1. Настоящие Правила осуществления деятельности платежной организации Товарищества с ограниченной ответственностью «Firstpay» при оказании платежных услуг (далее – Правила), разработаны в соответствии с Законом Республики Казахстан от 26 июля 2016 года «О платежах и платежных системах» (далее – Закон), Правилами организации деятельности платежных организаций, утвержденными постановлением Правления Национального Банка Республики Казахстан от 31 августа 2016 года № 215, Уставом ТОО «Firstpay», и определяют порядок организации деятельности Платежной организации.
2. Правила определяют единые условия и процедуры, обеспечивающие осуществление платежных операций и устанавливают общие требования к порядку оказания следующих видов платежных услуг:
- услуги по обработке платежей, инициированных клиентом в электронной форме, и передаче необходимой информации банку, организации, осуществляющей отдельные виды банковских операций, для осуществления платежа и (или) перевода либо принятия денег по данным платежам;
- услуги по реализации (распространению) электронных денег;
- услуги по приему и обработке платежей, совершаемых с использованием электронных денег.
3. В настоящих Правилах используются понятия, предусмотренные Законом, а также следующие понятия:
1) Абонентский номер – номер мобильного (сотового) телефона, принадлежащий Клиенту в соответствии с договором об оказании услуг сотовой связи, заключенному с оператором сотовой связи и предоставляющего Клиенту право использования указанного мобильного (сотового) номера.
2) Авторизация – процедура запроса Клиента и последующего разрешения Платежной организации на проведение Операций, либо разрешение Оператора на проведение Владельцем электронных денег операций с использованием электронных денег в Системе ЭД, включая предоставление доступа в его личный кабинет. Процедура прохождения авторизации устанавливается Оператором.
3) Агент системы электронных денег/Агент – банк, организация, осуществляющая отдельные виды банковских операций, Национальный оператор почты и платежный агент, осуществляющие деятельность по приобретению электронных денег у Эмитента/Оператора и владельцев - физических лиц для последующей их реализации физическим лицам на основании договора, заключенного с Эмитентом электронных денег либо оператором системы электронных денег.
4) Аутентификационные данные – уникальные имя Клиента (login), пароль (password) и/или PIN-код и/или Код подтверждения привязки Клиента, используемые для доступа к Системе из ИТС Интернет и/или через терминал и/или через мобильное приложение и совершения операций в пределах суммы денежных средств, доступной Клиенту в целях предъявления Эмитенту требований об осуществлении расчетов. Аутентификационные данные присваиваются Клиенту в момент регистрации Клиента в Системе.
5) Банк-эквайер – банк второго уровня, с которым Платежная организация заключила договор в целях оказания услуг по обработке платежей, инициированных клиентом в электронной форме, и передаче необходимой информации банку, организации, осуществляющей отдельные виды банковских операций, для осуществления платежа и (или) перевода либо принятия денег по данным платежам и обеспечивающий проведение Операций по платежным карточкам.
6) Бесперебойность функционирования Платежной организации – комплексное свойство Платежной организации, обозначающее ее способность предупреждать нарушения надлежащего функционирования (в том числе не допускать приостановления (прекращения) осуществления Операций или ненадлежащего осуществления операций), а также восстанавливать надлежащее функционирование в случае его нарушения.
7) Владелец электронных денег/Владелец ЭД:

• физическое лицо, резидент или нерезидент, получившее электронные деньги от Эмитента, Агента или от иных физических лиц – Участников Платежной организации;
• Агенты;
• Партнеры, получившие электронные деньги от Участников Платежной организации - физических лиц в качестве оплаты по гражданско-правовым сделкам.

