3) навмисне або необережне передавання КЛІЄНТОМ паролів, ключів та системи захисту інформації Національного банку третій стороні;
4) зміст інформації, яка надсилається абонентами системи електронної пошти;
5) достовірність змісту розрахункового документа, оформленого КЛІЄНТОМ;
6) своєчасність подання КЛІЄНТОМ, що є неналежним одержувачем коштів, розрахункового документа на повернення помилково зарахованих на його рахунок коштів;
7) збитки, завдані КЛІЄНТУ суб'єктами, що користуються послугами КЛІЄНТА;
8) Національний банк не відшкодовує витрати КЛІЄНТА в разі призупинення надання послуги/розірвання цього Договору з причин невиконання або неналежного виконання зобов'язань за цим Договором КЛІЄНТОМ.
6. Національний банк несе відповідальність:
1) за порушення Національним банком установлених законодавством України строків виконання доручення КЛІЄНТА на переказ та строків на завершення переказу Національний банк сплачує КЛІЄНТУ пеню в розмірі 0.1% суми простроченого платежу за кожний день прострочення, що не може перевищувати 10% суми переказу;
2) у разі несвоєчасного (пізніше наступного дня після отримання відповідного документа) чи неправильного списання з вини Національного банку суми з рахунку КЛІЄНТА, а також за несвоєчасне чи неправильне зарахування суми, яка належить власнику рахунку, Національний банк сплачує КЛІЄНТУ пеню в розмірі 0,1% несвоєчасно або неправильно зарахованої (списаної) суми за кожний день прострочення, але не більше подвійної облікової ставки Національного банку, що діяла в період, за який сплачується пеня.
7. Винна Сторона відшкодовує іншій Стороні реальні збитки (втрати), які завдані у зв'язку з несвоєчасним або неякісним виконанням ним обов'язків, обумовлених у цьому Договорі, сума яких визначається за згодою Сторін або рішенням суду.
8. Кожна із Сторін несе відповідальність за збої в обміні інформацією, викликані навмисними, необережними або некомпетентними діями їх персоналу.
Стаття 7. Обставини непереборної сили (форс-мажор)
1. Сторони звільняються від відповідальності за часткове або повне невиконання будь-якого з положень цього Договору, якщо це невиконання стало наслідком причин, що перебувають поза сферою контролю Сторони, яка його не виконала. Такі причини включають стихійне лихо, надзвичайні погодні умови, пожежі, війни, страйки, військові дії, громадські заворушення, але не обмежуються ними (далі - форс-мажор). Період звільнення від відповідальності починається з часу оголошення однією Стороною форс-мажору і закінчується, якщо ця Сторона вжила заходів, яких вона і справді могла б ужити для виходу з форс-мажору. Форс-мажор автоматично продовжує строк виконання зобов'язань на весь період його дії та ліквідації наслідків. Про настання форс-мажорних обставин Сторони мають інформувати одна одну невідкладно. Якщо ці обставини триватимуть більше ніж шість місяців, то кожна зі Сторін матиме право відмовитися від подальшого виконання зобов'язань за цим Договором і в такому разі жодна зі Сторін не матиме права на відшкодування іншою Стороною можливих збитків.
2. Сторона, яка не може виконати своїх зобов'язань унаслідок надзвичайних обставин, передбачених у пункті 1 цієї статті, повинна письмово повідомити про це іншу Сторону протягом трьох робочих днів із часу виникнення цих обставин. Невиконання цієї вимоги не дає жодній із Сторін права посилатися надалі на вищезазначені обставини.
3. Належним доказом впливу дії обставин непереборної сили на можливість виконання Сторонами своїх зобов'язань за цим Договором є сертифікат Торгово-промислової палати України.
IV. Строк дії та припинення цього Договору
1. Строк дії цього Договору визначається строком дії Публічної пропозиції.
2. Цей Договір може бути розірваний на підставі письмової заяви про розірвання Договору, надісланої КЛІЄНТОМ до Національного банку, або з ініціативи Національного банку в односторонньому порядку шляхом надсилання відповідного письмового повідомлення КЛІЄНТУ у випадках, передбачених цим Договором та Умовами надання послуг.
