Pagos QR: ¿Qué medidas de seguridad estableció el BCR para este servicio?

El Banco Central de Reserva del Perú (BCR) publicó este domingo el reglamento del servicio de pago con códigos de respuesta rápida, más conocido como pagos QR. La finalidad, según explica, es garantizar la seguridad de quienes lo usan.

Cabe indicar que los códigos QR y las Billeteras Digitales son innovaciones tecnológicas en pagos que se han promovido en varios países con baja bancarización que los medianos y pequeños comercios y sus consumidores hayan sido incluidos en los servicios de pago digitales.

En ese sentido, se establece que para realizar transferencias de fondos o pagos con Códigos QR, los emisores o proveedores de dichos códigos deben observar el estándar internacional EMV® QR Code Specification for Payment Systems presentado por el Comercio (EMV QRCPS), emitido por la Organización EMVCo, en la versión 1.0 de julio de 2017 y sus modificatorias, para Códigos QR estáticos y dinámicos.

Registro

Los proveedores de Billeteras Digitales y Proveedores de Códigos QR deben inscribirse en el Registro creado por el BCR en un plazo máximo de noventa días de publicada la presente circular. Asimismo, las nuevas empresas deben registrase al menos 90 días antes de iniciar sus operaciones.

El BCR podrá solicitar aclaraciones e información adicional a la presentada para el registro. Asimismo, deberán considerar que antes del cierre del mes de febrero de cada año remitirán en formato digital la versión anual del Reporte de Operaciones (Ver Anexo 2), publicado en el Portal Institucional.

Asimismo, la entidad señala que los Proveedores de Códigos QR, Proveedores de Billeteras y Redes de Pago deberán propender a la interoperabilidad y evitar que subsistan prácticas que la limiten. “El BCRP podrá establecer condiciones y oportunidades para la interoperabilidad”, indica.

Las medidas

Algunas de las medidas más importantes del reglamento que las entidades que participan en el Servicio de Pago con Códigos QR deben contar son:

1. Procedimientos, reglamentos y contratos consistentes con las normas y regulaciones vigentes.

2. Sistemas de control y de gestión para identificar, vigilar y administrar los riesgos generales de negocio y contar con procedimientos para identificar las fuentes de riesgo operacional internas y externas y para mitigar su impacto.

3. Procedimientos que le garanticen un alto grado de fiabilidad operativa y de continuidad del servicio, teniendo como objetivo la recuperación oportuna de las operaciones.

4. Políticas de seguridad de la información (confidencialidad, integridad, autenticación, disponibilidad, entre otros) que aborden las vulnerabilidades y amenazas potenciales y que le garanticen la fidelidad de la información procesada y transmitida.

5. Un servicio que sea eficiente y eficaz y que propicie la Interoperabilidad y que cubra las necesidades de pago de Comercios y Consumidores.

6. Los Proveedores de Billeteras y QR deben contar con un Reglamento Operativo que contenga como mínimo: Las obligaciones y derechos de las partes. Los horarios de atención del servicio y los canales dispuestos de comunicación a fin de ofrecer un soporte especializado.

7. La política de comisiones, así como los mecanismos de solución de controversias y los canales de comunicación para dicho fin.

8. Los procedimientos implementados para el tratamiento adecuado de casos de ataques cibernéticos, entre ellas, las medidas adoptadas para la validación y autenticación de la identidad del Consumidor.

9. El tratamiento en caso de consumos no reconocidos o las reversas o anulaciones de cargos.

10 Los Proveedores de Códigos QR y los Proveedores de Billeteras deben contar con:

a. Una política de seguridad que explique claramente cómo los Comercios y Consumidores son protegidos contra el fraude y qué acciones deben adoptar estos para evitar errores y fraudes.

b. Una política de privacidad de la información explicando cómo se usan, guardan y transmiten los datos del Comercio y del Consumidor, la misma que debe asegurar la confidencialidad de la información y que ésta no podrá ser utilizada para otros fines sin su aprobación, conforme a la Ley de Protección de Datos Personales vigente.

6.3 Las Redes de Pago, Proveedores de Códigos QR y Proveedores de Billeteras deben contar con un documento que describa su participación en el proceso de transferencia de fondos y el flujo de información en dicho proceso.

6.4 Observar otras obligaciones que señale el presente Reglamento.