PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN

A. Todo Concesionario de un negocio de servicios monetarios deberá asegurarse de proteger y salvaguardar la confidencialidad y seguridad de la información personal recibida. Deberá establecer, y/o exigir a sus agentes autorizados, en los casos en que el Concesionario no lo provea, que establezcan programas apropiados de seguridad con controles físicos, administrativos y tecnológicos, conforme al tamaño y complejidad del negocio, el tipo de actividad que lleva a cabo y la sensibilidad de la información, que incluyan como mínimo: 1. Seguridad física Establecer medidas para contrarrestar los riesgos a los sistemas de información, además de mantener organizado y en buen estado los libros, registros, expedientes o documentos. 2. Seguridad logística Se restringirá el acceso a los archivos de datos y programas instalados en las computadoras al personal autorizado. Los usuarios tendrán que estar autorizados expresamente por la gerencia para acceder al sistema, de acuerdo con sus funciones. Los formularios de autorización (en papel o electrónicos) establecerán quién tendrá acceso a qué y evidenciarán la aprobación a nivel gerencial. 3. Protección de Data Los Concesionarios proveerán a sus clientes, mediante carta o medio electrónico, la divulgación correspondiente sobre la utilización y los propósitos de la información personal que solo puede ser utilizada para propósitos de prevenir el lavado de dinero y la financiación del terrorismo. 4. En caso de una filtración de datos ("data breach") deberán cumplir con la Ley Núm. 111-2005, según enmendada, conocida como "Ley de Información al Ciudadano sobre Seguridad de Bancos de 9 Información" o cualquier ley que la sustituya. 5. Se mantendrán respaldos ("backups") actualizados de los archivos y de los programas. 6. Todo Concesionario tendrá que desarrollar un Plan de Continuidad de Negocios opere éste directamente en Puerto Rico o mediante agentes autorizados localizados en Puerto Rico, en cuyo caso el agente autorizado no tiene que desarrollarlo. El Plan de Continuidad tendrá que cumplir con las leyes estatales y federales para garantizar la continuidad de la operación cuando surjan eventualidades tales como: desastres naturales como huracanes, inundaciones, terremotos y cualquier otro considerado como actos de fuerza mayor, robos, fallas de equipo, virus en los sistemas de informática, acceso indebido a los datos, sabotaje, entre otros, así como para reportar eventos de robo de identidad, ataques cibernéticos y crímenes cibernéticos, según establecido en la normativa vigente tal como la Ley Núm. 11-2005, los Safeguard Rules del Gramm-Leach-Bliley Act, 15 U.S.C. 6801 et seq., 16 C.F.R. 314, entre otros, y proteger la confidencialidad de la información en el sistema. SUBSECCIÓN 3.3.1. RESPONSABILIDADES ADICIONALES DEL NEGOCIO DE TRANSFERENCIAS MONETARIAS A. Expediente de los Agentes Residentes: Todo Concesionario de servicios monetarios vendrá obligado a mantener un expediente, en forma tangible o electrónica, que documente los procedimientos establecidos para realizar la debida diligencia en la evaluación de sus agentes, potenciales y existentes, para asegurarse que éstos tengan los debidos controles internos para evitar ser cómplices o víctimas de actividad ilegal. Estos procedimientos deben incluir, como mínimo, lo siguiente: 1. Revisiones periódicas del desempeño y las tareas realizadas por los agentes en beneficio del Concesionario, incluyendo los señalamientos encontrados y las acciones correctivas requeridas. 2. Evidencia de adiestramientos que ha ofrecido a los agentes autorizados, conforme a la Ley Núm. 136-2010, y de éstos a los empleados que trabajan directamente con los servicios monetarios, sobre el cumplimiento con las políticas y manuales referentes al lavado de dinero, privacidad de la información, debida diligencia, conocimiento del cliente, entre otras. La evidencia física o electrónica podrá constar de certificaciones de participación, hojas de asistencia, o registro de los empleados en el adiestramiento, entre otras. 3. Evidencia o certificación de que el agente autorizado mantiene copia actualizada del manual de cumplimiento con el BSA, según sea enmendado. 