3. Розірвання цього Договору за ініціативою КЛІЄНТА можливе тільки за умови, якщо в КЛІЄНТА немає заборгованості перед Національним банком за цим Договором. Заборгованістю КЛІЄНТА є несплачена вартість послуг, що надавалися Національним банком КЛІЄНТУ відповідно до цього Договору, у тому числі нарахована до дня розірвання цього Договору винагорода Національного банку за надання будь-яких послуг за цим Договором.
4. Розірвання цього Договору за ініціативою КЛІЄНТА здійснюється шляхом подання КЛІЄНТОМ до Національного банку письмової заяви про відмову від усіх послуг, які були обрані КЛІЄНТОМ протягом дії цього Договору, якщо інший порядок не передбачений умовами цього Договору.
5. Припинення надання деяких з послуг, які були обрані КЛІЄНТОМ протягом дії цього Договору, за ініціативою КЛІЄНТА здійснюється шляхом подання КЛІЄНТОМ до Національного банку письмової Заяви про відмову від деяких з послуг та не приводить до розірвання цього Договору.
6. Припинення надання деяких з послуг, які були обрані КЛІЄНТОМ протягом дії цього Договору, за ініціативою Національного банку здійснюється Національним банком в односторонньому порядку у випадках, передбачених цим Договором, Умовами надання послуг, вимогами нормативно-правових актів Національного банку та законодавством України.
7. Припинення надання деяких з послуг за ініціативою КЛІЄНТА або Національного банку не припиняє зобов'язань КЛІЄНТА щодо погашення заборгованості КЛІЄНТА, яка виникла за цим Договором.
8. Відновлення надання деяких з послуг за цим Договором здійснюється за ініціативою КЛІЄНТА шляхом подання КЛІЄНТОМ до Національного банку письмової Заяви.
9. Національний банк у разі порушення КЛІЄНТОМ умов цього Договору має право розірвати цей Договір, попередивши КЛІЄНТА про це письмово за 20 днів до дня його розірвання.
10. Розірвання цього Договору, у тому числі за ініціативою Національного банку, не звільняє КЛІЄНТА від обов'язку сплатити заборгованість, що виникла протягом дії цього Договору в повному обсязі.
V. Заключні положення
1. Усі зміни до цього Договору вносяться відповідно до умов Публічної пропозиції, повідомляючи про це КЛІЄНТА офіційним опублікуванням тексту таких змін (тобто нової редакції Договору чи його відповідної частини) на сторінці офіційного Інтернет-представництва Національного банку.
2. Невиконання під час реалізації цього Договору однією із Сторін вимог іншої Сторони, які суперечать вимогам законодавства України, не може бути підставою для розірвання цього Договору.
3. Сторони зобов'язуються зберігати в таємниці, не передавати третім особам та не використовувати конфіденційну інформацію, що стала їм відома під час виконання цього Договору, та несанкціоноване поширення якої може завдати збитків будь-якій із Сторін, крім випадків, передбачених законодавством України.
4. КЛІЄНТ не має права на копіювання та/або розповсюдження, передавання третім особам програмно-технологічного забезпечення та інших об'єктів права інтелектуальної власності Національного банку, отриманих у зв'язку з виконанням цього Договору.
5. Національний банк надсилає КЛІЄНТУ розпорядження, повідомлення, інформацію, що надається у зв'язку з виконанням ним цього Договору, самостійно, обираючи конкретний спосіб відправлення, якщо інше не визначено цим Договором та/чи нормативно-правовими та розпорядчими актами Національного банку, одним із таких шляхів:
1) засобами електронної пошти Національного банку;
2) нарочним уповноваженому представникові КЛІЄНТА за адресою: м. Київ, вул. Інститутська, 9 (у робочий час Національного банку);
3) простим, рекомендованим або іншим листом;
4) за допомогою факсимільного зв'язку;
5) іншим шляхом, додатково узгодженим Сторонами.
6. Сторони для виконання зобов'язань за цим Договором мають право здійснювати обмін листами (документами, інформацією тощо), що є правочином і підставою виникнення між Сторонами взаємних зобов'язань.
