Source: http://docplayer.com.br/1483611-Orientacoes-definitivas.html
Timestamp: 2016-10-24 20:59:18+00:00
Document Index: 69988440

Matched Legal Cases: ['artigo 16', 'artigo 16', 'artigo 16', 'artigo 16', 'artigo 10', 'artigo 1', 'artigo 4', 'artigo 4', 'artigo 1', 'artigo 42', 'artigo 55', 'artigo 34', 'artigo 53', 'ARTIGO 29', 'Artigo 1', 'Artigo 5', 'Artigo 2', 'Artigo 6', 'ARTIGO 29', 'ARTIGO 29']

⭐Orientações definitivas
Orientações definitivas
Download "Orientações definitivas"
Maria Eduarda Aragão Guimarães
1 ORIENTAÇÕES DEFINITIVAS SOBRE A SEGURANÇA DOS PAGAMENTOS EFETUADOS ATRAVÉS DA INTERNET EBA/GL/2014/12 19 de dezembro de 2014 Orientações definitivas sobre a segurança dos pagamentos efetuados através da internet 12 ORIENTAÇÕES DEFINITIVAS SOBRE A SEGURANÇA DOS PAGAMENTOS EFETUADOS ATRAVÉS DA INTERNET Índice Orientações sobre a segurança dos pagamentos efetuados através da internet 3 Título I - Âmbito de aplicação e definições 4 Âmbito de aplicação 4 Definições 6 Título II - Orientações sobre a segurança dos pagamentos efetuados através da internet 8 Ambiente geral de controlo e de segurança 8 Controlo específico e medidas de segurança para pagamentos através da internet 12 Sensibilização e educação do cliente e comunicação com o cliente 18 Anexo 1: Exemplos de boas práticas 21 Ambiente geral de controlo e de segurança 21 Medidas de controlo e de segurança específicas para pagamentos através da internet 21 23 ORIENTAÇÕES DEFINITIVAS SOBRE A SEGURANÇA DOS PAGAMENTOS EFETUADOS ATRAVÉS DA INTERNET Orientações sobre a segurança dos pagamentos efetuados através da internet Natureza das presentes orientações O presente documento contém orientações emitidas nos termos do artigo 16.º do Regulamento (UE) n.º 1093/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Bancária Europeia EBA ), altera a Decisão n.º 716/2009/CE e revoga a Decisão 2009/78/CE da Comissão («Regulamento EBA»). Em conformidade com o disposto no artigo 16.º, n.º 3, do Regulamento EBA, as autoridades competentes e as instituições financeiras desenvolvem todos os esforços para dar cumprimento às presentes orientações. As orientações expressam o ponto de vista da EBA sobre o que constituem práticas de supervisão adequadas no âmbito do Sistema Europeu de Supervisão Financeira ou sobre o modo como a legislação da União Europeia deve ser aplicada num domínio específico. A EBA espera, por conseguinte, que todas as autoridades competentes e instituições financeiras às quais se dirigem as presentes orientações deem cumprimento às mesmas. As autoridades competentes a quem se aplicam as presentes orientações devem cumpri-las incorporando-as nas suas práticas de supervisão conforme for mais adequado (por exemplo, alterando o seu regime jurídico ou os seus processos de supervisão), incluindo nos casos em que as orientações são dirigidas em primeiro lugar às instituições. Requisitos de notificação Nos termos do disposto no artigo 16.º, n.º 3, do Regulamento EBA, as autoridades competentes confirmam à EBA se dão ou se tencionam dar cumprimento às presentes orientações. Caso contrário, indicam as razões da decisão de não cumprimento até 5 de maio de Na ausência de qualquer notificação dentro do referido prazo, a EBA considera que as autoridades competentes em causa não cumprem as presentes orientações. As notificações deverão ser efetuadas através do envio do modelo constante da Secção 5 para o endereço com a referência «EBA/GL/2014/12». As notificações são efetuadas por pessoas devidamente autorizadas para o efeito pelas respetivas autoridades competentes. As notificações são publicadas no sítio Web da EBA, em conformidade com o disposto no artigo 16.º, n.º 3. 34 ORIENTAÇÕES DEFINITIVAS SOBRE A SEGURANÇA DOS PAGAMENTOS EFETUADOS ATRAVÉS DA INTERNET Título I - Âmbito de aplicação e definições Âmbito de aplicação 1. As presentes Orientações estabelecem um conjunto de requisitos mínimos no campo da segurança dos pagamentos efetuados através da internet. As Orientações têm por base as regras da Diretiva 2007/64/CE 1 («Diretiva de Serviços de Pagamento», DSP) referentes aos requisitos de informação aplicáveis aos serviços de pagamento e às obrigações dos prestadores de serviços de pagamento (PSP) relativamente à prestação de serviços de pagamento. Além disso, o n.º 4 do artigo 10.º da Diretiva exige que as instituições de pagamento disponham de dispositivos sólidos de governação e de mecanismos de controlo interno adequados. 2. As Orientações aplicam-se à prestação de serviços de pagamento disponibilizados através da internet pelos PSP, na aceção do artigo 1.º da Diretiva. 3. As Orientações são dirigidas às instituições financeiras, na aceção do n.º 1 do artigo 4.º do Regulamento (UE) n.º 1093/2010, e às autoridades competentes, na aceção do n.º 2 do artigo 4.º do mesmo Regulamento. As autoridades competentes dos 28 Estados-Membros da União Europeia devem assegurar, sob a sua supervisão, a aplicação das presentes Orientações pelos PSP, na aceção do artigo 1.º da DSP. 4. Além disso, as autoridades competentes podem decidir exigir aos PSP que reportem à autoridade competente que dão cumprimento às Orientações. 