Registro RPAA en 2026: guía del Banco de Canadá para proveedores de servicios de pago
Cómo funciona en 2026 la Retail Payment Activities Act (RPAA) de Canadá: quién es proveedor de servicios de pago (PSP), el registro ante el Banco de Canadá y la revisión de seguridad nacional, la gestión del riesgo operativo y de incidentes, la salvaguarda de fondos de los usuarios finales, los informes anuales y de incidentes, la relación con el registro MSB ante FINTRAC y el acceso a Payments Canada y al Real-Time Rail.
Qué es la RPAA y a quién se aplica
La Retail Payment Activities Act (RPAA), la ley federal canadiense sobre actividades de pago minorista, puso a las empresas de pagos no bancarias bajo la supervisión del Banco de Canadá. Recibió la sanción real el 29 de junio de 2021, su reglamento se publicó en noviembre de 2023 y la supervisión del Banco comenzó el 8 de septiembre de 2025. Desde esa fecha, un proveedor de servicios de pago (PSP) incluido en el ámbito de la ley debe estar registrado ante el Banco antes de realizar cualquier actividad de pago minorista.
Un PSP es una persona o entidad que realiza una función de pago como servicio o actividad comercial que no es accesoria a otro negocio. Una actividad de pago minorista es una función de pago vinculada a una transferencia electrónica de fondos en dólares canadienses, en moneda extranjera o en una unidad que cumpla los criterios fijados por reglamento. La ley enumera cinco funciones de pago:
Cuentas
Proveer o mantener una cuenta a nombre de uno o varios usuarios finales, como un monedero electrónico.
Tenencia de fondos
Mantener fondos por cuenta de un usuario final hasta que los retire o transfiera. Esta función activa la obligación de salvaguarda.
Iniciación
Iniciar una transferencia electrónica a petición de un usuario final, por ejemplo en una app de remesas o de pago de facturas.
Autorización y transmisión
Autorizar una transferencia o transmitir, recibir o facilitar una instrucción de pago. Aquí entran las pasarelas y muchos adquirentes.
Compensación y liquidación
Prestar servicios de compensación o liquidación de operaciones de pago.
Exclusiones
La ley no se aplica a bancos, bancos extranjeros autorizados, cooperativas de crédito y caisses populaires, compañías de seguros y fiduciarias, entidades de depósito reguladas por las provincias, Payments Canada ni al propio Banco de Canadá. También excluye ciertas actividades: instrumentos de circuito cerrado que solo se usan con el comerciante emisor o su grupo, contratos financieros admisibles y determinadas operaciones con valores, retiradas de efectivo en cajeros, sistemas designados bajo la Payment Clearing and Settlement Act y transferencias entre entidades del mismo grupo sin otro PSP. Un agente que actúa dentro de su mandato para un PSP registrado, y que figura en la lista de ese PSP, no necesita registrarse, pero el PSP responde por él.
Ámbito territorial
La RPAA se aplica a todo PSP con establecimiento en Canadá. También alcanza al PSP sin establecimiento canadiense que realiza actividades de pago minorista para usuarios finales en Canadá y dirige esas actividades a personas o entidades en Canadá. Un PSP extranjero que hace marketing para canadienses, da de alta a clientes canadienses o fija precios en CAD debería asumir que está dentro. Además, debe designar un agente en Canadá para recibir las notificaciones del Banco.
¿Vas a construir un negocio con esta licencia?
Descubre lo que cubre la plataforma: las preguntas del regulador sobre TI, los rieles de pago, los proveedores y la parte técnica de tu solicitud.