7. Усі спори за цим Договором, що виникають з приводу виконання цього Договору, вирішуються шляхом проведення взаємних переговорів. У разі недосягнення Сторонами згоди спір передається на вирішення до суду згідно із законодавством України.
VI. Місцезнаходження та реквізити Сторін
Місцезнаходження: 01601, м. Київ, вул. Інститутська, 9
Код за ЄДРПОУ: 00032106
Код банку: 300001
Індивідуальний податковий номер: 000321026651
VII. Реквізити Національного банку
Рахунок Національного банку для оплати послуг системи електронної пошти Національного банку: р/р 4629105033.
Рахунок Національного банку для оплати інформаційних послуг Національної платіжної системи "Український платіжний простір": р/р 4629105033.
Рахунок Національного банку для оплати послуг з розрахунково-інформаційного обслуговування в системі електронних платежів Національного банку: р/р 4629105033.
Рахунок Національного банку для оплати послуг із надання в користування засобів захисту інформації Національного банку для використання їх у системі електронних платежів Національного банку та в програмно-технічних комплексах автоматизації банківської діяльності, які забезпечують оброблення та передавання інформації, що не належить до платіжної і технологічної інформації СЕП, між банками та іншими установами і Національним банком: р/р 4629105033.
Рахунок Національного банку для оплати послуг з надання послуг Засвідчувального центру: р/р 4629105033.
Рахунок Національного банку для оплати послуг за користування системою BankID для банків: р/р 4629105033.
Рахунок Національного банку для оплати послуг за користування системою BankID для суб'єктів надання адміністративних послуг та небанківських установ: р/р 4629105033.
Рахунок Національного банку для оплати послуг депозитарію та операцій з депозитними сертифікатами Національного банку: р/р 4629822042.
Рахунок Національного банку для оплати послуг банківського обслуговування з використанням програмного комплексу "Клієнт банку - Банк": 4629633042.
Рахунок Національного банку для відшкодування КЛІЄНТОМ комісії, яку списує закордонний банк-кореспондент з кореспондентського рахунку Національного банку, за виконання зовнішнього платежу КЛІЄНТА № 27495992715.
Рахунок Національного банку для перерахування КЛІЄНТАМИ коштів за придбані депозитні сертифікати: р/р 46216992704.
Рахунок Національного банку для оплати послуг з перевезення валютних цінностей: р/р 4629105033.
Додаток 1
до Публічної пропозиції
Національного банку України
на укладення Єдиного договору
банківського обслуговування
та надання інших послуг
Національним банком України
ЗАЯВА
про приєднання до умов Єдиного договору банківського обслуговування та надання інших послуг Національним банком України
№ ______від "___" ____________ 20__ року
____________
-1Відмітити "Так" усі види послуг, які має намір отримувати КЛІЄНТ.
-2Зазначений вид послуг передбачає обов'язкове обрання також послуг 3, 6.
1. Керуючись статтею 634 Цивільного кодексу України, шляхом подання Заяви про приєднання до умов Єдиного договору банківського обслуговування та надання інших послуг Національним банком України (далі - Заява) КЛІЄНТ приєднується до установлених Національним банком умов Єдиного договору банківського обслуговування Національним банком (далі - Договір), розміщених на сторінці офіційного Інтернет-представництва Національного банку за адресою: http://bank.gov.ua.
2. Датою приєднання до умов цього Договору є дата, яка міститься в розділі "Відмітки Національного банку", визначена та вписана в цей розділ відповідальним працівником Національного банку після опрацювання Заяви та за умови, якщо немає зауважень до поданих КЛІЄНТОМ документів.
3. КЛІЄНТ засвідчує, що він ознайомився з умовами цього Договору, з нормативно-правовими актами Національного банку, тарифами, розміщеними на сторінці офіційного Інтернет-представництва Національного банку, погоджується з ними та зобов'язується їх виконувати.
4. Підписанням Заяви КЛІЄНТ беззастережно підтверджує, що на момент укладення Договору КЛІЄНТ ознайомився з його повним текстом, повністю зрозумів його зміст та погоджується з усіма умовами Договору, а також безумовно стверджує, що не позбавляється будь-яких прав, які має звичайно, а Договір не містить умов, які є для нього обтяжливими в будь-якому сенсі.
