NCG 514 — Norma que regula el Sistema de Finanzas Abiertas (SFA, Título III de la Ley Fintec)

REF.: NORMA QUE REGULA EL

SISTEMA

DE

FINANZAS

ABIERTAS.

NORMA DE CARÁCTER GENERAL N°514

3 de julio de 2024

Esta Comisión, en uso de las facultades que le confieren los artículos 1, 3, 5 en sus numerales 1, 8 y 18, y 20 en su numeral 3 del Decreto Ley N°3.538, los artículos 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27 y tercero y cuarto transitorios de la Ley N°21.521 (“Ley Fintec”), y lo acordado por el Consejo de la Comisión en Sesión Extraordinaria N°140 de 1 de julio de 2024, ha estimado pertinente impartir las siguientes instrucciones respecto de la implementación del Sistema de Finanzas Abiertas (en adelante también e indistintamente el “Sistema” o “SFA”) al que se refiere el Título III de la Ley Fintec, (en adelante también la “Norma”):

Índice Norma:

SECCIÓN I: PERÍMETRO DEL SISTEMA DE FINANZAS ABIERTAS......................5 A. DEFINICIONES Y NOMENCLATURA ........................................................................ 5 B. ENTIDADES PARTICIPANTES............................................................................... 8 C. REGISTRO DE PRESTADORES DE SERVICIOS BASADOS EN INFORMACIÓN .......................... 8 1. Inscripción en el Registro ........................................................................ 8 1.1 Contenido de la solicitud............................................................................... 9 1.2 Antecedentes adjuntos ............................................................................... 10 2. Modificación del Registro ....................................................................... 14 3. Cancelación de la inscripción.................................................................. 14 D. REGISTRO DE PROVEEDORES DE SERVICIOS DE INICIACIÓN DE PAGOS.......................... 15 1. Inscripción en el Registro ...................................................................... 15 1.1 Contenido de la solicitud............................................................................. 15 1.2. Antecedentes adjuntos................................................................................... 16 2. Requisitos del BCCh conforme con inc. cuarto del art. 20 de la Ley Fintec.... 20 3. Inscripción conjunta en el Registro de PSBI y en el Registro de PSIP........... 20 4. Garantías asociadas .............................................................................. 21 5. Condiciones específicas de la Iniciación de Pagos...................................... 23 6. Modificación del Registro ....................................................................... 24 7. Cancelación de la Inscripción ................................................................. 24 E. NÓMINA DE INSTITUCIONES PROVEEDORAS DE INFORMACIÓN Y PROVEEDORAS DE CUENTAS 25 1. Incorporación a la Nómina ..................................................................... 25 2. Plazos de incorporación a las Nóminas IPI e IPC ....................................... 26 F. NÓMINA DE PROVEEDORES DE SERVICIOS BASADOS EN INFORMACIÓN .......................... 27 Cancelación de la Nómina ............................................................................ 28

SECCIÓN II: FUNCIONAMIENTO DEL SISTEMA .............................................. 29 A. MEDIOS DE INTERCAMBIO DE INFORMACIÓN ......................................................... 29 1. Mecanismo principal ............................................................................. 29 2. Estándares de las APIs .......................................................................... 29 3. Disponibilidad y rendimiento .................................................................. 31 B. MECANISMO ALTERNATIVO .............................................................................. 33 C. DIRECTORIO DE PARTICIPANTES ....................................................................... 34

D. CALIDAD DE INFORMACIÓN ............................................................................. 35 E. MECANISMOS DE COMUNICACIÓN ANTE CONTINGENCIAS ........................................... 36 F. TERCERIZACIÓN DE SERVICIOS ........................................................................ 37 SECCIÓN III: SEGURIDAD Y RESGUARDOS DEL SISTEMA .............................. 38 A. GESTIÓN DE RIESGOS Y CONTROL INTERNO .......................................................... 38

Función de gestión de riesgos ................................................................ 39 3. Plan de gestión de riesgos ..................................................................... 40 4. Riesgo Operacional ............................................................................... 40 5. Externalización de servicios ................................................................... 41 B. SEGURIDAD DE LA INFORMACIÓN, CIBERSEGURIDAD Y CONTINUIDAD DEL NEGOCIO .......... 42 1. Gestión de Seguridad de la Información y Ciberseguridad.......................... 42 2. Información de incidentes ..................................................................... 46

Reportes incidentes operacionales ............................................................... 46 2.2 Reportes incidentes de ciberseguridad .......................................................... 47 2.3 Continuidad del negocio .................................................................................. 48 3. Estándares de seguridad de la información y de contingencia de las APIs .... 50 C. AUTENTICACIÓN Y VERIFICACIÓN ...................................................................... 51 1. Estándares mínimos de autenticación y confirmación de clientes ................ 51 2. Autenticación del cliente financiero por parte de la IPI e IPC ...................... 51 3. Estándares de verificación del PSBI y PSIP por parte del IPI e IPC .............. 52 D. CONSENTIMIENTO .......................................................................................... 52 1. Otorgamiento del consentimiento ........................................................... 52 2. Gestión del consentimiento y obligaciones de información ......................... 54 E. OTROS ESTÁNDARES .................................................................................... 56 1. Estándares de interoperabilidad ............................................................. 56 2. Distribución de costos ........................................................................... 57 SECCIÓN IV: INFORMACIÓN DEL SISTEMA .................................................... 60 A. DATOS PARA COMPARTIR EN EL SFA................................................................... 60 B. PLAZOS PARA LA DISPONIBILIDAD DE LOS CONJUNTOS DE DATOS ................................. 63 C. VARIABLES PARA COMPARTIR EN EL SFA.............................................................. 63 D. PROTECCIÓN DE DATOS ................................................................................. 63 SECCIÓN V: OTRAS DISPOSICIONES ............................................................. 65

A. SUSPENSIONES TEMPORALES........................................................................... 65 B. SANCIONES ............................................................................................... 66 C. PLAZOS DE IMPLEMENTACIÓN DEL SISTEMA .......................................................... 66 D. REQUERIMIENTOS DE INFORMACIÓN................................................................... 67 E. ENTRADA EN VIGENCIA .................................................................................. 67 SECCIÓN VI. ANEXOS NORMATIVOS .............................................................. 68 ANEXO N°1: VARIABLES PARA CONJUNTOS DE INFORMACIÓN DEL SFA................................ 68

1. Términos y condiciones ......................................................................... 68 2. Canales de atención y ATM .................................................................... 69 3. Enrolamiento ....................................................................................... 71 4. Posiciones financieras históricas ............................................................. 72 5. Información transaccional...................................................................... 76 6. Productos Vigentes ............................................................................... 80 7. Iniciación de Pagos ............................................................................... 84 ANEXO N°2: PRODUCTOS DEL SFA ......................................................................... 85 ANEXO N°3: ANEXO TÉCNICO ............................................................................... 90 ANEXO N°4: ESPECIFICACIONES TÉCNICAS PARA LA DISTRIBUCIÓN DE COSTOS ..................... 91

Para los efectos y propósitos de esta norma, y salvo mención expresa en otro sentido, se considerarán las siguientes definiciones y nomenclatura.

Application Programming Interfaces (APIs). En español, “Interfaz de Programación de Aplicaciones”. Mecanismo tecnológico por medio del cual dos o más programas o sistemas computacionales pueden comunicarse entre sí. Parte fundamental de dicha comunicación depende de las características de la documentación técnica que describe los métodos de conexión disponibles, y los elementos y atributos del intercambio de información que se detallan en la Especificación de la API.

Área de Pruebas. Corresponde a un entorno de componentes informáticos (esto es, servidores, aplicativos y bases de datos, entre otros) donde es posible probar, sin alterar los sistemas productivos, los cambios o desarrollos de códigos y programas computacionales. En el ámbito de las finanzas abiertas, constituyen ambientes que permiten probar con data ficticia las APIs y sus diversos mecanismos de implementación y consumo, así como otros elementos asociados al uso de éstas, para fines de pruebas o de certificación de conformidad.

Autenticación. Proceso o mecanismo diseñado para confirmar que alguien es quien dice ser (declaración de identidad). En términos relacionales, se traduce en la interacción de una persona que quiere informar y declarar su identidad (el declarante) y quien la verifica o confirma (el confirmador o verificador). En el ámbito del SFA se regulan dos tipos de autenticaciones: la autenticación del cliente y la autenticación del PSBI o PSIP que pretende hacer uso de la respectiva API.

Autenticación Reforzada de Cliente. Tipo de autenticación de Clientes diseñada para escenarios que requieren un mayor nivel de robustez en términos de seguridad y resguardo de la protección de datos, basada en el uso o conjunción de dos o más elementos independientes entre sí, categorizados como conocimiento (algo que el usuario sabe), posesión (algo que se posee), e inherencia (algo que se es). En términos tecnológicos, con frecuencia se relaciona a los mecanismos de autorización de múltiples factores.

Autoridad Certificadora – Certificate Authority. Entidad u organización prestadora de servicios de certificación y confianza, encargada de la emisión, manejo, validación y revocación de Certificados Digitales para su uso en el SFA, conforme con los requerimientos dispuestos en la presente Norma.

Certificados Digitales. Certificados criptográficos diseñados bajo infraestructura de claves públicas y que cumplan, entre otros, el estándar x509

-definido por el Grupo de Trabajo de Ingeniería de Internet- en su versión 3 o superior, que son emitidos por una Autoridad Certificadora para su uso por parte del respectivo Participante titular en procesos de autenticación, firma digital o cifrado de datos en diversos procesos y operaciones en el marco de SFA, especialmente para el establecimiento de canales seguros de comunicación entre entidades, sobre la base de la autenticación mutua (mTLS), y para el firmado y cifrado de mensajes entre éstas.

Cliente(s). Personas naturales o jurídicas que hayan contratado un servicio o producto financiero.

Directorio de Participantes. Desarrollo tecnológico que permite la búsqueda, consulta y actualización de los participantes habilitados en el SFA, incluyendo sus datos de registro o autorización, roles y perfiles, recursos de API y certificados digitales, entre otros.

Endpoint. En el contexto de una implementación de API, consiste en la ubicación de un recurso, debidamente documentado en la especificación respectiva, destinado a recibir consultas sobre un determinado tipo de información y enviar respuestas a las misma, según le fuera solicitado.

Especificación de una API. Documento que contiene la información técnica detallada sobre cómo usar e integrar de forma efectiva una determinada API.

ISO 20.022. Es un estándar técnico preparado por la Organización Internacional de Normalización (ISO) para el diseño de esquemas de mensajería de datos para la industria financiera. El estándar describe un número relevante de datos, metadatos y procesos asociados a la industria financiera, particularmente en lo que respecta a operaciones de pago. En el contexto del SFA, el estándar proporciona un diccionario de variables y estados de pago que habilitan el uso de nomenclatura común en las especificaciones de las APIs, en especial, las relacionadas con iniciación de pagos y datos de cuentas.

OpenAPI (especificación). Corresponde a una especificación técnica de carácter abierto, diseñada para la descripción y desarrollo de APIs y servicios RESTFul.

Paginación. Técnica de gestión de APIs destinada al manejo eficiente de solicitudes a un endpoint, que impliquen la recuperación de un número significativo de registros, mediante la división de la respectiva respuesta en una serie de conjuntos acotados de tales registros, denominadas páginas.

Participante(s). Noción colectiva que engloba a las IPI, IPC, PSBI y PSIP habilitados para operar dentro del SFA.

Pruebas Funcionales. Tipo de prueba diseñada para acreditar que los diversos componentes de una aplicación operan conforme a lo declarado en el software o en un estándar o especificación técnica determinada. Recurso (de una API). Refiere a un objeto o pieza de información o representación de una situación o circunstancia, que es accesible a través de una API. Representational State Transfer (REST). Estilo o aproximación de arquitectura de software para sistemas distribuidos e implementados en la web. Considera principios de diseño tales como la existencia de arquitectura clienteservidor sin estado, operaciones de peticiones bien definidas, uso de sintaxis universal, capacidad de caché, entre otros. RESTful. Es aquel servicio que adhiere y cumple de manera efectiva los principios del estilo REST, enfatizando su incorporación en aplicaciones y APIs. Time to Last Byte (TTLB). Métrica empleada para medir el tiempo que demora en recibirse por parte de un destinatario el último byte de un paquete o grupo de datos solicitado.

Siglas API : Application Programming Interface. ARC : Autenticación Reforzada de Clientes. BCCh : Banco Central de Chile. CA : Certificate Authority – Autoridad Certificadora. CD : Certificado Digital. CMF : Comisión para el Mercado Financiero. FAPI : Financial-Grade API. HTTP : Hypertext Transfer Protocol. IPC : Institución Proveedora de Cuentas. IPI : Institución Proveedora de Información. JSON : JavaScript Object Notation. mTLS : Mutual Transport Layer Security. OIDF : Open ID Foundation. PKI : Public Key Infraestructure – Infraestructura de Claves Públicas. PSBI : Proveedor de Servicios Basados en Información.

PSIP : Proveedor de Servicios de Iniciación de Pagos. REST : Representational State Transfer. SFA : Sistema de Finanzas Abiertas. TTLB : Time to Last Byte – Tiempo al Último Byte.

Las instituciones participantes del SFA serán aquellas que califiquen como Instituciones Proveedoras de Información (IPI), Instituciones Proveedoras de Cuentas (IPC), Proveedores de Servicios Basados en Información (PSBI), y Proveedores de Servicios de Iniciación de Pago (PSIP), conforme con lo señalado en los artículos 18, 19 y 20 de la Ley Fintec, respectivamente. Tales entidades, conforme con su rol particular en el sistema, deberán adoptar las medidas necesarias para permitir, según corresponda, la consulta, acceso, entrega e intercambio de información, de forma expedita y segura, respecto de los tipos de datos, productos y servicios financieros relativos a clientes, que hayan contratado productos o servicios financieros (“Clientes”), o realizado operaciones financieras con ellos.

Conforme señala el inciso primero del artículo 19 de la Ley Fintec, podrán inscribirse voluntariamente en el Registro de Prestadores de Servicios Basados en Información (en adelante también el “Registro PSBI”) aquellos proveedores de servicios habilitados por información financiera que pretendan participar en el SFA, con el fin de consultar, acceder y recibir datos para efectos de proveer servicios a los clientes. Las Instituciones Proveedoras de Información señaladas en el artículo 18 de la Ley Fintec, y las entidades inscritas en el Registro de Prestadores de Servicios Financieros que lleva la Comisión, conforme dispone el artículo 2 de la referida ley, podrán voluntariamente participar como PSBI sin necesidad de nueva inscripción, pero sujetas al cumplimiento de los requisitos aplicables a las entidades inscritas. Para tales efectos, deberán solicitar su habilitación en la nómina especial de participantes que da cuenta la Sección I.F. de la presente Norma.

Con objeto de solicitar la inscripción en el Registro de Prestadores de Servicios Basados en Información al que se refiere el artículo 19 de la Ley Fintec, la entidad interesada deberá ingresar una solicitud a través del canal electrónico dispuesto al efecto en el sitio web de la Comisión. La solicitud deberá ser presentada por el representante legal o convencional de la entidad (en adelante, el “Solicitante”), quien será personalmente responsable de la veracidad e integridad de toda la información proporcionada a la Comisión, sin perjuicio de la responsabilidad que le compete a la respectiva entidad. Esta solicitud solo será aplicable a entidades distintas a las especificadas en la Ley Fintec como Instituciones Proveedoras de Información y Prestadores de Servicios Financieros, quienes para efecto de requerir su habilitación como PSBI deberán remitirse a la Sección I.F. de esta norma. Podrán solicitar su inscripción en este Registro solo personas jurídicas constituidas conforme a las normas de la República de Chile y con domicilio social dentro del territorio nacional. Excepcionalmente podrán también solicitar su incorporación entidades extranjeras, en la medida que constituyan de forma previa al ingreso de la respectiva solicitud una agencia en Chile conforme con el procedimiento detallado y regulado en las disposiciones del Título XI de la Ley N°18.046 sobre Sociedades Anónimas o en el Libro II, Título VII, § 9 del Código de Comercio, según corresponda.

La solicitud de inscripción deberá contener la siguiente información:

a) Datos de identificación:

i. Razón social de la entidad y nombre de fantasía o comercial en caso de contar con uno.

ii. Rol Único Tributario. Tratándose de sociedades anónimas extranjeras deberá indicarse el Rol Único Tributario de la agencia en Chile, como asimismo el Legal Entity Identifier de la respectiva sociedad, si tuviere.

iii. Identificación de la persona natural con poder para actuar en representación, convencional o legal en Chile, de la entidad, debiendo indicar, a lo menos, su nombre completo, nacionalidad, y cédula de identidad o número de pasaporte, según corresponda.

iv. Número de teléfono.

v. Domicilio o dirección postal de la entidad.

vi. URL del sitio web de la entidad, de existir.

vii. Dirección de correo electrónico para efectos de las notificaciones y comunicaciones que practique esta Comisión.

b) Datos Corporativos:

i. Identificación de cada socio principal, director o administrador, considerando su nombre completo, nacionalidad, y cédula de identidad o número de pasaporte, según corresponda. Para los efectos de esta información se entenderá como socio principal a las personas naturales que posean directa o indirectamente una participación igual o superior al 10% del capital o tengan la capacidad de elegir a lo menos un miembro del directorio o administración.

ii. Diagrama descriptivo de la malla societaria de la entidad solicitante dentro de su grupo empresarial, proveyendo datos de su controlador, en los términos de los artículos 96 y 97 de la Ley N°18.045, de Mercado de Valores. El Solicitante deberá siempre mantener a disposición de la Comisión una copia actualizada y vigente de este diagrama.

