第六条 支付机构应当遵循“了解你的客户”原则，建立健全客户身份识别机制。支付机构为客户开立支付账户的，应当对客户实行实名制管理，登记并采取有效措施验证客户身份基本信息，按规定核对有效身份证件并留存有效身份证件复印件或者影印件，建立客户唯一识别编码，并在与客户业务关系存续期间采取持续的身份识别措施，确保有效核实客户身份及其真实意愿，不得开立匿名、假名支付账户。
第十四条 支付机构应当确保交易信息的真实性、完整性、可追溯性以及在支付全流程中的一致性，不得篡改或者隐匿交易信息。交易信息包括但不限于下列内容：
（一）交易渠道、交易终端或接口类型、交易类型、交易金额、交易时间，以及直接向客户提供商品或者服务的特约商户名称、编码和按照国家与金融行业标准设置的商户类别码；
（二）收付款客户名称，收付款支付账户账号或者银行账户的开户银行名称及账号；
（三）付款客户的身份验证和交易授权信息；
（四）有效追溯交易的标识；
（五）单位客户单笔超过5万元的转账业务的付款用途和事由。
第十六条 对于客户的网络支付业务操作行为，支付机构应当在确认客户身份及真实意愿后及时办理，并在操作生效之日起至少五年内，真实、完整保存操作记录。
客户操作行为包括但不限于登录和注销登录、身份识别和交易验证、变更身份信息和联系方式、调整业务功能、调整交易限额、变更资金收付方式，以及变更或挂失密码、数字证书、电子签名等。
第十七条 支付机构应当综合客户类型、身份核实方式、交易行为特征、资信状况等因素，建立客户风险评级管理制度和机制，并动态调整客户风险评级及相关风险控制措施。
支付机构应当根据客户风险评级、交易验证方式、交易渠道、交易终端或接口类型、交易类型、交易金额、交易时间、商户类别等因素，建立交易风险管理制度和交易监测系统，对疑似欺诈、套现、洗钱、非法融资、恐怖融资等交易，及时采取调查核实、延迟结算、终止服务等措施。
第十八条 支付机构应当向客户充分提示网络支付业务的潜在风险，及时揭示不法分子新型作案手段，对客户进行必要的安全教育，并对高风险业务在操作前、操作中进行风险警示。
支付机构为客户购买合作机构的金融类产品提供网络支付服务的，应当确保合作机构为取得相应经营资质并依法开展业务的机构，并在首次购买时向客户展示合作机构信息和产品信息，充分提示相关责任、权利、义务及潜在风险，协助客户与合作机构完成协议签订。
第二十条 支付机构应当依照中国人民银行有关客户信息保护的规定，制定有效的客户信息保护措施和风险控制机制，履行客户信息保护责任。
支付机构不得存储客户银行卡的磁道信息或芯片信息、验证码、密码等敏感信息，原则上不得存储银行卡有效期。因特殊业务需要，支付机构确需存储客户银行卡有效期的，应当取得客户和开户银行的授权，以加密形式存储。
支付机构应当以“最小化”原则采集、使用、存储和传输客户信息，并告知客户相关信息的使用目的和范围。支付机构不得向其他机构或个人提供客户信息，法律法规另有规定，以及经客户本人逐项确认并授权的除外。
第二十一条 支付机构应当通过协议约定禁止特约商户存储客户银行卡的磁道信息或芯片信息、验证码、有效期、密码等敏感信息，并采取定期检查、技术监测等必要监督措施。
特约商户违反协议约定存储上述敏感信息的，支付机构应当立即暂停或者终止为其提供网络支付服务，采取有效措施删除敏感信息、防止信息泄露，并依法承担因相关信息泄露造成的损失和责任。
第二十二条 支付机构可以组合选用下列三类要素，对客户使用支付账户余额付款的交易进行验证：
（一）仅客户本人知悉的要素，如静态密码等；
（二）仅客户本人持有并特有的，不可复制或者不可重复利用的要素，如经过安全认证的数字证书、电子签名，以及通过安全渠道生成和传输的一次性密码等；
（三）客户本人生理特征要素，如指纹等。
支付机构应当确保采用的要素相互独立，部分要素的损坏或者泄露不应导致其他要素损坏或者泄露。
第二十三条 支付机构采用数字证书、电子签名作为验证要素的，数字证书及生成电子签名的过程应符合《中华人民共和国电子签名法》、《金融电子认证规范》（JR/T 0118—2015）等有关规定，确保数字证书的唯一性、完整性及交易的不可抵赖性。
