SFC - Anexo Circular Externa 004 de 2024

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PARTE 1

INSTRUCCIONES GENERALES APLICABLES A LAS ENTIDADES VIGILADAS

TÍTULO 1

ASPECTOS GENERALES

CAPITULO IX. REGLAS RELATIVAS A LAS FINANZAS ABIERTAS

CONTENIDO

1. CONSIDERACIONES GENERALES

2. TERCEROS RECEPTORES DE DAT OS

3. ESTÁNDARES TECNOLÓGICOS Y DE SEGURIDAD

4. TRATAMIENTO DE LOS DATOS DE LOS CONSUMIDORES FINANCIEROS EN FINANZAS ABIERTAS

5. DEBERES DE REVELACIÓN DE INFORMACIÓN PARTE 1-TÍTULO 1-CAPÍTULO IX Circular Externa de 2024·-• de 2024 _o o 4

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PARTE 1

INSTRUCCIONES GENERALES APLICABLES A LAS ENTIDADES VIGILADAS

TÍTULOI

ASPECTOS GENERALES

CAPÍTULO IX: REGLAS RELATIVAS A LAS FINANZAS ABIERTAS

1. CONSIDERACIONES GENERALES En desarrollo de las facultades previstas en el artículo 2.35.10.1.1. del Decreto 2555 de 2010, incorporado por el Decreto 1297 de 2022, la Superintendencia Financiera de Colombia (SFC) determina los estándares tecnológicos, de seguridad y demás necesarios para el desarrollo de las finanzas abiertas regulados por el Título 8 del Libro 35 de la Parte 2 del Decreto 2555 de 2010.

De conformidad con el Documento Técnico «Arquitectura Financiera Abierta en Colombia», documento soporte del

Decreto 1297 de 2022, se entiende por finanzas abiertas la práctica en la cual las entidades vigiladas por la Superintendencia Financiera de Colombia (SFC) abren sus sistemas para que la información de los consumidores financieros pueda ser compartida de forma estandarizada con otras entidades vigiladas o con terceros, con la autorización del consumidor financiero y con el objetivo de que dichas entidades provean servicios a dichos clientes. Las entidades vigiladas que participen en finanzas abiertas deben cumplir con las instrucciones previstas en el presente Capítulo.

2. TERCEROS RECEPTORES DE DATOS Las entidades vigiladas que participen en finanzas abiertas deben vincular a los terceros receptores de datos. Para el efecto, las entidades vigiladas deben adoptar políticas y procedimientos para la vinculación de los terceros receptores de datos que cumplan los requisitos establecidos en el presente numeral. Dichas políticas deben ser aprobadas por la junta directiva u órgano que haga sus veces. Las mencionadas políticas y procedimientos deben estar disponibles en la página web de la respectiva entidad vigilada.

Se entiende por terceros receptores de datos aquellas personas jurídicas que tratan los datos personales de los consumidores financieros en el marco de las finanzas abiertas. 2.1. Para la vinculación del tercero receptor de datos las entidades vigiladas deben verificar que estos: a) Estén inscritos en el Registro Nacional de Bases de Datos. En el evento en que los terceros receptores de datos no estén inscritos en el mencionado registro, las entidades vigiladas deben verificar que los mismos cuenten con políticas y procedimientos para el tratamiento de datos personales.

b) Cuenten con procedimientos para la atención de consultas y reclamos, de conformidad con las normas aplicables. c) Cuenten con mecanismos que les permitan: i) Gestionar los riesgos asociados al tratamiento de los datos personales del consumidor financiero, en particular, el de seguridad de la información y ciberseguridad, así como fallas en la infraestructura tecnológica y en los sistemas de información donde se procesan y almacenan los datos. Para el efecto, las entidades vigiladas pueden tener en cuenta marcos de referencia, tales como: ISO 27001, NIST Cybersecurity Framework, OWASP ASVS, última versión o cualquiera que los modifique, sustituya o adicione. En caso de que cualquiera de los marcos de referencia sea declarado obsoleto por parte del organismo que lo establece o soporta, la entidad vigilada debe tener en cuenta aquel que lo modifique, sustituya o adicione. ii) Mantener cifrados los datos personales de los consumidores financieros que estén en almacenamiento o circulación usando para el efecto estándares y algoritmos reconocidos internacionalmente que briden al menos la seguridad ofrecida por AES o RSA. iii) Contar con sistemas de monitoreo de la información para el desarrollo de finanzas abiertas. iv) Gestionar las vulnerabilidades de aquellas plataformas que hagan uso de los datos suministrados en el marco de finanzas abiertas. v) Contar con la certificación PCI-DSS emitida por una entidad que ostente la categoría QSA (Quallfled Security Assessor) y soportada por el documento AoC (Attestation of Compliance) correspondiente, en el evento en que el tercero receptor de datos pretenda almacenar, procesar y/o transmitir datos contenidos en tarjetas débito y crédito.