5. As presentes Orientações não afetam a validade das «Recomendações relativas à segurança dos pagamentos efetuados através da internet» (o «Relatório») 2 do Banco Central Europeu. Em particular, o Relatório continua a representar o documento com base no qual os bancos centrais, no âmbito da sua função de superintendência dos sistemas e dos instrumentos de pagamento, devem avaliar a conformidade relativamente à segurança dos pagamentos efetuados através da internet. 6. As Orientações preveem conteúdos mínimos, não afetando as responsabilidade dos PSP em matéria de controlo e de avaliação dos riscos envolvidos nas suas operações de pagamento, de desenvolvimento das suas próprias políticas de segurança detalhadas e de implementação de medidas adequadas de segurança, de contingência, de gestão de incidentes e de continuidade da atividade proporcionais aos riscos inerentes aos serviços de pagamento prestados. 1 Diretiva 2007/64/CE do Parlamento Europeu e do Conselho, de 13 de novembro de 2007, relativa aos serviços de pagamento no mercado interno, que altera as Diretivas 97/7/CE, 2002/65/CE, 2005/60/CE e 2006/48/CE e revoga a Diretiva 97/5/CE - JO L 319 de5 ORIENTAÇÕES DEFINITIVAS SOBRE A SEGURANÇA DOS PAGAMENTOS EFETUADOS ATRAVÉS DA INTERNET 7. O objetivo das presentes Orientações é definir requisitos mínimos comuns para os serviços de pagamento prestados através da internet indicados infra, independentemente do dispositivo de acesso utilizado: - [cartões] a realização de pagamentos com cartão através da internet, incluindo pagamentos com cartão virtual, assim como o registo de dados de pagamentos com cartão para utilização em carteiras virtuais ( wallet solutions ), - [transferências a crédito] a realização de transferências a crédito através da internet, - [autorização eletrónica de débito em conta] a emissão e a alteração de autorizações eletrónicas de débito diretos, - [moeda eletrónica] transferências de moeda eletrónica entre duas contas de moeda eletrónica através da internet. 8. Quando as Orientações indicam um resultado, este pode ser alcançado através de diferentes meios. As presentes Orientações, para além dos requisitos seguidamente enunciados, disponibilizam exemplos de boas práticas (no Anexo 1), que os PSP são encorajados a adotar, embora não sejam obrigados a fazê-lo. 9. Quando a prestação de serviços e a disponibilização de instrumentos de pagamento é oferecida através de um sistema de pagamento (por exemplo, sistemas de pagamento com cartão, sistemas de transferências a crédito, sistemas de débito direto, etc.), as autoridades competentes e o banco central relevante, que exerce a função de superintendência dos instrumentos de pagamento, devem cooperar, a fim de garantir uma aplicação coerente das Orientações por parte dos agentes responsáveis pelo funcionamento do sistema. 10. Os integradores de pagamento 3 que disponibilizam serviços de iniciação de pagamento são considerados adquirentes de serviços de pagamento através da internet (e, portanto, como PSP) ou prestadores de serviços técnicos externos dos sistemas relevantes ou dos PSP. Neste último caso, os integradores de pagamento devem ser contratualmente obrigados a cumprir as presentes Orientações. 11. Estão excluídos do âmbito de aplicação das presentes Orientações: - outros serviços de internet prestados por um PSP através do seu sítio web de pagamento (por exemplo, corretagem eletrónica, contratos celebrados através da internet), 3 Os integradores de pagamento oferecem ao beneficiário (por exemplo, a entidade de comércio eletrónico) uma interface normalizada para os serviços de iniciação de pagamento fornecidos pelos PSP. 56 ORIENTAÇÕES DEFINITIVAS SOBRE A SEGURANÇA DOS PAGAMENTOS EFETUADOS ATRAVÉS DA INTERNET Definições - pagamentos em que a instrução é comunicada através de correio, por telefone, correio de voz ou utilizando tecnologia baseada em SMS (short message service ou, por tradução, serviço de mensagens curtas ), - pagamentos móveis, exceto pagamentos baseados em navegadores (browsers), - transferências a crédito em que terceiros têm acesso à conta de pagamento do cliente, - operações de pagamento efetuadas por uma empresa através de redes dedicadas, - pagamentos com cartão, utilizando cartões pré-pagos físicos ou virtuais anónimos e não recarregáveis em que não existe uma relação contínua entre o emitente e o titular do cartão, - compensação e liquidação de operações de pagamento. 12. Para efeitos das presentes Orientações e sem prejuízo das definições fornecidas na DSP, aplicam-se as seguintes definições: Autenticação é o procedimento que permite ao PSP verificar a identidade de um cliente. Autenticação forte do cliente é, para efeitos das presentes Orientações, o procedimento baseado na utilização de dois ou mais dos seguintes elementos categorizados como conhecimento, propriedade e inerência: i) algo que apenas o utilizador conhece, por exemplo uma palavra-passe estática, um código, um número de identificação pessoal; ii) algo que apenas o utilizador possui, por exemplo um dispositivo de autenticação (token), um cartão inteligente, um telemóvel; iii) alguma característica inerente ao utilizador, por exemplo, uma característica biométrica, designadamente uma impressão digital. Além disso, os elementos escolhidos devem ser mutuamente independentes, isto é, a violação de um desses elementos não compromete o(s) outro(s). Pelo menos um destes elementos deve ser não reutilizável e não reproduzível (com exceção da inerência) e insuscetível de ser sub-repticiamente furtado através da internet. O procedimento de autenticação forte deve ser concebido de forma a proteger a confidencialidade dos dados de autenticação. Autorização é um procedimento que verifica se um cliente ou um PSP tem o direito de executar uma determinada ação, por exemplo o direito de transferir fundos ou de ter acesso a dados sensíveis. Credenciais são as informações, geralmente confidenciais, fornecidas por um cliente ou por um PSP, para efeitos de autenticação. As credenciais podem também dizer respeito à posse de um instrumento físico que contém informações (por exemplo, um gerador de palavraspasse de uso único, um cartão inteligente) ou alguma coisa que o utilizador memoriza ou representa (tais como características biométricas). 67 ORIENTAÇÕES DEFINITIVAS SOBRE A SEGURANÇA DOS PAGAMENTOS EFETUADOS ATRAVÉS DA INTERNET Incidente de segurança dos pagamentos de carácter severo é um incidente que tem ou poderá ter um impacto material sobre a segurança, a integridade ou a continuidade dos sistemas relacionados com pagamentos do PSP e/ou a segurança de dados de pagamento sensíveis ou de fundos. A avaliação da materialidade deve incluir o número de potenciais clientes afetados, o montante/valor em risco e o impacto sobre outros PSP ou sobre outras infraestruturas de pagamento. Análise de risco da operação é a avaliação do risco associado a uma operação específica, tendo em conta critérios como, por exemplo, os padrões de pagamento do cliente (comportamento), o valor da operação relacionada, o tipo de produto e o perfil do beneficiário. Cartão virtual é uma solução de pagamento baseada num cartão, em que é criado um número de cartão temporário e alternativo, com um período de validade reduzido, uma utilização limitada e um limite de despesa predefinido, que pode ser utilizado para efetuar compras através da internet. Carteira virtual é a solução que permite a um cliente registar dados relacionados com um ou mais instrumentos de pagamento, a fim de realizar pagamentos com várias entidades de comércio eletrónico. 78 Título II - Orientações sobre a segurança dos pagamentos efetuados através da internet Ambiente geral de controlo e de segurança Governo 1. Os PSP devem implementar e rever regularmente uma política de segurança formal para os serviços de pagamento através da internet. 1.1 A política de segurança deve ser devidamente documentada, revista regularmente (em conformidade com a Orientação 2.4) e aprovada pela direção de topo. Esta política deve definir os objetivos de segurança e a apetência pelo risco. 1.2 A política de segurança deve definir funções e responsabilidades, incluindo a função de gestão de riscos com uma linha de reporte direta ao órgão de administração e linhas de reporte para os serviços de pagamento prestados através da internet, incluindo a gestão de dados de pagamento sensíveis relativos à avaliação, ao controlo e à mitigação de riscos. Avaliação de riscos 2. Os PSP devem realizar e documentar, de forma exaustiva, avaliações de risco relativas à segurança de pagamentos efetuados através da internet e de serviços relacionados, antes da criação do(s) serviço(s) e, de forma regular, após a sua criação. 2.1 Os PSP, através da sua função de gestão de riscos, devem realizar e documentar avaliações de risco detalhadas para os pagamentos efetuados através da internet e os serviços relacionados. Os PSP devem considerar os resultados do acompanhamento permanente de ameaças de segurança relacionadas com serviços de pagamento através da internet que prestam ou pretendam prestar, tendo em conta: i) as soluções de tecnologia que utilizam, ii) os serviços subcontratados a prestadores externos e iii) o ambiente tecnológico dos clientes. Os PSP devem considerar os riscos associados às plataformas de tecnologia escolhidas, à arquitetura da aplicação, às técnicas e às rotinas de programação, que provenham tanto da sua parte 4 como da parte dos seus clientes 5, assim como os resultados do processo de acompanhamento de incidentes de segurança (ver Orientação 3). 4 Tais como, a suscetibilidade de o sistema para a sessão de pagamento ser sujeito a intrusão (hijacking), a injeção de SQL (SQL injection), a execução de scripts maliciosos em vários sítios (cross-site scripting), capacidades da memória intermédia excedidas (buffer overflows), etc. 5 Tais como, os riscos associados à utilização de aplicações multimédia, plug-ins do navegador (browser), frames, hiperligações externas, etc. 89 2.2 Nesta base, os PSP devem determinar se e em que medida podem ser necessárias alterações aos mecanismos de segurança existentes, às tecnologias utilizadas e aos procedimentos ou serviços prestados. Os PSP devem ter em consideração o tempo necessário para implementar as alterações (incluindo junto dos clientes) e devem tomar as medidas transitórias apropriadas para minimizar os incidentes de segurança e a fraude, assim como potenciais efeitos disruptivos. 2.3 A avaliação de riscos deve ter em conta a necessidade de proteção e de salvaguarda dos dados sensíveis de pagamento. 