INDICE DE CONTENIDO. DIRECCIO GENERAL D'INNOVACIO I DESENVOLUPAMENT TECNOLOGIC

Transcripción

1 CONDICIONES TÉCNICAS PARA LA CONTRATACIÓN DE LOS SERVICIOS DE PAGO MEDIANTE TARJETA BANCARIA DE TRIBUTOS Y OTROS RECURSOS PÚBLICOS AUTONÓMICOS Y DE OTRAS ADMINISTRACIONES PÚBLICAS CUYA RECAUDACIÓN CORRESPONDE A LA AGENCIA TRIBUTARIA DE LAS ILLES BALEARS (ATIB) INDICE DE CONTENIDO 1. OBJETO ALCANCE DEL CONTRATO DESCRIPCIÓN DE LOS SERVICIOS Cesión del derecho de uso de la plataforma del sistema de pago tarjeta ofertada, así como los componentes de la misma para el uso desde aplicaciones Adaptación, implantación y parametrización del sistema de pago tarjeta ofrecido para el cumplimiento de requisitos que solicite la ATIB Colaboración para la integración de los sistemas de la ATIB con el sistema de pago tarjeta Soporte técnico y resolución de incidencias durante el periodo de contratación Disponibilidad del sistema para la realización de pagos telemáticos en periodo 24x Suministro de terminales o dispositivos homologados para pago con tarjeta El adjudicatario debe proporcionar a la ATIB los terminales o dispositivos homologados para la lectura de las tarjetas bancarias con la finalidad que se puede realizar el pago presencial, ya sea en las oficinas de la ATIB o en movilidad (dispositivos móviles habilitados para tal efecto junto a las librerías correspondientes para proceder al cobro directamente desde las aplicaciones internas de la ATIB) Suministro de ficheros Facturación del servicio EQUIPO DE TRABAJO PLANIFICACIÓN, DIRECCIÓN Y SEGUIMIENTO DE LOS TRABAJOS METODOLOGÍA EN LA ELABORACIÓN DE LOS TRABAJOS SEGURIDAD Y CONFIDENCIALIDAD... 9

2 1. OBJETO Constituye el objeto la contratación de los servicios de pago de los tributos y otros ingresos de derecho público cuya recaudación corresponda a la Agencia Tributaria de las Illes Balears (ATIB) mediante tarjeta bancaria, de débito o de crédito, a través de terminales o dispositivos homologados o por vía telemática en el Portal web de la ATIB ( con independencia de que la entidad emisora de la tarjeta bancaria. 2. ALCANCE DEL CONTRATO El servicio objeto de esta contratación (en adelante, sistema de pago tarjeta ) incluirá la realización de las siguientes prestaciones: 1.- Cesión del derecho de uso de la plataforma del sistema de pago tarjeta ofertada así como los componentes de la misma para el uso desde aplicaciones. 2.- Adaptación, implantación y parametrización del sistema de pago tarjeta ofrecido para el cumplimiento de requisitos que solicite la ATIB. 3.- Colaboración para la integración de los sistemas de la ATIB con el sistema de pago tarjeta. 4.- Soporte técnico y resolución de incidencias durante el periodo de contratación. 5.- Disponibilidad del sistema para la realización de pagos telemáticos en periodo 24x Suministro de terminales o dispositivos homologados para pago con tarjeta. 7.- Suministro periódico de ficheros en el formato que determine la ATIB de los ingresos que se produzcan en la cuenta o cuentas bancarias creadas al efecto para la recepción de los pagos. 8.- Facturación mensual. 3. DESCRIPCIÓN DE LOS SERVICIOS 3.1 Cesión del derecho de uso de la plataforma del sistema de pago tarjeta ofertada, así como los componentes de la misma para el uso desde aplicaciones. Este servicio comprende: - La cesión de uso del software del sistema de pago tarjeta ofertado sin coste durante el periodo del contrato. - El mantenimiento preventivo, correctivo e evolutivo del sistema sin coste adicional para la ATIB.