- Core banking para MSB canadienses
- Banca cripto para MSB canadienses que operan con moneda virtual
- Monederos electrónicos para PSP canadienses
- Plataforma de envíos de dinero para MSB canadienses
RPAA frente a registro MSB ante FINTRAC: dos regímenes, a menudo ambos
La RPAA no sustituye a FINTRAC. Los dos regímenes miran riesgos distintos, y una empresa de remesas, un monedero electrónico o una app de pagos que mueve dinero de clientes suele necesitar ambos registros. FINTRAC comprueba que puede prevenir el blanqueo de capitales y la financiación del terrorismo. El Banco de Canadá comprueba que su servicio funciona de forma fiable y que el dinero de los clientes sigue ahí si la empresa quiebra.
| Aspecto | RPAA (Banco de Canadá) | MSB (FINTRAC) |
|---|---|---|
| Base legal | Retail Payment Activities Act y su reglamento | Proceeds of Crime (Money Laundering) and Terrorist Financing Act (PCMLTFA) |
| Enfoque | Riesgo operativo, respuesta a incidentes, salvaguarda de fondos de usuarios finales | Prevención del blanqueo y de la financiación del terrorismo, sanciones, reportes de operaciones sospechosas y de gran cuantía |
| A quién alcanza | A quien realiza alguna de las cinco funciones de pago como actividad no accesoria | Transferencias de dinero, cambio de divisas, giros, moneda virtual, plataformas de crowdfunding y otros servicios listados |
| Tasa | CAD 2.500 por la solicitud, cuotas anuales de supervisión aún en definición | Sin tasa de registro |
| Renovación | El registro se mantiene, pero los cambios deben notificarse | Renovación cada dos años |
| Documentos clave | Marco de gestión de riesgos y respuesta a incidentes, marco de salvaguarda de fondos, informe anual | Programa de cumplimiento, evaluación de riesgos, procedimientos KYC, STR y otros reportes |
En la práctica, ambos regímenes están conectados. La solicitud RPAA pide su situación de registro ante FINTRAC y el Banco comparte información con FINTRAC. Si todavía no está registrado como money services business, empiece por nuestra guía sobre el registro MSB en Canadá: un PSP que mueve fondos sin tener resuelto el lado FINTRAC tendrá difícil explicar su modelo al Banco.
Proceso y plazos de registro
Los PSP que ya operaban tuvieron una ventana del 1 al 15 de noviembre de 2024 para presentar su solicitud y seguir operando durante el periodo transitorio, que terminó el 7 de septiembre de 2025. Al comenzar la supervisión, cerca de 1.500 PSP habían presentado solicitud. Quien empieza ahora presenta la solicitud en el portal PSP Connect del Banco y debe esperar la decisión antes de realizar cualquier actividad de pago minorista.
Análisis de alcance
Contraste su producto con las cinco funciones de pago, las exclusiones y el criterio de actividad accesoria. Documente la conclusión.
Solicitud
Presentación en PSP Connect con la tasa no reembolsable de CAD 2.500. El Banco remite el expediente al Departamento de Finanzas.
Revisión de seguridad nacional
El ministro de Finanzas tiene 60 días para decidir si revisa, más otros 60 si pide información. La revisión dura 180 días y puede prorrogarse.
Decisión y registro público
El Banco registra o deniega. Los PSP registrados figuran en el registro público con sus funciones de pago y agentes.
La solicitud pide bastante más que datos societarios. Prepare:
- denominación legal, nombres comerciales, dirección e indicación de si el negocio opera desde una vivienda;
- estructura organizativa, entidades vinculadas, consejeros, directivos y personas que controlan el PSP;
- descripción de cada actividad de pago minorista y estimaciones de usuarios finales y volúmenes;
- cómo salvaguarda los fondos de los usuarios finales y un resumen de su marco de gestión de riesgos;
- proveedores de servicios externos de los que depende, y sus agentes;
- situación ante FINTRAC, registros provinciales y, para PSP extranjeros, el agente en Canadá que recibe las notificaciones.
Cuente con al menos dos o tres meses entre la presentación y la decisión, y bastante más si la cadena de propiedad es compleja o incluye inversores de jurisdicciones de mayor riesgo. Un cambio de control posterior exige una nueva solicitud antes del cierre de la operación, así que inclúyalo en cualquier calendario de financiación.
