Normativa · RNMV · LIBRO I – AUTORIZACIONES Y REGISTROS · TÍTULO VII TER – PROVEEDORES DE SERVICIOS DE ACTIVOS VIRTUALES · CAPÍTULO IV AUDITORES EXTERNOS

Artículo 127.40REQUISITOS PARA LAS TERCERIZACIONES DE SERVICIOS

Los proveedores de servicios de activos virtuales deberán cumplir con los siguientes requisitos para las tercerizaciones de servicios: 1) Suscribir un contrato con la empresa tercerizada que deberá contener, como mínimo, las siguientes cláusulas: a) Identificación de las partes contratantes, sus representantes y domicilios legales. b) Objeto del contrato, indicando los servicios a tercerizar de manera detallada, el alcance de los mismos y las condiciones y niveles mínimos de prestación establecidas por la institución contratante. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá identificar la localización desde donde se presta dicho procesamiento, su mantenimiento y los respaldos. c) Responsabilidad de la institución por los servicios prestados por el tercero contratado. d) Compromisos en materia de confidencialidad y protección de datos, los cuales no podrán estar condicionados a un plazo de finalización. Cuando los servicios contratados impliquen el procesamiento de datos, se deberá incorporar la obligación del proveedor de servicios –al momento de la finalización del contrato– de transferir u ofrecer herramientas que permitan la transferencia de los datos a quien la institución supervisada disponga y su eliminación una vez confirmada la disponibilidad y la integridad de estos en el destino. e) Condiciones y protocolos que aseguren la continuidad de los servicios prestados. f) Derecho a realizar auditorías o evaluaciones, sin restricciones de especie alguna, por parte de la Superintendencia de Servicios Financieros y de la institución contratante, ya sea directamente o mediante auditorías independientes. Se deberá prever el acceso irrestricto a los datos y a toda la documentación e información técnica relacionada con los servicios prestados. Dicho acceso irrestricto no podrá estar sujeto a un preaviso y deberá también proporcionarse –en caso de corresponder– al responsable del proceso de intervención, resolución o liquidación. En los casos en que el servicio es prestado en el exterior y el contrato entre las partes y/o los contratos con las empresas subcontratadas por el tercero que presta servicios a la institución supervisada –si los hubiera-, no contemplen lo dispuesto precedentemente, la institución deberá contar con acceso de sólo lectura, de carácter exclusivo y sin restricción alguna (técnica o administrativa) al servicio y a los datos procesados externamente, utilizable en todo momento desde las oficinas de la institución por parte de los funcionarios de la Superintendencia de Servicios Financieros. g) Procedimientos para obtener la información necesaria para que el servicio se pueda continuar prestando ante cualquier situación que pudiera sufrir el tercero que le impidiera continuar cumpliendo con el servicio contratado. Se deberá incluir la obligación del proveedor de informar a la institución supervisada sobre cualquier evento que pudiera afectar significativamente la prestación del servicio. h) Obligación del proveedor –siempre que sigan ejerciéndose las obligaciones sustantivas de la institución supervisada con arreglo al contrato, incluyendo las obligaciones de pago– de continuar brindando el servicio cuando la institución se encuentre en proceso de intervención, resolución o liquidación. i) Causales de rescisión, entre las que se deberá incluir la instrucción del cese para la prestación de servicios a través de la empresa tercerizada por parte de la Superintendencia de Servicios Financieros. Cuando el contrato entre la institución supervisada y el tercero que le presta servicios, no contemple dentro de las cláusulas de rescisión esta instrucción, la institución deberá aceptar la responsabilidad que eventualmente pueda derivarse en el caso en que la citada Superintendencia instruya la rescisión de la tercerización. Los requerimientos detallados en los literales precedentes, con excepción del literal c), serán exigibles también a los contratos con las empresas subcontratadas por la empresa tercerizada, si los hubiera. En caso de juzgarlo necesario, la Superintendencia de Servicios Financieros podrá requerir modificaciones tanto a los contratos con la empresa tercerizada, como respecto de los contratos con empresas subcontratadas. 2) Contar con un informe donde conste la evaluación de los riesgos asociados a la tercerización, incluyendo la valoración de su impacto sobre los riesgos operacionales, la resiliencia operativa y la seguridad de la información, así como la evaluación de la solvencia patrimonial y técnica de los terceros contratados y de los subcontratados, si los hubiere, así como de los aspectos relacionados con los riesgos legales a los que se expone la información sujeta a secreto, de acuerdo con la legislación uruguaya. Dicho informe deberá actualizarse periódicamente en función del resultado de la evaluación de riesgos realizada. 3) Hacerse cargo de los costos en que incurra la Superintendencia de Servicios Financieros por actividades de supervisión en el exterior de servicios tercerizados. 4) Comunicar todo cambio posterior al alcance o a las condiciones de la tercerización. En caso de tratarse de tercerizaciones que impliquen procesamiento de datos, adicionalmente a lo dispuesto en los numerales 1) a 4) precedentes, deberán considerar lo dispuesto en los artículos 127.41 y 127.42. En lo que respecta a la contratación de servicios de corresponsalía, adicionalmente a lo dispuesto en los numerales 1) a 4) precedentes, deberán considerar lo dispuesto en los artículos 127.43 a 127.43.5. La tercerización de procedimientos de debida diligencia se regirá, adicionalmente a lo dispuesto en los numerales 1) a 4) precedentes, por lo dispuesto en el artículo 198. Aquellas tercerizaciones realizadas con instituciones que se encuentren sujetas a regulación y supervisión del Banco Central del Uruguay respecto de la actividad tercerizada, sólo deberán cumplir con lo dispuesto en el numeral 1). En caso de corresponder, las instituciones deberán realizar las inscripciones de las bases de datos y autorizaciones de transferencia internacional de datos personales ante la Unidad Reguladora y de Control de Datos Personales de la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento. La Superintendencia de Servicios Financieros podrá establecer que la tercerización de determinados servicios no esté a sujeta a los requisitos antes descriptos. DISPOSICIÓN TRANSITORIA: Los proveedores de servicios de activos virtuales que se encuentren en actividad a la fecha de la presente resolución dispondrán hasta el 30 de junio de 2027 para adecuarse a las disposiciones contenidas en la misma.

Rige desde

31 de julio de 2026

Redacción dada por

Circular 2.507

Copia

Recopilación de Normas del Mercado de Valores

Texto oficial

https://www.bcu.gub.uy/Acerca-de-BCU/Paginas/Recopilacion-de-normas.aspx

Quién lo cita

Los documentos que citan cada artículo los ve el nivel Suscriptor individual. Qué se ve con cada nivel

Qué normas se nombran con él

Qué normas nombran cada artículo las ve el nivel Suscriptor individual. Qué se ve con cada nivel

Versiones

El historial de cada artículo lo ve el nivel Suscriptor individual. Qué se ve con cada nivel