1. Informar a las entidades vigiladas, en el menor tiempo posible, sobre cualquier evento o situación que pueda comprometer la seguridad de los datos personales de los consumidores financieros.

En relación con las entidades vlglladas que actúen como terceros receptores de datos y estén obligadas a cumplir con las instrucciones en materia de seguridad de la información y ciberseguridad previstas en el Capítulo V del Titulo IV de la Parte I de la Circular Básica Jurldica, se entenderán verificados los requisitos previstos en el literal c) del presente numeral. d) Cuenten con procedimientos para la revocatoria y supresión de los datos personales de los consumidores financieros, de conformidad con las normas aplicables. 2.2. Las entidades vigiladas deben aplicar el tratamiento previsto para los clientes o potenciales clientes a los terceros receptores de datos, de conformidad con las medidas adoptadas por la respectiva entidad para la administración del riesgo de lavado de activos y financiación del terrorismo en desarrollo de lo dispuesto en los artículos 102 y siguientes del Estatuto Orgánico del Sistema Financiero y del Capitulo IV del Título IV de la Parte I de la Circular Básica Jurídica.

PARTE 1 -TÍTULO 1-CAPÍTULO IX PÁGINA 1

Circular Externa de 2024 de 2024 O 4 rij SUPERINTENDENCIA FINANCIERA DE COLOMBIA 2.3. Las entidades vigiladas deben establecer controles para verificar periódicamente que el tercero receptor de datos cumpla los requisitos señalados en el subnumeral 2.1. del presente Capítulo durante la vigencia de la relación contractual. Dicha periodicidad debe ser razonable y definida por la entidad vigilada, atendiendo al perfil de riesgo

del tercero receptor de datos y a las características de la relación con este. 2.4. Las entidades vigiladas deben dejar constancia de la verificación de los requisitos señalados en el subnumeral 2.1. del presente Capitulo por cada tercero receptor de datos con el que tengan una relación contractual, la cual debe quedar a disposición de la SFC. 2.5. En ningún caso las entidades vigiladas pueden restringir la vinculación de terceros receptores de datos que cumplan con lo establecido en el subnumeral 2.1. del presente Capítulo. 2.6. En el marco de las finanzas abiertas, las entidades vigiladas no pueden dar un trato discriminatorio a los terceros receptores de datos que vinculen. Para el efecto, deben abstenerse de incurrir en tratos discriminatorios relacionados, entre otros, con: a) Los requisitos de vinculación de los terceros receptores de datos. b) Los controles para monitorear el cumplimiento de los requisitos por parte del tercero receptor de datos, de acuerdo con lo previsto en el subnumeral 2.3 del presente Capítulo. c) Las tarifas, precios, comisiones, cargos, cobros o cualquier otra retribución aplicable a los terceros receptores de datos.

3. ESTÁNDARES TECNOLÓGICOS Y DE SEGURIDAD 3.1. Principios generales Las entidades vigiladas que participen en finanzas abiertas deben contar con políticas, procedimientos y recursos técnicos y humanos para monitorear que los datos personales de los consumidores financieros se traten en condiciones de seguridad. Para el efecto, las entidades vigiladas deben cumplir con las siguientes instrucciones: a) Mantener los sistemas relacionados con finanzas abiertas en una red interna separada lógicamente de

