Про затвердження Публічної пропозиції Національного банку України на укладення Єдиного договору банківського обслуговування та надання інших послуг Національним банком України

7. Припинення надання деяких з послуг за ініціативою КЛІЄНТА або Національного банку не припиняє зобов'язань КЛІЄНТА щодо погашення заборгованості КЛІЄНТА, яка виникла за цим Договором.

8. Відновлення надання деяких з послуг за цим Договором здійснюється за ініціативою КЛІЄНТА шляхом подання КЛІЄНТОМ до Національного банку письмової Заяви.

9. Національний банк у разі порушення КЛІЄНТОМ умов цього Договору має право розірвати цей Договір, попередивши КЛІЄНТА про це письмово за 20 днів до дня його розірвання.

10. Розірвання цього Договору, у тому числі за ініціативою Національного банку, не звільняє КЛІЄНТА від обов'язку сплатити заборгованість, що виникла протягом дії цього Договору в повному обсязі.

1. Усі зміни до цього Договору вносяться відповідно до умов Публічної пропозиції, повідомляючи про це КЛІЄНТА офіційним опублікуванням тексту таких змін (тобто нової редакції Договору чи його відповідної частини) на сторінці офіційного Інтернет-представництва Національного банку.

2. Невиконання під час реалізації цього Договору однією із Сторін вимог іншої Сторони, які суперечать вимогам законодавства України, не може бути підставою для розірвання цього Договору.

3. Сторони зобов'язуються зберігати в таємниці, не передавати третім особам та не використовувати конфіденційну інформацію, що стала їм відома під час виконання цього Договору, та несанкціоноване поширення якої може завдати збитків будь-якій із Сторін, крім випадків, передбачених законодавством України.

4. КЛІЄНТ не має права на копіювання та/або розповсюдження, передавання третім особам програмно-технологічного забезпечення та інших об'єктів права інтелектуальної власності Національного банку, отриманих у зв'язку з виконанням цього Договору.

5. Національний банк надсилає КЛІЄНТУ розпорядження, повідомлення, інформацію, що надається у зв'язку з виконанням ним цього Договору, самостійно, обираючи конкретний спосіб відправлення, якщо інше не визначено цим Договором та/чи нормативно-правовими та розпорядчими актами Національного банку, одним із таких шляхів:

1) засобами електронної пошти Національного банку;

2) нарочним уповноваженому представникові КЛІЄНТА за адресою: м. Київ, вул. Інститутська, 9 (у робочий час Національного банку);

3) простим, рекомендованим або іншим листом;

4) за допомогою факсимільного зв'язку;

5) іншим шляхом, додатково узгодженим Сторонами.

6. Сторони для виконання зобов'язань за цим Договором мають право здійснювати обмін листами (документами, інформацією тощо), що є правочином і підставою виникнення між Сторонами взаємних зобов'язань.

7. Усі спори за цим Договором, що виникають з приводу виконання цього Договору, вирішуються шляхом проведення взаємних переговорів. У разі недосягнення Сторонами згоди спір передається на вирішення до суду згідно із законодавством України.

Місцезнаходження: 01601, м. Київ, вул. Інститутська, 9

Код за ЄДРПОУ: 00032106

Код банку: 300001

Індивідуальний податковий номер: 000321026651

Рахунок Національного банку для оплати послуг системи електронної пошти Національного банку: р/р 4629105033.

Рахунок Національного банку для оплати інформаційних послуг Національної платіжної системи "Український платіжний простір": р/р 4629105033.

Рахунок Національного банку для оплати послуг з розрахунково-інформаційного обслуговування в системі електронних платежів Національного банку: р/р 4629105033.

Рахунок Національного банку для оплати послуг із надання в користування засобів захисту інформації Національного банку для використання їх у системі електронних платежів Національного банку та в програмно-технічних комплексах автоматизації банківської діяльності, які забезпечують оброблення та передавання інформації, що не належить до платіжної і технологічної інформації СЕП, між банками та іншими установами і Національним банком: р/р 4629105033.