2.4 Os PSP devem realizar uma análise dos cenários de risco e dos mecanismos de segurança existentes, após incidentes graves que afetem os seus serviços, antes de uma alteração significativa na infraestrutura ou nos procedimentos, e quando são identificadas novas ameaças através de atividades de monitorização de riscos. Além disso, deve ser realizada uma revisão geral da avaliação de riscos, pelo menos, uma vez por ano. Os resultados das avaliações e das análises de risco devem ser submetidos à aprovação da direção de topo. Monitorização e reporte de incidentes 3. Os PSP devem assegurar, de forma consistente e integrada, a monitorização, o tratamento e o acompanhamento de incidentes de segurança, incluindo as reclamações de clientes relacionadas com segurança. Os PSP devem estabelecer um procedimento de reporte desses incidentes aos órgãos de administração e fiscalização e, em caso de incidentes de segurança dos pagamentos de carácter severo, às autoridades competentes. 3.1 Os PSP devem implementar um processo para monitorizar, tratar e acompanhar os incidentes de segurança e as reclamações de clientes relacionadas com a segurança e devem reportar esses incidentes à direção. 3.2 Os PSP devem estabelecer um procedimento para informar imediatamente as autoridades competentes (i.e., as autoridades de supervisão e de proteção de dados), sempre que existam incidentes de segurança dos pagamentos de carácter severo. 3.3 Os PSP devem possuir um procedimento de cooperação com as autoridades responsáveis pela aplicação da lei relevantes, em caso de incidentes de segurança dos pagamentos de carácter severo, incluindo violações de dados. 3.4 Os PSP adquirentes devem exigir contratualmente que as entidades de comércio eletrónico conservem, tratem e transmitam dados sensíveis de pagamento colaborem com os próprios PSP e com as autoridades responsáveis pela aplicação da lei relevantes, em caso de incidentes de segurança dos pagamentos de carácter severo, incluindo violações de dados. Se um PSP tomar conhecimento de que uma entidade de comércio eletrónico não coopera, como lhe é exigido contratualmente, deverá tomar medidas para fazer cumprir a obrigação contratual ou resolver o contrato. 910 Controlo e mitigação de riscos 4. Os PSP devem implementar medidas, em consonância com as respetivas políticas de segurança, para mitigação dos riscos identificados. Essas medidas devem incorporar várias camadas de segurança, de modo a que a falha de uma linha de defesa seja mitigada pela seguinte ( defense in depth ou, por tradução, defesa em profundidade ). 4.1 Na criação, no desenvolvimento e na manutenção de serviços de pagamento através da internet, os PSP devem prestar especial atenção à separação adequada de funções em ambientes de tecnologias da informação (TI) (por exemplo, em ambientes de desenvolvimento, de teste e de produção) e à implementação adequada do princípio do «privilégio mínimo» ( least privilege ) como a base para uma gestão adequada de identidades e de acessos Os PSP devem dispor de soluções de segurança apropriadas para proteger as redes, os sítios web, os servidores e as hiperligações de comunicação contra violações ou ataques. Os PSP devem desativar todas as funções desnecessárias dos servidores, de modo a protegê-los (fortalecê-los) e a eliminar ou a reduzir as vulnerabilidades de aplicações em risco. O acesso de várias aplicações aos dados e aos recursos exigidos deve ser limitado ao mínimo, segundo o princípio do «privilégio mínimo». De forma a limitar a utilização de sítios web «falsos» (que imitam sítios reais dos PSP), os sítios web de operações que oferecem serviços de pagamento através da internet devem ser identificados por certificados de validação digital criados em nome do PSP ou através de outros métodos de autenticação semelhantes. 4.3 Os PSP devem implementar processos apropriados para monitorizar, detetar e limitar o acesso a: i) dados sensíveis de pagamento e ii) recursos lógicos e físicos críticos, tais como redes, sistemas, bases de dados, módulos de segurança, etc. Os PSP devem criar, conservar e analisar os registos e as pistas de auditoria adequadas. 4.4 Durante a conceção 7, o desenvolvimento e a manutenção de serviços de pagamento através da internet, os PSP devem assegurar que o princípio da minimização de dados 8 é uma componente essencial da funcionalidade principal: a recolha, o encaminhamento, o processamento, o armazenamento e/ou o arquivamento e a visualização de dados de pagamento sensíveis devem ser mantidos num nível mínimo absoluto. 4.5 Os mecanismos de segurança para serviços de pagamento através da internet devem ser testadas sob supervisão da função de gestão de riscos, a fim de garantir a sua 6 «Todos os programas e todos os utilizadores privilegiados dos sistemas devem funcionar utilizando o nível de privilégio mínimo necessário para completar a tarefa.» Consultar Saltzer, J.H. (1974), Protection and the Control of Information Sharing in Multics», Comunicatios of ACM, Volume 17, n.º 7, pág Privacidade desde a conceção. 8 A minimização de dados refere-se à política de recolha do mínimo de informação pessoal necessária para executar uma determinada função. 1011 solidez e eficácia. Todas as alterações devem ser submetidas a um processo formal de gestão de alteração, assegurando que as alterações são devidamente planeadas, testadas, documentadas e autorizadas. Os testes devem ser repetidos regularmente e incluir cenários de ataques potenciais relevantes e conhecidos, com base nas alterações realizadas e nas ameaças à segurança observadas. 