4.2 Orientações relativas às informações exigidas aos requerentes de registo para prestação apenas do serviço a que se refere o anexo I, ponto 8, da Diretiva (UE) 2015/2366 (serviços de informação sobre contas)

Orientação 1: Princípios gerais

1.1 Este conjunto de orientações destina-se aos requerentes do registo como prestadores de serviços de informação sobre contas. Destina-se a requerentes que pretendam prestar exclusivamente serviços de informação sobre contas. Caso o requerente pretenda prestar serviços adicionais aos serviços de informação sobre contas, deve apresentar um pedido de autorização e consultar as orientações estabelecidas na secção 4.1, relativas às instituições de pagamento.

1.2 As informações prestadas pelos requerentes devem ser verdadeiras, completas, exatas e

orientações que lhes são aplicáveis. O nível de pormenor exigido para a conformidade deve ser proporcional à dimensão e à organização interna do requerente, bem como à natureza, ao âmbito de aplicação, à complexidade e aos riscos efetivos do(s) serviço(s) específico(s) que o requerente pretende prestar. Em qualquer dos casos, de acordo com a Diretiva (UE) 2015/2366, os diretores e as pessoas responsáveis pela gestão da instituição de pagamento são idóneos e possuem os conhecimentos e a experiência adequados para executar serviços de pagamento, independentemente da dimensão interna da instituição, da sua organização interna e da natureza, do âmbito de aplicação e da complexidade das suas atividades e dos deveres e responsabilidades da função em causa.

1.3 Ao apresentar as informações exigidas, o requerente deve evitar referências a secções específicas de procedimentos/documentos internos. Pelo contrário, deve extrair as secções relevantes e fornecê-las à autoridade competente.

1.4 Caso as autoridades competentes solicitem esclarecimentos sobre as informações apresentadas, o requerente deve prestar esses esclarecimentos, sem demora.

1.5 Para efeitos de registo como prestadores de serviços de informação sobre conta, todos os dados solicitados ao abrigo das presentes orientações são necessários para a avaliação do pedido e serão tratados pela autoridade competente em conformidade com as obrigações de sigilo profissional estabelecidas na DSP2, sem prejuízo do direito da União e dos requisitos e procedimentos nacionais aplicáveis ao exercício dos direitos de acesso, retificação, cancelamento ou oposição.

Orientação 2: Dados de identificação

2.1 Se o requerente for uma pessoa singular, os dados de identificação a fornecer devem conter as informações seguintes:

• a) O nome, o endereço, a nacionalidade e a data e o local de nascimento;
• b) Uma cópia do bilhete de identidade ou de um documento de identificação equivalente;
• c) Curriculum vitae atualizado;
• d) Uma verificação do registo criminal com menos de três meses;
• e) O(s) nome(s) da(s) pessoa(s) encarregada(s) do processo de pedido e do procedimento de autorização, bem como as respetivas informações de contacto.

2.2 Se o requerente for uma pessoa coletiva, os dados de identificação a fornecer devem conter as informações seguintes:

• a) Firma ou denominação social e, caso exista, outra denominação por que seja conhecida;
• b) Indicação sobre se o requerente já está constituído ou se encontra em fase de constituição;
• c) Número de pessoa coletiva do requerente, se aplicável;
• d) Contrato de sociedade e/ou os documentos de constituição que comprovem o estatuto jurídico do requerente;
• e) Endereço da sede do requerente;
• f) Endereço eletrónico e o sítio Web do requerente, se disponível;
• g) O(s) nome(s) da(s) pessoa(s) responsável(eis) pelo pedido e procedimento de autorização, bem como as respetivas informações de contacto;
• h) Indicação sobre se o requerente já foi, ou está a ser, regulado por uma autoridade competente no setor de serviços financeiros;
• i) Quaisquer associações comerciais no âmbito da prestação de serviços de pagamento a que o requerente pretenda aderir, se aplicável;
• j) Certidão do registo comercial ou, se aplicável, certificado de admissibilidade de firma ou denominação social que certifique que a denominação utilizada pela empresa está disponível;
• k) Comprovativo do pagamento de quaisquer taxas ou do depósito de fundos associados à apresentação de um pedido de registo como prestador de serviços de informação sobre contas, se aplicável no âmbito do direito nacional.