Рахунок Національного банку для оплати послуг з надання послуг Засвідчувального центру: р/р 4629105033.

Рахунок Національного банку для оплати послуг за користування системою BankID для банків: р/р 4629105033.

Рахунок Національного банку для оплати послуг за користування системою BankID для суб'єктів надання адміністративних послуг та небанківських установ: р/р 4629105033.

Рахунок Національного банку для оплати послуг депозитарію та операцій з депозитними сертифікатами Національного банку: р/р 4629822042.

Рахунок Національного банку для оплати послуг банківського обслуговування з використанням програмного комплексу "Клієнт банку - Банк": 4629633042.

Рахунок Національного банку для відшкодування КЛІЄНТОМ комісії, яку списує закордонний банк-кореспондент з кореспондентського рахунку Національного банку, за виконання зовнішнього платежу КЛІЄНТА № 27495992715.

Рахунок Національного банку для перерахування КЛІЄНТАМИ коштів за придбані депозитні сертифікати: р/р 46216992704.

Рахунок Національного банку для оплати послуг з перевезення валютних цінностей: р/р 4629105033.

1. Керуючись статтею 634 Цивільного кодексу України, шляхом подання Заяви про приєднання до умов Єдиного договору банківського обслуговування та надання інших послуг Національним банком України (далі - Заява) КЛІЄНТ приєднується до установлених Національним банком умов Єдиного договору банківського обслуговування Національним банком (далі - Договір), розміщених на сторінці офіційного Інтернет-представництва Національного банку за адресою: http://bank.gov.ua.

2. Датою приєднання до умов цього Договору є дата, яка міститься в розділі "Відмітки Національного банку", визначена та вписана в цей розділ відповідальним працівником Національного банку після опрацювання Заяви та за умови, якщо немає зауважень до поданих КЛІЄНТОМ документів.

3. КЛІЄНТ засвідчує, що він ознайомився з умовами цього Договору, з нормативно-правовими актами Національного банку, тарифами, розміщеними на сторінці офіційного Інтернет-представництва Національного банку, погоджується з ними та зобов'язується їх виконувати.

4. Підписанням Заяви КЛІЄНТ беззастережно підтверджує, що на момент укладення Договору КЛІЄНТ ознайомився з його повним текстом, повністю зрозумів його зміст та погоджується з усіма умовами Договору, а також безумовно стверджує, що не позбавляється будь-яких прав, які має звичайно, а Договір не містить умов, які є для нього обтяжливими в будь-якому сенсі.

5. Підписуючи Заяву, КЛІЄНТ погоджується, що Національний банк має право в будь-який час в односторонньому порядку вносити зміни до Договору, повідомляючи про це КЛІЄНТА офіційним опублікуванням тексту таких змін (тобто нової редакції Договору чи його відповідної частини) на сторінці офіційного Інтернет-представництва Національного банку. З моменту набрання чинності зміни стають невід'ємною частиною Договору та обов'язковими до виконання для Сторін. Момент здійснення опублікування на сторінці офіційного Інтернет-представництва Національного банку є моментом ознайомлення КЛІЄНТА з текстом таких змін та узгодження ним цих змін.

6. Підписанням Заяви КЛІЄНТ беззастережно підтверджує, що розміщення змін до Договору на сторінці офіційного Інтернет-представництва Національного банку є належним виконанням останнім обов'язку щодо додержання форми та порядку повідомлення КЛІЄНТА про зміни до Договору. КЛІЄНТ безумовно бере на себе ризики та обов'язок самостійно відстежувати наявність повідомлень Національного банку про зміну умов Договору.