Se deberá acompañar con la solicitud los siguientes antecedentes:

a) Estatutos sociales. Certificados de vigencia de la sociedad y copia con vigencia de estatutos sociales actualizado, expedido por el organismo competente conforme el régimen registral de la entidad.

i. Régimen tradicional. Copia de la escritura de constitución y de las escrituras modificatorias de los últimos 10 años, de las inscripciones, en el Registro de Comercio, de los extractos de cada una de éstas, y de la publicación de éstos en el Diario Oficial, junto con el certificado de vigencia de la sociedad y una copia de la inscripción social con constancia de las anotaciones marginales practicadas. Estos documentos no podrán tener una vigencia superior a 15 días desde su respectiva expedición.

ii. Régimen de la Ley N°20.659. Copia del certificado de vigencia de incorporación y de estatuto social actualizado expedido por el Registro de Empresas y Sociedades.

iii. Agencia de una sociedad extranjera. Se deberá adjuntar copia del extracto a que se refiere el artículo 123 de la Ley N°18.046 o el artículo 449 del Código de Comercio, según corresponda. Asimismo, se deberá adjuntar copia autorizada de la protocolización de documentos de que tratan los artículos 447 del Código de Comercio y 121 de la Ley N°18.046, según corresponda. Estos documentos no podrán tener una vigencia superior a 45 días desde su expedición.

b) Poder y representación del solicitante. Copia del instrumento público o privado donde consta la designación del Solicitante como representante legal o convencional con poderes suficientes para representar a la entidad en el proceso de registro.

c) Plan de negocios y actividades. Síntesis referencial del plan estratégico y de negocios, indicando las principales líneas de negocios y las actividades que pretende realizar, refiriéndose expresamente a los servicios que proveerá a clientes en su calidad de PSBI, indicando el o los segmentos o tipo de clientes concernidos en sus servicios, así como una descripción de las categorías o grupos de datos e información financiera disponible en el SFA que empleará para el desarrollo de su actividad, según lo indicado en la Sección IV.A. Como parte del Plan se deberá indicar, además de los servicios habilitados por información financiera, las actividades accesorias que llevará a cabo (de aplicar), incluyendo la prestación de servicios de iniciación de pagos, así como actividades económicas de otra índole. El Solicitante deberá siempre mantener a disposición de la Comisión una copia actualizada y vigente de este documento.

d) Organigrama y estructura organizacional. El Solicitante debe aportar una descripción general de la organización estructural de la entidad, con una descripción de las principales funciones de sus áreas. Asimismo, deberá detallar cargos claves, comités y estructura de responsabilidades de la o las áreas encargadas del cumplimiento de los requisitos de gestión, operativos y de seguridad que da cuenta esta Norma, la que deberá ser clara, coherente y transparente. En los casos que corresponda, considerar las estructuras de apoyo corporativas. El Solicitante deberá siempre mantener a disposición de la Comisión una copia actualizada y vigente de este documento.

e) Descripción de relacionamiento con clientes. Se debe aportar un documento informativo que detalle (i) los servicios que se prestarán a los clientes y en qué condiciones; (ii) las medidas que adoptará la entidad para garantizar el correcto funcionamiento de sus sistemas en materia de gestión de consentimiento junto con la autorización y autenticación de clientes; (iii) los procedimientos que dispondrá la entidad para que los clientes ejerzan los derechos que le confiere la Ley Fintec. El Solicitante deberá siempre mantener a disposición de la Comisión una copia actualizada y vigente de este documento.

f) Consentimiento de Clientes y su gestión. Se deberá aportar un documento que pormenorice los términos que se emplearán para requerir el consentimiento de los clientes de conformidad con lo dispuesto en el artículo 23 de la Ley Fintec, como, asimismo, una descripción del o de los flujos de obtención, registro, mantención, resguardo y gestión del consentimiento que en cada caso implementará la entidad.

g) Tratamiento de datos personales. Se deberá acompañar una descripción del procedimiento para registrar, controlar, rastrear y restringir el acceso a los datos de los clientes, incluyendo aquellos que califiquen como sensibles conforme con los términos de la Ley N°19.628. Como parte de este requisito, la entidad deberá acompañar una descripción de las medidas técnicas y organizativas de seguridad que implementará en atención a los riesgos detectados, así como el modelo de registro de actividades de tratamiento de datos (en adelante “RAT”) que implementará, el que deberá, a lo menos, contar con la siguiente información: (i) el nombre y los datos de contacto del responsable del tratamiento y del oficial de protección de datos, de existir tal designación; (ii) los fines de cada tratamiento de datos; tiempo que mantendrán los datos; y la base o fuente de licitud que aplica a cada actividad; (iii) una descripción de las categorías de titulares de datos y de datos personales a tratar; (iv) los principales mecanismos de recolección de datos para cada actividad de tratamiento de datos; y (v) las categorías o tipos de destinatarios o terceros receptores de los datos.

h) No afectación de inhabilidad especial del artículo 19 de la Ley Fintec. Se deberá acompañar declaración jurada simple, suscrita por el representante legal o convencional con poder suficiente, que indique que la entidad no se encuentra afecta a la inhabilidad de registro dispuesta en el inciso final del artículo 19 de la Ley Fintec. El solicitante deberá informar la existencia de modificaciones a este documento tan pronto tome conocimiento de la ocurrencia de alguna circunstancia que modifique el mismo.

i) Políticas de gestión. Documento o conjunto de documentos que contenga las políticas a que se refiere la Sección III de esta norma.

j) Certificado de implementación de perfiles de seguridad de interfaces. Documento que acredite la debida expedición y vigencia del certificado de correcta implementación técnica del estándar de seguridad conforme con los parámetros que se describan en el Anexo N°3 de esta Norma. Las condiciones que deberá cumplir el tercero que expida el respectivo certificado serán materia del referido Anexo N°3.

k) Certificado de procedimientos concursales vigentes o quiebras. Documento expedido por la Superintendencia de Insolvencia y Reemprendimiento, en el que conste que la persona o entidad cuya inscripción se solicita no se encuentra en los registros de quiebra, ni está sometida a un procedimiento concursal de liquidación o de reorganización, de una antigüedad no superior a los 30 días. Para el caso de agencias, esta circunstancia estará referida a la entidad extranjera y se acreditará mediante declaración jurada expedida al efecto por el representante legal. El solicitante deberá informar la existencia de modificaciones a este documento tan pronto tome conocimiento de la ocurrencia de alguna circunstancia que modifique el mismo.

l) Pruebas funcionales. Documento que evidencie a través de un reporte de hallazgos provisto por un tercero sobre la realización de Pruebas Funcionales de consumo de APIs en Áreas de Prueba. Tanto las condiciones que debe tener este tercero, como los elementos mínimos de prueba a efectuarse se deberán ajustar a las especificaciones del Anexo N°3 de esta Norma.

En el caso de los documentos expedidos en el extranjero, los mismos deben acompañarse con el respectivo Certificado de Apostilla, en el caso de otorgarse en países miembros del Convenio de la Apostilla de la Haya de 5 de octubre de 1961. En el caso de documentos expedidos en países no miembros del Convenio, los documentos, previo a su presentación, deben someterse al procedimiento de legalización y ratificación de firmas por vía consular o diplomática, establecido en el artículo 345 del Código de Procedimiento Civil. Asimismo, los documentos que originalmente se expidan en un idioma distinto al castellano, deben acompañarse con una traducción oficial al castellano, debidamente apostillada o legalizada, según sea el caso.

Ingresada la solicitud y verificada la completitud de los antecedentes requeridos en la presente sección, se procederá a la inscripción de la entidad en el Registro PSBI, previo pago por parte del Solicitante de los derechos establecidos en el artículo 33 del D.L. N°3.538.

Desde la fecha de la solicitud de inscripción y mientras la entidad se encuentre en el Registro PSBI, se deberá informar, a través del canal oficial de comunicación y envío de información entre la Comisión y sus fiscalizados, cualquier modificación o cambio que haya sufrido la información proporcionada con motivo de la solicitud en el punto 1.1 anterior, dentro del plazo de cinco días hábiles de ocurrido el hecho respectivo o tomado conocimiento de éste por parte de la entidad. Lo anterior, sin perjuicio que, tratándose de cambios a la información de identificación del Solicitante que tenga naturaleza registral, dicha comunicación deberá ser acompañada de una solicitud de anotación en el Registro PSBI, debiéndose pagar los derechos establecidos en el artículo 33 del D.L. N°3.538.

Junto con la inscripción en el Registro PSBI, la Comisión otorgará al representante de la entidad un conjunto de credenciales para el acceso y utilización del sistema implementado por la Comisión para ese objetivo.

Para efectos de requerir su cancelación del Registro PSBI, la entidad registrada deberá remitir a la Comisión una solicitud de cancelación suscrita por su representante, acompañando además antecedentes que den cuenta de la cesación de los servicios o funcionalidades que requieren del SFA o se encuentren vinculados con la prestación de servicios basados en la información, adscrita al SFA.

Lo anterior, no excluye la eventual determinación de sanciones que impliquen o consideren la cancelación de la entidad del Registro PSBI por incumplimiento de los requerimientos de la Ley Fintec y/o de las disposiciones de la presente normativa.

La entidad que haya solicitado la cancelación de su registro, o bien se haya decretado su suspensión definitiva o el término de la vigencia de su inscripción con ocasión del ejercicio de facultades por parte de la CMF, deberá poner en ejecución un plan destinado a garantizar que no existan transacciones u operaciones pendientes de ejecución a la fecha que surta efecto la cancelación, incluyendo dejar sin efecto las autorizaciones de acceso de información que estuviesen vigentes a la fecha, o bien dentro de otro plazo que la CMF disponga al particular, debiendo informar a la Comisión las medidas que ha adoptado para tales propósitos, junto con el cronograma de avance de las mismas. Asimismo, deberá informar a sus respectivos clientes del término de su participación en el SFA, y el impacto que aquello puede tener respecto de los servicios que provee.

Los PSIP son aquellas entidades que pueden instruir, a nombre de un cliente y ante la Institución Proveedora de Cuentas respectiva, la ejecución de órdenes de pago o transferencias electrónicas de fondos, incluyendo pagos recurrentes predefinidos en favor de los terceros beneficiarios que los clientes indiquen, con cargo a sus respectivas cuentas y medios de pago.

A efectos de solicitar la inscripción en el Registro de Prestadores de Servicios de Iniciación de Pagos al que se refiere el artículo 20 de la Ley N°21.521 (“Registro PSIP”), la entidad interesada deberá ingresar una solicitud a través del canal dispuesto al efecto en el sitio web de la Comisión. La solicitud deberá ser presentada por el representante legal o convencional de la entidad (en adelante, el “Solicitante”) quien será responsable de la veracidad e integridad de toda la información proporcionada a la Comisión. Podrán solicitar su inscripción en este Registro solo personas jurídicas constituidas conforme a las normas de la República de Chile y con domicilio social dentro del territorio nacional. Excepcionalmente, podrán también solicitar su incorporación entidades extranjeras en la medida que constituyan, de forma previa al ingreso de la respectiva solicitud, una agencia en Chile conforme con el procedimiento detallado y regulado en las disposiciones del Título XI de la Ley N°18.046 sobre Sociedades Anónimas o en el Libro II, Título VII, § 9 del Código de Comercio, según corresponda.

La solicitud de inscripción deberá contener la siguiente información:

a) Datos de identificación:

i. Razón social de la entidad y nombre de fantasía o comercial en caso de contar con uno.

ii. Rol Único Tributario. Tratándose de sociedades anónimas extranjeras deberá indicarse el Rol Único Tributario de la agencia en Chile, como asimismo el Legal Entity Identifier de la respectiva sociedad, si tuviere.

iii. Identificación de la persona natural con poder para actuar en representación convencional o legal en Chile de la entidad, debiendo indicar, a lo menos, su nombre completo, nacionalidad, y cédula de identidad o número de pasaporte, según corresponda. iv. Número de teléfono. v. Domicilio o dirección postal de la entidad. vi. URL del sitio web de la entidad, de existir. vii. Dirección de correo electrónico para efectos de las notificaciones y comunicaciones que practique esta Comisión.

b) Datos Corporativos:

i. Identificación de cada socio principal, director o administrador, considerando su nombre completo, nacionalidad, y cédula de identidad o número de pasaporte, según corresponda. Para los efectos de esta información se entenderá como socio principal a las personas naturales que posean directa o indirectamente una participación igual o superior al 10% del capital o tengan la capacidad de elegir a lo menos un miembro del directorio o administración.

ii. Diagrama descriptivo de la malla societaria de la entidad solicitante dentro de su grupo empresarial, proveyendo datos de su controlador, en los términos de los artículos 96 y 97 de la Ley N°18.045, de Mercado de Valores. El Solicitante deberá siempre mantener a disposición de la Comisión una copia actualizada y vigente de este diagrama.

Se deberá acompañar con la solicitud los siguientes antecedentes: a) Estatutos sociales. Certificados de vigencia de la sociedad y copia con vigencia de estatutos sociales actualizado, expedido por el organismo competente conforme el régimen registral de la entidad. i. Régimen tradicional. Copia de la escritura de constitución y de las escrituras modificatorias de los últimos 10 años, de las inscripciones de los extractos de cada una de éstas, y de la publicación de éstos en el Diario Oficial, junto con el certificado de vigencia de la sociedad y una copia de la inscripción social con constancia de las anotaciones marginales practicadas. Estos documentos no podrán tener una vigencia superior a 15 días desde su expedición, respectivamente.

ii. Régimen de la Ley N°20.659. Copia del certificado de vigencia de incorporación y de estatuto social actualizado expedido por el Registro de Empresas y Sociedades.

iii. Agencia de una sociedad extranjera. Se deberá adjuntar copia del extracto a que se refiere el artículo 123 de la Ley N°18.046 o el artículo 449 del Código de Comercio, según corresponda. Asimismo, se deberá adjuntar copia autorizada de estatutos y certificado de incorporación de la sociedad extranjera, expedido o visado por ministro de fe competente en la jurisdicción respectiva.

b) Poder y representación del solicitante. Copia del instrumento público o privado donde consta la designación del solicitante como representante legal o convencional con poderes suficientes para representar a la entidad en el proceso de registro.

c) Plan de negocios y actividades. Síntesis referencial del plan estratégico y el plan de negocios, indicando las principales líneas de negocios, las actividades que pretende realizar, refiriéndose expresamente a los servicios que proveerá a clientes en su calidad de PSIP, indicando el o los segmentos o tipo de clientes por los cuales ofrecerá sus servicios, así como una descripción de las categorías o grupos de datos e información financiera disponible en el SFA que empleará para el desarrollo de su actividad, según lo indicado en la Sección IV.A. Como parte del plan se deberá indicar, además de los servicios de iniciación de pagos, las actividades accesorias que llevará a cabo (de aplicar), incluyendo la prestación de servicios basados en información, así como actividades económicas de otra índole. El Solicitante deberá siempre mantener a disposición de la Comisión una copia actualizada y vigente de este documento.

d) Responsabilidad Ley N°20.009. Se deberá proporcionar una descripción de las medidas adoptadas por la entidad para proteger y cautelar los fondos de los clientes que revistan la calidad de usuarios pagadores en el contexto de la iniciación de pagos, como, asimismo, los mecanismos de gestión de reclamaciones ante operaciones no autorizadas en los términos de la Ley N°20.009, incluyendo las medidas de prevención de ocurrencia de fraudes o uso malicioso de instrumentos de pago.

e) Custodia transitoria de fondos. El Solicitante deberá indicar en su solicitud, a través de una declaración jurada simple preparada al efecto, si es su intención desarrollar modelos de negocios que impliquen la mantención o custodia transitoria de fondos en los términos del inciso cuarto del artículo 20 de la Ley Fintec. De ser efectivo lo anterior, de conformidad con lo dispuesto en la Sección I.D.2 de esta Norma, deberá acompañar los antecedentes que acrediten el cumplimiento de los requisitos que determine el Banco Central de Chile en conformidad con sus atribuciones legales.

f) Organigrama y estructura organizacional. El Solicitante debe aportar una descripción de la organización estructural de la entidad, con una descripción de las principales funciones de sus áreas, cargos claves, comités y estructura de responsabilidades. En caso de que corresponda, considerar las funciones de apoyo corporativas. El Solicitante deberá siempre mantener a disposición de la Comisión una copia actualizada y vigente de este documento.

g) Descripción sobre relacionamiento con Clientes. Se debe aportar un documento informativo que detalle: (i) los servicios que se prestarán a los clientes y en qué condiciones; (ii) las medidas que adoptará la entidad para garantizar el correcto funcionamiento de sus sistemas en materia de gestión de consentimiento junto con la autorización y autenticación de clientes; y (iii) los procedimientos que dispondrá la entidad para que los clientes ejerzan los derechos que le confiere la Ley Fintec. El Solicitante deberá siempre mantener a disposición de la Comisión una copia actualizada y vigente de este documento.

h) Consentimiento de clientes y su gestión. Se deberá aportar un documento que pormenorice los términos que se emplearán para requerir el consentimiento de los clientes de conformidad con lo dispuesto en el artículo 23 de la Ley Fintec, como asimismo una descripción del o de los flujos de obtención, registro, mantención, resguardo y gestión del consentimiento que en cada caso implementará la entidad.

i) Tratamiento de datos personales. Se deberá acompañar una descripción del procedimiento para registrar, controlar, rastrear y restringir el acceso a los datos de los clientes, incluyendo aquellos que califiquen como sensibles conforme con los términos de la Ley N°19.628. Como parte de este requisito, la entidad deberá acompañar una descripción de las medidas técnicas y organizativas de seguridad que implementará para este fin, incluyendo los procedimientos técnicos que garanticen el cumplimiento respecto de los datos de iniciación de pagos dispuesto en el inciso cuarto del artículo 20 de la Ley Fintec, así como el modelo de registro de actividades de tratamiento de datos que implementará, el que deberá, a lo menos, contar con la siguiente información: (i) el nombre y los datos de contacto del responsable de tratamiento y del oficial de protección de datos, de existir tal designación; (ii) los fines de cada tratamiento de datos, tiempo que mantendrá los datos y la base o fuente de licitud que aplica a cada actividad; (iii) una descripción de las categorías de titulares de datos y de datos personales a tratar; (iv) los principales puntos de captura asociados a cada actividad de tratamiento de datos; y (v) las categorías o tipos de destinatarios o terceros receptores de los datos.

j) No afectación de inhabilidad especial del artículo 20 de la Ley Fintec. Se deberá acompañar declaración jurada simple, suscrita por el representante legal o convencional con poder suficiente, que indique que la entidad no se encuentra afecta a la inhabilidad de registro dispuesta en el inciso final del artículo 20 de la Ley Fintec. El Solicitante deberá informar la existencia de modificaciones a este documento tan pronto tome conocimiento de la ocurrencia de alguna circunstancia que modifique el mismo.

k) Políticas de gestión. Documento que contenga las políticas a que se refiere la Sección III esta norma.

l) Certificado de Implementación de Perfiles de Seguridad. Documento que acredite la debida expedición y vigencia del certificado de correcta implementación técnica del estándar de seguridad conforme con los parámetros que se describan en el Anexo N°3 de esta Norma. Las condiciones que deberá cumplir el tercero que expida el respectivo certificado serán materia del referido Anexo N°3.

m) Garantías. Se debe aportar la documentación que acredite la contratación de alguno de los instrumentos de garantía que da cuenta la Sección I.D.4. de esta Norma.

n) Certificado de procedimientos concursales vigentes o quiebras. Documento expedido por la Superintendencia de Insolvencia y Reemprendimiento, en el que conste que la persona o entidad cuya inscripción se solicita no se encuentra en los registros de quiebra, ni está sometida a un procedimiento concursal de liquidación, reorganización o renegociación, de una antigüedad no superior a los 30 días. Para el caso de agencias, esta circunstancia estará referida a la entidad extranjera y se acreditará mediante declaración jurada expedida al efecto por el representante legal. El Solicitante deberá informar la existencia de modificaciones a este documento tan pronto tome conocimiento de la ocurrencia de alguna circunstancia que modifique el mismo.

o) Pruebas funcionales. Documento que evidencie a través de un reporte de hallazgos, la realización de Pruebas Funcionales de consumo de APIs en Áreas de Prueba conforme con los elementos que se detallen en el Anexo N°3 de esta Norma.

En el caso de los documentos expedidos en el extranjero, los mismos deben acompañarse con el respectivo “Certificado de Apostilla”, en el caso de otorgarse en países miembros del Convenio de la Apostilla de la Haya de 5 de octubre de 1961. En el caso de documentos expedidos en países no miembros del referido convenio, los documentos, previo a su presentación, deben someterse al procedimiento de legalización y ratificación de firmas por vía consular o diplomática, establecido en el artículo 345 del Código de Procedimiento Civil. Asimismo, los documentos que originalmente se expidan en un idioma distinto al castellano, deben acompañarse con una traducción oficial al castellano, debidamente apostillada o legalizada, según sea el caso.

Ingresada la solicitud y verificada la completitud de los antecedentes requeridos en la presente sección, se procederá a la inscripción de la entidad en el Registro PSIP, previo pago por parte del Solicitante de los derechos establecidos en el artículo 33 del D.L. N°3.538.

De conformidad con lo dispuesto en el inciso cuarto del artículo 20 de la Ley Fintec, los PSIP podrán contemplar en su modelo de funcionamiento, de manera excepcional, la posibilidad de acceder y mantener de forma transitoria el dinero o fondos recibidos de los clientes, como parte de la ejecución de una operación de iniciación de pagos. Para efectos de lo anterior, deberán cumplir los requisitos que el BCCh disponga al efecto, los que resultarán adicionales y complementarios a los establecidos en la presente normativa para el registro como PSIP.

Será obligación del PSIP que quiera ejecutar dicho modelo, sea de forma exclusiva o complementaria con otras modalidades que no impliquen custodia transitoria, el acreditar ante la Comisión, de forma previa a su ejercicio efectivo, el cumplimiento de los requisitos dispuestos por el BCCh en su normativa.

De acuerdo lo dispone el referido inciso del artículo 20 de la Ley Fintec, la custodia de fondos temporal no podrá superar las 72 horas, contadas desde que se ejecute la operación de iniciación de pagos respectiva.

