Artículo 313

(46) Artículo 313.- Las Instituciones deberán solicitar a sus Usuarios, para la celebración de operaciones o prestación de servicios a través de Medios Electrónicos, un segundo Factor de Autenticación de las Categorías 3 ó 4 a que se refiere el Artículo 310 de estas disposiciones, adicional al utilizado, en su caso, para iniciar la Sesión y en cada ocasión en que se pretenda realizar cada una de las operaciones y servicios siguientes:

1. (268)I.

   Transferencias de recursos dinerarios a Cuentas Destino de terceros u otras Instituciones, incluyendo el pago de créditos y de bienes o servicios, así como las autorizaciones e instrucciones de domiciliación de pago de bienes o servicios.

(150) Cuando las Cuentas Destino hayan sido registradas en Oficinas Bancarias utilizando la firma autógrafa del Usuario, previa identificación de este o bien, el Usuario haya solicitado que dichas cuentas se consideren como Cuentas Destino Recurrentes, las Instituciones podrán permitir a los Usuarios realizar dichas operaciones utilizando un solo Factor de Autenticación de las Categorías 2, 3 ó 4 a que se refiere el artículo 310 de estas disposiciones. Asimismo, las Instituciones deberán proveer lo necesario para que los Usuarios puedan desactivar o dar de baja las Cuentas Destino registradas en el servicio de Banca Electrónica de que se trate.

(92) De igual forma, tratándose de transferencias de recursos dinerarios a cuentas de quienes se consideren donatarias autorizadas en términos de las disposiciones fiscales que resulten aplicables, cuyo monto agregado diario no exceda al equivalente en moneda nacional a las operaciones de Baja Cuantía, o bien, el equivalente en moneda nacional a 1,000 UDIs mensuales, no será necesario el uso de un segundo Factor de Autenticación, ni realizar el registro previo de la cuenta donataria destino conforme a lo estipulado en el Artículo 314 de las presentes disposiciones, siempre y cuando cada una de dichas transferencias se realicen dentro de la misma sesión de otra transacción o transferencia, respecto de la cual sí se requiera el citado segundo Factor de Autenticación. En tales supuestos, se deberá emitir el comprobante por cada una de las operaciones conforme al artículo 316 bis y realizar la notificación prevista en el Artículo 316 Bis 1 de las presentes disposiciones.

1. (150)II.

   Pago de contribuciones.

2. (46)III.

   Establecimiento e incremento de límites de monto para Operaciones Monetarias a que se refiere el Artículo 315 de las presentes disposiciones, para el servicio de que se trate u otros servicios de Banca Electrónica;

3. (46)IV.

   Registro de Cuentas Destino de terceros u otras Instituciones para el servicio de que se trate u otros servicios de Banca Electrónica;

4. (46)V.

   Alta y modificación del medio de notificación a que se refiere el Artículo 316 Bis 1 de estas disposiciones, salvo lo previsto en el último párrafo de dicho artículo;

5. (205)VI.

   Consultas de estados de cuenta de uno o más periodos u otras consultas que permitan conocer información relacionada con el Usuario y sus cuentas, tales como el domicilio, límites de crédito, beneficiarios o cotitulares, u otra que pueda ser utilizada como información de Autenticación. No será necesario el referido segundo factor, para el caso de la consulta de estados de cuenta, siempre que el Usuario haya iniciado su sesión con un Factor de Autenticación de las Categorías 3 o 4.

(46) Las Instituciones podrán permitir a los Usuarios la impresión de estados de cuenta utilizando una tarjeta bancaria y un Factor de Autenticación Categoría 2 a que se refiere el Artículo 310 de las presentes disposiciones, en equipos electrónicos o de telecomunicaciones ubicados únicamente dentro de las Oficinas Bancarias que la Comisión determine, mediante disposiciones de carácter general, que cuentan con las medidas máximas de seguridad conforme a lo establecido por el artículo 96 de la Ley.