支付机构采用一次性密码作为验证要素的，应当切实防范一次性密码获取端与支付指令发起端为相同物理设备而带来的风险，并将一次性密码有效期严格限制在最短的必要时间内。
支付机构采用客户本人生理特征作为验证要素的，应当符合国家、金融行业标准和相关信息安全管理要求，防止被非法存储、复制或重放。(www.xing528.com)
第二十四条 支付机构应根据交易验证方式的安全级别，按照下列要求对个人客户使用支付账户余额付款的交易进行限额管理：
（一）支付机构采用包括数字证书或电子签名在内的两类（含）以上有效要素进行验证的交易，单日累计限额由支付机构与客户通过协议自主约定；
（二）支付机构采用不包括数字证书、电子签名在内的两类（含）以上有效要素进行验证的交易，单个客户所有支付账户单日累计金额应不超过5000元（不包括支付账户向客户本人同名银行账户转账）；
（三）支付机构采用不足两类有效要素进行验证的交易，单个客户所有支付账户单日累计金额应不超过1000元（不包括支付账户向客户本人同名银行账户转账），且支付机构应当承诺无条件全额承担此类交易的风险损失赔付责任。
第二十五条 支付机构网络支付业务相关系统设施和技术，应当持续符合国家、金融行业标准和相关信息安全管理要求。如未符合相关标准和要求，或者尚未形成国家、金融行业标准，支付机构应当无条件全额承担客户直接风险损失的先行赔付责任。
第二十六条 支付机构应当在境内拥有安全、规范的网络支付业务处理系统及其备份系统，制定突发事件应急预案，保障系统安全性和业务连续性。
支付机构为境内交易提供服务的，应当通过境内业务处理系统完成交易处理，并在境内完成资金结算。
第二十七条 支付机构应当采取有效措施，确保客户在执行支付指令前可对收付款客户名称和账号、交易金额等交易信息进行确认，并在支付指令完成后及时将结果通知客户。
因交易超时、无响应或者系统故障导致支付指令无法正常处理的，支付机构应当及时提示客户；因客户原因造成支付指令未执行、未适当执行、延迟执行的，支付机构应当主动通知客户更改或者协助客户采取补救措施。
第四十一条 支付机构从事网络支付业务有下列情形之一的，中国人民银行及其分支机构依据《非金融机构支付服务管理办法》第四十二条的规定进行处理：
（一）未按规定建立客户实名制管理、支付账户开立与使用、差错争议和纠纷投诉处理、风险准备金和交易赔付、应急预案等管理制度的；
（二）未按规定建立客户风险评级管理、支付账户功能与限额管理、客户支付指令验证管理、交易和信息安全管理、交易监测系统等风险控制机制的，未按规定对支付业务采取有效风险控制措施的；
（三）未按规定进行风险提示、公开披露相关信息的；
（四）未按规定履行报告义务的。
第四十二条 支付机构从事网络支付业务有下列情形之一的，中国人民银行及其分支机构依据《非金融机构支付服务管理办法》第四十三条的规定进行处理；情节严重的，中国人民银行及其分支机构依据《中华人民共和国中国人民银行法》第四十六条的规定进行处理：
（一）不符合支付机构支付业务系统设施有关要求的；
（二）不符合国家、金融行业标准和相关信息安全管理要求的，采用数字证书、电子签名不符合《中华人民共和国电子签名法》、《金融电子认证规范》等规定的；
（三）为非法交易、虚假交易提供支付服务，发现客户疑似或者涉嫌违法违规行为未按规定采取有效措施的；
（四）未按规定采取客户支付指令验证措施的；
（五）未真实、完整、准确反映网络支付交易信息，篡改或者隐匿交易信息的；
（六）未按规定处理客户信息，或者未履行客户信息保密义务，造成信息泄露隐患或者导致信息泄露的；
（七）妨碍客户自主选择支付服务提供主体或资金收付方式的；
（八）公开披露虚假信息的；
（九）违规开立支付账户，或擅自经营金融业务活动的。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