El solicitante interesado en registrarse como PSBI y PSIP podrá realizarlo conjuntamente, a través de una única solicitud, debiendo indicar explícitamente dicha intención en su presentación, para lo cual deberá acompañar los antecedentes que permitan acreditar de forma separada, en lo que corresponda, el cumplimiento de los requisitos aplicables a ambos tipos de entidades registrables.

Los PSIP deberán acreditar el cumplimiento de niveles mínimos de garantías en función a sus montos operados, que cumplan con la siguiente fórmula:

[Fórmula: ver PDF]

Donde, Monto diario promedio corresponde al monto total de las operaciones en los últimos tres meses, dividido por el número total de días del periodo. El valor de las garantías deberá actualizarse trimestralmente, debiendo presentarse y acreditarse ante esta Comisión las renovaciones de boletas bancarias o endosos de pólizas que resulten aplicables.

De forma excepcional, para los primeros seis meses de operaciones del PSIP una vez se registre ante esta Comisión, el factor asociado a Monto diario promedio equivaldrá a cero, haciendo por tanto aplicable para dicho periodo únicamente el monto base de UF 1.000. Transcurridos los referidos seis meses iniciales de operación, el cumplimiento del nivel de garantías considerará los valores efectivos de operación, y será responsabilidad exclusiva del PSIP revisar que los instrumentos de garantía así constituidos resulten adecuados y suficientes, según el resultado obtenido de la fórmula anterior.

Para la constitución del monto de garantía antes indicado, la entidad podrá contratar alguno de los siguientes instrumentos:

a. Póliza de Seguro

Esta deberá cubrir los daños y perjuicios causados a terceros, de los cuales sea civilmente responsable, que resulten de la prestación de los servicios propios de iniciación de pagos, por actos, errores u omisiones ocurridos durante la vigencia de la póliza y que afecten a los terceros por el asegurado. Debe cubrir de forma particular las responsabilidades que se pudieran derivar de la actividad de iniciación de pagos por ejecución de órdenes de pago no autorizadas, ejecución tardía o defectuosa, y derecho de resarcimiento de que trata el inciso séptimo del artículo 5° de la Ley N°20.009. Deberá cubrir, asimismo, la responsabilidad civil de sus dependientes, de sus administradores, representantes, apoderados o de cualquier persona que participe en las funciones de su giro por cuenta del

PSIP y, en general, la de toda persona por la cual sea civilmente responsable en el ejercicio de su actividad de iniciación de pagos.

La póliza deberá cubrir como mínimo el monto de garantía exigible determinado conforme con la fórmula en esta sección. En caso de que el monto de cobertura incluya cualquier franquicia, deducible o límite, ello no deberá afectar a los pagos que la entidad deba realizar en relación con las solicitudes de reembolso efectuadas por clientes o de resarcimiento por los Emisores que sean IPC.

La cobertura deberá comprender tanto los daños y perjuicios causados a terceros, como los gastos y costas del proceso que éstos o sus causahabientes promuevan en contra del asegurado.

También deberá ser de cargo de la compañía aseguradora los gastos de defensa del asegurado, incluso los honorarios respectivos, aun cuando se trate de reclamaciones infundadas.

Por último, el seguro deberá indicar que el pago de la indemnización al tercero perjudicado se efectuará en virtud de sentencia ejecutoriada, o de transacción judicial o extrajudicial celebrada por el asegurado con el consentimiento de la compañía.

b. Boleta de Garantía Bancaria

En el caso de constituirse la garantía mediante boleta bancaria, ella deberá ser tomada en un banco autorizado para operar en el mercado nacional, considerando como mínimo el monto de garantía determinado conforme la fórmula de esta sección. El documento deberá señalar que es tomada a favor de los beneficiarios de la garantía, esto es, los acreedores presentes o futuros, sean Clientes o emisores de medios de pagos, que llegare a tener debido a la ejecución de servicios de iniciación de pagos, y particularmente, por responsabilidades que se pudieran derivar de la actividad de iniciación de pagos por ejecución de órdenes de pago no autorizadas, ejecución tardía o defectuosa, y derecho de resarcimiento de que trata el inciso séptimo del artículo 5° de la Ley N°20.009. Deberá ser pagadera a simple requerimiento.

La entidad deberá designar a un banco como representante de los posibles beneficiarios de la boleta bancaria, quien será el tenedor de ésta. El representante de los beneficiarios de la boleta bancaria, para hacerla efectiva y sin que sea necesario acreditarlo a la entidad otorgante, deberá ser notificado judicialmente del hecho de haberse interpuesto demanda en contra de la entidad caucionada.

El dinero proveniente de la realización de la boleta bancaria quedará en prenda de pleno derecho en sustitución de la garantía, manteniéndose en depósitos reajustables por el representante, hasta que cese la obligación de mantener la garantía.

Entidades obligadas a inscribirse en el Registro Conforme lo dispone el artículo cuarto transitorio de la Ley Fintec, las entidades que con consentimiento de los respectivos clientes se encuentren prestando los servicios de iniciación de pagos regulados en el Título III de dicha ley, haciendo uso de sus credenciales, medios de autentificación o a través de otros mecanismos, deberán dar cumplimiento a la obligación de solicitar su registro ante la Comisión en un plazo que no exceda de doce meses contado a partir de la entrada en vigor de esta norma.

Sobre el servicio de iniciación de pagos Los PSIP deberán ejercer su actividad de iniciación de pagos considerando los siguientes requisitos y restricciones:

a. No se podrán iniciar órdenes de pago o transferencias de fondos sin autorización previa del cliente para el efecto otorgada de conformidad con lo dispuesto en esta norma y los estándares definidos en el Anexo N°3. Los pagos recurrentes requerirán de consentimiento a partir de la primera transacción o desde que se suscriba el respectivo acuerdo o esquema de cargos recurrentes.

b. El PSIP no podrá mantener o custodiar los fondos del cliente ordenante o pagador, salvo acreditación previa ante la CMF del cumplimiento de las normas que dicte el Banco Central de Chile para los modelos de operación con custodia temporal de fondos.

c. Los PSIP deberán abstenerse de solicitar a los clientes ordenantes o pagadores más información o datos de los estrictamente necesarios para iniciar la orden de pago o transferencia de fondos, sin perjuicio de dar cumplimiento a las normas de prevención de lavado de activos, financiamiento del terrorismo y no proliferación de armas de destrucción masiva, que resulten aplicables.

d. Los PSIP deberán adoptar las medidas técnicas y organizativas necesarias para dar cumplimiento efectivo a la limitación de uso de datos personales que da cuenta el inciso cuarto del artículo 20 de la Ley Fintec. Sin perjuicio de lo anterior, tratándose de un PSIP que, además, se encuentre registrado o habilitado como PSBI, podrá igualmente emplear, con el debido consentimiento del cliente, la información resultante de la ejecución de iniciación de pagos en conjunción con otras categorías de información accesibles como parte del SFA, para los propósitos de la prestación de servicios de revisión, conciliación o reconciliación financiera. Lo anterior es sin perjuicio de los demás usos de la información que pueda proveer a sus clientes en su rol de PSBI, con el debido consentimiento de sus clientes.

Desde la fecha de la solicitud de inscripción y mientras la entidad se encuentre en el Registro PSIP, deberá informar, a través del canal oficial de comunicación y envío de información entre la Comisión y sus fiscalizados, cualquier modificación o cambio que haya sufrido la información proporcionada con motivo de la solicitud en el punto 1.1 anterior, dentro del plazo de cinco días hábiles de ocurrido el hecho respectivo o tomado conocimiento de éste por parte de la entidad. Lo anterior, sin perjuicio que, tratándose de cambios a la información de identificación del Solicitante que tenga naturaleza registral, dicha comunicación deberá ser acompañada de una solicitud de anotación en el Registro PSIP, debiéndose pagar los derechos establecidos en el artículo 33 del D.L. N°3.538.

Junto con la inscripción en el Registro de PSIP, la Comisión otorgará al representante de la entidad un conjunto de credenciales para el acceso y utilización del sistema implementado por la Comisión para ese objetivo.

Para efectos de requerir su cancelación del Registro PSIP, la entidad registrada deberá remitir a la Comisión una solicitud de cancelación suscrita por su representante, acompañando además antecedentes que den cuenta de la cesación de los servicios o funcionalidades que se encuentren vinculados con la iniciación de pagos adscrita al SFA.

Lo anterior, sin perjuicio de la eventual determinación de sanciones que impliquen o consideren la cancelación de la entidad del Registro PSIP por incumplimiento de los requerimientos de la Ley Fintec y de las disposiciones de la presente normativa.

La entidad que haya solicitado la cancelación de su registro, o bien, se haya decretado el término de su vigencia en virtud del ejercicio de facultades por parte de la CMF, deberá disponer e informar a la Comisión de un plan detallado que garantice y acredite que no existan transacciones u operaciones pendientes de ejecución ni acreencias con los beneficiarios de los pagos a la fecha que surta efecto la cancelación, debiendo informar a sus respectivos clientes del término de su acceso al SFA, y debiendo abstenerse de realizar, sin contar con registro vigente, servicios de iniciación de pagos.

E. Nómina de Instituciones Proveedoras de Información y Proveedoras de Cuentas

Todas las entidades consideradas como IPI e IPC de conformidad con el artículo 18 de la Ley Fintec, tendrán que presentar los antecedentes que permiten acreditar el cumplimiento de las exigencias que la referida ley les hace aplicable, debiendo presentar los antecedentes a continuación mencionados para su incorporación y habilitación en un listado de entidades denominado como “Nómina IPI” y “Nómina IPC”. Esta será una obligación de incorporación a la nómina aplicable a todas las IPI e IPC, que deberá ser cumplida conforme con los plazos de implementación y exigibilidad gradual del SFA que se estipula en la Sección V.C. de esta Norma.

1. Incorporación a la Nómina

La incorporación en esta nómina es obligatoria para las entidades que la Ley Fintec haya definido que deben ser parte del SFA, las que deberán dar cumplimiento al menos a los siguientes requisitos:

a) Presentar los antecedentes de información asociados a su incorporación en el Directorio de Participantes.

b) Acreditar el cumplimiento, respecto de las interfaces que le resulten exigibles, de los estándares y especificaciones técnicas que den cuenta esta norma y su Anexo N°3.

c) Evidenciar a través de la emisión de un reporte de hallazgos y de certificación de resultados, provisto por un proveedor de acreditable prestigio y experiencia en materias de certificación técnica, desarrollo de proyectos tecnológicos, o aseguramiento de calidad de procesos empresariales, la realización de Pruebas Funcionales sobre sus APIs, considerando además los escenarios de contingencia, conforme con los elementos de prueba -entre los cuales se encuentran los requisitos sobre la cantidad de pruebas y certificaciones, los tipos de certificados y medios de acreditación de cumplimiento y, los roles y necesidad de participación de terceras entidades acreditadoras requeridos- que se detallen en el Anexo N°3 de esta Norma. Dicho reporte debe entregar una opinión sin observaciones de las pruebas realizadas.

d) Acompañar la documentación sobre los mecanismos de ARC que tiene implementados, y la forma y requerimientos técnicos aplicables para su vinculación o redireccionamiento por parte de los PSBI o PSIP.

e) Acompañar un certificado expedido por un tercero que cumpla los requisitos del Anexo N°3 de esta Norma, de implementación de perfiles de seguridad de interfaces que acredite la debida expedición y vigencia de la correcta implementación técnica del estándar de seguridad conforme con los parámetros que se describan en el referido anexo.

f) Acreditar ante la Comisión la adopción e implementación de las políticas de gestión de riesgo indicadas en la Sección III de esta Norma. Los participantes que en virtud de otras disposiciones normativas ya cuenten o deban contar con políticas y procedimientos de gestión de riesgos y control interno, deberán complementar las mismas, incluyendo los aspectos asociados a la operación del SFA que se describen en la referida sección.

La IPI que no cumpla con los requisitos dispuestos para su incorporación en la respectiva Nómina IPI dentro de los plazos máximos establecidos en esta Norma, estará impedida de solicitar su habilitación en la Nómina PSBI, conforme lo dispuesto en la Sección I.C de esta Norma.

Lo indicado en el párrafo anterior será sin perjuicio de la eventual aplicación de sanciones por parte de la Comisión en ejercicio de sus facultades legales, por incumplimiento de los plazos establecidos en esta normativa, de conformidad con lo dispuesto en la Ley Fintec y las disposiciones de esta Norma.

Para estos efectos, habrá dos nóminas diferenciadas:

• Nómina de Instituciones Proveedoras de Información; y

• Nómina de Instituciones Proveedoras de Cuentas.

Las entidades que conforme a la Ley Fintec desempeñen más de un rol, deberán acreditar de forma separada, en lo que corresponda, los antecedentes para estar plenamente vigentes en ambas nóminas.

2. Plazos de incorporación a las Nóminas IPI e IPC

Las IPI obligadas por ley a compartir e intercambiar información en el SFA, así como los IPC obligados a cursar e intercambiar información respecto a órdenes de pago, deberán acreditar el cumplimiento de los requisitos y solicitar su incorporación en la Nómina IPI y la Nómina IPC, según corresponda, conforme con los siguientes plazos:

• IPI del inciso primero del artículo 18, e IPC del artículo 20 de la Ley Fintec. Deberán presentar su solicitud dentro de los primeros 90 días de entrada en vigencia de la presente Norma; e

• IPI del inciso segundo del artículo 18 de la Ley Fintec (letras (a) a (h)). Deberán presentar su solicitud dentro de los 18 meses siguientes a la entrada en vigencia de la presente Norma.

Los anteriores plazos no incluyen el cumplimiento de los elementos considerados en la sección V letra C, donde se especifican plazos específicos para aspectos de cumplimiento desarrollo de las APIs, entre ellas la realización de pruebas funcionales.

F. Nómina de Proveedores de Servicios Basados en Información

De acuerdo con lo dispuesto en el inciso primero del artículo 19 de la Ley Fintec, podrán participar de forma voluntaria en el SFA, como PSBI, las entidades que califiquen como IPI y aquellas entidades inscritas en el Registro de Prestadores de Servicios de Financieros al que se refiere el Título II de la referida ley. Para estos casos, la participación no requerirá una nueva inscripción, sin perjuicio de que deberán solicitar su incorporación y acreditar ante la Comisión el cumplimiento de los requisitos dispuestos para los PSBI. Para tales propósitos, la Comisión mantendrá un listado de las entidades antes indicadas que soliciten su incorporación voluntaria como PSBI, que se denominará “Nómina PSBI”. La inclusión de una entidad en la Nómina PSBI se realiza previa verificación por parte de la Comisión del cumplimiento de los requisitos que se indican a continuación. En línea con lo dispuesto en la Sección I.E.1. de esta Norma, la inclusión de una IPI en la Nómina PSBI deberá estar siempre precedida del cumplimiento por parte de la entidad de los requisitos dispuestos para su inclusión en la respectiva Nómina IPI. La incorporación en la nómina se efectuará mediante una solicitud a la CMF, en la que se manifieste la intención de prestar estos servicios, y donde se acredite el cumplimiento de todos los requerimientos que la Comisión determine en la presente Norma para los PSBI.

Cancelación de la Nómina Las entidades que pierdan su condición de Institución Proveedora de Información o Institución Proveedora de Cuentas en los términos de los artículos 18 y 20 de la Ley Fintec, deberán presentar a la Comisión una solicitud de término de su incorporación en las nóminas respectivas, debiendo acompañar un plan que garantice el adecuado término del funcionamiento de sus respectivas interfaces, incluyendo un cronograma detallado de las medidas que se adoptarán para tales propósitos. Lo anterior resultará sin perjuicio de la facultad de la Comisión de poner término de oficio a la incorporación a una nómina por concurrir los requisitos legales para dichos efectos, incluyendo la cancelación o revocación del registro o autorización de existencia de la respectiva entidad, conforme resulte aplicable en virtud de su naturaleza y la normativa sectorial que le aplique. Tratándose de la Nómina PSBI, la entidad inscrita podrá solicitar la cancelación de su inscripción en los mismos términos indicados en la Sección I.C.3, supra, de esta Norma.

Las IPI e IPC deberán poner a disposición APIs para el SFA, junto con la documentación técnica asociada a éstas, necesarias para atender las solicitudes de acceso a los datos del SFA presentadas por los PSBI e PSIP. En el contexto del SFA, las entidades fiscalizadas no podrán utilizar mecanismos diferentes a las API para atender solicitudes de acceso a datos, sin perjuicio de lo que se disponga respecto del uso de un mecanismo alternativo regulado por la CMF. El desarrollo y mantención de las APIs será de exclusiva responsabilidad de los Participantes del SFA. Las APIs deberán estar habilitadas en sitios web que las propias instituciones proveerán para estos efectos, y sus direcciones y especificaciones técnicas (endpoints) serán comunicadas a la Comisión, quedando disponibles para el uso de los PSBI y los PSIP, según corresponda, en el Directorio del SFA y en los términos que se establezcan en el Anexo N°3 de esta normativa, de acuerdo con lo descrito en la Sección II.B. Aun cuando el desarrollo de las APIs pueda ser delegado a otra empresa, para todos los efectos la entidad que participa en el sistema será la única responsable por las mismas ante la Comisión. La conexión e intercambio de información entre los Participantes del SFA será bilateral. Lo anterior, independientemente de las posibilidades de tercerización de uno o más componentes asociados a la comunicación o el procesamiento e intercambio de la información, conforme con las disposiciones aplicables.

Las APIs que desarrollen los Participantes deben cumplir con los siguientes estándares:

Tabla N°1: Estándares de las APIs

ELEMENTO

ESTÁNDAR

Especificación y diseño Mensajería

Arquitectura

OpenAPI (versión 3.1)

JSON Marco de referencia REST y su implementación debe ser RESTful

Estándares de Administración de Datos y Diccionario de Datos

Autorización y Autenticación

Perfiles de seguridad

Protocolo de intercambio

ISO 20.022 última versión

OAuth 2.0 y OpenID Connect FAPI 2.0 conforme perfiles que se indiquen en Anexo N°3 mTLS

El cumplimiento de estos estándares deberá ser acreditado mediante informe emanado de un tercero independiente y remitido a la Comisión. Las especificaciones, flujos operacionales y diccionarios técnicos asociados a la implementación concreta de los referidos estándares se desarrollarán en el Anexo N°3 de esta norma, el que será actualizado por parte de la Comisión, considerando la gradualidad de implementación del SFA y la mejora continua de sus procesos.

Consideraciones particulares

Sin perjuicio de lo dispuesto en los párrafos precedentes, tratándose del estándar de perfiles de seguridad FAPI en su versión 2.0, este aplicará para el diseño de todas las interfaces consideradas en la presente Norma, siendo materia del Anexo N°3 la definición de los perfiles y modalidades aplicables en cada caso, considerando la naturaleza de la información a ser intercambiada, cuando resulte necesario.

En lo que respecta al ISO 20.022, no se considerará la exigencia de una certificación o acreditación de un tercero respecto a su correcta implementación o conformidad con dicho estándar. Los mensajes de cada interfaz (incluyendo sus elementos y componentes) deberán adaptarse al referido estándar técnico, conforme así lo determine el contexto de utilización en cada caso, y según lo que se disponga en las especificaciones que se indiquen en el Anexo N°3 de esta Norma.

Con el fin de minimizar las interrupciones y mantener la funcionalidad de las integraciones que se implementen, la respectiva IPI o IPC, en el desarrollo de sus interfaces, deberá velar, en la medida que sea técnica y operativamente posible, que toda nueva versión de tales interfaces sea compatible con sus versiones previas. Lo anterior, resguardando que cada versión cumpla con las especificaciones que para estos efectos se dispongan en el Anexo N°3.