Orientação 3: Programa de atividades

3.1. O programa de atividades a apresentar pelo requerente deve conter as informações seguintes:

• a) Descrição do serviço de informação sobre contas que irá ser prestado, incluindo uma explicação da forma como o requerente determinou que a atividade se enquadra na definição de serviços de informação sobre contas, na aceção do n.º 16 do artigo 4. o da Diretiva (UE) 2015/2366 (DSP2);
• b) Declaração do requerente de que não entrará, em nenhum momento, na posse dos fundos;
• c) Descrição da prestação do serviços de informação sobre contas, incluindo:
• i. Minutas de contratos celebrados com todas as parte envolvidas, se aplicável;
• ii. Termos e condições da prestação dos serviços de informação sobre contas;
• iii. Prazos de processamento;
• d) Número previsto de instalações diferentes a partir das quais o requerente pretende prestar os serviços, se aplicável;
• e) Descrição de quaisquer serviços complementares aos serviços de informação sobre contas, se aplicável;
• f) Declaração sobre se o requerente pretende ou não prestar serviços de informação sobre contas noutro Estado-Membro da União Europeia ou noutro país, após o registo;
• g) Indicação sobre se o requerente pretende exercer nos próximos três anos, ou se já exerce, outras atividades profissionais que não os serviços de informação sobre contas a que se refere o artigo 18. o da Diretiva (UE) 2015/2366, incluindo uma descrição do tipo e do volume esperado das atividades;
• h) Informações especificadas nas orientações da EBA sobre os critérios de fixação do montante monetário mínimo do seguro de responsabilidade civil profissional ou de outra garantia equivalente, nos termos do n. o 4 do artigo 5. o da Diretiva (UE) 2015/2366 (EBA/GL/2017/08), nos casos em que o requerente pretenda prestar exclusivamente o serviço a que se refere o ponto 8 (serviços de informação sobre contas).

Orientação 4: Plano de negócios

4.1. O plano de negócio a apresentar pelo requerente deve conter:

• a) Um plano de comercialização constituído por:
• i. Uma análise da posição concorrencial da empresa;

segmento do mercado de informação sobre contas em causa, dos materiais de comercialização e dos canais de distribuição;

• b) As contas anuais certificadas relativas aos três anos anteriores, se disponíveis, ou um resumo da situação financeira para os requerentes que ainda não produziram contas anuais;
• c) Contas previsionais para os três primeiros exercícios, que demonstre que o requerente está em condições de utilizar sistemas, recursos e procedimentos adequados e proporcionados que lhe permitam um bom funcionamento. A previsão deve incluir:
• i. Demonstração de resultados e a previsão do balanço, incluindo cenários-alvo e cenários de stress , bem como os respetivos pressupostos, tais como o número de clientes, preços e o aumento esperado do limiar de rentabilidade;
• ii. Razões das principais rubricas de receitas e despesas, das dívidas financeiras e dos capitais;
• iii. Diagrama e descrição pormenorizada dos fluxos de caixa estimados para os próximos três anos.

Orientação 5: Estrutura organizativa

5.1. Se o requerente for uma pessoa singular, a descrição da estrutura organizativa da empresa do requerente deve conter as informações seguintes:

• a) Previsão global do número de efetivos para os próximos três anos;
• b) Descrição dos contratos de subcontratação das funções operacionais relevantes, incluindo:
• i. A identidade e a localização geográfica do prestador de serviços;
• ii. A identidade das pessoas que, no prestador de serviços de informação sobre contas, são responsáveis por cada uma das atividades subcontratadas;
• iii. Descrição detalhada das atividades subcontratadas e das suas principais características;
• c) Cópia das minutas dos contratos de subcontratação;
• d) Se aplicável, descrição da forma prevista para utilizar as suas sucursais e os seus agentes, incluindo:
• i. Discriminação dos controlos in loco e extra loco que o requerente pretende realizar sobre as suas sucursais e os seus agentes;
• ii. Sistemas informáticos, os processos e a infraestrutura utilizados pelos agentes do requerente para exercer atividades em nome do requerente;
• iii. Em caso de contratação de agentes, a política de seleção, os procedimentos de controlo e a formação dos agentes e, se disponível, a minuta do contrato;
• e) Lista das pessoas singulares ou coletivas que têm ligações estreitas com o prestador de serviços de informação sobre contas requerente, indicando as suas identidades e a natureza dessas ligações.

