公會自律規範
中華民國第三方支付服務業商業同業公會自律規範。
會員自律規範總說明
為健全我國第三方支付服務業之發展，確立自律管理機制，並呼應主管機關防制洗錢及打擊資恐與防詐政策，爰由「中華民國第三方支付服務業商業同業公會」（以下簡稱本公會）訂定本自律規範。 本自律規範旨在強化會員之誠信經營、防制洗錢與風險管理、資訊安全、業務管理與消費者保護等措施，建立透明、穩健、合規之產業環境，以提升社會大眾對第三方支付服務之信任，並與國際標準接軌，其要點如下： 一、本自律規範之總則，包括本自律規範立法目的、主管機關與立法依據等。（第一條至第五條） 二、本公會會員義務與治理原則，並應落實資訊揭露義務與誠信經營責任，以保障消費者權益維持市場公信力。（第六條至第十條） 三、本公會會員之內部控制與法令遵循制度之建立，強化會員法令遵循及內部治理之架構，使其具備防制洗錢及打擊資恐與防詐之能力，確保產業之穩定。（第十一條至第十七條） 四、本公會會員之防制洗錢及風險管理之規範，採以風險為本原則，建構本公會會員防制洗錢及風險管理之規範，提供會員遵循之標準。（第十八至第三十七條） 五、本公會會員之業務管理與禁止事項，明定會員得提供服務之範圍，健全產業之發展。（第三十八至第四十一條） 六、本公會會員之客戶保護與申訴處理制度，建立消費爭議申訴機制與妥適處理程序，提升信任基礎。（第四十二條至第四十五條） 七、本公會會員對於交易系統安全、資安責任及委外管理之規範，確保會員具備系統穩定性與持續營運能力。（第四十六條至第五十八條） 八、教育訓練規範，提供會員、客戶防制洗錢及防詐相關意識。（第五十九條） 九、違反本自律規範之相關罰則依據。（第六十條） 十、本自律規範施行與修正。（第六十一條）
第一章 總則
第一條 中華民國第三方支付服務業商業同業公會（以下簡稱本公會）為推動第三方支付維護金融秩序與消費者權益，呼應相關法令與監理政策，並促進第三方支付業者誠信經營，以健全產業發展並與國際標準接軌，特訂定本自律規範，由本公會全體會員共同信守遵行之。 第二條 本規範所稱主管機關為數位發展部。 第三條 本公會會員均應依本規範遵守法令及監理規定辦理業務，並按本公會自律規範及相關規範訂定內部規範，確保客戶權益與資訊安全，並落實防制洗錢及打擊資恐措施；同時應避免利益衝突與不當行為，維持公平競爭秩序，且持續精進專業知能，以促進產業健全發展。 第四條 本公會會員應共同信守下列基本之業務經營原則： 一、穩健經營原則：本公會會員應確保公司永續、透明、穩健經營，建立適足治理與風險管理。 二、守法原則：瞭解並遵守相關法令之規定，不得有違反或幫助他人違反法令之行為。 三、善良管理原則：盡善良管理之責任及注意提供第三方支付服務。 四、公開原則：提供客戶充足必要的訊息，並應向客戶快速揭露最新的資訊。 五、保密原則：妥善保管客戶資料及交易往來之紀錄，禁止洩露機密資訊或有不當使用之情事，藉以建立客戶信賴之基礎。 六、公平競爭原則：遵循行銷規範，避免會員之間相互破壞同業信譽、共同利益或其他不當競爭之情事，維持市場秩序。 第五條 一、本公會會員為有效落實同業自律之管理精神，應依本公會之業務需要與發展，繳納業務費及其他必要費用。 二、前項其他必要費用之種類、費率由本公會擬訂，報經主管機關核定。 第六條 本公會會員為有下列事項之變更，應於商業登記變更完成或主管機關核准變更後五日內以書面及電子郵件報請本公會備查： 一、公司名稱。 二、負責人、合夥人或實質受益人。 三、登記地址或實體經營據點地址。 