Як безпечно ділитися документами для KYC

KYC (Know Your Customer) - обов'язкова процедура в ліцензованих казино і фінтех-сервісах. Але передача документів - момент підвищеного ризику: в хід йдуть фішинг, крадіжка файлів з пошти, «дзеркала» без HTTPS і випадкові витоки через хмари. Нижче - як гравцеві відправити документи максимально безпечно і що оператор зобов'язаний зробити зі свого боку.

Частина 1. Безпечна передача KYC-документів - кроки для гравця

1) Переконайтеся в автентичності каналу

Заходьте тільки з закладки на офіційний домен по https://( замок без помилок).

Передайте файли через вбудований KYC-портал в особистому кабінеті або мобільному додатку.

Не надсилайте документи в чати/месенджери/соцмережі та на особисті пошти співробітників.

Якщо від вас просять надіслати в пошту - уточніть в кабінеті. При крайній необхідності використовуйте захищений архів (див. п. 6).

2) Підготуйте правильні файли

Формат: кольоровий JPEG/PNG для фото або PDF для сканів.

Якість: без фільтрів, все читається; не обрізайте кути, не «покращуйте» нейромережами.

Що можна закрити:

на банківській виписці - приховуйте баланс/непов'язані операції, залишайте ПІБ, адресу, дату та реквізити, які запросив оператор;
на рахунку за комунальні послуги - можна приховати суми.
Що не можна закривати: ПІБ, дата народження, номер документа, фото, MRZ-зона і термін дії - якщо оператор просить повну копію. Дотримуйтесь офіційної інструкції: іноді допускається часткове приховування (наприклад, 6 з 8 цифр номера), іноді - ні.

3) Селфі/« liveness »- як зробити коректно

Фото без окулярів/капелюхів/фільтрів, гарне освітлення.

Якщо просять селфі з документом - тримайте поруч другий аркуш з написом: «Для KYC в <Бренд>, дата». Не закривайте дані документа, напис - на окремому папері, а не на самому документі.

4) Приберіть зайві метадані

Перед завантаженням видаліть EXIF (геолокацію/модель телефону) у властивостях файлу або через вбудований редактор. Для PDF - вимкніть «Track changes/Comments», збережіть як «плоский» документ.

5) Назви та порядок

Зрозуміло називайте файли: `ID_Petrov_2025-10-22. jpg`, `UtilityBill_Petrov_2025-09. pdf`.

Не кладіть документи в загальний «шарінг» - тільки адресне завантаження в KYC-портал.

6) Якщо все-таки пошта (як виняток)

Стисніть в.zip/.7z з AES-шифруванням, пароль передайте іншим каналом (наприклад, через повідомлення в кабінеті).

У темі листа не пишіть «паспорт/ID» - використовуйте нейтральні формулювання.

7) Перевірте підтвердження

Після завантаження дочекайтеся статусу в кабінеті (отримано/на перевірці/схвалено).

Увімкніть сповіщення про входи та зміни профілю; при дивній активності - терміново міняйте пароль і блокуйте сесії.

8) Терміни і права

Дізнайтеся термін зберігання (retention) і посилання на політику приватності.

У ліцензованому секторі у вас є права за GDPR/аналогами: доступ до даних, виправлення, обмеження обробки і видалення після закінчення обов'язкових термінів.

Частина 2. Що зобов'язаний забезпечити оператор (щодо прийому і зберігання KYC)

A) Захищений прийом

Повний HTTPS/TLS 1. 2/1. 3, HSTS, заборона mixed-content, сувора CSP; mTLS і шифрування «за CDN».

In-app/KYC-портал: завантаження тільки після логіна, одноразові secure-links із закінченням терміну.

Антифішинг: DMARC (p = reject), MTA-STS/TLS-RPT, CT-моніторинг доменів-двійників.

B) Мінімізація та валідація

Запитувати тільки необхідне (SoF/SoW - по порогах).

Ясні правила маскування зайвих полів у виписках; список допустимих форматів і прикладів.