4.6 Os mecanismos de segurança dos PSP para serviços de pagamento através da internet devem ser periodicamente auditados a fim de assegurar a sua solidez e eficácia. A implementação e o funcionamento de serviços de pagamento através da internet também devem ser auditados. A frequência e o âmbito destas auditorias devem ter em conta os riscos de segurança envolvidos e devem ser proporcionais a estes riscos. As auditorias devem ser realizadas por especialistas acreditados e independentes (internos ou externos). Estes auditores não devem estar envolvidos, seja de que forma for, no desenvolvimento, na implementação ou na gestão operacional dos serviços de pagamento prestados através da internet. 4.7 Quando os PSP subcontratem funções relacionadas com a segurança de serviços de pagamento através da internet, o contrato deve incluir disposições que exijam o cumprimento dos princípios e das linhas de orientação estabelecidas nas presentes Orientações. 4.8 Os PSP que oferecem serviços de aceitação (acquiring) devem exigir contratualmente que as entidades de comércio eletrónico que processem (por exemplo, armazenem, tratem ou transmitam) dados de pagamento sensíveis implementem medidas de segurança na sua infraestrutura de TI, em conformidade com as Orientações 4.1 a 4.7, a fim de evitar o furto desses mesmos dados através dos seus sistemas. Se um PSP tomar conhecimento de que um comerciante eletrónico não implementou as medidas de segurança exigidas, deverá tomar medidas para fazer cumprir esta obrigação contratual ou resolver o contrato. Rastreabilidade 5. Os PSP devem implementar processos que garantam que todas as operações, assim como o fluxo do processo da autorização eletrónica de débito em conta são rastreados adequadamente. 5.1 Os PSP devem assegurar que o seu serviço inclui mecanismos de segurança para o registo detalhado de dados da operação e da autorização eletrónica de débito em conta, incluindo o número sequencial da operação, os carimbos temporais para os dados da operação, as alterações de parametrização, assim como o acesso aos dados da operação e da autorização eletrónica de débito em conta. 5.2 Os PSP devem implementar ficheiros de registo que permitam rastrear qualquer adição, alteração ou exclusão de dados da operação e da autorização eletrónica de débito em conta. 1112 5.3 Os PSP devem consultar e analisar os dados da operação e da autorização eletrónica de débito em conta e garantir que possuem instrumentos para avaliar os ficheiros de registo. As respetivas aplicações apenas devem estar acessíveis a pessoal autorizado. Mecanismos de controlo específicos e medidas de segurança para pagamentos através da internet Identificação inicial do cliente, informação 6. Os clientes devem ser devidamente identificados, em conformidade com a legislação europeia relativa à prevenção do branqueamento de capitais 9, e devem confirmar a sua vontade de realizar pagamentos através da internet, antes de lhes ser concedido o acesso a esses mesmos serviços. Os PSP devem, previamente, de forma regular ou se necessário ad hoc, fornecer informações adequadas ao cliente, sobre os requisitos necessários (por exemplo, equipamento, procedimentos) para realizar operações de pagamento seguras através da internet e sobre os riscos inerentes. 6.1 Os PSP devem assegurar que o cliente foi sujeito aos procedimentos de simplificados vigilância dos clientes e que forneceu os documentos de identificação adequados 10, assim como informações relacionadas, antes de lhe ser concedido o acesso aos serviços de pagamento através da internet Os PSP devem assegurar que a informação prévia 12, fornecida ao cliente, contém detalhes específicos relacionados com os serviços de pagamento através da internet. Estes detalhes devem incluir, sempre que se considere adequado: - informações claras sobre quaisquer requisitos em termos de equipamento do cliente, software ou outros instrumentos necessários (por exemplo, software antivírus, firewalls), - orientações para a utilização adequada e segura de credenciais de segurança personalizadas, 9 Por exemplo, a Diretiva 2005/60/CE do Parlamento Europeu e do Conselho, de 26 de outubro de 2005, relativa à prevenção da utilização do sistema financeiro para efeitos de branqueamento de capitais e de financiamento do terrorismo. JO L 309, , p Ver também a Diretiva 2006/70/CE da Comissão, de 1 de agosto de 2006, que estabelece medidas de execução da Diretiva 2005/60/CE do Parlamento Europeu e do Conselho no que diz respeito à definição de «pessoa politicamente exposta» e aos critérios técnicos para os procedimentos simplificados de vigilância da clientela e para efeitos de isenção com base numa atividade financeira desenvolvida de forma ocasional ou muito limitada. JO L 214, , p Por exemplo, passaporte, cartão de identificação nacional ou assinatura eletrónica avançada. 11 O processo de identificação do cliente não prejudica quaisquer exceções previstas na legislação vigente de prevenção do branqueamento de capitais. Os PSP não necessitam de realizar um processo separado de identificação do cliente para os serviços de pagamento através da internet, desde que essa identificação já tenha sido realizada, por exemplo, por outros serviços relacionados com o pagamento ou para a abertura de uma conta. 