四、電話、傳真、電子郵件等聯絡方式。 五、受讓或讓與他人全部或主要部分營業或財產。 六、合併或分割。 七、其他經主管機關公告應備查變更之事項。 第七條 本公會會員應聘僱符合主管機關規定資格條件之人員執行業務，且應禁止其負責人與受僱人利用職務之機會，從事洗錢、詐欺或其他足致他人誤信之活動。 第八條 本公會會員為信守公開原則，應遵守主管機關及本公會訂定之資訊揭露相關規定，適時公開必要之資訊予客戶或大眾知悉。 第九條 本公會會員提供第三方支付服務代理收付款項之金額，應全部交付信託專戶，或取得銀行足額履約保證。 第十條 本公會會員應於其網頁顯著位置或可供消費者查詢之方式，揭露下列事項： 一、能量登錄證書。 二、基本資料，包括地址、負責人姓名。 三、業務及服務內容。 四、申訴處理程序與聯繫管道。 五、提供足額履約保證銀行名稱與保證期間及信託專戶開立銀行。 六、其他經主管機關公告應揭露之事項。 第十一條 本公會會員應建立消費者申訴處理管道，並應於適當時間內迅速回復申訴處理情況。 第十二條 本公會會員應依法令規定、自律規範等建立內部控制制度，且應包含內部稽核制度、法令遵循制度及獨立有效風險管理機制等組成要素。 為確保提供服務之安全與交易系統不中斷，本公會會員應針對資訊安全訂定管理制度。 本公會會員應落實個人資料保護並訂定個人資料安全維護計畫。 內部控制制度係由會員之高階管理人員設計，董事會或法令遵循委員會通過，並由董事會或執行業務機關、經理人及其他員工執行之管理過程，其目的在於促進會員之健全經營，以合理確保下列目標之達成： 一、營運之效果及效率。 二、相關法令規章之遵循。 三、防制洗錢及打擊資恐之落實。 四、會員應設立內部稽核單位或指派專責稽核人員，以獨立超然之精神執行稽核業務，並應至少每年向公司治理機關及監察人（如有）報告稽核結果。 第十三條 前條所稱內部控制制度內容應涵蓋下列範圍： 一、防制洗錢內部控制與稽核制度，其內容應包括下列事項： （一）防制洗錢及打擊資恐之作業及控制程序。 （二）定期舉辦或參加防制洗錢之在職訓練。 （三）指派專責人員負責協調監督第一款事項之執行。 （四）備置並定期更新防制洗錢及打擊資恐風險評估報告。 （五）稽核程序。 （六）法人及自然人申請成為客戶時之風險管理措施。 （七）其他經主管機關指定之事項。 二、契約訂定、申訴處理等客戶保護管理規則。 三、詐欺犯罪危害防制規則。 四、其他經主管機關指定之事項。 第十四條 本公會會員應以風險為本方法建置資訊安全管理制度，確保提供第三方支付服務及客戶交易往來資料之機密性、完整性與可用性。 第十五條 本公會會員應依個資相關法令與隱私原則進行蒐集、處理與利用；國際傳輸應有法遵與安全保障；最小化與保存期間控制，並訂定個人資料安全維護計畫。 執行前項個人資料保護時，應注意洗錢防制法等相關法令規範例外情形。 第十六條 本公會會員發生重大偶發事件致影響客戶權益時，應即啟動應變、內外通報與客戶告知機制，並提供補救措施與後續檢討報告。 第十七條 本公會會員應主動與主管機關及會員間使用合法設立之聯防平台進行協作，防制洗錢及詐騙等犯罪之威脅，維護市場秩序與健全產業發展。 本公會會員與金融機構得採用電子郵件或其他適當之照會方式執行前項之聯防，並保留紀錄。
第二章 風險管理與防制洗錢