4. Evidencia de que los agentes cumplen con realizar una auditoría independiente sobre su programa de anti-lavado de dinero. Para evidenciarlo, el Concesionario deberá requerir de su agente autorizado una certificación de cumplimiento y/o copia de la auditoría. 5. Mantener actualizados los récords de los dueños de las agencias autorizadas y su cumplimiento con la debida diligencia. 10 6. Tomar las acciones necesarias para detectar situaciones sospechosas o que resulten en incumplimiento por parte de la gerencia y empleados del agente autorizado que trabajen directamente con los servicios monetarios. 7. Copia de cualquier cambio material o sustantivo en el contrato o sus anejos suscrito con el agente autorizado, que altere o cambie la naturaleza y el alcance de la relación entre el Concesionario y el agente, así como los derechos y responsabilidades de las partes. 8. Cualquier otro documento que el Comisionado estime necesario para la evaluación cabal del cumplimiento de la Ley Núm. 136-2010 y el Reglamento. B. Todo Concesionario pondrá a disposición del Comisionado copia de todo documento radicado a través del NMLS para analizar la liquidez y capital requerido para operar en Puerto Rico. Disponiéndose además que, a petición del Comisionado, el Concesionario deberá suministrar dentro del plazo que le requiera el Comisionado, la información necesaria para analizar la liquidez y capital requerido para operar en Puerto Rico. C. Todo Concesionario y/o agente autorizado deberá proveer una lista con las unidades de servicio desde donde se realizan transacciones monetarias, incluyendo servicios relacionados con monedas virtuales o criptomonedas u otras similares. D. Todo Concesionario y/o agente autorizado, conforme a la Ley Núm. 136-2010, tiene la responsabilidad de llevar libros y registros en serie, en forma tangible o electrónica, que reflejen fielmente todas las transferencias monetarias y operaciones del negocio que realice, el cual deberá incluir como mínimo: 1. Fecha y hora de la transacción. 2. Nombre completo, dirección residencial física y postal, y número teléfono del Remitente de la transacción. En caso de que la dirección postal sea la misma que la dirección física, así se indicará en el encasillado de dirección postal. Disponiéndose que no se permitirá incluir la dirección postal correspondiente a un apartado postal, bajo el encasillado para la dirección física. 3. Nombre completo del Beneficiario de la transacción. 4. Tipo y número de la identificación con foto que se utilizó para identificar al Remitente y al Beneficiario. El Concesionario y/o el agente autorizado exigirá la presentación de una identificación vigente con foto, nombre, dirección y la fecha de nacimiento de la persona que envíe o reciba cualquier transferencia. Dicha identificación debe haber sido expedida por las autoridades competentes del Gobierno de Puerto Rico, el Gobierno de los Estados Unidos, o de uno de los Estados de la Unión, o por autoridad extranjera. 5. Descripción de la transferencia: el recibo de la transacción cumplirá con el Remittance Rule del Regulation E, 12 CFR 1005 et seq., e incluirá la cuantía del envío, cargos por servicio, cantidad total cobrada, tasa de cambio, y fecha de disponibilidad de los fondos para el beneficiario. 11 6. En cualquier cancelación, el negocio de transferencias monetarias registrará la cantidad reembolsada al cancelar una transferencia monetaria y requerirá cumplir con los procesos de reembolso que establecen las leyes modelo, tales como el CSBS Model Money Transmission Modernization Act, o cualquier proceso de reembolso requerido por las leyes y entidades correspondientes. 7. El negocio de transferencias monetarias deberá asegurarse de cumplir con cualquier otra ley estatal o federal aplicable para la retención de información sobre todas las transacciones. E. El Concesionario mantendrá disponibles los libros y registros en todo momento para la inspección del Comisionado. Además, el Concesionario y/o el agente autorizado tendrán disponible para examen la siguiente información: 1. Cantidad total de reportes enviados a FinCEN, CTRs y SARs por cada mes del año y correspondiente a Puerto Rico. 2. En el caso del Concesionario que opere directamente en Puerto Rico o mediante agentes autorizados localizados en Puerto Rico: copia de las conciliaciones diarias de efectivo. Todas las transacciones diarias deberán estar detalladas en un informe, de forma tangible o electrónica. Además, todos los depósitos deberán estar evidenciados por sus respectivas hojas de depósito y cualquier otro documento completado. 