7. Національний банк погоджується, що в результаті акцептування Публічної пропозиції (укладення Договору) дія договорів (у разі наявності таких), укладених раніше між Національним банком та КЛІЄНТОМ, припиняється на підставі статті 604 Цивільного кодексу України, подальше обслуговування здійснюється на підставі Договору. Це положення не застосовується під час надання послуг з відкриття і ведення рахунку в цінних паперах, зберігання на ньому цінних паперів, обслуговування операцій на цьому рахунку, уключаючи розрахунки за договорами щодо ЦП, та обслуговування операцій емітента щодо випущених ним ЦП.

8. Підписанням Заяви КЛІЄНТ підтверджує те, що: Я, власник персональних даних [фізична(і) особа(и), яка(які) підписала(и) Заяву і зазначена(і) в його преамбулі та реквізитах сторін Договору], повідомлений про мету оброблення Національним банком моїх персональних даних [будь-яка інформація про власника персональних даних, у тому числі, однак не виключно, інформація щодо прізвища, імені, по батькові, інформації, зазначеної в паспорті (або в іншому документі, що посвідчує особу), реєстраційного номера облікової картки платника податків, громадянства, місця проживання або перебування, місця роботи, посади, номерів контактних телефонів/факсів, адреси електронної пошти тощо (далі - персональні дані)], а саме:

1) здійснення Національним банком фінансово-господарської діяльності, пропонування та/або надання повного переліку послуг Національним банком та/або третіми особами (будь-які особи, з якими Національний банк перебуває в договірних відносинах, у тому числі шляхом здійснення прямих контактів із суб'єктом персональних даних за допомогою засобів зв'язку);

2) надання третіми особами послуг Національного банку для виконання ним своїх функцій та/або для виконання укладених Національним банком із третіми особами договорів, у тому числі про відступлення права вимоги;

3) захисту Національним банком своїх прав та інтересів;

4) здійснення Національним банком прав та виконання обов'язків за іншими відносинами між Національним банком та КЛІЄНТОМ/власником(ками) персональних даних/іншим(и) власником(ками) персональних даних.

9. Підписанням Заяви власник персональних даних надає Національному банку однозначну згоду на передавання (поширення), у тому числі транскордонне, Національним банком персональних даних третім особам, зміну, знищення персональних даних або обмеження доступу до них відповідно до вимог Закону України "Про захист персональних даних" (далі - Закон) та без необхідності надання власнику персональних даних письмового повідомлення про здійснення зазначених дій.

10. Підписанням Заяви власник персональних даних підтверджує, що він письмово повідомлений про володільця персональних даних, склад та зміст зібраних персональних даних, права, передбачені Законом, мету збору персональних даних та осіб, яким передаються його персональні дані.

11. Підписанням Заяви КЛІЄНТ підтверджує наявність згоди фізичних осіб, персональні дані яких передаються/можуть передаватися Національному банку від імені КЛІЄНТА та/або для надання послуг КЛІЄНТУ (інші власники персональних даних), на передавання Національному банку та оброблення Національним банком персональних даних цих осіб із метою, зазначеною в пунктах 1 - 4 Заяви, а також факт ознайомлення цих осіб з їх правами, передбаченими Законом, метою оброблення Національним банком персональних даних, інформацією щодо осіб, яким передаються персональні дані.

Застереження: термін "оброблення персональних даних" визначається законодавством України, зокрема Законом.

1.1. Призначення документа

Опис функціональних вимог та процесу взаємодії банку (АБС) із центральним вузлом системи BankID НБУ.

1.2. Цілі створення сервісу

Забезпечення на порталах послуг (далі - ПП) надійної та зручної ідентифікації користувача через систему BankID НБУ за участю банку (АБС), система якого передбачає ідентифікацію користувача як клієнта банку.

1.3. Концепція функціонування системи

Функціонально система складається з трьох основних блоків:

1. ПП (веб-портал послуг), на якому розміщені форми надання послуг у електронному вигляді (реєстрація/авторизація, замовлення довідок, внесення до реєстрів, надання банківських, небанківських та інших послуг). Під час входу на портал або замовлення послуги користувачу доступна можливість авторизації, входу або ідентифікації за допомогою системи BankID НБУ у вигляді банера або кнопки.

