ИПС "Әділет"

ЗҚАИ-ның ескертпесі!
Осы қаулы 01.01.2020 бастап қолданысқа енгізіледі

"Микроқаржылық қызмет туралы" Қазақстан Республикасының Заңына сәйкес Қазақстан Республикасы Ұлттық Банкінің Басқармасы ҚАУЛЫ ЕТЕДІ:

Ескерту. Кіріспе жаңа редакцияда - ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 30.10.2023 № 81 (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) қаулысымен.

1. Қоса беріліп отырған Электрондық тәсілмен микрокредиттер беру қағидалары бекітілсін.

2. Қаржы ұйымдарының әдіснамасы және реттеу департаменті Қазақстан Республикасының заңнамасында белгіленген тәртіппен:

1) Заң департаментімен бірлесіп осы қаулыны Қазақстан Республикасының Әділет министрлігінде мемлекеттік тіркеуді;

2) осы қаулыны ресми жарияланғаннан кейін Қазақстан Республикасы Ұлттық Банкінің ресми интернет-ресурсына орналастыруды;

3) осы қаулы мемлекеттік тіркелгеннен кейін он жұмыс күні ішінде Заң департаментіне осы қаулының осы тармағының 2) тармақшасында және 3-тармағында көзделген іс-шаралардың орындалуы туралы мәліметтерді ұсынуды қамтамасыз етсін.

3. Сыртқы коммуникациялар департаменті – Ұлттық Банктің баспасөз қызметі осы қаулы мемлекеттік тіркелгеннен кейін күнтізбелік он күн ішінде оның көшірмесін мерзімді баспасөз басылымдарында ресми жариялауға жіберуді қамтамасыз етсін.

4. Осы қаулының орындалуын бақылау Қазақстан Республикасының Ұлттық Банкі Төрағасының орынбасары О.А. Смоляковқа жүктелсін.

5. Осы қаулы 2020 жылғы 1 қаңтардан бастап қолданысқа енгізіледі және ресми жариялануға тиіс.

Ұлттық Банк Төрағасы

Е. Досаев

Қазақстан Республикасы
Ұлттық Банкі Басқармасының
2019 жылғы 28 қарашадағы
№ 217 қаулысымен
бекітілді

Электрондық тәсілмен микрокредиттер беру қағидалары

Ескерту. Қағида жаңа редакцияда - ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 30.10.2023 № 81 (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) қаулысымен.

1-тарау. Жалпы ережелер

1. Осы Электрондық тәсілмен микрокредиттер беру қағидалары (бұдан әрі – Қағидалар) "Микроқаржылық қызмет туралы" Қазақстан Республикасының Заңы (бұдан әрі – Заң) 3-бабының 3-1 тармағына сәйкес әзірленді және электрондық тәсілмен микрокредиттер беру тәртібін айқындайды.

2. Қағидаларда Заңда көзделген ұғымдар, сондай-ақ мынадай ұғымдар пайдаланылады:

1) автоматтандырылған ақпараттық жүйе – микроқаржылық қызметті жүзеге асыратын ұйымда электрондық тәсілмен микрокредиттер беруді автоматтандыратын микрокредит берудің ақпараттық жүйесі;

2) бірдейлендіру – клиенттің, электрондық хабарламалардың және өзге де құжаттардың, оның ішінде микрокредит беру үшін қажетті, сондай-ақ клиентті және оның өз еркінің мазмұнын айқындайтын құжаттардың электрондық көшірмелерінің түпнұсқалығын тексеру рәсімі;

3) берешек – қарыз алушымен жасалған микрокредит беру туралы шартта көзделген негізгі борыштың қалдық сомасын, есептелген, бірақ төленбеген сыйақыны, айыпақыны (айыппұлдарды, өсімпұлдарды) қоса алғанда, микрокредит бойынша борыш сомасы;

4) биометриялық сәйкестендіру – жеке басты физиологиялық және биологиялық өзгермейтін белгілері негізінде сәйкестендіретін шаралар кешені;

5) бір реттік құпиясөз – электрондық нысанда көрсетілетін қызметтерді алатын субъектілерді сәйкестендірудің бір сеансы үшін ғана жарамды құпиясөз;

6) алып тасталды - ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 16.08.2024 № 52 (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) қаулысымен.

7) жеке кабинет – микроқаржылық қызметті жүзеге асыратын ұйым мен клиент арасындағы өзара іс-қимылды қамтамасыз ететін автоматтандырылған ақпараттық жүйесінің көпфункционалды қорғалған сервисі;

8) клиент – микроқаржылық қызметті жүзеге асыратын ұйыммен микрокредит беру туралы шарт жасасқан немесе микрокредит алуға өтініш берген (беруге ниеттенген) жеке немесе заңды тұлға;

9) клиентті сәйкестендіру – клиенттің одан әрі бірдейлендіруді жүргізу мақсатында өзінің сәйкестендіру деректерін ұсыну рәсімі;

10) мобильдік қосымша – ұялы байланыстың абоненттік құрылғысында пайдаланылатын және ұялы байланыс қызметі немесе интернет арқылы жеке кабинетке кіруге мүмкіндік беретін бағдарламалық өнім;

11) сәйкестендіруші – клиентке жеке кабинетке кіру үшін берілетін цифрлардан, әріптерден немесе өзге символдардан тұратын бірегей код;

12) сәйкестендіру деректерімен алмасу орталығы (СДАО) – клиенттерді сәйкестендіру рәсімдерін жүргізу үшін қолжетімді көздерден клиенттердің деректерімен алмасу бойынша қаржы ұйымдарымен өзара іс-қимылды қамтамасыз ететін банкаралық ақша аудару жүйесінің операциялық орталығы;

13) смарт-карта – орнатылған микросхемасы бар пластик карта;

14) терминал – микрокредиттер беруге байланысты операцияларды жүзеге асыруға арналған электрондық-механикалық құрылғы;

15) токен – пайдаланушының ақпараттық қауіпсіздігін қамтамасыз етуге, сондай-ақ оның иесін сәйкестендіруге, ақпараттық ресурстарға қауіпсіз қашықтан қолжетімділікке арналған құрылғы;

16) уәкілетті орган – қаржы нарығы мен қаржы ұйымдарын мемлекеттік реттеуді, бақылауды және қадағалауды жүзеге асыратын мемлекеттік орган;

17) "электрондық үкіметтің" веб-порталы – нормативтік құқықтық базаны қоса алғанда, барлық шоғырландырылған үкіметтік ақпаратқа және мемлекеттік көрсетілетін қызметтерге, табиғи монополиялар субъектілерінің желілеріне қосылуға техникалық талаптар беру бойынша көрсетілетін қызметтерге және электрондық нысанда көрсетілетін квазимемлекеттік сектор субъектілерінің көрсетілетін қызметтеріне қол жеткізудің бірыңғай терезесі болып табылатын ақпараттық жүйе.

Ескерту. 2-тармаққа өзгеріс енгізілді - ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 16.08.2024 № 52 (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) қаулысымен.

2-тарау. Электрондық тәсілмен микрокредиттер беру

3. Микрокредиттерді электрондық тәсілмен берумен байланысты операциялар микроқаржылық қызметті жүзеге асыратын ұйымның интернет-ресурсындағы клиенттің жеке кабинетінде, мобильдік қосымшасында және (немесе) терминалдарында осы Қағидаларға 3-тараудың талаптарына сәйкес келетін автоматтандырылған ақпараттық жүйені пайдалана отырып жүзеге асырылады.

4. Микрокредиттерді электрондық тәсілмен беру жүзеге асырылатын интернет-ресурс, мобильдік қосымша және (немесе) терминал ашылғанға дейін 10 (он) жұмыс күні бұрын микроқаржылық қызметті жүзеге асыратын ұйым бұл туралы уәкілетті органға хабарлайды.

