FINANCIERO

Artículo 15°: Medidas de seguridad incorporadas en las tarjetas: Las tarjetas deberán contar con un circuito integrado o chip que consienta almacenar y procesar la información del usuario y sus operaciones, cumpliendo estándares internacionales de interoperabilidad para el uso y verificación de las tarjetas, así como para la autenticación de pagos; para lo cual deberá cumplirse como mínimo con los requisitos de seguridad establecidos en el estándar. Al respecto, Las proveedores deberán aplicar, entre otras, las siguientes medidas:

1. Reglas de seguridad definidas en el chip de las tarjetas, que deben ser utilizadas para verificar la autenticidad de la tarjeta, validar la identidad del usuario mediante el uso de una clave o firma u otros mecanismos de autenticación.

2. Aplicar programaciones secretas sobre los datos críticos y claves almacenadas en el chip de las tarjetas, así como sobre aquellos existentes en los mensajes intercambiados entre las tarjetas, los terminales de punto de venta, los cajeros automáticos y las empresas emisoras.

3. En caso las empresas emisoras consientan la autorización de operaciones fuera de línea, deben aplicar un método de autenticación de datos que ofrezca apropiadas condiciones de seguridad, sin afectar la calidad y el rendimiento del servicio suministrado al interesado.

Dichas operaciones se realizarán conforme a los límites y condiciones pactadas con el cliente, que incluirán por ejemplo límites al número de operaciones consecutivas procesadas fuera de línea.

4. Colocar mecanismos para aplicar instrucciones sobre el chip de las tarjetas en respuesta a una transacción en línea, a fin de modificar los límites establecidos según perfiles de riesgo, así como bloquear o deshabilitar aquellas tarjetas que hayan sido extraviadas o sustraídas.

Artículo 16°: Medidas de seguridad respecto a los usuarios: Las empresas deben patrocinar, como mínimo, las siguientes medidas de seguridad con respecto a los usuarios:

1. Otorgar la tarjeta y en caso que corresponda, las tarjetas agregadas al titular, excepto cuando este haya instruido en forma expresa que se entreguen a una persona distinta, previa verificación de su identidad y dejando constancia de su aceptación.

2. En caso la empresa genere la primera clave o número secreto de la tarjeta, esta deberá ser otorgada según las condiciones del numeral anterior, exigiendo su cambio antes de efectuar la primera operación que requiera el uso de dicha clave.

3. En caso de que se utilice la clave como método de identificación, permitir que el usuario pueda cambiar dicha clave o número secreto, las veces que lo demande.

4. Para las operaciones de disposición o retiro de efectivo, compras y otras operaciones que la empresa identifique con riesgo de estafa en perjuicio de los usuarios, deberá otorgar a estos la opción de habilitar un servicio de notificaciones que les informe de las operaciones realizadas con sus tarjetas, raudamente después de ser registradas por la empresa, mediante mensajes de texto a un correo electrónico y/o un teléfono móvil, entre otros mecanismos que pueden ser pactados con los usuarios.

5. Colocar a disposición de los usuarios, la posibilidad de informar a la empresa que realizarán operaciones con su tarjeta desde el extranjero, antes de la ejecución de estas operaciones.

6. En aquellos casos en los que se permita a los usuarios realizar operaciones de micro pago, deberá establecer el monto máximo por operación que podrá efectuarse.

Artículo 17°: Medidas de seguridad respecto al monitoreo y realización de las operaciones: Las empresas deben adoptar como mínimo las siguientes medidas de seguridad con respecto a las operaciones con tarjetas que realizan los usuarios:

1. Contar con sistemas de monitoreo de operaciones, que tengan como objetivo revelar aquellas operaciones que no corresponden al comportamiento habitual de consumo del usuario.

2. Efectuar procedimientos complementarios para gestionar las alertas generadas por el sistema de monitoreo de operaciones.

3. Identificar esquemas de fraude, mediante el análisis sistemático de la información histórica de las operaciones, los que deberán incorporarse al sistema de monitoreo de operaciones.

4. Instaurar límites y controles en los diversos canales de atención, que permitan mitigar las pérdidas por estafa.

5. Solicitar al usuario la presentación de un documento oficial de identidad, cuando sea aplicable, o utilizar un mecanismo de identificación de múltiple factor. La Superintendencia podrá instaurar, mediante oficio múltiple, montos mínimos a partir de los cuales se exija la presentación

...