Після натискання кнопки або банера "авторизація/вхід/ідентифікація за допомогою системи BankID НБУ" користувач із веб-сторінки ПП переадресовується на веб-сторінку вибору банку на центральному вузлі системи BankID НБУ, обирає банк, клієнтом якого він є, і переспрямовується на веб-сторінку АБС відповідного банку для проведення процедури ідентифікації користувача.

У результаті успішного проходження процедури ідентифікації зі сторони АБС формується електронна анкета з персональними даними користувача (п. 2.2), після чого користувач автоматично переадресовується назад, на веб-сторінку ПП. Одночасно ПП відповідно до порядку отримання даних отримує від АБС через систему BankID НБУ підписану та зашифровану банком анкету з даними користувача.

2. Центральний вузол системи BankID НБУ, на якому розміщена веб-сторінка вибору банку та програмні процедури запиту/передачі даних між АБС та ПП на базі протоколу OAuth2.0.

Після вибору користувачем банку на веб-сторінці центрального вузла системи BankID НБУ користувач переадресовується на веб-сторінку системи дистанційного обслуговування відповідного банку, на якій користувач як клієнт банку проходить стандартну процедуру ідентифікації та автентифікації (наприклад, вводить логін та пароль доступу до ІБ).

У результаті успішного проходження процедури ідентифікації та автентифікації користувача між АБС банку, центральним вузлом системи BankID НБУ та ПП відбувається автоматична взаємодія отримання/передачі коду авторизації (authorization_code, коду доступу (access_token) та персональних даних.

3. Банк (АБС: веб-портал інтернет-банкінгу або іншого сервісу банку), на веб-сторінці якого має бути реалізована форма ідентифікації користувача, програмні процедури автоматичного формування коду авторизації (authorization_code), коду доступу (access_token) та електронної анкети (п. 2.2), накладення на неї електронного цифрового підпису банку, шифрування даних анкети і переспрямування цієї анкети до ПП.

Користувач, перейшовши на веб-сторінку АБС, має можливість ідентифікуватися як клієнт обраного банку, наприклад, за допомогою номера картки банку або з використанням логіна та пароля, отриманих від банку. У разі успішної автентифікації користувач автоматично переспрямовується на сторінку ПП для продовження отримання послуги. Одночасно АБС банку повинна:

сформувати код авторизації (authorization_code), за яким здійснюється запит на отримання коду доступу (access_token);

сформувати код доступу, за яким буде здійснено запит на отримання персональних даних користувача (згідно з протоколом OAuth 2.0);

у відповідь на запит персональних даних перевірити відкритий ключ ПП, отриманий у посиленому сертифікаті шифрування, та сформувати цифровий конверт із підписаними і зашифрованими персональними даними (формати підписаних та зашифрованих даних визначено наказом Адміністрації Державної служби спеціального зв'язку та захисту інформації України № 739 від 18.12.2012).

Рис. 1. Загальна схема функціонування системи BankID НБУ

Банк може делегувати функцію ідентифікації користувача певному сервіс-провайдеру, з яким у нього є договірні відносини відповідно до законодавства.

У такому випадку делеговані функції АБС реалізовуються у відповідній автоматизованій системі сервіс-провайдера, при цьому веб-сторінка ідентифікації на сайті сервіс-провайдера повинна бути брендована під банк і містити контактний телефон та/або форму зворотного зв'язку банку.

Сервіс-провайдер забезпечує перевірку автентичності користувача, генерацію коду авторизації користувача, надання і перевірку коду доступу та подальшу взаємодію з відповідним сервісом АБС банку для отримання електронної анкети з персональними даними користувача (п. 2.2).