Права Владельца электронных денег возникают с момента получения электронных денег.
8) Операция выплат/Выплата – перевод денег, предварительно зачисленных Поставщиком услуг на специализированный транзитный счет Банка с целью последующего перевода на текущий счет Платежной карточки Клиента и/или IBAN на основании указания, полученного Банком от Платежной организации.
9) Выпуск/эмиссия электронных денег – выдача Эмитентом электронных денег Участникам Платежной организации - физическим лицам и Агентам путем обмена на равную по их номинальной стоимости сумму денег.
10) Заявление на идентификацию – заявление физического лица на идентификацию в Платежной организации, составленное по установленной форме, подлежащее заполнению Участником Платежной организации - физическим лицом в целях прохождения идентификации согласно настоящим Правилам и содержащее условие о заключении между Эмитентом и Участником Платежной организации - физическим лицом соответствующего договора, согласно условиям Оферты.
11) Идентификация – процедура, которая производится Оператором системы электронных денег при личном присутствии владельца электронных денег и предъявлении им документа, удостоверяющего личность, либо посредством удаленной идентификации на основании сведений из доступных источников, полученных от операционного центра межбанковской системы переводов денег.
12) Информация об инцидентах информационной безопасности, включая сведения о нарушениях, сбоях в информационных системах – информация об отдельно или серийно возникающих сбоях в работе информационно-коммуникационной инфраструктуры или отдельных ее объектов, создающих угрозу их надлежащему функционированию и (или) условия для незаконного получения, копирования, распространения, модификации, уничтожения или блокирования электронных информационных ресурсов платежной организации.
13) Информационная безопасность Платежной организации – состояние защищенности электронных информационных ресурсов, информационных систем и информационно-коммуникационной инфраструктуры от внешних и внутренних угроз.
14) Информационный актив Платежной организации – совокупность информации и объекта информационно-коммуникационной инфраструктуры, используемого для ее хранения и (или) обработки.
15) Инцидент информационной безопасности, включая нарушения, сбои в информационных системах (далее – инцидент информационной безопасности) – отдельно или серийно возникающие сбои в работе информационно-коммуникационной инфраструктуры или отдельных ее объектов, создающие угрозу их надлежащему функционированию и (или) условия для незаконного получения, копирования, распространения, модификации, уничтожения или блокирования электронных информационных ресурсов платежной организации.
16) Использование электронных денег – передача электронных денег в Платежную организацию их Владельцем - физическим лицом другому Участнику Платежной организации в целях осуществления платежа по гражданско-правовым сделкам и (или) иных операций, связанных с переходом права собственности на электронные деньги.
17) История проведения платежей – раздел в личном кабинете Владельца электронных денег и/или Партнера, содержащий хронологическую запись о проведенных в Платежной организации платежах и иных Операциях.
18) Клиент/Плательщик – физическое лицо, обладающее надлежащей дееспособностью в соответствии с законодательством Республики Казахстан для осуществления Платежа и получения перевода, совершившее конклюдентные действия, направленные на заключение Договора об оказании услуг, и обладающее Аутентификационными данными для доступа к Системе в целях управления своей Учетной записью, и последующего оказания Платежной организацией платежных услуг, предусмотренных Правилами.
19) Код подтверждения – уникальная последовательность цифр, предоставляемая Клиенту Оператором Системы посредством SMS-сообщения на Абонентский номер Клиента, указанный им при регистрации в Системе электронных денег, в целях Подтверждения Платежа. Код подтверждения предоставляется Оператором Системы Клиенту для каждого Платежа в порядке, предусмотренном Офертой.
20) Лимит – установленное численное ограничение значений показателей, характеризующих (каждый в отдельности или в совокупности) уровень риска. Лимит может быть установлен в абсолютном и относительном значении.
21) Личный кабинет – персональный раздел Партнера и/или Владельца электронных денег на интернет-ресурсе Платежной организации, посредством которого владелец электронных денег имеет доступ к своему электронному кошельку и/или Партнер имеет доступ в раздел Системы для получения необходимой информации об остатке денег, операциях, осуществления платежей и иных операций в порядке, предусмотренном настоящими Правилами и заключенными договорами.
22) Логин – уникальная последовательность символов, обозначающая условное имя Владельца электронных денег/Партнера в Платежной организации и используемая в целях его авторизации для доступа в личный кабинет в Платежной организации.
23) Международная платежная система (МПС) – система расчетов между банками различных стран, с использованием единых стандартов платежных средств данной системы.
24) Оператор системы электронных денег «Firstpay»/Оператор – ТОО «Firstpay», оказывающее услуги по обеспечению информационного и технологического взаимодействия между участниками расчетов, включая оказание услуг по сбору, обработке и передаче информации участникам расчетов по операциям с электронными деньгами, обеспечивающая функционирование Системы Firstpay.
25) Операция – общее определение, включающее в себя следующие виды платежей: Операцию оплаты, Операцию отмены оплаты, Операцию возврата, операцию отмены возврата и т.д.
26) Оферта – публичный договор на предоставление платежных услуг Платежной организацией физическим лицам, являющийся договором присоединения согласно статьи 389 Гражданского кодекса Республики Казахстан, размещенный на сайте Платежной организации.
27) Оценка риска – оценка вероятности реализации риска и величины возможных потерь при реализации конкретного вида риска и/или совокупных рисков (группы рисков), принимаемых на себя Платежной организацией.
28) Пароль – уникальная последовательность символов, известная только Владельцу электронных денег/Партнеру, предназначенная для доступа к услугам Платежной организации.
29) Периметр защиты информационно-коммуникационной инфраструктуры – совокупность программно-аппаратных средств, отделяющих информационно-коммуникационную инфраструктуру Платежной организации от внешних информационных сетей и обеспечивающих защиту от угроз информационной безопасности.
30) Платежная организация – Товарищество с ограниченной ответственностью «Firstpay» (БИН 230940037088).
31) Погашение электронных денег – платежная услуга, предусматривающая осуществление Эмитентом электронных денег/Агентом по распространению и погашению электронных денег обмена выпущенных им электронных денег, предъявленных владельцем электронных денег, либо подлежащих обмену без их предъявления владельцем в случаях, предусмотренных законами Республики Казахстан, на равную по их номинальной стоимости сумму денег.
32) Получатель платежа/перевода – юридическое лицо или физическое лицо, зарегистрированное в качестве индивидуального предпринимателя, заключившее отдельный договор с Платежной организацией, и в пользу которого Клиент осуществляет платеж в счет оплаты за Товары, либо физическое лицо, принимающее денежные средства от Клиента, не связанные с предпринимательской деятельностью.
33) Поставщик услуг/Партнер – юридическое лицо или физическое лицо, зарегистрированное в качестве индивидуального предпринимателя, заключившие договор с Платежной организацией, и в пользу которого Клиент осуществляет платеж в счет оплаты за Товары, в том числе посредством электронных денег.
34) Процедуры безопасности – комплекс организационных мер и программно-технических средств защиты информации, в том числе предназначенных для удостоверения прав владельца электронных денег на использование электронных денег и обнаружения ошибок и/или изменений в содержании передаваемых и получаемых электронных сообщений при использовании электронных денег.
35) Риск – присущая деятельности Платежной организации возможность (вероятность) возникновения убытков, ухудшения ликвидности или иных негативных последствий вследствие наступления неблагоприятных событий, связанных с внутренними факторами (сложность организационной структуры, уровень квалификации работников, организационные изменения, текучесть кадров и т.д.) и внешними факторами (изменение экономической конъюнктуры, применяемые новые технологий, внедрение новых продуктов и т.д.).
36) Сайт Системы – web-сайт Платежной организации, размещенный в сети Интернет.
37) Система платежей «Firstpay» (далее – Система) – совокупность программно-технических средств Платежной организации, обеспечивающих информационно-технологическое взаимодействие между участниками расчетов, включая оказание услуг по сбору, обработке и рассылке информации участникам расчетов по Операциям, в том числе с платежными картами.
38) Система электронных денег «Firstpay» (далее – Система ЭД) – совокупность программно-технических средств Платежной организации, документации и организационно-технических мероприятий, обеспечивающих осуществление платежей и иных операций с использованием электронных денег путем взаимодействия оператора системы электронных денег с Эмитентом электронных денег и (или) владельцами электронных денег, а также обеспечивающих предоставление Клиенту (владельцу электронных денег) услуг по: (i) осуществлению доступа к Учетной записи Клиента в целях совершения Платежей; (ii) сбору, обработке, хранению и предоставлению Клиенту консолидированной информации о совершенных Платежах; (iii) информированию (по поручению Клиента) Получателей платежа о совершенных Клиентам Платежах; а также иных информационно-технологических услуг, непосредственно связанных с поименованными выше и необходимых для их корректного оказания. Система ЭД позволяет осуществлять регистрацию Учетной записи Клиента, а также управление ею. Организация работы Системы ЭД и оказание услуг по учету взаимных прав и обязательств Сторон производится Оператором Системы ЭД.
39) Товар – товары, работы, услуги, права на результаты интеллектуальной собственности, реализуемые Поставщиками услуг или третьими лицами - конечным потребителям (Клиентам).
40) Угроза информационной безопасности – совокупность условий и факторов, создающих предпосылки к возникновению инцидента информационной безопасности;
обеспечение информационной безопасности – процесс, направленный на поддержание состояния конфиденциальности, целостности и доступности информационных активов платежной организации.
41) Участники расчетов Системы/Участники – Банк-Эквайер, Банк-Эмитент, Агент, Платежная организация, Поставщик услуг, Плательщик, физические лица (резиденты и нерезиденты, достигшие шестнадцатилетнего возраста) и Партнеры, принявшие обязательство по соблюдению Правил Платежной организации.
42) Учетная запись Клиента – запись в аналитическом учете Оператора Системы ЭД, представляющая собой средство учета Электронных денег, как поступающих на Баланс Учетной записи Клиента, так и расходуемых Клиентом на оплату Платежей. Идентификатором Учетной записи Клиента в учете Оператора Системы выступает Абонентский номер Клиента.
43) Электронные деньги/ЭД – безусловные и безотзывные денежные обязательства Эмитента, хранящиеся в электронной форме и принимаемые в качестве средства платежа в Платежной организации другими Участниками Платежной организации. Электронные деньги номинированы в национальной валюте Республики Казахстан – тенге.
44) Электронный кошелек – учетная запись Клиента/Агента в системе электронных денег, обеспечивающая посредством совокупности программно-технических средств (включая, но не ограничиваясь: web-интерфейс, мобильные приложения и приложения для планшетных компьютеров, программное обеспечение терминалов и пр.) хранение Электронных денег Клиента/Агента и/или доступ:
- Клиента к Электронным деньгам в целях осуществления Платежей с их использованием. Порядок регистрации Электронного кошелька Клиента определяется Офертой системы электронных денег Оператора. Клиент имеет право единовременно зарегистрировать не более одного Электронного кошелька на один Абонентский номер;
- Агента к Электронным деньгам в целях совершения действий по приобретению Электронных денег у Эмитента, их гашению, а также реализации Электронных денег Клиентам.
45) Электронная квитанция – документ, сформированный в электронном виде, содержащий обязательные реквизиты, установленные законодательством Республики Казахстан, подтверждающий факт оказания платежной услуги.
46) Электронное сообщение – любое сообщение, составленное электронным способом и передаваемое между Участниками расчетов по защищенному каналу связи.
47) Эмитент/Банк-эмитент – эмитент, осуществляющий выпуск и погашение электронных денег в Системе ЭД «Firstpay», а также осуществляющий выпуск платежных карт.