Las APIs destinadas a la consulta de los datos asociados a los conjuntos de información indicados en los numerales 1 a 3 del artículo 17 de la Ley Fintec, deben estar disponibles para su uso con un tiempo de actividad mínimo del 95% de forma diaria por día calendario y de 99% de forma mensual, considerando una base de cálculo diario de 24 horas, empezando y terminando a medianoche.

Respecto al tiempo de procesamiento de estas API, ellas deberán procesar transacciones en un tiempo máximo de 4.000 milisegundos, considerando el momento en que se realiza la consulta de la API y el tiempo TTLB transcurrido de la respuesta, conforme revelen las marcas de tiempo respectivas. Tratándose de endpoints que provean un número relevante de registros, y que sean debidamente identificados como tales en las especificaciones que da cuenta el Anexo N°3 de esta Norma, la métrica de rendimiento exigida se aplicará por página de respuesta, considerando hasta 100 registros por cada página.

Las condiciones de paginación, incluyendo los atributos de la respuesta paginada, la indicación del total de páginas de la respuesta y el total de registros, y los vínculos de navegación entre cada una, deberán seguir las especificaciones y lineamientos que se desarrollen en el Anexo N°3 de esta Norma.

Por su parte, las APIs destinadas al servicio de iniciación de pagos por parte de una IPC deberán tener una disponibilidad mínima del 95% de forma diaria por día calendario y de 99,5% de forma mensual.

Las APIs de iniciación de pagos deberán procesar transacciones en un tiempo máximo de 800 milisegundos. El tiempo de procesamiento máximo señalado no considerará los tiempos de ejecución y confirmación que las operaciones de pago requieran para su finalización en los sistemas de pago subyacentes a la iniciación de pagos efectuada.

Los parámetros de disponibilidad y rendimiento de las APIs de Iniciación de Pagos deberán considerar las precisiones de cómputo indicadas en el párrafo primero y segundo de este numeral.

Las disponibilidades y rendimientos mínimos deben cumplirse para cada API que tenga la IPI e IPC, y la medición de estas exigencias no deberá considerar el tiempo de la eventual utilización del mecanismo alternativo requerido para mantener disponible el servicio, indistintamente la naturaleza de éste. El tiempo de actividad mínimo tendrá como excepción para su cómputo las mantenciones y actualizaciones programadas, debidamente avisadas a la Comisión, así como las suspensiones temporales que mandate la Comisión en el ejercicio de sus facultades. Las mantenciones programadas deberán cumplir con los requerimientos de tipo de mantención permitida, plazos de información, plazos máximos de extensión, formas de comunicación, entre otros elementos críticos, según lo que se consigna en el Anexo N°3 de la presente normativa. En ningún caso las mantenciones de los servicios podrán tener una frecuencia o programación tal que impidan la provisión regular del servicio provisto por los PSBI o PSIP. Sin perjuicio que las entidades deberán contar con mecanismos y/o sistemas que les permitan monitorear permanentemente el rendimiento y disponibilidad de sus APIs, los reportes a la CMF de los respectivos estándares se deberán enviar mensualmente en base semanal, en los términos que se definan en los formatos de suministro de información periódica que la CMF determine a través de los mecanismos que esta establezca. Las IPI y IPC podrán contratar con terceros servicios de monitoreo y verificación de disponibilidad y rendimiento de sus interfaces, los que se someterán a las normas sobre tercerización de servicios impartidas por la Comisión que les resulten aplicables. En caso alguno la tercerización del monitoreo, en todo o en parte, afectará la responsabilidad que las IPI e IPC tienen frente a la Comisión respecto al reporte completo y oportuno de sus indicadores de disponibilidad y rendimiento. El incumplimiento de los parámetros mínimos indicados en esta sección podrá ser sancionado por la Comisión de conformidad con sus atribuciones legales. Con todo, los términos de rendimiento y disponibilidad aquí indicados resultarán aplicables, sin perjuicio de los límites operativos de transacciones máximas concurrentes por minuto para cada interfaz que se indiquen en el Anexo N°3 de esta Norma. De forma excepcional, durante los dos primeros años de vigencia de la presente Norma, las métricas de disponibilidad mínima mensual que da cuenta el presente numeral se medirán de forma trimestral, considerando una media móvil de 90 días.

B. Mecanismo alternativo

Las IPI e IPC deberán contar con un mecanismo alternativo de entrega de información, que opere en caso de los eventos de indisponibilidad de las interfaces descritas en esta sección, infra.

Para lo anterior, las IPI y las IPC deberán dar cuenta a la Comisión, al momento de solicitar su incorporación en la nómina, los antecedentes que acrediten el desarrollo efectivo del mecanismo alternativo que determina la presente Norma.

El mecanismo alternativo deberá considerar los siguientes requisitos técnicos, los que serán debidamente especificados en el Anexo N°3 de la Norma:

a) Capacidad de mantener el servicio y la entrega de información.

b) Métricas de rendimientos de respuesta a la solicitud o consulta de información.

c) Medidas de seguridad tales que permitan monitorear el tráfico de la información en el mecanismo alternativo, así como la detección activa de intrusos y la vulneración o exceso de permisos.

d) Canales seguros de transmisión de información.

e) Uso de credenciales que identifiquen a los Participantes al momento de descargar la información y que permitan la adecuada trazabilidad respecto a la información accedida, escrita, o recuperada, cada vez que aquellos se conecten.

Las especificaciones del mecanismo alternativo podrán considerar variantes o elementos particulares conforme la naturaleza de la información a intercambiar y los detalles técnicos de la interfaz principal respectiva. Con todo, el mecanismo alternativo y las especificaciones del Anexo N°3 serán uniformes para todos los Participantes, asegurando así la interoperabilidad del Sistema.

La entidad deberá acreditar como parte de su proceso de habilitación o incorporación a la nómina respectiva, la implementación del mecanismo alternativo cuyas especificaciones se indiquen en el Anexo N°3, el que deberá ser sometido a pruebas funcionales en los términos indicados para el proceso de inscripción.

La existencia de este mecanismo alternativo es independiente de los requerimientos de continuidad operacional de la interfaz principal que da cuenta la Sección III.A.3. de esta Norma.

El uso del mecanismo alternativo en caso alguno habilita al Participante a tratar datos distintos de los que se encuentran disponibles en las interfaces del SFA, debiendo para todos los efectos ceñirse a los términos del consentimiento otorgado por el Cliente. Las condiciones de activación y uso del mecanismo alternativo, incluyendo eventos desencadenantes, rol de los Participantes, y la duración de su funcionamiento, deberán cumplir las exigencias y requerimientos que indique el Anexo N°3 de esta Norma. Con todo, para efectos de esta disposición, no aplicará la activación del mecanismo alternativo en los siguientes casos:

• Mantenciones programadas debidamente informadas y justificadas por la IPI o IPC a la CMF, que condicionen operativamente el mecanismo alternativo. Lo anterior según los estándares que se indiquen en el Anexo N°3.

• Suspensiones temporales que mandate la Comisión y que involucren el mecanismo alternativo.

C. Directorio de Participantes

Para la adecuada interacción de los diversos participantes en el contexto del SFA, la CMF implementará un Directorio de Participantes (en adelante “DP”), de consulta obligatoria por parte de las entidades.

El acceso, consulta, y actualización de la información del DP se someterá a las directrices, requisitos operativos, e instrucciones incorporadas en el manual del DP, que estará disponible para ser consultado, en su versión vigente y actualizada, a través de los canales tecnológicos dispuestos por la Comisión. Será obligación y responsabilidad exclusiva de cada participante el cerciorarse que la información sobre sí mismo contenida en el DP resulte correcta y no haya experimentado cambios sustantivos que afecten su vigencia o veracidad. Sin perjuicio de otros elementos que en el futuro se incorporen dentro de la plataforma de DP, cada participante deberá suministrar la siguiente información:

a) Información sobre la entidad y las personas naturales que figurarán como responsable funcional y contacto técnico en el SFA, así como de quien detente la calidad de encargado ante consultas de otros participantes, de acuerdo con lo dispuesto en la Sección II.D.

b) Información sobre el o los certificados digitales que empleará la entidad para su operación en el SFA, considerando vínculos de descarga o repositorio de certificados, e información de la o las claves públicas respectivas.

c) Información sobre los endpoints de cada API implementada por la entidad, conforme con las especificaciones técnicas de denominación de rutas que se establezcan en el Anexo N°3 de esta Norma.

Para la incorporación de un participante en el Directorio, junto con haber cumplido exitosamente los procesos de registro o inscripción en la nómina, según sea el caso, deberá obtener de una CA un certificado digital que cumpla con los atributos y campos que se indiquen en el Anexo N°3 de esta Norma. El referido Anexo N°3 indicará los requisitos que deberán cumplir las CA, así como las prácticas o lineamientos de validación extendida que deberán considerarse en la emisión de los respectivos CD a cada Participante, incluyendo exigencias y consideraciones legales de las cadenas de confianza y certificados raíces a ser utilizados para fines de seguridad, integridad y no repudiación.

D. Calidad de información

Tanto las IPI como las IPC deberán realizar pruebas periódicas y aleatorias de calidad de los datos puestos a disposición de los participantes en el SFA. Las pruebas serán realizadas al menos con periodicidad semestral y sus resultados serán entregados a la Comisión. En caso de detectarse deficiencias significativas, las entidades deberán informar a la CMF de la situación a través de los canales establecidos para informar eventos de continuidad operacional y presentar a la Comisión un plan de acción que les permita resolver estas deficiencias, sin perjuicio de las suspensiones temporales preventivas que la CMF pueda mandatar u otras acciones que la Comisión evalúe, incluyendo -entre otros- la imposición de sanciones conforme con los procedimientos dispuestos al efecto. Las pruebas de calidad que realicen las IPI e IPC deben contener al menos los siguientes elementos:

• Análisis de comparabilidad: La información suministrada mediante interfaces adscritas al sistema debe cumplir con criterios de comparabilidad. Esto implica que la institución debe verificar que la información de sus clientes que comparte en el SFA es coherente con la información vigente en sus otras fuentes de almacenamiento y consulta.

• Análisis de origen de errores: Para aquellos casos en que se encuentren diferencias de información dependiendo de la fuente utilizada, la institución deberá revisar y verificar sus potenciales causas.

Sin perjuicio de lo anterior, en cualquier momento la Comisión podrá efectuar pruebas de calidad de la información, para cuya realización las entidades deberán poner a disposición la información solicitada para estos efectos. Los requerimientos mínimos de las pruebas que deberán realizar las IPI e IPC son los considerados en el Anexo N°3. Lo anterior no obsta a que, para efectos de asegurar la calidad de la información que proveen en el SFA, voluntariamente las IPI e IPC realicen pruebas adicionales a las exigidas normativamente. Sin perjuicio de la exigencia de pruebas de calidad periódicas de que trata la presente letra, las IPI e IPC deberán informar a la Comisión tan pronto tomen conocimiento de su existencia, toda deficiencia significativa en la información que se transmite mediante sus interfaces adscritas al SFA, mediante comunicación conducida a través de los canales dispuestos al efecto en materia de reporte de incidentes operacionales.

E. Mecanismos de comunicación ante contingencias

Las IPI e IPC deberán contar con procesos para manejar y resolver problemas de sus APIs que puedan afectar a otros participantes del SFA. Esto incluye proporcionar mensajes de error claros y concisos, como, asimismo, mecanismos para que los Participantes informen problemas y reciban respuestas y soluciones oportunas.

Las entidades deben designar un funcionario responsable a quien contactar (nombre, cargo, correo electrónico y teléfono institucional), quien será el encargado para todos los efectos de la comunicación entre los Participantes del SFA y la Comisión. En su labor, la persona responsable deberá considerar plazos de respuesta acorde con la criticidad de la consulta o requerimiento. Por su parte, quien envíe una consulta o requerimiento al funcionario responsable, deberá acompañar de inmediato en el correo electrónico información relevante sobre el problema enfrentado, que permita a la contraparte procesar debidamente las consultas. En ningún caso podrá compartirse información de los clientes o datos que permitan su identificación. En caso de ser imprescindible, se podrá proveer información del Cliente, en lo estrictamente requerido, mediante canales seguros de comunicación que permitan garantizar, a través de mecanismos o métodos robustos de protección, la integridad del mensaje y su confidencialidad.

F. Tercerización de servicios Para efectos de proveer los servicios y cumplir con los requisitos de funcionamiento del SFA, se podrá externalizar servicios y contratar con terceros las funcionalidades relacionadas con el SFA, sujeto al cumplimiento de los requisitos sobre externalización de servicios que resulten aplicables, incluidos en la sección III.A.5 de la presente normativa.

Los Participantes del SFA deberán cumplir con los siguientes principios de gestión de riesgo, en aquellas materias propias del funcionamiento del Sistema. Los Participantes que estén sujetos a otras disposiciones normativas referidas a gestión de riesgos y control interno deberán complementar aquellas con las exigencias propias del SFA descritas a continuación.

Responsabilidad del Directorio El Directorio, u órgano equivalente de la entidad, es la instancia responsable de aprobar y autorizar las políticas de gestión de riesgos y control interno, como mínimo una vez al año o con la frecuencia que sea necesaria, dejando evidencia de ello. Para esos efectos, el directorio u órgano equivalente deberá dar cumplimiento a los requisitos de gestión de riesgos que se señalan a continuación: a) Establecer la misión, visión y objetivos estratégicos, considerando las responsabilidades que el marco regulatorio disponga para la entidad.

b) Aprobar políticas de gestión de riesgos que sean coherentes con el plan y modelo de negocios, los objetivos estratégicos y el marco regulatorio e informarse de su cumplimiento.

c) Evaluar periódicamente la suficiencia de recursos de las instancias encargadas de la gestión de riesgos.

d) Establecer una estructura organizacional adecuada para la gestión de riesgos de la entidad.

e) Establecer políticas de contratación de empleados que aseguren que la entidad disponga de personal con la debida experiencia para desempeñar sus funciones, y velar porque se cuente con los recursos calificados para la gestión de riesgos.

f) Evaluar la pertinencia de crear y conformar un Comité de Gestión de Riesgos o una instancia similar que le permita tratar y monitorear aspectos relevantes de los negocios.

La función de gestión de riesgos es la instancia responsable del monitoreo de los controles definidos en las políticas y los procedimientos de gestión de riesgos y control interno de la entidad, así como la coordinación con otras instancias internas que sean parte de las líneas de defensa en la gestión de riesgo. Esta función deberá reportar directamente al directorio u órgano equivalente. Si un Participante ya cuenta con una estructura organizacional para la gestión de los riesgos, la función de gestión de riesgos del SFA puede ser incorporada en dicha estructura, asignando formalmente las responsabilidades que correspondan para dar cabal cumplimiento a la presente normativa.

La función de gestión de riesgos podrá ser realizada por una persona, unidad interna o por la alta administración de la entidad. Cada Participante será siempre responsable de la función de gestión de riesgos, aun cuando algunas tareas específicas asociadas a esta función estén delegadas en terceros. El directorio u órgano equivalente deberá velar por la adecuada segregación de funciones y la independencia de las funciones de gestión de riesgos respecto de las áreas de negocio. Con objeto de implementar lo anteriormente señalado, la función de gestión de riesgos deberá:

a) Proponer las políticas y procedimientos mínimos y verificar su cumplimiento periódicamente.

b) Emitir un informe documentando los incumplimientos detectados a las políticas y procedimientos, sus causas, medidas adoptadas y efectividad de dichas medidas. Dicho informe debe ser dirigido a instancias superiores, esto es, el directorio u órgano equivalente.

c) Proponer cambios en las políticas y en los procedimientos de gestión de riesgos en función de las deficiencias encontradas en sus actividades de control.

d) Elaborar un plan anual que se refiera a la naturaleza, el alcance y oportunidad de las actividades que la función de gestión de riesgos desarrollará, el que deberá ser aprobado por instancias superiores, esto es, el directorio u órgano equivalente.

La función de gestión de riesgos elaborará un plan con estrategias de mitigación de riesgos y la planificación de contingencias en relación con los principales riesgos. El plan deberá contemplar, a lo menos, los riesgos de continuidad operacional, seguridad de la información y ciberseguridad.

El directorio u órgano equivalente, según la persona jurídica de que se trate, deberá aprobar el plan de gestión de riesgos como mínimo con una frecuencia anual. La función de gestión de riesgos controlará el cumplimiento del plan de gestión de riesgos y sus respectivos procedimientos. Este plan considerará la elaboración de estrategias de mitigación de riesgos y la planificación de medidas de contingencias considerará lo siguiente:

a) Identificación de procesos en los que se descomponen las actividades propias del negocio, y los respectivos responsables de dichos procesos.

b) Identificación formal de los riesgos inherentes a los que se expone la entidad en el desarrollo de sus actividades.

c) Medición de los riesgos inherentes identificados en las actividades consideradas.

d) Definición de los mecanismos de control para mitigar los riesgos inherentes identificados. Al respecto, dichos mecanismos de control deberán considerar: i. Descripción de los controles y su objetivo. ii. Identificación de los responsables del control. iii. Calificación de la efectividad de los controles, por una instancia independiente del responsable de éstos.

e) Verificación de la consistencia de los riesgos residuales con la estrategia de mitigación de éstos.

f) Existencia de procedimientos de información y comunicación de la gestión de riesgos al directorio u órgano equivalente y a todas las partes interesadas.

g) Existencia de un programa de mejora continua de la gestión de riesgos.

Con el objeto de desarrollar una adecuada gestión de riesgo operacional, los Participantes del SFA deberán considerar los elementos que se señalan a continuación, adaptados a su modelo de negocios, volumen de operaciones, y número y tipo de clientes:

a) Las políticas y procedimientos de gestión de riesgo operacional deben estar diseñadas para brindar una seguridad razonable que la entidad pueda resguardar la integridad y seguridad de la información de los clientes, incluso ante la presencia de eventos disruptivos, salvaguardando sus servicios, procesos y, en consecuencia, los activos de información.

b) Las políticas y procedimientos deben establecer los niveles de apetito por riesgo definidos por el directorio u órgano equivalente, que determinará la necesidad de evitar, reducir, transferir o aceptar los riesgos y, acorde con ello, diseñar controles mitigantes.

c) Los indicadores claves para medir el riesgo operacional acordes con la metodología de evaluación y monitoreo de riesgos integrales de la entidad.

Externalización de servicios Los servicios prestados por proveedores, relacionados con el cumplimiento normativo, la continuidad del negocio, la seguridad de la información y la calidad de los servicios, productos, información e imagen de la entidad contratante, deberán ser considerados en los procesos de gestión de riesgo operacional de la entidad. En tal sentido, para la evaluación de riesgos de contratación de proveedores, se deberán considerar, entre otros, los siguientes riesgos:

a) Riesgo de sustitución: la posibilidad de sustituir o no a un proveedor dentro de un plazo determinado que garantice la continuidad del servicio contratado.

b) Riesgo de intervención: la posibilidad de que la entidad tenga que hacerse cargo de la función contratada.

c) Riesgo de subcontratación: la posibilidad de que el proveedor subcontrate a su vez todo o parte del servicio, reduciendo la capacidad de la entidad de supervisar la función subcontratada.

d) Riesgo de concentración: la posibilidad que una entidad contrate uno o varios servicios en un mismo proveedor, incrementando la posibilidad de fallas o interrupciones prolongadas.

En el ámbito de seguridad de la información y ciberseguridad, la gestión de riesgo operacional deberá incluir los siguientes elementos, aplicables a todas las entidades participantes del SFA, adaptados a su modelo de negocios, volumen de operaciones, y número y tipo de clientes:

a) Contar con una política y procedimientos de seguridad de la información y ciberseguridad.

b) Contar con una política y procedimientos de tecnologías de información y comunicación (TIC).

c) Definir perfil y número necesario de personas con conocimientos o experiencia comprobables en estándares de seguridad de la información y ciberseguridad.

d) Establecer en los procedimientos los roles y responsabilidades en la administración del riesgo de seguridad de la información y ciberseguridad del personal de la entidad, incluido el Directorio u órgano equivalente.

e) Generar acuerdos contractuales para la revocación de derechos de acceso a información y destrucción de activos de información como parte del proceso de cambio de posición o desvinculación de un empleado.

f) Realizar auditoría (interna o externa) de los procesos de gestión de la seguridad de la información y ciberseguridad, con la profundidad y alcance necesario.

g) Disponer de procedimientos que le permitan al Directorio u órgano equivalente mantenerse informado, en forma oportuna y periódica, sobre el sistema de gestión de la seguridad de la información y ciberseguridad. Deberá dejarse constancia del reporte de la información en estas materias en las respectivas actas del directorio u órgano equivalente y en los Comités que se conformen para revisar estas materias.