12 A presente informação complementa o artigo 42.º da DSP, que especifica a informação que os PSP devem fornecer ao utilizador dos serviços de pagamento antes da celebração de um contrato para a prestação de serviços de pagamento. 1213 - uma descrição passo-a-passo do procedimento a observar pelo cliente para a apresentação e a autorização de uma operação de pagamento e/ou a obtenção de informações, incluindo as consequências de cada ação, - orientações para a utilização adequada e segura de todo o hardware e software fornecidos ao cliente, - os procedimentos a observar em caso de perda ou de furto das credenciais de segurança personalizadas ou do hardware ou do software do cliente para início de sessão ou para execução das operações, - os procedimentos a observar em caso de suspeita ou de deteção de uma utilização abusiva, - uma descrição das responsabilidades e das obrigações do PSP e do cliente, respetivamente, no que respeita à utilização do serviço de pagamento através da internet. 6.3 Os PSP devem assegurar que o contrato-quadro celebrado com o cliente especifica que o PSP pode bloquear uma determinada operação ou o instrumento de pagamento 13 por motivos de segurança. O PSP deve estabelecer o método e os termos da notificação do cliente e a forma como o cliente pode contactar o PSP para que a operação ou o serviço de pagamento através da internet seja desbloqueado, em conformidade com a DSP. Autenticação forte do cliente 7. A iniciação de pagamentos através da internet, assim como o acesso a dados de pagamento sensíveis, devem ser protegidos por uma autenticação forte do cliente. Os PSP devem ter implementado um procedimento de autenticação forte do cliente, de acordo com a definição estabelecida nas presentes Orientações. 7.1 [Operações baseadas em cartão/autorização eletrónica de débito em conta/moeda eletrónica] Os PSP devem realizar uma autenticação forte do cliente para a autorização de operações de pagamento através da internet (incluindo operações agrupadas, baseadas em cartão) e para a emissão ou a alteração de autorizações eletrónicas de débito direto. No entanto, os PSP podem adotar medidas alternativas de autenticação do cliente para: - pagamentos efetuados a beneficiários de confiança incluídos em listas positivas estabelecidas anteriormente para esse cliente, - operações entre duas contas do mesmo cliente detidas junto do mesmo PSP, 13 Ver artigo 55.º da DSP sobre os limites de utilização do instrumento de pagamento. 1314 - transferências dentro do mesmo PSP justificadas por uma análise de risco da operação, - pagamentos de baixo valor, tal como definido na DSP A obtenção de acesso ou a alteração de dados sensíveis de pagamento (incluindo a criação e a alteração de listas positivas) requerem uma autenticação forte do cliente. Quando um PSP presta serviços meramente consultivos, sem a apresentação de informação sensível do cliente ou do pagamento, tais como dados do cartão de pagamento, que podem facilmente ser usados de forma inadequada para praticar fraudes, o PSP pode adaptar os seus requisitos de autenticação com base na sua avaliação de riscos. 7.3 [cartões] No caso de operações com cartão, todos os PSP emitentes de cartões devem apoiar a autenticação forte do titular do cartão. Todos os cartões emitidos devem estar tecnicamente preparados (registados) para ser utilizados com a autenticação forte. 7.4 [cartões] Os PSP que oferecem serviços de aceitação (acquiring) devem apoiar tecnologias que permitam que o emitente proceda à autenticação forte do titular do cartão para os sistemas de pagamento com cartão nos quais o adquirente participa. 7.5 [cartões] Os PSP que oferecem serviços de aceitação (acquiring) devem exigir que a sua entidade de comércio eletrónico promova soluções que permitam ao emitente realizar uma autenticação forte do titular do cartão para operações com cartão através da internet. Podem ser utilizados métodos de autenticação alternativos para categorias pré-definidas de operações de baixo risco, por exemplo, com base na análise de risco da operação ou no caso de pagamentos de baixo valor, nos termos previstos na DSP. 7.6 [cartões] Para os sistemas de pagamento com cartão aceites pelo serviço, os fornecedores de carteiras virtuais devem exigir uma autenticação forte por parte do emitente, no momento em que o legítimo titular regista os dados do cartão pela primeira vez. 7.7 Os fornecedores de carteiras virtuais devem suportar a autenticação forte do cliente, quando estes clientes iniciam a sessão nos serviços de pagamento com carteiras ou realizam operações com cartão através da internet. Podem ser utilizados métodos de autenticação alternativos para categorias pré-definidas de operações de baixo risco, por exemplo, com base na análise de risco da operação ou em casos de pagamentos de baixo valor, nos termos previstos na DSP. 14 Ver a definição de instrumentos de pagamento de baixo valor no n.º 1 do artigo 34.º e no n.º 1 do artigo 53.º da DSP. 14 Exibir mais
GRUPO DE TRABALHO PARA A PROTEÇÃO DE DADOS INSTITUÍDO PELO ARTIGO 29.º 01037/12/PT GT 196 Parecer 05/2012 relativo a computação em nuvem Adotado em 1 de julho de 2012 Este grupo de trabalho foi instituído Leia mais Anexo 3. Versão final do texto do Aviso, a encaminhar para publicação em D.R.