第十八條 本公會會員應建立明確之治理架構，指定高階管理階層或專責單位統籌風險管理及防制洗錢與打擊資恐事務，並訂定書面政策、程序及權責分工。 第十九條 本公會會員應定期辦理整體風險評估，至少涵蓋客戶、國家或地區、服務及交易或支付管道等面向，並應參酌我國國家風險評估報告及主管機關發布之相關指引，據以訂定風險管理策略與控制措施，完成書面報告並予以留存。 第二十條 本公會會員應建立明確的風險胃納政策，並設置通報與改進機制，以定期檢視與修正。 第二十一條 本公會會員應依據賣方客戶之行業別、服務、營業地區及交易或支付管道風險，制訂洗錢及資恐風險等級。特定對象及特定行業之認定標準，由本公會另行函知會員。高風險等級客戶須經高階主管核定後始得承作，並應採取強化之審查與控制措施。 第二十二條 本公會會員與賣方客戶建立業務關係前，應完成客戶身分確認與驗證，了解營業性質、交易目的、資金來源及支付管道，並評估風險等級。 第二十三條 本公會會員應辨識並合理驗證賣方客戶之實質受益人及控制架構，於辨識完成後，若為高風險客戶應經高階主管核定後始得承作，或拒絕建立業務關係或終止往來，並評估是否申報可疑交易。 前項辨識及驗證作業應建立適當之內部控制程序。 第二十四條 對於高風險客戶、重要政治性職務人士，會員應實施加強客戶審查及強化控制措施。 第二十五條 本公會會員應建立名單與制裁比對作業，明確資料來源、更新頻率、比對程序、命中後之處置、覆核及紀錄保存。 第二十六條 本公會會員應依風險為本原則訂定持續性客戶審查之頻率與範圍，定期或於重大情事變更時更新客戶資料，並檢視交易是否與其營運狀況相符。 第二十七條 本公會會員建立交易與相關憑證包括但不限於發票、交付或服務完成之證明一致性之檢核程序，並訂定異常處理、暫停或限制服務之條件與程序。 對於本公會另行函知之特定類型客戶，應依函知內容執行相關憑證檢核及控管措施；未能依規定配合者，會員應採取強化客戶審查或其他必要之控管措施。 第二十八條 本公會會員應建立交易監控機制，包括但不限於自動化監控、例行監控及專案監控，並建立態樣庫、觸發規則、人工覆核與結案標準，並定期評估有效性。 第二十九條 對於監控觸發之異常交易，會員應完成覆核、文件徵提、必要之強化確認及風險等級調整；情節重大者，得採取暫停、延後撥付或終止服務等措施。 第三十條 本公會會員應建立交易監控與爭議處理程序之內部通報機制，避免以爭議事由掩飾可疑或不法交易，並留存處理紀錄。 第三十一條 疑似涉詐客戶之認定，應至少涵蓋司法或行政機關通知、金融機構或同業通報、民眾檢舉及內部綜合評估等來源。 第三十二條 本公會會員對疑似涉詐客戶應實施強化之客戶身分確認及交易合理性驗證，並得依通知或內部判斷採行延後撥付、暫停服務或其他必要之控管措施，並設置申訴與解除機制。 第三十三條 本公會會員應建立疑似洗錢或資恐交易申報及疑似涉詐申報程序，明確權責與時效，並依法令規定對外申報，留存相關紀錄與證據文件。 第三十四條 本公會會員應將經內部認定為疑似涉詐之客戶資訊，主動提交至主管機關指定之聯防通報平台，提升打擊詐欺及洗錢行為之能力，並有效阻斷犯罪金流。 第三十五條 本公會會員應就客戶審查、名單比對、交易監控、疑似涉詐控管、疑似洗錢或資恐交易申報及疑似涉詐申報、教育訓練等文件與紀錄，依法令或約定之最長期間保存，並維持可追溯性。 第三十六條 本公會會員應定期辦理自我檢視或內部稽核，至少涵蓋治理與內控、客戶審查、名單比對、交易監控、疑似洗錢或資恐交易申報及疑似涉詐申報、疑似涉詐控管及教育訓練之有效性與遵循情形，並追蹤改進。 第三十七條 本公會得就本規範之遵循情形辦理同業評估，在符合法令規範與個人資料保護原則下，推動匿名化之態樣、指標與最佳實務交流。
第三章 業務管理規章