5. Підписуючи Заяву, КЛІЄНТ погоджується, що Національний банк має право в будь-який час в односторонньому порядку вносити зміни до Договору, повідомляючи про це КЛІЄНТА офіційним опублікуванням тексту таких змін (тобто нової редакції Договору чи його відповідної частини) на сторінці офіційного Інтернет-представництва Національного банку. З моменту набрання чинності зміни стають невід'ємною частиною Договору та обов'язковими до виконання для Сторін. Момент здійснення опублікування на сторінці офіційного Інтернет-представництва Національного банку є моментом ознайомлення КЛІЄНТА з текстом таких змін та узгодження ним цих змін.
6. Підписанням Заяви КЛІЄНТ беззастережно підтверджує, що розміщення змін до Договору на сторінці офіційного Інтернет-представництва Національного банку є належним виконанням останнім обов'язку щодо додержання форми та порядку повідомлення КЛІЄНТА про зміни до Договору. КЛІЄНТ безумовно бере на себе ризики та обов'язок самостійно відстежувати наявність повідомлень Національного банку про зміну умов Договору.
7. Національний банк погоджується, що в результаті акцептування Публічної пропозиції (укладення Договору) дія договорів (у разі наявності таких), укладених раніше між Національним банком та КЛІЄНТОМ, припиняється на підставі статті 604 Цивільного кодексу України, подальше обслуговування здійснюється на підставі Договору. Це положення не застосовується під час надання послуг з відкриття і ведення рахунку в цінних паперах, зберігання на ньому цінних паперів, обслуговування операцій на цьому рахунку, уключаючи розрахунки за договорами щодо ЦП, та обслуговування операцій емітента щодо випущених ним ЦП.
8. Підписанням Заяви КЛІЄНТ підтверджує те, що: Я, власник персональних даних [фізична(і) особа(и), яка(які) підписала(и) Заяву і зазначена(і) в його преамбулі та реквізитах сторін Договору], повідомлений про мету оброблення Національним банком моїх персональних даних [будь-яка інформація про власника персональних даних, у тому числі, однак не виключно, інформація щодо прізвища, імені, по батькові, інформації, зазначеної в паспорті (або в іншому документі, що посвідчує особу), реєстраційного номера облікової картки платника податків, громадянства, місця проживання або перебування, місця роботи, посади, номерів контактних телефонів/факсів, адреси електронної пошти тощо (далі - персональні дані)], а саме:
1) здійснення Національним банком фінансово-господарської діяльності, пропонування та/або надання повного переліку послуг Національним банком та/або третіми особами (будь-які особи, з якими Національний банк перебуває в договірних відносинах, у тому числі шляхом здійснення прямих контактів із суб'єктом персональних даних за допомогою засобів зв'язку);
2) надання третіми особами послуг Національного банку для виконання ним своїх функцій та/або для виконання укладених Національним банком із третіми особами договорів, у тому числі про відступлення права вимоги;
3) захисту Національним банком своїх прав та інтересів;
4) здійснення Національним банком прав та виконання обов'язків за іншими відносинами між Національним банком та КЛІЄНТОМ/власником(ками) персональних даних/іншим(и) власником(ками) персональних даних.
9. Підписанням Заяви власник персональних даних надає Національному банку однозначну згоду на передавання (поширення), у тому числі транскордонне, Національним банком персональних даних третім особам, зміну, знищення персональних даних або обмеження доступу до них відповідно до вимог Закону України "Про захист персональних даних" (далі - Закон) та без необхідності надання власнику персональних даних письмового повідомлення про здійснення зазначених дій.
10. Підписанням Заяви власник персональних даних підтверджує, що він письмово повідомлений про володільця персональних даних, склад та зміст зібраних персональних даних, права, передбачені Законом, мету збору персональних даних та осіб, яким передаються його персональні дані.