3 - El suministro de documentación descriptiva y técnica del sistema y de los sistemas de integración del mismo. El sistema de pago tarjeta, ya sea presencial (mediante terminales o dispositivos homologados) o por vía telemática en el Portal web de la ATIB, deberá cumplir los siguientes requisitos: - Posibilidad de admisión de cualquier tipo de tarjeta bancaria, de débito o de crédito, tanto de la entidad financiera adjudicataria como de cualquier entidad emisora que las que puedan utilizar a través de las diferentes operadoras (Visa, Master Card, etc.). La transacción se realizará siempre en Euros, de manera que la entidad adjudicataria se encargará, en su caso, de realizar la conversión de la moneda en el momento de la transacción. - Abono en la cuenta que se establezca, en el momento del pago que se realice. La comisión de cobro a percibir por la entidad adjudicataria se imputará mensualmente. - Los sistemas de la ATIB se comunicarán con el sistema de pago pasando un conjunto de parámetros que servirán para encauzar el pago del tributo/tributos u otro ingreso público. Por su parte el sistema de pago suministrará a la ATIB un conjunto de datos relativos al pago realizado - La comunicación con la pasarela de pago deberá realizarse siempre en entorno seguro: todas las transacciones deberán ser autenticadas y aprobadas por la persona que realiza el pago en el sistema de cada emisor de tarjetas admitidas. 3.2 Adaptación, implantación y parametrización del sistema de pago tarjeta ofrecido para el cumplimiento de requisitos que solicite la ATIB. Este servicio comprende las adaptaciones y trabajos precisos para la correcta implantación, parametrización y puesta en producción del sistema según los requisitos y especificaciones definidas por la ATIB para la integración del sistema de pago tarjeta. En todo caso, estos trabajos serán sin coste para la ATIB. A tales efectos, la comunicación entre la entidad financiera y la ATIB se hará mediante un Servicio Web o Servicio REST, el cual deberá ofrecer básicamente tres servicios o funciones diferentes: 1) Indicar el inicio de intención de pago, con la información mínima necesaria para poder registrar la operación, poderle mostrar al contribuyente información sobre el pago y en el caso de pago telemático, poder devolver el control al portal de la ATIB una vez finalizado el trámite. Parámetros mínimos del servicio sobre del trámite que la entidad adjudicataria deberá acepar y registrar en sus sistemas: Parámetros de entrada a. Código de barras b. Origen: Indicará si el pago se realiza en un dispositivo o terminal homologado o por vía telemática. Ej: FI/TE c. Url Vuelta -> (Sólo necesario registrar en caso de pago telemático) codificado en Base64 Ej. Ej.B64:

4 ahr0chm6ly93d3cuyxrpyi5lcy9uqs92dwvsdgfwywdvlzm0nlbqugrkzflzwtmz MzJkZGQzMTIzMTIzMTIzMTIz d. Descripción de la operación codificado en Base64 Ej. Impuesto sobre transmisiones patrimoniales y actos jurídicos documentados. Ek.B64: SW1wdWVzdG8gc29icmUgdHJhbnNtaXNpb25lcyBwYXRyaW1vbmlhbGVzIHkgYWN0b 3MganVyw61kaWNvcyBkb2N1bWVudGFkb3M= Respuesta: Indica si ha sido posible realizar el registro de la operación. e. Estado: OK/Err () f. Descripción del error 2) Consulta del estado de una operación. Independientemente de por qué canal se haya realizado la transacción es necesario la consulta del estado. Parámetros de entrada a. Código de barras Respuesta: b. Estado: OK/NOK/ERR c. Fecha de operación: fecha en la se ha hecho efectivo el trámite. d. Descripción error: En caso de error en el pago. 3) Devolución de un pago, en determinadas ocasiones es necesario retroceder un pago con tarjeta por distintos motivos. Solo será posible la devolución durante las 24 horas siguientes a la aprobación de la transacción. Parámetros de entrada a. Código de barras Respuesta: b. Estado: OK/NOK/ERR c. Fecha de operación: fecha en la se ha hecho efectivo el trámite. d. Descripción error: En caso de error en el proceso de la devolución. En base a las especificaciones del Servicio Web que desarrolle la entidad financiera, la ATIB desarrollará un cliente, que hará de consumidor de las funciones que proporcione este servicio. Esta comunicación se llevará a cabo mediante el intercambio de mensajes XML/JSON mediante un sistema de petición-respuesta de manera síncrona sobre el protocolo de transporte HTTPS. La autenticación por parte de la ATIB se realizará mediante cabecera SOAP-Usuario/Password(WS) o SimpleAuthentication(Rest) y con certificado de autenticación de cliente. El funcionamiento será el siguiente: 1) La ATIB comunicará mediante el servicio propuesto la intención de pago. a. Terminales y dispositivos homologados: Se inicia una comunicación de inicio de pago con el dispositivo o terminal, mediante una librería dll/activex para Windows y equivalente para Android/IOS en caso de dispositivos móviles proporcionada por la

