條碼支付業(yè)務規(guī)范=

1、條碼支付業(yè)務規(guī)范第一章總則第一條為規(guī)范線下條碼（二維碼）支付（以下簡稱條碼支付）業(yè)務經(jīng)營行 為，保護會員單位及消費者合法權(quán)益，促進條碼支付業(yè)務健康發(fā)展， 根據(jù)電子支付指引（第T）、非金融機構(gòu)支付服務管理辦法、非銀行支付機構(gòu)網(wǎng)絡支付業(yè)務管理辦法等規(guī)定，制定本規(guī)范。第二條本規(guī)范所稱條碼支付業(yè)務是指會員單位應用條碼技術(shù)，向客 戶提供的、通過手機等移動終端實現(xiàn)收付款人之間貨幣資金轉(zhuǎn)移的 行為。條碼支付業(yè)務包括付款掃碼和收款掃碼。付款掃碼是指付款人通過移動終端讀取收款人展示的條碼完成支付的行為。收款掃碼是指收 款人通過讀取付款人移動終端展示的條碼完成支付的行為。第三條會員單位開展條碼支付業(yè)務應遵循本規(guī)范

2、。會員單位開展條碼支付業(yè)務應遵循依法合規(guī)、平等競爭、誠實守信、安全效率、合作共贏的基本原則。第四條會員單位開展條碼支付業(yè)務應取得相應的業(yè)務資質(zhì)，并按照 監(jiān)管部門相關業(yè)務管理辦法規(guī)范開展業(yè)務，加強風險防范，保障支 付安全。第五條會員單位開展條碼支付業(yè)務應遵守客戶實名制管理規(guī)定。第六條會員單位開展條碼支付業(yè)務應遵守反洗錢法律法規(guī)要求，履行反洗錢和反恐怖融資義務。第七條會員單位應依法維護客戶及相關主體的合法權(quán)益，采取有效措施切實保護消費者利益 第八條會員單位應自覺遵守商業(yè)道德，不得以任何形式詆毀其他會 員單位的商業(yè)信譽，不得利用任何不正當手段損害其他會員單位利 益、干預或影響正常市場秩序。第九條會員

3、單位應遵守監(jiān)管部門發(fā)布的相關技術(shù)標準與規(guī)范要求， 包括但不限于網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范(JR/T 0068-2012)、中國金融移動支付技術(shù)標準(JR/T 0088-0098 2012)系 列標準、非金融機構(gòu)支付業(yè)務設施技術(shù)要求(JR/T 0122-2014) 等，以及中國支付清算協(xié)會(以下簡稱“協(xié)會發(fā)布的條碼支付 技術(shù)安全指引和條碼支付受理終端技術(shù)指引相關要求，保障 條碼支付業(yè)務的交易安全和信息安全。第二章條碼生成和受理第十條會員單位開展條碼支付業(yè)務，應將客戶用于生成條碼的銀行 賬戶號碼或支付賬戶賬號、身份證件號碼、手機號碼進行關聯(lián)管理。第十一條會員單位開展條碼支付業(yè)務，應符合監(jiān)管部門的

4、移動支付 技術(shù)安全標準，可以組合選用下列三種要素，對客戶條碼支付交易 進行驗證：(一)僅客戶本人知悉的要素，如靜態(tài)密碼等；(二)僅客戶本人持有并特有的，不可復制或者不可重復利用的要素， 如經(jīng)過安全認證的數(shù)字證書、電子簽名，以及通過安全渠道生成和 傳輸?shù)囊淮涡悦艽a等；（三）客戶本人生理特征要素，如指紋等。會員單位應當確保采用的要素相互獨立，部分要素的損壞或者泄露 不應導致其他要素損壞或者泄露。第十二條會員單位采用數(shù)字證書、電子簽名作為驗證要素的，數(shù)字 證書及生成電子簽名的過程應符合中華人民共和國電子簽名法、金融電子認證規(guī)范（JR/T 0118-2015）等有關規(guī)定，確保數(shù)字證 書的唯一性、完整性

5、及交易的不可抵賴性。會員單位采用一次性密碼作為驗證要素的，應當切實防范一次性密 碼獲取端與支付指令發(fā)起端為相同物理設備而帶來的風險，并將一 次性密碼有效期嚴格限制在最短的必要時間內(nèi)。會員單位采用客戶本人生理特征作為驗證要素的，應當符合國家、 金融行業(yè)標準和相關信息安全管理要求，防止被非法存儲、復制或 重放。第十三條會員單位應根據(jù)交易驗證方式的安全級別及條碼支付技 術(shù)安全指引關于風險防范能力的分級，對個人客戶條碼支付業(yè)務 的交易進行限額管理：（一）風險防范能力達到A級，采用包括數(shù)字證書或電子簽名在內(nèi)的 兩類（含）以上有效要素對交易進行驗證的，由會員單位與客戶通過 協(xié)議自主約定單日累計限額；（二）