11. Підписанням Заяви КЛІЄНТ підтверджує наявність згоди фізичних осіб, персональні дані яких передаються/можуть передаватися Національному банку від імені КЛІЄНТА та/або для надання послуг КЛІЄНТУ (інші власники персональних даних), на передавання Національному банку та оброблення Національним банком персональних даних цих осіб із метою, зазначеною в пунктах 1 - 4 Заяви, а також факт ознайомлення цих осіб з їх правами, передбаченими Законом, метою оброблення Національним банком персональних даних, інформацією щодо осіб, яким передаються персональні дані.
Застереження: термін "оброблення персональних даних" визначається законодавством України, зокрема Законом.
_____________________________________________________________________________
Посада уповноваженої Підпис уповноваженої Прізвище, ім'я, побатькові
особи особи уповноваженої особи
-----------------------------------------------------------------------------
| ВІДМІТКИ НАЦІОНАЛЬНОГО БАНКУ |
-----------------------------------------------------------------------------
Відповідальні особи КЛІЄНТА:
_____________________________________________________________________________
_____________________________________________________________________________
_____________________________________________________________________________
_____________________________________________________________________________
_____________________________________________________________________________
_____________________________________________________________________________
_____________________________________________________________________________
Додаток 2
до Публічної пропозиції
Національного банку України
на укладення Єдиного договору
банківського обслуговування
та надання інших послуг
Національним банком України
ПЕРЕЛІК
установ КЛІЄНТА, які отримують засоби захисту інформації Національного банку України
КЛІЄНТ ____________
(підпис)
Додаток 3
до Публічної пропозиції
Національного банку України
на укладення Єдиного договору
банківського обслуговування
та надання інших послуг
Національним банком України
ПОВІДОМЛЕННЯ
про готовність до підключення до системи BankID Національного банку України
1. КЛІЄНТ __________________________________ відповідно до вимог Єдиного
договору банківського обслуговування та надання інших послуг Національним
банком щодо надання послуг системою BankID Національного банку України,
затвердженого рішенням Правління Національного банку України від ____ № ____,
підтверджує готовність до підключення до системи BankID Національного банку
України _____________________________________________________________________
(найменування абонентського вузла)
відповідно до Переліку абонентських вузлів (таблиця цього додатка).
2. Логотип, найменування заголовка web-сторінки абонентського вузла та
вказане в цьому повідомленні найменування абонентського вузла відповідають
один одному.
3. Вимоги, викладені в специфікації взаємодії, виконані в повному
обсязі.
Реквізити КЛІЄНТА*:
Найменування юридичної особи ___________________________________________
ЄДРПОУ _________________________________________________________________
Поштова адреса _________________________________________________________
Контактні телефони _____________________________________________________
Прізвище, ім'я, по батькові контактної особи ___________________________
Факс ___________________________________________________________________
E-mail (для загальної інформації) ______________________________________
E-mail (для отримання статистики) ______________________________________
Таблиця
Перелік абонентських вузлів
Керівник КЛІЄНТА ________ _____________________________
(підпис) (прізвище, ім'я, по батькові)
________________________
(дата заповнення)
__________
*Зазначаються чинні службові контактні дані та телефони осіб, які уповноважені вирішувати відповідні питання, пов'язані з підключенням та роботою з системою BankID Національного банку України.
**Для відключених вузлів інформація в колонці 4 не заповнюється.
Додаток 4
до Публічної пропозиції
Національного банку України
на укладення Єдиного договору
банківського обслуговування
та надання інших послуг
Національним банком України
ЗАЯВА-ДОГОВІР
про відкриття банківського рахунку
( Див. текст )
Додаток 5
до Публічної пропозиції
Національного банку України
на укладення Єдиного договору
банківського обслуговування
та надання інших послуг
Національним банком
ПЕРЕЛІК
та реквізити установ КЛІЄНТА, які отримують послугу з касового обслуговування банків
| Найменування установи та її адреса | ||
| Код банку | ||
| Ідентифікаційний код за ЄДРПОУ | ||
| Рахунок | ||
| Номер свідоцтва/витягу про реєстрацію платника ПДВ | ||
| Індивідуальний податковий номер |
Керівник КЛІЄНТА ________ _____________________________
(підпис) (прізвище, ім'я, по батькові)
________________
(дата)
Додаток 6
до Публічної пропозиції
Національного банку України
на укладення Єдиного договору
банківського обслуговування
та надання інших послуг
Національним банком
Вартість послуг з перевезення валютних цінностей замовника від/до ______
________________________________________________ Національного банку України,
розташованого за адресою: __________________________________________________,
до/від операційної каси філії (відділення) __________________________________
____________
*Вартість послуги враховує залучення оперативного автомобіля для супроводження та додатково не менше двох інкасаторів озброєних вогнепальною зброєю в разі перевезення валютних цінностей з перевищеною найбільшою сумою, що визначається згідно з кратністю до мінімальної заробітної плати, відповідними нормативно-правовими актами Національного банку України.