5.2. Se o requerente for uma pessoa coletiva, a descrição da estrutura organizativa da sua empresa deve conter as informações seguintes:

• a) Organograma pormenorizado, mostrando cada divisão, departamento ou separação estrutural similar, incluindo o nome da ou das pessoas responsáveis, nomeadamente das pessoas responsáveis pelas funções de controlo interno. O organograma deve ser acompanhado de uma descrição das funções e responsabilidades de cada divisão, departamento ou separação estrutural similar;
• b) Previsão global do número de efetivos para os próximos três anos;
• c) Descrição das minutas dos contratos de subcontratação operacionais relevantes, incluindo:
• i. Identidade e a localização geográfica do prestador de serviços;
• ii. Identidade das pessoas que, no prestador de serviços de informação sobre contas, são responsáveis por cada uma das atividades subcontratadas;
• iii. Descrição detalhada das atividades subcontratadas e das suas principais características;
• d) Cópia das minutas dos contratos de subcontratação previstos;
• e) Se aplicável, uma descrição da forma prevista para utilizar as suas sucursais e os seus agentes, incluindo:
• i. Discriminação dos controlos in loco e extra loco que o requerente pretende realizar sobre as suas sucursais e os seus agentes;
• ii. Sistemas informáticos, os processos e as infraestruturas utilizados pelos agentes do requerente para exercer atividades em nome do requerente;
• iii. Em caso de contratação de agentes, a política de seleção, os procedimentos de controlo e a formação dos agentes e, se disponível, a minutado contrato;
• f) Lista das pessoas singulares ou coletivas que têm ligações estreitas com o requerente, indicando as suas identidades e a natureza dessas ligações.

Orientação 6: Sistemas de governo e mecanismos de controlo interno

6.1. O requerente deve apresentar uma descrição do sistema de governo societário e dos mecanismos de controlo interno, constituída por:

• a) Descrição dos riscos identificados pelo requerente, incluindo o tipo de riscos e os procedimentos que o requerente implementará para avaliar e evitar esses riscos;
• b) Os diferentes procedimentos previstos para realizar controlos periódicos e permanentes, incluindo a frequência e os recursos humanos afetados;
• c) Procedimentos contabilísticos que o requerente utilizará para registar e comunicar as suas informações financeiras;
• d) Identidade da ou das pessoas responsáveis pelas funções de controlo interno, nomeadamente das funções de gestão de risco, compliance e auditoria interna, bem como respetivo(s) curriculum(a) vitae atualizado(s);
• e) Identidade dos auditores que não sejam revisores oficiais de contas na aceção da Diretiva 2006/43/CE;
• f) Composição do órgão de gestão e, se aplicável, de qualquer outro órgão ou comité de supervisão;
• g) Descrição da forma como prestação de serviços por terceiros é verificada e controlada a fim de evitar comprometa qualidade dos controlos internos do requerente;
• h) Descrição da forma como os agentes e as sucursais são monitorizados e controlados no âmbito dos controlos internos do requerente;
• i) Descrição do governo do grupo se o requerente for uma filial de uma entidade regulamentada noutro Estado-Membro da União Europeia.

Orientação 7: Procedimento para a verificação, tratamento e acompanhamento de incidentes de segurança e de reclamações dos clientes relacionadas com incidentes

7.1. O requerente deve apresentar uma descrição do procedimento criado para verificar, tratar e acompanhar incidentes de segurança e reclamações dos clientes relacionadas com a segurança, que deve conter:

• a) Instrumentos e medidas organizativas para a prevenção de fraude;
• b) Informações sobre as pessoas e os órgãos responsáveis pela prestação de assistência aos clientes, em caso de fraude, questões técnicas e/ou gestão de reclamações;
• c) Canais de comunicação de informações, em caso de fraude;
• d) O ponto de contacto para os clientes, incluindo um nome e um endereço de correio eletrónico;
• e) Os procedimentos para a notificação de incidentes, incluindo a comunicação dessas

caráter severo às autoridades competentes nacionais nos termos do artigo 96. o da DSP2 e em conformidade com as orientações da Autoridade Bancária Europeia relativas à notificação de incidentes no âmbito do referido artigo.

• f) As ferramentas de verificação e os procedimentos e as medidas de acompanhamento criados para reduzir os riscos de segurança.