2.1. Услуги по реализации (распространению) электронных денег, оказываются Платежной организацией на основании договоров об оказании платежных услуг, заключаемых Платежной организацией с Эмитентом электронных денег, в соответствии с условиями которых Платежная организация выступает агентом системы электронных денег, и осуществляет деятельность по приобретению электронных денег у владельцев - физических лиц для последующей их реализации Клиентам - физическим лицам в соответствии с Законом Республики Казахстан «О платежах и платежных системах».
Услуги по реализации (распространению) электронных денег, оказываются посредством внесения Клиентом наличных денежных средств через электронные терминалы (устройства) платежных агентов/субагентов, и/или с использованием иных средств электронного платежа.
Отношения между Эмитентом электронных денег и их владельцем - физическим лицом регулируются Законом Республики Казахстан «О платежах и платежных системах» и отдельным договором-офертой эмитента электронных денег по выпуску, использованию и погашению электронных денег, заключенным между ними в соответствии с законодательством Республики Казахстан. Договор-оферта Эмитента электронных денег по выпуску, использованию и погашению электронных денег размещается на web-сайте Эмитента в сети Интернет.
2.2. Услуги, по приему и обработке платежей, совершаемых с использованием электронных денег.
Услуги, по приему и обработке платежей, совершаемых с использованием электронных денег оказываются Платежной организацией на основании договоров заключаемых Платежной организацией с Эмитентом электронных денег, и Платежной организацией с третьими лицами, обеспечивающими информационно-технологическое обеспечение для оказания платежной услуги. Платежная организация является Оператором системы электронных денег, оферта системы электронных денег размещена на сайте Системы ЭД.
2.3. Услуги по обработке платежей, инициированных клиентом в электронной форме, и передаче необходимой информации банку, организации, осуществляющей отдельные виды банковских операций, для осуществления платежа и (или) перевода либо принятия денег по данным платежам, оказываются Платежной организацией на основании отдельных договоров, заключенных Платежной организацией с Банком-эквайером и обеспечивает прием платежей и/или перевод на платежную карточку, инициированных с использованием платежных карточек с указанием реквизитов назначения соответствующего платежа и бенефициара соответствующего платежа с последующим обеспечением передачи реквизитов по платежу для его исполнения в пользу соответствующего банка, партнером которого является Платежная организация, а банк в свою очередь исполняет указание Клиента, переданное через Платежную организацию в электронной форме.

3.1. Порядок оказания услуги по реализации (распространению) электронных денег.
Для приобретения электронных денег, Клиенту необходимо произвести регистрацию электронного кошелька. Регистрация происходит по Абонентскому номеру.
Для регистрации электронного кошелька Клиенту необходимо ознакомиться с условиями публичного договора-оферты Эмитента, ссылка на который размещена на сайте Системы ЭД, и, в случае согласия с условиями, Клиент осуществляет полный и безоговорочный акцепт Оферты.
Совершая действия на регистрацию электронного кошелька, Клиент принимает условия Оферты, а также в полном объеме и без каких-либо изъятий принимает условия публичной оферты об оказании услуг безналичных платежей с использованием электронных денег Эмитента в рамках Системы ЭД.
Регистрация электронного кошелька Клиента в Системе ЭД, а также приобретение электронных денег, и последующее пополнение баланса электронного кошелька, происходит путем пополнения Клиентом электронного кошелька наличными деньгами через электронные терминалы платежных агентов/субагентов, банкоматы, через финансовые интернет-порталы, а также с использованием платежных карт и иных способов электронного платежа, перечень которых размещен на сайте Системы в следующем порядке:
Выпуск электронных денег осуществляется Эмитентом после получения денег от Клиента или агентов в сумме равной номинальной стоимости принимаемых на себя обязательств.
В момент реализации электронных денег Клиенту выдается квитанция или иной документ, подтверждающий факт приобретения Клиентом электронных денег.
Электронные деньги считаются реализованными Клиенту с момента отражения информации о доступном остатке электронных денег в электронном кошельке Клиента.
Приобретение электронных денег и последующее пополнение баланса электронного кошелька для клиентов на территории страны, где осуществляется распространение электронных денег, осуществляется не запрещенными способами, и с учетом законодательства страны, где распространяются электронные деньги.
При необходимости, требуется идентификация и верификация владельца электронных денег для совершения операций с электронными деньгами, в том числе приобретения электронных денег.

1. Порядок оказания услуги по приему и обработке платежей, совершаемых с использованием электронных денег.

