Политика AML/KYC

Версия: Черновик 0.9
Дата вступления в силу: не введён в действие
Оператор площадки: «___» (реквизиты оператора уточняются), ИНН __________, адрес: __________
Контакт по вопросам верификации и комплаенса: support@tma.gifts

1. Общие положения

1.1. Настоящая Политика противодействия отмыванию доходов и идентификации клиентов (далее — «Политика AML/KYC», «Политика») определяет порядок идентификации и верификации пользователей, мониторинга операций, выявления и пресечения подозрительной деятельности на маркетплейсе цифровых товаров flameix (домен tma.gifts, далее — «Площадка»).

1.2. Оператором Площадки и лицом, ответственным за реализацию настоящей Политики, выступает «___» (реквизиты оператора уточняются) (далее — «Оператор»).

1.3. Площадка представляет собой торговую площадку (маркетплейс) для реализации цифровых товаров и работает по двум моделям: C2C — продажи между пользователями (сторонними продавцами и покупателями) и B2C — продажи официального магазина Площадки (first-party). Оператор в модели C2C выступает организатором расчётов и держателем эскроу-леджера, но не является стороной купли-продажи.

1.4. Площадка не является кредитной организацией, платёжной системой или иным лицом, прямо поименованным в статье 5 Федерального закона от 07.08.2001 № 115-ФЗ. Настоящая Политика применяется Оператором добровольно и во исполнение договорных требований банков-эквайеров, платёжных провайдеров и провайдеров идентификации, а также в целях снижения рисков вовлечения Площадки в противоправную деятельность.

1.5. Политика является публичным документом, размещается в открытом доступе и составляет неотъемлемую часть публичной оферты Площадки (статья 437 ГК РФ). Регистрация и/или совершение операций на Площадке означают акцепт условий настоящей Политики (статьи 435–438 ГК РФ).

1.6. Оператор вправе в одностороннем порядке вносить изменения в настоящую Политику. Актуальная редакция всегда доступна на Площадке. Существенные изменения доводятся до пользователей заблаговременно способами, предусмотренными офертой.

2. Термины и определения

2.1. KYC (Know Your Customer) — комплекс процедур идентификации и верификации личности пользователя и проверки представленных им сведений.

2.2. AML (Anti-Money Laundering) — комплекс мер по противодействию легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма.

2.3. Продавец — пользователь, размещающий на Площадке цифровые товары и получающий выплаты по итогам сделок.

2.4. Покупатель — пользователь, оплачивающий и получающий цифровой товар.

2.5. Верификация — процедура подтверждения личности и сведений пользователя, в том числе с привлечением внешнего провайдера SumSub.

2.6. Тир (уровень) верификации — присвоенный пользователю статус, определяющий доступный ему объём операций и набор функций.

2.7. Эскроу-леджер — внутренняя учётная система Оператора, обеспечивающая удержание (HOLD) денежных средств покупателя до исполнения обязательств и последующее их перечисление продавцу (RELEASE) либо возврат покупателю (REFUND).

2.8. Подозрительная операция — операция, характер, обстоятельства или совокупность признаков которой дают основания полагать, что она может быть связана с легализацией доходов, мошенничеством, реализацией запрещённых товаров или иной противоправной деятельностью.

2.9. ПОД/ФТ — противодействие отмыванию (легализации) доходов, полученных преступным путём, и финансированию терроризма.

2.10. ПДн — персональные данные в значении Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

3. Правовые основания

3.1. Настоящая Политика разработана с учётом следующих актов Российской Федерации:

• Гражданский кодекс РФ, в том числе статьи 435–438 (оферта и акцепт) и статья 437 (публичная оферта);
• Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма» (применяется по аналогии и в части взаимодействия с обязанными организациями);
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 27.06.2011 № 161-ФЗ «О национальной платёжной системе»;
• Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей», в том числе статья 26.1 (дистанционный способ продажи товара);
• нормативные и методические документы Банка России и Федеральной службы по финансовому мониторингу (Росфинмониторинг) в применимой части.

3.2. В отношении пользователей, находящихся под юрисдикцией иностранных государств, могут дополнительно учитываться требования применимых зарубежных норм в части обработки персональных данных и получения согласий (в том числе подход, аналогичный GDPR, для управления cookies и согласиями).