Уәкілетті органға жіберілетін хабарлама:

1) микроқаржылық қызметті жүзеге асыратын ұйымның интернет-ресурсының, мобильдік қосымшасының атауын және (немесе) терминалдың тұрған жерін;

2) микроқаржылық қызметті жүзеге асыратын ұйымның интернет-ресурсы, мобильдік қосымшасы және (немесе) терминалы арқылы көрсетуге болатын қызметтердің (операциялардың) тізбесін;

3) микроқаржылық қызметті жүзеге асыратын ұйымда интернет-ресурс, мобильдік қосымша және (немесе) терминал арқылы қызметтер көрсету кезінде растайтын құжаттармен қоса ақпарат қауіпсіздігінің және оған заңсыз қол жеткізуден қорғаудың бекітілген рәсімдерінің болуы туралы ақпаратты қамтиды.

5. Қағидалардың 4-тармағында көрсетілген хабарламадағы ақпарат өзгерген кезде микроқаржылық қызметті жүзеге асыратын ұйым мұндай өзгерістер жүзеге асырылғанға дейін 10 (он) жұмыс күні бұрын бұл туралы уәкілетті органға хабарлайды.

ЗҚАИ-ның ескертпесі!
6-тармақ 01.01.2025 дейін қолданыста болады – ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 27.09.2024 № 77 қаулысымен.

6. Жеке кабинетте тіркеу үшін клиент – жеке тұлға мынадай деректерді енгізеді (қоса береді):

туу туралы куәлікті қоспағанда, жеке басын куәландыратын құжатта көрсетілген тегі, аты, әкесінің аты (ол бар болса);

жеке сәйкестендіру нөмірі;

туу туралы куәлікті қоспағанда, жеке басын куәландыратын құжаттың нөмірі және қолданыс мерзімі;

ұялы байланыс құрылғысының абоненттік нөмірі;

беттің бейтарап қалыпта және аузы жабық ашық түстегі анфас фотосуреті.

Жеке кабинетте тіркеу үшін клиент - заңды тұлға мынадай деректерді (сканерленген түрдегі құжаттарды) енгізеді (қоса береді):

заңды тұлғаның атқарушы органының басшысын тағайындау туралы бұйрық немесе микрокредит беру туралы шартқа қол қоюға уәкілетті тұлғаның өкілеттіктерін растайтын сенімхат;

микрокредит беру туралы шартқа қол қоюға уәкілетті тұлғаның туу туралы куәлігін қоспағанда, жеке басын куәландыратын құжатта көрсетілген тегі, аты, әкесінің аты (ол бар болса);

клиент - заңды тұлғаның бизнес сәйкестендіру нөмірі;

микрокредит беру туралы шартқа қол қоюға уәкілетті тұлғаның жеке сәйкестендіру нөмірі;

микрокредит беру туралы шартқа қол қоюға уәкілетті тұлғаның туу туралы куәлігін қоспағанда, жеке басын куәландыратын құжаттың нөмірі және қолданыс мерзімі;

клиент - заңды тұлғаның ұялы байланыс құрылғысының абоненттік нөмірі;

микрокредит беру туралы шартқа қол қоюға уәкілетті клиенттің беті бейтарап қалыпта және аузы жабық, ашық түстегі аяда анфас фотосуреті.

Микроқаржылық қызметті жүзеге асыратын ұйым клиенттің тіркелгенін растау үшін мыналар ұсынған төмендегідей деректерді салыстырып-тексеруді жүзеге асырады:

клиент - жеке тұлға: клиенттің тегі, аты, әкесінің аты (ол бар болса), жеке сәйкестендіру нөмірі және фотосуреті;

клиент - заңды тұлға: микрокредит беру туралы шартқа қол қоюға уәкілетті тұлғаның туу туралы куәлігін қоспағанда, жеке басын куәландыратын құжатта көрсетілген тұлғаның тегі, аты, әкесінің аты (ол бар болса) және фотосуреті.

Клиентті жеке кабинетте тіркеу кезінде СДАО қызметтерін пайдалану арқылы немесе микроқаржылық қызметті жүзеге асыратын ұйымның құрылғылары арқылы алынған биометриялық деректер бойынша биометриялық сәйкестендіру және (немесе) клиенттің Қазақстан Республикасының аккредиттелген куәландыру орталығы берген электрондық цифрлық қолтаңбасы қолданылады.

Дара кәсіпкер ретінде тіркелген клиент - жеке тұлғаны тіркеу кезінде электрондық цифрлық қолтаңбаны қолдану талап етілмейді.

Клиентті жеке кабинетке тіркегеннен кейін клиенттің жеке кабинетке кейіннен кіруі құпиясөздерді ойлап табу және (немесе) енгізу арқылы немесе бірдейлендіру белгілерінің (токендер, смарт-карталар, бір реттік құпиясөздер) кем дегенде біреуін пайдалану арқылы жүзеге асырылады.

Клиенттің ұялы байланыс құрылғысының абоненттік нөмірі туралы деректерге немесе банк шотының деректемелеріне (микрокредиттерді терминалдар арқылы беруді қоспағанда) өзгерістер енгізу клиенттің жеке кабинетінде СДАО қызметтерін пайдалану арқылы биометриялық сәйкестендіруді немесе микроқаржылық қызметті жүзеге асыратын ұйымның құрылғылары арқылы клиентті тіркеу кезінде алынған клиенттің биометриялық деректерін және (немесе) клиенттің Қазақстан Республикасының аккредиттелген куәландыру орталығы берген электрондық цифрлық қолтаңбасын пайдалана отырып жүзеге асырылады.

Жеке кабинетте клиенттің жеке сәйкестендіру нөмірі немесе бизнес-сәйкестендіру нөмірі туралы деректер өзгертілмейді.

Ескерту. 6-тармақ жаңа редакцияда – ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 27.09.2024 № 77 (алғашқы ресми жарияланған күнінен бастап қолданысқа енгізіледі) қаулысымен.

7. Жеке кабинет клиентке мынадай, бірақ олармен шектелмей, іс-қимылдарды жүзеге асыру мүмкіндігін беруі тиіс:

1) клиенттің микрокредит алуға өтініш беруі;

2) микроқаржылық қызметті жүзеге асыратын ұйым туралы мәліметтерді (заңды және (немесе) нақты мекенжайы, байланыс телефондары, факс, электрондық пошта мекенжайы және басқа мәліметтер), микроқаржылық қызметті жүзеге асыратын ұйымның бірінші басшысы туралы мәліметтерді (тегі, аты, әкесінің аты (ол бар болса)) қарау;

3) клиенттің микрокредит беру туралы шартын (шарттарын) (шарт жасалғанға дейін және жасалғаннан кейін) қарау;

4) клиенттің микрокредит алуға өтінішінің қаралу барысы және нәтижелері туралы ақпаратты қарау;

5) клиенттің микрокредит (микрокредиттер) бойынша ағымдағы берешегінің сомасы, клиенттің алдағы және нақты төлемдері туралы, оның ішінде негізгі борыш, сыйақы, айыпақы (айыппұлдар, өсімпұлдар) сомасы туралы ақпаратты қарау;

6) клиенттің микрокредитті өтеу тәсілдері туралы ақпаратты қарау;

7) клиент пен микроқаржылық қызметті жүзеге асыратын ұйым арасында хаттар (хабарлар) алмасу.

Ескерту. 7-тармақ жаңа редакцияда - ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 16.08.2024 № 52 (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) қаулысымен.

8. Электрондық тәсілмен микрокредит берілгенге дейін микроқаржылық қызметті жүзеге асыратын ұйым:

1) клиентті Қазақстан Республикасының қылмыстық жолмен алынған кірістерді заңдастыруға (жылыстатуға) және терроризмді қаржыландыруға қарсы іс-қимыл саласындағы заңнамасына және ішкі құжаттарға сәйкес клиентті тиісінше тексеруді жүзеге асырады;

2) клиентті микрокредиттер беру қағидаларымен таныстырады;

3) клиентке микрокредитті алумен, қызмет көрсетумен және өтеумен (қайтарумен) байланысты төлемдер және аударымдар туралы толық әрі дәйекті ақпарат береді;

4) клиентке микрокредитті өтеу әдісімен танысу және таңдау үшін түрлі әдістермен (сараланған төлемдер, аннуитеттік төлемдер әдісімен немесе микрокредиттер беру қағидаларына сәйкес есептелген әдіспен) есептелген өтеу кестелерінің жобаларын ұсынады;

5) клиентті микрокредит алумен байланысты құқықтары мен міндеттер туралы хабардар етеді;

6) клиенттен микрокредит беру тәсілін сұратады (клиентке терминал немесе касса арқылы қолма-қол ақша беру немесе микрокредитті клиенттің банктік шотына (төлем карточкасына) немесе микроқаржылық қызметті жүзеге асыратын ұйымда сатып алынатын тауарға немесе қарыз алушының орындаған жұмыстарына, қызметтеріне ақы төлеуді көздейтін шарт жасалған заңды тұлғаның банктік шотына аудару арқылы);

7) микрокредит клиенттің банктік шотына (төлем карточкасына) берілген жағдайда, клиенттің банктік шотының деректемелерін (IBAN) және (немесе) төлем карточкасының деректемелерін сұратады.