6、風險防范能力達到B級，采用不包括數(shù)字證書、電子簽名在內(nèi) 的兩類（含）以上有效要素對交易進行驗證的，同一客戶單個銀行賬 戶或所有支付賬戶單日累計金額應不超過 5 0 0 0元；（三）風險防范能力達到C級，采用不足兩類要素對交易進行驗證的, 同一客戶單個銀行賬戶或所有支付賬戶單日累計金額應不超過 1 000元，且會員單位應當承諾無條件金額承擔此類交易的風險損失 賠付責任。第十四條會員單位應通過設置條碼使用效期、使用次數(shù)等方式，確 保條碼有效性和真實性，防止條碼被重復使用、重復扣款。第十五條會員單位開展條碼支付業(yè)務所涉及的業(yè)務系統(tǒng)、客戶端軟 件、受理終端/機具等，應當持續(xù)符合監(jiān)管部門及行業(yè)標準要求，

7、確 保條碼生成和識讀過程的安全性、真實性和完整性。支付機構(gòu)還應 通過協(xié)會組織的技術(shù)安全檢測認證。第十六條條碼信息不應包含任何與客戶及其賬戶相關的敏感信息，僅限包含當次支付相關信息。特約商戶相關系統(tǒng)生成的條碼中，僅限包含與當次支付有關的特約 商戶、商品（服務）或商品（服務）訂單等信息。移動終端展示的、由相關系統(tǒng)生成的條碼中，不應直接包含本人賬 戶信息；賬戶信息應加密處理。會員單位應指定專人操作、維護特約商戶用于生成條碼的相關系統(tǒng)， 保障特約商戶條碼生成的安全和可靠。第十七條會員單位應為自身發(fā)行的條碼提供受理服務。支付機構(gòu)基 于支付賬戶開展條碼支付的，應按照自行發(fā)展用戶、自行拓展商戶 的封閉模式在

8、限定場景內(nèi)開展業(yè)務。支付機構(gòu)基于銀行卡開展條碼支付業(yè)務的，應遵守銀行卡收單業(yè)務管理辦法（中國人民銀行公告2013第9號）等相關規(guī)定。第十八條會員單位應確保付款和收款掃碼交易經(jīng)客戶確認或授權(quán)后 發(fā)起，支付信息應真實、完整、有效。移動終端完成條碼掃描后，應正確、完整顯示掃碼內(nèi)容，供客戶確 認。對于移動終端間的小額轉(zhuǎn)賬業(yè)務，付款方完成掃碼后，移動終 端應回顯隱去姓氏的收款方姓名，供付款方確認。特約商戶受理終端完成條碼掃描后，應僅顯示掃碼成功并提示下一 步操作，不得向特約商戶展示條碼中客戶相關敏感信息。第十九條會員單位應根據(jù)付款和收款掃碼的真實場景，按照監(jiān)管規(guī) 定和相關業(yè)務規(guī)則與管理制度要求，正確選用

9、交易類型，準確標識 交易信息并完整發(fā)送，確保交易信息的完整性、真實性和可追溯性。交易信息至少應包括：直接提供商品或服務的特約商戶名稱、類別和代碼，受理終端（網(wǎng)絡支付接口）類型和代碼，交易時間和地點（網(wǎng) 絡特約商戶的網(wǎng)絡地址），交易金額，交易類型和渠道。網(wǎng)絡特約商 戶的交易信息還應當包括商品訂單號和網(wǎng)絡交易平臺名稱。第二十條支付交易報文中應通過特定域標識該交易為條碼支付交易， 以供商業(yè)銀行或支付機構(gòu)正確識別并進行授權(quán)處理。第二十一條會員單位應采取技術(shù)措施，以保證交易信息傳輸?shù)陌踩?性、完整性和抗抵賴性。第二十二條支付交易完成后，特約商戶受理終端和移動終端應展示 支付結(jié)果；支付失敗的，特約商戶受理

10、終端和移動終端還應展示失敗原因 第二十三條會員單位應要求特約商戶在支付交易成功后，按照特約 商戶與客戶的約定及時提供相應商品或服務。第二十四條會員單位應向特約商戶和客戶提供條碼支付交易明細， 便于其辦理查詢、退貨、差錯處理等業(yè)務。第二十五條會員單位應根據(jù)交易發(fā)生時的原交易信息發(fā)起交易差錯 處理、退貨交易，需劃回資金的，相應款項應當劃回原扣款賬戶。 第三章條碼支付特約商戶管理第二十六條會員單位拓展條碼支付特約商戶，應遵循“了解你的客 戶”原則，確保所拓展的是依法設立、合法經(jīng)營的特約商戶。第二十七條特約商戶及其法定代表人或負責人在中國人民銀行指定 的風險信息管理系統(tǒng)中存在不良信息的，會員單位應謹慎