Керівник КЛІЄНТА ________ _____________________________
(підпис) (прізвище, ім'я, по батькові)
________________
(дата)
Додаток 7
до Публічної пропозиції
Національного банку України
на укладення Єдиного договору
банківського обслуговування
та надання інших послуг
Національним банком України
СПЕЦИФІКАЦІЯ
взаємодії з системою BankID Національного банку України (взаємодія системи BankID НБУ з банком)
Аркуш контролю версій
| Версія | Дата | Опис |
| 1.0 | 13.07.2015 | Перша версія для загального обговорення |
| 1.1 | 27.07.2015 | Виправлення згідно із зауваженнями НБУ |
| 2.0 | 30.11.2015 | Зміна версії |
| 3.0 | 04.12.2015 | Доповнення протоколу взаємодії системи BankID НБУ - Банк: - можливість взаємодії через сервіс-провайдера - передача даних анкети користувача у зашифрованому вигляді |
| 3.1 | 10.03.2016 | Виправлення URL по тексту |
| 3.2 | 13.10.2016 | Додавання розділу щодо захисту інформації та виправлення опису за параметрами client_id, client_secret, callback_url |
| 3.3 | 31.10.2016 | Внесено правки для узгодження тексту розділів зі змістом розділу щодо захисту інформації |
| 4 | 17.10.2018 | Внесено правки та роз'яснення щодо порядку запитів у процесі взаємодії, доповнено види можливих помилок та доповнено роз'яснення щодо загального підходу шифрування/розшифрування даних. Доповнено перелік допустимих полів для запиту персональних даних. Внесено виправлення для узгодження з новою редакцією Положення про систему BankID Національного банку України. Зміна версії |
Глосарій
| № з/п | Термін скорочення | Визначення |
| 1 | АБС | Автоматизована банківська система - автоматизована система банку - комплекс програмно-технічних засобів, спрямований на автоматизацію банківської діяльності. Забезпечує інтеграцію різних підсистем, кожна з яких спрямована на виконання тієї чи іншої сфери діяльності банку. У даному документі використовуються такі приклади підсистем АБС: ІБ (інтернет-банкінг). |
| 2 | Авторизація | Процес надання фізичній особі прав на виконання певних дій або доступу до ресурсів, а також процес перевірки (підтвердження) прав під час спроби виконання цих дій. |
| 3 | Автентифікація | Процедура перевірки достовірності. В системі BankID НБУ це електронний процес, що дає змогу підтвердити електронну дистанційну ідентифікацію фізичної особи чи походження та цілісність даних в електронній формі. |
| 4 | ІБ | Інтернет-банкінг - технологія дистанційного банківського обслуговування, доступна користувачу за допомогою звичайного браузера з будь-якого комп'ютера, який має вихід в Інтернет. |
| 5 | Ідентифікація | Ідентифікація - дистанційна ідентифікація - процес розпізнавання фізичної особи абонентами - надавачами послуг шляхом підтвердження автентифікації Користувача Системи BankID НБУ абонентом-ідентифікатором. |
| 6 | Посилений сертифікат шифрування | Сертифікат відкритого ключа, виданий акредитованим центром сертифікації ключів, який використовується в процесі обчислення узгодженого ключа шифрування ключів згідно з Вимогами до форматів криптографічних повідомлень (затверджені наказом Адміністрації Державної служби спеціального зв'язку та захисту інформації України від 18.12.2012 № 739). |
| 7 | ПП | Портал послуг - портал (веб-сайт, веб-портал) абонента - надавача послуг - суб'єкта надання адміністративних послуг, державного або недержавного органу, банку або небанківської установи, на якому ініціюється електронний запит на ідентифікацію користувачів із використанням системи BankID НБУ. |
| 8 | Система дистанційного обслуговування | Система надання банківських послуг користувачу без його безпосереднього звернення до відділення банку. Перед отриманням послуг користувач проходить попередню ідентифікацію та автентифікацію в системі за встановленою банком технологією. |