Marco de gestión del riesgo operativo y respuesta a incidentes
La sección 17 de la ley exige un marco escrito de gestión de riesgos y respuesta a incidentes. El reglamento detalla su contenido con un criterio proporcional: un PSP cuya caída afectaría a muchos usuarios finales o a otros PSP debe hacer más.
Objetivos y metas
Prestar el servicio sin reducción, deterioro ni interrupción y proteger la confidencialidad, integridad y disponibilidad de sistemas y datos. Fijar metas de fiabilidad medibles, como la disponibilidad por servicio.
Identificar y proteger
Identificar riesgos operativos en ciberseguridad, fraude, continuidad del negocio, terceros y otras categorías, y aplicar controles que los mantengan dentro de su tolerancia al riesgo.
Detectar y responder
Monitorización continua para detectar incidentes y anomalías a tiempo, un plan de respuesta con escalado, investigación inmediata, análisis de causa raíz y procedimientos de recuperación.
Terceros y agentes
Evaluar a proveedores externos y agentes al menos una vez al año y antes de cambiar el contrato, repartir por contrato las responsabilidades sobre los datos y supervisar su desempeño.
La gobernanza pesa tanto como el contenido. Un alto directivo debe ser responsable del marco, que ese directivo y el consejo revisan y aprueban al menos una vez al año. Hay que probar el marco con una metodología acorde a su tamaño e importancia, y una persona independiente, sin participación previa, debe evaluarlo al menos cada tres años.
Externalizar no traslada la responsabilidad. Si falla su ledger, su procesador de tarjetas o su proveedor cloud, el Banco seguirá mirando su marco, sus evaluaciones de ese proveedor y su plan de contingencia.
Salvaguarda de los fondos de los usuarios finales
Si mantiene fondos de usuarios finales "en reposo", es decir, disponibles para una transferencia o retirada futura, la sección 20 de la ley exige protegerlos de una de dos formas, o combinando ambas:
Cuenta fiduciaria
Mantener los fondos en fideicomiso en una cuenta fiduciaria que no se use para ningún otro fin. El PSP no debería pagar sus propios gastos desde ella.
Cuenta segregada con seguro o garantía
Mantener los fondos en una cuenta exclusiva y contratar un seguro o garantía por al menos el importe depositado, con una entidad regulada no vinculada.
Tener el dinero en una entidad con seguro de depósitos no basta por sí solo. No puede existir derecho de compensación sobre la cuenta de salvaguarda. El Banco espera una relación directa con la entidad que lleva la cuenta y ve con recelo los esquemas en los que otro PSP hace de intermediario.
Además de la cuenta, se necesita un marco de salvaguarda de fondos por escrito, aprobado cada año por el alto directivo y el consejo, que cubra entre otros puntos:
- un libro registro con nombre y datos de contacto de cada usuario final y el importe mantenido para cada uno al cierre de cada día;
- el ingreso rápido de los fondos en la cuenta de salvaguarda, como tarde el día hábil siguiente a su recepción cuando haya limitaciones de procesamiento inevitables;
- medidas para detectar e investigar cualquier déficit, que debe registrarse e incluirse en el informe anual;
- un enfoque de liquidez si parte de los fondos se mantiene en activos seguros y líquidos distintos del efectivo;
- procedimientos para devolver los fondos a los usuarios si el PSP entra en insolvencia, con una conciliación final;
- un análisis de riesgos legales y operativos del esquema y una revisión independiente al menos cada tres años.
El reglamento no habla expresamente de "conciliación diaria", pero un registro al cierre del día por cliente y la obligación de detectar déficits dejan poco margen para otra cosa cuando hay volumen real.
