Marco de cumplimiento y regulación

1. Mapa regulatorio

República Dominicana

• Ley No. 183-02, Monetaria y Financiera, y el Reglamento de Sistemas de Pago (SIPARD) de la Junta Monetaria, modificado en agosto de 2025. El Banco Central supervisa el sistema de pagos; la adquirencia la realizan entidades de intermediación financiera supervisadas por la Superintendencia de Bancos o bajo su patrocinio. Bombero Partners operará como administrador de programa / facilitador de pagos bajo un banco miembro autorizado y registrará la entidad local que se requiera.
• Ley No. 155-17 contra el lavado de activos y el financiamiento del terrorismo, sus reglamentos y las guías de la Unidad de Análisis Financiero (UAF): debida diligencia de comercios, identificación de beneficiarios finales, monitoreo de transacciones, conservación de registros y reporte de operaciones sospechosas a través del banco patrocinador.
• Ley No. 172-13 de protección de datos personales: tratamiento lícito, medidas de seguridad y derechos de los titulares.
• Ley No. 358-05 de protección al consumidor (Pro Consumidor): precios transparentes, recibos y atención de reclamaciones en el punto de venta.
• Impuestos. Normas de la DGII sobre retenciones en pagos con tarjeta (Norma General 08-04 y sucesoras) y el régimen fiscal de los combustibles (Leyes 112-00 y 557-05, bajo el cual el combustible al detalle tributa impuestos selectivos y ad valorem en lugar de ITBIS). Los parámetros de retención para estaciones se confirman con el banco patrocinador y asesores fiscales antes del lanzamiento.
• Sector combustibles. Solo se afilian estaciones con resolución de operación vigente del MICM; la resolución y el registro en la DGII forman parte de cada expediente.

Estados Unidos e internacional

• Programa PLA/FT (Bank Secrecy Act) alineado con los requisitos del banco patrocinador y, cuando aplique, registro ante FinCEN; verificación de listas OFAC y otras sanciones para todos los comercios y beneficiarios finales.
• Reglas de las redes (Visa Core Rules y Mastercard Rules) para facilitadores de pago y comercios patrocinados, incluidas las categorías 5541 (estaciones de servicio) y 5542 (surtidores automáticos), las reglas de autorización y cierre para surtidores automáticos y las consultas a la lista MATCH.
• PCI DSS v4.0 como proveedor de servicios nivel 1 al lanzamiento, con terminales de cifrado punto a punto (P2PE) para que ningún dato de tarjeta pase en claro por los sistemas de Bombero Partners.

2. Afiliación de comercios (KYB / KYC)

• Verificación de la persona jurídica: documentos constitutivos, RNC, registro mercantil, resolución del MICM, comprobante de dirección y fotos del sitio.
• Identificación de directores y beneficiarios finales con 10% o más; documentos de identidad; verificación de PEP, sanciones y noticias adversas.
• Perfil financiero: volumen mensual esperado, ticket promedio, proporción de tarjeta presente; verificación de titularidad de la cuenta de liquidación.
• Calificación de riesgo y flujo de aprobación: Bombero Partners prepara y recomienda; el banco aprueba, condiciona o rechaza. Actualización al menos cada dos años o ante eventos.

3. Monitoreo y fraude

• Reglas para combustibles: límites de velocidad por tarjeta y por bomba, montos máximos coherentes con la capacidad del tanque, detección de duplicados, patrones nocturnos inusuales y pruebas de tarjetas.
• Seguimiento del portafolio frente a los umbrales de contracargos y fraude de las redes; alertas tempranas al banco.
• Escalamiento al área de cumplimiento del banco; reporte de operaciones sospechosas a la UAF y, cuando aplique, a FinCEN.

4. Fondos, liquidación y reservas

• La liquidación de las redes la recibe el banco patrocinador en una cuenta del programa que controla. Bombero Partners no retiene fondos de comercios fuera de esa estructura.
• Liquidación a comercios en dólares estadounidenses, con reservas y reglas de liberación acordadas con el banco por nivel de riesgo.
• Conciliación diaria y reporte mensual al banco.

5. Seguridad de la información

• Terminales P2PE validadas; tokenización; sin almacenamiento de PAN, banda ni CVV.
• Entorno en la nube segmentado, cifrado en reposo, gestión de llaves con control dual, MFA para todo acceso administrativo, registro y alertas centralizados.
• Pruebas de penetración anuales, gestión de vulnerabilidades, evaluación de proveedores y plan de respuesta a incidentes con plazos de notificación acordados con el banco y conforme a la Ley 172-13.
• Divulgación coordinada de vulnerabilidades vía security.txt.

6. Gobierno

• Oficial de cumplimiento designado; políticas de PLA/FT, sanciones, privacidad y seguridad aprobadas por la dirección; revisión independiente anual.
• Capacitación de todo el personal y técnicos de campo.
• Registros conservados al menos cinco años (diez cuando lo exija la Ley 155-17), disponibles para el banco y los reguladores; derecho de auditoría contractual del banco.
• Reclamaciones de comercios atendidas según lo acordado con el banco y las normas de Pro Consumidor.

7. Documentos disponibles para bancos

• Programa PLA/FT y evaluación de riesgos
• Procedimiento de verificación de sanciones
• Política de afiliación y plantilla de expediente
• Reglas de monitoreo de transacciones (combustibles)
• Políticas de seguridad de la información y plan PCI DSS
• Programa de privacidad (Ley 172-13)
• Planes de continuidad y de respuesta a incidentes
• Borrador de términos de patrocinio y modelo de reservas

Referencias

1. Ley No. 183-02 Monetaria y Financiera (Cámara de Cuentas copy)
2. Junta Monetaria, Res. 28 Aug 2025 — Modificación del Reglamento de Sistemas de Pago (SIPARD)
3. Superintendencia de Bancos — Normativas

Links open on third-party sites. Figures are quoted as published; where a source gives a range we show the range. Last checked 2026-09-08.