| 9 | Центральний вузол системи BankID НБУ | Комплекс програмно-технічних засобів, відносно якого побудована взаємодія в системі BankID НБУ між ПП та АБС на базі протоколу OAuth2.0. Центральний вузол розміщено на ресурсах Національного банку України. |
| 10 | BankID НБУ | Комплекс програмно-технічних засобів та організаційно-технологічних заходів для забезпечення дистанційної ідентифікації користувачів під час інформаційної взаємодії між абонентами (ПП та АБС) в електронній формі з використанням банківських систем дистанційного обслуговування. |
| 11 | OAuth | Відкритий протокол авторизації, який дає змогу третій стороні отримати обмежений доступ до захищених ресурсів користувача без необхідності передавати їй (третій стороні) логін та пароль (протокол розташований за веб-адресою http://oauth.net). У системі BankID НБУ використовується протокол версії 2.0. |
1. Загальна частина
1.1. Призначення документа
Опис функціональних вимог та процесу взаємодії банку (АБС) із центральним вузлом системи BankID НБУ.
1.2. Цілі створення сервісу
Забезпечення на порталах послуг (далі - ПП) надійної та зручної ідентифікації користувача через систему BankID НБУ за участю банку (АБС), система якого передбачає ідентифікацію користувача як клієнта банку.
1.3. Концепція функціонування системи
Функціонально система складається з трьох основних блоків:
1. ПП (веб-портал послуг), на якому розміщені форми надання послуг у електронному вигляді (реєстрація/авторизація, замовлення довідок, внесення до реєстрів, надання банківських, небанківських та інших послуг). Під час входу на портал або замовлення послуги користувачу доступна можливість авторизації, входу або ідентифікації за допомогою системи BankID НБУ у вигляді банера або кнопки.
Після натискання кнопки або банера "авторизація/вхід/ідентифікація за допомогою системи BankID НБУ" користувач із веб-сторінки ПП переадресовується на веб-сторінку вибору банку на центральному вузлі системи BankID НБУ, обирає банк, клієнтом якого він є, і переспрямовується на веб-сторінку АБС відповідного банку для проведення процедури ідентифікації користувача.
У результаті успішного проходження процедури ідентифікації зі сторони АБС формується електронна анкета з персональними даними користувача (п. 2.2), після чого користувач автоматично переадресовується назад, на веб-сторінку ПП. Одночасно ПП відповідно до порядку отримання даних отримує від АБС через систему BankID НБУ підписану та зашифровану банком анкету з даними користувача.
2. Центральний вузол системи BankID НБУ, на якому розміщена веб-сторінка вибору банку та програмні процедури запиту/передачі даних між АБС та ПП на базі протоколу OAuth2.0.
Після вибору користувачем банку на веб-сторінці центрального вузла системи BankID НБУ користувач переадресовується на веб-сторінку системи дистанційного обслуговування відповідного банку, на якій користувач як клієнт банку проходить стандартну процедуру ідентифікації та автентифікації (наприклад, вводить логін та пароль доступу до ІБ).
У результаті успішного проходження процедури ідентифікації та автентифікації користувача між АБС банку, центральним вузлом системи BankID НБУ та ПП відбувається автоматична взаємодія отримання/передачі коду авторизації (authorization_code, коду доступу (access_token) та персональних даних.
3. Банк (АБС: веб-портал інтернет-банкінгу або іншого сервісу банку), на веб-сторінці якого має бути реалізована форма ідентифікації користувача, програмні процедури автоматичного формування коду авторизації (authorization_code), коду доступу (access_token) та електронної анкети (п. 2.2), накладення на неї електронного цифрового підпису банку, шифрування даних анкети і переспрямування цієї анкети до ПП.