las demás redes. b) Monitorear que la información que circula en el marco de las finanzas abiertas se ajuste a las especificaciones establecidas entre las entidades vigiladas y los terceros receptores de datos. c) Abstenerse de exponer públicamente los repositorios de información que se utilicen para el desarrollo de las finanzas abiertas. d) Mantener registros de auditoria de información (fogs), por el término de 5 años, por cada solicitud de datos realizada en desarrollo de las finanzas abiertas que permitan determinar, como mínimo: el origen desde el cual se realizó la solicitud, el momento en el que se realizó el consumo de la información, el usuario que ejecutó la solicitud, la Información objeto de circulación y el estado del proceso. En todo caso, según el nivel de criticidad de la información, esta se deberá enmascarar o cifrar. e) Propender por la disponibilidad y accesibilidad de los sistemas de información en todo momento y contar con mecanismos de redundancia, balanceo de carga y tolerancia a fallos para garantizar su disponibilidad continua. 3.2. Estándares de arquitectura, seguridad y tecnología Las entidades vigiladas deben implementar protocolos de intercambio automático de información para atender las solicitudes de acceso a datos personales presentadas por los terceros receptores de dalos en el desarrollo de las finanzas abiertas. Los protocolos de intercambio automático de Información que implementen las entidades vigiladas en desarrollo de las finanzas abiertas deben cumplir, como mínimo, con los siguientes requisitos: 3.2.1. En materia de arquitectura: a) Ejecutar el intercambio de Información bajo el formato JSON (JavaScript Object Notation). b} Cumplir con el marco de referencia REST y su implementación debe ser RESTful.

3.2.2. En materia de administración de datos, cumplir con el estándar ISO 20022 en lo relacionado con el diccionario de datos y utilizar el diccionario de campos que establece el referido estándar. El cumplimiento del referido estándar aplicará en aquellos campos financieros que corresponda. 3.2.3. En materia de seguridad: a) Cumplir con el marco FAPI 2:0 desarrollado por The OpenlD Foundation (OIDF) para los perfiles de seguridad. b) Ejecutar la autorización sobre el protocolo OAuth 2.0 desarrollado por el IETF OAuth Working Group. Para el efecto, se debe hacer uso de mecanismos seguros para la implementación del Token de Acceso (Access Token), tales como: Client Credentials (RFC 6749), Authorization Code (RFC 6749), Authorization Code con PKCE (RFC 7636) o Refresh Token (RFC 6749), entre otros. El Token de Acceso debe generarse haciendo uso del estándar JWT (JSON Web Token), debe firmarse utilizando algoritmos seguros tales como: PS256 o superiores, y debe utilizar private_key_jwt como método de autenticación. c} Realizar el intercambio de información bajo el protocolo TLS garantizando el proceso de autenticación mutua o reciproca (mutual authentication), haciendo uso de certificados digitales vigentes, de acuerdo con lo establecido en la Ley 527 de 1999 y normas que la sustituyan, modifiquen o reglamenten, para PARTE 1 -TÍTULO 1 -CAPÍTULO IX PÁGINA 2 Circular Externa de 2024 de 2024 JO o ( SUPERINTENDENCIA FINANCIERA DE COLOMBIA lo cual deben utilizar cualquiera de las siguientes suites de cifrado:

i) TLS ECDHE RSA WITH AES 128 GCM SHA256 ll) TLS=ECDHE=RSA=WITH=AES=256=GCM=SHA384

En caso de que cualquiera de los formatos, marcos de referencia, estándares o protocolos establecidos en el numeral 3.2. sea declarado obsoleto por parte del organismo que lo establece o soporta, la entidad vigilada deberá adoptar aquel que lo modifique, sustituya o adicione.

4. TRATAMIENTO DE LOS DATOS PERSONALES DE LOS CONSUMIDORES FINANCIEROS EN FINANZAS ABIERTAS 4.1. En el marco de las finanzas abiertas, las entidades vigiladas deben cumplir con las siguientes obligaciones para el tratamiento de los datos personales de los consumidores financieros: a) Verificar, de forma previa a la circulación de la información, que el tercero receptor de datos cuente con la autorización previa, expresa e informada del consumidor financiero para el tratamiento de sus datos personales. b) Autenticar al consumidor financiero para realizar cualquier acción que busque otorgar, modificar y/o revocar su autorización de tratamiento de datos personales en el marco de las finanzas abiertas a través de mecanismos fuertes de autenticación de conformidad con lo dispuesto en el Capitulo I del Titulo II de la Parte I de la Circular Básica Juridica, así como en el numeral 3 del articulo 2.17.4.1.3. del Decreto 2555 de 2010, y demás normas que lo modifiquen, sustituyan o adicionen. c) Contar con la autorización previa, expresa e informada del consumidor financiero para el tratamiento de sus datos personales dando estricto cumplimiento a las Leyes 1266 de 2008 y 1581 de 2012, y demás

