pilar fundamental de detección, prevención y mitigación de riesgos penales y corporativos.

Protección Integral al Denunciante y Testigos: Alineación mandatoria con la Ley N° 10411 (Ley de Protección a Denunciantes y Testigos de Actos de Corrupción contra Represalias Laborales), garantizando mecanismos informáticos avanzados que aseguren el anonimato estructural, la confidencialidad absoluta, la indemnidad del denunciante de buena fe y el blindaje total contra cualquier tipo de represalia, hostigamiento o persecución interna dentro del conglomerado institucional.

Prevención y Sanción del Acoso Laboral: Cumplimiento con la legislación aplicable en materia de Hostigamiento y Acoso Laboral en el sector público, asegurando módulos e interfaces idóneas, confidenciales y con trazabilidad inalterable para la recepción y trámite expedito de este tipo de reportes, resguardando en todo momento la integridad física, psicológica y la dignidad de las personas funcionarias.

Marcos Legales de Relevancia y Directrices Sectoriales: El sistema debe contar con la flexibilidad de asimilar las directrices emanadas por la Procuraduría de la Ética Pública (PEP), así como cualquier otra normativa vigente, sectorial o de reciente creación que sea vinculante para las operaciones y la naturaleza del holding institucional.

Estándares Internacionales de Excelencia Técnico-Operativa, la arquitectura de procesos, seguridad y gestión de expedientes del servicio propuesto debe estar diseñada bajo las mejores prácticas globales de gobernanza más rigurosas de la industria, cumpliendo con:

ISO 37001: Sistemas de Gestión Antisoborno.

ISO 37002: Sistemas de Gestión de Canales de Denuncia (Directrices operativas).

ISO 37008: Directrices para Investigaciones Internas en Organizaciones.

COSO ERM (Enterprise Risk Management): Marco de Gestión de Riesgos Corporativos para la correcta identificación, evaluación y respuesta ante riesgos estratégicos y operativos.

NOGAI (Normas Generales de Auditoría Interna): Aplicación de principios fundamentales para la práctica profesional de la auditoría interna en el sector público y corporativo.

Se agrega al apartado de especificaciones técnicas.

Disposiciones para presentación de estructura de precios y presupuesto detallado

El oferente debe presentar la estructura de precio en conjunto con la oferta, estableciendo los siguientes rubros obligatorios: costos directos de mano de obra, costos directos de insumos, costos indirectos de mano de obra, costos indirectos de insumos, utilidad; las ofertas deben considerarlos todos, indicando para cada componente el valor correspondiente, de reportarse algún componente en cero el oferente debe justificarlo desde la oferta y la dependencia analizará el fondo y determinará el cumplimiento o no de la oferta.

Los rubros deberán presentarse en valores absolutos y porcentuales. Se anexa el formato a utilizar. Dicha estructura será utilizada para el análisis de las ofertas y posteriormente, en caso de requerirse un reajuste/revisión de precios.

PRESUPUESTO DETALLADO (DECRETO 45863)El Contratista deberá presentar a la Administración mediante solicitud de información en SICOP el presupuesto detallado que sustente la Estructura de Precios presentada en su oferta, desglosando detalladamente los componentes de cada rubro, dentro de los tres (3) días hábiles siguientes a la notificación del contrato. El formato del presupuesto detallado será el indicado por el ICE según el archivo adjunto y deberá corresponder al precio total del contrato.

Forma de presentar la Estructura de Precios en la oferta:

Para el caso de contratación de bienes en cantidad definida o modalidad entrega según demanda la estructura de precios se solicitará por partida.

Para el caso de contratación de servicios en modalidad según demanda la estructura de precios se solicitará por línea.

Para el caso de contratación de servicios en cantidad definitiva la estructura de precios se solicitará por partida.

No obstante, tanto para bienes como para servicios el oferente podrá realizar las agrupaciones de líneas en la estructura de precios en los casos en que los costos sean proporcionalmente iguales para todas las líneas.

Cuando se trate de contratación de bienes y servicios que se adjudique por requerimiento completo y los objetos sean de similar naturaleza, el oferente según su criterio podrá presentar una estructura global de precios si así lo justifica, lo cual será valorado por la Administración.

El ICE se reserva la posibilidad de solicitar información adicional atinente a la composición de los precios contemplados en la oferta, cuando ello resulte necesario.