8) кредиттік есепте клиенттің микрокредит алудан ерікті түрде бас тартуын белгілеу туралы ақпараттың болуын тексереді.

      Ескерту. 8-тармақ жаңа редакцияда - ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 29.03.2024 № 17 (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) қаулысымен.
      ЗҚАИ-ның ескертпесі!
      9-тармақ 01.01.2025 дейін қолданыста болады – ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 27.09.2024 № 77 қаулысымен.

9. Микрокредит беру туралы шарт жасасу, микроқаржылық қызметті жүзеге асыратын ұйым мен клиент арасында электрондық тәсілмен микрокредит беру туралы шартқа өзгерістер мен толықтырулар енгізу СДАО қызметтерін пайдалану арқылы биометриялық сәйкестендіруді қолдана отырып немесе микроқаржылық қызметті жүзеге асыратын ұйымның құрылғылары және (немесе) клиентті тіркеу кезінде алынған клиенттің биометриялық деректерін және клиенттің Қазақстан Республикасының аккредиттелген куәландыру орталығы берген электрондық цифрлық қолтаңбасын пайдалана отырып жүзеге асырылады.

Дара кәсіпкер ретінде тіркелген клиент-жеке тұлғамен кәсіпкерлік қызметті жүзеге асыруға байланысты микрокредит беру туралы шарт жасасу кезінде, сондай-ақ оған өзгерістер мен толықтырулар енгізу кезінде электрондық цифрлық қолтаңбаны қолдану талап етілмейді.

Электрондық тәсілмен микрокредит беру микроқаржылық қызметті жүзеге асыратын ұйымның банк шотынан клиенттің банктік шотына (төлем карточкасына) ақша аудару жолымен, сондай-ақ клиентке терминал немесе касса арқылы қолма-қол ақшаны беру және (немесе) микроқаржылық қызметті жүзеге асыратын ұйымда қарыз алушы сатып алатын тауарға немесе орындаған жұмыстарға, көрсетілетін қызметтерге ақы төлеуді көздейтін шарт жасалған заңды тұлғаның банк шотына микрокредитті қарыз алушының өтініші бойынша аудару арқылы жүзеге асырылады.

Микрокредитті қарыз алушының өтініші бойынша микроқаржылық қызметті жүзеге асыратын ұйымда сатып алынатын тауар немесе орындалған жұмыстар, көрсетілетін қызметтерге ақы төлеуді көздейтін шарт жасалған заңды тұлғаның банк шотына аудару СДАО қызметтерін пайдалану арқылы биометриялық сәйкестендіруді қолдана отырып немесе микроқаржылық қызметті жүзеге асыратын ұйымның құрылғылары арқылы клиентті тіркеу кезінде алынған клиенттің биометриялық деректерін пайдалана отырып жүзеге асырылады.

Қарыз алушыға касса арқылы микрокредит беру оның жеке басын куәландыратын құжатпен (туу туралы куәлікті қоспағанда) не цифрлық құжаттар сервисі арқылы алынған клиенттің жеке басын растайтын (сәйкестендіретін) деректермен қолма-қол ақша алатын клиентті көзбен шолып сәйкестендіру жүргізу, сондай-ақ клиент-заңды тұлғаға микрокредит берілген жағдайда, ақша алуға уәкілетті адамның өкілеттіктерін растайтын сенімхат беру арқылы жүзеге асырылады.

Ескерту. 9-тармақ жаңа редакцияда – ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 27.09.2024 № 77 (алғашқы ресми жарияланған күнінен бастап қолданысқа енгізіледі) қаулысымен.

10. Микроқаржылық қызметті жүзеге асыратын ұйым қылмыстық жолмен алынған кірістерді заңдастыруға (жылыстатуға), және терророизмді қаржыландыруға қарсы іс-қимыл саласында Қазақстан Республикасының заңнамасында көзделген негіздер бойынша, сондай-ақ клиенттің микрокредит алудан ерікті бас тартуын белгілеген кезде клиентке микрокредит беруден бас тартарды.

Ескерту. 10-тармақ жаңа редакцияда - ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 29.03.2024 № 17 (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) қаулысымен.

11. Электрондық тәсілмен микрокредиттер беру клиентке электрондық тәсілмен микрокредит берілген электрондық құжаттардың мазмұнындағы бұрмалануларды және (немесе) өзгерістерді анықтауды, сондай-ақ микрокредит беру құпиясын құрайтын ақпаратқа рұқсатсыз қол жеткізуден қорғауды және клиент ұсынатын сәйкестендіру және бірдейлендіру деректерін микрокредит алу кезінде рұқсатсыз қайта пайдаланудан қорғауды қоса алғанда, осы ақпараттың тұтастығын көздейтін микроқаржылық қызметті жүзеге асыратын ұйымның ішкі құжаттарына сәйкес жүзеге асырылады.

12. Клиенттің сұратуы бойынша микроқаржылық қызметті жүзеге асыратын ұйым оған микрокредит беру туралы шартта көзделген тәртіппен және мерзімдерде микрокредит беруді (алуды) электрондық тәсілмен растайтын электрондық құжаттарды жіберу және (немесе) алу туралы растауды ұсынады.

13. Микрокредит беру құпиясын құрайтын ақпаратқа рұқсатсыз қол жеткізу, оның рұқсатсыз өзгеруі, үшінші тұлғалар тарапынан рұқсатсыз әрекеттерді не микрокредиттермен өзге де заңсыз (алаяқтық) әрекеттерді жүзеге асыру анықталған жағдайда, микроқаржылық қызметті жүзеге асыратын ұйым екі жұмыс күні ішінде осындай әрекеттердің себептері мен салдарын жою үшін шаралар қабылдайды, сондай-ақ осы туралы клиентке және уәкілетті органға бір жұмыс күні ішінде хабарлайды.

Қазақстан Республикасының Қылмыстық-процестік кодексінің кодексінің (бұдан әрі - ҚР ҚПК) 200-бабына сәйкес сотқа дейінгі тергеп-тексеруді жүзеге асыратын адам микроқаржылық қызметті жүзеге асыратын ұйымға зардап шеккендерге қатысты қылмыстық құқық бұзушылық жасауға ықпал еткен мән-жайларды жою бойынша шаралар қабылдау туралы ұсыныс не микроқаржылық қызметті жүзеге асыратын ұйымның қарыз алушысын ҚР ҚПК 71-бабына сәйкес зардап шегуші деп тану туралы қаулы енгізген жағдайда, микроқаржылық қызметті жүзеге асыратын ұйым ұсынымды не қаулыны алған күннен бастап 3 (үш) жұмыс күнінен кешіктірмей:

мұндай микрокредит бойынша сыйақы есептеуді тоқтата тұрады;

микрокредит бойынша берешекті өндіріп алуды және талап-арыз жұмысын тоқтатады;

клиенттің микрокредит бойынша берешегінің болуы туралы ақпаратты кредиттік бюроларға жіберуді тоқтата тұрады;

клиентке микрокредит бойынша сыйақы есептеуді, берешекті өндіріп алуды және клиент бойынша талап-арыз жұмысын жүргізуді тоқтата тұру туралы жазбаша хабарлама жібереді.