normas que las reglamenten, modifiquen, sustituyan o adicionen. Para el efecto, la solicitud de autorización requerida al consumidor financiero debe estar expresada en forma sencilla, clara y precisa, de tal manera que sea de fácil comprensión, y debe contener, como mínimo, la siguiente información: i) La identificación del tercero receptor de datos, indicando como mínimo su razón social y su domicilio. ii) Los datos específicos cuyo tratamiento autoriza el consumidor financiero. iii) El tratamiento al cual serán sometidos los datos personales del consumidor financiero por parte del tercero receptor de datos. iv) La finalidad específica para la cual el consumidor financiero autoriza el tratamiento de sus datos personales. En el evento en que se vayan a comercializar los datos personales de los consumidores financieros, la solicitud de autorización debe advertir además de forma expresa dicha situación. Adicionalmente, debe informarse al consumidor financiero si se le remunerará por esta actividad, asi como si trae consigo algún costo. v) El tiempo de la finalidad para la cual el consumidor financiero autoriza el tratamiento de sus datos personales, de conformidad con el artículo 11 del Decreto 1377 de 2013 incorporado en el Decreto 1074 de 2015 y demás normas que las modifiquen, sustituyan o adicionen. Las entidades vigiladas deben abstenerse de solicitar autorizaciones generales o abiertas que les impidan a los consumidores financieros conocer la finalidad, su término y el tratamiento que los terceros receptores de datos darán a los mismos. En ningún caso las entidades vigiladas pueden condicionar la prestación de un producto o servicio financiero que no surja en desarrollo de las finanzas abiertas al otorgamiento de la autorización para

el tratamiento de datos personales en el marco de las finanzas abiertas. d) Permitir al consumidor financiero consultar de manera accesible y permanente las autorizaciones de que trata el literal c) del presente subnumeral. e) Permitir al consumidor financiero revocar la autorización otorgada para el tratamiento de sus datos personales en el marco de las finanzas abiertas de la que trata el literal c) del presente subnumeral, cuando resulte aplicable de conformidad con las Leyes 1266 de 2008 y 1581 de 2012, y demás normas que las reglamenten, modifiquen, sustituyan o adicionen. f) Permitir al consumidor financiero actualizar, en todo momento, la autorización otorgada para el tratamiento de sus datos personales en el desarrollo de las finanzas abiertas de la que trata el literal c) del presente subnumeral. g) Permitir que el consumidor financiero se abstenga de autorizar el tratamiento de su información en el marco de las finanzas abiertas.

5. DEBERES DE REVELACIÓN DE INFORMACIÓN Las entidades vigiladas que vinculen terceros receptores de datos en el marco de las finanzas abiertas deben publicar, en una sección de fácil acceso en su página web, la información actualizada que le permita a los consumidores financieros conocer las condiciones de implementación de las finanzas abiertas, sin perjuicio de que lo hagan en cualquier canal adicional.

Para el efecto, las entidades vigiladas deben informar de forma sencilla, clara y precisa, como mínimo, los siguientes aspectos: a) El procedimiento para consultar de manera accesible y permanente las autorizaciones otorgadas para el tratamiento de los datos personales del consumidor financiero de que trata el literal c) del

subnumeral 4.1. del presente Capitulo. b) El procedimiento para actualizar la autorización para el tratamiento de los datos personales del consumidor financiero.

PARTE1 -TÍTULO1 -CAPTIULO IX PÁGINA3

Circular Externa de2 024 de2 024 SUPERINTENDENCIA FINANCIERA DE COLOMBIA c) Elp rocedimiernetvool caaap rua troar ipzaarceailt ó rna tamdieel nodtsao t poesr sondaelle s consumfiidnoarnc cuiaenrrdeoos ulte daecp olnifcoarbcmloilenda aLsde y1e2s6d 6e2 00y81 58d1e 201y2d ,e mánso rmqausle a rse glammeondtiefni,sq uusetnio,ta udyiacni onen. d) Lai nformaacctiuóanld iecz oandtaad celt oots e rcrereocse ptdoedr aetspo asr laaa tencdieó n consuylr teacsl apmroess enptoalrdo cosos n sumifdionraenscc ioemtroi otsu dlela rodesas t os. e) Locsa nadliessp upesoltraeo n st ivdiagdi plaarldaaaa t endceic óonn suylr teacsl armeolsa cionados coentl r atamdiele odnsat topo esr sodneacllo enss umfiidnoarn dceci oenrfoo,r cmoilnddo ai ds puesto enl nao rmaatpilviac able. f) Losp rocedimqiueepn etromsil tasa unp redseil óonds a tpoesr sondaell oecsso nsumidores