Orientação 8: Procedimento para a classificação, verificação, rastreamento e restrição do acesso a dados de pagamento sensíveis

8.1. O requerente deve apresentar uma descrição do procedimento criado para classificar, verificar, rastrear e restringir o acesso a dados de pagamento sensíveis, que deve incluir:

• a) Uma descrição do fluxo de dados classificados como dados de pagamento sensíveis no contexto do modelo de negócio do prestador de serviços de informação sobre contas;
• b) Os procedimentos criados para autorizar o acesso aos dados de pagamento sensíveis;
• c) Uma descrição da ferramenta de verificação;
• d) A política em matéria de direitos de acesso, com a discriminação do acesso a todos os sistemas e componentes relevantes da infraestrutura, incluindo bases de dados e infraestruturas de apoio;
• e) Uma descrição da forma como os dados recolhidos são classificados;
• f) A utilização interna e/ou externa prevista dos dados recolhidos, incluindo pelas contrapartes;
• g) O sistema informático e as medidas de segurança técnica que foram implementadas, incluindo encriptação e/ou criação de tokens ;
• h) A identificação das pessoas e dos órgãos e/ou comités com acesso aos dados de pagamento sensíveis;
• i) Uma explicação da forma como as infrações serão detetadas e sancionadas;
• j) Um programa de controlo interno anual, no que respeita à segurança dos sistemas informáticos.

Orientação 9: Planos de continuidade das atividades

9.1. O requerente deve apresentar uma descrição dos planos de continuidade das suas atividades, que deve incluir as informações seguintes:

• a) Uma análise do impacto sobre as atividades, incluindo os processos e os objetivos de recuperação das atividades, tais como os objetivos em matéria de prazo de recuperação, ponto de recuperação e ativos protegidos;
• b) A identificação da instalação de apoio e do acesso à infraestrutura de TI, bem como o software e os dados críticos para recuperação em caso de catástrofe ou de perturbação;
• c) Uma explicação da solução do requerente para a ocorrência de situações e perturbações significativas que afetem a continuidade, tais como a falha de sistemas críticos, a perda de dados essenciais, a inacessibilidade das instalações e a perda de pessoas fundamentais;
• d) A frequência com que o requerente pretende testar os planos de continuidade das atividades e de recuperação na sequência de catástrofes, incluindo a forma como serão registados os resultados dos testes.

Orientação 10: Documento relativo à política de segurança

10.1. O requerente deve apresentar um documento relativo à sua política de segurança que contenha as informações seguintes:

• a) Uma avaliação pormenorizada do(s) serviço(s) de pagamento que o requerente pretende prestar, a qual deve incluir os riscos de fraude e as medidas de controlo da segurança e de redução dos riscos tomadas para proteger devidamente os utilizadores dos serviços de pagamento contra os riscos identificados;
• b) Uma descrição dos sistemas informáticos, que deve incluir:
• i. A arquitetura dos sistemas e os seus elementos de rede;
• ii. Os sistemas informáticos que apoiam as atividades profissionais prestadas, tais como o sítio Web do requerente, o sistema de gestão de riscos e fraudes e o sistema de contas dos clientes;
• iii. Os sistemas informáticos utilizados para a organização e administração do prestador de serviços de informação sobre contas, tais como os sistemas de contabilidade, de informação jurídica, de gestão do pessoal, de gestão das relações com os clientes, servidores de correio eletrónico e servidores de ficheiros internos;
• iv. Informações sobre se esses sistemas já são utilizados pelo prestador de serviços de informação sobre contas ou pelo seu grupo e a data estimada de implementação, se aplicável;
• c) O tipo de ligações autorizadas a partir do exterior, por exemplo, com parceiros, prestadores de serviços, entidades do grupo e funcionários que trabalham remotamente, incluindo a fundamentação dessas ligações;
• d) Para cada uma das ligações enumeradas no ponto c), os mecanismos e as medidas de segurança lógica adotados, com a especificação do controlo que a instituição de pagamento terá sobre tal acesso, bem como a natureza e a frequência de cada controlo, tais como técnico versus organizativo, preventivo versus de deteção, e verificação em tempo real versus análises periódicas, tais como a utilização de um domínio Active Directory separado do grupo, a abertura/o encerramento de linhas de comunicação, a configuração dos equipamentos de segurança, a criação de chaves ou de certificados de autenticação de clientes, a deteção de intrusões, sistemas antivírus e registos;
• e) Os mecanismos e as medidas de segurança lógica que regem o acesso interno aos sistemas informáticos, que devem incluir:
• i. A natureza técnica e organizativa e a frequência de cada medida, por exemplo, se é preventiva ou de deteção e se é ou não executada em tempo real;
• ii. A forma como é solucionada a questão da separação do ambiente de cliente quando os recursos informáticos do requerente são partilhados;
• f) Os mecanismos e as medidas de segurança física das instalações e do centro de dados do requerente, tais como controlos de acesso e segurança ambiental;
• g) A segurança dos processos de pagamento, que deve incluir:
• i. O procedimento de autenticação de clientes utilizado quer para o acesso de consulta quer para o acesso de execução de operações;
• ii. Uma explicação do modo como são asseguradas a entrega correta ao utilizador legítimo dos serviços de pagamento e a integridade dos fatores de autenticação, como códigos de hardware e aplicações para dispositivos móveis, tanto no momento da subscrição inicial como no da renovação;
• iii. Uma descrição dos sistemas e procedimentos implementados pelo requerente com vista à análise das operações e à identificação de operações suspeitas ou invulgares;
• h) Uma avaliação pormenorizada dos riscos, no que respeita aos serviços de pagamento do requerente, incluindo o risco de fraude, com uma ligação para as medidas de controlo e de redução dos riscos explicadas no processo de pedido, demonstrando que os riscos são controlados;
• i) Uma lista dos principais procedimentos escritos relativos aos sistemas informáticos do requerente ou, no caso de procedimentos que ainda não tenham sido formalizados, uma data estimada para a sua conclusão.