В системе электронных денег Платежная организация является Оператором Системы ЭД. Согласно оферте Оператора Системы ЭД, размещенной на сайте Системы, Оператор системы электронных денег оказывает Плательщикам (Клиентам электронных кошельков) услуги по приему, обработке платежей, совершаемых с использованием электронных денег.
В целях оказания платежной услуги, Клиенту необходимо пройти регистрацию в Системе ЭД и осуществить приобретение электронных денег. После регистрации учетной записи Клиента в Системе ЭД и приобретения электронных денег, Клиент вправе осуществлять использование Системы ЭД, в том числе осуществлять доступ к Балансу учетной записи в целях совершения платежей.
Совершение платежей производится Клиентом путем формирования, удостоверения и передачи посредством Системы ЭД в адрес Эмитента распоряжения с использованием Электронных денег о совершении платежа в пользу конкретного Получателя платежа в электронном виде.
Для формирования распоряжения Клиент предоставляет реквизиты платежа (в том числе информации о: (i) Получателе платежа, в пользу которого осуществляется платеж с использованием электронных денег; (ii) платежных реквизитах, идентифицирующих назначение платежа (таких как номер и дата договора между Клиентом и Получателем платежа, иные реквизиты, в зависимости от того, какая информация подлежит предоставлению в момент совершения платежа); (iii) сумме платежа; и др.) одним из следующих способов:
а) путем заполнения соответствующей формы на Сайте;
б) путем заполнения соответствующей формы на электронном терминале платежного агента/субагента;
в) путем заполнения соответствующей формы на мобильном устройстве с использованием мобильного приложения Системы ЭД.
Удостоверение распоряжения на совершение платежа производится в зависимости от настроек Системы ЭД, установленных самим Клиентом:
- путем ввода Клиентом Аутентификационных данных, присвоенных ему в момент регистрации Учетной записи Клиента;
- путем ввода Клиентом Аутентификационных данных, присвоенных ему в момент регистрации Учетной записи Клиента, а также введения Кода подтверждения, отправленного/переданного на Абонентский номер программными средствами Платежной организации;
- путем использования команд посредством Message-подтверждения платежей.
Ввод корректных Аутентификационных данных, Кодов подтверждения, либо команд посредством Message-подтверждения платежей признается сторонами в качестве однозначного и бесспорного подтверждения совершенных платежей.
Использование Аутентификационных данных в электронных сообщениях, передаваемых Клиентом в целях авторизации Учетной записи и использования Системы ЭД, Кодов подтверждения, команд, переданных посредством Message-подтверждения в целях формирования и направления распоряжений, порождает юридические последствия, аналогичные использованию собственноручных подписей в соответствии с требованиями законодательства Республики Казахстан, а все документы, связанные с исполнением Договора на оказание услуг, заключенного на условиях Оферты, и удостоверенные любым из вышеизложенных способов, признаются документами в письменной форме.
После проверки корректности, введенных Клиентом Аутентификационных данных, Кодов подтверждения или команд, переданных посредством Message-подтверждения, а также достаточности суммы электронных денег на балансе Учетной записи Клиента для совершения платежа, Платежная организация передает информацию, указанную Клиентом в распоряжении Эмитенту, а также уведомляет Клиента о принятии к исполнению, либо об отказе от исполнения соответствующего распоряжения Эмитентом.
Исполнение Эмитентом распоряжений Клиента о совершении платежа осуществляется на условиях, установленных Публичной Офертой об оказании услуг безналичных платежей с использованием Электронных денег Эмитентом электронных денег в рамках Системы ЭД.
Платежная организация обязуется фиксировать в электронном регистре учета возникновение, изменение или прекращение взаимных прав и обязательств сторон по Договору оказания услуг, заключаемому Клиентом путем присоединения к Оферте через совершение конклюдентных действий, предусмотренных Офертой.
Информирование Клиента о совершении каждого платежа производится путем размещения информации в Личном кабинете Клиента, доступ к которой предоставлен Клиенту на сайте Системы. В случае если Клиент не проверяет информацию о совершении платежей на сайте Системы, Платежная организация не несет ответственности в связи с тем, что Клиент не получил информацию об операции. Клиент признает и акцептом Оферты подтверждает, что с момента размещения информации о совершении платежа в разделе «Отчеты» на сайте Системы обязательство Платежной организации по информированию Клиента исполнено надлежащим образом.
Платежная организация также может направлять Клиенту SMS-оповещения об операциях по списанию (за исключением операций по списанию оплаты в пользу Платежной организации) и операциях по пополнению Учетной записи Клиента на Абонентский номер, указанный при регистрации Учетной записи Клиента.
3.2.1. Регистрация в Системе электронных денег «Firstpay» Партнеров, принимающих к оплате электронные деньги.
Для принятия к оплате Партнером электронных денег, заключается договор на прием электронных денег Эмитентом электронных денег по форме, согласованной между Партнером и Эмитентом.
Для регистрации Партнера в Системе ЭД Партнер осуществляет следующие действия:
- Партнер заполняет анкету поставщика услуг для подключения к Системе ЭД, а также предоставляет копии учредительных документов;
- После подачи анкеты происходит процедура согласования и подписания договора между Партнером, Платежной организацией и/или Эмитентом.
- На основании присвоенного id Партнера производится подключение к Системе ЭД.
Регистрация Партнеров на территории страны, где производится распространение электронных денег, осуществляется с учетом законодательства данной страны.
3.2.2. На ежеквартальной основе формируется и передается отчет для Эмитента и Национального Банка Республики Казахстан, формируемый в соответствии с установленными нормативными правовыми актами Национального Банка Республики Казахстан и договором, заключенным между Эмитентом и Оператором.
3.2.3. Порядок отражения электронных кошельков в Системе ЭД.
Выпуск (эмиссия) электронных денег осуществляется Эмитентом в пределах суммы денег, полученной от Клиентов и Агентов с учетом ограничений, установленных действующим законодательством Республики Казахстан.
При внесении денег Клиент указывает номер Электронного кошелька, открытый в Системе ЭД, на который зачисляются приобретаемые им электронные деньги.
В случае внесения денег третьими лицами для зачисления электронных денег на Электронный счет Клиента, права и обязанности в отношении приобретенных/безвозмездно полученных электронных денег возникают у Клиента - владельца электронного кошелька. Данные действия оцениваются как совершенные третьими лицами в интересах владельца электронного кошелька.
Оператор обеспечивает соответствие общей суммы денег, принятых от Клиентов отраженной на его балансовом счете, сумме электронных денег, находящейся на позиции Эмитента в Системе ЭД.
Электронные деньги Клиента считаются выпущенными Эмитентом с момента отражения информации о доступной сумме электронных денег в Электронном кошельке.
Платежная организация осуществляет проверку полученных от Эмитента данных и отражает указанную в электронном сообщении Эмитента сумму выпуска электронных денег на позиции Эмитента в Системе ЭД и на Электронном кошельке Клиента.
3.2.4. Использование и погашение электронных денег.
Электронные деньги используются их владельцем в целях осуществления платежей по гражданско-правовым сделкам, а также проведения иных операций на условиях, определенных Правилами и не противоречащих законодательству Республики Казахстан.
Платежи и иные операции с использованием электронных денег осуществляются их владельцем в пользу идентифицированного владельца электронных денег.
У Партнера, получившего электронные деньги в системе электронных денег при совершении гражданско-правовых сделок, возникает право денежного требования к Эмитенту в сумме принятого платежа.
Максимальная сумма одной операции, совершаемой неидентифицированным владельцем электронных денег - физическим лицом, не должна превышать сумму, равную трехкратному размеру месячного расчетного показателя, установленного на соответствующий финансовый год законом о республиканском бюджете Республики Казахстан.
Максимальная сумма электронных денег, хранимых на одном электронном устройстве неидентифицированного владельца электронных денег - физического лица, не превышает суммы, равной трехкратному размеру месячного расчетного показателя, установленного на соответствующий финансовый год законом о республиканском бюджете.
Общая сумма платежей и (или) иных операций с использованием электронных денег с электронного кошелька неидентифицированного владельца электронных денег - физического лица в течение рабочего дня не должна превышать сумму, равную трехкратному размеру месячного расчетного показателя, установленного на соответствующий финансовый год законом о республиканском бюджете.
3.2.4.1. Погашение электронных денег.
Погашение электронных денег — платежная услуга, предусматривающая осуществление Эмитентом обмена выпущенных им электронных денег, предъявленных Клиентами/Партнерами/Агентами, либо подлежащих обмену без их предъявления владельцем в случаях, предусмотренных законами Республики Казахстан, на равную по их номинальной стоимости сумму денег.
Эмитент принимает на себя безусловное и безотзывное денежное обязательство по погашению выпущенных им электронных денег в соответствии с их номинальной стоимостью в национальной валюте Республики Казахстан.
Погашение электронных денег осуществляется Эмитентом путем перечисления равной по их номинальной стоимости суммы денег на банковский счет Клиента - владельца электронных денег - физического лица либо выдачи ему наличных денег.
Для погашения электронных денег на банковский счет Клиента - владельца электронных денег посредством мобильного приложения и/или cайта Системы, Клиент формирует указание о погашении электронных денег, в котором указывает сумму электронных денег к погашению и указывает банковский счет, на который следует осуществить погашение электронных денег. Платежная организация направляет указание Клиента Эмитенту для осуществления процедуры погашения. Эмитент, перед погашением осуществляет процедуру проверки указанного владельцем электронных денег банковского счета, на который следует погасить электронные деньги.
Операции по погашению электронных денег неидентифицированным владельцам электронных денег недоступны. В случае инициировании Клиентом операции по погашению электронных денег Клиенту будет направлено уведомление о невозможности проведения такой операции, с предложением пройти процедуру полной идентификации с указанием адресов, по которым может обратиться владелец электронных денег для прохождения полной идентификации.
Погашение электронных денег кошелька для клиентов на территории страны, где осуществляется распространение электронных денег, осуществляется способами, не запрещенными, и с учетом законодательства страны, где распространяются электронные деньги.
При необходимости, требуется идентификация и верификация владельца электронных денег для совершения операций с электронными деньгами, в том числе приобретения электронных денег.
Эмитент осуществляет сверку полученных данных, а также отправляет сообщение Платежной организации о погашении электронных денег по данному заявлению Клиента.
При погашении электронных денег сумма выдаваемых денег должна соответствовать сумме электронных денег, предъявленных к погашению.
Запрещается осуществлять погашение электронных денег путем перечисления денег на банковский счет или средство электронного платежа владельца электронных денег - физического лица без получения подтверждения о принадлежности банковского счета или средства электронного платежа данному физическому лицу.
3.2.4.2. Порядок закрытия электронного кошелька в системе электронных денег.
При закрытии электронного кошелька Клиентом в мобильном приложении и/или на сайте Системы ЭД формируется указание о закрытии Электронного кошелька с указанием способа вывода электронных денег (при наличии) в безналичной форме. В случае, если Клиент неидентифицирован, для закрытия Электронного кошелька ему необходимо пройти процедуру идентификации. После прохождения такой процедуры Клиент отправляет указание о закрытии Электронного кошелька и о выводе электронных денег способами, указанными выше. После погашения электронных денег Платежная организация направляет указание Клиента о закрытии Электронного кошелька Эмитенту для закрытия электронного кошелька.
В случае отсутствия электронных денег на Электронном кошельке Клиента, прохождение процедуры идентификации для закрытия Электронного кошелька не требуется.
3.2.4.3. Идентификация владельца электронных денег - физического лица.
Идентификация владельца электронных денег производится Эмитентом/Оператором электронных денег/Агентом при личном присутствии владельца электронных денег и предъявлении им документа, удостоверяющего личность, либо посредством удаленной идентификации на основании сведений из доступных источников, полученных от операционного центра межбанковской системы переводов денег, а также иным способом, не противоречащим требованиям законодательства Республики Казахстан.
Идентификация включает осуществление следующих мер, но не ограничивается:
1) фиксирование сведений, необходимых для идентификации физического лица, совершающего операцию с деньгами или иным имуществом и (или) иным имуществом: данные документа, удостоверяющего его личность, индивидуальный идентификационный номер, а также юридический адрес;
2) фиксирование сведений, необходимых для идентификации юридического лица, совершающего операцию с деньгами или иным имуществом и (или) иным имуществом: данные справки о государственной (учетной) регистрации (перерегистрации) юридического лица, данные учредительных документов, бизнес-идентификационный номер, а также адрес места регистрации или нахождения;
3) выявление бенефициарного собственника и фиксирование сведений, необходимых для его идентификации, в соответствии с подпунктом 1 настоящего пункта, за исключением юридического адреса.
Сроки оказания платежной услуги: от 1 (одного) до 3 (трех) рабочих дней, следующего за днем приема платежа.

