Artículo 87

(2) Artículo 87.- Las instituciones de financiamiento colectivo para la contratación de servicios con terceros que sean objeto de autorización por la CNBV en términos de estas disposiciones, así como

aquellos relacionados con procesos operativos y con administración de bases de datos y sistemas informáticos, deberán dar cumplimiento a lo siguiente:

1. (2)I.

   Tratándose de terceros que proporcionen servicios relacionados con procesos operativos y con administración de bases de datos y sistemas informáticos, pactar lo señalado en la fracción II del artículo 86 y conservar el contrato respectivo.

2. (2)II.

   Realizar, al menos anualmente, auditorías internas o externas sobre el servicio contratado o contar con evidencia de que el tercero contratado las lleva a cabo.

3. (2)III.

   Mantener en sus oficinas principales, al menos, la documentación e información relativa a las evaluaciones, resultados de auditorías y, en su caso, los planes de remediación que correspondan, así como los reportes de desempeño de los terceros contratados, incluyendo documentación respecto del cumplimiento de lo señalado en la fracción I de este artículo.

4. (2)IV.

   Actualizar la descripción o documentación respectiva cuando existan modificaciones que se consideren que tienen un impacto relevante en cuanto al servicio proporcionado o que estén relacionadas con los sistemas, equipos y aplicaciones objeto de la contratación o con sus características técnicas.

5. (2)V.

   Respecto de la Infraestructura Tecnológica y seguridad de la información, además de la información determinada en el artículo 86, fracción III, incisos b) y d) de estas disposiciones, contar con la siguiente documentación:

6. (2)a)

   La descripción de las características técnicas de los sistemas, equipos y aplicaciones objeto de la contratación que contenga al menos lo señalado en el Anexo 14 de estas disposiciones.

7. (2)b)

   Aquella en donde se detallen los mecanismos para asegurar la transmisión y almacenamiento de la información en forma Cifrada, en su caso, incluyendo la versión de los protocolos de Cifrado y componentes de seguridad en la Infraestructura Tecnológica.

8. (2)c)

   La que contenga el detalle del tipo de información de la institución de financiamiento colectivo y Clientes precisando, en su caso, el tipo de Información Sensible que será almacenada por el tercero en sus equipos o instalaciones, o a la que podrá tener acceso, en su caso.

9. (2)d)

   La descripción de los mecanismos de control y vigilancia del acceso a los sistemas informáticos y a la Información Sensible transmitida, almacenada, procesada, resguardada o custodiada en dichos sistemas, así como de las bitácoras, bases de datos y configuraciones de seguridad que se establezcan al efecto.

10. (2)e)

    La evidencia de los controles y de los mecanismos de control a que se refieren las fracciones V y VI, inciso c) del artículo 86 de estas disposiciones.

11. (2)VI.

    Contar con la evidencia a que alude la fracción IX del artículo 86 anterior.

(2) El director general o, en su caso, el administrador único será responsable de la implementación de las evaluaciones y los planes de remediación a que se refiere la fracción III de este artículo.