Normativas financieras para servicios de transferencia segura

Las normativas financieras condicionan casi todas las decisiones técnicas detrás de un servicio de transferencia de archivos que maneja datos bancarios. En 2026, bancos y fintechs deben cumplir PCI DSS 4.0 para datos de titulares de tarjetas, la GLBA para las finanzas al consumidor en EE.UU., la SOX para controles auditables, MiFID II para documentación de operaciones, DORA para la resiliencia operativa en la UE y el RGPD para datos personales. Ese conjunto de normas exige cifrado AES-256-GCM, TLS 1.3 en tránsito, retención de siete años en registros de transacciones, trazas de auditoría firmadas y encargados del tratamiento nombrados. Cualquier proveedor que elijas debe documentar cada punto en un Acuerdo de Tratamiento de Datos (ATD).

Por qué los bancos no pueden usar herramientas de transferencia genéricas

Un equipo de marketing que comparte un kit de marca de 200 MB asume riesgos muy distintos a los de un gestor de préstamos que envía un expediente de crédito de 12 MB. Las herramientas genéricas como el nivel gratuito de WeTransfer no incluyen un ATD firmado, no garantizan residencia exclusiva en la UE y no exponen los registros de auditoría que pedirá un inspector bancario. Cuando la CNMV o el ACPR solicite evidencias de quién accedió a los documentos hipotecarios de un cliente el 14 de marzo a las 10:22, "usamos WeTransfer" no es una respuesta válida. Las entidades reguladas necesitan registros por descarga con IP, user agent, marca de tiempo y retención de esos registros durante al menos cinco años conforme a la normativa aplicable.

PCI DSS 4.0 y datos de tarjetas en tránsito

PCI DSS 4.0, en vigor desde marzo de 2025, endureció el Requisito 4 sobre criptografía. Cualquier archivo que contenga un Número de Cuenta Principal, ya sea un .csv exportado de un procesador de pagos o un PDF de documentación de disputa, debe cifrarse con "criptografía sólida" durante la transmisión. La orientación del PCI SSC apunta a TLS 1.2 mínimo con forward secrecy, aunque TLS 1.3 es el estándar práctico. El Requisito 3.5.1 se ocupa del almacenamiento: si el archivo permanece en un servidor de transferencia 48 horas antes de la descarga, los datos en reposo necesitan AES-256 o equivalente. La Sección 12.8 añade la diligencia debida con terceros, lo que significa mantener un inventario de proveedores con la Attestation of Compliance (AOC) de cada uno archivada.

Actualizaciones de la Safeguards Rule de la GLBA

La Safeguards Rule revisada de la FTC, en vigor desde 2023 y refinada con orientaciones de 2026, obliga a las instituciones financieras a cifrar la información del cliente en tránsito y en reposo "en la medida de lo posible". También exige autenticación multifactor para cualquiera que acceda a datos de clientes, lo que aplica directamente a los enlaces de transferencia de archivos. Un enlace protegido solo por oscuridad no cumple. Lo que sí cumple: autenticación por destinatario, protección por contraseña con limitación de intentos, o acceso basado en SSO. El umbral de notificación de incidentes de la Safeguards Rule bajó a 500 consumidores afectados, con 30 días para notificar a la FTC.

DORA alcanza a cada proveedor

El Reglamento europeo de Resiliencia Operativa Digital (DORA) se aplica a bancos, aseguradoras, proveedores de servicios de criptoactivos y los terceros de TIC que los sirven. Un proveedor de transferencia de archivos que cae bajo la categoría de "tercero proveedor de TIC de importancia crítica" se enfrenta a supervisión directa. Para la mayoría de proveedores, el impacto práctico es contractual: el Artículo 30 exige cláusulas específicas en los contratos de servicio que cubran niveles de servicio, cadenas de subcontratación, acceso a datos durante auditorías y estrategias de salida. Los bancos exigen ahora que los proveedores de transferencia firmen adendas alineadas con DORA. También realizan pruebas de penetración dirigidas por amenazas bajo el marco TIBER-EU cada tres años, lo que significa que la infraestructura de tu proveedor será sometida a pruebas.