3. En el caso del Concesionario que opere directamente en Puerto Rico o mediante agentes autorizados localizados en Puerto Rico: un settlement report, un general ledger, estados de cuenta o copia de las conciliaciones bancarias mensuales, según aplique, que contengan lo siguiente: i. Fecha de la preparación y revisión. ii. Firmas de las personas que prepararon y revisaron las mismas. iii. Detalle de las partidas incluidas. Todas las diferencias deberán ser identificadas y clarificadas. F. El negocio de transferencias monetarias radicará el Money Service Business Call Report ("MSBCR") a través del NMLS y mantendrá copia disponible para cuando le sea requerido por el Comisionado. G. El negocio de transferencias monetarias radicará el Uniform Authorized Agent Reporting ("UAAR") a través del NMLS, y mantendrá copia disponible para cuando le sea requerido por el Comisionado. SUBSECCIÓN 3.3.2. RESPONSABILIDADES ADICIONALES DEL NEGOCIO DE CAMBIO DE CHEQUES A. Será responsabilidad de toda persona que se dedique al negocio de cambio de cheques a mantener y llevar un registro, manual o electrónico, de todo cambio de cheque que realice, de acuerdo con las normas y el procedimiento que se establece en este Reglamento. B. El registro tiene que incluir: 12 1. Nombre del librador (persona que emite el cheque y ordena su pago); 2. Nombre del beneficiario (persona a nombre de quien se emite el cheque o el endosante del mismo); 3. Nombre del tenedor (persona que posee el cheque) si es una persona diferente al beneficiario; 4. Cantidad del cheque; 5. Cantidad de efectivo entregada; 6. Tipo de cheque (ej. Cheques de nómina, cheques de seguro, cheques de gobierno, cheques personales); 7. Cargo por servicio cobrado; 8. Fecha de cada cambio de cheque; 9. Hora de cada cambio de cheque; 10. Número de la identificación con foto que se utilizó para identificar a la persona del cheque. El Concesionario exigirá la presentación de una identificación vigente con foto, nombre, dirección, y la fecha de nacimiento de la persona. Dicha identificación deberá haber sido expedida por las autoridades competentes del Gobierno de Puerto Rico, el Gobierno de los Estados Unidos, o de uno de los Estados de la Unión, o por autoridad extranjera; 11. El negocio de cambio de cheques deberá revisar y actualizar los datos de sus clientes activos, por lo menos una vez al año. En el caso de clientes inactivos, se actualizará la información antes de realizar cualquier transacción. Disponiéndose que un cliente activo será aquel que solicita cambio de cheque por lo menos una vez al mes; 12. El número total de cheques cambiados; 13. La cantidad en dólares de todos los cheques cambiados; 14. La cantidad total de tarifas cobradas por cambiar todos los cheques; y 15. Nombre y apellido de las personas a las cuales el Concesionario prohíbe que se le cambien cheques, el cual incluirá a clientes que han presentado cheques fraudulentos o falsos, alterado cheques, falsificado firmas o endosos, entre otros. C. En el registro se incluirá la siguiente información por cada cheque devuelto: 1. La fecha en que el Concesionario cambió el cheque; 13 2. El banco emisor del cheque; 3. La fecha en que el cheque vino devuelto; 4. El nombre del librador (persona que emite el cheque y ordena su pago); 5. El nombre del beneficiario (persona a nombre de quien se emite el cheque) o endosante; 6. La cantidad de cada cheque devuelto; 7. El nombre del banco pagador; 8. La razón para la devolución, ya sea por fondos insuficientes, pago parcial, ausencia absoluta de fondos, librado en chequera ajena, cuenta cancelada o embargada, orden de no pago emitida, prescripción, instrumento aparentemente falso, firma no registrada, firma distinta a la registrada, ausencia de firmas, cheque alterado, entre otras; 9. La fecha en que se volvió a depositar el cheque o "money order"; 10. La fecha y forma de pago de cada cheque devuelto, incluyendo el cheque utilizado para pagar el instrumento original; y 