3.3. Порядок оказания услуги по обработке платежей, инициированных клиентом в электронной форме, и передаче необходимой информации банку, организации, осуществляющей отдельные виды банковских операций, для осуществления платежа и (или) перевода либо принятия денег по данным платежам.
3.3.1. Услуга по обработке платежей, инициированных Клиентом в электронной форме, и передаче необходимой информации банку, организации, осуществляющей отдельные виды банковских операций, для осуществления платежа и (или) перевода либо принятия денег по данным платежам осуществляется следующим образом:

1. Платежная организация, в рамках договоров, заключенных с Банком-эквайером обеспечивает прием платежей инициированных с использованием платежных карточек, а также переводы на платежную карточку с указанием реквизитов назначения соответствующего платежа и бенефициара соответствующего платежа и реквизитов получателя перевода соответственно, с последующим обеспечением передачи реквизитов по платежу и/или переводу для его исполнения в пользу соответствующего Банка-эквайера, партнером которого является Платежная организация, а Банк в свою очередь исполняет указание Клиента, переданное через Платежную организацию в электронной форме.
2. Инициация Клиентом платежей за товаров и/или услуги и переводов на платежные карточки производится посредствам WEB-приложений, online-приложений, мобильных приложений (приложений для мобильных устройств), программного обеспечения терминалов самообслуживания, виджетов и прочих приложений/сайтов - обеспечивающих возможность инициации Клиентом в электронной форме распоряжений на списание денег с платежной карточки Клиента, с их зачислением в пользу Банка с целью последующего исполнения поручения/распоряжения Клиента полученного Платежной организацией от Клиента и переданного Платежной организацией в Банк.
3. При оказании платежной услуги Платежная организация обеспечивает следующий алгоритм действий:

• Клиент посредством сети интернет/мобильного телефона, заходит в соответствующее приложение/сайт Поставщика услуг;
• Клиент знакомится с условиями предоставления платежной услуги и соглашается с условиями оферты Поставщика услуг, размещенными в сети приложении/сайте;
• Клиент знакомится с тарифом/размером комиссии за предоставление Платежной организации соответствующей услуги;
• Клиент в приложении/сайте инициирует платеж в пользу Поставщика услуг;
• Клиент вводит персональные данные в приложении/сайте Поставщика услуг;
• Для оплаты платежа Клиент вводит реквизиты банковской карты;
• Платежная организация посредством запроса в Банк-эквайер инициирует распоряжение Клиента, полученного в электронной форме;
• Банк-эквайер, получив подтверждение от Платежной организации, производит списание денежных средств с банковской карты Клиента и осуществляет зачисление суммы платежа в пользу Поставщика с учетом комиссионного вознаграждения Платежной организации и в строгом соответствии с поручением Клиента;
• Платежная организация получает от Банка подтверждение исполнения Операции;
• Платежная организация выдает Клиенту электронную квитанцию, подтверждающую совершение Клиентом Операции.

3.3.2. Перевод Банком на текущий счет Поставщика услуг по совершенным транзакциям производится Банком в национальной валюте Республики Казахстан.
3.3.3. Сроки оказания платежной услуги – от 1 (одного) до 3 (трех) рабочих дней, следующего за днем приема Платежа.

3.4. Платежная организация осуществляет следующие действия при оказании платежной услуги по переводу денег (Выплаты):
3.4.1. Со специализированного транзитного счета, с которым у Платежной организации заключен соответствующий договор, на карту Клиента:

• Поставщик услуг авансирует необходимую сумму на специализированный транзитный счет Платежной организации (прямым авансированием либо запросом о переводе денежных средств накопленными способом приема платежей);
• Платежная организация принимает запрос на авансирование и пополняет выплатной баланс Поставщика услуг;
• Банком-эквайером денежные средства пополняются на сумму, указанную Поставщиком услуг на специализированный транзитный счет;
• Клиент (Получатель) инициирует запрос на Операцию выплат в мобильном приложении/сайте Поставщика услуг;
• Поставщик услуг направляет запрос в адрес Платежной организации о проведении Выплат;
• Платежная организация направляет запрос в Банк-эквайер на инициацию Операции выплат на сумму в запросе;
• Со специализированного транзитного счета Банк-эквайер:

1. Осуществляет перевод денег (перечисляет сумму Выплат), указанную в запросе на платежную карточку Клиента (Получателя);
2. Удерживает суммы Выплат и свою комиссию со специализированного транзитного счета.

• Клиент (Получатель) получает суммы Выплат.

Тарифы платежной организации ТОО «Firstpay» по платежным услугам:

5.1. Порядок взаимодействия Платежной организации с Поставщиком услуг.

• Проводятся маркетинговые исследования, включающие в себя анализ рынка, конкурентоспособности, потребительскую способность.
• Коммерческим департаментом проводится экономическое обоснование заведения нового Поставщика услуг в систему Платежной организации, а также выявляется платежная нагрузка на Клиентов.
• После проведения вышеуказанных действий и принятия положительного решения по работе с Поставщиком услуг, у последнего запрашиваются все необходимые документы в рамках ПОД/ФТ для надлежащей проверки и проводится полный анализ комплаенс рисков.
• В случае отсутствия комплаенс рисков производится обмен технической документацией для подключения Поставщика услуг к системе Платежной организации по протоколу технического взаимодействия API.

5.1.1. Заключение договора с Поставщиком услуг.

• После проведения всех действий в соответствии с п. 5.1. настоящих Правил между Платежной организацией и Поставщиком услуг заключается Договор,
• Поставщик услуг проходит регистрацию в Системе, с присвоением ID.
• Платежная организация обязана передавать Поставщику услуг данные о каждом принятом платеже для внесения изменений в лицевой счет клиента. Сведения должны быть переданы непосредственно в период приема платежа на основании данных, указываемых Клиентом, без ошибок и искажений.
• При приеме платежей Платежной организации взимается комиссия с платежа. Размер комиссии устанавливается Платежной организацией и определяется условиями работы с Поставщиками услуг.

5.2. Порядок взаимодействия Платежной организации с Банком.

• Платежная организация заключает с Банком договор о взаиморасчетах и информационно технологическом взаимодействии.
• Платежная организация проходит регистрацию в Системе Банка, для чего:
• В согласованный сторонами договора срок Платежная организация осуществляет интеграцию Интерфейса подключения (API) к Системе Банка.
• Стороны проводят техническое тестирование систем.
• Сторонами определяется техническая готовность систем к отправке информации о платежах.
• Банк обязан передавать Платежной организации данные о каждом обработанном платеже.
• Сведения должны быть переданы непосредственно в период обработки платежа.
• Каждой операции по передаче данных о платеже присваивается уникальный идентификационный номер в системе Банка.
• На ежемесячной основе производится сверка взаиморасчетов.
• Детализированное описание передвижения денежных средств при положительно обработанной операции оплаты:
• Банк-эмитент осуществляет списание денег с платежной карточки Плательщика;
• Банк-эмитент осуществляет перевод платежа в пользу Банка-эквайера;
• Банк-эквайер перечисляет платеж на расчетный счет Поставщика услуг.

