KYC үшін құжаттарды қалай қауіпсіз бөлісуге болады

KYC (Know Your Customer) - лицензияланған казиноларда және финтех-сервистерде міндетті рәсім. Бірақ құжаттарды беру - жоғары тәуекел сәті: фишинг, поштадан файлдарды ұрлау, HTTPS-сіз «айналар» және бұлттар арқылы кездейсоқ жылыстау. Төменде - ойыншы ретінде құжаттарды барынша қауіпсіз және оператор өз тарапынан не істеуге міндетті.

1-бөлім. KYC құжаттарын қауіпсіз беру - ойыншыға арналған қадамдар

1) Арнаның түпнұсқалығына көз жеткізіңіз

Тек https ://( қатесіз құлыптау) бойынша ресми доменге кіріңіз.

Файлдарды жеке кабинетте немесе мобильді бағдарламада кірістірілген KYC порталы арқылы жіберіңіз.

Құжаттарды чаттарға/мессенджерлерге/әлеуметтік желілерге және қызметкерлердің жеке пошталарына жібермеңіз.

Егер сізден поштаға жіберуді сұраса, кабинетте нақтылаңыз. Қажет болған жағдайда қорғалған мұрағатты пайдаланыңыз (6-тармақты қараңыз).

2) Дұрыс файлдарды дайындаңыз

Пішім: Сурет үшін түрлі-түсті JPEG/PNG немесе сканерлер үшін PDF.

Сапасы: сүзгісіз, бәрі оқылатын; бұрыштарды кесіп тастамаңыз, нейронды желілермен «жақсартпаңыз».

Не жабуға болады:

банктік үзіндіде - балансты/байланысты емес операцияларды жасырыңыз, оператор сұратқан ТАӘ, мекен-жайды, күнін және деректемелерін қалдырыңыз;
коммуналдық қызметтер шотында - соманы жасыруға болады.
Егер оператор толық көшірмені сұраса, оны жабуға болмайды: аты-жөні, туған күні, құжаттың нөмірі, фотосуреті, MRZ-аймағы және қолданылу мерзімі. Ресми нұсқаулықты орындаңыз: кейде ішінара жасыруға жол беріледі (мысалы, нөмірдің 8 санынан 6-сы), кейде - жоқ.

3) Селфи/« liveness »- қалай дұрыс жасау керек

Фотосурет көзілдіріксіз/қалпақсыз/сүзгісіз, жақсы жарықтандыру.

Егер құжатпен бірге селфи сұраса, «KYC үшін <Бренд>, күні» деген жазуы бар екінші парақты қатар ұстаңыз. Құжаттың деректерін жаппаңыз, жазба - құжаттың өзінде емес, жеке қағазда.

4) Артық метадеректерді алып тастаңыз

Жүктеу алдында EXIF (геолокация/телефон үлгісі) файлдың сипаттарында немесе орнатылған өңдегіш арқылы жойыңыз. PDF үшін - «Track changes/Comments» өшіріңіз, «тегіс» құжат ретінде сақтаңыз.

5) Атаулары мен тәртібі

Файлдарды түсінікті түрде атаңыз: 'ID _ Petrov _ 2025-10-22. jpg`, `UtilityBill_Petrov_2025-09. pdf`.

Құжаттарды ортақ «шарингке» қоймаңыз - тек KYC-порталына мекенжайлық жүктеу.

6) Егер пошта болса (ерекшелік ретінде)

.zip/.7z бағдарламасын AES шифрлауымен қысыңыз, құпия сөзді басқа арнамен (мысалы, кабинеттегі хабар арқылы) беріңіз.

Хаттың тақырыбында «төлқұжат/ID» жазбаңыз - бейтарап тұжырымдарды пайдаланыңыз.

7) Растауды тексеріңіз

Жүктегеннен кейін, кабинеттегі жағдайды күтіңіз (алынды/тексерілді/мақұлданды).

Кіріс және профайлдағы өзгерістер туралы ескертулерді қосыңыз; қызық әрекет кезінде - құпия сөзді жедел өзгертіп, сессияларды бұғаттаңыз.

8) Мерзімдер мен құқықтар

Сақтау мерзімін (retention) және құпиялылық саясатына сілтемені біліңіз.

Лицензияланған секторда сізде GDPR/аналогтар бойынша құқықтар бар: деректерге қол жеткізу, түзету, өңдеуді шектеу және міндетті мерзімдер аяқталғаннан кейін жою.

2-бөлім. Оператор не қамтамасыз етуге міндетті (KYC қабылдау және сақтауға қатысты)

A) Қорғалған тәсіл

Толық HTTPS/TLS 1. 2/1. 3, HSTS, тыйым mixed-content, қатаң CSP; mTLS және шифрлау «CDN үшін».

In-app/KYC-портал: тек логиннен кейін жүктеу, мерзімі өткен бір реттік secure-links.

Антифишинг: DMARC (p = reject), MTA-STS/TLS-RPT, қосарланған домендердің CT-мониторингі.

B) Барынша азайту және валидация

Тек қажеттіні сұрату (SoF/SoW - табалдырықтар бойынша).

Үзінділердегі артық өрістерді бүркемелеудің айқын ережелері; жарамды пішімдер мен мысалдар тізімі.