3.3. Настоящая Политика применяется совместно с Пользовательским соглашением (офертой), Политикой конфиденциальности, Политикой использования cookie и Правилами разрешённых и запрещённых товаров Площадки.

4. Принципы AML/KYC

4.1. Риск-ориентированный подход. Объём применяемых мер соразмерен уровню риска, определяемому характером операций, оборотом, категорией товара, поведенческими и репутационными факторами.

4.2. «Знай своего клиента». Оператор идентифицирует продавцов до предоставления им возможности получать выплаты сверх установленных порогов.

4.3. Пропорциональность и минимизация данных. Собираются только те сведения, которые необходимы для целей верификации и мониторинга (статья 5 152-ФЗ).

4.4. Непрерывность мониторинга. Проверка не ограничивается моментом регистрации и осуществляется на всём протяжении использования Площадки.

4.5. Конфиденциальность. Сведения о проводимых проверках и мерах реагирования не подлежат разглашению проверяемым лицам в объёме, который мог бы воспрепятствовать целям Политики.

4.6. Документируемость. Результаты идентификации, проверок и принятых решений фиксируются и хранятся в порядке, установленном разделом 13.

5. Идентификация и верификация продавцов (KYC)

5.1. Первичная регистрация на Площадке осуществляется через систему аутентификации Keycloak по адресу электронной почты с подтверждением одноразовым кодом (OTP). Подтверждённый e-mail является базовым идентификатором учётной записи.

5.2. Для получения статуса продавца и доступа к выплатам пользователь проходит верификацию, объём которой определяется присвоенным тиром (раздел 6).

5.3. Верификация личности продавцов проводится с привлечением внешнего провайдера идентификации SumSub (Sum and Substance). В рамках процедуры могут запрашиваться:

• фамилия, имя, отчество (при наличии);
• дата рождения;
• реквизиты документа, удостоверяющего личность (паспорт), включая изображение документа;
• селфи и/или прохождение проверки «живого присутствия» (liveness / biometric check) для подтверждения принадлежности документа;
• страна резидентства и адрес регистрации/проживания;
• контактный номер телефона;
• для самозанятых, ИП и юридических лиц — ИНН, ОГРН/ОГРНИП, сведения о статусе налогоплательщика.

5.4. Провайдер SumSub выполняет проверку подлинности документа, сопоставление лица с документом, а также при необходимости проверку по санкционным и иным спискам (раздел 9). Оператор получает от провайдера результат проверки и уровень уверенности, на основании которых принимает решение о присвоении или изменении тира.

5.5. Оператор вправе запросить дополнительные документы и пояснения, в том числе подтверждение источника происхождения товара (например, чеки, лицензии, договоры с поставщиком), подтверждение права распоряжаться реализуемым цифровым товаром, а также подтверждение источника средств для операций повышенного риска.

5.6. Предоставление недостоверных, поддельных или чужих сведений, а равно прохождение верификации в интересах третьего лица без раскрытия этого факта, является основанием для отказа в верификации, блокировки учётной записи и приостановления выплат.

5.7. Оператор вправе проводить повторную (периодическую) верификацию, а также внеплановую верификацию при выявлении факторов риска, изменении данных пользователя, существенном росте оборота либо по требованию платёжного провайдера или банка-эквайера.

6. Тиры верификации и пороговые значения

6.1. Каждому пользователю присваивается тир верификации, определяющий доступный объём операций. Приведённые пороги являются проектными и подлежат уточнению совместно с платёжными партнёрами.

6.2. Тир 0 — Базовый (только e-mail + OTP).

• Доступно: просмотр каталога, оформление покупок как покупатель.
• Продажи: запрещены либо ограничены пробным лимитом до {{TIER0_SELL_LIMIT}} (по умолчанию — продажи недоступны).
• Верификация личности: не требуется.

6.3. Тир 1 — Начальный продавец.

