Normativa · RNRCSF · LIBRO I – AUTORIZACIONES Y REGISTROS · TÍTULO I – INSTITUCIONES DE INTERMEDIACIÓN FINANCIERA · CAPÍTULO VI – BIS – TERCERIZACIÓN DE SERVICIOS

Artículo 35.3REQUISITOS ADICIONALES PARA EL PROCESAMIENTO DE DATOS EN O DESDE EL EXTERIOR DEL PAIS

Cuando el procesamiento de datos sea prestado por un tercero radicado en el exterior o en el país pero el servicio se preste total o parcialmente en o desde el exterior, las instituciones deberán evaluar los requerimientos legales y regulatorios existentes en la jurisdicción anfitriona así como las potenciales condiciones políticas, económicas y sociales u otros eventos que puedan conspirar contra la habilidad del proveedor de cumplir satisfactoriamente con las obligaciones acordadas. Estos extremos deberán verificarse tanto al momento de la selección inicial del proveedor como al momento de eventuales renovaciones de contrato. El tercero deberá contar con una modalidad de operación y un equipamiento tales que permitan en todo momento el acceso en línea a toda la información desde las terminales instaladas en la empresa supervisada. Con relación al resguardo de la información en el exterior, una de las copias a que refiere el artículo 492 deberá radicarse físicamente en el Uruguay y permanecer accesible a los funcionarios de la Superintendencia de Servicios Financieros en un plazo no mayor al que fije la referida Superintendencia en función del lugar del procesamiento. Se admitirá que no se radique una copia en Uruguay cuando las instituciones implementen y disponibilicen un espacio físico con la infraestructura tecnológica necesaria para permitir el acceso y control total, continuo y permanente de todos los datos procesados en el exterior del país, así como sus resguardos y las claves necesarias para su acceso y eventual desencriptación. Dicho punto unificado de acceso deberá localizarse en el país, en la casa central o alguna dependencia de la institución y concentrar todos los accesos, independientemente de las ubicaciones, proveedores y naturaleza de los servicios provistos desde el exterior. Las instituciones deberán informar a la Superintendencia de Servicios Financieros la ubicación asignada al punto. Al menos una vez al año se deberán realizar pruebas formales y debidamente documentadas del funcionamiento del punto y de cada uno de los accesos. En lo que respecta al plan de continuidad operacional a que alude el artículo 498, éste deberá ser probado con resultados exitosos previo al inicio de la actividad de procesamiento y posteriormente, por lo menos una vez al año. La Superintendencia de Servicios Financieros podrá disponer que estas pruebas se realicen bajo su supervisión. Cuando el procesamiento de datos en el exterior sea considerado significativo a juicio de la referida Superintendencia se deberá cumplir con las condiciones establecidas en los literales a. a c. o, alternativamente, con la dispuesta en el literal d., según se indica a continuación: a. El país donde se realice el procesamiento y el país donde se brinde la contingencia para la continuidad operacional, en caso que fuera diferente, deberán estar calificados en una categoría igual o superior a BBB- o equivalente. b. La institución que solicite procesar la información en otro país o el grupo financiero que integre, deberá tener habilitación como institución financiera en aquel país, así como en el país seleccionado para brindar la contingencia para la continuidad operacional si este último fuera diferente del primero. c. La empresa que realice el procesamiento y brinde la contingencia deberá integrar el grupo financiero al cual pertenece la institución que solicite procesar la información en el exterior o tener contratados servicios de similar naturaleza con dicho grupo financiero. En este último caso, el proveedor contratado debe disponer de reconocido prestigio y experiencia en el servicio que presta y contar con certificaciones independientes, reconocidas internacionalmente, en términos de gestión de la seguridad de la información, la continuidad del negocio y la calidad del servicio que recojan las mejores prácticas vigentes. d. El procesamiento o el suministro de la contingencia para la continuidad operacional sea realizada por un banco del exterior calificado en una categoría no inferior a BBB+ o equivalente. Las calificaciones deberán ser emitidas por alguna institución calificadora de riesgo admitida de acuerdo con el artículo 479, conforme a la escala internacional usada por la misma. Cuando la calificación de riesgo del país o del banco del exterior a que refieren los literales a. y d. respectivamente, hubiera caído por debajo del mínimo requerido por dichos literales, las instituciones deberán informar a la Superintendencia de Servicios Financieros sobre el efecto que este hecho produjo, o se estima que producirá, en la calidad de los servicios contratados. El procesamiento de datos en el exterior será considerado significativo cuando se cumpla alguna de las siguientes condiciones:  los ingresos brutos anuales generados por la operativa cuyo procesamiento de datos se terceriza superan el 15% del total de ingresos brutos anuales de la institución, determinados de acuerdo con las instrucciones que se impartirán.  el costo anual del procesamiento de datos a tercerizar supera el 20% del total de costos de procesamiento de datos anuales de la institución.  en caso de verificarse una disrupción del servicio y sin perjuicio del mantenimiento del plan de continuidad operacional, no exista la posibilidad de encontrar un proveedor alternativo o de llevar a cabo la actividad internamente, en un tiempo razonable.

Rige desde

13 de enero de 2023

Redacción dada por

Circular 2.419

Copia

Recopilación de Normas de Regulación y Control del Sistema Financiero

Texto oficial

https://www.bcu.gub.uy/Acerca-de-BCU/Paginas/Recopilacion-de-normas.aspx

Quién lo cita

Los documentos que citan cada artículo los ve el nivel Suscriptor individual. Qué se ve con cada nivel

Qué normas se nombran con él

Qué normas nombran cada artículo las ve el nivel Suscriptor individual. Qué se ve con cada nivel

Versiones

El historial de cada artículo lo ve el nivel Suscriptor individual. Qué se ve con cada nivel