DCG-IFPE-2021 · ANEXO 7
Disposiciones aplicables a las instituciones de fondos de pago electrónico a que se refieren los artículos 48, segundo párrafo; 54, primer párrafo, y 56, primer y segundo párrafos de la Ley para Regular las Instituciones de Tecnología Financiera
Cita estable: urn:lex-mx:federal:regulation:ifpe-dcg-2021:annex:7. Publicación: c305db4a3cfb408b76c13431e26beda72d5ce665046c95783fab36507354c969.
Estado registrado: unknown; revisión: not_analyzed. No acredita vigencia.
Fuente: Comisión Nacional Bancaria y de Valores. Recuperada: 2026-07-12T06:55:52.338381Z. Reforma registrada en esa fuente: no disponible; no es una comprobación de actualidad.
SHA-256 fuente: 3b23ad521016d3f88b6d9186da8a3a146112638f21d56f2d3968ac2e97a7a193. SHA-256 texto: 6327e0fde7ee966616499de2250ae82adedc6405fd532954ca34504d68c44f9f.
Texto completo
Requerimientos técnicos para realizar Operaciones a través de comisionistas
Los comisionistas o el Administrador de Comisionistas, para garantizar la correcta ejecución de las Operaciones y la seguridad de la información de los Clientes, deberá contar con lo siguiente:
I. Definiciones. Para efectos del presente anexo, se entenderá por: Identificador Individual, a la cadena de caracteres asignada a cada operador en lo individual.
II. Descripción de las características técnicas de los sistemas, equipos y aplicaciones que el comisionista o el Administrador de Comisionistas utilizarán para realizar las Operaciones, desde su inicio hasta la afectación de las respectivas cuentas de la institución de fondos de pago electrónico, considerando a todos los participantes involucrados.
La referida descripción deberá contener, al menos, lo siguiente:
a) Descripción de los enlaces de comunicación utilizados por la institución de fondos de pago electrónico para conectarse con el comisionista que incluya, al menos, el nombre del comisionista, el ancho de banda y el tipo de Operación realizada.
b) Diagrama de telecomunicaciones en donde se muestre la conexión existente entre cada uno de los participantes en la operación del comisionista (prestadores de servicios, centros de datos, institución de fondos de pago electrónico, entre otros), incluyendo los esquemas de redundancia.
c) En su caso, esquema de interrelación de aplicaciones o sistemas del comisionista o del Administrador de Comisionistas, incluyendo los sistemas propios de la institución de fondos de pago electrónico.
d) Documentación en donde se expongan los mecanismos para asegurar la transmisión de la información en forma cifrada de punto a punto, incluyendo la versión de los protocolos de Cifrado y componentes de seguridad de la Infraestructura Tecnológica implementados en cada uno de los nodos involucrados en el envío y recepción de datos.
e) Detalle del tipo de información de la institución de fondos de pago electrónico, de sus Clientes o de los usuarios de medios de disposición, precisando, en su caso, el tipo de Información Sensible que será almacenada por el comisionista o el Administrador de Comisionistas en sus equipos o instalaciones, o a la que podrán tener acceso. Tratándose de Información Sensible, el comisionistas o Administrador de Comisionistas deberá implementar mecanismos de cifrado.
f) Procedimiento de validación y pruebas a la instalación de la infraestructura tecnológica del comisionista.
a) Criterios relativos a la composición de las contraseñas o claves de acceso de los operadores y de los factores de autenticación a Clientes o usuarios del medio de disposición, incluyendo números de identificación personal (NIP).
III. Requerimientos de la infraestructura tecnológica del comisionista o Administrador de Comisionistas.
a) Mecanismos necesarios para realizar las transacciones en línea.
La infraestructura tecnológica del comisionista deberá contar con los mecanismos necesarios para realizar las transacciones en línea tratándose de Operaciones de recepción o retiro de efectivo, es decir, al instante mismo en que se lleve a cabo la Operación, actualizando los saldos del Cliente en línea en apego a lo establecido por las reglas de operación de las propias instituciones de fondos de pago electrónico.
b) Validación de la infraestructura tecnológica del comisionista.
Únicamente la infraestructura tecnológica de los comisionistas autorizados por la institución de fondos de pago electrónico tendrá acceso a la Infraestructura Tecnológica dispuesta por aquella (uso de líneas dedicadas, identificación de direcciones físicas o lógicas, VPN’s, firmas digitales, entre otros).
Asimismo, la institución de fondos de pago electrónico deberá obtener evidencia de que la infraestructura tecnológica utilizada por los comisionistas, mantienen mecanismos de control que eviten la lectura y extracción de la información de los Clientes por terceros no autorizados.
c) Políticas y procedimientos para la administración de accesos y configuración de la infraestructura tecnológica del comisionista.
Es responsabilidad de la institución de fondos de pago electrónico contar con políticas y procedimientos del comisionista o Administrador de Comisionista para:
1. La configuración de la infraestructura tecnológica que se conecte a los sistemas informáticos de la institución de fondos de pago electrónico.
2. La administración de llaves criptográficas utilizadas entre los comisionistas y los sistemas de la institución de fondos de pago electrónico.
d) Generación de registros electrónicos de Operaciones.
