Artículo 49

Artículo 49.- Las instituciones de fondos de pago electrónico deberán acompañar a la solicitud de autorización a que se refiere el artículo 44 o, en su caso, al aviso a que se refiere la fracción I del artículo 45 de las presentes Disposiciones, lo siguiente:

1. I.

   Descripción detallada y diagramas de flujo de los procesos de los servicios a contratar, considerando las actividades que se pretendan realizar por la institución de fondos de pago electrónico, así como por el prestador del servicio; las áreas de la propia institución de fondos de pago electrónico y del tercero que participan en el flujo del servicio; nombre, descripción y funcionalidad de los sistemas que, en su caso, serán contratados para la prestación del servicio, o los sistemas de la institución de fondos de pago electrónico que serán utilizados por el proveedor respectivo.

2. II.

   Proyecto de contrato de prestación de servicios, en el que deberá señalarse la fecha contemplada de su celebración, los derechos y obligaciones de la institución de fondos de pago electrónico y del tercero, incluyendo la determinación sobre la propiedad intelectual respecto de los diseños, desarrollos o procesos utilizados para la prestación del servicio. Dicho proyecto de contrato deberá ser presentado en idioma español.

Asimismo, deberá quedar constancia dentro del contrato, de la aceptación expresa por parte del tercero de las obligaciones siguientes:

1. a)

   Apegarse a lo previsto en el artículo 54 de la Ley para Regular las Instituciones de Tecnología Financiera.

2. b)

   Entregar en el desarrollo de la auditoría y a solicitud de la institución de fondos de pago electrónico, al Tercero Independiente de la propia institución de fondos de pago electrónico, así como al Banco de México y a la CNBV, los libros, sistemas, registros, manuales y documentos en general, relacionados con la prestación del servicio de que se trate. Asimismo, permitir al Tercero Independiente o al personal del Banco de México o de la CNBV el acceso a sus oficinas e instalaciones en general, relacionadas con la prestación del servicio en cuestión.

3. c)

   Informar a la institución de fondos de pago electrónico respecto de cualquier modificación a su objeto social o cualquier otro cambio que pudiera afectar la prestación del servicio objeto de la contratación con, por lo menos, treinta días de anticipación a que suceda dicha modificación o cambio.

4. d)

   Guardar confidencialidad respecto de la información que haya sido recibida, transmitida, procesada o almacenada durante la prestación de los servicios. Asimismo, aceptar que dicha información solamente podrá usarse para los fines pactados en la prestación del servicio.

5. e)

   En caso de que el tercero realice la subcontratación para la prestación parcial o total de alguno de los servicios prestados a las instituciones de fondos de pago electrónico, deberá notificar a la propia institución respecto de dicha subcontratación; asimismo, establecerá los mecanismos para que el subcontratado cumpla con las obligaciones pactadas y proporcione la información para los efectos del artículo 52 de las presentes Disposiciones.

6. f)

   Cumplir con los términos, condiciones y procesos para que el tercero garantice a la institución de fondos de pago electrónico la transferencia, devolución y eliminación segura de la información sujeta al servicio contratado cuando deje de prestarlo.

7. g)

   Mantener registros de auditoría íntegros que incluyan la información detallada de los accesos o intentos de acceso y la operación o actividad efectuadas por los Usuarios de la Infraestructura Tecnológica. Dichos registros deberán estar a disposición del personal autorizado de la institución de fondos de pago electrónico.

8. h)

   Contar con controles de acceso a la información de acuerdo con los niveles de acceso y perfiles determinados por la institución de fondos de pago electrónico.

9. i)

   Permitir a la institución de fondos de pago electrónico realizar las revisiones de seguridad que se señalan en los artículos 21, 33 y 34 de las presentes Disposiciones a los servicios contratados, o bien, proporcionar evidencia de la realización de estas revisiones.

10. III.

    Documentación respecto de la Infraestructura Tecnológica que a continuación se indica:

11. a)

    Descripción de los enlaces de comunicación utilizados por la institución de fondos de pago electrónico para conectarse con el proveedor de servicios, que incluya el nombre del proveedor, el ancho de banda y el tipo de servicio prestado, entre otros.

12. b)

    Diagrama de telecomunicaciones en donde se muestre la conexión existente entre cada uno de los participantes en la prestación del servicio, tales como proveedores, centros de datos, e institución de fondos de pago electrónico, entre otros, incluyendo los esquemas de redundancia.

