非银行支付机构网络支付业务管理办法(征求意见稿)
|
|
第二十七条支付机构可以组合选用下列三类要素，对客户使用支付账户余额付款的支付指令进行验证：
(一)仅客户本人知悉的要素，如静态密码等；
(二)仅客户本人持有并特有的，不可复制或者不可重复利用的要素，如经过安全认证的数字证书、电子签名，以及通过安全渠道生成和传输的一次性密码等；
(三)客户本人生理特征要素，如指纹等。
支付机构应当确保采用的要素相互独立，即部分要素的损坏或者泄露不应导致其他要素损坏或者泄露。
第二十八条支付机构应根据支付指令验证方式的安全级别，对个人客户使用支付账户余额付款的交易进行限额管理。支付机构采用包括数字证书或电子签名在内的两类(含)以上要素进行验证的交易，单日累计限额由支付机构与客户通过协议自主约定；支付机构采用不包括数字证书、电子签名在内的两类(含)以上要素进行验证的交易，单个客户所有支付账户单日累计金额应不超过5000元(不包括支付账户向客户本人同名银行账户转账，下同)；支付机构采用不足两类要素进行验证的交易，单个客户所有支付账户单日累计金额应不超过1000元，且支付机构应当承诺无条件全额承担此类交易的风险损失赔付责任。
第二十九条支付机构采用数字证书、电子签名作为验证要素的，应当通过符合相关技术安全标准、具有数据安全存储和运算能力的硬件载体对数字证书及生成电子签名的过程进行保护，确保数字证书的唯一性、完整性及交易的不可抵赖性。
支付机构采用一次性密码作为验证要素的，应当切实防范一次性密码获取端与支付指令发起端为相同物理设备而带来的风险，并将一次性密码有效期严格限制在最短的必要时间内。
支付机构采用客户本人生理特征作为验证要素的，应通过符合相关技术安全标准、具有数据安全存储和运算能力的硬件载体进行保护，防止被非法存储、复制或重放。
第三十条支付机构应当每年对交易和信息安全管理制度、业务处理系统、交易监测系统等风险防控机制开展全面评估。评估应由不以任何方式参与网络支付服务开发或者运营的专业人员进行。评估报告应于每年1月31日前在网站对外公告。
第三十一条支付机构应当限制客户尝试登陆或者识别身份的次数，制定客户访问超时规则，设置身份识别时限。
第三十二条支付机构应当制定突发事件应急预案，建立灾备系统，保障业务连续性和系统安全性。
第三十三条支付机构应当充分尊重客户自主选择权，不得强迫客户使用本机构提供的网络支付服务，也不得阻碍客户使用其他机构提供的网络支付服务。
支付机构应当公平展示客户可选用的各种资金收付方式，不得以任何形式诱导、强迫客户开立支付账户或者通过支付账户办理资金收付，不得附加不合理的交易条件。
支付机构应当根据客户意愿办理网络支付服务或者支付账户功能的暂停、禁用或者注销。
第三十四条支付机构应当参照《中国人民银行关于银行业金融机构做好个人金融信息保护工作的通知》(银发〔2011〕17号)有关规定制定有效的客户信息保护措施和风险控制机制，切实履行客户信息保护责任。
第三十五条支付机构应当以“最小化”原则采集、使用、存储和传输客户信息，并告知客户相关信息的使用目的和范围。支付机构不得向本机构以外的其他机构和个人提供客户信息，因办理支付业务需要并经客户逐项确认并授权的，以及法律法规另有规定的除外。
支付机构不得存储客户银行账户密码、银行卡验证码和有效期等敏感信息。因特殊业务需要，支付机构确需存储客户银行卡有效期的，应当取得客户和开户银行的授权，以加密形式存储。
第三十六条支付机构应当通过协议约定禁止特约商户存储客户账户密码、银行卡验证码和有效期等敏感信息，并采取定期检查、技术监测等必要监督措施。
特约商户违反协议约定存储上述敏感信息的，支付机构应当立即暂停或者终止为其提供网络支付服务，采取有效措施删除敏感信息、防止信息泄露，并承担因相关信息泄露造成的损失和责任。
第三十七条支付机构应当建立健全风险准备金制度和交易赔付制度，并对不能有效证明因客户原因导致的资金损失使用风险准备金先行全额赔付，保障客户合法权益。
支付机构应在年度监管报告中如实反映客户风险损失、客户损失赔付、风险准备金计提、风险准备金使用和风险准备金结余等情况。
第三十八条
支付机构应当向客户充分提示网络支付业务的潜在风险，及时揭示不法分子新型作案手段，对客户进行必要的安全教育，并对高风险业务在操作前、操作中进行风险警示。
支付机构应当于每年1月31日前，将前一年度发生的风险事件、客户风险损失、客户损失赔付等情况在网站对外公告。
第三十九条支付机构为客户购买投资理财产品或服务提供网络支付服务的，应当确保相关产品或者服务提供方为取得相应经营资质并依法开展业务的机构，并充分向客户提示潜在风险。
第四十条
支付机构应当采取有效措施，确保客户在执行支付指令前可对资金收付账户、交易金额等交易信息进行确认，并在支付指令完成后及时将结果通知客户。
因交易超时、无响应或者系统故障导致支付指令无法正常处理的，支付机构应当及时提示客户；因客户原因造成支付指令未执行、未适当执行、延迟执行的，支付机构应当主动通知客户更改或者协助客户采取补救措施。
第四十一条支付机构应当建立健全网络支付业务差错争议和纠纷投诉处理制度，向客户公告相关受理机制和流程，并配备专业部门和人员，据实、准确、及时处理交易差错和客户投诉。
第四十二条
支付机构应当通过具有合法独立域名的网站、统一的24小时客户服务电话等渠道，为客户提供网络支付服务及查询、咨询、投诉等配套服务。
支付机构应当告知客户相关服务的正确获取途径，指导客户有效辨识服务渠道的真实性，防范不法分子通过冒充支付机构或者提供虚假服务渠道实施网络欺诈、盗用账户或者窃取信息。
第四十三条支付机构应当为客户免费提供至少最近一年以内交易信息查询服务。
第四十四条支付机构因系统升级、调试等原因，需暂停网络支付服务的，应当至少提前5个工作日予以公告。
第四十五条支付机构变更协议条款、提高网络支付服务收费标准或者新设收费项目的，应当于实施之前在网站以显著方式连续公示30日，并于客户首次办理相关业务前确认客户知悉且接受拟调整的全部详细内容，保障客户对相关服务的自主选择权。
第四十六条支付机构应当真实、完整记录客户各项操作，记录内容应当包括但不限于登录、支付指令验证、变更身份信息、变更预留通讯号码、调整业务功能、调整交易限额、变更资金收付方式，以及重置或者挂失密码、数字证书、电子签名等。相关记录应当自操作生效之日起至少保存5年。
第四十七条商业银行对涉及本行银行账户的相关交易提出查询、差错或者投诉处理以及风险控制等合理要求的，支付机构应当积极配合并及时处理。