⚖️ Mapa regulatorio y de estándares¶
[!WARNING] Material educativo, no asesoría legal ni de cumplimiento. La obligación depende de país, rol, flujo de fondos, instrumento, datos y contrato. Verifica siempre la norma y guía vigentes con la autoridad y profesionales competentes.
Método de análisis¶
- Identificar jurisdicciones del pagador, comercio, entidad y settlement.
- Dibujar actores, contratos y quién toca fondos/datos.
- Clasificar instrumento, canal, rail y modelo push/pull.
- Determinar licencias/registros y reglas de esquema.
- Mapear datos de cuenta, PII, autenticación y retención.
- Evaluar AML/CFT, sanciones, fraude, consumidor, disputas e impuestos según rol.
- Establecer resiliencia, outsourcing, auditoría y reporte de incidentes.
- Conservar versión, fecha, owner y evidencia de cada obligación.
Chile-first¶
| Dominio | Pregunta | Fuente primaria |
|---|---|---|
| sistemas de pago | ¿Es bajo/alto valor, cámara, operador o participante? | Banco Central de Chile — Sistemas de pagos |
| normativa financiera | ¿Qué capítulo del CNF aplica a tarjetas, cámaras o LBTR? | Compendio de Normas Financieras |
| fintech/Open Finance | ¿El rol queda dentro de Ley 21.521 y NCG 514/SFA? | CMF — portal normativa |
| datos personales | ¿Base, finalidad, seguridad, derechos y transferencias? | BCN — legislación chilena |
| consumidor | ¿Información, cargos, reversas y responsabilidad? | SERNAC |
| AML/CFT | ¿La entidad es sujeto obligado y qué reporta? | UAF Chile |
El Banco Central distingue sistemas de alto valor (incluido LBTR) y bajo valor; las tarjetas, TEF, cheques y cajeros tienen reglas e infraestructuras propias. La implementación del Sistema de Finanzas Abiertas es dinámica: antes de construir, releer la NCG 514 y su anexo técnico vigente, no una copia de este documento.
Estándares y marcos globales¶
| Tema | Alcance | Fuente primaria |
|---|---|---|
| datos de tarjeta | baseline técnico/operativo para account data | PCI DSS y biblioteca PCI SSC |
| EMV | chip/contactless, 3DS, tokenización, SRC y QR | EMVCo Technologies |
| infraestructuras | finalidad, riesgo de crédito/liquidez, continuidad | CPMI-IOSCO PFMI |
| mensajes | definiciones versionadas para pagos y reporting | ISO 20022 Catalogue |
| API financiera | perfil OAuth de alta seguridad | FAPI 2.0 |
| OAuth | mejores prácticas actuales de seguridad | RFC 9700 |
PCI es un estándar de industria, no una licencia financiera. EMV define interoperabilidad y pruebas, no reemplaza reglas de cada esquema/adquirente. ISO 20022 es un modelo de mensajes; cada comunidad tiene su usage guideline. Cumplir uno no implica cumplir los demás.
Checklist por modelo¶
Comercio que acepta pagos¶
Contrato de adquirencia/PSP, PCI y checkout, información al consumidor, impuestos/documentos, fraude, refunds/disputes, conciliación, privacidad y continuidad.
PSP/orquestador/marketplace¶
Licencia o exclusión, flujo/custodia de fondos, safeguarding, KYB/KYC y beneficiario efectivo, AML/sanciones, subcomercios, reservas/payouts, outsourcing, capital/garantías, reportes, auditoría y resolución.
Payment initiation/Open Finance¶
Registro, directorio y certificados, consentimiento, FAPI/perfil local, redirect/app-to-app, SCA si aplica, alcance/finalidad, revocación, incidentes, terceros y evidencia.
Activos digitales¶
Clasificación del activo/servicio, custodia, transferencias, Travel Rule cuando aplique, AML/sanciones, reservas/redención de stablecoin, divulgación de riesgo, contabilidad/impuestos y ciberseguridad de claves.
Registro de decisiones¶
Toda integración real debería producir una matriz con requirement_id, fuente enlazada, versión/fecha, aplicabilidad, control, evidencia, owner, frecuencia de revisión y excepción. No copies texto normativo extenso: enlaza la fuente, traduce la obligación a un control verificable y registra la interpretación profesional.
Revisión documental: 7 de septiembre de 2026. Las fuentes dinámicas deben revalidarse antes de uso real.