La entidad deberá considerar los siguientes procedimientos, adaptados a su modelo de negocios, volumen de operaciones, número y tipo de clientes:

a) Contar con una definición clara de activos de información (tecnológicos y no tecnológicos) que sea suficiente para la adecuada gestión de los riesgos asociados.

b) Clasificar la información, teniendo en consideración las dimensiones de disponibilidad, confidencialidad e integridad.

c) Definir los activos de información críticos, indispensables para el funcionamiento de la entidad, clasificados desde una perspectiva de disponibilidad, confidencialidad e integridad.

d) Implementar un inventario de activos de información que permita conocer las principales características del activo.

e) Actualizar el inventario de activos de información en forma periódica.

f) Establecer controles de acceso a las instalaciones e infraestructuras de negocios, operativas y dependencias técnicas.

g) Establecer controles de acceso a los sistemas, de manera de mitigar los riesgos de suplantación o uso indebido por parte de terceros.

h) Implementar herramientas de registro, control y monitoreo de las actividades de los usuarios y administradores de sistemas y activos de información, incluidos usuarios de alto privilegio, para identificar patrones de uso no habituales que generen sospechas de un uso inadecuado.

i) Elaborar procedimientos para otorgar, revocar o modificar los privilegios otorgados a los usuarios de los sistemas, servicios de red, sistemas operativos, bases de datos y aplicaciones de negocios en función de los roles y responsabilidades del personal, cuidando de entregar los accesos estrictamente necesarios para que éste cumpla sus funciones actuales.

j) Establecer controles que permitan mitigar los riesgos derivados del uso de dispositivos móviles y del acceso remoto realizado por personal interno o externo.

k) Verificar los mecanismos de control y monitoreo de las condiciones ambientales para la localización segura de los equipos y herramientas tecnológicas y de comunicaciones.

l) Elaborar procedimientos de seguridad de las operaciones y comunicaciones de la entidad, mediante la implementación de:

i. Herramientas y controles para la detección y protección proactiva de ataques cibernéticos y otras actividades anómalas.

ii. Un proceso de gestión de la configuración de los sistemas y activos de información.

iii. Herramientas y procedimientos para el respaldo, transferencia, restauración y eliminación segura de la información, incluyendo medios físicos y electrónicos. Para ello se deberá considerar:

a. Las disposiciones relativas al respaldo, transferencia, restauración y eliminación de información, establecidas en las normas que resguardan la protección de datos, incluyendo acuerdos de no divulgación.

b. Los procesos de administración de respaldos que aseguren la disponibilidad, confidencialidad e integridad de la información ante la ocurrencia de un incidente, los que deben ser concordantes con el análisis de los riesgos para la gestión de la continuidad del negocio. Los respaldos de la información se deben mantener en ambientes libres de códigos maliciosos y en instalaciones distintas a los sitios de producción. Además, se deben realizar pruebas de restauración de respaldos periódicos, al menos anuales, para verificar que la información crítica se puede recuperar si los datos originales se pierden o dañen.

iv. Herramientas y procedimientos de identificación, autenticación y control de acceso para los canales digitales a través de los cuales la entidad interactúa con sus clientes.

v. Herramientas y procedimientos para que la información que la entidad almacene o procese mediante servicios en la nube conserve sus características de disponibilidad, confidencialidad e integridad.

La entidad deberá contar con procedimientos para la gestión de incidentes de seguridad de la información y ciberseguridad, considerando:

a) Una instancia de alto nivel, definida por el directorio u órgano equivalente, encargada de la gestión de incidentes de seguridad de la información y ciberseguridad.

b) Procedimientos de respuesta y recuperación ante incidentes, aprobados por el directorio u órgano equivalente, que consideren la recuperación oportuna de las funciones críticas, los procesos de respaldo y soporte, los activos de información críticos y las interdependencias con terceros. Dichos procedimientos deberán considerar las disposiciones relativas al registro, reporte y comunicación de incidentes. Asimismo, dependiendo de la severidad del incidente, corresponderá escalar la situación al directorio o equivalente, según el tipo de persona jurídica de que se trate, para la toma de decisiones. Los procedimientos de respuesta y recuperación ante incidentes deberán actualizarse al menos anualmente, y cada vez que se registran cambios en los activos de información o se produzcan incidentes que amenacen la seguridad de éstos.

c) Procedimientos de comunicaciones para mantener informado en forma oportuna al directorio u órgano equivalente, según el tipo de persona jurídica de que se trate y a esta Comisión, según se indica en el número 2 siguiente, de la ocurrencia de un incidente y las medidas adoptadas para resolverlo. Estos procedimientos deberán considerar las disposiciones relativas al registro, reporte y comunicación de incidentes de la Sección III.B.2 de esta Norma. Además, tratándose de incidentes que afecten la calidad o continuidad de los servicios a los clientes, la institución se encargará de informar oportunamente a los usuarios sobre la ocurrencia del evento, debiendo actualizar la información disponible hasta conocer la causa raíz del incidente y las medidas adoptadas para resolverlo.

d) Procedimientos para el desarrollo, adquisición y actualización de la infraestructura tecnológica de la entidad, que consideren:

i. Las necesidades de infraestructura tecnológica de la entidad.

ii. Implementación de un proceso de gestión de cambio. Antes del paso a producción de un servicio o activo de información, las entidades deben realizar pruebas funcionales, integrales, de seguridad, de ciberseguridad, de continuidad y normativas, para asegurar que no haya impacto adverso en la seguridad de la información y en las operaciones del negocio.

iii. Implementación de un proceso de gestión de obsolescencia tecnológica, que permita mantener el software y hardware con soporte.

iv. Implementación de un proceso de gestión de actualizaciones de seguridad de software.

La entidad deberá contar con un procedimiento para el mejoramiento continuo de las herramientas, procedimientos y controles de seguridad de la información y ciberseguridad que considere:

a) Recolectar y analizar información sobre el funcionamiento de activos de información.

b) Analizar los incidentes de seguridad de la información y ciberseguridad y la efectividad de las medidas adoptadas para resolverlo.

c) Ejecutar pruebas para identificar amenazas y vulnerabilidades en la seguridad de la información:

i. Las pruebas se realizarán con una periodicidad no mayor a un año, y se supervisarán por la instancia responsable de la gestión de riesgos de la entidad.

ii. Las pruebas deberán estar basadas en escenarios de riesgo planificados y diseñados para demostrar que los mecanismos y herramientas implementados para preservar la seguridad de la información cumplen adecuadamente con su objetivo, incluyendo ataques cibernéticos.

iii. Los resultados de las pruebas realizadas deberán ser reportados al directorio u órgano equivalente, incluyendo recomendaciones de mejora en las herramientas, procedimientos y controles.

a) Los actores del SFA deberán comunicar a esta Comisión los incidentes operacionales que afecten la continuidad del negocio, los recursos e información de la entidad o de sus clientes, y la calidad de los servicios relacionados con el SFA. Como ejemplo, y sin ser exhaustivos, deberán reportarse fallas en servicios importantes para las operaciones del negocio; problemas tecnológicos que afecten la seguridad de la información; ataques del ciberespacio; virus o malware detectados en la red; eventos de indisponibilidad o interrupción de algún servicio o producto que afecte a los clientes, en cualquier canal; pérdidas o fugas de información de la entidad o de clientes; e incidentes que afecten el patrimonio de la entidad o de los clientes, producto de fraudes internos o externos.

b) Los participantes del SFA deberán reportar a la Comisión la ocurrencia de todo evento que comprometa la integridad o seguridad de los activos de información o eventos operacionales.

c) Cuando esta Comisión lo considere necesario, podrá requerir a la entidad un informe interno con: análisis de las causas del incidente; generación de documentación e informes de investigación; análisis del impacto en los servicios; procedimiento para evitar que el incidente se repita; y otras materias adicionales que esta Comisión pueda requerir al respecto.

d) El directorio u órgano equivalente deberá designar un funcionario encargado y un suplente para reportar y enviar información de incidentes operacionales a la Comisión y mantenerla informado oportunamente respecto al incidente y las medidas adoptadas para resolverlo.

La comunicación a la CMF de los incidentes operacionales deberá realizarse a través del Reporte de Incidentes Operacionales (RIO) presente en el sitio web de la CMF, en cualquier horario, tanto en días hábiles como no hábiles, en el plazo máximo de 30 minutos transcurridos desde que la entidad tomó conocimiento del hecho. Respecto a instituciones que mantienen actualmente otra normativa con un tiempo distinto de reporte, deberán considerar para efecto de los incidentes relacionados con el SFA el tiempo de información antes mencionado. Cuando corresponda, este informe se deberá complementar con nuevos reportes de seguimiento del incidente con la resolución del problema, las acciones a tomar y las causas del incidente. Para estos efectos, la entidad deberá designar un funcionario encargado, quien realizará los reportes y enviará la información según lo indicado en este numeral, y su designación y/o reemplazo deberá ser comunicado a la CMF. Esta persona, o quien la reemplace, que podrían ser los mismos ya designados en el numeral 2.1, deberán tener un nivel ejecutivo y ser designado por la entidad tanto para este efecto, como para responder eventuales consultas por parte de la Comisión. La información deberá ser reportada de acuerdo con el siguiente esquema:

1) Al momento de inicio del incidente. El reporte deberá incluir, al menos, los siguientes aspectos: a. Número único identificador del incidente (asignado por la CMF). b. Nombre de la entidad informante. c. Nombre y teléfono de la persona informante. d. Descripción del incidente. e. Fecha y hora de inicio del incidente. f. Causas posibles o identificadas. g. Productos o servicios afectados. h. Tipo y nombre de proveedor o tercero involucrado (si corresponde). i. Tipo y número estimado de clientes afectados. j. Dependencias y/o activos afectados (si corresponde). k. Medidas adoptadas y en curso. l. Otros antecedentes.

No contar con toda la información de los campos mencionados no debe ser impedimento para enviar la comunicación en el plazo definido en este numeral. Tal como se señaló previamente, el reporte inicial debe ser complementado por la entidad, en la medida que disponga de la información relevante respecto del incidente.

2) Al momento de cierre del incidente. Una vez superado el incidente, se deberá informar de esta situación a través de la plataforma ya mencionada. Dicho reporte deberá incluir, al menos, los siguientes aspectos: a. Número único identificador del incidente. b. Nombre de la entidad informante. c. Nombre y teléfono de la persona informante. d. Descripción del incidente. e. Causas identificadas. f. Fecha y hora de inicio del incidente. g. Fecha de cierre del incidente. h. Productos o servicios afectados. i. Tipo y nombre de proveedor involucrado (si corresponde). j. Tipo y número de clientes afectados. k. Dependencias y/o activos afectados (si corresponde). l. Medidas adoptadas. m. Otros antecedentes.

En el ámbito de continuidad de negocio los Participantes del SFA deberán tomar en cuenta los siguientes elementos mínimos, adaptados de acuerdo con el modelo de negocios, volumen de operaciones, y número y tipo de clientes:

a) Contar con una política de continuidad de negocio que considere a lo menos lo siguiente: i. Procedimientos de respuesta ante la ocurrencia de eventos internos o externos que pudieran crear una interrupción en la continuidad de las operaciones del negocio. ii. Definición de las principales funciones y responsabilidades sobre la materia, en especial, cuáles serán las instancias encargadas de definir, diseñar, ejecutar y mejorar los procedimientos y metodologías para la gestión de continuidad de negocio.

iii. Las políticas de continuidad de negocio, las que deben ser actualizadas y aprobadas anualmente por el directorio o su equivalente, según el tipo de persona jurídica de que se trate, y cada vez que se produzcan cambios significativos.

b) Contar con personas con conocimientos o experiencia comprobables en estándares de continuidad de negocio y experiencia en la gestión de los riesgos asociados, cuyas actividades principales serán el desarrollo y mejora de las políticas, procedimientos y controles para la gestión de continuidad de negocio.

c) Contar con políticas y procedimientos de capacitación y concientización para garantizar que el personal de la entidad esté debidamente preparado para enfrentar los escenarios de contingencia definidos y que comprendan sus responsabilidades en la gestión de los riesgos del sistema de continuidad de negocio.

d) Establecer procedimientos que permitan informar oportuna y periódicamente al Directorio u órgano equivalente sobre la gestión de continuidad de negocio. Deberá dejarse constancia del reporte de la información en estas materias en las respectivas actas del Directorio u órgano equivalente y en los Comités que se conformen para revisar estas materias.

En cuanto a los procedimientos para abordar eventos que comprometan la disponibilidad en la prestación del servicio, estas instituciones deberán adoptar como mínimo los siguientes procedimientos:

a) Plan de Crisis en el que se determine los procedimientos de escalamiento, comunicaciones, gestión y reporte de eventos de continuidad operacional para mantener informado en forma oportuna al Directorio o equivalente, según el tipo de persona jurídica de que se trate, a todas las partes interesadas y a esta Comisión, respecto de información relevante referida al evento de continuidad, las medidas adoptadas para resolverlo y para coordinar una respuesta adecuada dentro de los puntos objetivos y tiempos objetivos de recuperación previstos en el Análisis de Impacto del Negocio (BIA).

b) Procedimiento para el mejoramiento continuo de las políticas, planes y procedimientos de continuidad del negocio para disminuir los tiempos de respuesta cuando se repita un incidente igual o similar; identificar mejoras en los procesos; facilitar el intercambio de conocimientos; y tener información que permita apoyar la toma de decisiones si se materializan nuevos incidentes.

c) Pruebas anuales del Plan de Continuidad de Negocio y Recuperación de Desastres, con el fin de asegurar que es adecuado y efectivo. Estas pruebas deberán considerar a lo menos lo siguiente:

i. Deberán ser supervisadas por la instancia responsable de la Gestión de Riesgos de la entidad.

ii. Deberán estar basadas en escenarios de riesgo que se asimilen a eventos reales, incluyendo escenarios severos, pero plausibles. Lo anterior, para demostrar que los procedimientos de continuidad de negocio funcionarán en caso de ser necesarios, incluyendo ataques cibernéticos, desastres, y contingencias sanitarias y sociales. Se deberán elaborar y emitir reportes de los resultados de las pruebas realizadas al Directorio u órgano equivalente, que contengan, cuando corresponda, recomendaciones y acciones para implementar mejoras al Plan de Continuidad de Negocio y Recuperación ante Desastres.

Las entidades supervisadas deben contar con políticas, procedimientos y recursos técnicos y humanos para monitorear que las solicitudes de datos presentadas a través de API se realicen en condiciones de seguridad. Para el efecto, las entidades vigiladas deben dar cumplimiento, como mínimo, a las siguientes instrucciones:

a) Monitorear la información de las APIs, debiendo verificar y garantizar que las especificaciones de los campos de las solicitudes de datos de las APIs y sus respuestas se ajusten a las definiciones estipuladas para el intercambio de información entre los participantes del SFA.

b) Contar con resguardos y respaldos adecuados de la información en conformidad a las mejores prácticas y a las leyes y normativas aplicables en esta materia. Las entidades deberán tomar los resguardos necesarios para evitar filtraciones, pérdidas, o exposición de la información y los recursos a los que pueden acceder a través de las APIs.

c) Mantener registro de los eventos propios del SFA (por ejemplo, la solicitud de datos realizada a través de las API), por un plazo mínimo de 5 años, los cuales deben contener la información necesaria para determinar, como mínimo: el participante que realizó la solicitud; el momento en que ésta se realizó; la información que se transmite en la API; y el resultado del proceso. En todo caso, según el nivel de sensibilidad o criticidad de la información, ésta se deberá encriptar. d) Eliminar correctamente la información una vez que venzan los plazos máximos legales para mantener información histórica. Se solicitará sitios de contingencia que permitan dar continuidad al funcionamiento del sistema en caso de fallar los sitios de procesamiento que den soporte a las APIs debido a incidentes operacionales.

Corresponderá utilizar, en lo que corresponda, el estándar Open ID Connect, basado en capas de identificación aditivas sobre el estándar de autorización de acceso a lectura o escritura de datos OAuth en su versión 2.0., en los términos y bajo los flujos operativos que se desarrollen en el Anexo N°3 de esta Norma, para los servicios y APIs que allí se describan.

Se requerirá una Autenticación Reforzada del Cliente -ARC- para la consulta de datos del SFA que consideren el acceso a información de clientes sujeto al otorgamiento de su consentimiento.

Esta autenticación deberá considerar el uso de dos o más elementos categorizados como conocimiento (algo que el usuario sabe), posesión (algo que el usuario posee) e inherencia (algo que el usuario es), los cuales deberán ser independientes entre sí, en el sentido de que el incumplimiento de uno de ellos no compromete la confiabilidad de los demás, y cada uno de ellos deberá estar diseñado, de tal manera, que proteja la confidencialidad de los datos de autenticación.

Las IPI e IPC deberán, una vez autenticado al PSBI y PSIP, requerir la autenticación del Cliente, lo que incluirá la autorización de acceso y confirmación de cargos tratándose de iniciación de pagos. Esta autenticación solo puede hacerse mediante esquemas ARC sobre la base de mecanismos compatibles con los métodos ya disponibles que tengan en funcionamiento las IPI e IPC para el acceso a sus canales electrónicos por parte de sus clientes.

Las IPI e IPC deberán recibir un Certificado Digital por parte del PSBI o PSIP donde se autentique su identidad. Este Certificado Digital deberá ser emitido por una Autoridad Certificadora que cumpla los requisitos y las prácticas de validación extendida de la identidad y naturaleza del Participante requirente que se definan en el Anexo N°3 de la Norma. Adicionalmente, la IPI e IPC deberá comparar y confirmar los permisos/roles indicados por el certificado versus los perfiles autorizados en el Directorio que llevará la Comisión para estos efectos. Esta confirmación con el Directorio de Participantes deberá ser realizada de acuerdo con lo que se establezca en el Anexo N°3 de la presente normativa, en función de la solicitud que acompaña al certificado. Deberá confirmarse la vigencia del servicio de cada PSBI y PSIP en los términos que se detallen en el Anexo N°3 de esta Norma.

