Artículo 86

(2) Artículo 86.- Las instituciones de financiamiento colectivo deberán acompañar a la solicitud de autorización a que se refiere el artículo anterior, lo siguiente:

1. (2)I.

   La descripción detallada y diagramas de flujo de los procesos de los servicios a contratar, considerando las actividades que se pretendan realizar por la institución de financiamiento colectivo, así como por el prestador del servicio; las áreas de la propia institución de financiamiento colectivo y del tercero que participan en el flujo del servicio; nombre, descripción y funcionalidad de los sistemas que, en su caso, serán contratados para la prestación del servicio, o los sistemas de la institución de financiamiento colectivo que serán utilizados por el proveedor respectivo.

2. (2)II.

   El proyecto de contrato de prestación de servicios, en el que deberá señalarse la fecha probable de su celebración, los derechos y obligaciones de la institución de financiamiento colectivo y del tercero, incluyendo la determinación sobre la propiedad intelectual respecto de los diseños, desarrollos o procesos utilizados para la prestación del servicio. Dicho proyecto de contrato deberá ser presentado en idioma español.

(2) Asimismo, deberá quedar constancia, dentro del contrato, de la aceptación expresa por parte del tercero de las obligaciones siguientes:

1. (2)a)

   Apegarse a lo previsto en el artículo 54 de la Ley.

2. (2)b)

   Entregar en el desarrollo de una auditoría y a solicitud de la institución de financiamiento colectivo, al auditor externo independiente de la propia institución de financiamiento colectivo y a la CNBV, los libros, sistemas, registros, manuales y documentos en general, relacionados con la prestación del servicio de que se trate. Asimismo, permitir al auditor externo independiente o al personal de la CNBV el acceso a sus oficinas e instalaciones en general, relacionadas con la prestación del servicio en cuestión.

3. (2)c)

   Informar a la institución de financiamiento colectivo respecto de cualquier modificación a su objeto social o cualquier otro cambio que pudiera afectar la prestación del servicio objeto de la contratación, con por lo menos treinta días de anticipación a que suceda dicha modificación o cambio.

4. (2)d)

   Guardar confidencialidad respecto de la información que haya sido recibida, transmitida, procesada o almacenada durante la prestación de los servicios. Asimismo, aceptar que dicha información solamente podrá usarse y explotarse para los fines pactados en la prestación del servicio.

5. (2)e)

   En caso de que el tercero realice la subcontratación para la prestación parcial o total de alguno de los servicios prestados a las instituciones de financiamiento colectivo, la obligación de notificar a la propia institución respecto de dicha subcontratación; asimismo, que establecerá los mecanismos para que el subcontratado cumpla con las obligaciones pactadas y proporcione la información para los efectos del artículo 88 de las presentes disposiciones.

6. (2)f)

   Cumplir con los términos, condiciones y procesos para que el tercero garantice a la institución de financiamiento colectivo la transferencia, devolución y eliminación segura de la información sujeta al servicio contratado cuando deje de prestarlo.

7. (2)g)

   Mantener registros de auditoría íntegros que incluyan la información detallada de los accesos o intentos de acceso y la operación o actividad efectuadas por los Usuarios de la Infraestructura Tecnológica. Dichos registros deberán estar a disposición del personal autorizado de la institución de financiamiento colectivo.

8. (2)h)

   Contar con controles de acceso a la información de acuerdo con los niveles de acceso y perfiles determinados por la institución de financiamiento colectivo.

9. (2)i)

   Permitir a la institución de financiamiento colectivo realizar las revisiones de seguridad que se señalan en el artículo 64, fracciones II, III y IV de las presentes disposiciones a los servicios contratados o bien, proporcionar evidencia de la realización de estas revisiones.

10. (2)III.

    La siguiente documentación respecto de la Infraestructura Tecnológica:

11. (2)a)

    La descripción de los enlaces de comunicación utilizados por la institución de financiamiento colectivo para conectarse con el proveedor de servicios, que incluya el nombre del proveedor, el ancho de banda y el tipo de servicio prestado, entre otros.

