Normativa · Circular 2420 · circulares

Artículo 2420RECOPILACIÓN DE NORMAS DEL MERCADO DE VALORES - Modificaciones en lo relativo a resguardo de datos y tercerizaciones

Montevideo, 30 de diciembre de 2022 CIRCULAR N°2420 Ref: RECOPILACIÓN DE NORMAS DEL MERCADO DE VALORES - Modificaciones en lo relativo a resguardo de datos y tercerizaciones Se pone en conocimiento del mercado que la Superintendencia de Servicios Financieros adoptó, con fecha 27 de diciembre de 2022, la siguiente resolución: 1) SUSTITUIR en el Capítulo III BIS – Tercerización de servicios, del Título III – Bolsas de valores, del Libro I – Autorizaciones y registros, de la Recopilación de Normas del Mercado de Valores, los artículos 58.1.1, 58.1.2 y 58.3 por los siguientes: ARTÍCULO 58.1.1 (AUTORIZACIÓN DE TERCERIZACIONES). La autorización a que refiere el artículo 58.1 podrá ser otorgada en forma expresa o tácita de acuerdo con lo dispuesto a continuación: 1) Cuando se trate de servicios prestados por terceros radicados en el exterior del país deberá solicitarse la autorización expresa de la Superintendencia de Servicios Financieros. De igual modo deberá solicitarse la autorización expresa cuando los terceros están radicados en el país pero los servicios se prestan total o parcialmente en o desde el exterior. La solicitud de autorización deberá venir acompañada del texto del contrato de servicios a ser suscrito y un informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica de los terceros contratados y de los subcontratados, si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto, de acuerdo con la legislación uruguaya. El contrato deberá cumplir con los requerimientos a que refiere el numeral 1) del art. 58.1.2. Una vez otorgada la autorización, el referido informe deberá mantenerse en las oficinas de la bolsa de valores a disposición de la Superintendencia de Servicios Financieros y actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 1  La autorización referirá únicamente al servicio específico objeto de la solicitud y se realizará sin perjuicio de las inscripciones de las bases de datos y autorizaciones de transferencia internacional de datos personales que puedan corresponder ante la Unidad Reguladora y de Control de Datos Personales de la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento. Todo cambio posterior al alcance o a las condiciones sobre cuya base se otorgó la autorización original, deberá ser objeto de una nueva solicitud. La autorización concedida podrá ser revocada en caso de observarse desviaciones de lo indicado, sin perjuicio de otras sanciones que pudieren aplicarse a la institución por el incumplimiento de las instrucciones impartidas por la Superintendencia de Servicios Financieros. Los costos en que incurra la Superintendencia de Servicios Financieros por actividades de supervisión en el exterior de servicios tercerizados, serán de cargo de la institución supervisada. La Superintendencia de Servicios Financieros podrá disponer que determinados servicios no requerirán autorización expresa para su contratación, estableciendo las condiciones para que dicha contratación se considere autorizada. 2) Cuando se trate de servicios prestados en el país por terceros radicados en él, su contratación se considerará autorizada siempre que se cumpla con los requerimientos a que refiere el artículo 58.1.2. Aquellas tercerizaciones realizadas con instituciones que se encuentren sujetas a regulación y supervisión del Banco Central del Uruguay respecto de la actividad tercerizada, sólo deberán cumplir con lo dispuesto en el numeral 1) literal e) del referido artículo para considerarse autorizadas. A los efectos de las tercerizaciones que impliquen procesamiento de datos se aplicará además lo dispuesto en los artículos 58.2 y 58.3. La Superintendencia de Servicios Financieros podrá establecer que determinados servicios no requerirán autorización para su contratación. ARTÍCULO 58.1.2 (TERCERIZACIÓN DE SERVICIOS PRESTADOS EN EL PAÍS POR TERCEROS RADICADOS EN ÉL). Las tercerizaciones de servicios prestados en el país por terceros radicados en él, se considerarán autorizadas cuando cumplan con los requerimientos que se establecen a continuación: Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 2 1) Los servicios tercerizados deberán estar detallados en un contrato entre las partes que deberá contener, como mínimo, las siguientes cláusulas: a) Identificación de las partes contratantes, sus representantes y domicilios legales. b) Objeto del contrato, indicando los servicios a tercerizar de manera detallada, el alcance de los mismos y las condiciones y niveles mínimos de prestación establecidos por la institución contratante. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá identificar la localización desde donde se presta dicho procesamiento, su mantenimiento y los respaldos. c) Responsabilidad de las bolsas de valores por los servicios prestados por el tercero contratado. d) Compromisos en materia de confidencialidad y protección de datos. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá incorporar la obligación del proveedor de servicios –al momento de la finalización del contrato– de transferir u ofrecer herramientas que permitan la transferencia de los datos a quien la institución supervisada disponga y su eliminación una vez confirmada la disponibilidad y la integridad de estos en el destino. e) Derecho a realizar auditorías o evaluaciones periódicas, sin restricciones de especie alguna, por parte de la Superintendencia de Servicios Financieros y de la institución contratante, ya sea directamente o mediante auditorías independientes. A estos efectos, se deberá prever el acceso irrestricto a los datos y a toda la documentación e información técnica relacionada con los servicios prestados. Dicho acceso irrestricto deberá también proporcionarse –en caso de corresponder– al responsable del proceso de intervención, resolución o liquidación. f) Procedimientos para obtener la información necesaria para que el servicio se pueda continuar prestando ante cualquier situación que pudiera sufrir el tercero que le impidiera continuar cumpliendo con el servicio contratado. Se deberá incluir la obligación del proveedor de informar a la institución supervisada sobre cualquier evento que pudiera afectar significativamente la prestación del servicio. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 3  g) Obligación del proveedor –siempre que sigan ejerciéndose las obligaciones sustantivas de la institución supervisada con arreglo al contrato, incluyendo las obligaciones de pago– de continuar brindando el servicio cuando la institución se encuentre en proceso de intervención, resolución o liquidación. h) Causales de rescisión, entre las que se deberá incluir la instrucción del cese para la prestación de servicios a través de la empresa tercerizada por parte de la Superintendencia de Servicios Financieros. Los requerimientos detallados en los literales b), d), e), f) y g) serán exigibles también a los contratos con las empresas subcontratadas por la empresa tercerizada, si los hubiera. En caso de juzgarlo necesario, la Superintendencia de Servicios Financieros podrá requerir modificaciones tanto a los contratos con la empresa tercerizada, como respecto de los contratos con empresas subcontratadas. 2) Las bolsas de valores deberán mantener en sus oficinas a disposición de la Superintendencia de Servicios Financieros: a) Los contratos celebrados con la empresa en la que se tercerizaron los servicios, así como copia de los contratos correspondientes a las subcontrataciones, si las hubiera. b) Informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica del tercero contratado y de los subcontratados si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto. El referido informe deberá actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. VIGENCIA: Las modificaciones dispuestas regirán para los contratos firmados a partir de la vigencia de la presente resolución. Para los contratos ya existentes, se admitirá que se realicen las citadas modificaciones cuando los mismos sean renovados. ARTÍCULO 58.3 (REQUISITOS ADICIONALES PARA EL PROCESAMIENTO DE DATOS EN O DESDE EL EXTERIOR DEL PAÍS). Cuando el procesamiento de datos sea prestado por un tercero radicado en el exterior o en el país pero el servicio se preste total o parcialmente en o desde el exterior, las bolsas de valores deberán evaluar los requerimientos legales y Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 4 regulatorios existentes en la jurisdicción anfitriona así como las potenciales condiciones políticas, económicas y sociales u otros eventos que puedan conspirar contra la habilidad del proveedor de cumplir satisfactoriamente con las obligaciones acordadas. Estos extremos deberán verificarse tanto al momento de la selección inicial del proveedor como al momento de eventuales renovaciones de contrato. El tercero deberá contar con una modalidad de operación y un equipamiento tales que permitan en todo momento el acceso en línea a toda la información desde las terminales instaladas en la empresa supervisada. Con relación al resguardo de la información en el exterior, una de las copias a que refiere el artículo 255.2 deberá radicarse físicamente en el Uruguay y permanecer accesible a los funcionarios de la Superintendencia de Servicios Financieros en un plazo no mayor al que fije la referida Superintendencia en función del lugar del procesamiento. Se admitirá que no se radique una copia en Uruguay cuando las instituciones implementen y disponibilicen un espacio físico con la infraestructura tecnológica necesaria para permitir el acceso y control total, continuo y permanente de todos los datos procesados en el exterior del país, así como sus resguardos y las claves necesarias para su acceso y eventual desencriptación. Dicho punto unificado de acceso deberá localizarse en el país, en la casa central o alguna dependencia de la institución y concentrar todos los accesos, independientemente de las ubicaciones, proveedores y naturaleza de los servicios provistos desde el exterior. Las instituciones deberán informar a la Superintendencia de Servicios Financieros la ubicación asignada al punto. Al menos una vez al año se deberán realizar pruebas formales y debidamente documentadas del funcionamiento del punto y de cada uno de los accesos. En lo que respecta al plan de continuidad operacional a que alude el artículo 255.8, éste deberá ser probado con resultados exitosos previo al inicio de la actividad de procesamiento y posteriormente, por lo menos una vez al año. La Superintendencia de Servicios Financieros podrá disponer que estas pruebas se realicen bajo su supervisión. 