Anexo 3 Versão final do texto do Aviso, a encaminhar para publicação em D.R. TÍTULO I - DISPOSIÇÕES GERAIS Artigo 1.º Objecto Artigo 5.º Supervisão Artigo 2.º Definições Artigo 6.º Agentes de instituições Leia mais GRUPO DE TRABALHO DE PROTEÇÃO DE DADOS DO ARTIGO 29.º. Parecer 2/2013 sobre as aplicações em dispositivos inteligentes
GRUPO DE TRABALHO DE PROTEÇÃO DE DADOS DO ARTIGO 29.º 00461/13/PT WP 202 Parecer 2/2013 sobre as aplicações em dispositivos inteligentes Adotado em 27 de fevereiro de 2013 O Grupo de Trabalho foi instituído Leia mais 20.12.2013 Jornal Oficial da União Europeia L 347/81
20.12.2013 Jornal Oficial da União Europeia L 347/81 REGULAMENTO (UE) N. o 1290/2013 DO PARLAMENTO EUROPEU E DO CONSELHO de 11 de dezembro de 2013 que estabelece as regras de participação e difusão relativas Leia mais BOLETIM OFICIAL. Normas e Informações 6 2014. 16 junho 2014 www.bportugal.pt Legislação e Normas SIBAP
BOLETIM OFICIAL Normas e Informações 6 2014 16 junho 2014 www.bportugal.pt Legislação e Normas SIBAP BOLETIM OFICIAL Normas e Informações 6 2014 Banco de Portugal Av. Almirante Reis, 71 2.º 1150-012 Lisboa Leia mais (Comunicações) COMISSÃO EUROPEIA. Diretrizes de 5 de novembro de 2013 relativas às boas práticas de distribuição de medicamentos para uso humano
23.11.2013 Jornal Oficial da União Europeia C 343/1 II (Comunicações) COMUNICAÇÕES DAS INSTITUIÇÕES, ÓRGÃOS E ORGANISMOS DA UNIÃO EUROPEIA COMISSÃO EUROPEIA Diretrizes de 5 de novembro de 2013 relativas Leia mais Política de Segurança da Autoridade Certificadora Ordem dos Advogados do Brasil
Política de Segurança da Autoridade Certificadora Ordem dos Advogados do Brasil PS da AC OAB Versão 1.0 17 de Setembro de 2007 PS da AC OAB v1.0 1/33 ÍNDICE 1.INTRODUÇÃO... 4 2.OBJETIVOS... 4 3.ABRANGÊNCIA... Leia mais CONTRATO DE SUBSCRITOR DE CERTIFICADO SSL
CONTRATO DE SUBSCRITOR DE CERTIFICADO SSL O PRESENTE CONTRATO DE SUBSCRITOR DE CERTIFICADO ("CONTRATO") É REALIZADO ENTRE A SYMANTEC E AS RESPETIVAS AFILIADAS ("EMPRESA") E A ENTIDADE QUE O ADQUIRENTE Leia mais 2001/24/CE, 2002/47/CE, 2004/25/CE, 2005/56/CE, 2007/36/CE, 2011/35/CE, 2012/30/UE
L 173/190 Jornal Oficial da União Europeia 12.6.2014 DIRETIVA 2014/59/UE DO PARLAMENTO EUROPEU E DO CONSELHO de 15 de maio de 2014 que estabelece um enquadramento para a recuperação e a resolução de instituições Leia mais RESOLUÇÃO N 39, DE 18 DE ABRIL DE 2006. Aprova a versão 2.0 da Política de Segurança da ICP Brasil.
POLÍTICA DE SEGURANÇA Autoridade Certificadora da Presidência da República Infra-estrutura de Chaves Públicas do BRASIL ICP-Brasil Página 1 de 24 Índice 1- INTRODUÇÃO...5 2- OBJETIVOS...5 3- ABRANGÊNCIA...5 Leia mais DIRETIVA 2013/55/UE DO PARLAMENTO EUROPEU E DO CONSELHO
L 354/132 Jornal Oficial da União Europeia 28.12.2013 DIRETIVA 2013/55/UE DO PARLAMENTO EUROPEU E DO CONSELHO de 20 de novembro de 2013 que altera a Diretiva 2005/36/CE relativa ao reconhecimento das qualificações Leia mais Nº Cliente. Localidade
contrato de adesão internet móvel Mod.C/1000418 A preencher pelos nossos serviços ID pedido Canal Nº Conta Nº Cliente Vendedor 1. IDENTIFICAÇÃO DO CLIENTE preenchimento obrigatório Nome C. Cidadão/BI/Passaporte Leia mais Descrição do Serviço. Managed Security Services para Redes - Standard
Descrição do Serviço Managed Security Services para Redes - Standard 1. Escopo dos Serviços Os Managed Security Services para Redes da IBM Standard (chamados de "MPS para Redes - Standard ) foram desenvolvidos Leia mais Políticas de Entrega e Serviços de Hosting em Cloud Pública Data Efectiva: 1 de Dezembro de 2014 Versão 1.4
Políticas de Entrega e Serviços de Hosting em Cloud Pública Data Efectiva: 1 de Dezembro de 2014 Versão 1.4 Salvo indicação em contrário, as presentes Políticas de Entrega e Serviços de Hosting em Cloud Leia mais (Atos não legislativos) REGULAMENTOS