11. Todas las fechas de las gestiones de cobro realizadas para cobrar los cheques devueltos, incluyendo el recibo de pagos parciales. D. El negocio de cambio de cheques mantendrá disponible el Registro en todo momento para la inspección del Comisionado. Además, el Concesionario tendrá disponible para examen la siguiente información: 1. Un detalle de las cantidades de los cheques cambiados por trimestre; 2. Un detalle de las cantidades de los cheques cambiados por sucursal, si aplica; 3. Cantidad total de reportes enviados a FinCEN, CTRs y SARs, por cada mes del año; 4. Detalle de los cargos por servicio cobrados por el Concesionario para cada tipo de cheque cambiado (e.g., Cheques de nómina, cheques de seguro, cheques de gobierno, cheques de lotería, cheques personales), cambio de "money orders", y otros. 5. Conciliaciones bancarias mensuales que contengan lo siguiente: i. Fecha de la preparación y revisión; ii. Firmas de las personas que prepararon y revisaron las mismas; y iii. Detalle de las partidas incluidas. Todas las diferencias deberán ser identificadas y clarificadas. 14 6. Conciliaciones diarias de efectivo. Todas las transacciones diarias deberán estar detalladas en un informe, ya sea manual o electrónico. Además, todos los depósitos deberán estar evidenciados por sus respectivos documentos (hojas de depósito). 7. Copia de todos los cheques cambiados y endosados, que incluya la cara ("faz") del cheque al igual que el reverso. Las copias deben realizarse una vez el Concesionario haya endosado el cheque con su nombre y número de identificación, según requerido por la Ley Núm. 136- 2010. Las copias pueden ser en formato digital, incluyendo aquellas que mantiene en la institución depositaria. E. Cargo por cheque devuelto. 1. El Concesionario podrá imponer un cargo por cheque devuelto al cliente el cual será menor o igual al cargo impuesto por el banco. 2. Si el Concesionario recibe un cheque devuelto por el banco pagador debido a fondos insuficientes, cuenta cerrada o "stop payment order", podrá realizar las gestiones de cobro correspondientes. Sin embargo, el Concesionario deberá asegurarse de cumplir con las prohibiciones estipuladas en el Fair Debt Collections Practices Act, 15 U.S.C. 1692 et seq. 3. Los cheques no cobrados por un período que exceda los noventa (90) días no podrán registrarse en los estados financieros del Concesionario. F. El recibo entregado a los clientes por cada transacción realizada por el negocio de cambio de cheques deberá incluir como mínimo lo siguiente: 1. Membrete con el nombre y la dirección del Concesionario; 2. Número de serie de recibo expedido; 3. Fecha y hora de la transacción; 4. Firma y/o número de operador del cajero que realizó la transacción; 5. Cantidad del cheque; 6. Descripción del concepto por el cual se cobró un cargo, tasa, descuento, o comisión que se cobra al cliente como compensación por los servicios que presta por servicio al cliente; y 7. Cantidad de efectivo entregado al cliente. G. Además de las prohibiciones contenidas en la Ley Núm. 136-2010, ninguna Persona podrá: 1. Cambiar un cheque recibido como parte de su negocio de servicios monetarios en otro negocio que no sea un banco, según este término está definido en la Ley Núm. 136-2010. 15 2. Cambiar un cheque emitido a favor de "Cash" o "Efectivo". 3. Cambiar un cheque utilizando otro método de pago que no sea efectivo. 4. Cambiar un cheque a otra persona que no sea el beneficiario nombrado en el cheque, excepto cuando el presentador del cheque provea una autorización por escrito y notarizada en la cual una persona impedida de presentar el cheque personalmente le solicite que cambie el cheque. 5. Cambiar un cheque emitido a favor de una corporación sin antes verificar y mantener en su expediente los siguientes documentos: evidencia de verificación del estatus de la corporación en la página web del Departamento de Estado de Puerto Rico, obtenido el día del cambio de cheque, copia de la resolución corporativa notarizada, autorizando a la persona que endosa el cheque. 6. Cambiar un cheque y no entregar la cantidad total expresada en el mismo, luego de deducir los cargos por servicios fuera del día de la transacción. 7. Realizar pagos parciales de la cantidad del cheque en diferentes días.