2) SUSTITUIR en el Capítulo VI – Tercerización de servicios, del Título III BIS – Empresas administradoras de plataformas de financiamiento colectivo, del Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 5  Libro I – Autorizaciones y registros, de la Recopilación de Normas del Mercado de Valores, los artículos 59.19, 59.20 y 59.22 por los siguientes: ARTÍCULO 59.19 (AUTORIZACIÓN DE TERCERIZACIONES). La autorización a que refiere el artículo 59.18 podrá ser otorgada en forma expresa o tácita de acuerdo con lo dispuesto a continuación: 1) Cuando se trate de servicios prestados por terceros radicados en el exterior del país deberá solicitarse la autorización expresa de la Superintendencia de Servicios Financieros. De igual modo deberá solicitarse la autorización expresa cuando los terceros están radicados en el país, pero los servicios se prestan total o parcialmente en o desde el exterior. La solicitud de autorización deberá venir acompañada del texto del contrato de servicios a ser suscrito y un informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica de los terceros contratados y de los subcontratados, si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto, de acuerdo con la legislación uruguaya. El contrato deberá cumplir con los requerimientos a que refiere el numeral 1) del artículo 59.20. Una vez otorgada la autorización, el referido informe deberá mantenerse en las oficinas de la empresa a disposición de la Superintendencia de Servicios Financieros y actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. La autorización referirá únicamente al servicio específico objeto de la solicitud y se realizará sin perjuicio de las inscripciones de las bases de datos y autorizaciones de transferencia internacional de datos personales que puedan corresponder ante la Unidad Reguladora y de Control de Datos Personales de la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento. Todo cambio posterior al alcance o a las condiciones sobre cuya base se otorgó la autorización original, deberá ser objeto de una nueva solicitud. La autorización concedida podrá ser revocada en caso de observarse desviaciones de lo indicado, sin perjuicio de otras sanciones que pudieren aplicarse a la institución por el incumplimiento de las instrucciones impartidas por la Superintendencia de Servicios Financieros. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 6  Los costos en que incurra la Superintendencia de Servicios Financieros por actividades de supervisión en el exterior de servicios tercerizados, serán de cargo de la institución supervisada. La Superintendencia de Servicios Financieros podrá disponer que determinados servicios no requerirán autorización expresa para su contratación, estableciendo las condiciones para que dicha contratación se considere autorizada. 2) Cuando se trate de servicios prestados en el país por terceros radicados en él, su contratación se considerará autorizada siempre que se cumpla con los requerimientos a que refiere el artículo 59.20. Aquellas tercerizaciones realizadas con instituciones que se encuentren sujetas a regulación y supervisión del Banco Central del Uruguay respecto de la actividad tercerizada, sólo deberán cumplir con lo dispuesto en el numeral 1) literal e) del referido artículo para considerarse autorizadas. A los efectos de las tercerizaciones que impliquen procesamiento de datos se aplicará además lo dispuesto en los artículos 59.21 y 59.22. La Superintendencia de Servicios Financieros podrá establecer que determinados servicios no requerirán autorización para su contratación. ARTÍCULO 59.20 (TERCERIZACIÓN DE SERVICIOS PRESTADOS EN EL PAÍS POR TERCEROS RADICADOS EN ÉL). Las tercerizaciones de servicios prestados en el país por terceros radicados en él, se considerarán autorizadas cuando cumplan con los requerimientos que se establecen a continuación: 1) Los servicios tercerizados deberán estar detallados en un contrato entre las partes que deberá contener, como mínimo, las siguientes cláusulas: a) Identificación de las partes contratantes, sus representantes y domicilios legales. b) Objeto del contrato, indicando los servicios a tercerizar de manera detallada, el alcance de los mismos y las condiciones y niveles mínimos de prestación establecidos por la institución contratante. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá identificar la localización desde donde se presta dicho procesamiento, su mantenimiento y los respaldos. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 7  c) Responsabilidad de las empresas administradoras de plataformas de financiamiento colectivo por los servicios prestados por el tercero contratado. d) Compromisos en materia de confidencialidad y protección de datos. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá incorporar la obligación del proveedor de servicios –al momento de la finalización del contrato– de transferir u ofrecer herramientas que permitan la transferencia de los datos a quien la institución supervisada disponga y su eliminación una vez confirmada la disponibilidad y la integridad de estos en el destino. e) Derecho a realizar auditorías o evaluaciones periódicas, sin restricciones de especie alguna, por parte de la Superintendencia de Servicios Financieros y de la institución contratante, ya sea directamente o mediante auditorías independientes. A estos efectos, se deberá prever el acceso irrestricto a los datos y a toda la documentación e información técnica relacionada con los servicios prestados. Dicho acceso irrestricto deberá también proporcionarse –en caso de corresponder– al responsable del proceso de intervención, resolución o liquidación. f) Procedimientos para obtener la información necesaria para que el servicio se pueda continuar prestando ante cualquier situación que pudiera sufrir el tercero que le impidiera continuar cumpliendo con el servicio contratado. Se deberá incluir la obligación del proveedor de informar a la institución supervisada sobre cualquier evento que pudiera afectar significativamente la prestación del servicio. g) Obligación del proveedor –siempre que sigan ejerciéndose las obligaciones sustantivas de la institución supervisada con arreglo al contrato, incluyendo las obligaciones de pago– de continuar brindando el servicio cuando la institución se encuentre en proceso de intervención, resolución o liquidación. h) Causales de rescisión, entre las que se deberá incluir la instrucción del cese para la prestación de servicios a través de la empresa tercerizada por parte de la Superintendencia de Servicios Financieros. Los requerimientos detallados en los literales b), d), e), f) y g) serán exigibles también a los contratos con las empresas subcontratadas por la empresa tercerizada, si los hubiera. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 8 En caso de juzgarlo necesario, la Superintendencia de Servicios Financieros podrá requerir modificaciones tanto a los contratos con la empresa tercerizada, como respecto de los contratos con empresas subcontratadas. 2) Las empresas administradoras de plataformas de financiamiento colectivo deberán mantener en sus oficinas a disposición de la Superintendencia de Servicios Financieros: a) Los contratos celebrados con la empresa en la que se tercerizaron los servicios, así como copia de los contratos correspondientes a las subcontrataciones, si las hubiera. b) Informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica del tercero contratado y de los subcontratados si los hubiere así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto. El referido informe deberá actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. VIGENCIA: Las modificaciones dispuestas regirán para los contratos firmados a partir de la vigencia de la presente resolución. Para los contratos ya existentes, se admitirá que se realicen las citadas modificaciones cuando los mismos sean renovados. ARTÍCULO 59.22 (REQUISITOS ADICIONALES PARA EL PROCESAMIENTO DE DATOS EN O DESDE EL EXTERIOR DEL PAÍS). Cuando el procesamiento de datos sea prestado por un tercero radicado en el exterior o en el país pero el servicio se preste total o parcialmente en o desde el exterior, las empresas administradoras de plataformas de financiamiento colectivo deberán evaluar los requerimientos legales y regulatorios existentes en la jurisdicción anfitriona así como las potenciales condiciones políticas, económicas y sociales u otros eventos que puedan conspirar contra la habilidad del proveedor de cumplir satisfactoriamente con las obligaciones acordadas. Estos extremos deberán verificarse tanto al momento de la selección inicial del proveedor como al momento de eventuales renovaciones de contrato. El tercero deberá contar con una modalidad de operación y un equipamiento tales que permitan en todo momento el acceso en línea a toda la información desde las terminales instaladas en la empresa supervisada. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 9 Con relación al resguardo de la información en el exterior, una de las copias a que refiere el artículo 255.2 deberá radicarse físicamente en el Uruguay y permanecer accesible a los funcionarios de la Superintendencia de Servicios Financieros en un plazo no mayor al que fije la referida Superintendencia en función del lugar del procesamiento. Se admitirá que no se radique una copia en Uruguay cuando las instituciones implementen y disponibilicen un espacio físico con la infraestructura tecnológica necesaria para permitir el acceso y control total, continuo y permanente de todos los datos procesados en el exterior del país, así como sus resguardos y las claves necesarias para su acceso y eventual desencriptación. Dicho punto unificado de acceso deberá localizarse en el país, en la casa central o alguna dependencia de la institución y concentrar todos los accesos, independientemente de las ubicaciones, proveedores y naturaleza de los servicios provistos desde el exterior. Las instituciones deberán informar a la Superintendencia de Servicios Financieros la ubicación asignada al punto. Al menos una vez al año se deberán realizar pruebas formales y debidamente documentadas del funcionamiento del punto y de cada uno de los accesos. En lo que respecta al plan de continuidad operacional a que alude el artículo 255.8, éste deberá ser probado con resultados exitosos previo al inicio de la actividad de procesamiento y posteriormente, por lo menos una vez al año. La Superintendencia de Servicios Financieros podrá disponer que estas pruebas se realicen bajo su supervisión. 3) SUSTITUIR en el Capítulo III BIS – Tercerización de servicios, del Título IV – Intermediarios de valores, del Libro I – Autorizaciones y registros, de la Recopilación de Normas del Mercado de Valores, los artículos 67.1.1, 67.1.2 y 67.3 por los siguientes: ARTÍCULO 67.1.1 (AUTORIZACIÓN DE TERCERIZACIONES). La autorización a que refiere el artículo 67.1 podrá ser otorgada en forma expresa o tácita de acuerdo con lo dispuesto a continuación: 1) Cuando se trate de servicios prestados por terceros radicados en el exterior del país deberá solicitarse la autorización expresa de la Superintendencia de Servicios Financieros. De igual modo deberá solicitarse la autorización expresa cuando los terceros están radicados en el país pero los servicios se prestan total o parcialmente en o desde el exterior. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 10  La solicitud de autorización deberá venir acompañada del texto del contrato de servicios a ser suscrito y un informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica de los terceros contratados y de los subcontratados, si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto, de acuerdo con la legislación uruguaya. El contrato deberá cumplir con los requerimientos a que refiere el numeral 1) del art. 67.1.2. Una vez otorgada la autorización, el referido informe deberá mantenerse en las oficinas del intermediario de valores a disposición de la Superintendencia de Servicios Financieros y actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. La autorización referirá únicamente al servicio específico objeto de la solicitud y se realizará sin perjuicio de las inscripciones de las bases de datos y autorizaciones de transferencia internacional de datos personales que puedan corresponder ante la Unidad Reguladora y de Control de Datos Personales de la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento. Todo cambio posterior al alcance o a las condiciones sobre cuya base se otorgó la autorización original, deberá ser objeto de una nueva solicitud. La autorización concedida podrá ser revocada en caso de observarse desviaciones de lo indicado, sin perjuicio de otras sanciones que pudieren aplicarse a la institución por el incumplimiento de las instrucciones impartidas por la Superintendencia de Servicios Financieros. Los costos en que incurra la Superintendencia de Servicios Financieros por actividades de supervisión en el exterior de servicios tercerizados, serán de cargo de la institución supervisada. La Superintendencia de Servicios Financieros podrá disponer que determinados servicios no requerirán autorización expresa para su contratación, estableciendo las condiciones para que dicha contratación se considere autorizada. 2) Cuando se trate de servicios prestados en el país por terceros radicados en él, su contratación se considerará autorizada siempre que se cumpla con los requerimientos a que refiere el artículo 67.1.2. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 11  Aquellas tercerizaciones realizadas con instituciones que se encuentren sujetas a regulación y supervisión del Banco Central del Uruguay respecto de la actividad tercerizada, sólo deberán cumplir con lo dispuesto en el numeral 1) literal e) del referido artículo para considerarse autorizadas. A los efectos de las tercerizaciones que impliquen procesamiento de datos se aplicará además lo dispuesto en los artículos 67.2 y 67.3. Las tercerizaciones que impliquen el trato directo con clientes por servicios de intermediación en valores, gestión de portafolios o asesoramiento en inversiones, se considerarán autorizadas cuando cumplan con lo dispuesto en artículo 67.1.3, incluso en el caso de terceros radicados en el exterior. La autorización para la utilización de servicios de terceros para realizar los procedimientos de debida diligencia se regirá por lo dispuesto en el artículo 198. La Superintendencia de Servicios Financieros podrá establecer que determinados servicios no requerirán autorización para su contratación. ARTÍCULO 67.1.2 (TERCERIZACIÓN DE SERVICIOS PRESTADOS EN EL PAÍS POR TERCEROS RADICADOS EN ÉL). Las tercerizaciones de servicios prestados en el país por terceros radicados en él, se considerarán autorizadas cuando cumplan con los requerimientos que se establecen a continuación: 1) Los servicios tercerizados deberán estar detallados en un contrato entre las partes que deberá contener, como mínimo, las siguientes cláusulas: a) Identificación de las partes contratantes, sus representantes y domicilios legales. b) Objeto del contrato, indicando los servicios a tercerizar de manera detallada, el alcance de los mismos y las condiciones y niveles mínimos de prestación establecidos por la institución contratante. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá identificar la localización desde donde se presta dicho procesamiento, su mantenimiento y los respaldos. c) Responsabilidad del intermediario de valores por los servicios prestados por el tercero contratado. d) Compromisos en materia de confidencialidad y protección de datos. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá incorporar la obligación del proveedor de Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 12  servicios –al momento de la finalización del contrato– de transferir u ofrecer herramientas que permitan la transferencia de los datos a quien la institución supervisada disponga y su eliminación una vez confirmada la disponibilidad y la integridad de estos en el destino. e) Derecho a realizar auditorías o evaluaciones periódicas, sin restricciones de especie alguna, por parte de la Superintendencia de Servicios Financieros y del intermediario contratante, ya sea directamente o mediante auditorías independientes. A estos efectos, se deberá prever el acceso irrestricto a los datos y a toda la documentación e información técnica relacionada con los servicios prestados. Dicho acceso irrestricto deberá también proporcionarse –en caso de corresponder– al responsable del proceso de intervención, resolución o liquidación. f) Procedimientos para obtener la información necesaria para que el servicio se pueda continuar prestando ante cualquier situación que pudiera sufrir el tercero que le impidiera continuar cumpliendo con el servicio contratado. Se deberá incluir la obligación del proveedor de informar a la institución supervisada sobre cualquier evento que pudiera afectar significativamente la prestación del servicio. g) Obligación del proveedor –siempre que sigan ejerciéndose las obligaciones sustantivas de la institución supervisada con arreglo al contrato, incluyendo las obligaciones de pago– de continuar brindando el servicio cuando la institución se encuentre en proceso de intervención, resolución o liquidación. h) Causales de rescisión, entre las que se deberá incluir la instrucción del cese para la prestación de servicios a través de la empresa tercerizada por parte de la Superintendencia de Servicios Financieros. Los requerimientos detallados en los literales b), d), e), f) y g) serán exigibles también a los contratos con las empresas subcontratadas por la empresa tercerizada, si los hubiera. En caso de juzgarlo necesario, la Superintendencia de Servicios Financieros podrá requerir modificaciones tanto a los contratos con la empresa tercerizada, como respecto de los contratos con empresas subcontratadas. 2) Los intermediarios de valores deberán mantener en sus oficinas a disposición de la Superintendencia de Servicios Financieros: Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 13  a) Los contratos celebrados con la empresa en la que se tercerizaron los servicios, así como copia de los contratos correspondientes a las subcontrataciones, si las hubiera. b) Informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica del tercero contratado y de los subcontratados si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto. El referido informe deberá actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. VIGENCIA: Las modificaciones dispuestas regirán para los contratos firmados a partir de la vigencia de la presente resolución. Para los contratos ya existentes, se admitirá que se realicen las citadas modificaciones cuando los mismos sean renovados. ARTÍCULO 67.3 (REQUISITOS ADICIONALES PARA EL PROCESAMIENTO DE DATOS EN O DESDE EL EXTERIOR DEL PAÍS). Cuando el procesamiento de datos sea prestado por un tercero radicado en el exterior o en el país pero el servicio se preste total o parcialmente en o desde el exterior, los intermediarios de valores deberán evaluar los requerimientos legales y regulatorios existentes en la jurisdicción anfitriona así como las potenciales condiciones políticas, económicas y sociales u otros eventos que puedan conspirar contra la habilidad del proveedor de cumplir satisfactoriamente con las obligaciones acordadas. Estos extremos deberán verificarse tanto al momento de la selección inicial del proveedor como al momento de eventuales renovaciones de contrato. El tercero deberá contar con una modalidad de operación y un equipamiento tales que permitan en todo momento el acceso en línea a toda la información desde las terminales instaladas en la empresa supervisada. Con relación al resguardo de la información en el exterior, una de las copias a que refiere el artículo 255.2 deberá radicarse físicamente en el Uruguay y permanecer accesible a los funcionarios de la Superintendencia de Servicios Financieros en un plazo no mayor al que fije la referida Superintendencia en función del lugar del procesamiento. Se admitirá que no se radique una copia en Uruguay cuando las instituciones implementen y disponibilicen un espacio físico con la Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 14 infraestructura tecnológica necesaria para permitir el acceso y control total, continuo y permanente de todos los datos procesados en el exterior del país, así como sus resguardos y las claves necesarias para su acceso y eventual desencriptación. Dicho punto unificado de acceso deberá localizarse en el país, en la casa central o alguna dependencia de la institución y concentrar todos los accesos, independientemente de las ubicaciones, proveedores y naturaleza de los servicios provistos desde el exterior. Las instituciones deberán informar a la Superintendencia de Servicios Financieros la ubicación asignada al punto. Al menos una vez al año se deberán realizar pruebas formales y debidamente documentadas del funcionamiento del punto y de cada uno de los accesos. En lo que respecta al plan de continuidad operacional a que alude el artículo 255.8, éste deberá ser probado con resultados exitosos previo al inicio de la actividad de procesamiento y posteriormente, por lo menos una vez al año. La Superintendencia de Servicios Financieros podrá disponer que estas pruebas se realicen bajo su supervisión. 4) SUSTITUIR en la Sección II BIS – Tercerización de servicios, del Capítulo I – Sociedades administradoras de fondos de inversión, del Título V – Sociedades administradoras de fondos de inversión – Fondos de inversión – Fondos de inversión del exterior, del Libro I – Autorizaciones y registros, de la Recopilación de Normas del Mercado de Valores, los artículos 76.2.1, 76.2.2 y 76.4 por los siguientes: ARTÍCULO 76.2.1 (AUTORIZACIÓN DE TERCERIZACIONES). La autorización a que refiere el artículo 76.2 podrá ser otorgada en forma expresa o tácita de acuerdo con lo dispuesto a continuación: 1) Cuando se trate de servicios prestados por terceros radicados en el exterior del país deberá solicitarse la autorización expresa de la Superintendencia de Servicios Financieros. De igual modo deberá solicitarse la autorización expresa cuando los terceros están radicados en el país, pero los servicios se prestan total o parcialmente en o desde el exterior. La solicitud de autorización deberá venir acompañada del texto del contrato de servicios a ser suscrito y un informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica de los terceros contratados y de los subcontratados, si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 15  sujeta a secreto, de acuerdo con la legislación uruguaya. El contrato deberá cumplir con los requerimientos a que refiere el numeral 1) del art. 76.2.2. Una vez otorgada la autorización, el referido informe deberá mantenerse en las oficinas de la institución a disposición de la Superintendencia de Servicios Financieros y actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. La autorización referirá únicamente al servicio específico objeto de la solicitud y se realizará sin perjuicio de las inscripciones de las bases de datos y autorizaciones de transferencia internacional de datos personales que puedan corresponder ante la Unidad Reguladora y de Control de Datos Personales de la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento. Todo cambio posterior al alcance o a las condiciones sobre cuya base se otorgó la autorización original, deberá ser objeto de una nueva solicitud. En ningún caso deberá solicitar autorización en caso de modificaciones o reajustes del precio o contraprestación. La autorización concedida podrá ser revocada en caso de observarse desviaciones de lo indicado, sin perjuicio de otras sanciones que pudieren aplicarse a la institución por el incumplimiento de las instrucciones impartidas por la Superintendencia de Servicios Financieros. Los costos en que incurra la Superintendencia de Servicios Financieros por actividades de supervisión en el exterior de servicios tercerizados, serán de cargo de la institución supervisada. La Superintendencia de Servicios Financieros podrá disponer que determinados servicios no requerirán autorización expresa para su contratación, estableciendo las condiciones para que dicha contratación se considere autorizada. 