Cláusula de desempate:

En caso de que se presente un empate en la propuesta económica de los posibles adjudicatarios, se convocará un sorteo público, el cual se podrá realizar en forma presencial. 

La fecha y hora será comunicada oportunamente. 

Para definir el desempate se utilizará la moneda.

De lo anterior, se levantará un acta que será suscrita por los asistentes al evento.

Criterios Sostenibles:

El oferente deberá presentar una declaración jurada en la que manifieste el cumplimiento de los siguientes requisitos:

No emplea personas menores de edad dentro de su fuerza laboral, en apego a la legislación vigente.

Garantiza el pago de, al menos, el salario mínimo legal a todos sus trabajadores.

Promueve la igualdad de oportunidades y la equidad de género dentro de su organización, mediante prácticas y políticas que fomenten un entorno laboral inclusivo y libre de discriminación.

Otras declaraciones juradas:

Que me encuentro al día en el pago de impuestos nacionales, de acuerdo con el Artículo 14, inciso f) de la Ley General de Contratación Pública.

Que la presente contratación no origina relación laboral alguna entre el ICE y los empleados del CONTRATISTA y sus SUBCONTRATISTAS. Por tal motivo, corresponderá al CONTRATISTA el pago de los salarios de sus trabajadores, cargas sociales, viáticos, pólizas y en general todos los derechos laborales y disposiciones en materia de riesgos de trabajo que le corresponden al personal a su cargo, debiendo cumplir en todos los casos como mínimo con las garantías laborales consagradas en la legislación vigente.  Para tales efectos, especificará claramente en su oferta que se libera al ICE de toda responsabilidad civil y laboral directa o indirecta que pudiese derivarse de la contratación de los servicios requeridos en este cartel.

Otras Cláusulas

El ICE realizará el pago una vez recibido a satisfacción el servicio. El plazo de entrega será 20 días hábiles a partir de la notificación del contrato electrónico. La facturación deberá realizarse hasta que el contratista gestione la “solicitud de pago” en SICOP. Para facturar el pedido debe de incorporar en su factura, en el espacio de “Información de referencia”, creado exclusivamente para ingresar el número interno: Ejemplo: MM-450xxxx (sin espacios). Para obtener este número interno (MM-45000xxx), el proveedor deberá solicitarlo al Administradora de Contrato: Angélica Anchía Rodríguez.

Las facturas y el XML se deben enviar al correo facturasice@ice.go.cr

Se informa que, conforme a la versión 4.4 del Reglamento de Comprobantes Electrónicos emitida por la Dirección General de Tributación, a partir de su entrada en vigor únicamente serán aceptados comprobantes electrónicos (facturas, notas y recibos de pago) generados bajo este formato actualizado. Por lo tanto, les solicitamos asegurarse de que sus sistemas de facturación estén debidamente ajustados, ya que los comprobantes emitidos en versiones anteriores no podrán ser recibidos ni procesados.

Cláusula de confidencialidad:

En caso de que se requiera según el objeto contractual, se firmará un acuerdo de confidencialidad de la información (Non-Disclosure Agreement, NDA) entre las partes.  Este acuerdo establecerá los lineamientos y obligaciones que se deberán seguir para asegurar un uso adecuado de la información que para efectos del objeto contractual se requiera intercambiar entre las partes.  Dicho acuerdo deberá firmarse una vez emitido el contrato electrónico en SICOP al inicio de la ejecución contractual en un plazo máximo de 10 días hábiles. El Administrador del Contrato del ICE velará por el cumplimiento de este punto.

Acuerdo de Nivel de Servicio

En caso de que el ICE lo requiere se firmará entre las partes un Acuerdo de Nivel de Servicio, que contemplará en resumen el cartel y que formará parte de la relación contractual entre las partes.

EROGACIONES FUTURAS

Para la atención de las erogaciones de pago que se originen de este contrato la Dirección Ciberseguridad y Protección Empresarial incluirá en las cifras de formulación presupuestaria del año correspondiente el debido contenido presupuestario, el cual queda sujeto a la aprobación del presupuesto por parte de la Contraloría General de la República. En caso necesario la Dirección Ciberseguridad y Protección Empresarial se compromete a dotar del debido contenido presupuestario mediante el procedimiento de modificaciones presupuestarias.

El monto total estimado es de: 26 555,00 USD para el periodo 2027.