11、或拒絕為 該特約商戶提供條碼支付服務。中國人民銀行指定的風險信息管理系統(tǒng)包括但不限于中國人民銀行 或行業(yè)協(xié)會有關信息管理系統(tǒng)、銀行卡清算機構(gòu)建設運營的風險信 息共享系統(tǒng)。第二十八條會員單位拓展特約商戶應落實實名制規(guī)定，嚴格審核特 約商戶申請材料的真實性、完整性、有效性，并留存特約商戶有效 證件影印件或復印件。對于申請材料虛假、缺失、要素不全或不合 規(guī)的，不得審批通過。第二十九條會員單位應制定特約商戶審批制度和審批流程，明確審 批權(quán)限，指定專人負責特約商戶審批工作。特約商戶審批崗位不得 與特約商戶拓展等相關崗位兼崗。第三十條會員單位應與特約商戶就銀行賬戶的設置和變更、資金結(jié) 算周期、結(jié)算手續(xù)費標

12、準、差錯和爭議處理等條碼支付服務相關事 項進行約定，明確雙方的權(quán)利、義務和違約責任。第三十一條會員單位應要求特約商戶提供真實的商品或服務；按規(guī) 定使用受理終端（網(wǎng)絡支付接口卜銀行賬戶或支付賬戶，不得利用 其從事或協(xié)助他人從事非法活動；妥善處理交易數(shù)據(jù)信息、保存交 易憑證，保障交易信息安全；不得向客戶收取或變相收取附加費用， 或降低服務水平。第三十二條會員單位應建立特約商戶信息管理系統(tǒng)，記錄特約商戶 名稱和經(jīng)營地址、特約商戶身份資料信息、特約商戶類別、結(jié)算手 續(xù)費標準、銀行結(jié)算賬戶信息、開通的交易類型和開通時間、受理 終端（網(wǎng)絡支付接口）類型和安裝地址等信息，并及時進行更新。第三十三條會員單位應

13、通過建立特約商戶及鏈接地址的黑、白名單 等方式，控制支付風險。第三十四條會員單位應建立特約商戶檢查制度，明確檢查頻率、檢 查內(nèi)容、檢查記錄等管理要求，落實檢查責任。對特約商戶受理終 端，不得開通條碼支付轉(zhuǎn)賬業(yè)務功能；對移動終端，不得開通特約 商戶交易資金結(jié)算功能。第三十五條會員單位應當對實體特約商戶條碼受理業(yè)務進行本地化 經(jīng)營和管理，通過在特約商戶及其分支機構(gòu)所在省 （區(qū)、市）域內(nèi)的 受理機構(gòu)提供受理服務，不得跨省（區(qū)、市）域開展條碼受理業(yè)務。第三十六條會員單位基于銀行卡（賬戶）開展條碼支付業(yè)務的，應按 照相關監(jiān)管制度要求審慎選擇外包服務機構(gòu)，嚴格規(guī)范與外包機構(gòu) 的業(yè)務合作，并強化外包業(yè)務的風

14、險管理責任。第三十七條會員單位應按照相關監(jiān)管制度要求強化支付敏感信息內(nèi) 控管理和安全防護，強化交易密碼保護機制；通過全面應用支付標 記化技術(shù)等手段，從源頭控制信息泄露和欺詐交易風險。第三十八條會員單位應對特約商戶進行條碼支付業(yè)務培訓，并保存 培訓記錄。第三十九條對特約商戶申請材料、資質(zhì)審核材料、受理協(xié)議、培訓 和檢查記錄、信息變更、終止合作等檔案資料，會員單位應至少保 存至服務終止后5年。第四十條會員單位提供條碼支付服務應向特約商戶收取結(jié)算手續(xù)費， 不得變相向客戶轉(zhuǎn)嫁手續(xù)費，不得采取不正當競爭手段損害他人合 法權(quán)益。第四十一條會員單位與特約商戶終止條碼支付相關服務協(xié)議的，應 及時關閉支付服務或