5 entidad junto a los dispositivos o terminales, la aplicación interna de la ATIB quedará a la espera del resultado de la transacción. b. Pago por vía telemática: Se redirigirá al usuario a la web que proporcione la entidad bancaria al efecto, siempre añadiendo en la URL un parámetro que identifique la operación en curso, parámetro que será utilizado por la entidad adjudicataria para realizar una consulta con la información de todo el trámite. En dicha web el contribuyente deberá ser informado del concepto / importe y origen del pago e introducirá los datos de su tarjeta, la entidad se encargara de utilizar el sistema de autenticación y firma de la operación de cada emisor de tarjeta, en este momento se realizará la notificación a los servicios de la ATIB informando del estado de la transacción. Una vez finalizado el trámite, el contribuyente será redirigido al Portal de la ATIB concretamente a la URL que sé índico en el servicio de comunicación inicial. 2) Una vez finalizada la transacción, se registrara el resultado de la operación en los sistemas correspondientes de la ATIB y se procederá a emitir en su caso, un justificante de pago. Si el pago se lleva a cabo por vía telemática, se realizará, si es necesario la correspondiente consulta del estado del pago mediante el servicio de consulta de estado. Como se ha comentado anteriormente los mensajes estarán codificados en formato XML o JSON. Los datos que deben contener los mensajes vendrán determinados por la función a la que se desea llamar del servicio. El esquema de datos XML / JSON propuesto por la ATIB se puede observar en los ejemplos mostrados a continuación. No obstante, será la entidad que desarrolle el servicio la que determine exactamente los datos de entrada requeridos para las funciones a parte de los mínimos necesarios ya indicados anteriormente. A continuación se muestra una propuesta de solicitud y respuesta para la función que comunica el inicio del pago. Propuesta XML web serevice --IniciaTransaccion <DatosSolicitud> <CodigoBarras> </CodigoBarras> < Origen >TE</ Origen > <UrlVuelta> ahr0chm6ly93d3cuyxrpyi5lcy9uqs92dwvsdgfwywdvlzm0nlbqugrkzflzwtmzmzjkzgqzmtizmtizmtizmtiz </ UrlVuelta > <Descripcion > SW1wdWVzdG8gc29icmUgdHJhbnNtaXNpb25lcyBwYXRyaW1vbmlhbGVzIHkgYWN0b3MganVyw61kaWNvcyBkb2N1bWVudGFkb3 M= </ Descripcion > </DatosSolicitud> < DatosRespuesta > <Estado>NOK</Estado > < FechaOpe >29/10/ :15</ FechaOpe > < DescError >Error xxx</ DescError > </ DatosRespuesta > Propuesta JSON Rest IniciaTransaccion ahr0chm6ly93d3cuyxrpyi5lcy9uqs92dwvsdgfwywdvlzm0nlbqugrkzflzwtmzmzjkzgqzmtizmtizmtizmtiz/ SW1wdWVzdG8gc29icmUgdHJhbnNtaXNpb25lcyBwYXRyaW1vbmlhbGVzIHkgYWN0b3MganVyw61kaWNvcyBkb2N1bWVudGFkb3M= { "respuesta":