Orientação 11: Identidade e avaliação da idoneidade dos diretores e das pessoas responsáveis pela gestão do prestador de serviços de informação sobre contas

11.1. Para efeitos da identidade e avaliação da idoneidade dos diretores e das pessoas responsáveis pela gestão do prestador de serviços de informação sobre contas, o requerente deve fornecer as informações seguintes:

• a) Dados pessoais, que devem incluir:
• i. O nome completo, o sexo, o local e a data de nascimento, o endereço, a nacionalidade e o número de identificação pessoal ou cópia do bilhete de identidade ou equivalente;
• ii. Descrição da função para a qual a avaliação é solicitada e se a função no órgão de gestão é executiva ou não executiva, que deverá incluir os elementos seguintes:

• b) Se aplicável, informação sobre a avaliação da idoneidade realizada pelo requerente, incluindo detalhes do resultado de qualquer avaliação da idoneidade da pessoa realizada pela instituição, tais como atas do conselho de administração, relatórios de avaliação da idoneidade ou outros documentos;
• c) Elementos comprovativos da qualificação profissional, competências e experiência, que devem incluir um curriculum vitae com informação sobre educação e a experiência profissional, incluindo as qualificações académicas, formações relevantes, o nome e a natureza de todas as organizações com que a pessoa trabalha ou trabalhou, e a natureza e a duração das funções desempenhadas, com particular destaque para as atividades exercidas no âmbito do cargo pretendido;
• d) Elementos comprovativos da idoneidade, que devem incluir:
• i. Registo criminal e informação relevante sobre investigações e ações penais, processos cíveis e administrativos relevantes e medidas disciplinares, incluindo a inibição do exercício de funções como membro do conselho de administração, processos de falência, insolvência ou similares, nomeadamente através de um certificado oficial ou de qualquer fonte de informação objetivamente fidedigna no que respeita à inexistência de qualquer condenação, investigação e ação penal, tais como investigações de terceiros e depoimentos efetuados por um advogado ou um notário estabelecido na União Europeia;
• ii. Declaração da (in)existência de ações penais pendentes ou do envolvimento da pessoa, ou de qualquer organização por si gerida, na qualidade de devedor em processos de insolvência ou em processos de cariz similar;
• iii. Informações relativas a:

Orientação 12: Seguro de responsabilidade civil profissional ou garantia equivalente

12.1. Como comprovativo do seguro de responsabilidade civil profissional ou garantia equivalente conforme com as Orientações da Autoridade Bancária Europeia relativas ao seguro de responsabilidade profissional (EBA/GL/2017/08) e com as disposições dos n. os 2 e 3 do artigo 5. o da DSP2, o requerente deve fornecer as informações seguintes:

• a) Um contrato de seguro ou outro documento equivalente que confirme a existência de um seguro de responsabilidade civil profissional ou garantia equivalente, com um montante de cobertura que seja conforme com as orientações da Autoridade Bancária Europeia referidas, mostrando a cobertura dos passivos relevantes;
• b) Demonstração da forma como o requerente calculou o montante mínimo em conformidade com as orientações da Autoridade Bancária Europeia referidas, incluindo todos os indicadores utilizados na fórmula.

1. Visão geral

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

3. Normas relacionadas

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/