• Условие: подтверждённый e-mail, подтверждённый номер телефона, принятие оферты и настоящей Политики.
• Разрешён: старт продаж с ограниченным оборотом до 100 000 ₽ в календарный месяц; выплата по одной операции — до 15 000 ₽.
• Идентификация документов: не требуется до достижения порогов; при приближении к порогам инициируется переход на Тир 2.
• Порог 15 000 ₽ на единичную выплату ориентируется на подход статьи 7 Федерального закона № 115-ФЗ, при котором операции меньшего размера могут совершаться без полной идентификации.

6.4. Тир 2 — Идентифицированный продавец (полный KYC через SumSub).

• Условие: успешная документальная верификация личности в SumSub (паспорт + liveness).
• Разрешён: оборот до 1 000 000 ₽ в календарный месяц; выплаты без ограничения по размеру единичной операции в пределах месячного лимита.
• Обязателен при: намерении получать выплаты свыше 15 000 ₽ за операцию либо совокупном обороте свыше 100 000 ₽ в месяц.

6.5. Тир 3 — Расширенный продавец (KYC + углублённый AML).

• Условие: полная идентификация Тира 2, а также прохождение расширенной AML-проверки: скрининг по санкционным спискам и спискам публичных должностных лиц (PEP), проверка источника средств/товара, при необходимости — подтверждение налогового статуса.
• Разрешён: оборот свыше 1 000 000 ₽ в календарный месяц.
• Порог 1 000 000 ₽ ориентируется на размер операций, подлежащих обязательному контролю согласно статье 6 Федерального закона № 115-ФЗ; при его достижении Оператор применяет усиленные меры мониторинга.

6.6. Оператор вправе устанавливать индивидуальные (в том числе пониженные) лимиты для конкретного пользователя по итогам оценки риска, а также временно снижать лимиты на период проверки.

6.7. Достижение или превышение любого порогового значения автоматически инициирует запрос на повышение тира. До завершения верификации операции, превышающие лимит текущего тира, приостанавливаются, а соответствующие суммы остаются в статусе удержания (HOLD) в эскроу-леджере.

7. Идентификация покупателей

7.1. Для совершения покупки достаточно учётной записи Тира 0 (подтверждённый e-mail + OTP).

7.2. Идентификация покупателя может быть усилена (запрос дополнительных сведений, подтверждение владения платёжным инструментом) при выявлении признаков риска, в том числе: аномальной частоты покупок, возвратных схем (chargeback), использования множества платёжных карт, признаков автоматизации.

7.3. Реквизиты банковских карт покупателей обрабатываются на стороне платёжного провайдера; Оператор не хранит полные номера карт и не запрашивает у пользователей коды CVV/CVC, пароли и одноразовые коды подтверждения платежей.

8. Мониторинг операций и выявление подозрительной деятельности

8.1. Оператор осуществляет непрерывный автоматизированный и, при необходимости, ручной мониторинг операций на всех стадиях жизненного цикла сделки: оплата → удержание средств (HOLD) → выдача товара → перечисление продавцу (RELEASE) → либо возврат покупателю (REFUND).

8.2. Мониторинг охватывает поведенческие, транзакционные и содержательные признаки. К признакам подозрительных операций («красным флагам») относятся, в частности:

• дробление выплат или оборота с целью удержания под пороговыми значениями тиров (структурирование);
• резкий необъяснимый рост оборота, не соответствующий заявленному профилю продавца;
• многочисленные операции между связанными или аффилированными учётными записями (признаки самовыкупа и «прокрутки»);
• систематические возвраты, споры и жалобы на невыдачу или недоброкачественность товара;
• признаки реализации запрещённых товаров (раздел 12);
• несовпадение страны платёжного инструмента, IP-адреса и заявленного резидентства; использование анонимизирующих средств для сокрытия местоположения;
• попытки вывести коммуникацию и расчёты за пределы Площадки в обход эскроу;
• совпадения при скрининге по санкционным спискам, спискам PEP, перечням лиц, причастных к экстремистской/террористической деятельности;
• отказ предоставить запрошенные документы либо предоставление документов с признаками подделки;
• использование краденых или скомпрометированных платёжных инструментов (высокий уровень chargeback).

8.3. Выявленные признаки формируют оценку риска операции и/или учётной записи. При превышении установленных порогов риска операция передаётся на ручное рассмотрение сотрудником комплаенса.