Оның негізінде уәкілетті тұлға немесе орган микрокредит бойынша сыйақы есептеуді, берешекті өндіріп алуды және талап-арыз жұмысын жүргізуді тоқтата тұрған ұсыным не қаулының күшін жойған жағдайда, микроқаржылық қызметті жүзеге асыратын ұйым сыйақы есептеуді тоқтата тұру кезеңінде микрокредитті пайдаланғаны үшін сыйақыны қосымша есептеуге және клиент бойынша берешекті өндіріп алуды және талап-арыз жұмысын қайта бастауға құқылы.

Клиенттің микрокредит алмау фактісін растайтын заңды күшіне енген сот үкімінің негізінде микроқаржылық қызметті жүзеге асыратын ұйым 15 (он бес) жұмыс күні ішінде:

клиенттің осы микрокредит бойынша берешегін есептен шығару туралы шешім қабылдайды;

осы микрокредит бойынша берешектің болмауы және ол бойынша мерзімі өткен күндердің саны туралы ақпаратты жіберу арқылы клиенттің кредиттік бюролардағы кредиттік тарихына түзетулер енгізеді;

микроқаржылық қызметті жүзеге асыратын ұйым бұрын өндіріп алған не клиент дербес өтеген осы микрокредит бойынша берешек сомаларын клиентке қайтаруды жүзеге асырады.

Қағидалардың осы тармағына сәйкес микрокредит бойынша клиенттің берешегін есептен шығару микроқаржылық қызметті жүзеге асыратын ұйымды клиенттен клиенттің өзінің кінәсі болған кезде, сот белгілеген оған берілген, алаяқтық тәсілмен ресімделген микрокредит бойынша берешекті өтеуді талап ету құқығынан айырмайды.

3-тарау. Автоматтандырылған ақпараттық жүйеге қойылатын талаптар

14. Автоматтандырылған ақпараттық жүйе мынаны қамтиды:

1) веб-қосымшалар (бұдан әрі – веб-қосымша) серверлерінің бағдарламалық қамтылымы;

2) мобильдік құрылғыларға арналған бағдарламалық қамтылым (бұдан әрі – мобильдік қосымша);

3) бағдарламалық интерфейстер серверлерінің бағдарламалық қамтылымы (бұдан әрі – серверлік ҚБҚ).

15. Автоматтандырылған ақпараттық жүйені әзірлеуді және (немесе) пысықтауды микроқаржылық қызметті жүзеге асыратын ұйым әзірлеу және (немесе) пысықтау тәртібін, әзірлеу кезеңдерін және олардың қатысушыларын регламенттейтін, ішкі құжатқа сәйкес жүзеге асырады.

16. Автоматтандырылған ақпараттық жүйені әзірлеу және (немесе) пысықтау тысқары ұйымға және (немесе) үшінші тұлғаға берілсе, микроқаржылық қызметті жүзеге асыратын ұйым тысқары ұйымның және (немесе) үшінші тұлғаның осы тараудың және ішкі құжаттардың талаптарын орындауын қамтамасыз етеді, автоматтандырылған ақпараттық жүйенің қауіпсіздік жағдайына жауап береді.

17. Микроқаржылық қызметті жүзеге асыратын ұйымда әзірленетін автоматтандырылған ақпараттық жүйенің бастапқы кодтарын сақтау резервтік көшірме жасауды қамтамасыз ете отырып, микроқаржылық қызметті жүзеге асыратын ұйымның қорғау периметрінде орналастырылатын мамандандырылған код репозиторияларын басқару жүйесінде жүзеге асырылады.

18. Микроқаржылық қызметті жүзеге асыратын ұйымда қабылданған автоматтандырылған ақпараттық жүйені әзірлеу және (немесе) пысықтау тәсіліне қарамастан, қауіпсіздікті тестілеу міндетті кезең болып табылады, оның барысында кем дегенде мынадай іс-шаралар жүзеге асырылады:

1) бастапқы кодты статикалық талдау;

2) құрауыштарды және (немесе) тысқары кітапханаларды талдау.

19. Автоматтандырылған ақпараттық жүйенің бастапқы кодын статикалық талдау тексерілетін бағдарламалық қамтылымда қолданылатын барлық бағдарламалау тілдерін талдауды қолдайтын бастапқы кодтарды статикалық талдау сканерін пайдалана отырып жүргізіледі, оның функцияларына мынадай осалдықтарды анықтау кіреді, бірақ мыналармен шектелмейді:

1) зиянды кодты енгізуге мүмкіндік беретін тетіктердің болуы;

2) осал операторларды және бағдарламалау тілдерінің функцияларын пайдалану;

3) әлсіз және осал криптографиялық алгоритмдерді қолдану;

4) белгілі бір жағдайларда қызмет көрсетуден бас тартуды немесе қосымшаның жұмысын айтарлықтай баяулатуды тудыратын кодты пайдалану;

5) қосымшаны қорғау жүйелерін айналып өту тетіктерінің болуы;

6) құпия кодты ашық түрде пайдалану;

7) қосымшаның қауіпсіздік үлгілері мен тәжірибелерін бұзу.

20. Автоматтандырылған ақпараттық жүйенің құрауышын және (немесе) тысқары кітапханаларын талдау құрауыштың және (немесе) тысқары кітапхананың қолданылатын нұсқасына тән белгілі осалдықтарды анықтау, сондай-ақ құрауыштар және (немесе) үшінші тарап кітапханалары мен олардың нұсқалары арасындағы тәуелділіктерді қадағалау мақсатында жүргізіледі.

21. Микроқаржы қызметін жүзеге асыратын ұйым ішкі құжатта айқындалған тәртіпте анықталған осалдықтарды жою бойынша түзету шараларының іске асырылуын қамтамасыз етеді, бұл ретте аса маңызды осалдықтар автоматтандырылған ақпараттық жүйе және (немесе) оның жаңа нұсқалары пайдалануға берілгенге дейін жойылады.

22. Микроқаржы қызметін жүзеге асыратын ұйым автоматтандырылған ақпараттық жүйенің бастапқы кодтарының және соңғы 3 (үш) жыл ішінде пайдалануға берілген қауіпсіздікті тестілеу нәтижелерінің барлық нұсқаларын сақтауды және оларға жедел режимде қол жеткізуді қамтамасыз етеді.

23. Автоматтандырылған ақпараттық жүйенің клиенттік және серверлік тараптары арасында деректер алмасу Transport Layer Security (Транспорт Лейер Секьюрити) шифрлау хаттамасының 1.2-ден төмен емес нұсқасын пайдалана отырып шифрландырылады.

24. Веб-қосымша:

1) веб-қосымшасының тек қана микроқаржы қызметін жүзеге асыратын ұйымға тиесілігін сәйкестендіруді (домендік аты, логотиптері, корпоративтік түстері);

2) браузердің жадында авторландырылған деректерді сақтауға тыйым салуды;

3) енгізілген құпияларды бүркемелеуді;

4) клиентті авторландыру парақшасында веб-қосымшаны пайдалану кезінде басшылыққа алу ұсынылатын кибергигиенаны қамтамасыз ету шаралары туралы хабардар етуді;

5) қате туралы ең аз қажетті ақпарат бере отырып, клиенттің интерфейсінде конфиденциалды деректердің көрсетілуіне жол бермей қателер мен ерекшеліктерді қауіпсіз тәсілмен өңдеуді қамтамасыз етеді.