5.3. Порядок взаимодействия с третьими лицами, обеспечивающими технологическое обеспечение платежных услуг, оказываемых Платежной организацией, регулируется соответствующими договорами, заключенными с третьими лицами, а также настоящими Правилами.
Взаимодействие Платежной организации с третьими лицами при оказании платежных услуг подлежит осуществлению в строгом соответствии с требованиями законодательства Республики Казахстан.
При взаимодействии с третьими лицами, обеспечивающими технологическое обеспечение платежных услуг, оказываемых Платежной организацией, принимаются надлежащие меры безопасности, в том числе позволяющие обеспечить зависящую от соответствующей стороны взаимодействия информационную безопасность, защищенность персональных данных и иной информации, подлежащей обязательной защите в соответствии с законодательством Республики Казахстан.
Цель: поддерживать защиту конфиденциальной информации, к которой имеют доступ третьи стороны, которая обрабатывается третьими сторонами, передается третьим сторонам или управляется третьими сторонами.
Под третьей стороной понимаются юридические лица и индивидуальные предприниматели, которые предоставляют услуги Платежной организации или действуют в интересах Платежной организации.
Подключение информационных систем третьей стороны к системам Платежной организации производятся на основании заключенного договора и соглашения о неразглашении конфиденциальной информации.
Соглашение о неразглашении конфиденциальной информации устанавливает обязанность третьей стороны соблюдать конфиденциальность информации, а также ответственность за разглашение конфиденциальной информации, к которой она получает доступ.
Заключаемый договор или соглашение о неразглашении конфиденциальной информации должны учитывать типовые положения по исполнению третьей стороной требований по обеспечению информационной безопасности. Требования должны включать как минимум следующее:
- ответственность и обязательства за поддержание требуемого уровня информационной безопасности;
- мероприятия по уведомлению об инцидентах информационной безопасности и нарушениях в системе защиты информации.
API и прочая техническая информация, необходимая для построения взаимодействия с Платежной организации для систем третьих сторон является открытой и предоставляется им по запросу.
В целях минимизации рисков Платежной организации, связанных с утечкой и разглашением конфиденциальной информации, к которой осуществляется доступ третьей стороной, работниками отдела IT по согласованию с третьей стороной осуществляется контроль должного уровня обслуживания и уровня информационной безопасности третьей стороны. Контроль может включать:
- анализ отчетов о работах (услугах), предоставляемых третьей стороной;
- регулярные совещания по вопросам и проблемам, возникающим в ходе работ;
- анализ отчетов и результатов расследования возникших инцидентов;
- актуальность сертификатов по информационной безопасности (если применимо).

Система управления рисками направлена на обеспечение финансовой устойчивости и стабильного функционирования Платежной организации, и представляет собой систему организации, политик, процедур и методов, принятых Платежной организацией, и позволяющих Платежной организации своевременно осуществлять выявление, измерение, контроль, мониторинг за возникающими рисками и разработка мероприятий по минимизации рисков при оказании платежных услуг.
Процесс управления рисками имеет решающее значение для поддержания стабильной рентабельности Платежной организации, и каждый отдельный сотрудник Платежной организации несет ответственность за риски, связанные с его обязанностями.
Политика управления рисками в Платежной организации и капиталом Платежной организацией определяет базовые принципы, в соответствии с которыми Платежная организация формирует систему управления рисками и достаточностью собственных средств (капитала).
В рамках системы управления рисками Платежная организация определяет финансовые и нефинансовые риски.
К финансовым рискам относятся:
Рыночный риск – это риск возникновения у Платежной организации убытков вследствие неблагоприятного изменения рыночной стоимости финансовых инструментов в инвестиционном портфеле Платежной организации, а также курсов иностранных валют.
Риск ликвидности – риск возникновения проблем, связанных с недостаточностью средств для обеспечения выполнения собственных обязательств Платежной организации, связанный с недополученными доходами при вынужденной продаже активов по текущей стоимости на покрытие разрыва ликвидности, либо с избыточными расходами на вынужденное привлечение пассивов для компенсации недостатка ликвидных ресурсов.
Операционный риск – это риск возникновения прямых или косвенных убытков, связанных с несовершенством системы внутреннего контроля, ошибками информационных систем, ошибками и/или злоупотреблениями (мошенничеством) персонала, неадекватными процедурами деятельности.
К нефинансовым рискам относятся:
Риск потери деловой репутации – это риск возникновения у Платежной организации убытков в результате уменьшения числа клиентов (контрагентов) вследствие формирования в обществе негативного представления о финансовой устойчивости Платежной организации, качестве оказываемых услуг или характере деятельности в целом.
Правовой риск – это риск возникновения у Платежной организации убытков вследствие:

• несоблюдения требований законодательства и заключенных договоров;
• допускаемых правовых ошибок при осуществлении деятельности (некорректные юридические консультации или неверное составление документов, в том числе при рассмотрении спорных вопросов в судебных органах);
• несовершенства правовой системы (противоречивость законодательства, отсутствие правовых норм по регулированию отдельных вопросов, возникающих в процессе деятельности);
• нарушения контрагентами нормативных правовых актов, а также условий заключенных договоров.

Стратегический риск – это риск возникновения у Платежной организации убытков в результате ошибок (недостатков), допущенных при принятии решений, определяющих стратегию деятельности и развития Платежной организации (стратегическое управление) и выражающихся в недостаточном учете возможных опасностей, которые могут угрожать деятельности Платежной организации, неправильном или недостаточно обоснованном определении перспективных направлений деятельности, в которых Платежная организация может достичь преимущества перед конкурентами, отсутствии или обеспечении в неполном объеме необходимых ресурсов (финансовых, материально-технических, людских) и организационных мер (управленческих решений), которые должны обеспечить достижение стратегических целей деятельности Платежной организации.
Управление рисками
Платежная организация в целях эффективного управления рисками разработала политику управления рисками, которая состоит из систематической работы по разработке и практической реализации мер по предотвращению и минимизации рисков, выявлению, измерению, контролю и мониторингу рисков, оценки эффективности их применения, а также контролю за совершением всех денежных операций. В указанных целях в Платежной организации закреплен работник (в случае отсутствия такого работника, данные функции выполняет первый руководитель), выполняющий функции по управлению рисками, в задачи которого входит:

1. Анализ и оценка рисков, включающих в себя систематическое определение: объектов анализа рисков; индикаторов риска по объектам анализа риска, определяющих необходимость принятия мер по предотвращению и минимизации рисков; оценки возможного ущерба в случае возникновения рисков;
2. Разработка и реализация практических мер по управлению рисками с учетом: вероятности возникновения рисков и возможных последствий; анализа применения возможных мер по предотвращению и минимизации рисков.

При разработке процедур выявления, измерения мониторинга и контроля за рисками Платежная организация учитывает, но не ограничивается следующими факторами:

1. размер, характер и сложность бизнеса;
2. доступность рыночных данных для использования в качестве исходной информации;
3. состояние информационных систем и их возможности;
4. квалификацию и опыт персонала, вовлеченного в процесс управления рыночным риском.

Процедуры выявления, измерения, мониторинга и контроля за рисками охватывают все виды активов, обязательств; охватывают все виды рыночного риска и их источники; позволяют проводить на регулярной основе оценку и мониторинг изменений факторов, влияющих на уровень рыночного риска, включая ставки, цены и другие рыночные условия; позволяют своевременно идентифицировать рыночный риск и принимать меры в ответ на неблагоприятные изменения рыночных условий.
Основная задача регулирования рисков в Платежной организации – поддержание приемлемых соотношений прибыльности с показателями безопасности и ликвидности в процессе управления активами и пассивами Платежной организации, т.е. минимизация потерь.
Эффективное управление уровнем риска в Платежной организации должно решать целый ряд проблем - от отслеживания (мониторинга) риска до его стоимостной оценки. Уровень риска, связанного с тем или иным событием, постоянно меняется из-за динамичного характера внешнего окружения Платежной организации. Это заставляет Платежную организацию регулярно уточнять свое место на рынке, давать оценку риска тех или иных событий, пересматривать отношения с Клиентами и с Поставщиками услуг и оценивать качество собственных активов и пассивов, следовательно, корректировать свою политику в области управления рисками. Процесс управления рисками в Платежной организации включает в себя: предвидение рисков, определение их вероятных размеров и последствий, разработку и реализацию мероприятий по предотвращению или минимизации, связанных с ними потерь. Все это предполагает разработку Платежной организацией собственной стратегии управления рисками таким образом, чтобы своевременно и последовательно использовать все возможности развития Платежной организации и одновременно удерживать риски на приемлемом и управляемом уровне.
Цели и задачи стратегии управления рисками в большой степени определяются постоянно изменяющейся внешней экономической средой, в которой приходится работать.
В основу управления рисками положены следующие принципы:

• прогнозирование возможных источников убытков или ситуаций, способных принести убытки, их количественное измерение;
• финансирование рисков, экономическое стимулирование их уменьшения;
• ответственность и обязанность руководителей и сотрудников, четкость политики и механизмов управления рисками;
• координируемый контроль рисков по всем подразделениям Платежной организации, наблюдение за эффективностью процедур управления рисками.