C) Файлдар мен кілттерді қорғау

at rest шифрлау, желілерді сегрегациялау, ең аз артықшылықтар бойынша қол жеткізу.

Кілттер, ротация және аудит үшін KMS + HSM.

Антивирус/сэнинг тіркемелері, зиянды файлдар үшін «құмсалғыш».

D) Процестер және аудит

Өзгермейтін кіру журналдарын жүргізу (кім көрді/көшірді), DLP-алерта.

Актімен/журналмен бірге сақтаудың формальды мерзімдері және автоматты түрде жою.

Саппортты оқыту: «туған күні бойынша лақтыру» жоқ, тек регламент бойынша.

Пайдаланушының жауаптарына DSAR (Data Subject Access Request) және SLA арнасы.

E) UX және ашықтық

«Не жабу/не қалдыру» мысалдары бар қадамдық жүктеу шебері.

Өтінімнің көрінетін мәртебесі, ETA және жетіспейтін құжаттардың тізбесі.

Деректер қауіпсіздігі беті: мақсаттар, құқықтар базасы, мерзімдер, DPO контактілері.

Жиі қателер және оларды болдырмау

Қате	Қауіпті	Қалай дұрыс
Құжаттарды Telegram/пошта менеджеріне жіберу	Бақылаудың жоғалуы, пошта жәшіктерінен ағуы	Тек KYC-портал; пошта - шифрланған мұрағат
HTTPS жоқ «айнаға» жүктеу	MITM, аккаунт пен құжаттарды ұрлау	Әрқашан https ://және доменнің әріптерін тексеріңіз
Қайта тігілген «жақсартқыштар»	«Редакциялауға күдік» себебінен бас тарту	Сүзгісіз; жарық/өткірлік - жақсы, бірақ мазмұнын өзгертпеңіз
ID-дегі сыни өрістер жабылды	Қайта тексеру, төлеуді кешіктіру	Нұсқауларды орындаңыз: тек рұқсат етілгендерді жабуға болады
Геометриялық белгісі бар файлдар/EXIF	Артық дербес деректер	Жүктеу алдында EXIF-ті жойыңыз
Ашық бұлт сілтемесі	Бөгде адамдардың кіруі, индекстеу	Экспирацияланған жеке сілтемелер немесе порталға тікелей жүктеу

Ойыншыға арналған чек парағы (басып шығару)

https ://бетбелгіден сайтқа кіру; «амалсыз» домен.
Тек KYC порталы арқылы жүктеймін (сөйлесу/пошта арқылы емес).
Сүзгісіз оқылатын файлдарды дайындады; EXIF жойылды.
Үзінділерде нұсқау бойынша артық нәрсе жасырамын.
«KYC үшін <Бренд>, күні» деген жазуы бар селфи/парақ (егер талап етілсе).
Кабинетте мәртебе алды; кіріс/өзгерістер туралы хабарландырулар қосылды.
Сақтау мерзімін қайда қарауды және мерзімнен кейін алып тастауға сұрау салуды қалай беруді білемін.

Оператор үшін чек парағы

HTTPS/TLS 1. 2/1. 3, HSTS, CSP; ішкі API үшін «CDN», mTLS үшін шифрлау.
KYC-порталы secure-links және мерзімі өткен, «пошта арқылы қабылданбаған».
Азайту саясаты: не сұрағанымыз анық және артық нәрсені қалай бүркемелеу керек.
at rest шифрлау; KMS + HSM; рөлдер бойынша қол жеткізу; қол жеткізу логтары және DLP.
Кіріктірілген антивирус/құмсалғыш, EXIF/метадеректерді сканерлеу.
Retention және авто жою; DSAR арнасы; саппортты оқыту.
Антифишинг: DMARC (p = reject), CT-мониторинг, кабинеттегі ескертулер.

Mini-FAQ

Құжат нөмірінің бір бөлігін желімдеуге бола ма?

Егер бұл нұсқаулықта анық рұқсат етілсе ғана. Әйтпесе - толық көшірмесін ұсыныңыз.

Неге e-mail арқылы қабылдамау керек?

Пошта жиі жылыстау көзіне айналады. Кіріктірілген KYC-порталы артықшылықты; пошта - тек шифрланған мұрағаты және басқа арна бойынша құпия сөзі бар.

Тексеруден кейін файлдарды жою керек пе?

Ойыншыға - иә, жергілікті. Оператор заң/лицензия бойынша келісілген мерзім шегінде сақтайды.

EXIF неліктен жойылады?

EXIF-те геометрлер мен құрылғының бөлшектері бар - бұл артық дербес деректер, олар тексеру үшін қажет емес.

KYC құжаттарын қауіпсіз беру - екі әрекет: (1) дұрыс арнаны пайдалану (HTTPS бойынша ресми KYC порталы) және (2) артық деректерді барынша азайту (метадеректерді жою, рұқсат етілгендерді жасыру). Оператор тарапынан қорғалған инфрақұрылым, барынша азайту, қатаң қолжетімділік процестері және түсінікті коммуникация сындарлы. Мұндай тәсіл бір мезгілде верификациялауды жеделдетеді, құпиялылықты қорғайды және барлығы үшін тәуекелдерді төмендетеді.