2) Cuando se trate de servicios prestados en el país por terceros radicados en él, su contratación se considerará autorizada siempre que se cumpla con los requerimientos a que refiere el artículo 76.2.2. Aquellas tercerizaciones realizadas con instituciones que se encuentren sujetas a regulación y supervisión del Banco Central del Uruguay respecto de la actividad tercerizada, sólo deberán cumplir con lo dispuesto en el numeral 1) literal e) del referido artículo para considerarse autorizadas. La Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 16  prestación de estos servicios por parte de dichas instituciones se considerarán actividades propias o conexas a su giro. A los efectos de las tercerizaciones que impliquen procesamiento de datos s aplicará además lo dispuesto en los artículos 76.3 y 76.4. La autorización para la contratación de terceros a efectos de realizar la gestión de los activos del Fondo de Inversión se regirá por lo dispuesto en el artículo 76.6. La autorización para la utilización de servicios de terceros para realizar los procedimientos de debida diligencia se regirá por lo dispuesto en el artículo 198. La Superintendencia de Servicios Financieros podrá establecer que determinados servicios no requerirán autorización para su contratación. ARTÍCULO 76.2.2 (TERCERIZACIÓN DE SERVICIOS PRESTADOS EN EL PAÍS POR TERCEROS RADICADOS EN ÉL). Las tercerizaciones de servicios prestados en el país por terceros radicados en él, se considerarán autorizadas cuando cumplan con los requerimientos que se establecen a continuación: 1) Los servicios tercerizados deberán estar detallados en un contrato entre las partes que deberá contener, como mínimo, las siguientes cláusulas: a) Identificación de las partes contratantes, sus representantes y domicilios legales. b) Objeto del contrato, indicando los servicios a tercerizar de manera detallada, el alcance de los mismos y las condiciones y niveles mínimos de prestación establecidos por la institución contratante. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá identificar la localización desde donde se presta dicho procesamiento, su mantenimiento y los respaldos. c) Responsabilidad de las sociedades administradoras de fondos de inversión por los servicios prestados por el tercero contratado. d) Compromisos en materia de confidencialidad y protección de datos. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá incorporar la obligación del proveedor de servicios –al momento de la finalización del contrato– de transferir u ofrecer herramientas que permitan la transferencia de los datos a quien la institución supervisada disponga y su eliminación una Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 17  vez confirmada la disponibilidad y la integridad de estos en el destino. e) Derecho a realizar auditorías o evaluaciones periódicas, sin restricciones de especie alguna, por parte de la Superintendencia de Servicios Financieros y de la institución contratante, ya sea directamente o mediante auditorías independientes. A estos efectos, se deberá prever el acceso irrestricto a los datos y a toda la documentación e información técnica relacionada con los servicios prestados. Dicho acceso irrestricto deberá también proporcionarse –en caso de corresponder– al responsable del proceso de intervención, resolución o liquidación. f) Procedimientos para obtener la información necesaria para que el servicio se pueda continuar prestando ante cualquier situación que pudiera sufrir el tercero que le impidiera continuar cumpliendo con el servicio contratado. Se deberá incluir la obligación del proveedor de informar a la institución supervisada sobre cualquier evento que pudiera afectar significativamente la prestación del servicio. g) Obligación del proveedor –siempre que sigan ejerciéndose las obligaciones sustantivas de la institución supervisada con arreglo al contrato, incluyendo las obligaciones de pago– de continuar brindando el servicio cuando la institución se encuentre en proceso de intervención, resolución o liquidación. h) Causales de rescisión, entre las que se deberá incluir la instrucción del cese para la prestación de servicios a través de la empresa tercerizada por parte de la Superintendencia de Servicios Financieros. Los requerimientos detallados en los literales b), d), e), f) y g) serán exigibles también a los contratos con las empresas subcontratadas por la empresa tercerizada, si los hubiera. En caso de juzgarlo necesario, la Superintendencia de Servicios Financieros podrá requerir modificaciones tanto a los contratos con la empresa tercerizada, como respecto de los contratos con empresas subcontratadas. 2) Las sociedades administradoras de fondos de inversión deberán mantener en sus oficinas a disposición de la Superintendencia de Servicios Financieros: a) Los contratos celebrados con la empresa en la que se tercerizaron los servicios, así como copia de los contratos correspondientes a las subcontrataciones, si las hubiera. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 18  b) Informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica del tercero contratado y de los subcontratados si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto. El referido informe deberá actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. VIGENCIA: Las modificaciones dispuestas regirán para los contratos firmados a partir de la vigencia de la presente resolución. Para los contratos ya existentes, se admitirá que se realicen las citadas modificaciones cuando los mismos sean renovados. ARTÍCULO 76.4 (REQUISITOS ADICIONALES PARA EL PROCESAMIENTO DE DATOS EN O DESDE EL EXTERIOR DEL PAÍS). Cuando el procesamiento de datos sea prestado por un tercero radicado en el exterior o en el país pero el servicio se preste total o parcialmente en o desde el exterior, las sociedades administradoras de fondos de inversión deberán evaluar los requerimientos legales y regulatorios existentes en la jurisdicción anfitriona así como las potenciales condiciones políticas, económicas y sociales u otros eventos que puedan conspirar contra la habilidad del proveedor de cumplir satisfactoriamente con las obligaciones acordadas. Estos extremos deberán verificarse tanto al momento de la selección inicial del proveedor como al momento de eventuales renovaciones de contrato. El tercero deberá contar con una modalidad de operación y un equipamiento tales que permitan en todo momento el acceso en línea a toda la información desde las terminales instaladas en la empresa supervisada. Con relación al resguardo de la información en el exterior, una de las copias a que refiere el artículo 255.2 deberá radicarse físicamente en el Uruguay y permanecer accesible a los funcionarios de la Superintendencia de Servicios Financieros en un plazo no mayor al que fije la referida Superintendencia en función del lugar del procesamiento. Se admitirá que no se radique una copia en Uruguay cuando las instituciones implementen y disponibilicen un espacio físico con la infraestructura tecnológica necesaria para permitir el acceso y control total, continuo y permanente de todos los datos procesados en el Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 19 exterior del país, así como sus resguardos y las claves necesarias para su acceso y eventual desencriptación. Dicho punto unificado de acceso deberá localizarse en el país, en la casa central o alguna dependencia de la institución y concentrar todos los accesos, independientemente de las ubicaciones, proveedores y naturaleza de los servicios provistos desde el exterior. Las instituciones deberán informar a la Superintendencia de Servicios Financieros la ubicación asignada al punto. Al menos una vez al año se deberán realizar pruebas formales y debidamente documentadas del funcionamiento del punto y de cada uno de los accesos. En lo que respecta al plan de continuidad operacional a que alude el artículo 255.8, éste deberá ser probado con resultados exitosos previo al inicio de la actividad de procesamiento y posteriormente, por lo menos una vez al año. La Superintendencia de Servicios Financieros podrá disponer que estas pruebas se realicen bajo su supervisión. 5) SUSTITUIR en el Capítulo III – BIS – Tercerización de servicios de los fiduciarios financieros, del Título VI – Fiduciarios y fideicomisos, del Libro I – Autorizaciones y registros, de la Recopilación de Normas del Mercado de Valores, los artículos 106.1, 106.1.1, 106.3 por los siguientes: ARTÍCULO 106.1 (AUTORIZACIÓN DE TERCERIZACIONES). La autorización a que refiere el artículo 106 podrá ser otorgada en forma expresa o tácita de acuerdo con lo dispuesto a continuación: 1) Cuando se trate de servicios prestados por terceros radicados en el exterior del país deberá solicitarse la autorización expresa de la Superintendencia de Servicios Financieros. De igual modo deberá solicitarse la autorización expresa cuando los terceros están radicados en el país pero los servicios se prestan total o parcialmente en o desde el exterior. La solicitud de autorización deberá venir acompañada del texto del contrato de servicios a ser suscrito y un informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica de los terceros contratados y de los subcontratados, si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto, de acuerdo con la legislación uruguaya. El contrato deberá cumplir con los requerimientos a que refiere el numeral 1) del art. 106.1.1. Una vez otorgada la autorización, el referido informe deberá mantenerse en las oficinas del fiduciario a disposición de la Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 20  Superintendencia de Servicios Financieros y actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. La autorización referirá únicamente al servicio específico objeto de la solicitud y se realizará sin perjuicio de las inscripciones de las bases de datos y autorizaciones de transferencia internacional de datos personales que puedan corresponder ante la Unidad Reguladora y de Control de Datos Personales de la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento. Todo cambio posterior al alcance o a las condiciones sobre cuya base se otorgó la autorización original, deberá ser objeto de una nueva solicitud. La autorización concedida podrá ser revocada en caso de observarse desviaciones de lo indicado, sin perjuicio de otras sanciones que pudieren aplicarse a la institución por el incumplimiento de las instrucciones impartidas por la Superintendencia de Servicios Financieros. Los costos en que incurra la Superintendencia de Servicios Financieros por actividades de supervisión en el exterior de servicios tercerizados, serán de cargo de la institución supervisada. La Superintendencia de Servicios Financieros podrá disponer que determinados servicios no requerirán autorización expresa para su contratación, estableciendo las condiciones para que dicha contratación se considere autorizada. 