Para efectos de lo establecido en el Título III de la Ley N°21.521 se reputará otorgado el consentimiento por parte del titular de los datos, tanto para la IPI e IPC, como para el PSBI y PSIP, cumpliéndose con las siguientes condiciones:

a) La voluntad haya sido manifestada de manera expresa, en los siguientes términos:

i. En el caso de Persona Natural: por el respectivo titular, su representante legal o mandatario con poder específico para autorizar la transmisión y tratamiento de los datos o para autorizar la iniciación de pagos, según corresponda.

ii. En el caso de Persona Jurídica: por él o los representantes legales o apoderados, autorizados ya sea para actuar conjunta o separadamente, en el caso de iniciación de pagos, o cualesquiera de los representantes legales o mandatarios con poder específico para autorizar la transmisión y tratamiento de los datos correspondientes.

b) El PSBI y PSIP haya implementado el mecanismo de gestión del consentimiento en los términos y condiciones establecidas en la sección III.E.2 de esta normativa.

c) La voluntad sea almacenada en un soporte duradero, que sea apto para resguardar su seguridad, integridad y acceso, respecto de la identidad del titular de los datos, así como de las circunstancias y condiciones en que fue solicitado y otorgado, de manera que pueda verificarse posteriormente que dicho consentimiento fue manifestado de manera libre, informada, expresa y específica en cuanto al tipo de información requerida, la finalidad y el periodo máximo de validez de esa autorización.

d) La persona o sistema informático que interactúe con el titular de los datos o cliente no ejercerá ninguna influencia indebida sobre éste para inducirlo a manifestar su voluntad. Por ejemplo, el uso de interfaces que induzcan a los usuarios a tomar decisiones no intencionadas, involuntarias o potencialmente lesivas con respecto a sus datos personales; exigir que el consentimiento sea otorgado para la aplicación de un descuento u obtención de regalías; condicionarlo para la prestación del servicio a menos que sea inviable su prestación sin dicho consentimiento; o que las opciones empleadas para que éste se otorgue estén marcadas por defecto, estén con colores, tamaños o estilos de fuentes que las destaquen por sobre aquellas opciones que se refieran a no otorgar el consentimiento o respecto de aquellas establecidas para períodos más cortos.

e) Al momento de solicitar el consentimiento para la transmisión, tratamiento o cesión de datos, o iniciación de pagos, se deberá poner en conocimiento del titular o cliente de manera precisa y clara los datos sobre los cuales consiente el intercambio, tratamiento, cesión a terceros o iniciación en el marco del SFA; a qué institución confiere la autorización para ello, o iniciar y cursar el o los pagos; por qué período o frecuencia; y para qué finalidad. Dicha solicitud no podrá contener otra información o requerir el consentimiento del titular o cliente para actos o fines distintos.

f) Que los datos sobre los que versa el consentimiento y vigencia de éste sean los estrictamente necesarios para la finalidad respectiva, circunstancia que el PSBI o PSIP deberá acreditar cuando ello sea requerido por la Comisión en el marco de sus procesos de fiscalización, no correspondiendo a la IPI o IPC pronunciarse a ese respecto ni alterar el requerimiento original formulado por la PSBI o PSIP en el marco del SFA.

g) Que la información que se pone en conocimiento del titular o cliente para obtener el consentimiento esté expresada en un lenguaje sencillo, claro, preciso y evitando tecnicismos, salvo en los casos en que resulte estrictamente necesario, debiendo explicarlos claramente. Además, deberá disponer de mecanismos que permitan a personas en situación de discapacidad acceder a esta información.

h) Una vez que el titular o cliente haya otorgado el consentimiento se le deberá informar que, tanto el PSBI o PSIP como la IPI o IPC, pondrán a su disposición un panel de control y la forma en que podrá acceder al mismo, mediante el cual podrá conocer, verificar y revocar los consentimientos que haya otorgado.

i) Que el titular de los datos o cliente se haya autenticado conforme a los estándares que para ello se establecen en la sección III.C de esta normativa.

Queda prohibido a la IPI o a la IPC alterar el contenido de la solicitud de consentimiento formulada por la PSBI o PSIP en el marco del SFA, pedir un consentimiento adicional para el mismo intercambio, tratamiento o iniciación, adoptar medidas o prácticas que desincentiven el otorgamiento del consentimiento por los titulares o clientes, o que deterioren la experiencia usuaria de esos titulares o clientes. Al momento de adoptar o implementar nuevas tecnologías, las IPI o IPC deberán propender al uso de aquellas que mejoren la experiencia usuaria y minimicen el número de direccionamientos del usuario en el marco del SFA.

Una vez otorgado el consentimiento, éste deberá ser comunicado y almacenado simultáneamente tanto por la PSBI o PSIP como por la IPI o IPC respectiva.

Las PSBI, PSIP, IPI e IPC deberán poner a disposición de los titulares de datos y clientes un panel de control a través del cual puedan conocer, verificar y revocar los consentimientos que hayan otorgado.

Este panel de control deberá cumplir las siguientes condiciones y requisitos, independiente de si es puesto a disposición de los titulares o clientes directamente por la institución o por terceros por cuenta de ésta:

a) Deben ser de acceso gratuito y remoto para el titular o cliente.

b) Deben contar con una interfaz fácil de utilizar, esto es, que permita al titular o cliente conocer y revocar los consentimientos de manera simple e intuitiva. Además, deberán considerar los mecanismos dispuestos en el numeral 1.g), anterior.

c) Deben contar con mecanismos de autenticación equivalentes a los exigidos en la Sección III.C de esta normativa.

d) La interfaz debe permitir obtener el detalle de cada consentimiento otorgado, de manera que ese titular o cliente pueda informarse respecto a:

i. La institución a la que otorgó el consentimiento para intercambiar, tratar, ceder o adquirir sus datos, o iniciar y efectuar el pago. Para lo cual deberá indicarse el nombre comercial o de fantasía, así como razón social.

ii. La finalidad específica para la cual se otorgó dicho consentimiento.

iii. El tipo de información cuyo intercambio, tratamiento o cesión fue consentido.

iv. Fecha en la que se otorgó el consentimiento, incluida la hora en que se registró el mismo, permitiendo así identificar adecuadamente la existencia de múltiples consentimientos otorgados durante un mismo día.

v. Plazo, frecuencia o período para el que el consentimiento fue otorgado.

vi. Estado actual del consentimiento respectivo, es decir, si está vigente, suspendido, caducado o revocado.

vii. La identificación del o los representantes legales o mandatarios que otorgaron o revocaron el consentimiento por esa persona, en caso de que corresponda.

e) Contar con un sistema o mecanismo de registro que permita preservar, de manera íntegra y por al menos 5 años, los accesos e interacciones efectuadas por los titulares, que esté a disposición de la Comisión para sus procesos de fiscalización.

f) Permitir la visualización de todos los consentimientos que han sido otorgados, revocados o caducados durante los últimos 5 años.

g) Contar con un sistema destinado a prevenir y evitar que se continue efectuando iniciaciones de pago, intercambio o tratamiento de datos una vez revocado el consentimiento. Para lo anterior, dicho sistema deberá contar con un mecanismo de comunicación en tiempo real con los demás implementados por las PSBI, PSIP, IPI e IPC para mantener actualizados los estados de los consentimientos, de manera que el cliente pueda gestionar sus consentimientos indistintamente en la PSBI o IPI, PSIP o IPC respectiva.

En caso de que el titular de los datos o cliente no acceda al panel de control habilitado por la PSBI o PSIP por un periodo de más de un año calendario y existan consentimientos vigentes, se deberá enviar una comunicación al lugar o medio que el titular o cliente haya establecido para ese efecto en la que se le recuerde que existe dicho panel de control a través del cual puede gestionar el o los consentimientos otorgados, así como revisar los consentimientos caducados y revocados. Dicha comunicación se deberá remitir dentro de los cinco primeros días hábiles inmediatamente posteriores al cumplimiento de ese año de inactividad.

La interoperabilidad queda constituida con los siguientes principios:

a) Para el funcionamiento del SFA deberán cumplirse los estándares técnicos especificados por esta Comisión.

b) Las IPI o IPC no pueden dar un trato discriminatorio a los terceros receptores de datos. Esto quiere decir, por ejemplo, que no deben dar prioridad a determinadas instituciones por sobre otras al momento de dar acceso a la extracción de información, en tiempos de desarrollo, acceso a las APIs, servicios de respuestas a consultas, límites máximos de respuestas ante solicitudes igualitarias, entre otros.

c) Toda IPI o IPC, una vez que certifique la identidad de las entidades que proveen servicios ya sea basados en información o de iniciación de pagos, deberá brindar los servicios respectivos autorizados al usuario de información según sus perfiles, sin necesidad de acuerdo entre las partes.

d) Se deben publicar las condiciones de servicio para que todas las partes puedan acceder a ellas.

e) Cualquier criterio técnico adicional que sea indispensable, y que no esté contenido en los estándares, deberá velar por no imposibilitar el acceso a una PSBI o PSIP.

Condiciones generales Los costos incrementales directos que cada IPI solicite reembolsar, deberán fijarse sobre la base de condiciones públicas, objetivas, equitativas y no discriminatorias, debiendo aplicar para la determinación de estos los parámetros objetivos que fije la Comisión. Para efectos del cobro, las IPI deberán poner a disposición en sus sitios web, en una sección especialmente diseñada al efecto, un documento electrónico que contenga y describa las referidas condiciones en su versión vigente. De la misma forma, las IPI no podrán efectuar cobros o realizar cargos a los PSBI, salvo el reembolso de los costos incrementales directos para atender el volumen de consultas a sus interfaces, una vez superado los umbrales de volumen de solicitudes definido por la CMF (en adelante los “Umbrales”), de conformidad en el artículo 25 de la Ley Fintec. De igual manera, debe tenerse presente que según dispone el inciso sexto del artículo 20 de la Ley Fintec, la ejecución de órdenes de pago “no podrá dar lugar a cobro de comisiones o cobros adicionales por parte de la [IPC] al Cliente titular de ella, respecto a lo que ya hubiera convenido para el uso de la respectiva cuenta o medio de pago o la realización de transferencias con cargo a ésta. Tampoco se podrán efectuar cobros por parte de la [IPC] al [PSIP]”.

Determinación de Umbrales En aplicación de lo dispuesto en el artículo 20 de la Ley Fintec, los servicios de iniciación de pagos quedan excluidos de la determinación de costos reembolsables. Para el caso de información de: Términos y condiciones; Canales de atención; Enrolamiento; Posiciones financieras históricas; Historial de uso y transacciones; e Información sobre productos vigentes; se considerará un Umbral de llamadas o consultas según conjunto de información a nivel mensual, por cliente (según resulte aplicable) y por PSBI. Todo lo anterior, conforme se describe de forma resumida en la siguiente tabla:

Tabla N°2: Umbrales de llamadas del SFA

CONJUNTO DE INFORMACIÓN

REGLA

Términos y condiciones Canales de atención Enrolamiento Posiciones financieras históricas Historia de uso y transacciones Productos vigentes

120 llamadas mensuales por PSBI. 120 llamadas mensuales por PSBI. 4 llamadas mensuales por cliente y PSBI. 150 llamadas mensuales por cliente y PSBI. 150 llamadas mensuales por cliente y PSBI. 150 llamadas mensuales por cliente y PSBI.

Los umbrales señalados rigen para el conjunto de información, independiente que este conjunto pueda contemplar más de una API para su consulta.

No se computarán para la superación del umbral aquellas llamadas realizadas en el marco de pruebas funcionales que trata esta Norma. De misma forma, no serán consideradas para el cómputo las llamadas que no obtengan respuestas exitosas por responsabilidad de la IPI respectiva.

Sobre los parámetros a considerar en la determinación de costos reembolsables

Se considerarán aquellos costos incrementales que efectivamente debe incurrir el IPI para atender estas consultas, ya sean efectuados directamente por la institución o por la contratación de proveedores. Con todo, conforme dispone el inciso cuarto del artículo 25 de la Ley Fintec, “[n]o procederá el reembolso de costos por parte de las instituciones participantes respecto del desarrollo de la interfaz o mecanismo de intercambio de información definido para la implementación del SFA, conforme al artículo 21 [de la Ley Fintec]”.

El detalle de los costos incrementales que se podrán considerar serán los disponibles en el Anexo N°4, “Especificaciones técnicas para Distribución de Costos”, de esta normativa.

Información mínima a participantes

Los cobros aplicarán una vez que se encuentren publicadas las condiciones de éstos. Cualquier modificación en los términos tarifarios deberá ser informada a los Participantes con al menos 30 días de anticipación a su entrada en vigencia.

Mensualmente, cada IPI deberá informar a los PSBI el consumo efectivo de sus interfaces y la cantidad de llamadas que han superado el umbral de cobro.

Revisión de umbrales La CMF podrá revisar y modificar los umbrales que se encuentren vigentes. Para esto podrá considerar la información del funcionamiento del SFA, la cual podrá ser requerida directamente a los Participantes. Sobre el incumplimiento del pago de los costos reembolsables En caso de incumplimiento de pago de los costos reembolsables antes mencionados por parte de un Proveedor de Servicios basados en Información, la Institución Proveedora de Información deberá continuar atendiendo las consultas de información que no superen los umbrales antes referidos, salvo que existan saldos de pago vencidos por un plazo superior a sesenta días corridos.

La información para compartir en el SFA es la que se incluye en las siguientes categorías, con las características que a continuación se señala en materia de entrega, actualización, alcance histórico de los datos, sujetos obligados a proveer la información en el sistema, y quienes pueden acceder a la misma.

Un detalle de las taxonomías de variables y datos a ser suministrados y compartidos se incluye en el Anexo N°1. En el Anexo N°2 se encuentra la codificación que permite distinguir los distintos productos a informar en el sistema.

Tabla N°3: Tipos de datos a compartir en el SFA

CATEGORÍA

CONJUNTO DE DETALLE DE LA INFORMACIÓN INFORMACIÓN

Términos, condiciones y canales de atención

Términos y condiciones

Canales de atención

• Descripción general: Listado de productos que ofrece la compañía y sus condiciones.

• Actualización de la información: Semanal.

• Tiempo para disponer la información en el SFA una vez cumplido el plazo de actualización: Hasta 5 minutos.

• Historia del dato: No aplica. • Proveen la información: IPI. • Acceden a la información: PSBI. • Descripción general: Listado de los locales de atención, sitios web y ATM con sus respectivas ubicaciones. • Actualización de la información: Semanal. • Tiempo para disponer la información en el SFA una vez cumplido el plazo de actualización: Hasta 5 minutos. • Historia del dato: No aplica. • Proveen la información: IPI. • Acceden a la información: PSBI.

Identificación y Enrolamiento registro

• Descripción general: Listado de datos e información que provee el cliente al momento de un enrolamiento.

• Actualización de la información: Diaria.

• Tiempo para disponer la información en el SFA una vez cumplido el plazo de actualización: Hasta 5 minutos.

• Proveen la información: IPI. • Acceden a la información: PSBI. • Alcance del tipo de cliente del cual se comparten datos: Personas jurídicas y naturales.

Condiciones Comerciales Contratadas y el Uso o Historia de Transacciones

Posiciones financieras históricas

Historia de uso y transacciones

• Descripción general: Set de productos que tiene el cliente y sus características en el tiempo, tanto para activos y pasivos financieros.

• Actualización de la información: Mensual.

• Tiempo para disponer la información en el SFA una vez cumplido el plazo de actualización: Hasta 5 minutos.

• Unidad de tiempo de la información: Mensual (saldo a fin de mes).

• Periodo histórico de la información: 12 meses.

• Proveen la información: IPI según aplicabilidad indicada en el Anexo N°1.

• Acceden a la información: PSBI. • Alcance del tipo de cliente del cual se comparten datos: Personas jurídicas y naturales. • Descripción general: Información que da cuenta del uso de los instrumentos financieros y del acceso a éstos. • Actualización de la información: Diaria.

Iniciación de pagos

Productos vigentes

Iniciación de pagos

• Tiempo para disponer la información en el SFA una vez cumplido el plazo de actualización: Hasta 5 minutos.

• Unidad de tiempo de la información: No aplica. Se reporta en función a la fecha del uso o contratación.

• Periodo histórico de la información: 12 meses.

• Proveen la información: IPI según aplicabilidad indicada en el Anexo N°1.

• Acceden a la información: PSBI y PSIP.

• Alcance del tipo de cliente del cual se comparten datos: Personas jurídicas y naturales.

• Descripción general: Información en línea del cliente vigente a la fecha de consulta.

• Tiempo para disponer la información en el SFA: Hasta 5 minutos.

• Unidad de tiempo de la información: No aplica.

• Profundidad histórica de la información: No aplica.

• Proveen la información: IPI según aplicabilidad indicada del Anexo N°1.

• Acceden a la información: PSBI. • Alcance del tipo de cliente del cual se comparten datos: Personas jurídicas y naturales.

• Descripción general: Información mínima necesaria para la realización de ejecución de iniciaciones de pagos.

• Actualización de la información: Tiempo real.

• Unidad de tiempo de la información: No aplica.

• Profundidad histórica de la información: No aplica.

• Participantes en el intercambio de información: IPC y PSIP.

• Alcance del tipo de cliente del cual se realizan pagos: Personas jurídicas y naturales.

Los datos del SFA deberán cumplir con las siguientes condiciones: a) Estar disponibles al momento de la solicitud del cliente. b) Estar siempre vigentes y validados respecto a la situación del cliente según las condiciones determinadas en la presente normativa. En particular, deberán reflejar cualquier cambio en las condiciones, ajustes, rectificaciones que se hayan realizado o informado al IPI e IPC. c) Estar disponibles en las mismas condiciones antes señaladas, tanto para el mecanismo principal como para el alternativo.

Para el caso de información de saldos en línea, deben informarse todos los productos vigentes, independientemente si presentan saldo cero al momento de la consulta. Adicionalmente, para este mismo conjunto de información, en el caso de que los saldos se calculen considerando actualizaciones diarias o con una periodicidad mayor, debe reflejarse la fecha de la última información disponible.

B. Plazos para la disponibilidad de los conjuntos de datos

Las fechas en que los conjuntos de información identificados en la Tabla N°3 deben estar vigentes en el sistema, son aquellas señaladas en la Sección V.C. de esta Norma.

C. Variables para compartir en el SFA

El detalle completo de las variables a compartir en el SFA se encuentra en el Anexo N°1.

D. Protección de datos

Los Participantes del SFA deberán, en todo momento, resguardar la integridad, disponibilidad, seguridad y confidencialidad de los datos involucrados en cada transacción y la adecuada protección de la información de los clientes, en consideración a las disposiciones de la presente Norma y de la Ley N°19.628 de protección de datos personales, en lo que resulte aplicable.

La protección de datos de los Clientes en el sistema deberá considerar los siguientes elementos, adicionales a los ya considerados en el resto de la normativa:

a) Los datos de los Clientes disponibles en el SFA solo podrán cederse o transmitirse a terceros de conformidad con una o más bases de licitud que resulten aplicables.

b) Entre las entidades solo se entregará la información a través de las interfaces del SFA a aquellos que tengan inscripción vigente en el Directorio de Participantes, que tengan los roles asociados a la solicitud de información y que cumplan con todas las condiciones establecidas para acceder a la información solicitada.

c) Las IPI deben abstenerse de comunicar a través del SFA datos que excedan la antigüedad máxima indicada en la presente normativa.

d) Los Participantes deberán adoptar procedimientos adecuados para canalizar y gestionar el ejercicio de los derechos de los titulares de datos respecto de datos incorporados a las interfaces del SFA.

e) Los datos autorizados a compartir por el Cliente solo pueden ser utilizados por el PSBI y/o por el PSIP para los propósitos específicos señalados al momento de otorgar su consentimiento, sin perjuicio de la concurrencia de otra base de licitud de tratamiento.

f) El funcionamiento y operatoria del SFA resultará independiente del ejercicio por parte de los titulares de datos de los derechos que les confiera la normativa de protección de datos aplicable, los que se ceñirán a las condiciones, alcances y requisitos que en aquella se definan.

La Comisión, en conformidad con el buen funcionamiento del Sistema, y lo dispuesto en el inciso penúltimo del artículo 27 de la Ley Fintec, podrá suspender temporalmente, de forma parcial o total, la participación de las entidades o sus interfaces cuando se verifiquen alguna de las siguientes circunstancias:

a) Entidades que muestren deficiencias en la calidad de la información que suministren a través de sus interfaces.

b) Entidades que sufren algún tipo de incidente de ciberseguridad que afecte o comprometa los activos de información asociados al SFA o involucre una vulneración de los datos personales de los clientes financieros.

c) Entidades que hayan sufrido algún incidente operacional que les impida la transferencia y/o intercambio de datos en forma segura o que afecte el correcto funcionamiento del Sistema.

d) Entidades que presenten deficiencias en su gestión de riesgos operacionales o de ciberseguridad.

e) Entidades que presenten otros inconvenientes o evidencien problemas que puedan generar un efecto negativo sobre el Sistema.