Obligaciones de información tras el registro
El registro abre una relación de reporte continua. Todo se presenta a través de PSP Connect.
| Informe | Qué lo activa | Plazo |
|---|---|---|
| Informe anual | Todo PSP registrado. Abarca el marco de riesgos, incidentes, evaluaciones de terceros, salvaguarda, pruebas y métricas de actividad del año natural. | Hasta el 31 de marzo del año siguiente. |
| Notificación de incidente | Incidente con impacto material en usuarios finales, otros PSP o una cámara de compensación. | Sin demora y no más tarde de 48 horas tras determinar que es material. Después, notificaciones intermedias y final. |
| Aviso a afectados | Los mismos incidentes materiales, dirigidos a los usuarios finales, PSP o cámaras afectados. | Sin demora, por lo general en las mismas 48 horas. |
| Aviso de cambio significativo | Cambio que pueda afectar de forma material al riesgo operativo o a la salvaguarda, o nueva actividad de pago minorista. | Al menos cinco días hábiles antes del cambio. |
| Cambios en los datos de registro | Dirección, agentes, estructura, consejeros, entidades vinculadas y datos similares. | En general dentro de 30 días; algunos en cuanto sea posible o por adelantado. |
| Nueva solicitud | Adquisición de control u otro cambio previsto en el reglamento. | Antes de que el cambio surta efecto. |
Los registros que acreditan el cumplimiento se conservan cinco años. El Banco puede imponer sanciones administrativas de hasta CAD 10 millones por infracción. En 2026 dictó una orden de cumplimiento y empezó a publicar avisos de infracción, así que la supervisión ya está en fase activa.
Membresía en Payments Canada y Real-Time Rail
El registro RPAA tiene una ventaja práctica. Las reformas de la Canadian Payments Act entraron en vigor el 29 de septiembre de 2025 y permitieron que los PSP supervisados por el Banco de Canadá soliciten la membresía en Payments Canada. Antes, una fintech solo podía llegar a la compensación canadiense de forma indirecta, a través de un miembro como un banco o una cooperativa de crédito.
Primero el registro
Solo pueden solicitarla los PSP registrados bajo la RPAA, con prueba del registro.
Decisiones trimestrales
El consejo de Payments Canada revisa las solicitudes cada trimestre. Ser miembro no da acceso automático a un sistema de pagos.
Real-Time Rail
Los miembros pueden solicitar participar en el Real-Time Rail, cuyo lanzamiento Payments Canada prevé para el cuarto trimestre de 2026.
Cada sistema tiene sus propios requisitos técnicos, operativos y de seguridad. Un PSP que busque acceso directo debería tratar sus marcos RPAA como base y esperar que Payments Canada revise los mismos temas con más detalle: disponibilidad, gestión de incidentes, liquidación y liquidez.
Qué debe soportar su tecnología
La mayoría de los requisitos de la RPAA acaban siendo requisitos de sistema. Cuando el Banco pide evidencias, espera datos de su plataforma, no un PDF con políticas.
Ledger por cliente
Saldo al cierre del día de cada usuario final, con nombre y datos de contacto, separado del dinero propio de la empresa.
Conciliación de salvaguarda
Comparación diaria de los saldos debidos a clientes con la cuenta fiduciaria o de salvaguarda, con los déficits marcados y registrados.
Registro de incidentes
Marcas de tiempo de la detección, la decisión de materialidad y las notificaciones, para demostrar el plazo de 48 horas.
Pista de auditoría
Quién cambió qué y cuándo, conservado cinco años en un formato legible para el Banco.
Registro de terceros
Proveedores y agentes con su función, fechas y resultados de evaluación, vinculados a los servicios que soportan.
KYC y AML
Alta de clientes, screening, monitorización de transacciones y reportes para la parte de FINTRAC.
Una plataforma de core banking como Crassula puede aportar el ledger multidivisa con saldos por cliente, el alta de clientes, el historial de transacciones y los registros de auditoría del back office en los que se apoyan estos procesos. Las cuentas fiduciarias o de salvaguarda, el seguro, los procedimientos de incidentes y la gobernanza siguen siendo responsabilidad suya. Si quiere ver cómo encaja con su producto, solicite una demo.