13. c)

    Dirección completa del lugar en donde se realizarán cada uno de los servicios, así como de los centros de datos, primario y secundario, en donde se almacenará y procesará la información. En caso de que el lugar señalado se encuentre en territorio nacional, debe incluirse por lo menos, calle, número exterior e interior, colonia, alcaldía o municipio, código postal y entidad federativa. Tratándose de un sitio localizado en el extranjero, deberán incluirse datos similares que permitan ubicar con certeza el lugar señalado. Tratándose de servicios de Cómputo en la Nube, solamente deberá proporcionarse lo señalado en el artículo 50 de las presentes Disposiciones.

14. d)

    En su caso, el esquema de interrelación de aplicaciones o sistemas objeto de la contratación, incluyendo los sistemas propios de la institución de fondos de pago electrónico.

15. e)

    Mecanismos de continuidad del servicio contratado.

16. IV.

    Mecanismos que permitirán a la institución de fondos de pago electrónico mantener bajo su resguardo, ya sea en Infraestructura Tecnológica propia o de terceros en territorio nacional, los registros detallados de todas las Operaciones que se realicen, así como de sus registros contables de forma que se asegure la continuidad operativa en todo momento. Dichos registros deberán mantenerse en un formato que permita su consulta, operación y uso, con independencia de que el servicio contratado con el tercero no se encuentre disponible.

17. V.

    Evidencia de los controles que el tercero mantendrá para garantizar la confidencialidad, integridad y disponibilidad de esta información, cuando este tenga privilegios de acceso a las imágenes de identificaciones oficiales o información biométrica de los Clientes.

18. VI.

    Descripción de los mecanismos para vigilar el desempeño del tercero contratado y el cumplimiento de sus obligaciones contractuales incluyendo, al menos, las previstas en las presentes Disposiciones.

19. VII.

    Planes para evaluar y reportar al Órgano de Administración o, en su caso, al comité de auditoría de la institución de fondos de pago electrónico, según la importancia del servicio contratado, el desempeño del tercero y el cumplimiento de la regulación aplicable relacionada con dicho servicio.

20. VIII.

    Evidencia que permita verificar que los terceros tengan e implementen políticas de protección de datos personales y confidencialidad de la información que permitan a la institución de fondos de pago electrónico cumplir con las disposiciones legales que la rigen en la materia.

Tratándose de servicios que se procesen, proporcionen o ejecuten total o parcialmente fuera de territorio nacional, las instituciones de fondos de pago electrónico deberán acompañar la

documentación que acredite que los terceros residen en países cuyo derecho interno proporciona protección a los datos de las personas, resguardando su debida confidencialidad, o bien, que dichos países mantengan suscritos con México acuerdos internacionales en dicha materia, o de intercambio de información entre los organismos supervisores, tratándose de Entidades Financieras.

Adicionalmente, las instituciones de fondos de pago electrónico deberán:

1. a)

   Contar con la aprobación del Órgano de Administración respecto a que no habrá impacto en la continuidad de la operación de la institución de fondos de pago electrónico, con motivo de la distancia geográfica y, en su caso, del lenguaje que se utilizará en la prestación del servicio.

2. b)

   Contar con esquemas de soporte técnico que permitan solucionar problemas e incidencias, con independencia de las diferencias que, en su caso, existan en husos horarios y días hábiles.

Asimismo, en el evento de que alguna autoridad del país de origen del tercero a que se refiere esta fracción le requiera información relacionada con los servicios que le presta a la institución de fondos de pago electrónico, el tercero deberá, tan pronto como sea jurídicamente posible, informar de ello a la institución, así como proporcionarle copia de la información que haya entregado a dicha autoridad. En este caso, la institución de fondos de pago electrónico deberá informar de tal situación al Banco de México y a la CNBV de conformidad con lo establecido en el artículo 59 de las presentes Disposiciones, inmediatamente después de que tenga conocimiento de ello, así como proporcionarles copia de la información referida.

El Banco de México y la CNBV contarán con un plazo de veinticinco días hábiles para resolver respecto de la solicitud de autorización a que se refiere el presente artículo; transcurrido este plazo sin pronunciamiento alguno, se entenderá la resolución en sentido positivo. Cualquier requerimiento de información adicional que realice el Banco de México o la CNBV, interrumpirá el plazo señalado en este párrafo.