En línea con lo anterior, los Participantes del SFA, bajo ninguna circunstancia, deben afectar los activos de información asociados al SFA, entre ellos, los datos personales de los clientes financieros. Por lo anterior, en caso de que un Participante del SFA estime que existe un riesgo relevante de afectación de tales activos que requiera acciones urgentes, deberá tomar medidas preventivas inmediatas, tales como la desconexión de sus sistemas del SFA o la denegación de solicitudes en sus interfaces y sistemas. Junto con lo anterior, deberá enviar de inmediato un reporte a la CMF informando las medidas adoptadas con los fundamentos explicativos pertinentes, así como adoptar a la brevedad las acciones correctivas para solucionar la situación que la motivó.

Una vez solucionada la situación que motivó las medidas, el Participante del SFA deberá de inmediato dejar sin efecto las medidas adoptadas e informar a la CMF esta situación.

Respecto a las medidas preventivas adoptadas y sus acciones correctivas, el Participante deberá mantener a disposición de la Comisión todos los antecedentes que fundamenten tales decisiones, a fin de que la Comisión pueda evaluar su pertinencia, oportunidad e idoneidad y, si corresponde, ejercer las acciones necesarias según sus facultades legales.

De conformidad con el artículo 27 de la Ley Fintec, los Participantes del SFA que incurrieren en infracciones a las disposiciones de dicha ley o incumplieren las instrucciones de la presente normativa, serán sancionados conforme a las reglas establecidas en el Título III del DL N°3.538, de 1980, sin perjuicio de sanciones contenidas en otros cuerpos legales. La Comisión, conforme a sus facultades, podrá sancionar con una suspensión definitiva o cancelación de registro, sin perjuicio de determinar la suspensión temporal mientras se recaban antecedentes, como parte de un proceso sancionatorio.

El SFA tendrá un periodo de implementación en dos etapas. La primera de ella, que durará 24 meses, considera la preparación tecnológica y desarrollo de las tareas propias que corresponden a los participantes y a la Comisión. Este periodo de 24 meses comienza con la publicación de la presente normativa. Una vez terminado dicho periodo, la presente norma entrará en vigencia. Los hitos de la implementación gradual, una vez vigente esta normativa, consideran los siguientes plazos de cumplimiento de disponibilidad de las APIs de información dentro del marco establecido por la Ley Fintec:

• Los bancos, los emisores de tarjetas de crédito y los emisores de tarjetas de pago con provisión de fondos, deberán cumplir con los siguientes plazos:

a) 6 meses para implementación de APIs sobre Términos y Condiciones Generales y de Canales de Atención.

b) 15 meses para implementación de APIs sobre Enrolamiento, Posiciones Financieras Históricas, Historial de usos y transacciones, y Productos vigentes; todo lo anterior referido a clientes personas naturales, exceptuando la información sobre líneas de crédito asociadas a cuentas corriente, cuentas vista y tarjetas de crédito, que deberán estar disponibles a los 18 meses de entrada en vigencia de esta norma.

c) 18 meses para implementación de APIs sobre Enrolamiento, Posiciones Financieras Históricas, Historial de usos y transacciones, y Productos vigentes; todo lo anterior referido a clientes personas jurídicas.

d) 18 meses para implementación de APIs sobre Iniciación de Pagos.

• Para las entidades indicadas en el inciso segundo, letras (a) a la (h) del artículo 18 de la Ley Fintec, los plazos correspondientes para que deban tener disponibles sus APIs serán:

a) 24 meses para implementación de APIs sobre Términos y Condiciones Generales y Canales de Atención.

b) 36 meses para implementación de APIs sobre Enrolamiento, Posiciones Financieras Históricas, Historial de usos y transacciones, y Productos vigentes, de todo tipo de clientes.

La Comisión considerará que se ha cumplido con los plazos cuando, a las fechas estipuladas, las IPI e IPC:

a) Hayan desarrollado las APIs de acuerdo al calendario de implementación antes indicado, y el respectivo mecanismo alternativo indicado en la Norma.

b) Hayan proporcionado la documentación pertinente al Directorio de Participantes.

c) Hayan realizado las respectivas pruebas funcionales.

d) Tengan la información efectiva de las clientes asociadas a cada API (no solo información de pruebas) ya disponible en el Sistema.

En el caso de entidades indicadas en el inciso segundo, letras (a) a la (h) del artículo 18 de la Ley Fintec, que emitan directamente tarjetas de pago o aperturen cuentas vistas, aplicará el plazo de 18 meses para iniciación de pagos.

El detalle y el formato de la información requerida en esta normativa que debe ser enviada a la Comisión para efectos de supervisión, será especificado en una o más normas que se dictarán en forma posterior a la publicación de esta NCG.

Las disposiciones incorporadas en esta Norma entrarán en vigencia 24 meses contados desde su dictación.

VARIABLES DETALLE

Tipo de producto financiero Categoría comercial Temporalidad de los costos de mantención Costos de mantención

Base costos de mantención Comisiones

Base comisiones Moneda

Términos de duración Beneficios asociados Criterios de elegibilidad

Tipo de cliente

Estándares mínimos de apertura

Indique el código respectivo de la tabla de productos del SFA

Indique si aplica alguna categoría comercial asociada al producto. Tipo texto Indique si es mensual, trimestral, semestral o anual. Si el producto no tiene costos de mantención, indique "NA"

Monto de la mantención, expresado en pesos si es nominal. Si es en términos de porcentaje sobre alguna base, indique porcentaje. Si el producto no tiene costos de mantención indique "NA" Si el costo de mantención es un porcentaje, indique aquí la base sobre la cual se aplica ese porcentaje Monto de comisiones por uso, retiros, entre otros. Expresado en pesos si es nominal. Si es en términos de porcentaje sobre alguna base, indique porcentaje. Si el producto no tiene comisiones indique "NA" Si las comisiones son en porcentaje, indique aquí la base sobre la cual se aplica ese porcentaje Moneda en que está expresado el producto según tabla 1 del Manual Sistema de Información (MSI). Por ejemplo, si es una cuenta corriente en dólares la que está informando, entonces deberá informar “dólar” según los códigos de la tabla 1 del MSI Plazo de vigencia del producto expresado en días. Si no aplica (el producto no requiere renovación o no vence) indique "NA" Beneficios asociados a la obtención del producto. Tipo texto

Estándares mínimos para la obtención del producto: edad del cliente, ingresos mínimos, etc. Indique al menos para todas las variables mínimas para la obtención del producto. Tipo texto Indique si el producto puede ser aperturado por persona natural, persona jurídica o ambos Estándares mínimos para la apertura del producto (por ejemplo: monto mínimo a depositar al abrir la cuenta, monto mínimo de inversión, etc.). Tipo texto

IPI QUE DEBE PROVEER LA INFORMACIÓN: Todos

TIPO DE INFORMACIÓN

Canales de atención

SUBCATEGORÍA DE INFORMACIÓN Presenciales

VARIABLES Tipo

Dirección Ciudad Comuna Región Tipo de horario Hora de apertura

Hora de cierre

Horario de atención Servicios disponibles

Páginas web y app

Tipo Sitio web Horario de atención Servicios disponibles

Telefónico

Servicios disponibles

Teléfono

Horario de atención

Mensajes de texto Servicios disponibles

DETALLE

Identifica el tipo de canal de atención presencial (ejemplo: Casa Matriz, Sucursal, Caja Auxiliar, Corresponsalía bancaria, Oficina de apoyo, Sucursal en el exterior, Oficina de representación en el exterior, Agente Colocador, entre otros) Calle y número Nombre ciudad Nombre comuna Nombre región Indicar si horario de atención es continuo o discontinuo Hora de apertura de la oficina. Generar hora de apertura por cada bloque de horario continuo Hora de cierre de la oficina. Generar hora de cierre por cada bloque de horario continuo Horario de apertura y cierre agregado diario Indique los servicios a los cuales los clientes pueden acceder en el canal de atención indicado (ejemplo: Apertura de productos, cierre de productos, asesoría a clientes, etc.) Sitio web o app Enlace del Sitio web Horario dentro del cual se pueden realizar los servicios Indique los servicios a los cuales los clientes pueden acceder en el canal de atención indicado (ejemplo: Apertura de productos, cierre de productos, asesoría a clientes, etc.) Indique los servicios a los cuales los clientes pueden acceder en el canal de atención indicado (ejemplo: Apertura de productos, cierre de productos, asesoría a clientes, etc.) Indique el teléfono asociado a cada servicio mencionado previamente Indique el horario en el cual el servicio antes mencionado es factible de acceder mediante el canal telefónico Indique los servicios a los cuales los clientes pueden acceder en el canal de atención indicado (ejemplo: Apertura de productos, cierre de productos, asesoría a clientes, etc.)

IPI QUE DEBE PROVEER LA INFORMACIÓN: Todos

ATM

Número

Correo electrónico

Horario de atención Servicios disponibles

Redes sociales

Casilla

Horario de atención Servicios disponibles

Red social

Horario de atención Dirección Ciudad Comuna Región Tipo de horario Hora de apertura

Hora de cierre

Horario de atención Tipo de servicio

Indique el número asociado a cada servicio mencionado previamente Horario dentro del cual se pueden realizar los servicios Indique los servicios a los cuales los clientes pueden acceder en el canal de atención indicado (ejemplo: Apertura de productos, cierre de productos, asesoría a clientes, etc.) Indique el correo electrónico asociado Horario dentro del cual se pueden realizar los servicios Indique los servicios a los cuales los clientes pueden acceder en el canal de atención indicado (ejemplo: Apertura de productos, cierre de productos, asesoría a clientes, etc.) Indique la red social asociada y la cuenta Horario dentro del cual se pueden realizar los servicios Calle y número Nombre ciudad Nombre comuna Nombre región Indicar si es horario continuo o discontinuo Hora de apertura de la oficina. Generar hora de apertura por cada bloque de horario continuo Hora de cierre de la oficina. Generar hora de cierre por cada bloque de horario continuo Horario de apertura y cierre agregado diario Indicar si en el ATM se pueden realizar giros, depósitos, entre otros

Bancos

VARIABLES

DETALLE

Nombre del cliente Razón social RUT Objeto social o actividad económica Fecha de inicio de relación como cliente

Dirección

Sitio web

Correo electrónico

Teléfono

Representante legal

RUT representante legal

Nombres y apellidos del cliente Razón social en caso de ser persona jurídica RUT con este formato: 11.111.111-1 Expresión de actividad. En caso de no estar disponible indique "ND" Dia, mes y año del inicio de la relación. Si el cliente tiene múltiples productos vigentes, considere la fecha más antigua desde cuando tiene una relación con él Calle, número, comuna y región del cliente. En caso de no estar disponible indique "ND" Sitio web en caso de aplicar. En caso de no estar disponible, indique "ND" Correo electrónico. En caso de no estar disponible, indique "ND" Teléfono o celular. En caso de no estar disponible, indique "ND" Representante legal en caso de existir (nombre y apellidos). En caso de no aplicar, indique "NA" RUT con este formato: 11.111.111-1. En caso de no aplicar, indique "NA"

IPI QUE DEBE PROVEER LA INFORMACIÓN: Todos

PRODUCTO FINANCIERO (1)

a) Cuentas corrientes y sus líneas de crédito asociadas, cuentas a la vista, cuentas de provisión de fondos y cuentas de ahorro

DETALLE PRODUCTO FINANCIERO

b) Tarjetas de crédito, con sus respectivas líneas de crédito asociadas

c) Operaciones de crédito de dinero

VARIABLES

Rut cliente ID interno del producto

Fecha (últimos 12 meses) Tipo de producto financiero Categoría comercial

Saldo a fin de mes Moneda

Línea de crédito o de sobregiro total a fin de mes Línea de crédito o de sobregiro utilizada a fin de mes Línea de crédito o de sobregiro disponible a fin de mes Rut cliente ID interno del producto

Fecha (últimos 12 meses) Tipo de productos financiero Categoría comercial

Tipo de deuda

Saldo a fin de mes Moneda Línea total aprobada Línea no utilizada Rut cliente ID interno del producto

DETALLE

RUT con este formato: 11.111.111-1 ID del producto. Único que permite la trazabilidad de este Fecha informada

Indique el código respectivo de la tabla de productos del SFA Indique si aplica alguna categoría comercial asociada al producto. Tipo texto (Ej. Tarjeta “Premium” para Empresas.) Saldo a fin de mes Moneda en la cual está la acreencia según tabla 1 del MSI Monto total de la línea total

Monto total de la línea utilizada

Monto total de la línea disponible

RUT con este formato: 11.111.111-1 ID del producto. Único que permite la trazabilidad de este. Fecha informada

Indique el código respectivo de la tabla de productos del SFA Indique si aplica alguna categoría comercial asociada al producto. Tipo texto Indica si es crédito en cuotas, avance en efectivo o rotativo Saldo a fin de mes Moneda de la deuda según tabla 1 del MSI Línea total aprobada de la tarjeta Monto de la línea no utilizada RUT con este formato: 11.111.111-1 ID del producto. Único que permite la trazabilidad de este

IPI QUE DEBE PROVEER LA INFORMACIÓN: Bancos Tarjetas de pago con provisión de fondos Cooperativas de ahorro y crédito

Bancos Emisores de tarjetas de crédito Cooperativas de ahorro y crédito

Bancos Cooperativas de Ahorro y Crédito

d) Pólizas de seguro

e) Instrumentos de ahorro o inversión

Depósitos a plazo

Fecha (últimos 12 meses) Tipo de producto financiero

Categoría comercial

Saldo a fin de mes Moneda de la deuda

Nivel de mora

Vinculación con instrumento de fomento

Monto de la garantía Rut cliente

ID interno del producto

Número de póliza Número de cláusula adicional (CAD)

Fecha (últimos 12 meses) Tipo de producto financiero

Categoría comercial

Prima vigente

Periodicidad de la prima Frecuencia del pago de la prima Tipo de venta RUT del corredor

Nombre del corredor

Monto asegurado

Moneda del monto asegurado

Rut cliente

ID interno del producto

Tipo de producto financiero

Categoría comercial

Fecha informada

Indique el código respectivo de la tabla de productos del SFA Indique si aplica alguna categoría comercial asociada al producto. Tipo texto Saldo a fin de mes Moneda de la deuda según tabla 1 del MSI Nivel de mora del crédito (2) Indicar si está asociada a un instrumento de fomento según tabla 62 del manual de sistema de información bancario Monto de la garantía RUT con este formato: 11.111.111-1 ID del producto. Único que permite la trazabilidad de este Código del seguro Número de CAD accesoria al contrato de un seguro Fecha informada

Agentes Administradores de Mutuos Hipotecarios Endosables y Compañías de Seguros Instituciones que coloquen fondos por medio de operaciones de crédito de dinero de manera masiva Cajas de Compensación

Compañías de seguros

Indique el código respectivo de la tabla de productos del SFA Indique si aplica alguna categoría comercial asociada al producto. Tipo texto Monto en pesos de la prima Mensual, Anual o Única Mensual, Anual o Única

Directa o intermediada Indique el RUT del corredor asociado Indique el nombre del corredor asociado Indique el monto asegurado Indique la moneda del monto asegurado según tabla 1 del MSI

RUT con este formato: 11.111.111-1 ID del producto. Único que permite la trazabilidad de este Indique el código respectivo de la tabla de productos del SFA Indique si aplica alguna categoría comercial

Bancos Cooperativas de Ahorro y Crédito

f) Servicios de operación de tarjetas de pago

Tipo de plazo

Fecha (últimos 12 meses) Stock de Inversión a fin de mes Moneda de la inversión

Plazo del depósito

Plazo remanente

Tasa de interés efectiva anualizada

Fondos Mutuos Rut cliente y Fondos de

Inversión

ID interno del producto

Tipo de producto financiero

Serie Categoría comercial

APV

Nemotécnico Fecha (últimos 12 meses) Stock de Inversión a fin de mes Moneda del activo

Rut cliente

ID interno del producto

Tipo de producto financiero

Categoría comercial

Fecha (últimos 12 meses) Stock de Inversión a fin de mes Moneda de la inversión

Rut cliente

Tipo de producto financiero

Categoría comercial asociada al producto. Tipo texto Depósito a plazo fijo, renovable o indefinido Fecha informada

Monto del activo al final de mes Moneda del activo según tabla 1 del MSI Indicar el plazo original del depósito, en días Indicar plazo remanente del depósito, en días. Indicar la tasa de interés anualizada del instrumento RUT con este formato: 11.111.111-1 ID del producto. Único que permite la trazabilidad de este Indique el código respectivo de la tabla de productos del SFA Indique la serie del fondo Indique si aplica alguna categoría comercial asociada al producto. Tipo texto Nemotécnico Fecha informada

Administradoras Generales de Fondos y Administradores de Cartera

Monto del activo al último día de mes Moneda del activo según tabla 1 del MSI RUT con este formato: 11.111.111-1 ID del producto. Único que permite la trazabilidad de este Indique el código respectivo de la tabla de productos del SFA Indique si aplica alguna categoría comercial asociada al producto. Tipo texto Fecha informada

Bancos Compañías de seguros Administradoras Generales de Fondos y Administradores de Cartera Corredoras

Monto del activo final de mes Moneda del activo según tabla 1 del MSI RUT con este formato: 11.111.111-1 Indique el código respectivo de la tabla de productos del SFA Indique si aplica alguna categoría comercial

Operadores de tarjetas de pago asociada al producto.

Tipo texto

Fecha (últimos 12 meses)

Fecha informada

Montos pagados

Montos pagados mensuales mensuales

(1) Detalle de productos a informar en Anexo N°2

(2) Con los códigos: 0 (Crédito al día), 1 (Menos de 30 días de mora), 2 (30 días o más, pero menos de 60 días de mora), 3 (60 días o más, pero menos de 90 días de mora), 4 (90 días o más, pero menos de 180 días de mora), 5 (180 días o más, pero menos de 1 año de mora), 6 (Un año o más, pero menos de dos años de mora), 7

(Dos años o más, pero menos de tres años de mora), 8 (Tres años o más, pero menos de 4 años de mora) y 9 (Cuatro años o más de mora).

PRODUCTO FINANCIERO (1)

a) Cuentas corrientes y sus líneas de crédito asociadas; cuentas a la vista; cuentas de provisión de fondos; y cuentas de ahorro

DETALLE PRODUCTO FINANCIE RO Todos

VARIABLES

Rut cliente ID interno de la transacción

Fecha de la operación

Fecha contable de la operación

Tipo de producto financiero

Categoría comercial

Categoría de la operación

Tipo de operación Monto de la operación Tipo de persona

RUT contraparte Nombre contraparte Moneda de la operación

b) Tarjetas de crédito, con sus respectivas líneas de crédito asociadas

Todos

Rut cliente ID interno del producto

Tipo de productos financiero Categoría comercial

Fecha de la operación

Fecha contable de la operación Tipo de operación

DETALLE

IPI QUE DEBE PROVEER LA INFORMACIÓN:

RUT con este formato: Bancos

11.111.111-1 ID de la transacción que es único y que debe permitir hacer trazabilidad de la operación

Tarjetas de pago con provisión de fondos Cooperativas de Ahorro y Crédito

Fecha de la operación informada (año-mes-día- hora)

Fecha contable de la operación informada

(año-mes-día-hora)

Indique el código respectivo de la tabla de productos del SFA

Indique si aplica alguna categoría comercial asociada al producto.

Tipo texto

Transferencias, compra con débito, operación en cajero automático, otra

Abono o cargo

Monto original de la operación

En cargos, indica si el cargo es contra comercio o no

RUT contraparte

Nombre contraparte

Moneda en la cual fue realizado el abono o el cargo según tabla 1 del

MSI

RUT con este formato: Bancos

11.111.111-1 ID del producto. Único que permite la trazabilidad de este Indique el código

Emisores de tarjetas de crédito Cooperativas de Ahorro y Crédito respectivo de la tabla de productos del SFA

Indique si aplica alguna categoría comercial asociada al producto.