financsieegraúopnsl ,id qecu oen,f orcmoilndna ao dr matviivgiednatde . Dei gufaolrm al,ae sn tidvaidgeisld aedbaaesdn e lantar dpeer dougcraafcmiianósan n pcaireiarn af ormala ors consumifdionraenscs ioeblrrooedss e recohbolsi,g aycr ieosnpeosn sabdielriidvdaaeddtleor ssa tamdiese unst o dateones ml a rdceol afsi naanbziaesr tas.

PARTE -1T ÍTULO 1-CAPÍTULO IX PÁGINA4

Circular Externa de 2024 de 2024

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PARTE 1

INSTRUCCIONES GENERALES APLICABLES A LAS ENTIDADES VIGILADAS

TÍTULO 1

ASPECTOS GENERALES

CAPÍTULO X. COMERCIALIZACIÓN DE TECNOLOGIA E INFRAESTRUCTURA A TERCEROS

CONTENIDO

1. ÁMBITO DE APLICACIÓN

2. REGLAS PARA LA COMERCIALIZACIÓN DE TECNOLOGÍA E INFRAESTRUCTURA A TERCEROS PARTE 1-TÍTULO1 -CAPTÍULOX CircuElxatrnrea de 2024 de2 024 o o

4

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PARTEI

INSTRUCCIONES GENERALES APLICABLES A LAS ENTIDADES VIGILADAS

TÍTULOI

ASPECTOS GENERALES

CAPÍTULO X. COMERCIALIZACIÓN DE TECNOLOGÍA E INFRAESTRUCTURA A TERCEROS

1. ÁMBITO DE APLICACIÓN las entidades vigiladas por la Superintendencia Financiera de Colombla que comercialicen a terceros y entidades vigiladas la tecnología e infraestructura que utilizan o hayan utilizado para el ofrecimiento o prestación de sus servicios y desarrollo de sus actividades conexas, de conformidad con el artículo 2.35.9.3.1. del Decreto 2555 de 2010, incorporado por el Decreto 1297 de 2022, deben cumplir las instrucciones previstas en el presente Capitulo.

2. REGLAS PARA LA COMERCIALIZACIÓN DE TECNOLOGÍA E INFRAESTRUCTURA A TERCEROS La tecnología e infraestructura objeto de comercialización debe corresponder a aquella que haya sido o sea utilizada

por la entidad vigilada para el ofrecimiento o prestación de sus servicios y desarrollo de sus actividades conexas, con independencia de sí ha sido desarrollada por esta o por un tercero. la junta directiva o el órgano que haga sus veces de las entidades vigiladas que lleven a cabo la actividad de comercializaclón de tecnología e infraestructura a terceros debe definir las políticas para el desarrollo de esta actividad y la gestión de los riesgos derivados de la misma. Además, corresponde a las entidades vigiladas definir y adoptar procedimientos para verificar las condiciones, términos y requisitos bajo los cuales se desarrolla esta actividad. las entidades vigiladas deben dar cumplimiento a las siguientes instrucciones: a) Evaluar de forma previa a la celebración del contrato los riesgos asociados a la comercialización de tecnología e Infraestructura a terceros. b) Establecer salvaguardas, tales como seguros o garantías, para cubrir el riesgo de incumplimiento de las obligaciones derivadas de los contratos. c) Administrar el riesgo reputacional asociado al uso del nombre o imagen de la entidad vigilada por parte de quienes adquieran o usen la tecnología o Infraestructura. d) Administrar el riesgo sistémico asociado a la falla de la tecnología o infraestructura objeto de la comerclalización, en el evento en que dicha tecnología o infraestructura haya sido adquirida por otras entidades vigiladas. e) Implementar controles de calidad sobre la tecnologla e infraestructura objeto de la comercialización. las entidades vigiladas deben dejar constancia de la verificación de los requisitos establecidos en el presente numeral, y dicha constancia debe quedar a disposición de la SFC. Adicionalmente, las entidades vigiladas mantendrán a disposición de esta Superintendencia los documentos en los cuales consten las condiciones, términos

y requisitos bajo los cuales desarrollan la actividad de comercialización de tecnologla e Infraestructura a terceros. Las entidades vigiladas deben utilizar sus recursos propios para cubrir el incumplimiento de las obligaciones derivadas de los contratos mediante los cuales se instrumental iza la comercialización. PARTET Í1T-U1L-OC APÍTUXL O Pági1n a CircEuxltaerr dne2a 0 24 de2 024 004 CircEuxltaerr ndae 2 024 de2 024