25. Мобильдік қосымша:

1) микроқаржылық қызметті жүзеге асыратын ұйымның мобильдік қосымшасының тиесілігін идентификаттаудың бірегейлігін (қосымшалардың ресми дүкеніндегі деректер, логотиптер, корпоративтік түстер);

2) операциялық жүйенің тұтастығын бұзу және (немесе) қорғау тетіктерін айналып өту белгілері анықталған, қашықтан басқару процестері анықталған жағдайда микроқаржылық қызметін жүзеге асыратын ұйымның микрокредиттер беру жөніндегі функционалын электрондық тәсілмен бұғаттауды;

3) клиентке мобильдік қосымшаның жаңартулары бар екендігі туралы хабарлауды;

4) маңызды осалдықтарды жою қажет болған жағдайда мобильдік қосымшаның жаңартуларын мәжбүрлеп орнату немесе оларды орнатқанға дейін мобильдік қосымшаның функционалын бұғаттау мүмкіндігін;

5) конфиденциалды деректерді мобильдік қосымшаның қорғалған контейнерінде немесе жүйелік есептік деректер қоймасында сақтауды;

6) конфиденциалды деректерді кэштеуді болдырмауды;

7) конфиденциалды деректердің мобильдік қосымшасынан резервтік көшірмелерді шығаруды;

8) клиентті мобильдік қосымшаны пайдалану кезінде ұстануға ұсынылатын кибергигиенаны қамтамасыз етудің тиімді әдістері туралы хабардар етуді;

9) клиентті оның есептік жазбасы арқылы авторизациялау оқиғалары, құпиясөзді өзгерту және (немесе) қалпына келтіру, микроқаржылық қызметті жүзеге асыратын ұйым тіркеген өзгерістер, ұялы телефон нөмірі туралы хабардар етуді;

10) ақшалай қаражатпен операцияларды жүзеге асыру барысында – клиенттің рұқсаты болатын кезде мобильдік құрылғының геолокациялық деректерін микроқаржы қызметін жүзеге асыратын ұйымның серверлік ҚБҚ-ға беруді не мұндай рұқсаттың жоқ екені туралы ақпарат беруді қамтамасыз етеді.

26. Микроқаржылық қызметті жүзеге асыратын ұйым өз жағында:

1) жауапта конфиденциалды деректердің жария болуына жол бермей, проблеманы анықтау үшін ең аз қажетті ақпарат ұсына отырып, қателер мен ерекшеліктерді қауіпсіз тәсілмен өңдеуді;

2) мобильдік қосымшаларды және олармен байланысты құрылғыларды идентификаттауды және бірдейлендіруді;

3) жалған сұратулар мен инъекциялармен шабуылдардың алдын алу үшін деректердің жарамдылығын тексеруді қамтамасыз етеді.

27. Автоматтандырылған ақпараттық жүйеде ақпаратқа қолжетімділік микроқаржылық қызметті жүзеге асыратын ұйымның қызметкерлеріне олардың функционалдық міндеттерін орындау үшін қажетті көлемде беріледі.

28. Автоматтандырылған ақпараттық жүйеге қолжетімділік микроқаржылық қызметті жүзеге асыратын ұйымның қызметкерлерін идендификаттау және бірдейлендіру арқылы жүзеге асырылады.

29. Автоматтандырылған ақпараттық жүйеде микроқаржылық қызметті жүзеге асыратын ұйымның ішкі құжатымен айқындалатын есептік жазбалар мен құпиясөздерді басқару, сондай-ақ пайдаланушылардың есептік жазбаларын бұғаттау жөніндегі функциялар қолданылады.

30. Автоматтандырылған ақпараттық жүйе техникалық қолдаумен қамтамасыз етіледі, оның құрамына автоматтандырылған ақпараттық жүйенің жаңартуларын, оның ішінде қауіпсіздік жаңартуларын ұсыну жөніндегі қызметтер кіреді.

31. Автоматтандырылған ақпараттық жүйе оның жұмыс істеуге қабілетті көшірмесін қалпына келтіруді қамтамасыз ететін деректердің, файлдардың және өлшемдердің резервтік сақталуын қамтамасыз етеді.

32. Микроқаржылық қызметті жүзеге асыратын ұйымда ұйымдастырушылық және техникалық деңгейде автоматтандырылған ақпараттық жүйенің аудиторлық ізінің жүргізілуі және өзгермеуі қамтамасыз етіледі.

33. Автоматтандырылған ақпараттық жүйені қорғау үшін лицензияланған антивирустық бағдарламалық қамтылым немесе жұмыс станцияларында, ноутбуктерде және мобильдік құрылғыларда бағдарламалық ортаның тұтастығын немесе өзгермейтіндігін бақылауды қамтамасыз ететін жүйелер қолданылады.

34. Микроқаржылық қызметті жүзеге асыратын ұйым клиентке берілген және одан алынған электрондық хабарлар мен өзге құжаттардың, сондай-ақ клиентті биометриялық сәйкестендіру барысында алынған деректердің тұтастығы мен конфиденциалдылығын сақтай отырып, олардың микрокредит беру туралы шарт бойынша тараптардың міндеттемелері тоқтатылғаннан кейін кемінде бес жыл бойы қауіпсіз сақталуын қамтамасыз етеді.

Электрондық хабарларды, деректерді және өзге құжаттарды сақтау олар қалыптастырылған, клиентке жіберілген немесе одан алынған форматта жүзеге асырылады.

Ескерту. 34-тармақ жаңа редакцияда - ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 16.08.2024 № 52 (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) қаулысымен.

35. Биометриялық сәйкестендіру кезінде клиенттің қайталанбайтын бақылау қимыл-қозғалыстарын орындау тізбектілігін биометриялық сәйкестендіру барысында тексеру арқылы клиенттің биометриялық деректерін қолдан жасау үшін статикалық бейне немесе бейнежазбаны пайдаланудан қорғау қамтамасыз етіледі.

Ескерту. 35-тармақ жаңа редакцияда - ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 16.08.2024 № 52 (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) қаулысымен.

36. Микроқаржылық қызметті жүзеге асыратын ұйымда клиенттің дербес деректерінің заңсыз жария етілуі туралы ақпарат болған жағдайда микроқаржы ұйымы төмендегілерді:

1) клиентті қайтадан биометриялық сәйкестендіруді;

2) клиенттің жеке сәйкестендіру нөмірін мобильді байланыс операторының дерекқорындағы абоненттік нөмір иесінің жеке сәйкестендіру нөмірімен салыстыру немесе "электрондық үкімет" веб-порталы арқылы клиенттердің мобильді телефон нөмірлері базасында клиенттің жеке сәйкестендіру нөмірін салыстыру арқылы осы абоненттік нөмірдің клиентке тиесілігі туралы ақпарат алу жолымен клиенттің абоненттік нөмірінің оған тиесілігін тексеруді;

3) клиентке оның дербес деректерінің ұрланғаны туралы хабарлай отырып және клиенттің кредиттер ресімдеуден ерікті түрде бас тартуын белгілеу жөніндегі ұсыныммен бірге клиент көрсеткен клиенттің ұялы байланыс құрылғысының абоненттік нөміріне тексеру қоңырауын қоса алғанда, бірақ олармен шектелмей, қосымша қауіпсіздік шараларын іске асырады.

Ескерту. Қағидалар 36-тармақпен толықтырылды - ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 16.08.2024 № 52 (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) қаулысымен.

37. Автоматтандырылған ақпараттық жүйеге үшінші тұлғаларға қолжетімділік берілген немесе микроқаржылық қызметті жүзеге асыратын ұйымның серверлік қуаттары деректерді өңдеудің (деректерді өңдеудің және (немесе) сақтаудың сыртқы сервистерін пайдаланудың) басқа орталықтарында орналастырылған жағдайда, микроқаржылық қызметті жүзеге асыратын ұйым ақпараттық қауіпсіздікті қамтамасыз етудің мынадай шараларын қабылдайды:

1) тиісті келісімде, үшінші тұлғамен жасалған шартта микроқаржылық қызметті жүзеге асыратын ұйымның автоматтандырылған ақпараттық жүйелерін қорғау жөніндегі талаптарды және микроқаржылық қызметті жүзеге асыратын ұйымның осындай талаптардың орындалуын тексеру құқығын, сондай-ақ ақпараттық қауіпсіздікті және автоматтандырылған ақпараттық жүйелердің жұмыс қабілеттілігін бұзу салдарынан туындаған залалды өтеу туралы талаптарды көрсету;

2) Қазақстан Республикасының азаматтық, банк заңнамасына, Қазақстан Республикасының микроқаржылық қызмет туралы заңнамасына, Қазақстан Республикасының дербес деректер және оларды қорғау туралы заңнамасына сәйкес үшінші тұлғалардың үшінші тұлғаларға беруге жол берілмейтін ақпаратқа қол жеткізу мүмкіндігін болдырмау. Осы мақсаттар үшін ақпаратты микроқаржылық қызметті жүзеге асыратын ұйым тарапында жария ету арқылы шифрланған түрде сақтау әдісі қолданылады. Бұл ретте шифрлау кілті микроқаржылық қызметті жүзеге асыратын ұйымда сақталады.