第一節 業務經營 第三十八條 本公會會員不得涉及下列業務： 一、收受儲值款項或發行儲值卡。 二、辦理國內外小額匯兌或外匯業務。 三、其他經主管機關認定不適當之行為。 前項以外之服務，本公會會員得依照法令提供，包括但不限於金流整合、資訊系統等相關服務。 第三十九條 本公會會員建立業務關係時，應完善之客戶盡職調查程序，包括但不限於： 一、確認申請人之真實身分與營業登記。 二、辨識及驗證實質受益人。 三、依風險程度採分級審查，並落實持續性客戶審查。 四、必要時要求提供額外證明文件。 執行前項程序發現疑似使用匿名、假名、人頭、偽造、變造等不實資料時，應婉拒建立業務關係或提供服務，並啟動內部通報程序，必要時應考量申報疑似洗錢或資恐交易。 第四十條 本公會會員應確保所有交易款項，僅能入帳賣方客戶本人金融帳戶，不得入款至第三人帳戶。 第四十一條 本公會會員應訂定防止利益衝突之制度與行為規範，包括： 一、禁止員工利用職務牟取不當利益。 二、於行銷或促銷活動中揭示利益關係，避免誤導客戶。 第二節 客戶權益與服務規範 第四十二條 本公會會員應於客戶註冊、交易、訂立契約或其他互動過程中，清楚揭示服務條款、費用或計價方式及隱私權政策。 條款若有重大變更，應主動通知客戶，並於官方網站或應用程式顯著位置公告，並提供不少於十五日之合理審閱及選擇期間，以確保客戶有充分時間理解與決定是否接受。 不得收取未經客戶同意之費用。 第四十三條 每一筆交易完成後，本公會會員應即時提供客戶確認憑證，包括但不限於交易金額、交易時間與交易相對方等資訊。 前項憑證應至少保存交易紀錄五年，並提供客戶查詢，客戶申請後應合理期間內提供資料，並得收取適當查詢費用。 第四十四條 本公會會員應設立客戶申訴處理機制，負責受理及處理客戶申訴與糾紛。 對於交易糾紛或申訴事件，應建立處理流程，並於合理期限內答覆。 爭議經處理仍未獲妥適解決者，應引導客戶向具有管轄權之第三方爭議處理機構提起申訴或調解或其他解決方案，保障客戶基本權益。 第三節 客戶保護與申訴處理 第四十五條 本公會會員應積極進行客戶教育與宣導，提升客戶對第三方支付業者服務的理解及風險防範知識。 本公會會員應確保其客服人員具備足夠知識且能有效回應客戶的疑問與需求，並提供專業支持。 第四節 委外管理與培訓責任 第四十六條 本公會會員委外辦理業務時，應注意下列事項： 一、對於客服或業務推廣等委外服務，本公會會員應訂立明確契約並確認委外單位具備相當風險控管能力。 二、委外契約應載明雙方權利義務、服務範圍、資料保密責任及契約終止條件。 三、應定期評估外包廠商之服務品質、資安防護與合規風險。 四、本公會會員對委外業務應仍負最終法律責任及管理責任，不得因委外而免責。 五、不得將關鍵性資料控管完全交由第三方，應保留適度資料控管能力。
第四章 資訊安全管理規章
第四十七條 本公會會員應建立完善之資訊安全管理制度，並制定資訊安全政策，經董事會或相當層級決策單位核定。 政策內容應至少涵蓋： 一、資訊安全管理目標及原則。 二、資訊安全組織架構及職責。 三、資訊資產分類及保護要求。 四、存取控制及權限管理原則。 五、事件應變及持續營運規劃。 六、定期檢討及改善機制。 七、內部教育訓練。 第四十八條 本公會會員應建立資訊安全管理組織，明確劃分各層級人員之資安職責，並指派資訊安全專責人員，該人員應具備資訊安全專業知識及經驗，並定期參與專業訓練。 本公會會員並應定期對員工進行資料安全相關之培訓與教育，內容涵蓋合規要求、風險管理、資訊安全及客服技能，以提升員工安全意識及應對能力。 