Система управления рисками характеризуется такими элементами как мероприятия и способы управления.
Мероприятия по управлению рисками:

• определение организационной структуры управления рисками, обеспечивающей контроль за выполнением контрагентами Платежной организации требований к управлению рисками, установленных правилами управления рисками Платежной организации;
• определение функциональных обязанностей лиц, ответственных за управление рисками, либо соответствующих структурных подразделений;
• доведение до органов управления Платежной организации соответствующей информации о рисках;
• определение показателей бесперебойности функционирования Платежной организации;
• определение порядка обеспечения бесперебойности функционирования Платежной организации;
• определение методик анализа рисков;
• определение порядка обмена информацией, необходимой для управления рисками;
• определение порядка взаимодействия в спорных, нестандартных и чрезвычайных ситуациях, включая случаи системных сбоев; определение порядка изменения операционных и технологических средств и процедур;
• определение порядка оценки качества функционирования операционных и технологических средств, информационных систем;
• определение порядка обеспечения защиты информации в Платежной организации. Способы управления рисками в Платежной организации определяются с учетом особенностей деятельности Платежной организации, модели управления рисками, процедур платежного клиринга и расчета, количества переводов денежных средств и их сумм, времени окончательного расчета.

Способы управления рисками:

1. установление предельных размеров (лимитов) обязательств контрагентов Платежной организации с учетом уровня риска;
2. осуществление расчета в Платежной организации до конца рабочего дня;
3. обеспечение возможности предоставления лимита;
4. использование безотзывных банковских гарантий;
5. другие способы управления рисками.

7.1.Техническая поддержка осуществляется Организацией на весь период действия настоящего Договора.
7.2.Предприятие формулирует проблему и отправляет заявку на электронный адрес Организации: support@firstpay.kz.
7.3. В течение 24 (двадцати четырех) часов с момента получения заявки Организация направляет Предприятию уведомление по электронной почте о принятии заявки к исполнению и сроках ее решения.
7.4.Техническая поддержка не включает в себя обучение персонала Предприятия по пользованию Системой. Для данного обучения используется инструкция пользователя, расположенная на сайте Организации.

8.1. Порядок соблюдения мер информационной безопасности в Платежной организации покрывает следующие области Платежной организации:

• услуги, предоставляемые Платежной организацией в соответствии с договорами, заключенными с Поставщиками услуг;
• внутренние процессы, регламентированные в Платежной организации;
• персонал – работники Платежной организации;
• третьи стороны, имеющие доступ к Системе Платежной организации;
• информационные ресурсы Платежной организации, хранящие и обрабатывающие информацию.

8.2. Меры информационной безопасности – это средства и меры предотвращения несанкционированного доступа к программно-техническим средствам, применяемые в Платежной организации, в том числе программно-технические средства защиты, обеспечивающие необходимый уровень защиты информации и сохранения ее конфиденциальности в соответствии с требованиями, установленными законодательством Республики Казахстан и предполагающие скоординированную деятельность сотрудников Платежной организации.
Методами обеспечения защиты информации в платежной организации являются:
Препятствие – метод физического преграждения и доступа к оборудованию, носителям информации с использованием организационных и технических мер, включая организацию службы охраны и режима, применения системы контроля и управления доступом, системы видеонаблюдения, охранной и пожарной сигнализации, системы пожаротушения и др.
Управление доступом – метод защиты информации регулированием использования всех ресурсов автоматизированной информационной системы Платежной организации. Управление доступом включает следующие функции защиты:

• Идентификация пользователей, персонала и ресурсов информационной системы.
• Аутентификация – установление подлинности объекта или субъекта по предъявленному им идентификатору.
• Проверка полномочий – проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту.
• Регистрация (протоколирование) обращений к защищаемым объектам и информации.
• Маскировка – метод защиты информации в автоматизированной информационной системе предприятия путем ее криптографического закрытия.
• Регламентация – метод защиты информации, создающий такие условия автоматизированной обработки, хранения и передачи защищаемой информации, при которых возможность несанкционированного доступа к ней сводилась бы к минимуму.

Защита информационной системы платежной организации осуществляется с целью исключения возможностей:

• нарушений законных интересов участников вследствие неблагоприятного стечения обстоятельств (наступления событий), связанных с внутренними и внешними факторами функционирования Системы;
• внесения несанкционированных изменений в технические и программные средства Системы;
• внесения несанкционированных изменений в электронные документы;
• появления в компьютерах компьютерных вирусов и программ, направленных на разрушение, нарушение работоспособности или модификацию программного обеспечения Системы, либо на перехват информации, в том числе паролей.

Защита Системы от несанкционированного доступа.
8.3. Права администратора программно-аппаратных средств защиты от несанкционированного доступа к системе (далее – НСД) предоставляются уполномоченному сотруднику Платежной организации, ответственному за обеспечение безопасности организации.
8.4. Для обеспечения безопасности и конфиденциальности расчетов используются специальные процедуры, включающие:

• наличие пароля для ограничения доступа к личному кабинету пользователя, обеспечивающего защиту информации от несанкционированной модификации или уничтожения;
• обеспечение безопасных условий эксплуатации аппаратно-программных средств и исключение несанкционированного доступа к ним;
• координацию деятельности участников системы по обеспечению защиты от НСД;
• постоянный мониторинг Платежной организацией уровня защиты от НСД;
• выявление факторов риска нарушения защиты от НСД, определения степени и характера влияния факторов риска на защиту от НСД;
• проведение расследований событий, вызвавших операционные сбои, анализ их причин и последствий;
• принятие мер по устранению или минимизации рисков защиты от НСД;
• контроль соблюдения требований правил, договорных обязательств участниками в части обеспечения бесперебойности работы и обеспечения безопасности системы;
• обеспечения сохранения функциональных возможностей операционных и технических средств, информационных систем при сбоях;
• проведение тестирования для выявления недостатков, принятие мер по устранению выявленных недостатков.

8.5. Требования по организации хранения и использования паролей:
8.5.1. Физические лица самостоятельно генерируют для себя пароль доступа к Личному кабинету.
8.5.2. Участники Системы - юридические лица должны определить перечень работников, уполномоченных сопровождать операции с использованием Системы.
8.5.3. При назначении (изменении, в том числе временном) пользователь Системы обязан произвести смену своего пароля.
8.5.4. Длина паролей должна составлять не менее от восьми символов.
8.5.5. Носители ключевой информации (пароля доступа к Личному кабинету) должны храниться только у тех лиц, которым они принадлежат.
8.5.6. Хранение и использование носителей ключевой информации должен исключать возможность несанкционированного доступа к ним.
8.5.7. Во время работы с носителями ключевой информации доступ к ним посторонних лиц должен быть исключен.
8.5.8. По окончании каждого рабочего сеанса пользователь должен «выходить» из кабинета.
8.5.9. В случае подозрения на компрометацию пароля доступа к Личному кабинету необходимо незамедлительно произвести его замену.
8.6. Запрещается:

• передавать носители ключевой информации лицам, к ним не допущенным;
• выводить секретные ключи на дисплей или принтер;
• оставлять носитель ключевой информации без присмотра на рабочем месте.