6 } { "Estado": "Ok", "FechaOp": "29/10/ :35", "DescError": "" } La interacción con el servicio se realizará siempre a través del protocolo seguro SSL, de esta manera, junto con la autenticación con certificado y usuario / contraseña, se asegura la confidencialidad de la comunicación y la autenticación del servidor, siempre y cuando la conexión entre el servidor y el cliente sea directa a nivel de capa de aplicación. 3.3 Colaboración para la integración de los sistemas de la ATIB con el sistema de pago tarjeta. Este servicio comprende: - El apoyo al personal técnico de la ATIB para la integración con sus sistemas. - La integración deberá realizarse en un periodo máximo de tres meses desde la formalización de la adjudicación del contrato. - El suministro de documentación descriptiva y técnica de los módulos existentes para la integración con el sistema de pago tarjeta. - Estos servicios serán sin coste para la ATIB. Modo de integración: - Cuando los sistemas de la ATIB dispongan de toda la información para el pago salvo los datos de la tarjeta. En esta opción, los sistemas de la ATIB pasarán al sistema de pago los datos relativos al tributo o ingreso, la referencia y el importe pero no pasará los datos de la tarjeta. - Será responsabilidad del sistema de pago tarjeta solicitar a la persona que realiza el pago el código de tarjeta, fecha de caducidad, CCV y resto de los datos de seguridad así como mostrar los datos pasados desde los sistemas, sin posibilidad de modificar estos. - El sistema de pago, con esos datos, realizará el cobro y devolverá el resultado a la ATIB. Entre los datos a devolver estará al menos l referencia, la fecha/hora del cargo y el resultado de la transacción que deberá ser segura. 3.4 Soporte técnico y resolución de incidencias durante el periodo de contratación. Este servicio comprende: - El contratista atenderá el mantenimiento correctivo ilimitado de las incidencias que se le reporten, durante todo el periodo de vigencia del contrato. - El contratista proporcionará asistencia telefónica para la solución de incidencias surgidas durante la utilización del software. - El contratista tendrá una posición activa en la detección y solución de este tipo de errores, así como la reparación de cualquier incidencia o mal funcionamiento del software.

7 - El contratista elaborará informes de control de software e incidencias - Tras cada incidencia, restauración y comprobación de las condiciones normales de funcionamiento. - Estos servicios serán sin coste para la ATIB. 3.5 Disponibilidad del sistema para la realización de pagos telemáticos en periodo 24x7. Este servicio comprende: - El contratista controlará el correcto funcionamiento y la disponibilidad de sus sistemas de manera ininterrumpida durante todo el periodo de vigencia del contrato. - El contratista tendrá una posición activa en la detección y solución de este tipo de problemas relativos a la disponibilidad de su sistema, así como la reparación de cualquier incidencia o mal funcionamiento del software suministrado. - El contratista elaborará informes de control de disponibilidad e impacto en el servicio. - Tras cada problema, restauración y comprobación de las condiciones normales de funcionamiento. - Estos servicios serán sin coste para la ATIB. 3.6 Suministro de terminales o dispositivos homologados para pago con tarjeta. El adjudicatario debe proporcionar a la ATIB los terminales o dispositivos homologados para la lectura de las tarjetas bancarias con la finalidad que se puede realizar el pago presencial, ya sea en las oficinas de la ATIB o en movilidad (dispositivos móviles habilitados para tal efecto junto a las librerías correspondientes para proceder al cobro directamente desde las aplicaciones internas de la ATIB). 3.7 Suministro de ficheros. Periódicamente el contratista suministrará ficheros en formato cuaderno bancario 60 o equivalente de los ingresos que se produzcan en la cuenta o cuentas bancarias que se determinen por la ATIB para la recepción de los pagos provenientes del sistema de pago tarjeta. Este servicio comprende - El suministro de ficheros en formato cuaderno bancario 60 o equivalente con la relación detallada de los ingresos que se produzcan en el periodo. - La recogida de dicho fichero se deberá poder automatizar para su tratamiento desatendido. - El periodo de tiempo en el que se suministrará dicho fichero inicialmente será quincenal, no obstante en función de las necesidades de la ATIB ese periodo podrá ser menor. 3.8 Facturación del servicio. Semestralmente se emitirá una factura y asociada a ella un fichero con su correspondiente relación de pagos realizados en el semestre anterior mediante el sistema de pago tarjeta, la fórmula de coste aplicada para cada operación (importes de las comisión por operación Adreça realizada per a la comprovació planteadas de validesa en del la document oferta) y el coste