26.6.2014 L 187/1 II (Atos não legislativos) REGULAMENTOS REGULAMENTO (UE) N. o 651/2014 DA COMISSÃO de 16 de junho de 2014 que declara certas categorias de auxílio compatíveis com o mercado interno, em Leia mais REGULAMENTO GERAL DE CERTIFICAÇÃO DE PRODUTOS, PROCESSOS E SERVIÇOS
REGULAMENTO GERAL DE CERTIFICAÇÃO DE PRODUTOS, PROCESSOS E SERVIÇOS ÍNDICE 1. PREÂMBULO... 3 2. ÂMBITO... 3 3. ALTERAÇÕES... 3 4. DEFINIÇÕES E REFERÊNCIAS... 4 5. ESQUEMA DE CERTIFICAÇÃO... 5 5.1 REQUISITOS Leia mais Banco Nacional de Angola. Guia sobre a implementação de um programa de prevenção do branqueamento de capitais e do financiamento do terrorismo
Banco Nacional de Angola Guia sobre a implementação de um programa de prevenção do branqueamento de capitais e do financiamento do terrorismo Documento destinado às instituições financeiras sob a supervisão Leia mais contrato de adesão banda larga móvel
contrato de adesão banda larga móvel Mod.C/1000418 A preencher pelo ponto de venda ID pedido Canal Nº Conta Nº Cliente Vendedor 1. IDENTIFICAÇÃO DO CLIENTE preenchimento obrigatório Nome C. Cidadão/BI/Passaporte Leia mais (Atos legislativos) DIRECTIVAS
22.5.2014 L 153/1 I (Atos legislativos) DIRECTIVAS DIRETIVA 2014/51/UE DO PARLAMENTO EUROPEU E DO CONSELHO de 16 de abril de 2014 que altera as Diretivas 2003/71/CE e 2009/138/CE e os Regulamentos (CE) Leia mais TERMOS E CONDIÇÕES GERAIS DE UTILIZAÇÃO - Serviço Enterprise Cloud -
TERMOS E CONDIÇÕES GERAIS DE UTILIZAÇÃO - Serviço Enterprise Cloud - 1. Definições No âmbito do presente Contrato, que é composto pelos presentes Termos e Condições Gerais de Utilização e pelos Serviços Leia mais Deliberação n.º 7680/ 2014
1 Deliberação n.º 7680/ 2014 Aplicável aos tratamentos de dados pessoais decorrentes da utilização de tecnologias de geolocalização no contexto laboral Considerando que: I. A evolução tecnológica traz Leia mais PROPOSTA DE LEI. Exposição de Motivos
PROPOSTA DE LEI Exposição de Motivos Tendo em vista a modernização e dinamização da sua economia, Cabo Verde, nas últimas décadas, tem vindo a implementar um vasto programa de reformas do seu sistema financeiro. Leia mais REGULAMENTO GERAL DE ACREDITAÇÃO ÍNDICE ALTERAÇÕES
ÍNDICE 1 Objetivo e campo de aplicação 2 2 Definições 2 3 Referências bibliográficas 2 4 Apresentação do IPAC 2 5 Sistema Nacional de Acreditação 3 5.1 Reconhecimento Internacional 3 6 Critérios de Acreditação Leia mais Aviso do Banco de Portugal n. o 2/2014
Aviso do Banco de Portugal n. o 2/2014 Índice Texto do Aviso Anexo ao Aviso do Banco de Portugal n.º 2/2014 Texto do Aviso Assunto: Assunto O Aviso do Banco de Portugal n.º 9/2012, publicado em 29 de maio Leia mais TERMOS DE SERVIÇO DO BBM
TERMOS DE SERVIÇO DO BBM POR FAVOR LEIA CUIDADOSAMENTE ESTE DOCUMENTO ANTES DE UTILIZAR O SERVIÇO OU INSTALAR O SOFTWARE BBM ATRAVÉS DO QUAL O SERVIÇO É TORNADO ACESSÍVEL. ESTE ACORDO CONTÉM DISPOSIÇÕES Leia mais MINISTÉRIO DO AMBIENTE, ORDENAMENTO DO TERRITÓRIO E ENERGIA
2206-(2) Diário da República, 1.ª série N.º 84 30 de abril de 2015 MINISTÉRIO DO AMBIENTE, ORDENAMENTO DO TERRITÓRIO E ENERGIA Decreto-Lei n.º 68-A/2015 de 30 de abril A Diretiva n.º 2006/32/CE, do Parlamento Leia mais Política Específica de Segurança de Informação para Infraestruturas. Classificação: Público Pág 1/29
Política Específica de Segurança de Informação para Infraestruturas Classificação: Público Pág 1/29 Índice 1 Sumário Executivo... 4 2 Responsabilidades... 5 3 Âmbito... 8 4 Classificação da Informação... Leia mais AVG Internet Security 2015
AVG Internet Security 2015 Manual do Utilizador Revisão do documento 2015.03 (10/24/2014) C opyright AVG Technologies C Z, s.r.o. Todos os direitos reservados. Todas as outras marcas comerciais são propriedade Leia mais INTERMEDIAÇÃO FINANCEIRA KIT DO INVESTIDOR. Pág. 0/27
INTERMEDIAÇÃO FINANCEIRA KIT DO INVESTIDOR Pág. 0/27 ADVERTÊNCIA PRÉ-CONTRATUAL O Cliente é expressamente advertido, para efeitos das declarações contidas nas cláusulas 7ª e 17ª das Condições Gerais do Leia mais 2016 © DocPlayer.com.br Política de Privacidade | Termos de serviço | Feedback