PART1-ET

Í TUL1O1 1C A-PÍTIULO

PÁGINA14 3.2.L4ap. r7e.s tdaesc eirvóinac t iroasdv eéc so rrespeoxnisegadlel i essed ñeuo n eas traqtuelegpe ie ar mail taea n tidad consumyti idypom oro ndteoo peraycd ieóbsnee rcvoimrmo e canidsecm oon firdmela amc iisómna . Dicshoop odretbceeo nteanlm eern olsaf echhoar,ca ó,d idgecolo rrespnoúnmsedarello ,a o peraccoisóptnao,re al garanetlni orc eep updoiproa rtdeel ae ntiydq audde é c uendtela ao peración poeerflc e ocntsuuamfdiiad noarn ciero. Laosp eracqiuosene re esa lfiucederenla i naet ar,a dveé scu onr resmpóovndiselab,lce onn taurn s ocpoonr te físico que cliedneslto ep orte dielm aop preersaosc ailóqvnuo,se e sao licpioetrlca

ldioe nte. estneu mecruaaln sdeio n foerlnm úem edrelo oa p eraPcairólanop .sa gsoiscn o ntnaocs teoro áb liglaaet notrriaealg a usuadreei sots ai tuaPcaireóalcn a.s doeI VyR dispmoósviitslieeev nsot se ncduemrpále ilrd eoq ueisstiatbol eenc ido lacuqeunrete ac uinbtaer ansfeCrueannncdosio ea p .u egdean eerlsao rp osredt eeb,ae d veprtrierv iaamlcel niteoen te afecSteda enb.e n olocnsuú lmteadrreol sac su enctoaensx cepclioóúsnl tdi4emc oasr acstaelrcveuosa, ns deto r adtee cosptaore acl l ieoun stuea triidpoeoo, p eraecnitóindi,an dveosl u(csarei al dhlaaosly u gya rn)ú mdeelr acosu enqtuaes cuasleh izloam ismpaa;r a disposietlni úvmoedsre osm edólcevu iasllehe iszl:oca o nexniúómne)dr,elo a o peración, menolsas iguiiennftoer mfaeccihhóoanr,(:a h oyrm ai nuctóod)i,g doi sdpeol(s piatIrinavt oel radn ierte:cI cPdi eósnld ae 3.2.G4e.n6e.ur nas ro poartlme o mendtelo ar ealidzeaca cdiaoó pne ramcoinóent Daircishaoo.p odrteebc eo ntealn

er del odsi ferceanntaeeli sen ss trupmaerlnaart eoasl idzeao cpieórna ciones. 3.2.D4i.s5e.pñ raorc edipmairdeaana rtc oosn oacl eocrsl ieunstueasyr,f i uonsc iolnoarsri ieosdsge,or si vdaedulos so prestdaesc eirvóinc ios. dispodseil cocisoó nns umifdionraensce illei rsotasac,td uoa dleil zocasod ror esphoanbsiallietsla aed notsip daparlodaar Parlaap restdaecs ieórnv iatc riaodvseé c so rresponsallaee nst imddóeavbdmie al netse,pn eerrm,a nentye mae nte debaed opetlca lri epnatreeaul s doe l omsi smos. 3.2.E4s.t4a.b ylp eucbelrpi oclrao crsa nadleed si striebnlu ocqsiu ósene p,ao silbalmsee ,d iddeas se guridad que mediddeas se gurqiudseae dd e baedno pptaarsraur ealización. alterneaxtpilviac,ál nacdsao rlaecst edreíe ssttoiapcsea rsa cliaocsno ensd,i cdiero engeisds etl ramosi smyals a,s Parlaap restdaecslie órvnif cuieodr ela í nleaaes,n tiddaedbeeisnn foarl moacsro nsumifdionraenssc oiberreo s esta al