C) Захист файлів і ключів

Шифрування at rest, сегрегація мереж, доступ за найменшими привілеями.

KMS + HSM для ключів, ротація і аудит.

Антивірус/сенінг вкладень, «пісочниця» для шкідливих файлів.

D) Процеси та аудит

Ведення незмінних журналів доступу (хто дивився/копіював), DLP-альберти.

Формальні терміни зберігання та автоматичне видалення з актом/логом.

Навчання саппорту: ніякого «скидання за датою народження», тільки за регламентом.

Канал DSAR (Data Subject Access Request) і SLA на відповіді користувачеві.

E) UX і прозорість

Покроковий майстер завантаження з прикладами «що закрити/що залишити».

Видимий статус заявки, ETA і перелік відсутніх документів.

Сторінка «Безпека даних»: цілі, база прав, терміни, контакти DPO.

Часті помилки і як їх уникнути

Помилка	Чим небезпечно	Як правильно
Відправка документів в Telegram/пошту менеджеру	Втрата контролю, витоку з поштових скриньок	Тільки KYC-портал; пошта - шифрований архів в крайньому випадку
Завантаження на «дзеркало» без HTTPS	MITM, крадіжка облікового запису та документів	Завжди перевіряйте https://і домен буква-в-букву
Перефотошоплені «улучшалки»	Відмова через «підозру на редагування»	Без фільтрів; світло/різкість - ок, але не змінюйте вміст
Закрили критичні поля на ID	Повторна перевірка, затримки виплати	Дотримуйтесь інструкцій: закривати можна тільки те, що дозволено
Файли з геометками/EXIF	Зайві персональні дані	Видаляйте EXIF перед завантаженням
Публічне посилання на хмару	Доступ сторонніх, індексація	Тільки приватні посилання з експірацією або пряме завантаження в портал

Чек-лист для гравця (роздрукувати)

Заходжу на сайт за https://з закладки; домен без «підмін».
Завантажую тільки через KYC-портал (не через чати/пошту).
Підготував читані файли без фільтрів; EXIF вилучено.
На виписках маскую зайве за інструкцією.
Селфі/лист з написом «для KYC в <Бренд>, дата» (якщо потрібно).
Отримав статус в кабінеті; включені повідомлення про входи/зміни.
Знаю, де подивитися терміни зберігання і як подати запит на видалення після терміну.

Чек-лист для оператора

HTTPS/TLS 1. 2/1. 3, HSTS, CSP; шифрування «за CDN», mTLS для внутрішніх API.
KYC-портал з secure-links і закінченням, без «прийому поштою».
Політика мінімізації: чітко, що запитуємо і як маскувати зайве.
Шифрування at rest; KMS + HSM; доступ за ролями; логи доступу і DLP.
Вбудований антивірус/пісочниця, сканування EXIF/метаданих.
Retention і авто-видалення; DSAR-канал; навчання саппорту.
Антифішинг: DMARC (p = reject), CT-моніторинг, попередження в кабінеті.

Міні-FAQ

Чи можна заклеїти частину номера документа?

Тільки якщо це явно дозволено інструкцією. Інакше - надайте повну копію.

Чому не приймати через e-mail?

Пошта часто стає джерелом витоків. Кращий вбудований KYC-портал; пошта - тільки з шифрованим архівом і паролем по іншому каналу.

Чи потрібно видаляти файли після верифікації?

Гравцеві - так, у себе локально. Оператор зберігає за законом/ліцензією в межах обумовлених термінів.

Навіщо видаляти EXIF?

В EXIF бувають геометки і деталі пристрою - це зайві персональні дані, вони не потрібні для перевірки.

Безпечна передача KYC-документів - це дві дії: (1) використовувати правильний канал (офіційний KYC-портал по HTTPS) і (2) мінімізувати зайві дані (видалити метадані, маскувати тільки дозволене). З боку оператора критичні захищена інфраструктура, мінімізація, строгі процеси доступу і зрозуміла комунікація. Такий підхід одночасно прискорює верифікацію, захищає приватність і знижує ризики для всіх.