8 total como contraprestación del servicio, sin perjuicio del límite anual como contraprestación del servicio que se incluya en la oferta. El coste de las devoluciones, si las hubiere, deberá ser como máximo el coste de la transacción de origen correspondiente. 4. EQUIPO DE TRABAJO El contratista deberá ofrecer un conjunto de recursos para el desarrollo del servicio que en su conjunto deberán disponer de conocimientos especializados en: - El sistema de pago tarjeta ofertado. - Los medios técnicos y herramientas para la integración. - Las herramientas de programación usadas para su desarrollo. Los trabajos se realizarán en la sede del adjudicatario, sin perjuicio de las reuniones de trabajo que puntualmente puedan establecerse para el seguimiento del contrato. 5. PLANIFICACIÓN, DIRECCIÓN Y SEGUIMIENTO DE LOS TRABAJOS La Dirección de la ATIB designará un responsable de seguimiento del contrato cuyas funciones en relación con el objeto del presente pliego serán las de velar por el cumplimiento de los trabajos exigidos y ofertados y emitir los informes de conformidad de las facturas. El seguimiento y control del proyecto se efectuará sobre las siguientes bases: - Seguimiento continuo y concomitante de la evolución del proyecto entre el responsable del equipo de trabajo por parte del adjudicatario y el responsable de seguimiento del contrato o la persona que se determine por parte de la Dirección de la ATIB. - La Dirección de la ATIB determinará los procedimientos y herramientas a utilizar para poder llevar a cabo la planificación, seguimiento y control del proyecto. - Las reuniones de seguimiento y revisiones técnicas, con la periodicidad que se considere conveniente, se realizarán en la sede de la Dirección de la ATIB participando siempre el responsable del equipo de trabajo por parte de la entidad adjudicataria, el responsable de seguimiento del contrato o persona en quien delegue y los técnicos que se estime conveniente, al objeto de revisar el grado de cumplimiento de los objetivos y la validación de las programaciones de actividades realizadas. - Tras las revisiones técnicas, de las que se levantará acta, el responsable de seguimiento del contrato podrá rechazar en todo o en parte los trabajos realizados, en la medida que no respondan a lo especificado en las reuniones de planificación o no superasen los controles de calidad acordados. En este caso, se considerarán como no realizadas.

9 6. METODOLOGÍA EN LA ELABORACIÓN DE LOS TRABAJOS Durante el desarrollo de los trabajos y la ejecución de las diferentes fases del proyecto, la Dirección de la ATIB podrá establecer controles de calidad sobre la actividad desarrollada y los productos obtenidos. A estos efectos, a la entrega de los resultados de las tareas se realizará un análisis de las mismas y se procederá a requerir si así se precisa al adjudicatario a subsanar las incidencias que se detecten, debiendo el adjudicatario crear, completar y modificar los mismos en línea con las especificaciones que detecte la ATIB. Durante la ejecución de los trabajos objeto del contrato la entidad adjudicataria se compromete a facilitar a las personas designadas por la Dirección de la ATIB la información y documentación que éstas soliciten para disponer de un pleno conocimiento de las circunstancias en que se desarrollan los trabajos, así como de los eventuales problemas que puedan plantearse y de las tecnologías, métodos, y herramientas utilizados para resolverlos. La documentación generada en el proyecto quedará en propiedad exclusiva de la ATIB sin que el contratista pueda conservarla, ni obtener copia de la misma o facilitarla a terceros sin la expresa autorización de este centro directivo, que la daría en su caso previa petición formal del contratista con expresión del fin. 7. SEGURIDAD Y CONFIDENCIALIDAD Los licitadores aportarán una Memoria descriptiva de las medidas que adoptarán para asegurar la disponibilidad, confidencialidad e integridad de los datos manejados y de la documentación facilitada. Asimismo, deberán incluir en su oferta la designación de la persona o personas que, sin perjuicio de la responsabilidad propia de la empresa, estarán autorizadas para las relaciones con la Administración a efectos del uso correcto del material y de la información a manejar. Se adjuntará una descripción de su perfil profesional, y sólo podrán ser sustituidas con la conformidad de la Administración. Son condiciones especiales de ejecución del contrato las siguientes: a) Política de seguridad y confidencialidad de la información: El adjudicatario tiene la consideración de encargado del tratamiento de los datos de carácter personal que pudiera conocer con ocasión del procedimiento de contratación y de la prestación del servicio. Dichos datos formarán parte de un fichero propiedad de la ATIB. Asimismo, el adjudicatario, como responsable del tratamiento, está obligado a cumplir con las restricciones de uso de dicha información, y queda expresamente obligado a mantener absoluta confidencialidad y reserva sobre cualquier dato que pudiera conocer con ocasión del procedimiento de contratación, especialmente los de carácter personal, los cuales no podrá copiar Adreça per o a utilizar la comprovació con de finalidades la validesa del document diferentes de las