Персональні дані користувача від АБС банку передаються до сервіс-провайдера і далі в центральний вузол системи BankID НБУ у зашифрованому вигляді таким чином, щоб сервіс-провайдер не мав змоги ознайомитися зі змістом персональних даних. Вимоги до використання криптографічного протоколу захисту, сертифікатів ключів, забезпечення конфіденційності та контролю цілісності електронної анкети наведені у п. 3 цієї специфікації взаємодії.

Взаємодія центрального вузла системи BankID НБУ з АБС відбувається на базі протоколу OAuth2.0 згідно зі специфікацією (що розташована за веб-адресою http://tools.ietf.org/html/rfc6749). Рекомендовано використовувати готові рішення з веб-сайту http://oauth.net/2/ - секція "Code and Services", варіанти під усі популярні платформи та мови програмування.

Ідентифікація користувача відбувається засобами АБС відповідного банку чи АБС сервіс-провайдера, який представляє інтереси банку. Дані, що передаються в запиті АБС до ПП, шифруються симетричним ключем сеансу або ключем шифрування даних за алгоритмом, визначеним у ДСТУ ГОСТ 28147-2009. В основі передачі даних лежить SSL-протокол.

Логіка роботи системи BankID НБУ побудована на організації звернень від ПП до АБС конкретного банку через єдиний шлюз, яким є центральний вузол системи BankID НБУ (далі - ц.в. BankID НБУ) та адресному передаванні необхідних даних від АБС банку до ПП у підписаному та зашифрованому вигляді. Усі абонентські вузли (як ПП, так і банків) взаємодіють виключно через ц.в. BankID НБУ.

Для підключення банку до ц.в. BankID НБУ уповноважена особа від банку надає веб-адресу АБС банку, на яку ініціюватимуться запити від ц.в. BankID НБУ до АБС (login_url) та веб-адреси, на які здійснюватимуться запити на код доступу (token_api_url) та на персональні дані (data_api_url) від ц.в. BankID НБУ. Адміністратор ц.в. BankID НБУ видає уповноваженій особі банку унікальні ідентифікатори параметрів з'єднання (client_id, client_secret). Усі зазначені параметри обов'язкові, мають бути фіксовані і не повинні містити змінних параметрів (зміни в адресах повинні узгоджуватися з адміністратором центрального вузла системи BankID НБУ).

Рис. 2. Технологічна схема функціонування системи BankID НБУ

2.1. Процедура авторизації

Авторизація згідно зі стандартом OAuth 2.0 виконується у два етапи:

перший етап - отримання коду авторизації (authorization_code), параметр отриманий у запиті на веб-адресу callback_url, вказану в запиті п. 2.1.1;

другий етап - отримання коду доступу (access_token) на підставі коду авторизації (запит на адресу банку, значення параметра token_api_url, вказану під час реєстрації, п. 2.1.2).

Примітка. Веб-сторінка АБС банку, на якій користувач проходить процедуру автентифікації та погоджує процес передачі персональних даних, повинна бути брендована під конкретний банк, мати контактний телефон гарячої лінії з можливістю переходу користувача на веб-сторінку з контактною інформацією відповідного банку або форму зворотного зв'язку.

Якщо банк делегує функції автентифікації та авторизації сервіс-провайдеру, то описані нижче методи повинні бути реалізовані на стороні сервіс-провайдера.

2.1.1. Перехід на сторінку АБС методом GET (перший етап)

Структура запиту від ц.в. BankID НБУ до АБС, запит формується під час переадресації користувача з банера банку на веб-сторінці ц.в. BankID НБУ у такому форматі:

Приклад запиту, за якого користувач перейде з веб-сторінки ц.в. BankID НБУ на веб-сторінку АБС банку:

Відповідь АБС банку:

У разі успішної автентифікації користувача на стороні АБС банку система банку повинна зробити запит із кодом авторизації на адресу параметра redirect_uri. Із даним запитом відбувається переадресація користувача до ц. в. BankID НБУ.