2) Cuando se trate de servicios prestados en el país por terceros radicados en él, su contratación se considerará autorizada siempre que se cumpla con los requerimientos a que refiere el artículo 106.1.1. Aquellas tercerizaciones realizadas con instituciones que se encuentren sujetas a regulación y supervisión del Banco Central del Uruguay respecto de la actividad tercerizada, sólo deberán cumplir con lo dispuesto en el numeral 1) literal e) del referido artículo para considerarse autorizadas. A los efectos de las tercerizaciones que impliquen procesamiento de datos se aplicará además lo dispuesto en los artículos 106.2 y 106.3. La autorización para la utilización de servicios de terceros para realizar los procedimientos de debida diligencia se regirá por lo dispuesto en el artículo 198. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 21 Cuando se trate de tercerizaciones vinculadas a fideicomisos financieros de oferta privada, los fiduciarios sólo deberán obtener la constancia a que refiere el artículo 108 y posteriormente recabar la aceptación de los beneficiarios. La Superintendencia de Servicios Financieros podrá establecer que determinados servicios no requerirán autorización para su contratación. ARTÍCULO 106.1.1 (TERCERIZACIÓN DE SERVICIOS PRESTADOS EN EL PAÍS POR TERCEROS RADICADOS EN ÉL). Las tercerizaciones de servicios prestados en el país por terceros radicados en él, se considerarán autorizadas cuando cumplan con los requerimientos que se establecen a continuación: 1) Los servicios tercerizados deberán estar detallados en un contrato entre las partes que deberá contener, como mínimo, las siguientes cláusulas: a) Identificación de las partes contratantes, sus representantes y domicilios legales. b) Objeto del contrato, indicando los servicios a tercerizar de manera detallada, el alcance de los mismos y las condiciones y niveles mínimos de prestación establecidos por la institución contratante. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá identificar la localización desde donde se presta dicho procesamiento, su mantenimiento y los respaldos. c) Responsabilidad del fiduciario por los servicios prestados por el tercero contratado. d) Compromisos en materia de confidencialidad y protección de datos. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá incorporar la obligación del proveedor de servicios –al momento de la finalización del contrato– de transferir u ofrecer herramientas que permitan la transferencia de los datos a quien la institución supervisada disponga y su eliminación una vez confirmada la disponibilidad y la integridad de estos en el destino. e) Derecho a realizar auditorías o evaluaciones periódicas, sin restricciones de especie alguna, por parte de la Superintendencia de Servicios Financieros y del fiduciario contratante, ya sea directamente o mediante auditorías independientes. A estos efectos, se deberá prever el acceso irrestricto a los datos y a toda la documentación e información técnica relacionada con los servicios Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 22  prestados. Dicho acceso irrestricto deberá también proporcionarse –en caso de corresponder– al responsable del proceso de intervención, resolución o liquidación. f) Procedimientos para obtener la información necesaria para que el servicio se pueda continuar prestando ante cualquier situación que pudiera sufrir el tercero que le impidiera continuar cumpliendo con el servicio contratado. Se deberá incluir la obligación del proveedor de informar a la institución supervisada sobre cualquier evento que pudiera afectar significativamente la prestación del servicio. g) Obligación del proveedor –siempre que sigan ejerciéndose las obligaciones sustantivas de la institución supervisada con arreglo al contrato, incluyendo las obligaciones de pago– de continuar brindando el servicio cuando la institución se encuentre en proceso de intervención, resolución o liquidación. h) Causales de rescisión, entre las que se deberá incluir la instrucción del cese para la prestación de servicios a través de la empresa tercerizada por parte de la Superintendencia de Servicios Financieros. Los requerimientos detallados en los literales b), d), e), f) y g) serán exigibles también a los contratos con las empresas subcontratadas por la empresa tercerizada, si los hubiera. En caso de juzgarlo necesario, la Superintendencia de Servicios Financieros podrá requerir modificaciones tanto a los contratos con la empresa tercerizada, como respecto de los contratos con empresas subcontratadas. 2) Los fiduciarios financieros deberán mantener en sus oficinas a disposición de la Superintendencia de Servicios Financieros: a) Los contratos celebrados con la empresa en la que se tercerizaron los servicios, así como copia de los contratos correspondientes a las subcontrataciones, si las hubiera. b) Informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica del tercero contratado y de los subcontratados si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto. El referido informe deberá actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 23 VIGENCIA: Las modificaciones dispuestas regirán para los contratos firmados a partir de la vigencia de la presente resolución. Para los contratos ya existentes, se admitirá que se realicen las citadas modificaciones cuando los mismos sean renovados. ARTÍCULO 106.3 (REQUISITOS ADICIONALES PARA EL PROCESAMIENTO DE DATOS EN O DESDE EL EXTERIOR DEL PAÍS). Cuando el procesamiento de datos sea prestado por un tercero radicado en el exterior o en el país pero el servicio se preste total o parcialmente en o desde el exterior, los fiduciarios financieros deberán evaluar los requerimientos legales y regulatorios existentes en la jurisdicción anfitriona así como las potenciales condiciones políticas, económicas y sociales u otros eventos que puedan conspirar contra la habilidad del proveedor de cumplir satisfactoriamente con las obligaciones acordadas. Estos extremos deberán verificarse tanto al momento de la selección inicial del proveedor como al momento de eventuales renovaciones de contrato. El tercero deberá contar con una modalidad de operación y un equipamiento tales que permitan en todo momento el acceso en línea a toda la información desde las terminales instaladas en la empresa supervisada. Con relación al resguardo de la información en el exterior, una de las copias a que refiere el artículo 255.2 deberá radicarse físicamente en el Uruguay y permanecer accesible a los funcionarios de la Superintendencia de Servicios Financieros en un plazo no mayor al que fije la referida Superintendencia en función del lugar del procesamiento. Se admitirá que no se radique una copia en Uruguay cuando las instituciones implementen y disponibilicen un espacio físico con la infraestructura tecnológica necesaria para permitir el acceso y control total, continuo y permanente de todos los datos procesados en el exterior del país, así como sus resguardos y las claves necesarias para su acceso y eventual desencriptación. Dicho punto unificado de acceso deberá localizarse en el país, en la casa central o alguna dependencia de la institución y concentrar todos los accesos, independientemente de las ubicaciones, proveedores y naturaleza de los servicios provistos desde el exterior. Las instituciones deberán informar a la Superintendencia de Servicios Financieros la ubicación asignada al punto. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 24 Al menos una vez al año se deberán realizar pruebas formales y debidamente documentadas del funcionamiento del punto y de cada uno de los accesos. En lo que respecta al plan de continuidad operacional a que alude el artículo 255.8, éste deberá ser probado con resultados exitosos previo al inicio de la actividad de procesamiento y posteriormente, por lo menos una vez al año. La Superintendencia de Servicios Financieros podrá disponer que estas pruebas se realicen bajo su supervisión. 6) SUSTITUIR en el Capítulo III – Tercerización de servicios, del Título VII – Asesores de inversión, del Libro I – Autorizaciones y registros, de la Recopilación de Normas del Mercado de Valores, los artículos 127.1.1, 127.1.2 y 127.3 por los siguientes: ARTÍCULO 127.1.1 (AUTORIZACIÓN DE TERCERIZACIONES). La autorización a que refiere el artículo 127.1 podrá ser otorgada en forma expresa o tácita de acuerdo con lo dispuesto a continuación: 1) Cuando se trate de servicios prestados por terceros radicados en el exterior del país deberá solicitarse la autorización expresa de la Superintendencia de Servicios Financieros. De igual modo deberá solicitarse la autorización expresa cuando los terceros están radicados en el país pero los servicios se prestan total o parcialmente en o desde el exterior. La solicitud de autorización deberá venir acompañada del texto del contrato de servicios a ser suscrito y un informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica de los terceros contratados y de los subcontratados, si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto, de acuerdo con la legislación uruguaya. El contrato deberá cumplir con los requerimientos a que refiere el numeral 1) del art. 127.1.2. Una vez otorgada la autorización, el referido informe deberá mantenerse en las oficinas del asesor de inversión a disposición de la Superintendencia de Servicios Financieros y actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. La autorización referirá únicamente al servicio específico objeto de la solicitud y se realizará sin perjuicio de las inscripciones de las bases de datos y autorizaciones de transferencia internacional de datos personales que puedan corresponder ante la Unidad Reguladora y de Control de Datos Personales de la Agencia de Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 25  Gobierno Electrónico y Sociedad de la Información y del Conocimiento. Todo cambio posterior al alcance o a las condiciones sobre cuya base se otorgó la autorización original, deberá ser objeto de una nueva solicitud. La autorización concedida podrá ser revocada en caso de observarse desviaciones de lo indicado, sin perjuicio de otras sanciones que pudieren aplicarse a la institución por el incumplimiento de las instrucciones impartidas por la Superintendencia de Servicios Financieros. Los costos en que incurra la Superintendencia de Servicios Financieros por actividades de supervisión en el exterior de servicios tercerizados, serán de cargo de la institución supervisada. La Superintendencia de Servicios Financieros podrá disponer que determinados servicios no requerirán autorización expresa para su contratación, estableciendo las condiciones para que dicha contratación se considere autorizada. 2) Cuando se trate de servicios prestados en el país por terceros radicados en él, su contratación se considerará autorizada siempre que se cumpla con los requerimientos a que refiere el artículo 127.1.2. Aquellas tercerizaciones realizadas con instituciones que se encuentren sujetas a regulación y supervisión del Banco Central del Uruguay respecto de la actividad tercerizada, sólo deberán cumplir con lo dispuesto en el numeral 1) literal e) del referido artículo para considerarse autorizadas. A los efectos de las tercerizaciones que impliquen procesamiento de datos se aplicará además lo dispuesto en los artículos 127.2 y 127.3. La Superintendencia de Servicios Financieros podrá establecer que determinados servicios no requerirán autorización para su contratación. ARTÍCULO 127.1.2 (TERCERIZACIÓN DE SERVICIOS PRESTADOS EN EL PAÍS POR TERCEROS RADICADOS EN ÉL). Las tercerizaciones de servicios prestados en el país por terceros radicados en él, se considerarán autorizadas cuando cumplan con los requerimientos que se establecen a continuación: 1) Los servicios tercerizados deberán estar detallados en un contrato entre las partes que deberá contener, como mínimo, las siguientes cláusulas: Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 26 a) Identificación de las partes contratantes, sus representantes y domicilios legales. b) Objeto del contrato, indicando los servicios a tercerizar de manera detallada, el alcance de los mismos y las condiciones y niveles mínimos de prestación establecidos por la institución contratante. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá identificar la localización desde donde se presta dicho procesamiento, su mantenimiento y los respaldos. c) Responsabilidad del asesor de inversión por los servicios prestados por el tercero contratado. d) Compromisos en materia de confidencialidad y protección de datos. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá incorporar la obligación del proveedor de servicios –al momento de la finalización del contrato– de transferir u ofrecer herramientas que permitan la transferencia de los datos a quien la institución supervisada disponga y su eliminación una vez confirmada la disponibilidad y la integridad de estos en el destino. e) Derecho a realizar auditorías o evaluaciones periódicas, sin restricciones de especie alguna, por parte de la Superintendencia de Servicios Financieros y del asesor contratante, ya sea directamente o mediante auditorías independientes. A estos efectos, se deberá prever el acceso irrestricto a los datos y a toda la documentación e información técnica relacionada con los servicios prestados. Dicho acceso irrestricto deberá también proporcionarse –en caso de corresponder– al responsable del proceso de intervención, resolución o liquidación. f) Procedimientos para obtener la información necesaria para que el servicio se pueda continuar prestando ante cualquier situación que pudiera sufrir el tercero que le impidiera continuar cumpliendo con el servicio contratado. Se deberá incluir la obligación del proveedor de informar a la institución supervisada sobre cualquier evento que pudiera afectar significativamente la prestación del servicio. g) Obligación del proveedor –siempre que sigan ejerciéndose las obligaciones sustantivas de la institución supervisada con arreglo al contrato, incluyendo las obligaciones de pago– de continuar brindando el servicio cuando la institución se encuentre en proceso de intervención, resolución o liquidación. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 27  h) Causales de rescisión, entre las que se deberá incluir la instrucción del cese para la prestación de servicios a través de la empresa tercerizada por parte de la Superintendencia de Servicios Financieros. Los requerimientos detallados en los literales b), d), e), f) y g) serán exigibles también a los contratos con las empresas subcontratadas por la empresa tercerizada, si los hubiera. En caso de juzgarlo necesario, la Superintendencia de Servicios Financieros podrá requerir modificaciones tanto a los contratos con la empresa tercerizada, como respecto de los contratos con empresas subcontratadas. 2) Los asesores de inversión deberán mantener en sus oficinas a disposición de la Superintendencia de Servicios Financieros: a) Los contratos celebrados con la empresa en la que se tercerizaron los servicios, así como copia de los contratos correspondientes a las subcontrataciones, si las hubiera. b) Informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica del tercero contratado y de los subcontratados si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto. El referido informe deberá actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. VIGENCIA: Las modificaciones dispuestas regirán para los contratos firmados a partir de la vigencia de la presente resolución. Para los contratos ya existentes, se admitirá que se realicen las citadas modificaciones cuando los mismos sean renovados. ARTÍCULO 127.3 (REQUISITOS ADICIONALES PARA EL PROCESAMIENTO DE DATOS EN O DESDE EL EXTERIOR DEL PAÍS). Cuando el procesamiento de datos sea prestado por un tercero radicado en el exterior o en el país pero el servicio se preste total o parcialmente en o desde el exterior, los asesores de inversión deberán evaluar los requerimientos legales y regulatorios existentes en la jurisdicción anfitriona así como a las potenciales condiciones políticas, económicas y sociales u otros eventos que puedan conspirar contra la habilidad del proveedor de cumplir satisfactoriamente con las obligaciones acordadas. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 28 Estos extremos deberán verificarse tanto al momento de la selección inicial del proveedor como al momento de eventuales renovaciones de contrato. El tercero deberá contar con una modalidad de operación y un equipamiento tales que permitan en todo momento el acceso en línea a toda la información desde las terminales instaladas en la empresa supervisada. Con relación al resguardo de la información en el exterior, una de las copias a que refiere el artículo 255.2 deberá radicarse físicamente en el Uruguay y permanecer accesible a los funcionarios de la Superintendencia de Servicios Financieros en un plazo no mayor al que fije la referida Superintendencia en función del lugar del procesamiento. Se admitirá que no se radique una copia en Uruguay cuando las instituciones implementen y disponibilicen un espacio físico con la infraestructura tecnológica necesaria para permitir el acceso y control total, continuo y permanente de todos los datos procesados en el exterior del país, así como sus resguardos y las claves necesarias para su acceso y eventual desencriptación. Dicho punto unificado de acceso deberá localizarse en el país, en la casa central o alguna dependencia de la institución y concentrar todos los accesos, independientemente de las ubicaciones, proveedores y naturaleza de los servicios provistos desde el exterior. Las instituciones deberán informar a la Superintendencia de Servicios Financieros la ubicación asignada al punto. Al menos una vez al año se deberán realizar pruebas formales y debidamente documentadas del funcionamiento del punto y de cada uno de los accesos. En lo que respecta al plan de continuidad operacional a que alude el artículo 255.8, éste deberá ser probado con resultados exitosos previo al inicio de la actividad de procesamiento y posteriormente, por lo menos una vez al año. La Superintendencia de Servicios Financieros podrá disponer que estas pruebas se realicen bajo su supervisión. 7) SUSTITUIR en el Capítulo III BIS – Tercerización de servicios, del Título VII BIS – Gestores de portafolios, del Libro I – Autorizaciones y registros, de la Recopilación de Normas del Mercado de Valores, los artículos 127.17.1, 127.17.2 y 127.19 por los siguientes: ARTÍCULO 127.17.1 (AUTORIZACIÓN DE TERCERIZACIONES). La autorización a que refiere el artículo 127.17 podrá ser otorgada en forma expresa o tácita de acuerdo con lo dispuesto a continuación: Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 29 1) Cuando se trate de servicios prestados por terceros radicados en el exterior del país deberá solicitarse la autorización expresa de la Superintendencia de Servicios Financieros. De igual modo deberá solicitarse la autorización expresa cuando los terceros están radicados en el país pero los servicios se prestan total o parcialmente en o desde el exterior. La solicitud de autorización deberá venir acompañada del texto del contrato de servicios a ser suscrito y un informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica de los terceros contratados y de los subcontratados, si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto, de acuerdo con la legislación uruguaya. El contrato deberá cumplir con los requerimientos a que refiere el numeral 1) del art. 127.17.2. Una vez otorgada la autorización, el referido informe deberá mantenerse en las oficinas del gestor de portafolios a disposición de la Superintendencia de Servicios Financieros y actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. La autorización referirá únicamente al servicio específico objeto de la solicitud y se realizará sin perjuicio de las inscripciones de las bases de datos y autorizaciones de transferencia internacional de datos personales que puedan corresponder ante la Unidad Reguladora y de Control de Datos Personales de la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento. Todo cambio posterior al alcance o a las condiciones sobre cuya base se otorgó la autorización original, deberá ser objeto de una nueva solicitud. La autorización concedida podrá ser revocada en caso de observarse desviaciones de lo indicado, sin perjuicio de otras sanciones que pudieren aplicarse a la institución por el incumplimiento de las instrucciones impartidas por la Superintendencia de Servicios Financieros. Los costos en que incurra la Superintendencia de Servicios Financieros por actividades de supervisión en el exterior de servicios tercerizados, serán de cargo de la institución supervisada. La Superintendencia de Servicios Financieros podrá disponer que determinados servicios no requerirán autorización expresa para su Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 30  contratación, estableciendo las condiciones para que dicha contratación se considere autorizada. 2) Cuando se trate de servicios prestados en el país por terceros radicados en él, su contratación se considerará autorizada siempre que se cumpla con los requerimientos a que refiere el artículo 127.17.2. Aquellas tercerizaciones realizadas con instituciones que se encuentren sujetas a regulación y supervisión del Banco Central del Uruguay respecto de la actividad tercerizada, sólo deberán cumplir con lo dispuesto en el numeral 1) literal e) del referido artículo para considerarse autorizadas. A los efectos de las tercerizaciones que impliquen procesamiento de datos se aplicará además lo dispuesto en los artículos 127.18 y 127.19. Las tercerizaciones que impliquen el trato directo con clientes por servicios de asesoramiento en inversiones, se considerarán autorizadas cuando cumplan con lo dispuesto en el artículo 127.17.3, incluso en el caso de terceros radicados en el exterior. La autorización para la utilización de servicios de terceros para realizar los procedimientos de debida diligencia se regirá por lo dispuesto en el artículo 207.9.1. La Superintendencia de Servicios Financieros podrá establecer que determinados servicios no requerirán autorización para su contratación. ARTÍCULO 127.17.2 (TERCERIZACIÓN DE SERVICIOS PRESTADOS EN EL PAÍS POR TERCEROS RADICADOS EN ÉL). Las tercerizaciones de servicios prestados en el país por terceros radicados en él, se considerarán autorizadas cuando cumplan con los requerimientos que se establecen a continuación: 1) Los servicios tercerizados deberán estar detallados en un contrato entre las partes que deberá contener, como mínimo, las siguientes cláusulas: a) Identificación de las partes contratantes, sus representantes y domicilios legales. b) Objeto del contrato, indicando los servicios a tercerizar de manera detallada, el alcance de los mismos y las condiciones y niveles mínimos de prestación establecidos por la institución contratante. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 31  Cuando los servicios contratados impliquen el procesamiento de datos, se deberá identificar la localización desde donde se presta dicho procesamiento, su mantenimiento y los respaldos. c) Responsabilidad del gestor de portafolios por los servicios prestados por el tercero contratado. d) Compromisos en materia de confidencialidad y protección de datos. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá incorporar la obligación del proveedor de servicios –al momento de la finalización del contrato– de transferir u ofrecer herramientas que permitan la transferencia de los datos a quien la institución supervisada disponga y su eliminación una vez confirmada la disponibilidad y la integridad de estos en el destino. e) Derecho a realizar auditorías o evaluaciones periódicas, sin restricciones de especie alguna, por parte de la Superintendencia de Servicios Financieros y del gestor contratante, ya sea directamente o mediante auditorías independientes. A estos efectos, se deberá prever el acceso irrestricto a los datos y a toda la documentación e información técnica relacionada con los servicios prestados. Dicho acceso irrestricto deberá también proporcionarse –en caso de corresponder– al responsable del proceso de intervención, resolución o liquidación. f) Procedimientos para obtener la información necesaria para que el servicio se pueda continuar prestando ante cualquier situación que pudiera sufrir el tercero que le impidiera continuar cumpliendo con el servicio contratado. Se deberá incluir la obligación del proveedor de informar a la institución supervisada sobre cualquier evento que pudiera afectar significativamente la prestación del servicio. g) Obligación del proveedor –siempre que sigan ejerciéndose las obligaciones sustantivas de la institución supervisada con arreglo al contrato, incluyendo las obligaciones de pago– de continuar brindando el servicio cuando la institución se encuentre en proceso de intervención, resolución o liquidación. h) Causales de rescisión, entre las que se deberá incluir la instrucción del cese para la prestación de servicios a través de la empresa tercerizada por parte de la Superintendencia de Servicios Financieros. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 32 Los requerimientos detallados en los literales b), d), e), f) y g) serán exigibles también a los contratos con las empresas subcontratadas por la empresa tercerizada, si los hubiera. En caso de juzgarlo necesario, la Superintendencia de Servicios Financieros podrá requerir modificaciones tanto a los contratos con la empresa tercerizada, como respecto de los contratos con empresas subcontratadas. 2) Los gestores de portafolios deberán mantener en sus oficinas a disposición de la Superintendencia de Servicios Financieros: a) Los contratos celebrados con la empresa en la que se tercerizaron los servicios, así como copia de los contratos correspondientes a las subcontrataciones, si las hubiera. b) Informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica del tercero contratado y de los subcontratados si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto. El referido informe deberá actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. VIGENCIA: Las modificaciones dispuestas regirán para los contratos firmados a partir de la vigencia de la presente resolución. Para los contratos ya existentes, se admitirá que se realicen las citadas modificaciones cuando los mismos sean renovados. ARTÍCULO 127.19 (REQUISITOS ADICIONALES PARA EL PROCESAMIENTO DE DATOS EN O DESDE EL EXTERIOR DEL PAÍS). Cuando el procesamiento de datos sea prestado por un tercero radicado en el exterior o en el país pero el servicio se preste total o parcialmente en o desde el exterior, los gestores de portafolios deberán evaluar los requerimientos legales y regulatorios existentes en la jurisdicción anfitriona así como a las potenciales condiciones políticas, económicas y sociales u otros eventos que puedan conspirar contra la habilidad del proveedor de cumplir satisfactoriamente con las obligaciones acordadas. Estos extremos deberán verificarse tanto al momento de la selección inicial del proveedor como al momento de eventuales renovaciones de contrato. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 33 El tercero deberá contar con una modalidad de operación y un equipamiento tales que permitan en todo momento el acceso en línea a toda la información desde las terminales instaladas en la empresa supervisada. Con relación al resguardo de la información en el exterior, una de las copias a que refiere el artículo 255.2 deberá radicarse físicamente en el Uruguay y permanecer accesible a los funcionarios de la Superintendencia de Servicios Financieros en un plazo no mayor al que fije la referida Superintendencia en función del lugar del procesamiento. Se admitirá que no se radique una copia en Uruguay cuando las instituciones implementen y disponibilicen un espacio físico con la infraestructura tecnológica necesaria para permitir el acceso y control total, continuo y permanente de todos los datos procesados en el exterior del país, así como sus resguardos y las claves necesarias para su acceso y eventual desencriptación. Dicho punto unificado de acceso deberá localizarse en el país, en la casa central o alguna dependencia de la institución y concentrar todos los accesos, independientemente de las ubicaciones, proveedores y naturaleza de los servicios provistos desde el exterior. Las instituciones deberán informar a la Superintendencia de Servicios Financieros la ubicación asignada al punto. Al menos una vez al año se deberán realizar pruebas formales y debidamente documentadas del funcionamiento del punto y de cada uno de los accesos. En lo que respecta al plan de continuidad operacional a que alude el artículo 255.8, éste deberá ser probado con resultados exitosos previo al inicio de la actividad de procesamiento y posteriormente, por lo menos una vez al año. La Superintendencia de Servicios Financieros podrá disponer que estas pruebas se realicen bajo su supervisión. 8) SUSTITUIR en el Capítulo III – Tercerización de servicios, del Título VIII – Cajas de valores – Sistemas de compensación, liquidación y custodia de valores, del Libro I – Autorizaciones y registros, de la Recopilación de Normas del Mercado de Valores, los artículos 135.1.1, 135.1.2 y 135.3 por los siguientes: ARTÍCULO 135.1.1 (AUTORIZACIÓN DE TERCERIZACIONES). La autorización a que refiere el artículo 135.1 podrá ser otorgada en forma expresa o tácita de acuerdo con lo dispuesto a continuación: 1) Cuando se trate de servicios prestados por terceros radicados en el exterior del país deberá solicitarse la autorización expresa de la Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 34 Superintendencia de Servicios Financieros. De igual modo deberá solicitarse la autorización expresa cuando los terceros están radicados en el país pero los servicios se prestan total o parcialmente en o desde el exterior. La solicitud de autorización deberá venir acompañada del texto del contrato de servicios a ser suscrito y un informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica de los terceros contratados y de los subcontratados, si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto, de acuerdo con la legislación uruguaya. El contrato deberá cumplir con los requerimientos a que refiere el numeral 1) del art. 135.1.2. Una vez otorgada la autorización, el referido informe deberá mantenerse en las oficinas de la institución a disposición de la Superintendencia de Servicios Financieros y actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. La autorización referirá únicamente al servicio específico objeto de la solicitud y se realizará sin perjuicio de las inscripciones de las bases de datos y autorizaciones de transferencia internacional de datos personales que puedan corresponder ante la Unidad Reguladora y de Control de Datos Personales de la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento. Todo cambio posterior al alcance o a las condiciones sobre cuya base se otorgó la autorización original, deberá ser objeto de una nueva solicitud. La autorización concedida podrá ser revocada en caso de observarse desviaciones de lo indicado sin perjuicio de otras sanciones que pudieren aplicarse a la institución por el incumplimiento de las instrucciones impartidas por la Superintendencia de Servicios Financieros. Los costos en que incurra la Superintendencia de Servicios Financieros por actividades de supervisión en el exterior de servicios tercerizados, serán de cargo de la institución supervisada. La Superintendencia de Servicios Financieros podrá disponer que determinados servicios no requerirán autorización expresa para su contratación, estableciendo las condiciones para que dicha contratación se considere autorizada. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 35  2) Cuando se trate de servicios prestados en el país por terceros radicados en él, su contratación se considerará autorizada siempre que se cumpla con los requerimientos a que refiere el artículo 135.1.2. Aquellas tercerizaciones realizadas con instituciones que se encuentren sujetas a regulación y supervisión del Banco Central del Uruguay respecto de la actividad tercerizada, sólo deberán cumplir con lo dispuesto en el numeral 1) literal e) del referido artículo para considerarse autorizadas. A los efectos de las tercerizaciones que impliquen procesamiento de datos se aplicará además lo dispuesto en los artículos 135.2 y 135.3. La Superintendencia de Servicios Financieros podrá establecer que determinados servicios no requerirán autorización para su contratación. ARTÍCULO 135.1.2 (TERCERIZACIÓN DE SERVICIOS PRESTADOS EN EL PAÍS POR TERCEROS RADICADOS EN ÉL). Las tercerizaciones de servicios prestados en el país por terceros radicados en él, se considerarán autorizadas cuando cumplan con los requerimientos que se establecen a continuación: 1) Los servicios tercerizados deberán estar detallados en un contrato entre las partes que deberá contener, como mínimo, las siguientes cláusulas: a) Identificación de las partes contratantes, sus representantes y domicilios legales. b) Objeto del contrato, indicando los servicios a tercerizar de manera detallada, el alcance de los mismos y las condiciones y niveles mínimos de prestación establecidos por la institución contratante. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá identificar la localización desde donde se presta dicho procesamiento, su mantenimiento y los respaldos. c) Responsabilidad de las cajas de valores por los servicios prestados por el tercero contratado. d) Compromisos en materia de confidencialidad y protección de datos. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá incorporar la obligación del proveedor de servicios –al momento de la finalización del contrato– de transferir u ofrecer herramientas que permitan la transferencia de los datos a quien la institución supervisada disponga y su eliminación una vez confirmada la disponibilidad y la integridad de estos en el destino. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 36  e) Derecho a realizar auditorías o evaluaciones periódicas, sin restricciones de especie alguna, por parte de la Superintendencia de Servicios Financieros y de la institución contratante, ya sea directamente o mediante auditorías independientes. A estos efectos, se deberá prever el acceso irrestricto a los datos y a toda la documentación e información técnica relacionada con los servicios prestados. Dicho acceso irrestricto deberá también proporcionarse –en caso de corresponder– al responsable del proceso de intervención, resolución o liquidación. f) Procedimientos para obtener la información necesaria para que el servicio se pueda continuar prestando ante cualquier situación que pudiera sufrir el tercero que le impidiera continuar cumpliendo con el servicio contratado. Se deberá incluir la obligación del proveedor de informar a la institución supervisada sobre cualquier evento que pudiera afectar significativamente la prestación del servicio. g) Obligación del proveedor –siempre que sigan ejerciéndose las obligaciones sustantivas de la institución supervisada con arreglo al contrato, incluyendo las obligaciones de pago– de continuar brindando el servicio cuando la institución se encuentre en proceso de intervención, resolución o liquidación. h) Causales de rescisión, entre las que se deberá incluir la instrucción del cese para la prestación de servicios a través de la empresa tercerizada por parte de la Superintendencia de Servicios Financieros. Los requerimientos detallados en los literales b), d), e), f) y g) serán exigibles también a los contratos con las empresas subcontratadas por la empresa tercerizada, si los hubiera. En caso de juzgarlo necesario, la Superintendencia de Servicios Financieros podrá requerir modificaciones tanto a los contratos con la empresa tercerizada, como respecto de los contratos con empresas subcontratadas. 2) Las cajas de valores deberán mantener en sus oficinas a disposición de la Superintendencia de Servicios Financieros: a) Los contratos celebrados con la empresa en la que se tercerizaron los servicios, así como copia de los contratos correspondientes a las subcontrataciones, si las hubiera. Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 37  b) Informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de la solvencia patrimonial y técnica del tercero contratado y de los subcontratados si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto. El referido informe deberá actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada respecto de la tercerización. VIGENCIA: Las modificaciones dispuestas regirán para los contratos firmados a partir de la vigencia de la presente resolución. Para los contratos ya existentes, se admitirá que se realicen las citadas modificaciones cuando los mismos sean renovados. ARTÍCULO 135.3 (REQUISITOS ADICIONALES PARA EL PROCESAMIENTO DE DATOS EN O DESDE EL EXTERIOR DEL PAÍS). Cuando el procesamiento de datos sea prestado por un tercero radicado en el exterior o en el país pero el servicio se preste total o parcialmente en o desde el exterior, las cajas de valores deberán evaluar los requerimientos legales y regulatorios existentes en la jurisdicción anfitriona así como a las potenciales condiciones políticas, económicas y sociales u otros eventos que puedan conspirar contra la habilidad del proveedor de cumplir satisfactoriamente con las obligaciones acordadas. Estos extremos deberán verificarse tanto al momento de la selección inicial del proveedor como al momento de eventuales renovaciones de contrato. El tercero deberá contar con una modalidad de operación y un equipamiento tales que permitan en todo momento el acceso en línea a toda la información desde las terminales instaladas en la empresa supervisada. Con relación al resguardo de la información en el exterior, una de las copias a que refiere el artículo 255.2 deberá radicarse físicamente en el Uruguay y permanecer accesible a los funcionarios de la Superintendencia de Servicios Financieros en un plazo no mayor al que fije la referida Superintendencia en función del lugar del procesamiento. Se admitirá que no se radique una copia en Uruguay cuando las instituciones implementen y disponibilicen un espacio físico con la infraestructura tecnológica necesaria para permitir el acceso y control total, continuo y permanente de todos los datos procesados en el exterior del país, así como sus resguardos y las claves necesarias para Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 38 su acceso y eventual desencriptación. Dicho punto unificado de acceso deberá localizarse en el país, en la casa central o alguna dependencia de la institución y concentrar todos los accesos, independientemente de las ubicaciones, proveedores y naturaleza de los servicios provistos desde el exterior. Las instituciones deberán informar a la Superintendencia de Servicios Financieros la ubicación asignada al punto. Al menos una vez al año se deberán realizar pruebas formales y debidamente documentadas del funcionamiento del punto y de cada uno de los accesos. En lo que respecta al plan de continuidad operacional a que alude el artículo 255.8, éste deberá ser probado con resultados exitosos previo al inicio de la actividad de procesamiento y posteriormente, por lo menos una vez al año. La Superintendencia de Servicios Financieros podrá disponer que estas pruebas se realicen bajo su supervisión. 9) SUSTITUIR en el Título X – Definiciones, del Libro I – Autorizaciones y registros, de la Recopilación de Normas del Mercado de Valores, el artículo 143 por el siguiente: ARTÍCULO 143 (PERSONAL SUPERIOR). Se considera personal superior a los efectos de las disposiciones de la presente Recopilación a: a. Las personas que ocupen cargos de directores o administradores, síndicos, o integren Comisiones Fiscales, Comités de Auditoría u otras comisiones delegadas del Directorio u órgano de administración, así como apoderados o representantes legales de la sociedad. b. Las personas que ocupen los cargos o cumplan las funciones de gerente general, subgerente general, gerentes, auditor interno, contador general, oficial de cumplimiento, responsable del régimen de información, responsable del resguardo de datos, software y documentación y responsable de la actividad fiduciaria para el caso de los fiduciarios generales. c. Las personas que, ocupando cargos o manteniendo una relación permanente con las instituciones, asesoren al órgano de dirección o administración. 10) SUSTITUIR en la Parte I – Disposiciones generales, del Libro VI – Información y documentación, de la Recopilación de Normas del Mercado de Valores, los artículos 255, 255.2 y 255.5 por los siguientes: Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 39 ARTÍCULO 255 (ACCESO A LA INFORMACIÓN). El Banco Central del Uruguay tendrá acceso a toda la información y documentación que estime necesario para el cumplimiento de sus cometidos legales. Las personas físicas o jurídicas que el Banco Central del Uruguay disponga a estos efectos están obligadas a brindar en tiempo, en forma y con exactitud dichas informaciones. Previa solicitud del interesado, fundamentada y por escrito, la Superintendencia de Servicios Financieros podrá ampliar el plazo de presentación de la información. La información y documentación a la que refiere el presente artículo debe estar disponible en todo momento para el Banco Central del Uruguay, sea cual sea la jurisdicción donde esté radicada. Sin perjuicio de las sanciones que le puedan corresponder a la institución en caso de incumplimiento de tal obligación, los miembros del Directorio, órgano de administración o –en su caso– los administradores sociales, serán responsables ante el Banco Central del Uruguay por dicho incumplimiento. ARTÍCULO 255.2 (RESGUARDO DE LA INFORMACIÓN). Las bolsas de valores, las empresas administradoras de plataformas de financiamiento colectivo, los intermediarios de valores, los asesores de inversión, los gestores de portafolios, las sociedades administradoras de fondos de inversión, los fiduciarios generales y financieros, las cajas de valores y las calificadoras de riesgo deberán implementar procedimientos de resguardo de datos y software, de tal forma que sea posible reconstruir las informaciones emitidas para el Banco Central del Uruguay, los registros contables y cada uno de los movimientos que dan origen a los mismos -hasta un grado de detalle tal que permita la identificación de las cuentas y los movimientos en los rubros de los estados contables-, así como todo otro dato, incluyendo correos, mensajería instantánea y toda otra forma de mensajería electrónica, que se considere relevante en la reconstrucción de las operaciones a los fines del Banco Central del Uruguay o para requerimientos judiciales. Asimismo, deberán resguardar las claves que permitan la desencriptación de los datos. Los formatos de guarda serán dispuestos - en cada caso - por la Superintendencia de Servicios Financieros. Los citados procedimientos deberán incluir, como mínimo, un resguardo diario y deben prever la generación de, por lo menos, 2 (dos) copias de resguardo, Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 40 debiendo una de ellas ser almacenada a una distancia razonable del centro de procesamiento, en un edificio distinto al mismo. Los datos, las claves y sus mencionadas copias no deberán estar expuestos a la posibilidad de que un mismo evento de riesgo sea capaz de afectarlos simultáneamente. Se admitirá el respaldo incremental, es decir, un respaldo que contemple únicamente los cambios desde el último respaldo realizado siempre que los procedimientos de recuperación permitan la restauración completa de la información para cualquier día. Asimismo, deberán contar con procedimientos que permitan la recuperación de toda la información respaldada. Por lo menos una vez al año se deberán realizar pruebas -formales y debidamente documentadas- de recuperación y de integridad de los resguardos de datos, las que deberán asegurar la capacidad de la institución de recuperar la totalidad de la información resguardada. ARTÍCULO 255.5 (RESPONSABLE DEL RESGUARDO DE DATOS, SOFTWARE Y DOCUMENTACIÓN). Las instituciones deberán nombrar un responsable por la ejecución de los procedimientos de resguardo de datos, software y documentación. En particular, será responsable del resguardo de claves para el acceso y desencriptación de los datos, así como de asegurar que la institución disponga de un procedimiento para dicho acceso y desencriptación que no involucre requerir autorizaciones o acciones de personal que no esté bajo la dependencia de la institución supervisada. Cuando la institución opte por establecer un punto unificado de acceso, también será responsable por la determinación del espacio físico donde se ubicará, su implementación y prueba. Dicho funcionario estará comprendido en la categoría de personal superior a que refiere el artículo 143. JUAN PEDRO CANTERA Superintendente de Servicios Financieros 2022-50-1-02540 Diagonal Fabini 777 - C.P. 11100 - Tel.: (598 2) 1967 - Montevideo, Uruguay - www.bcu.gub.uy 41

Rige desde

la fuente no lo dice; el texto es el de la copia consultada el 11 de octubre de 2026

Copia

Circular 2420

Texto oficial

https://www.bcu.gub.uy/Circulares/seggci2420.pdf

Banco Central del Uruguay, www.bcu.gub.uy, información regulatoria pública. Condiciones de uso: https://www.bcu.gub.uy/Paginas/Condiciones-de-uso.aspx. Cambios de finterlace: el texto se extrajo del PDF y se partió en artículos. No se cambió ninguna palabra del texto. Fuentes y licencias.

Quién lo cita

Los documentos que citan cada artículo los ve el nivel Suscriptor individual. Qué se ve con cada nivel

Qué normas se nombran con él

Qué normas nombran cada artículo las ve el nivel Suscriptor individual. Qué se ve con cada nivel

Versiones

El historial de cada artículo lo ve el nivel Suscriptor individual. Qué se ve con cada nivel