ocsl iecnotnefsis rqimu aioref nr eelsce erv iecsitaoáu torpiazrtaaadp lor opósito. locso nsumifdionraenssco ibelrrameo a sn edreia d entiAfsimlci asrmdloeo,bs ce.on n ctoamnre canisqmuolese p se rmita Laesn tidqaudpeer se ssteervni cati roasdv eéc so rrespmoónvsiadlleeebssie mnp lemeesnttraarpt aergiain afso ar mar canceldaelc oipsór no duycs teorvsi ocfiroesc idos. realidzeao cpieórna cpioocrna edcsaa naaslcí,o mloo psr ocedipmaireeanlb t loosq uienoa,c tirveaaccitóinyv, a ción 3.2.I4n.f3o.ar dmeacru adaalm oecsnl tieer netsepsde ectl oam se diddeas se gurqiuddeae db teenn eencr u enptaarl aa realiczoasndu ass productos. 3.2.E4s.t2a.b llaecsco enrd icbiaojlnoace sus a lleocssl iepnotderssáe inrn foremanld ionasec ae rdcela ao sp eraciones domiecniCl oiloo mbia. cajearuotso máltoaib cloisgs aócalipoól npi acroaap eracrieoanleieszn ea tlde arsr niatcoiryoic noua yalou toritzeandgao r loh ayb,r indálnapd oosliebsdi ele ifdeacdto un aorE.ln ea s teev

enstigone neradceci oóbnar log uTnroa.t ándose de 3.2.D4a.ar1c .o noacs eurcs l ieyn tuessu eanrf ioorpsmr,ae avl iara e alidzeal caoi póenr aecclio ósndt,elo am ismsai, servdiecl iaeosns t idvaidgeisdl eabdceau sm pcloilnra s si guiceonntdeisc iones: Lai nformqaucseie só unm inait srtardveeél sod si stcianntaodlsepe rse stuao cfiróenc idmeli oepsnr tood uoc tos 3.2A.t 4r.a dveél sod si vecrasnoasdl epe rse stdaesc eiróvni cios del orsi esagsoosc iaae dsotisne t ercambio. permeiiltn at ercambidoe ia nuftoormmeáantlc iaiccsóoo nn ,d icqiuocena edsa entidaycd o lndad e etbeigrdemasi tnieó n disposdeit ceirócnde ersoasr rodlelA aPd(IoA rpepsl iPcraotgiroanmI mnitnegrfo a cdceeu) a lqoutirmeoer c aniqsumeo 3.2.L3ai. n4f ormaaccitóuna ldielz opasrd oad ucctaonsa,pl uenstd,o eas t encsieórvni,cyt i aorsip fuaessd,eep r u esat a realjiudraíydde iccoan ódmeislce arv ipcrioom ovido. correspoynl dadi ievnutloegp sau dbal ipcoilrtae a ndtaia dt ardad veél

sod si fermeendtiyeo/scso a nayla ejsu;s tala ar se terc(earsoess aogreensct,oe mse rceinatloretesr ,do esb)se e cro ncorcdoaannq tuee clolnat eennil docaso ntratos 3.2.L3ai. n3f.o rmqausceui móinn ilsaetsnr teindv aidgeisal l aodcsao sn sumifdionraendsci ireercotsoa mtaer natdveeé s persocnocanus a lqtuidipeeod r i scapyaa cdiudlmatadoy so res. 3.2.L3a.es2n .t idvaidgeisdl eabddeainsv ullagmsae rd idcaasn,ae li enss truqmueienm tpolse mpeanrltaaea nt enac ión debidadmoecnutmee ntados. señaleande olss u bnumperreaceld eLnotcser .i teemrpiloesap daorlsaas elecdceti aólnme esc anidsemboeesns tar 3.2.L3a.i 1n.f ormdaecbsieeó drni vulagt ardaadv eém se caniqsumgeoa sr anltaoi bcesne rvdaeln ocrsie aq uisitos consumifidnoarnecsi eros: Laesn tidvaidgeisld aedbaeasnt enldaessri guientes einln asd tirfuudcsecil ióaion nn feosr maal coisó n 3.2D.i3f.u dseli iaón nf ormación sitwieobds el aesn tidvaidgeisyl e ansd uaossf icinas. 3.2.S2e.er5n .t reoge asdtpaae rr manendtiesmpeonpntaierlb aolc