RPAA frente a MSB de FINTRAC y salvaguarda de una EMI británica
Los equipos que ya tienen una licencia de dinero electrónico en Reino Unido suelen preguntar cuánto de sus controles pueden reutilizar en Canadá. Respuesta corta: mucho más en salvaguarda que en AML.
| Aspecto | RPAA (Canadá) | MSB FINTRAC (Canadá) | EMI (Reino Unido) |
|---|---|---|---|
| Supervisor | Banco de Canadá | FINTRAC | FCA |
| Protección de fondos de clientes | Cuenta fiduciaria, o cuenta segregada con seguro o garantía | Sin régimen de salvaguarda | Segregación en cuenta de salvaguarda, o seguro o garantía comparable |
| Plazo de ingreso | Con rapidez, como tarde el día hábil siguiente | No aplica | Antes del final del día hábil siguiente a la recepción |
| Conciliación e informes | Registro diario por cliente, déficits en el informe anual | No aplica | Conciliación diaria e informe mensual de salvaguarda bajo CASS 15 desde el 7 de mayo de 2026 |
| Control independiente | Revisión independiente al menos cada tres años | Revisión de eficacia del programa AML cada dos años | Auditoría anual de salvaguarda para la mayoría de entidades |
| Requisito de capital | Ninguno establecido | Ninguno establecido | Capital inicial equivalente a EUR 350.000 más fondos propios |
Para el detalle del lado británico, consulte nuestra guía de la licencia EMI en Reino Unido.
Preguntas frecuentes
Normalmente sí. El registro ante FINTRAC cubre las obligaciones de prevención del blanqueo, mientras que la RPAA cubre el riesgo operativo y la salvaguarda de los fondos de clientes. Una empresa de remesas o un monedero electrónico que realiza alguna de las cinco funciones de pago necesita ambos, y la solicitud RPAA pide su situación ante FINTRAC. Vea nuestra guía MSB en Canadá para la parte de FINTRAC.
El ministro de Finanzas tiene 60 días para decidir si realiza una revisión de seguridad nacional, ampliables otros 60 si necesita más información. Si hay revisión, dura 180 días y puede prorrogarse. Una solicitud sencilla puede resolverse en pocos meses; una estructura de propiedad compleja puede superar con creces el medio año. No se puede iniciar ninguna actividad de pago minorista antes del registro.
La tasa de solicitud es de CAD 2.500 y no es reembolsable. El Banco de Canadá cobrará además cuotas anuales para cubrir sus costes de supervisión, con una parte fija y otra variable según la actividad, pero en octubre de 2026 la fórmula aún no está cerrada. El coste mayor está en montar y mantener los marcos, la fiducia o el seguro y las revisiones independientes.
Todo PSP registrado que mantenga fondos de usuarios finales en reposo, es decir, dinero que queda en el PSP hasta que el usuario lo transfiere o lo retira. Las pasarelas que nunca mantienen saldos no tienen que salvaguardar, pero sí necesitan el marco de gestión de riesgos y respuesta a incidentes.
En su mayoría no. El Banco de Canadá ha indicado que un exchange puramente cripto no realiza actividades de pago minorista, y que un exchange cripto-fiat suele quedar fuera porque sus funciones de pago son accesorias o están excluidas. Una empresa que emite tarjetas prepago respaldadas por cripto sí está dentro por la tarjeta. Las stablecoins respaldadas por moneda fiat podrían incluirse por reglamento, y el marco federal de stablecoins debería entrar en vigor en 2027.
Sí, si no tienen establecimiento en Canadá pero realizan actividades de pago minorista para usuarios finales en Canadá y dirigen esas actividades a canadienses. Además deben designar un agente en Canadá que reciba las notificaciones del Banco.
Un incidente con impacto material debe notificarse sin demora y no más tarde de 48 horas desde que el PSP determina que es material. También hay que avisar a los usuarios finales y PSP afectados. Después se presentan notificaciones intermedias y una final en PSP Connect, cuando se conocen la causa y el impacto.
Sí. Desde el 29 de septiembre de 2025 los PSP supervisados bajo la RPAA pueden solicitar la membresía. El consejo de Payments Canada decide cada trimestre y después los miembros solicitan por separado participar en cada sistema, como el Real-Time Rail, previsto para el cuarto trimestre de 2026.
Otras guías
Crea un banco digital en cuestión de días
Solicita una demo