8.7. Информация об инцидентах информационной безопасности, полученная в ходе мониторинга деятельности по обеспечению информационной безопасности, подлежит консолидации, систематизации и хранению, а также дальнейшему недопущению повторения инцидента информационной безопасности. Срок хранения информации об инцидентах информационной безопасности составляет 5 (пять) лет.
В целях постоянного совершенствования соблюдения мер информационной безопасности в соответствии с полученной информацией об инцидентах информационной безопасности, платежной организацией в ходе мониторинга деятельности по обеспечению информационной безопасности требуется регулярно пересматривать соблюдение мер информационной безопасности - не реже одного раза в год. По результатам пересмотра в настоящие Правила в случае необходимости вносятся соответствующие изменения.
Внеплановый пересмотр мер информационной безопасности может быть выполнен в случае внесения существенных изменений в информационную инфраструктуру Платежной организации, а также по итогам расследования критичных инцидентов информационной безопасности.
Планирование системы информационной безопасности основывается на анализе информационных рисков, что позволяет обеспечить адекватность мер по защите информации по отношению к ценности защищаемых данных и актуальности соответствующих угроз. Для проведения анализа рисков осуществляется оценка и категорирование защищаемых данных, выявляются актуальные угрозы информационной безопасности, а также проводится анализ защищенности компонентов информационной инфраструктуры. На основе результатов анализа информационных рисков выбираются соответствующие меры по их обработке и дальнейшему совершенствованию.
Мониторинг функционирования методов защиты информации проводится с целью выявления инцидентов информационной безопасности и проверки соответствия практики применения защитных мер принятым планам обработки информационных рисков.
Для контроля эффективности выполнения документированных процедур информационной безопасности анализируются соответствующие контрольные следы (записи), свидетельствующие о результатах их выполнения.
Для проверки соответствия системы обеспечения информационной безопасности предъявляемым к ней требованиям проводится регулярный внутренний аудит со стороны ответственного сотрудника.
Результаты, полученные на этапе мониторинга, используются для совершенствования системы обеспечения информационной безопасности. Выявленные недостатки, несоответствия системы предъявляемым требованиям, а также зарегистрированные инциденты информационной безопасности подлежат тщательному изучению с целью выработки эффективных корректирующих и превентивных действий. Корректирующие и превентивные действия устраняют существующие и потенциальные недостатки системы обеспечения информационной безопасности платежной организации, что в итоге приводит к достижению основной цели - поддержанию и улучшению качества защиты информации.
8.8. Платежной организацией определяется порядок принятия неотложных мер к устранению инцидента информационной безопасности, его причин и последствий. Неотложные меры применяются в соответствии с возникшим инцидентом информационной безопасности и инициируются ответственным сотрудником платежной организации, включающим необходимый перечень организационных действий, направленный на своевременное реагирование и недопущение повторного инцидента информационной безопасности.
Платежная организация обязана принять следующие неотложные меры в отношении выявленных инцидентов, связанных с нарушением требований по информационной безопасности:
- предвидеть необходимые действия для принятия мер против возникновения инцидента информационной безопасности, которые могут произойти и определить перечень действий;
- принять действенные меры в короткий срок, но не позднее 3 (трех) часов, в связи с произошедшим инцидентом информационной безопасности;
- обеспечение непрерывности работы при возникновении инцидента информационной безопасности, а также предотвращение незаконных платежей и несанкционированных изменений остатков на счетах, восстановление информации и устранение иных негативных ситуаций, связанных с последствиями инцидента информационной безопасности;
- обеспечение соблюдения сотрудниками платежной организации установленных требований информационной безопасности при работе в программно-технических средствах.
8.9. Ответственным сотрудником платежной организации ведется журнал учета инцидентов информационной безопасности с отражением всей информации об инциденте информационной безопасности путем регистрации факта возникновения инцидента информационной безопасности (дата, время, описание события и прочее), принятых мерах и предлагаемых корректирующих мерах, связанных с недопущением повторного инцидента информационной безопасности.
В зависимости от инцидента информационной безопасности ответственный сотрудник осуществляет разделение инцидента информационной безопасности в журнале учета на внутренние и внешние инциденты информационной безопасности.
В случае возникновения повторного инцидента информационной безопасности, ответственный сотрудник, после проведения регистрации факта в журнале учета инцидентов информационной безопасности, проводит дополнительные мероприятия с привлечением первого руководителя с целью выявления соответствующих уязвимостей и дальнейшему недопущению инцидента информационной безопасности.
Анализ причин возникновения инцидента информационной безопасности, отражаемых в журнале учета инцидентов информационной безопасности, связанного с нарушением требований информационной безопасности, включает в себя следующие мероприятия:
- порядок проведения анализа причин инцидента информационной безопасности ответственным сотрудником (должностным лицом, ответственным за обеспечение информационной безопасности) совместно с соответствующими подразделениями после принятия мер по выявленным инцидентам;
- предупреждение причин инцидентов информационной безопасности и разработка мер по предотвращению возникновения таких ситуаций или снижению возможности причинения вреда в случае их возникновения (в том числе с привлечением ответственного сотрудника);
- изучение соответствующих отчетов программно-технических средств и получение объяснений от сотрудников, вызвавших инцидент информационной безопасности (внутренние инциденты);
- классификация нежелательных явлений по степени негативного воздействия и их оценка на основе критериев оценки.
Ответственный сотрудник публикует и хранит в отдельном файле журнал учета инцидентов информационной безопасности, связанный с нарушением установленных требований информационной безопасности, меры, принятые в отношении тех или иных инцидентов, результаты их оценки и другую дополнительную информацию в соответствии с требованиями законодательства Республики Казахстан.
8.10. Платежная организация представляет в Национальный Банк Республики Казахстан информацию о следующих выявленных инцидентах информационной безопасности:
8.10.1. эксплуатация уязвимостей, присутствующих в программном обеспечении, в частности внутренние и внешние уязвимости, требующие необходимой доработки с целью недопущения как внутреннего, так и внешнего несанкционированного проникновения;
8.10.2. наличие уязвимостей в сети передач данных;
8.10.3. заражение сервера вредоносной программой или кодом;
8.10.4. выявление несанкционированного перевода денежных средств вследствие нарушения требований по информационной безопасности;
8.10.5. инцидентах информационной безопасности, несущих угрозу стабильности деятельности платежной организации.
8.11. Информация об инцидентах информационной безопасности, указанных в настоящем разделе, предоставляется ответственным сотрудником платежной организации не позднее 48 (сорока восьми) часов с момента выявления инцидента информационной безопасности по регламентированной форме согласно нормативно-правовым актам Республики Казахстан (Карта инцидента информационной безопасности). При этом каждый инцидент формируется отдельной формой инцидента информационной безопасности.
8.12. Информация по обработанным инцидентам информационной безопасности представляется в электронном формате с использованием платформы Национального Банка Республики Казахстан для обмена событиями и инцидентами информационной безопасности. Данное требование закреплено в соответствующих нормативно-правовых актах и должным образом обязано выполняться Платежной организацией.

Программное обеспечение обеспечивает:
1) надежное хранение информации, защиту от несанкционированного доступа, целостность баз данных и полную сохранность информации в электронных архивах и базах данных при полном или частичном отключении электропитания в любое время на любом участке оборудования;
2) многоуровневый доступ к входным данным, функциям, операциям, отчетам, реализованным в программном обеспечении, предусматривающим как минимум, два уровня доступа: администратор и пользователь;
3) контроль полноты вводимых данных полей обязательных к заполнению, необходимых для проведения и регистрации операций (при выполнении функций или операций без полного заполнения всех полей программа обеспечивает выдачу соответствующего уведомления);
4) поиск информации по критериям и параметрам, определенным для данной информационной системы, с сохранением запроса, а также сортировку информации по любым параметрам (определенным для данной информационной системы) и возможность просмотра информации за предыдущие даты, если такая информация подлежит хранению в информационной системе;
5) обработку информации и ее хранение по дате и времени;
6) автоматизированное формирование форм отчетов, представляемых платежными организациями в Национальный Банк, а также отчетов о проведенных операциях;
7) ведение и автоматизированное формирование журналов системы внутреннего учета. Программное обеспечение формирует журнал полностью, а также частично (на указанный диапазон дат, определенную дату);
8) возможность резервирования и восстановления данных, хранящихся в учетных системах;
9) возможность вывода выходных документов на экран, принтер или в файл;
10) возможность обмена электронными документами;
11) регистрацию и идентификацию происходящих в информационной системе событий с сохранением следующих атрибутов: дата и время начала события, наименование события, пользователь, производивший действие, идентификатор записи, дата и время окончания события, результат выполнения события.