(46) Igualmente, las Instituciones podrán permitir a sus Usuarios consultar los estados de cuenta, requiriendo únicamente un Factor de Autenticación Categoría 2 a que se refiere el Artículo 310 de estas disposiciones, siempre y cuando dichas consultas versen sobre operaciones de crédito y se realice la notificación a que se hace referencia en el Artículo 316 Bis 1 de las presentes disposiciones. En estos casos, las Instituciones deberán solicitar un Factor de Autenticación Categoría 2 a que se refiere el Artículo 310 de estas disposiciones, para dar cumplimiento a lo previsto por la fracción V del presente artículo.

1. (46)VII.

   Contratación de otro servicio de Banca Electrónica o de operaciones y servicios adicionales a los originalmente convenidos, conforme a lo dispuesto en el Artículo 307 de estas disposiciones;

2. (46)VIII.

   Desbloqueo de Contraseñas o Números de Identificación Personal (NIP) respecto de otros servicios de Banca Electrónica que el Usuario tenga contratados, y

3. (46)IX.

   Retiro de efectivo en Cajeros Automáticos.

(46) Las Instituciones no se encontrarán obligadas a solicitar a sus Usuarios un Factor de Autenticación de las Categorías 3 ó 4 a que se refiere el Artículo 310 de las presentes disposiciones, cuando se trate de las Operaciones Monetarias que se realicen a través de Pago Móvil. Dichas operaciones podrán realizarse utilizando al menos un Factor de Autenticación Categoría 2 a que se refiere el Artículo 310 de las presentes disposiciones, debiendo las Instituciones asegurar que las Operaciones Monetarias se realizan a través del número de línea que se encuentra asociado al servicio.

(345) Tratándose de Operaciones Monetarias consideradas como Micro Pagos, cuyo Dispositivo de Acceso sea un Teléfono Móvil o una Terminal Punto de Venta, podrán ser realizadas sin que las Instituciones soliciten Factores de Autenticación. Las Instituciones deberán pactar, al momento de la contratación con sus Usuarios, que las propias Instituciones asumirán los riesgos y por lo tanto los costos de las operaciones que no sean reconocidas por los Usuarios en dichos casos. Las Reclamaciones Monetarias derivadas de estas operaciones deberán ser abonadas a los Usuarios a más tardar cuarenta y ocho horas posteriores a la Reclamación Monetaria.

(46) Asimismo, las Instituciones podrán enviar a solicitud de sus Usuarios, estados de cuenta a través de correo electrónico, siempre y cuando la información se transmita de forma Cifrada o con mecanismos que eviten su lectura por parte de terceros no autorizados, y requieran un Factor de Autenticación Categoría 2 a que se refiere el Artículo 310 de las presentes disposiciones, para que el Usuario tenga acceso, el cual deberá ser distinto al utilizado para acceder al servicio de Banca por Internet. Las Instituciones deberán establecer medidas que protejan la confidencialidad de los datos transmitidos y del Factor de Autenticación utilizado.

(46) Tratándose de los servicios de Banca por Internet proporcionados a Usuarios que sean personas morales, las Instituciones podrán implementar mecanismos mediante los cuales una persona autorizada por el Usuario, realice la solicitud para efectuar las operaciones, y otra persona distinta que sea designada por el propio Usuario, autorice su ejecución. En estos casos, se podrá exceptuar a las Instituciones de la obligación de que el servicio de Banca por Internet cumpla con el tiempo de habilitación de la cuenta así como respecto del uso de un segundo Factor de Autenticación por cada operación, siempre y cuando las Instituciones implementen controles que permitan diferenciar las funciones aplicables a la persona que solicita una operación, respecto de aquellas que aplican a la persona que autoriza su ejecución. En el supuesto establecido en el presente párrafo, las Instituciones deberán obtener la previa autorización de la Comisión, en cuya solicitud deberán exponer los controles que les permitirán a los Usuarios realizar operaciones de forma segura.

(345) Las Instituciones que obtengan la autorización a que se refiere el párrafo anterior, deberán pactar con sus Usuarios, que las propias Instituciones asumirán los riesgos y por lo tanto los costos de las operaciones no reconocidas por los Usuarios en dichos casos. Las Reclamaciones Monetarias derivadas de estas operaciones deberán ser abonadas a los Usuarios a más tardar cuarenta y ocho horas posteriores a la Reclamación Monetaria.

(2) Sección Tercera (46) De la operación del servicio de Banca Electrónica