Ескерту. Қағидалар 37-тармақпен толықтырылды - ҚР Қаржы нарығын реттеу және дамыту агенттігі Басқармасының 16.08.2024 № 52 (алғашқы ресми жарияланған күнінен кейін күнтізбелік он күн өткен соң қолданысқа енгізіледі) қаулысымен.

Unofficial translation

In accordance with the Law of the Republic of Kazakhstan “On Microfinance Activities”, the Board of the National Bank of the Republic of Kazakhstan HEREBY RESOLVES:

Footnote. Preamble - as amended by the Resolution of the Board of the Agency of the Republic of Kazakhstan for Regulation and Development of the Financial Market № 81 dated 3010.2023 (shall come into effect ten calendar days after the day of its first official publication).

1. To approve the attached Rules for the provision of microcredits electronically.

2. The Department of methodology and regulation of financial organizations, in accordance with the procedure, established by the legislation of the Republic of Kazakhstan shall ensure:

1) jointly with the Legal Department, the state registration of this resolution with the Ministry of Justice of the Republic of Kazakhstan;

2) placement of this resolution on the official Internet resource of the National Bank of the Republic of Kazakhstan after its official publication;

3) within ten working days after the state registration of this resolution, submission to the Legal Department of information about implementation of measures, stipulated by subclause 2) of this clause and clause 3 of this resolution.

3. The Department of External Communications – the Press Service of the National Bank shall ensure, within ten calendar days after the state registration of this resolution, sending of its copy for official publication to printed periodicals.

4. Control over execution of this resolution shall be entrusted to the deputy Chairman of the National Bank of the Republic of Kazakhstan Smolyakov O.A.

5. This resolution shall come into force from January 1, 2020 and shall be subject to official publication.

Chairman
of the National Bank

Ye. Dossayev

Approved
by the Resolution of
the National Bank
of the Republic of Kazakhstan
dated November 28, 2019
№ 217

The Rules for the provision of microcredits electronically

Footnote. The rules are as amended by Resolution № 81 of the Board of the Agency for Regulation and Development of the Financial Market of the Republic of Kazakhstan dated 30.10.2023 (effective ten calendar days after the date of its first official publication).

Chapter 1. General Provisions

1. These Rules for the provision of microcredits electronically (hereinafter referred to as the Rules) have been developed in accordance with paragraph 3-1 of Article 3 of the Law of the Republic of Kazakhstan “On Microfinance Activities” (hereinafter referred to as the Law) and shall determine the procedure for providing microcredits electronically.

2. The Rules shall use the concepts provided for by the Law, as well as the following concepts:

1) automated information system - microloan information system that shall automate the provision of microloan electronically in an organization engaged in microfinance activities;

2) authentication - a procedure for verifying the authenticity of the client, electronic messages and other documents, including electronic copies of documents necessary to provide microcredit, as well as identifying the client and the content of his/her expression of will;

3) debt - the amount of debt on microcredit, including the amount of the principal balance, accrued but unpaid remuneration, penalties (fines, penalties) provided for in the microcredit agreement concluded with the borrower;

4) biometric identification – a set of measures that identify a person based on physiological and biological immutable characteristics;

5) one-time password – a password valid only for one authentication session of subjects receiving services in electronic form;

6) as excluded by the Resolution of the Board of the Agency of the Republic of Kazakhstan for Regulation and Development of the Financial Market dated 16.08.2024 № 58 (shall enter into force upon expiry of ten calendar days after the day of its first official publication);

7) personal account – a multifunctional secure service of an automated information system that ensures interaction between an organization carrying out microfinance activities and a client;

8) client - an individual or legal entity who has agreed with an organization engaged in microfinance activities to provide microcredit or has submitted (intends to submit) an application for microcredit;

9) client identification – the procedure for the client to provide his/her identification data for further authentication;

10) mobile application - a software product used on a subscriber’s cellular device and providing access to a personal account via cellular services or the Internet;

11) identifier - a unique digital, alphabetic or containing other symbols code assigned to the client to enter his/her personal account;

12) identification data exchange center (IDEC) - an operational center of the interbank money transfer system, ensuring interaction with financial organizations for the exchange of customer data from available sources for carrying out customer identification procedures;

13) smart card – a plastic card with a built-in microcircuit;

14) terminal – an electronic-mechanical device designed to carry out operations related to the provision of microcredits;

15) token – a device designed to ensure the information security of the user, as well as to identify its owner, and secure remote access to information resources;

16) authorized body - a state body that carries out state regulation, control and supervision of the financial market and financial organizations;

17) “electronic government” web portal - an information system that is a single window of access to all consolidated government information, including the regulatory legal framework, and to government services, services for issuing technical specifications for connecting to the networks of natural monopoly entities and services of quasi-state entities sector, provided in electronic form.

Footnote. Paragraph 2 as amended by Resolution of the Board of the Agency of the Republic of Kazakhstan for Regulation and Development of the Financial Market dated 16.08.2024 № 58 (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

Chapter 2. Providing microcredits electronically

3. Operations related to the provision of microcredits electronically shall be carried out using an automated information system that meets the requirements of Chapter 3 of these Rules in the client’s personal account on the Internet resource, in a mobile application and (or) terminals of an organization carrying out microfinance activities.

4. 10 (ten) working days before the opening of an Internet resource, mobile application and (or) terminal through which microcredits shall be provided electronically, the organization carrying out microfinance activities shall notify the authorized body about this.

The notification sent to the authorized body shall contain:

1) name of the Internet resource, mobile application and (or) location of the terminal of the organization carrying out microfinance activities;

2) a list of services (operations) that can be provided through an Internet resource, mobile application and (or) terminal of an organization engaged in microfinance activities;

3) information about the availability of approved procedures for the security and protection of information from unauthorized access by an organization engaged in microfinance activities when providing services through an Internet resource, mobile application and (or) terminal, with supporting documents attached.

5. If the information contained in the notification specified in paragraph 4 of the Rules changes, the organization carrying out microfinance activities notifies the authorized body 10 (ten) working days before such changes are made.

6. To register in the personal account, the individual shall enter (attaches) the following data:

surname, first name, patronymic (if any) specified in the identity document, with the exception of the birth certificate;

individual identification number;

number and validity period of the identity document, except for the birth certificate;

the subscriber number of the cellular communication device;

photo of a person in full face on a light background, with a neutral facial expression and a closed mouth.

To register in your personal account, a legal entity enters (attaches) the following data (documents in scanned form):

an order on the appointment of the head of the executive body of the legal entity or a power of attorney confirming the powers of the person authorized to sign the microloan agreement;

surname, first name, patronymic (if any) specified in the identity document, with the exception of the birth certificate, of the person authorized to sign the microloan agreement;

business identification number of the client - legal entity;

individual identification number of the person authorized to sign the microloan agreement;

the number and validity period of the identity document, with the exception of the birth certificate, of the person authorized to sign the microloan agreement;

subscriber number of the cellular communication device of the legal entity client;

photo of the client in full face on a light background, with a neutral facial expression on his face and a closed mouth, authorized to sign a microloan agreement.

The organization carrying out microfinance activities, to confirm the registration of the client, reconciles the data provided by:

client - individual: last name, first name, patronymic (if any), individual identification number and photograph of the client;

client - legal entity: surname, name, patronymic (if any) and photo of the person specified in the identity document, with the exception of the birth certificate, an individual authorized to sign a microloan agreement.

When registering a client in a personal account, biometric identification is used through the use of data center services or according to biometric data obtained through devices of an organization engaged in microfinance activities and an electronic digital signature of the client, presented by an accredited certification center of the Republic of Kazakhstan.

After registration of the client in the personal account, the subsequent admission of the client to the personal account shall be carried out by generating and (or) entering passwords or using at least one of the authentication features (tokens, smart cards, one-time passwords).