Todas las Operaciones realizadas a través de los comisionistas deberán generar registros electrónicos que no puedan ser modificados o borrados y en los que se deberá incluir, al menos, la fecha, hora y minuto en que fueron realizadas, el tipo y monto de la instrucción; en su caso, el número de cuenta del Cliente, medio a través del cual se ejecutó la instrucción, así como la información suficiente que permita la identificación del personal que realizó la instrucción. La custodia de dichos registros deberá estar a cargo de la institución de fondos de pago electrónico.
IV. Requerimientos de identificación de operadores y autenticación de Clientes.
a) Mecanismos necesarios para la plena identificación de los comisionistas.
Las instituciones de fondos de pago electrónico, en la realización de Operaciones a través del comisionista, deberán contar con mecanismos que les permitan identificar a los operadores, a fin de contar con la información necesaria para la resolución de aclaraciones o disputas. Dichos mecanismos deberán señalarse en el plan general de funcionamiento a que se refiere la fracción I del artículo 47 de las presentes Disposiciones.
b) Generación y entrega de contraseñas o claves de acceso de los operadores.
Las instituciones de fondos de pago electrónico deberán establecer mecanismos para el proceso de generación y entrega de los factores de autenticación que aseguren que solo el comisionista o, en su caso, sus operadores, podrán conocer.
c) Composición de contraseñas o claves de acceso de los operadores.
Deberán establecerse criterios para las características de la longitud de las contraseñas o claves de acceso de los operadores.
d) Protección de contraseñas o claves de acceso de los operadores y Números de Identificación Personal (NIP) de los Clientes.
Las instituciones de fondos de pago electrónico deberán prever lo necesario para evitar la lectura de los caracteres que componen las contraseñas o claves de acceso de los operadores, así como los Números de Identificación Personal (NIP) digitados por los Clientes, respectivamente, en la infraestructura tecnológica del comisionista, tanto en su captura como en su despliegue a través de pantallas.
Las contraseñas o claves de acceso de los operadores y los Números de Identificación Personal (NIP) de los Clientes deberán validarse y almacenarse a través de mecanismos de encriptación. En ningún momento, los comisionistas podrán tener acceso a los datos relacionados con dichos Números de Identificación Personal (NIP) de los Clientes.
e) Autenticación con dos factores para Clientes.
Para la realización a través de los comisionistas de consultas y Operaciones que representen un cargo a la cuenta de los Clientes, estos últimos deberán autenticarse a través de la Infraestructura Tecnológica del comisionista con la que se realicen las mencionadas Operaciones utilizando un factor de autenticación a que se refieren las fracciones II y III del artículo 5 de las presentes disposiciones.
Para efectos de lo anterior, las instituciones de fondos de pago electrónico podrán optar por la combinación de, al menos, dos de los siguientes factores de autenticación y ajustarse a lo dispuesto en el artículo 5 de las presentes Disposiciones.
f) Para la recepción y operación de transacciones solicitadas por los Clientes a través de la infraestructura tecnológica de los comisionistas, los operadores deberán iniciar una sesión y autenticarse a través de dicha infraestructura.
Los procesos de autenticación deberán ser validados por la institución de fondos de pago electrónico, a través de los mecanismos y controles que esta estime conveniente. Será responsabilidad de la institución de fondos de pago electrónico asegurarse de que los comisionistas cuenten con dichos mecanismos de autenticación de operadores, para la realización de las operaciones.
V. Operación de la infraestructura tecnológica del comisionista.
a) Generación de comprobantes de Operación.
La infraestructura tecnológica del comisionista deberá generar automáticamente los comprobantes de Operación que emitan las instituciones de fondos de pago electrónico para cada Operación, sin mediar intervención alguna por parte del personal del comisionista. Dichos comprobantes de Operación serán diferentes a aquellos que utilicen los comisionistas para registrar las operaciones propias de su giro comercial.
Cuando se alcancen los límites de operación a que se refieren el artículo 48 de estas Disposiciones, según corresponda, no se podrán llevar a cabo las Operaciones solicitadas, por lo que la infraestructura tecnológica del comisionista deberá generar comprobantes que indiquen al Cliente dicha situación. Para tales efectos, se deberá proporcionar un comprobante que incluya la leyenda siguiente:
“Transacción no realizada por haber excedido su límite permitido. Pónganse en contacto con su institución de fondos de pago electrónico.”
Las instituciones de fondos de pago electrónico deberán adjuntar el diseño del comprobante de cada una de las Operaciones a contratar.
Por ningún motivo deberá mostrarse en el comprobante de operación el domicilio del Cliente.
b) Monitoreo de Operaciones.
La institución de fondos de pago electrónico deberá establecer mecanismos que le permitan monitorear las actividades realizadas por los operadores a través de la infraestructura tecnológica de los comisionistas, con el fin de detectar transacciones que se alejen de los parámetros habituales de Operación.
c) Almacenamiento de información del Cliente en la infraestructura tecnológica del comisionista.
Los comisionistas no podrán almacenar, conservar o copiar en su infraestructura tecnológica, información del Cliente de la institución de fondos de pago electrónico. En los casos en que por razones operativas y técnicas se requiera almacenar parcial o totalmente dicha información en su infraestructura tecnológica, esta deberá tener mecanismos de encriptación.
Corresponderá a las instituciones de fondos de pago electrónico verificar el cumplimiento del presente inciso.