MiFID II y el registro de documentación de operaciones

Las empresas de inversión bajo MiFID II deben conservar registros de órdenes, transacciones y comunicaciones relevantes durante al menos cinco años, a veces siete. Cuando un operador envía un term sheet en .pdf a una contraparte, ese archivo queda bajo el Artículo 16. La herramienta de transferencia debe preservar una copia a prueba de manipulaciones, o la empresa necesita un archivo paralelo. Las directrices de ESMA aclaran que las comunicaciones orales y escritas incluyen los archivos adjuntos. Las empresas resuelven esto combinando la transferencia con un archivo WORM en el backend, usando S3 Object Lock o similar.

SOX Sección 404 y trazas de auditoría

Las instituciones financieras cotizadas responden ante la Sección 404 de SOX, que extiende los controles internos sobre la información financiera a cada sistema que toque datos financieros. Las transferencias de estados trimestrales, papeles de trabajo de auditoría y materiales del consejo deben dejar una traza. Los auditores externos de PwC, Deloitte, EY o KPMG muestrearán los registros de transferencia y pedirán evidencias inmutables. Una configuración aceptable registra cada carga y descarga en un SIEM como Splunk o Sentinel, firma las entradas con una cadena de hash y las conserva durante al menos siete años.

Transferencias transfronterizas bajo el RGPD y Schrems II

Cuando una filial en París envía documentos fiscales de clientes a la matriz en Nueva York, la transferencia cruza el Atlántico y activa el Capítulo V del RGPD. Desde el Marco de Privacidad de Datos UE-EE.UU. de julio de 2023, las empresas estadounidenses autocertificadas bajo el DPF pueden recibir datos personales legalmente, aunque el TJUE podría revisar la decisión de nuevo. Los bancos prudentes superponen Cláusulas Contractuales Tipo al DPF y realizan una Evaluación del Impacto de la Transferencia. Almacenar archivos en centros de datos en Frankfurt o París antes de que el destinatario los descargue evita por completo la cuestión para intercambios exclusivamente europeos.

Lista de verificación práctica para elegir una herramienta de transferencia conforme

Antes de contratar un proveedor de transferencia de archivos, confirma lo siguiente. Primero: ¿dónde residen físicamente los bytes? Solicita las direcciones de los centros de datos y certificaciones como ISO 27001, SOC 2 Tipo II y, preferentemente, SecNumCloud para entidades reguladas francesas. Segundo: ¿cuál es la pila criptográfica? AES-256-GCM en reposo, TLS 1.3 en tránsito y, preferiblemente, cifrado extremo a extremo con derivación de clave en el navegador mediante PBKDF2 o Argon2id. Tercero: ¿cuál es el modelo de retención? Un valor predeterminado de 7 días con la posibilidad de expiración inmediata tras la descarga se adapta a la mayoría de flujos de trabajo bancarios. Cuarto: ¿qué registros se exponen? Las marcas de tiempo por descarga, IPs y user agents deben ser exportables a CSV o transferibles mediante API. Quinto: ¿cómo gestiona el proveedor la notificación de brechas? La GLBA y el RGPD exigen una reacción rápida, por lo que tu proveedor necesita alertarte en horas, no en días.

HexaTransfer utiliza AES-256-GCM con generación de claves del lado del cliente, almacena el texto cifrado en infraestructura de la UE y elimina automáticamente los archivos a los 7 días o en la primera descarga si así lo configuras. Pruébalo en hexatransfer.com — gratis, sin cuenta, hasta 10 GB.

La transferencia financiera de archivos no consiste en mover bytes, sino en demostrar que se movieron correctamente cuando un inspector lo pregunta. Las normativas se solapan y el camino más seguro es elegir herramientas cuyos valores predeterminados ya satisfagan la regla más estricta de tu conjunto. Un .pdf que viaja de tu mesa a la de una contraparte debe dejar la misma evidencia que una transferencia bancaria: quién lo envió, quién lo recibió, cuándo y bajo qué controles.