Користувач, перейшовши на веб-сторінку АБС, має можливість ідентифікуватися як клієнт обраного банку, наприклад, за допомогою номера картки банку або з використанням логіна та пароля, отриманих від банку. У разі успішної автентифікації користувач автоматично переспрямовується на сторінку ПП для продовження отримання послуги. Одночасно АБС банку повинна:
сформувати код авторизації (authorization_code), за яким здійснюється запит на отримання коду доступу (access_token);
сформувати код доступу, за яким буде здійснено запит на отримання персональних даних користувача (згідно з протоколом OAuth 2.0);
у відповідь на запит персональних даних перевірити відкритий ключ ПП, отриманий у посиленому сертифікаті шифрування, та сформувати цифровий конверт із підписаними і зашифрованими персональними даними (формати підписаних та зашифрованих даних визначено наказом Адміністрації Державної служби спеціального зв'язку та захисту інформації України № 739 від 18.12.2012).
Банк може делегувати функцію ідентифікації користувача певному сервіс-провайдеру, з яким у нього є договірні відносини відповідно до законодавства.
У такому випадку делеговані функції АБС реалізовуються у відповідній автоматизованій системі сервіс-провайдера, при цьому веб-сторінка ідентифікації на сайті сервіс-провайдера повинна бути брендована під банк і містити контактний телефон та/або форму зворотного зв'язку банку.
Сервіс-провайдер забезпечує перевірку автентичності користувача, генерацію коду авторизації користувача, надання і перевірку коду доступу та подальшу взаємодію з відповідним сервісом АБС банку для отримання електронної анкети з персональними даними користувача (п. 2.2).
Персональні дані користувача від АБС банку передаються до сервіс-провайдера і далі в центральний вузол системи BankID НБУ у зашифрованому вигляді таким чином, щоб сервіс-провайдер не мав змоги ознайомитися зі змістом персональних даних. Вимоги до використання криптографічного протоколу захисту, сертифікатів ключів, забезпечення конфіденційності та контролю цілісності електронної анкети наведені у п. 3 цієї специфікації взаємодії.
2. Технічна архітектура системи
Взаємодія центрального вузла системи BankID НБУ з АБС відбувається на базі протоколу OAuth2.0 згідно зі специфікацією (що розташована за веб-адресою http://tools.ietf.org/html/rfc6749). Рекомендовано використовувати готові рішення з веб-сайту http://oauth.net/2/ - секція "Code and Services", варіанти під усі популярні платформи та мови програмування.
Ідентифікація користувача відбувається засобами АБС відповідного банку чи АБС сервіс-провайдера, який представляє інтереси банку. Дані, що передаються в запиті АБС до ПП, шифруються симетричним ключем сеансу або ключем шифрування даних за алгоритмом, визначеним у ДСТУ ГОСТ 28147-2009. В основі передачі даних лежить SSL-протокол.
Логіка роботи системи BankID НБУ побудована на організації звернень від ПП до АБС конкретного банку через єдиний шлюз, яким є центральний вузол системи BankID НБУ (далі - ц.в. BankID НБУ) та адресному передаванні необхідних даних від АБС банку до ПП у підписаному та зашифрованому вигляді. Усі абонентські вузли (як ПП, так і банків) взаємодіють виключно через ц.в. BankID НБУ.
Для підключення банку до ц.в. BankID НБУ уповноважена особа від банку надає веб-адресу АБС банку, на яку ініціюватимуться запити від ц.в. BankID НБУ до АБС (login_url) та веб-адреси, на які здійснюватимуться запити на код доступу (token_api_url) та на персональні дані (data_api_url) від ц.в. BankID НБУ. Адміністратор ц.в. BankID НБУ видає уповноваженій особі банку унікальні ідентифікатори параметрів з'єднання (client_id, client_secret). Усі зазначені параметри обов'язкові, мають бути фіксовані і не повинні містити змінних параметрів (зміни в адресах повинні узгоджуватися з адміністратором центрального вузла системи BankID НБУ).