Tipo texto

Fecha de la operación informada (año-mes-día- hora)

Fecha contable de la operación informada

(año-mes-día-hora)

Indica el tipo de operación de tarjeta

(cuotas, avance en efectivo, rotativo)

c) Operaciones de crédito de dinero

Todos

d) Pólizas de seguro

Todos

Monto de la operación Moneda de la operación

Tipo de persona

Información del comercio

Rut cliente ID interno del producto

Fecha de la operación

Fecha contable de la operación Tipo de producto financiero Categoría comercial

Monto de la operación

Moneda del crédito

Tasa de interés anual Plazo del crédito Vinculación con instrumento de fomento

Monto de la garantía Rut cliente ID interno del producto

Numero de póliza Número de cláusula adicional (CAD) Fecha de la contratación Fecha de vigencia, inicio Fecha de vigencia, fin Tipo de producto financiero Categoría comercial

Monto de la operación

Moneda en la cual fue realizado el abono o el cargo

En cargos, indica si el cargo es contra comercio o no

Información del comercio conforme con Decreto

44/2012 MINECON

RUT con este formato: Bancos

11.111.111-1 ID del producto. Único que permite la trazabilidad de este Fecha de la operación informada (año-mesdía).

Cooperativas de Ahorro y Crédito Agentes Administradores de Mutuos Hipotecarios

Fecha contable de la

Endosables y operación informada

Compañías de

(año-mes-día). Indique el código respectivo de la tabla de productos del SFA. Indique si aplica alguna categoría comercial asociada al producto.

Seguros Instituciones que coloquen fondos por medio de operaciones de crédito de dinero

Tipo texto de manera masiva

Monto original de la

Cajas de operación expresada en Compensación pesos

Moneda en que fue entregado el crédito según tabla 1 del MSI

Tasa de interés anual del crédito

Plazo (en meses) del crédito

Indicar si está asociada a un instrumento de fomento según tabla 62 del manual de sistema de información bancario

Monto de la garantía

RUT con este formato: Compañías de

11.111.111-1

Seguros

ID del producto. Único que permite la trazabilidad de este

Código del seguro

Número de CAD accesoria al contrato de un seguro

Fecha de contratación del seguro informado

Fecha de inicio de vigencia del seguro

Fecha final de vigencia del seguro

Indique el código respectivo de la tabla de productos del SFA

Indique si aplica alguna categoría comercial

e) Instrumentos de ahorro o inversión

Prima estipulada al momento de contratar Periodicidad de la prima Frecuencia del pago de la prima Tipo de venta RUT del corredor

Nombre del corredor

Monto asegurado

Moneda del monto asegurado

Depósitos a Rut cliente plazo

ID interno del producto

Tipo de producto financiero

Categoría comercial

Fondos Mutuos y Fondos de Inversión

Tipo de plazo Tipo de operación Fecha de la operación Monto de la operación Moneda Plazo del depósito Tasa de interés efectiva anualizada Rut cliente ID interno del producto

Tipo de producto financiero Serie Categoría comercial

Nemotécnico Fecha de la operación

Tipo de operación

Monto de la operación asociada al producto. Tipo texto Monto en pesos de la prima Mensual, Anual o Única Mensual, Anual o Única

Directa o intermediada

Indique el RUT del corredor asociado

Indique el nombre del corredor asociado

Indique el monto asegurado

Indique la moneda del monto asegurado según tabla 1 del MSI

RUT con este formato: Bancos

11.111.111-1 ID del producto. Único que permite la

Cooperativas de Ahorro y Crédito trazabilidad de este

Indique el código respectivo de la tabla de productos del SFA

Indique si aplica alguna categoría comercial asociada al producto.

Tipo texto

Depósito a plazo fijo, renovable o indefinido

Contratación, aporte, rescate

Fecha de la operación informada (año-mes-día)

Monto de la operación

Moneda de la operación según tabla 1 del MSI

Indicar el plazo original del depósito, en días.

Indicar la tasa de interés anualizada del instrumento

RUT con este formato: Administradoras

11.111.111-1

Generales de

ID del producto. Único que permite la trazabilidad de este

Fondos y Administradores de Cartera

Indique el código respectivo de la tabla de productos del SFA

Indique la serie del fondo

Indique si aplica alguna categoría comercial asociada al producto.

Tipo texto

Nemotécnico

Fecha de la operación informada (año-mes-día)

Contratación, aporte, rescate

Monto del aporte inicial, aporte y rescate

Moneda

Moneda del aporte/rescate según tabla 1 del MSI

APV

Rut cliente

RUT con este formato: Bancos

ID interno del producto

Tipo de producto financiero

11.111.111-1 ID del producto. Único que permite la trazabilidad de este Indique el código respectivo de la tabla de productos del SFA

Compañías de Seguros Administradoras Generales de Fondos y Administradores

Categoría comercial

Indique si aplica alguna de Cartera categoría comercial

Corredoras asociada al producto.

Tipo texto

Fecha de la contratación Fecha de la contratación informada (año-mes-día)

Tipo de operación

Contratación, aporte, rescate

Aporte/Rescate

Monto del movimiento

Moneda

Moneda del aporte/rescate según tabla 1 del MSI

f) Servicios de Todos

Rut cliente

RUT con este formato: Operadores de operación de

11.111.111-1 tarjetas de pago tarjetas de pago

Tipo de producto

Indique el código financiero respectivo de la tabla de productos del SFA

Categoría comercial

Indique si aplica alguna categoría comercial asociada al producto.

Tipo texto

Vigencia de un contrato de Fecha de la afiliación afiliación informada (año-mes-día)

(1) Detalle de productos a informar en Anexo N°2

PRODUCTO FINANCIERO

a) Cuentas corrientes y sus líneas de crédito asociadas; cuentas a la vista; cuentas de provisión de fondos; y cuentas de ahorro

DETALLE PRODUCTO FINANCIERO Todos

b) Tarjetas de crédito, con sus respectivas líneas de crédito asociadas

Todos

c) Operaciones de crédito de dinero

Todos

VARIABLES

DETALLE

Rut cliente ID interno del producto

Fecha de contracción del producto Tipo de producto financiero Categoría comercial

Saldo Moneda Línea de crédito o de sobregiro total Línea de crédito o de sobregiro utilizada Línea de crédito o de sobregiro disponible Rut cliente ID interno del producto

Fecha de contratación del producto Tipo de productos financiero Categoría comercial

Tipo de deuda

Saldo Moneda Línea total aprobada Línea no utilizada Rut cliente ID interno del producto

RUT con este formato: 11.111.111-1 ID del producto. Único que permite la trazabilidad de este Fecha de la contratación del producto informada (año-mes-día) Indique el código respectivo de la tabla de productos del SFA Indique, si aplica, la categoría comercial asociada al producto. Tipo texto Saldo vigente Moneda del saldo según tabla 1 del MSI Monto total de la línea total Monto total de la línea utilizada Monto total de la línea disponible RUT con este formato: 11.111.111-1 ID del producto. Único que permite la trazabilidad de este Fecha de la contratación del producto informada (año-mes-día) Indique el código respectivo de la tabla de productos del SFA Indique si aplica alguna categoría comercial asociada al producto. Tipo texto Indica el tipo de operación de tarjeta (cuotas, avance en efectivo, rotativo) Saldo vigente del producto Moneda de la deuda según tabla 1 del MSI Línea total aprobada Monto de la línea no utilizada RUT con este formato: 11.111.111-1 ID del producto. Único que permite la trazabilidad de este

IPI QUE DEBE PROVEER LA INFORMACIÓN: Bancos Tarjetas de pago con provisión de fondos Cooperativas de Ahorro y Crédito

Bancos Emisores de tarjetas de crédito Cooperativas de Ahorro y Crédito

Bancos Cooperativas de Ahorro y Crédito

d) Pólizas de seguro

Todos

e) Instrumentos de ahorro o inversión

Depósitos a plazo

Tipo de producto financiero Categoría comercial

Saldo Moneda

Nivel de mora Vinculación con instrumento de fomento

Monto de la garantía Rut cliente ID interno del producto

Numero de póliza Número de cláusula adicional (CAD) Fecha de contratación del producto Fecha de vigencia, inicio Fecha de vigencia, fin Tipo de producto financiero Categoría comercial

Prima vigente Periodicidad de la prima Frecuencia del pago de la prima Tipo de venta RUT del corredor Nombre del corredor Monto asegurado Moneda del monto asegurado Rut cliente ID interno del producto

Indique el código respectivo de la tabla de productos del SFA Indique si aplica alguna categoría comercial asociada al producto. Tipo texto Saldo vigente del producto Moneda del saldo informado según tabla 1 del MSI Nivel de mora del crédito (2) Indicar si está asociada a un instrumento de fomento según tabla 62 del manual de sistema de información bancario Monto de la garantía RUT con este formato: 11.111.111-1 ID del producto. Único que permite la trazabilidad de este Código del seguro Número de CAD accesoria al contrato de un seguro Fecha de la contratación del producto informada (año-mes-día) Fecha de inicio de vigencia del seguro Fecha final de vigencia del seguro Indique el código respectivo de la tabla de productos del SFA Indique si aplica alguna categoría comercial asociada al producto. Tipo texto Monto en pesos de la prima Mensual, Anual o Única Mensual, Anual o Única

Agentes Administradores de Mutuos Hipotecarios Endosables y Compañías de Seguros Instituciones que coloquen fondos por medio de operaciones de crédito de dinero de manera masiva Cajas de Compensación

Compañías de Seguros

Directa o intermediada Indique el RUT del corredor asociado Indique el nombre del corredor asociado Indique el monto asegurado Indique la moneda del monto asegurado según tabla 1 del MSI RUT con este formato: 11.111.111-1 ID del producto. Único que permite la trazabilidad de este

Bancos Cooperativas de ahorro y crédito

Fondos Mutuos y Fondos de Inversión

APV

Tipo de instrumento

Categoría comercial

Tipo de plazo Fecha de contracción del producto Saldo Moneda de la inversión Plazo del depósito Plazo remanente Tasa de interés efectiva anualizada Rut cliente ID interno del producto

Tipo de producto financiero Serie Categoría comercial

Nemotécnico Fecha de contratación del producto Saldo Moneda del activo Rut cliente ID interno del producto

Tipo de producto financiero Categoría comercial

Fecha de contratación del producto Saldo Moneda de la inversión

Indique el código respectivo de la tabla de productos del SFA

Indique si aplica alguna categoría comercial asociada al producto.

Tipo texto

Depósito a plazo fijo, renovable o indefinido

Fecha de la contratación del producto informada

(año-mes-día)

Monto de la inversión a la fecha

Moneda de la inversión según tabla 1 del MSI

Indicar el plazo original del depósito, en días

Indicar plazo remanente del depósito, en días

Indicar la tasa de interés anualizada del instrumento

RUT con este formato: Administradoras

11.111.111-1 generales de

ID del producto. Único fondos y que permite la administradores trazabilidad de este de cartera

Indique el código respectivo de la tabla de productos del SFA

Indique la serie del fondo

Indique si aplica alguna categoría comercial asociada al producto.

Tipo texto

Nemotécnico

Fecha de la contratación del producto informada

(año-mes-día)

Monto de la inversión a la fecha

Moneda del activo según tabla 1 del MSI

RUT con este formato: Bancos

11.111.111-1

Compañías de

ID del producto. Único que permite la trazabilidad de este Indique el código respectivo de la tabla de productos del SFA seguros Administradoras generales de fondos y administradores

Indique si aplica alguna de cartera categoría comercial

Corredoras asociada al producto.

Tipo texto

Fecha de la contratación del producto informada

(año-mes-día)

Monto de la inversión a la fecha

Moneda de la inversión según tabla 1 del MSI

f) Servicios de

Rut cliente

RUT con este formato: Operadores de operación de tarjetas de pago

Tipo de producto financiero

11.111.111-1 Indique el código respectivo de la tabla de

Tarjetas de Pago productos del SFA

Categoría comercial

Indique si aplica alguna categoría comercial asociada al producto.

Tipo texto

Vigencia de un contrato Indica si tiene un de afiliación contrato de afiliación vigente

(1) Detalle de productos a informar en Anexo N°2

(2) Con los códigos: 0 (Crédito al día), 1 (Menos de 30 días de mora), 2 (30 días o más, pero menos de 60 días de mora), 3 (60 días o más, pero menos de 90 días de mora), 4

(90 días o más, pero menos de 180 días de mora), 5 (180 días o más, pero menos de 1 año de mora), 6 (Un año o más, pero menos de dos años de mora), 7 (Dos años o más, pero menos de tres años de mora), 8 (Tres años o más, pero menos de 4 años de mora)

y 9 (Cuatro años o más de mora).

VARIABLES Tipo de operación

DETALLE Orden de pago, TEF, pago recurrente

PARTES INVOLUCRADAS IPC y PSIP

Periodicidad

Periodicidad del pago y su fecha límite

Límite de pagos Institución de origen

Para el caso de pagos recurrentes: Monto máximo y monto mínimo Código de institución de origen del pago

Cuenta de origen

Número de cuenta de origen

Tipo de cuenta de origen RUT pagador

Indique el código respectivo de la tabla de productos del SFA RUT del pagador con este formato: 11.111.111-1

Nombre pagador

Nombre o razón social del pagador

Institución de destino Código de institución de destino del pago

Cuenta de destino

Número de cuenta de destino

Tipo de cuenta de destino RUT receptor del pago

Nombre receptor del pago Monto

Indique el código respectivo de la tabla de productos del SFA

RUT del receptor del pago o destinatario con este formato: 11.111.111-1 Nombre o razón social del receptor del pago o destinatario

Monto de la operación o pago

Moneda

Moneda de la operación según tabla 1 del MSI

Fecha y hora de la operación

Fecha y hora de la operación (ej: DD-MM-AAAA HH:MM:SS)

CATEGORÍA a) Cuentas corrientes y sus líneas de crédito asociadas; cuentas a la vista; cuentas de provisión de fondos; y cuentas de ahorro

b) Tarjetas de crédito, con sus respectivas líneas de crédito asociadas c) Operaciones de crédito de dinero

Cuenta corriente Cuenta a la vista Cuenta con provisión de fondos Cuentas de ahorro

Tarjeta de crédito

Cuenta vista Cuenta RUT

Cuentas de ahorro para la vivienda Cuentas de ahorro con giro diferido Cuentas de ahorro con giro incondicional

Créditos

Consumo

Hipotecario de vivienda

Comercial Estudiantiles

CÓDIGO SFA A001 A002 A003 A004

A005

A006

A007

B001

Crédito en cuotas distintos de descuento por planilla Crédito en cuotas mediante descuento por planilla Líneas de crédito en cuenta corriente Otros créditos de consumo Hipotecario en letras de crédito Mutuo hipotecario endosable Hipotecario comprado a ANAP Mutuo hipotecario no endosable Otros créditos hipotecarios Mutuos financiados con bonos hipotecarios Créditos complementarios de vivienda Adeudado por bancos Colocaciones comerciales Operaciones de factoring Leasing comercial Préstamos hipotecarios para fines generales Préstamos estudiantiles Ley N° 20.027

C001

C002

C003 C004 C005 C006 C007 C008 C009 C010

C011

C012 C013 C014 C015 C016

C017

d) Pólizas de seguro

Vida

Seguros Individuales

Seguros Colectivos Tradicionales

Seguros Banca Seguros y Retail

Préstamos estudiantiles con garantía CORFO Otros préstamos estudiantiles Vida Entera

C018

C019 D101

Temporal de Vida Seguros con Cuenta Única de Inversión (CUI) Mixto o Dotal Rentas Privadas y Otras Rentas Dotal puro o Capital Diferido Protección Familiar Incapacidad o Invalidez Salud Accidentes Personales Asistencia Desgravamen Hipotecario Desgravamen Consumos y Otros SOAP Otros Vida Entera

D102 D103

D104 D105

D106

D107 D108

D109 D110

D111 D112

D113

D114 D150 D201

Temporal de Vida Seguros con Cuenta Única de inversión (CUI) Mixto o Dotal Rentas Privadas y Otras Rentas Dotal puro o Capital Diferido Protección Familiar Incapacidad o Invalidez Salud Accidentes Personales Asistencia Desgravamen Hipotecario Desgravamen Consumos y Otros SOAP Otros Vida Entera

D202 D203

D204 D205

D206

D207 D208

D209 D210

D211 D212

D213

D214 D250 D301

Temporal de Vida Seguros con Cuenta Única de inversión (CUI) Mixto o Dotal Rentas Privadas y Otras Rentas

D302 D303

D304 D305

Generales

Seguros Previsionales

Dotal puro o Capital Diferido Protección Familiar Incapacidad o Invalidez Salud Accidentes Personales Asistencia Desgravamen Hipotecario Desgravamen Consumos y Otros SOAP Otros Renta Vitalicia de Vejez

D306

D307 D350

D303 D303

D303 D303

D303

D303 D350 D421

Daños a los Bienes

Otros Daños a los Bienes Responsabilidad Civil

Renta Vitalicia de Vejez Normal Renta Vitalicia de Vejez Anticipada Renta Vitalicia Invalidez Renta Vitalicia de Invalidez Total Renta Vitalicia de Invalidez Parcial Renta Vitalicia de Sobrevivencia Seguro con Ahorro Previsional (APV) Seguro con Ahorro Previsional Colectivo (APVC) Incendio Pérdida de Beneficios por Incendio Otros Riesgos Adicionales a Incendio Terremoto y Tsunami Pérdida de Beneficios por Terremoto Otros Riesgo de la Naturaleza Terrorismo Robo Cristales Daños Físicos Vehículos Motorizados Casco Marítimo Casco Aéreo Responsabilidad Civil Hogar y Condominios Responsabilidad Civil Profesional

D421-1 D421-2 D422 D422-1 D422-2 D423 D424 D425

D001 D002

D003

D004 D005

D006 D007 D008 D009 D010

D011 D012 D013

D014

e) Instrumentos de Depósitos a plazo ahorro o inversión

Fondos Mutuos

Transporte

Ingeniería

Garantía y Crédito

Salud y Accidentes Personales

Otros Seguros

Plazo fijo Plazo renovable Plazo indefinido Deuda de corto plazo con duración menor o igual a 90 días Deuda de corto plazo con duración menor o igual a 365 días Deuda de mediano y largo plazo Mixto De capitalización De libre inversión Estructurado Dirigido a inversionistas calificados

Responsabilidad Civil Industria, Infraestructura y Comercio Responsabilidad Civil Vehículos Motorizados Transporte Terrestre Transporte Marítimo Transporte Aéreo Equipo Contratista Todo Riesgo Construcción y Montaje Avería de Maquinaria Equipo Electrónico Garantía Fidelidad Seguro Extensión y Garantía Seguro de Crédito por Ventas a Plazo Seguro de Crédito a la Exportación Otros Seguros de Crédito Salud

Accidentes Personales Seguro Obligatorio de Accidentes Personales (SOAP) Seguro Cesantía Seguro de Título Seguro Agrícola Seguro de Asistencia Otros Seguros

D015

D016

D017 D018 D019 D020 D021

D022 D023 D024 D025 D026 D027 D028 D029 D030 D031 D032

D033 D034 D035 D036 D050 E001 E002 E003 E101

E102

E103 E104 E105 E106 E107 E108

f) Servicios de operación de tarjetas de pago g) Servicios de las entidades registradas como Prestadoras de Servicios Financieros

Fondos de Inversión APV

Operación de tarjetas de pago

Rescatables

No Rescatables Depósitos de Ahorro Previsional Voluntario Depósitos Convenidos

Asesores de crédito e inversión Plataforma de financiamiento colectivo Sistemas alternativos de transacción Intermediación y custodia de instrumentos financieros Enrutamiento de órdenes

E201 E202 E301

E302 F001 G001 G002

G003 G004

G005

Anexo N°4: Especificaciones técnicas para la distribución de costos Por definir.

SOLANGE MICHELLE BERSTEIN JÁUREGUI PRESIDENTA

COMISIÓN PARA EL MERCADO FINANCIERO