等保密。对客户基本信息资料、交易账户信息等信息的使用，不得超出法律许可和客户授权的范围。
第五十六条 支付机构应采用适当的加密技术和措施，保证支付指令、交易数据传输的真实、完整、不可抵赖和不被窃取。
第五十七条 支付机构应采取必要措施保护交易数据的完整性和可靠性：
（一）制定相应的风险控制策略，防止支付业务处理系统发生有意或无意的危害支付交易数据完整性和可靠性的变化；
（二）制定应急计划和业务连续性计划;
（三）防止交易数据在传送、处理、存储、使用中被非法篡改，且任何非法篡改的企图都能被及时发现并记录；
第五十八条 支付机构应采取必要措施为交易数据保密： （一）对交易数据的访问应经合理授权和确认；
（二）交易数据须以安全方式保存，并防止其在公共、私人或内部网络上传输时被擅自查看或非法截取；
（三）当第三方获取交易数据时，必须符合有关法律法规的规定以及本机构关于数据使用和保护的标准与控制制度；
（四）对交易数据的访问均须登记，并确保该登记不被篡改。 第五十九条 支付机构应确保对互联网支付业务处理系统的操作人员、管理人员以及系统服务商有合理的授权控制：
（一）确保进入交易账户或敏感系统所需的认证数据免遭篡改和破坏。对此类篡改都应是可侦测的，而且审计监督应能恰当
11
地反映出这些篡改的企图；
（二）对认证数据进行的任何查询、添加、删除或更改都应得到必要授权，并具有不可篡改的日志记录。日志记录按会计档案的管理要求进行保存，保存期限不少于5年。
第六十条 支付机构采用数字证书或电子签名方式进行客户身份认证和支付交易授权的，应由合法的第三方认证机构提供认证服务。
第六十一条 支付机构应建立互联网支付业务运作重大事项报告制度，及时向所在地中国人民银行分支机构报告业务经营过程中发生的风险事件。
第六十二条 支付机构应制定有效的应急计划和风险处理预案，并定期对该计划和预案进行检测。
第六十三条 支付机构应建立内部审计机制，定期对互联网支付业务、支付业务处理系统进行审计。
第五章 纪律与责任
第六十四条 支付机构未尽交易账户审核责任，为其客户开立非实名交易账户，并由此造成付款人损失的，支付机构承担赔偿责任。
第六十五条 支付机构不得拖延更新客户交易账户资料的请求，不得故意延压客户资金，对差错交易取得的不当得利，负有返还义务。
12
支付机构在约定时间内未及时将款项转入客户交易账户的，应按约定承担相应责任。
第六十六条 支付机构应加强对交易信息、交易资料的保管，不得泄露、破坏客户资料信息。
第六十七条 客户发现交易账户被盗用或遗失，应按与支付机构约定的方式和程序及时通知支付机构，并按双方约定进行处理。
第六十八条 支付机构有下列情形之一、给相关当事人造成损失的，应依法承担民事赔偿责任。中国人民银行责令其限期改正，并给予警告或处1万元以上3万元以下罚款；情节严重的，中国人民银行吊销其《支付业务许可证》。构成犯罪的，依法追究刑事责任。
（一）未按实名制原则为客户开立交易账户的；
（二）未按本办法规定使用、止付、撤销交易账户，或未为交易账户关联同名银行账户的；
（三）未按本办法规定记录、保存、使用客户个人信息、交易信息的；
（四）未建立有效的业务管理制度、内部控制制度和风险管理措施的；
（五）运营的支付业务处理系统及其备份系统的服务器未按规定设臵在中华人民共和国境内的；
（六）未制定有效的应急计划、风险处理预案和内部审计机
13
制的；
（七）未按本办法规定处理互联网支付业务差错、公开披露相关信息的；
（八）未及时向中国人民银行及其分支机构报送信息资料的； （九）违反本办法的其他行为。
第六章 附则
第六十九条 本办法由中国人民银行负责解释和修订。 第七十条 本办法自发布之日起实施。
14