第四十九條 本公會會員應定期實施資訊安全風險評估，每年至少一次；遇有重大業務變更或發生資訊安全事件時，應即時進行臨時性風險評估，並將資訊安全運作情形報告董事會或相當層級決策單位。 第五十條 本公會會員應符合基本資訊安全要求，並應依相關規定取得相關資安認證，並揭露其認證情形。 第五十一條 本公會會員及客戶應各自確保資訊安全，防止非法入侵、竄改或毀損紀錄及個人資料。 第五十二條 本公會會員應建立內部身分認證與存取控制機制： 一、最小權限原則，實施職務分離及特權帳號管理。 二、權限定期檢討，並於人員異動時即時調整。 第五十三條 本公會會員應實施資料保護措施： 一、敏感資料加密與金鑰妥善管理。 二、網路傳輸應採安全通訊協定，API 介接應有加密或簽章。 三、建立個資保護制度，遵守資料最小化與目的限制原則。 第五十四條 本公會會員應建立網路安全防護機制： 一、採用網路安全控制機制以強化對核心系統之保護。 二、資料庫存取限制及活動監控。 三、遠端存取應透過安全連線並加強監控。 四、核心業務系統與辦公網路分離，並設置防火牆及適當之網路安全控制機制。 第五十五條 本公會會員應定期進行系統安全檢測： 一、弱點掃描至少每季一次，評估為高風險以上之重大弱點應於一個月內完成修補，並留存紀錄，非重大之弱點，應於弱點公告或弱點掃描報告提出後三個月內完成修補作業或提供其他足以降低弱點風險的控制方法。 二、滲透測試至少每年一次，應由獨立之第三方執行，並出具報告。 三、新系統上線前須進行安全檢測，行動應用程式應符合相關資訊安全法規。 四、定期檢查設備設定，並留存檢測證明文件供查核。 第五十六條 本公會會員應建立系統穩定及備援機制： 一、建立資料備援架構。 二、制定災難復原計畫，明定復原程序與責任。 三、至少每一年測試一次備援與復原程序，並保存紀錄。 四、建立效能監控機制，掌握運作狀況與指標。 五、建立系統變更管理程序，確保異動安全性。 六、重要系統應有服務標準，包括：可用率、合理回應時間、資料備份與復原目標。 第五十七條 本公會會員委外資訊相關業務時，應落實資安管控： 一、進行廠商資安能力評估。 二、契約應載明資安要求、事件通報、查核權限與違約處理。 三、至少每年查核一次廠商之資安管理狀況。 四、要求廠商資安事件立即通報並限期改善，必要時得終止委外。 五、會員不得因委外而免除資安責任。 第五十八條 涉及雲端服務之委外，應遵守下列原則： 一、訂定雲端服務使用政策，注意風險與分散。 二、本公會會員對雲端服務業者負有最終監督責任。 三、客戶資料傳輸與儲存應加密或代碼化，並建立金鑰管理制度。 四、確保雲端服務業者不得超出委託範圍存取或利用客戶資料。 五、資料原則上應儲存於國內；如須存放於境外，應採取足夠的技術與管理措施以確保資料安全，並依主管機關規定留存備份。
第五章 其他
第五十九條 本公會會員應建立並落實教育訓練與宣導制度，內容包括： 一、本公會會員應定期辦理或參加防制洗錢及打擊資恐、法令遵循、風險辨識、疑似不法態樣及實務案例研討等訓練，並保存完整之訓練紀錄，以提升員工安全意識與應對能力。 二、本公會會員應向客戶提供必要之教育訓練與安全使用指導，協助識別網路詐騙、帳戶盜用等風險，並教導採取相應安全措施，共同防止犯罪行為。 第六十條 本公會會員違反提供第三方支付服務之事業或人員防制洗錢及打擊資恐辦法、相關法令、本公會章則時，呈送理事會依個案情節決議處分方式。 第六十一條 本規範經理事會議通過並報請主管機關核備後施行；修正時亦同。