Introduction of amendments to the subscriber number of the client's cellular communication device or bank account details (except for the provision of microloans through terminals), shall be carried out in the client's personal account using biometric identification through the use of data center services or using the client's biometric data obtained during client registration through devices of an organization engaged in microfinance activities and the client's electronic digital signature presented by an accredited certification center of the Republic of Kazakhstan.

In the personal account, data on the individual identification number or business identification number of the client shall not be subject to introduction of amendments.

Footnote. Paragraph 6 – in the wording of the Resolution of the Board of the Agency of the Republic of Kazakhstan for Regulation and Development of the Financial Market dated 16.08.2024 № 58 (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

7. The personal account should provide the client with the opportunity to perform the following, but not limited to them, actions:

1) submission by the client of an application for a microloan;

2) viewing information about the organization carrying out microfinance activities (legal and (or) actual address, contact numbers, fax, e-mail address and other information), information about the first manager (last name, first name, patronymic (if any) of the organization carrying out microfinance activities;

3) viewing the agreement (agreements) of the client on the provision of microloan (before and after the conclusion of the agreement);

4) viewing information on the progress and results of consideration of the client's application for a microloan;

5) viewing information on the amount of the client's current microloan debt (microloan), upcoming and actual payments of the client, including the amount of the principal debt, remuneration, forfeit (fines, penalties);

6) viewing information on how the client repays the microloan;

7) exchange of letters (messages) between the client and the organization carrying out microfinance activities.

Footnote. Paragraph 7 – in the wording of the Resolution of the Board of the Agency of the Republic of Kazakhstan for Regulation and Development of the Financial Market dated 16.08.2024 № 58 (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

8. Prior to providing a microloan electronically, an organization engaged in microfinance activities:

1) carry out proper verification of the client in accordance with the legislation of the Republic of Kazakhstan in the field of combating the legalization (laundering) of proceeds from crime and the financing of terrorism and internal documents;

2) familiarizes the client with the Rules for providing microloans;

3) provide the client with complete and reliable information about payments and transfer related to the receipt, maintenance and repayment (return) of a microloan;

4) provide the client with draft repayment schedules calculated by various methods (differentiated payments method, annuity payments method or method calculated in accordance with the microloan rules) for familiarization and selection of the microloan repayment method;

5) inform the client about his rights and obligations related to obtaining a microloan;

6) request the client to provide a microloan (by issuing cash to the client through a terminal or cash desk, or transferring a microloan to the bank account (payment card) of the client or the bank account of a legal entity with which an agreement has been concluded with an organization engaged in microfinance activities, providing for payment for the purchased goods or work performed, services by the borrower);

7) request bank account details (IBAN) and (or) details of the client's payment card, if a microloan is provided to the client's bank account (payment card);

8) check for the presence in the credit report of information on the establishment by the client of a voluntary refusal to receive a microloan.

Footnote. Paragraph 8 – in the wording of the Resolution of the Board of the Agency of the Republic of Kazakhstan for Regulation and Development of the Financial Market dated 29.03.2024 № 17 (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

9. Conclusion of an agreement on the provision of microloan, introduction of amendments and additions to the agreement on the provision of microloan electronically between the organization, carrying out microfinance activities, and the client shall be carried out using biometric identification through the use of data center services or using the client's biometric data, obtained when registering a client through devices of an organization carrying out microfinance activities and an electronic digital signature of the client represented by an accredited certifying national certifying center of the Republic of Kazakhstan.

Microloan shall be provided electronically by transferring money from the bank account of a microfinance organization to a bank account (payment card) of the customer, and by dispensing cash to the customer through a terminal or cash desk; (or) transfer of a microloan at the request of the borrower to the bank account of a legal entity with which an organization engaged in microfinance activities has an agreement providing for payment for the purchased goods or work performed, services by the borrower.

If it is impossible to identify the ownership of a bank account or payment card to the client, the transfer of money shall not be carried out.

The transfer of a microloan at the request of the borrower to the bank account of a legal entity with which the organization engaged in microfinance activities has an agreement providing for payment for the purchased goods or work performed, services by the borrower, shall be carried out using biometric identification through the use of data center services or using client biometric data obtained during client registration through devices of the organization engaged in microfinance activities.

The provision of a microloan to the borrower through the cashier shall be carried out by visual identification of the client receiving cash with an identity document (except for a birth certificate) or data confirming (identifying) the identity of the client obtained through the digital document service, as well as providing a power of attorney confirming the powers of the individual authorized to receive money, in case of providing a microloan to the client - legal entity.

Footnote. Paragraph 9 – in the wording of the Resolution of the Board of the Agency of the Republic of Kazakhstan for Regulation and Development of the Financial Market dated 16.08.2024 № 58 (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

10. The organization carrying out microfinance activities shall refuse to provide the client with a microloan on the grounds provided for by the legislation of the Republic of Kazakhstan in the field of combating the legalization (laundering) of proceeds from crime and the financing of terrorism, as well as when the client establishes a voluntary refusal to receive a microloan.

Footnote. Paragraph 10 – in the wording of the Resolution of the Board of the Agency of the Republic of Kazakhstan for Regulation and Development of the Financial Market dated 29.03.2024 № 17 (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

11. The provision of microcredits electronically shall be carried out in accordance with the internal documents of the organization carrying out microfinance activities, which provide for the identification of distortions and (or) changes in the content of electronic documents on the basis of which the client was granted microcredit electronically, as well as protection from unauthorized access to information constituting the secrecy of providing microcredit, and the integrity of this information, including the protection of identification and authentication data provided by the client from repeated unauthorized use when receiving microcredit.

12. At the request of the client, the organization carrying out microfinance activities shall provide him/her with confirmation of the sending and (or) receipt of electronic documents confirming the provision (receipt) of microcredit electronically, in the manner and within the time frame provided for in the microcredit agreement.

13. In case of detection of unauthorized access to information that constitutes the secret of providing microcredit, its unauthorized modification, unauthorized actions by third parties or other illegal (fraudulent) actions with microcredits, the organization carrying out microfinance activities shall take measures within two working days to eliminate the causes and consequences of such actions, and shall also inform the client and the authorized body about this within one working day.

If a person conducting a pre-trial investigation in accordance with Article 200 of the Criminal Procedure Code of the Republic of Kazakhstan (hereinafter referred to as the Code of Criminal Procedure of the Republic of Kazakhstan) submits to an organization engaged in microfinance activities a proposal to take measures to eliminate the circumstances that contributed to the commission of a criminal offence against victims, or resolution on recognizing the borrower of an organization engaged in microfinance activities as a victim in accordance with Article 71 of the Code of Criminal Procedure of the Republic of Kazakhstan, an organization engaged in microfinance activities, no later than 3 (three) working days from the date of receipt of the submission or resolution shall:

suspend the accrual of interest on such microcredit;

suspend debt collection and claims work on microcredit;

suspend sending information to credit bureaus about the client's debt on microcredit;

send a written notification to the client about the suspension of the accrual of remuneration on the microcredit, debt collection and carrying out claim work on the client.

In the event of cancellation by an authorized person or body of submission or resolution based on which the accrual of remuneration on microcredit, debt collection and the conduct of claims work shall be suspended, the organization engaged in microfinance activities shall have the right to additionally accrue remuneration for the use of microcredit for the period of suspension of the accrual of remuneration, and resume debt collection and claim work for the client.

Based on a court verdict that has entered into legal force, which established the fact that the client did not receive microcredit, an organization engaged in microfinance activities, within 15 (fifteen) working days shall:

make a decision to write off the client's debt under this microcredit;

make adjustments to the client’s credit history in credit bureaus by sending information about the absence of debt on this microcredit and the number of overdue days on it;

return to the client amounts of debt under this microcredit, previously collected by the organization carrying out microfinance activities, or repaid by the client independently.

Write-off of a client's debt on microcredit, in accordance with this paragraph of the Rules, shall not deprive an organization engaged in microfinance activities of the right to demand from the client compensation of debt on microcredit issued to him, issued fraudulently if the client himself is at fault, established by the court.

Chapter 3. Requirements for an automated information system

14. The automated information system shall include:

1) web application server software (hereinafter referred to as the Web application);

2) software for mobile devices (hereinafter referred to as the Mobile application);

3) software for software interface servers (hereinafter referred to as Server software).