8.4. Оператор ведёт внутренний журнал сигналов и решений по подозрительным операциям. Записи журнала хранятся в соответствии с разделом 13 и не раскрываются проверяемым лицам.

9. Санкционный и списочный скрининг

9.1. При верификации Тиров 2 и 3, а также при периодических проверках проводится скрининг пользователей по актуальным перечням, включая:

• перечень организаций и физических лиц, в отношении которых имеются сведения об их причастности к экстремистской деятельности или терроризму;
• перечни лиц, в отношении которых применены меры по замораживанию (блокированию) денежных средств;
• международные и национальные санкционные списки в применимой части;
• списки публичных должностных лиц (PEP) и связанных с ними лиц.

9.2. Скрининг осуществляется силами провайдера SumSub и/или собственными средствами Оператора. При положительном совпадении операции приостанавливаются, а средства удерживаются до завершения проверки и, при наличии оснований, — до получения указаний уполномоченных органов.

10. Меры реагирования: приостановление, заморозка, блокировка, отказ

10.1. При выявлении подозрительной операции или иных факторов риска Оператор вправе применить одну или несколько мер:

• запросить дополнительные сведения и документы, приостановив операцию до их получения;
• приостановить конкретную операцию либо все операции по учётной записи;
• удержать средства в эскроу-леджере в статусе HOLD сверх стандартных сроков (в том числе приостановив автоматический RELEASE через 168 часов и/или автоматический REFUND через 72 часа) на период проверки;
• понизить тир и/или лимиты пользователя;
• заблокировать (заморозить) учётную запись и связанные с ней средства;
• отказать в выплате, расторгнуть отношения и отказать в дальнейшем обслуживании;
• при наличии оснований, предусмотренных законом, — предоставить сведения уполномоченным органам (раздел 11).

10.2. Меры реагирования применяются соразмерно риску. О приостановлении операции пользователь уведомляется в объёме, не препятствующем целям Политики; отдельные сведения о причинах и результатах внутренних проверок могут не раскрываться.

10.3. Удержание средств в связи с проверкой не является формой присвоения средств Оператором. По итогам проверки средства подлежат либо перечислению продавцу (RELEASE за вычетом комиссии Площадки 7%), либо возврату покупателю (REFUND), либо иному распределению по решению трёхстороннего арбитража (покупатель / продавец / модератор Площадки) или уполномоченного органа.

10.4. Пользователь вправе обжаловать применённые меры, направив мотивированное обращение и подтверждающие документы на адрес support@tma.gifts. Оператор рассматривает обращение в разумный срок и информирует пользователя о результате в допустимом объёме.

11. Отчётность и взаимодействие с уполномоченными органами

11.1. Оператор взаимодействует с банками-эквайерами, платёжными провайдерами и уполномоченными органами (в том числе с Росфинмониторингом и правоохранительными органами) в пределах, установленных законодательством Российской Федерации.

11.2. При наличии законных оснований (запрос уполномоченного органа, судебный акт, требование закона) Оператор предоставляет сведения о пользователе и его операциях в объёме, предусмотренном соответствующим основанием. Такое предоставление данных осуществляется в соответствии с частью 1 статьи 6 Федерального закона № 152-ФЗ (обработка в целях, предусмотренных законом) и не требует дополнительного согласия субъекта данных, если иное не установлено законом.

11.3. Оператор назначает лицо (подразделение), ответственное за комплаенс и реализацию настоящей Политики, к компетенции которого относятся рассмотрение подозрительных операций, принятие мер реагирования и коммуникация с внешними органами. Контакт: support@tma.gifts.

11.4. Оператор обеспечивает периодическое информирование и обучение сотрудников, участвующих в процессах верификации и мониторинга, по вопросам ПОД/ФТ и настоящей Политики.

12. Запрещённые товары и связь с AML

12.1. На Площадке запрещена реализация товаров и услуг, использование которых сопряжено с противоправной деятельностью или нарушает права третьих лиц, в том числе:

• услуги VPN/прокси и средства обхода блокировок;
• услуги накрутки в социальных сетях, накрутки голосований, просмотров, подписчиков и иных показателей;
• краденые, фишинговые аккаунты, аккаунты, полученные с использованием вредоносного ПО (стилеров), а равно доступы, добытые неправомерно;
• читы, средства получения нечестного преимущества и иное ПО, нарушающее правила (ToS) игр и сервисов;
• товары, реализация которых нарушает условия использования правообладателей игр, платформ и сервисов.