15、支付接口（功能），收回布放機具，進行賬務清 理，妥善處理后續(xù)事項。第四十二條會員單位應尊重特約商戶的自由選擇權(quán)，不得干涉或變 相干涉特約商戶與其他機構(gòu)的合作。第四章風險管理第四十三條會員單位應建立全面風險管理體系和內(nèi)部控制機制，提 升風險識別能力，采取有效措施防范風險，及時發(fā)現(xiàn)、處理可疑交易信息及風險事件 第四十四條會員單位開展條碼支付業(yè)務，應當評估業(yè)務相關的洗錢 和恐怖融資風險，采取與風險水平相適應的風險管控措施。第四十五條會員單位應建立特約商戶風險評級制度，綜合考慮特約 商戶的區(qū)域和行業(yè)特征、經(jīng)營規(guī)模、財務和資信狀況等因素，對特 約商戶進行風險評級。第四十六條會員單位應結(jié)合特約商戶風險評級

16、及交易類型等因素， 設置或與其約定單筆及日累計交易限額。第四十七條對風險等級較高的特約商戶，會員單位應通過強化交易 監(jiān)測、建立特約商戶風險準備金、延遲清算等風險管理措施，防范 交易風險。第四十八條會員單位應建立特約商戶檢查、評估制度，根據(jù)特約商 戶的風險等級，制定不同的檢查、評估頻率和方式，并保留相關記 錄。第四十九條會員單位應制定突發(fā)事件應急預案，建立災難備份系統(tǒng), 確保條碼支付業(yè)務的連續(xù)性和業(yè)務系統(tǒng)安全運行。第五十條會員單位應能夠有效識別本單位發(fā)行的客戶端程序和特約 商戶受理終端，能夠確保條碼生成和識讀過程的安全性。第五十一條會員單位應確保相關客戶身份或賬戶信息安全，防止泄 露，并根據(jù)收付

17、款不同業(yè)務場景設置條碼有效性和使用次數(shù)。第五十二條會員單位應建立條碼支付交易風險監(jiān)測體系，及時發(fā)現(xiàn) 可疑交易，并采取阻斷交易、聯(lián)系客戶核實交易等方式防范交易風險。第五十三條會員單位發(fā)現(xiàn)特約商戶發(fā)生疑似套現(xiàn)、洗錢、恐怖融資、 欺詐、留存或泄漏賬戶信息等風險事件的，應對特約商戶采取延遲 資金結(jié)算、暫停交易、凍結(jié)賬戶等措施，并承擔因未采取措施導致 的風險損失責任；發(fā)現(xiàn)涉嫌違法犯罪活動的，應及時向公安機關報 案。第五十四條商業(yè)銀行和支付機構(gòu)在條碼支付業(yè)務中發(fā)生關系或開展 合作的，應當約定或在合作協(xié)議中明確交易驗證、信息保護、差錯 處理、風險賠付等方面的權(quán)利、義務和違約責任，切實保障客戶資 金安全和信息

18、安全。第五十五條會員單位應持續(xù)完善客戶服務體系，及時受理和解決條 碼支付業(yè)務中的客戶咨詢、查詢和投訴等問題，自覺維護客戶的合 法權(quán)益。第五十六條會員單位應充分披露條碼支付業(yè)務產(chǎn)品類型、辦理流程、 操作規(guī)程、收費標準等信息，明確業(yè)務風險點及相關責任承擔機制、 風險損失賠付方式及操作方式。第五十七條會員單位應開展對客戶的條碼支付安全教育，提升其風 險防范意識和應對能力。第五十八條會員單位應按照要求及時向協(xié)會報送條碼支付業(yè)務統(tǒng)計 數(shù)據(jù)及相關信息資料，數(shù)據(jù)和信息資料應真實、準確、完整。第五十九條會員單位或其外包服務機構(gòu)、條碼支付特約商戶發(fā)生涉 嫌重大銀行卡違法犯罪案件或重大風險事件的，會員單位應當于個工作日內(nèi)向協(xié)會報告 第五章紀律與責任第六十條會員單位開辦條碼支付業(yè)務，應當提前 30天向協(xié)會報告, 報告內(nèi)容包括但不限于：（一）開展條碼支付業(yè)務的業(yè)務方案；（二）產(chǎn)品詳細介紹；（三）業(yè)務管理辦法；（四）風險防范措施；（五）機構(gòu)合作情況；（六）服務費標準及分配機制；（七）客戶權(quán)益保護措施；（八）服務外包范圍及外包管理辦法。支付機構(gòu)還應提供條碼支付業(yè)務的技術(shù)安全檢測認證證明。第六十一條會員單位終止條碼支付業(yè)務，應當提前 30天向協(xié)會報 告，報告內(nèi)容包括但不限于：公司法定代表人簽署的書面申請，載 明公司名稱、條碼支付業(yè)務開展情況、終止原因、客戶合法