seo nsumifdionraenscc ioemmroío nsi,em nlo o s del aú ltaicmtau alización. 3.2.E2n.c4o.n tvriagreasnlmet o em enetnqo u see s uminoid sitvruel gue, itnideimdcpeváo in gdeoynsl ceafi eaec lh a 3.2.S2e.dr3i .v ulogs audmai nistrada oportunamente. 3.2.S2e.cr2l .ay cr ao mprensible. 3.2..S 2e.cr1i esrtuaf,i cyci oernrtees apl ooonf dreerocp irdeov iapmuebnltiec itado. subnumperreacle ydp eanretale cl oo,mm oí nidmeob,e : Lai nformqaucdeii óvnu logs uuemni nilsaetsnr teind vaidgeisld aedbcaeus m pcloilnraf inaplriedvaeidnes lt a 3.2R.e2q.u idseli iatn ofso rmación SUPERINTENFDIENNACNICADI

EEC ROAL OMBIA

\

SUPERINTENFDIENNACNICADI EEC ROAL OMBIA

PARTE 111

MERCADO DESINTERMEDIADO

TÍTULO IV PROVEEDORES DE INFRAESTRUCTURA Y OTROS AGENTES CAPÍTULO IX: ENTIDADES ADMINISTRADORAS DE SISTEMAS DE PAGO DE BAJO VALOR-EASPBV

CONTENIDO

1. AUTORIZACIÓN PARA EJERCER LA ACTIVIDAD DE COMPENSACIÓN Y LIQUIDACIÓN EN SISTEMAS DE PAGO DE BAJO VALOR 1.1 Autorización de los reglamentos de las EASPBV 1.2 Régimen de inversión en EASPBV

2. REGISTRO DE ADQUIRENTES NO VIGILADOS -RANV 2.1 Objeto y alcance del RANV 2.2 Requisitos y efectos de la Inscripción 2.3 Procedimiento de inscripción 2.3.1 Reglas relativas a la solicitud 2.3.2 Negación de la solicitud de inscripción 2.4 Reglas particulares de operación del registro 2.4.1 Remisión periódica de información 2.4.2 Cancelación de la inscripción 2.4.3 Publicidad del RANV y su contenido

3. OBLIGACIONES DE TRANSPARENCIA DE LOS ADQUIRENTES ENTIDADES RECEPTORAS

4.JUNTAS DIRECTIVAS DE LAS EASPBV

5. ACTIVIDADES CONEXAS DE LAS EASPBV

i 6. ESTÁNDARES OPERATIVOS, TÉCNICOS Y DE SEGURIDAD PARTE 111-TÍTULO IV-CAPÍTULO IX Circular Ext "er na n Jd e 2024 de 2024

SUPERINTENDFEINNCAINAC IDEECR OAL OMBIA iv) Garantizar que la selección, aprobación, renovación y sustitución desu s miembros sea un proceso estratégico

al interior dela EASPBV, y cuente con normas internas que establezcan los perfiles y calidades para ser miembro, los procesos deno minación y remoción, y esquemas desu stitución delid erazgo.

5. ACTIVIDADES CONEXAS DE LAS EASPBV Las actividades conexas que desarrollen las EASPBV deben guardar relación directa con aquellas definidas en su objeto social exclusivo, consagrado en el parágrafo 1 del art. 2.17.2.1.1 del Decreto 2555 de 2010. Se consideran actividades conexas dela s EASPBV aquellas que tienen como propós ito mejorar, hacer más eficiente, agilizar, o fortalecer la seguridad dela s siguientes actividades: i) compensación y liquidación, ii) provisión de servicios de pago por delegación dead quirentes o entidades emisoras, y iii) procesamiento de órdenes de pago o transferencia de fondos y suministro de tecnologlas de corresponsales, puntos de recaudo y cajeros electrónicos.

6. ESTÁNDARES OPERATIVOS, TÉCNICOS Y DE SEGURIDAD Las EASPBV deben definir requerimientos operativos, técnicos y de seguridad proporcionales al rol y a los riesgos inherentes a la actividad que cada uno de sus participantes ejecuta dentro del SPBV. Dichos requerimientos deben estar alineados con estándares internacionales y promover el cumplimiento de los principios definidos en el art. 2.17.1.1.2 del Decreto 2555 de

2010. Las EASPBV deben realizar, de manera previa, un análisis