15. Development and (or) modification of an automated information system shall be carried out by an organization carrying out microfinance activities in accordance with an internal document regulating the procedure for development and (or) modification, stages of development and their participants.

16. If the development and (or) modification of an automated information system is transferred to a third-party organization and (or) a third party, the organization carrying out microfinance activities shall ensure that the third-party organization and (or) third party fulfils the requirements of this chapter and internal documents, and shall be responsible for security status of the automated information system.

17. Storage of the source codes of the automated information system developed in an organization carrying out microfinance activities shall be carried out in specialized code repository management systems located within the security perimeter of the organization carrying out microfinance activities, with backup provided.

18. Regardless of the approach adopted in an organization carrying out microfinance activities to the development and (or) modification of an automated information system, a mandatory stage is security testing, during which at least the following activities shall be carried out:

1) static analysis of source code;

2) analysis of components and (or) third-party libraries.

19. Static analysis of the source code of an automated information system shall be carried out using a static source code analysis scanner, which supports the analysis of all programming languages used in the software being tested, the functions of which include identifying the following vulnerabilities, but not limited to:

1) the presence of mechanisms that allow the injection of malicious code;

2) use of vulnerable operators and functions of programming languages;

3) use of weak and vulnerable cryptographic algorithms;

4) use of code that, under certain conditions, causes a denial of service or a significant slowdown in the operation of the application;

5) the presence of mechanisms to bypass application security systems;

6) use of secrets in clear text in the code;

7) violation of application security patterns and practices.

20. Analysis of components and (or) third-party libraries of an automated information system shall be carried out to identify known vulnerabilities inherent in the version of the component and (or) third-party library used, as well as to track dependencies between components and (or) third-party libraries and their versions.

21. An organization carrying out microfinance activities shall ensure the implementation of corrective measures to eliminate identified vulnerabilities in the manner specified by the internal document, while critical vulnerabilities are eliminated before the automated information system and (or) its new versions are put into operation.

22. An organization carrying out microfinance activities shall provide storage and online access to all versions of the source codes of the automated information system and security testing results that have been put into operation over the past 3 (three) years.

23. Data exchange between the client and server sides of the automated information system shall be encrypted using a version of the Transport encryption protocolLayerSecurity (Transport Layer Security) not lower than 1.2.

24. The web application shall provide:

1) unambiguous identification of the ownership of the web application of an organization engaged in microfinance activities (domain name, logos, corporate colours);

2) prohibition on storing authorization data in the browser’s memory;

3) masking of entered secrets;

cyber hygiene measures that are recommended to be followed when using the web application;

5) handling errors and exceptions securely, preventing sensitive data from being displayed in the client interface, and providing minimally sufficient information about the error.

25. The mobile application shall provide:

1) unambiguous identification of the ownership of a mobile application of an organization engaged in microfinance activities (data in the official application store, logos, corporate colours);

2) blocking the functionality for providing microcredits electronically to an organization engaged in microfinance activities, in case of detection of signs of integrity violation and (or) bypassing the security mechanisms of the operating system, detection of remote control processes;

3) notifying the client about the availability of updates to the mobile application;

4) the ability to force installation of mobile application updates or block the functionality of a mobile application before installing them in cases where it is necessary to eliminate critical vulnerabilities;

5) storing confidential data in a secure container of a mobile application or storage of system credentials;

6) exclusion of caching of confidential data;

7) exclusion of confidential data from backup copies of the mobile application;

8) informing the client about effective methods of ensuring cyber hygiene, which are recommended to be followed when using the mobile application;

9) informing the client about events of authorization under his account, changes and (or) recovery of the password, and changes in the mobile phone number registered by the organization carrying out microfinance activities;

10) during transactions with funds - transfer to the server software of an organization carrying out microfinance activities, geolocation data of a mobile device if there is permission from the client or transfer of information about the absence of such permission.

26. An organization carrying out microfinance activities shall provide on its side:

1) handling errors and exceptions securely, without disclosing confidential data in the response, providing minimally sufficient information to diagnose the problem;

2) identification and authentication of mobile applications and associated devices;

3) checking data for validity to prevent requests forgery and injection attacks.

27. Access to information in the automated information system shall be provided to employees of an organization carrying out microfinance activities to the extent necessary to perform their functional duties.

28. Access to the automated information system shall be carried out by identifying and authenticating employees of an organization carrying out microfinance activities.

29. The automated information system shall use functions for managing accounts and passwords, as well as blocking user accounts, determined by the internal document of the organization carrying out microfinance activities.

30. The automated information system shall be provided with technical support, which includes services for providing updates to the automated information system, including security updates.

31. The automated information system shall provide backup storage of data, files and settings, which ensures the restoration of its working copy.

32. In an organization carrying out microfinance activities, the maintenance and immutability of the audit trail of the automated information system shall be ensured, both at the organizational and technical levels.

33. To protect an automated information system, licensed anti-virus software or systems shall be used to ensure the integrity or control of the immutability of the software environment on workstations, laptops and mobile devices.

34. The organization carrying out microfinance activities shall ensure the safe storage of electronic messages and other documents provided to and received from the client, as well as data obtained during biometric identification of the client, observing their integrity and confidentiality for at least five years after the termination of the obligations of the parties under the microloan agreement.

Electronic messages, data and other documents shall be stored in the format in which they have been generated, sent to the client or received from him.

Footnote. Paragraph 34 – in the wording of the Resolution of the Board of the Agency of the Republic of Kazakhstan for Regulation and Development of the Financial Market dated 16.08.2024 № 58 (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

35. Biometric identification shall provide protection against the use of a static image or video recording to counterfeit the biometric data of the client by checking that the client shall perform non-repeating sequences of control movements during biometric identification.

Footnote. Paragraph 35 – in the wording of the Resolution of the Board of the Agency of the Republic of Kazakhstan for Regulation and Development of the Financial Market dated 16.08.2024 № 58 (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

36. If an organization carrying out microfinance activities has information about the illegal distribution of personal data of a client, the microfinance organization shall implement additional security measures, including, but not limited to:

1) repeated biometric identification of the client;

2) verifying the ownership of the customer's subscriber number by checking the individual identification number of the customer with the individual identification number of the owner of the subscriber number in the database of the mobile operator or obtaining information about the ownership of this subscriber number by checking the individual identification number of the customer in the database of mobile phone numbers of customers through the web portal "electronic government";

3) a verification call to the subscriber number of the client's cellular communication device specified by the client with informing the client about the theft of his personal data and a recommendation for the client to establish a voluntary refusal to issue loans.

Footnote. Chapter 3 as added by the paragraph 36 in accordance with the Decree of the Board of the Agency of the Republic of Kazakhstan for Regulation and Development of the Financial Market dated 16.08.2024 № 58 (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

37. If third parties are granted access to an automated information system or server capacities of an organization performing microfinance activities are located in third-party data processing centers (using external data processing and (or) storage services), the organization performing microfinance activities shall take the following information security measures:

1) reflecting in the relevant agreement, agreement with a third-party requirement for the protection of automated information systems of an organization engaged in microfinance activities and the right to verify by an organization engaged in microfinance activities the fulfillment of such requirements, as well as conditions for compensation for damage arising from violation of information security and operability of automated information systems;

2) exclusion of the possibility of access of third parties to information, the transfer of which to third parties shall not be allowed in accordance with the civil, banking legislation of the Republic of Kazakhstan, the legislation of the Republic of Kazakhstan on microfinance activities, the legislation of the Republic of Kazakhstan on personal data and their protection. For these purposes, a method of storing information in encrypted form with disclosure of information on the side of an organization engaged in microfinance activities shall be used. In this case, the encryption key is stored in an organization engaged in microfinance activities.

Footnote. Paragraph 3 as added by the paragraph 37 in accordance with the Resolution of the Board of the Agency of the Republic of Kazakhstan for Regulation and Development of the Financial Market dated 16.08.2024 № 58 (shall enter into force upon expiry of ten calendar days after the day of its first official publication).

Электрондық тәсілмен микрокредиттер беру қағидаларын бекіту туралы