12.2. Размещение или продажа запрещённых товаров рассматривается как фактор повышенного AML-риска и влечёт применение мер реагирования по разделу 10, включая удержание средств, блокировку и отказ в обслуживании.

12.3. Автоматическая выдача цифровых товаров из зашифрованного пула не освобождает продавца от ответственности за законность и правомерность источника происхождения реализуемого товара.

13. Хранение и защита данных верификации

13.1. Оператор является оператором персональных данных в значении Федерального закона № 152-ФЗ. Обработка ПДн, полученных при верификации, осуществляется на правовых основаниях статьи 6 указанного закона: для исполнения договора (оферты), для исполнения обязанностей, возложенных законом, а также на основании согласия субъекта — в части, требующей согласия.

13.2. Обработка изображений документов, удостоверяющих личность, и биометрических данных (в том числе результатов liveness-проверки) осуществляется исключительно в целях идентификации и предотвращения противоправной деятельности. Биометрические данные обрабатываются при наличии согласия субъекта, если иное не предусмотрено законом; порядок и цели обработки раскрываются пользователю до начала процедуры верификации.

13.3. При проведении верификации через провайдера SumSub Оператор обеспечивает наличие правовых оснований для передачи данных провайдеру и заключение соответствующего договора (в том числе поручения на обработку). При трансграничной передаче данных Оператор соблюдает требования статьи 12 Федерального закона № 152-ФЗ.

13.4. Локализация. Первичная запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации, в соответствии с частью 5 статьи 18 Федерального закона № 152-ФЗ.

13.5. Сроки хранения. Данные и результаты верификации, а также журналы мониторинга и решений по подозрительным операциям хранятся в течение срока действия учётной записи и не менее 5 (пяти) лет после прекращения отношений с пользователем либо совершения соответствующей операции, если более длительный срок не установлен законом или требованиями платёжных партнёров. По истечении срока хранения данные подлежат уничтожению или обезличиванию.

13.6. Защита данных. Оператор применяет организационные и технические меры защиты (статья 19 152-ФЗ): разграничение доступа, шифрование при хранении и передаче (в том числе шифрование пула цифровых товаров), протоколирование доступа, минимизацию круга лиц, имеющих доступ к данным верификации.

13.7. Права субъекта. Пользователь вправе получать сведения об обработке своих ПДн, требовать их уточнения, блокирования или уничтожения в случаях, предусмотренных законом, а также отзывать согласие. Отзыв согласия на обработку данных, необходимых для верификации, может повлечь невозможность предоставления функций продавца и приостановление выплат. Обращения направляются на support@tma.gifts.

14. Крипто-платежи (в проработке)

14.1. По мере ввода в эксплуатацию приёма платежей в криптовалюте Оператор применяет к таким операциям усиленные меры AML/KYC, включая: обязательную верификацию Тира 2 и выше для операций с криптоактивами, скрининг адресов и транзакций (анализ происхождения средств), а также контроль соответствия применимому законодательству о цифровых финансовых активах и валютном регулировании.

14.2. До официального запуска приёма криптовалюты соответствующие операции на Площадке не поддерживаются; настоящий раздел вступает в действие с момента запуска функциональности и может быть дополнен отдельными правилами.

15. Заключительные положения

15.1. Настоящая Политика действует с даты, указанной в реквизите «Дата вступления в силу» (не введён в действие), и применяется до её отмены или замены новой редакцией.

15.2. Признание отдельного положения Политики недействительным не влечёт недействительности остальных положений.

15.3. Во всём, что не урегулировано настоящей Политикой, стороны руководствуются Пользовательским соглашением (офертой), Политикой конфиденциальности и законодательством Российской Федерации.

15.4. По вопросам, связанным с верификацией, мониторингом и настоящей Политикой, следует обращаться к Оператору: «___» (реквизиты оператора уточняются), ИНН __________, адрес: __________, электронная почта: support@tma.gifts.

Конец документа. Редакция Черновик 0.9. Черновик требует юридической проверки перед публикацией.