10 que constan en el contrato, ni tampoco cederlos a terceros, salvo sucesiones o subcontrataciones que se autoricen y, ni siquiera a efectos de conservación. En particular, el contratista deberá asegurar: El compromiso del encargado del tratamiento de que no aplicará o utilizará los datos a los que tiene acceso con un fin distinto del que figura en el contrato. El compromiso del encargado del tratamiento de que no comunicará a terceros, ni siquiera para su conservación, los datos de carácter personal, salvo que ello se realice en nombre y por cuenta del responsable del fichero, con el previo consentimiento por escrito del responsable. El compromiso de que el encargado del tratamiento adoptará e implementará las medidas de seguridad necesarias sobre los datos de carácter personal a los que tiene acceso. El compromiso del encargado del tratamiento de que, una vez finalizado el objeto del contrato de prestación del servicio, devolverá o, en su caso, destruirá los datos de carácter personal, al igual que cualquier soporte o documentos en los que conste algún dato de carácter personal objeto del tratamiento. Los datos no serán destruidos en aquellos casos en los que exista una previsión legal que exija su conservación. El compromiso de que cumplirá todas las medidas de seguridad incluidas en el Documento de Seguridad de la ATIB. El encargado del tratamiento sólo tratará los datos personales del responsable conforme a las instrucciones de éste y para el cumplimiento de la realización de las tareas relacionadas con el objeto del contrato. Las medidas de seguridad exigibles a los accesos a datos de carácter personal a través de redes de comunicaciones deberán garantizar un nivel de seguridad equivalente al correspondiente a los accesos en modo local. En los casos de subcontratación si procediera, el responsable del fichero deberá identificar la empresa con la que vaya a subcontratar y asegurar que el tratamiento de datos se ajusta a las instrucciones del responsable del fichero. Para ello, el encargado del fichero y la empresa subcontratista deberá formalizar un contrato en los términos previstos. En este caso, el subcontratista será considerado encargado del tratamiento, siendo de aplicación lo dispuesto en el artículo 20.3 del Real decreto 1720/2007 de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. En consecuencia, responderá de las infracciones en que hubiera incurrido por el uso de los datos para otras finalidades no definidas en el contrato celebrado con el encargado del tratamiento. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado responsable del tratamiento, y responderá de las infracciones en las que hubiere incurrido. Si durante la prestación del servicio fuera necesaria la subcontratación de una parte del mismo y no se hubiere establecido previamente en el contrato, deberá obtenerse autorización del responsable del fichero. El encargado del tratamiento deberá conservar, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del fichero. Guardar secreto profesional respecto a estas informaciones, incluso después de finalizar la relación con la Agencia Tributaria de las Illes Balears.

11 Acatar los requerimientos que establece la LOPD y sus reglamentos en materia de seguridad y confidencialidad de los datos que ha de manejar la aplicación, tanto a nivel de acceso como a la modificación y cancelación de éstos. b) Prohibición de intervenir en medios de comunicación: Quedan expresamente prohibidas las intervenciones de cualquier trabajador de la empresa adjudicataria en los medios de comunicación social, ya sean visuales, escritos o hablados, exponiendo o comentando cualquier tipo de información obtenida o relacionada con su actividad en el ámbito de este contrato. c) Propiedad del resultado de los trabajos: Toda la información, procedimientos y resultados generados por la empresa adjudicataria en relación a la ejecución de este contrato se considera propiedad de la Agencia Tributaria de las Illes Balears. La empresa adjudicataria sólo podrá usarlos para el desarrollo de la actividad objeto de la contratación, y será necesaria la autorización de la ATIB para cualquier otro uso. En todo caso, la empresa adjudicataria y los responsables del contrato acordarán los resultados de los trabajos que podrán ser accesibles para esta finalidad.