12. (2)b)

    Un diagrama de telecomunicaciones en donde se muestre la conexión existente entre cada uno de los participantes en la prestación del servicio (proveedores, centros de datos, institución de financiamiento colectivo, entre otros), incluyendo los esquemas de redundancia.

13. (2)c)

    La dirección completa del lugar en donde se realizarán cada uno de los servicios, así como de los centros de datos, primario y secundario, en donde se almacenará y procesará la información. En caso de que el lugar señalado se encuentre en territorio nacional debe incluirse, por lo menos, calle, número exterior e interior, colonia, alcaldía o municipio, código postal y entidad federativa. Tratándose de un sitio localizado en el

extranjero deberán incluirse datos similares que permitan ubicar con certeza el lugar señalado. Tratándose de servicios de Computo en la Nube solamente deberán proporcionar lo señalado en el inciso b) de la fracción VI de este artículo.

1. (2)d)

   En su caso, el esquema de interrelación de aplicaciones o sistemas objeto de la contratación, incluyendo los sistemas propios de la institución de financiamiento colectivo.

2. (2)e)

   Los mecanismos de continuidad del servicio contratado.

3. (2)IV.

   Los mecanismos que permitirán a la institución de financiamiento colectivo, mantener en sus instalaciones los registros detallados de todas las Operaciones que se realicen, así como de sus registros contables al cierre diario. Dichos registros deberán mantenerse en un formato que permita su consulta y uso, con independencia de que el servicio contratado con el tercero no se encuentre disponible.

4. (2)V.

   Cuando el tercero tenga privilegios de acceso a las imágenes de identificaciones oficiales o información biométrica de los Clientes, presentar evidencia de los controles que mantendrá para garantizar la confidencialidad, integridad y disponibilidad de esta información.

5. (2)VI.

   Tratándose de contratación de servicios de Cómputo en la Nube, describir adicionalmente lo siguiente:

6. (2)a)

   Tipo de nube, ya sea pública, privada o híbrida.

7. (2)b)

   Regiones específicas donde se almacenará y procesará la información.

8. (2)c)

   En esquemas de nubes públicas o de virtualización en infraestructura compartida con otros clientes, la descripción de los mecanismos de control que serán utilizados para garantizar la confidencialidad, integridad y disponibilidad de la Información Sensible.

9. (2)VII.

   Descripción de los mecanismos para vigilar el desempeño del tercero contratado y el cumplimiento de sus obligaciones contractuales, incluyendo al menos, las previstas en las presentes disposiciones.

10. (2)VIII.

    Planes para evaluar y reportar al Órgano de Administración o, en su caso, al comité de auditoría de la institución de financiamiento colectivo, según la importancia del servicio contratado, el desempeño del tercero y el cumplimiento de la regulación aplicable relacionada con dicho servicio.

11. (2)IX.

    Evidencia que permita verificar que los terceros tengan e implementen políticas de protección de datos personales y confidencialidad de la información que permitan a la institución de financiamiento colectivo cumplir con las disposiciones legales que la rigen en la materia. Tratándose de servicios que se procesen, proporcionen o ejecuten total o parcialmente fuera de territorio nacional, las instituciones de financiamiento colectivo deberán acompañar la documentación que acredite que los terceros residen en países cuyo derecho interno proporciona protección a los datos de las personas, resguardando su debida confidencialidad, o bien, que dichos países mantengan suscritos con México acuerdos internacionales en dicha materia o de intercambio de información entre los organismos supervisores, tratándose de Entidades Financieras.

(2) La CNBV contará con un plazo de veinticinco días hábiles para resolver respecto de la solicitud de autorización a que se refiere el presente artículo; transcurrido este plazo sin pronunciamiento alguno, se entenderá la resolución en sentido positivo. Cualquier requerimiento de información adicional que realice la CNBV interrumpirá el plazo señalado en este párrafo.