PINnen over Zakelijk Internet Toelichting Aanvullende voorwaarden & Technische eisen

Transcriptie

1 PINnen over Zakelijk Internet Toelichting Aanvullende voorwaarden & Technische eisen

2 I nhoudsopgav e 1 Aanvullende voorwaarden PINnen over Zakelijk Internet Informatieplicht Auditplicht Rapportageplicht Service Level Agreement Verdere verplichtingen Contractant Boetereglement Slotbepalingen Technische Eisen Eisen aan het aan het klantnetwerk en de router Transactietijdeisen Beschikbaarheideisen Securityeisen...9 2

3 1 Aanvullende voorwaarden PINnen over Zakelijk Internet Dit document is een aanvulling op de "Aanvullende voorwaarden - PINnen over Zakelijk Internet". Het is geschreven voor partijen die meer informatie willen hebben over de eisen die vanuit Currence aan de datacommunicatie faciliteiten worden gesteld. Binnen het KPN domein zorgt KPN dat aan deze eisen wordt voldaan. Binnen het klantdomein is dit de verantwoordelijkheid van de Contractant. Door het accepteren van de Aanvullende voorwaarden - PINnen over Zakelijk Internet, verplicht de Contractant zich tot het naleven van deze eisen. In het bijzonder als de Contractant zelf een uitgebreid netwerk heeft om PINpads aan te sluiten op het Zakelijk Internet netwerk, dient Contractant op de hoogte te zijn van de eisen die Currence aan het netwerk stelt. Indien Contractant hier niet aan voldoet, kan dit ertoe leiden dat KPN door Currence verplicht wordt om de PINnen over Zakelijk Internet voor deze klant te beëindigen. 1.1 Informatieplicht De volgende documenten dienen op verzoek van KPN te worden overhandigd, door de partij (Contractant en/of business partner) die het lokale netwerk beheert, en de PINpads aansluit. 1. Bewijs van rechtspersoonlijkheid 2. Recent uittreksel van Kamer van Koophandel 3. Recent jaarverslag van de organisatie 4. Businessverwachtingen Pinnen over IP (zoals aantal aansluitingen, aantal PINpads en verwacht gebruik) 5. Een verklaring dat de onderneming recentelijk niet betrokken is geweest bij frauduleuze of criminele handelingen 1 6. Welke rol de Contractant (en/of business partner van KPN) vervult, welke activiteiten hij in welk netwerkdomein uitvoert en welke netwerkcomponenten hij gaat installeren en beheren 7. Op welke locaties/vestigingen activiteiten t.b.v. het lokale netwerk zullen worden uitgevoerd 1 Het aanvraagformulier voor de verklaring omtrent het gedrag rechtspersonen kunt u vinden op justitie.nl 3

4 1.2 Auditplicht De Contractant dient op schriftelijk verzoek van KPN alle noodzakelijke ondersteuning en medewerking te verlenen om de naleving van gestelde eisen en verplichtingen te kunnen vaststellen tijdens de door Currence geïnitieerde audits. Hiervoor zal de Contractant aan KPN (en de audit organisatie) toegang verlenen tot onder meer alle relevante locaties, systemen, documentatie en functionarissen. KPN spant zich in om deze audit maximaal één keer per jaar te laten plaatsvinden. 1.3 Rapportageplicht De Contractant dient op schriftelijk verzoek van KPN alle informatie te verschaffen die relevant is voor het gebruik van de PIN-faciliteit (zoals PINpad, verbinding en andere apparatuur); 1. Informatie over niveau dienstverlening zoals vastgelegd in dit document (een overzicht beschikbaarheid, storingen, reparatietijden) 2. Informatie aangaande eventuele frauduleuze activiteiten en/of eventuele (juridische, fiscale) claims 3. Alle informatie waarvan de Contractant weet of zou moeten weten dat deze van belang is voor KPN 1.4 Service Level Agreement Het netwerk mag niet zodanig worden belast dat het PINverkeer wordt gefrustreerd. De beschikbaarheid voor de componenten welke in het beheer zijn bij de Contractant dient 99,99% te zijn (dit betekent dat er bij benadering 8 uur per kalenderjaar (ongeplande) verstoringen mogen zijn). De beveiliging over de router op klantlocatie (betrouwbaarheid, integriteit, en vertrouwelijkheid) dient minimaal gelijk te zijn aan de beveiligingsnormen Zakelijk Internet van KPN. Deze normen staan beschreven in de dienstbeschrijving Zakelijk Internet van KPN. Deze dienstbeschrijving kunt u downloaden op kpn.com, trefwoord handleiding en is verkrijgbaar bij uw accountmanager van KPN. De componenten die in beheer zijn bij de Contractant mogen de prestaties van de totale datacommunicatieketen (betaalterminal tot Acquiring Processors) niet negatief beïnvloeden en dienen in overeenstemming te zijn met de kwaliteitsnormen Zakelijk Internet van KPN. De Contractant zal voldoen aan de eisen of afgeleide eisen zoals door Currence aan KPN gesteld. 1.5 Verdere verplichtingen Contractant Contractant zal alle in redelijkheid door KPN te verlangen medewerking, tijdig verlenen en in redelijkheid door KPN verstrekte aanwijzingen opvolgen. KPN is in elk geval gerechtigd in redelijkheid aanwijzingen te geven die de Contractant dient uit te voeren indien naar het oordeel van KPN de integriteit of continuïteit van de complete PIN-dienstverlening in gevaar komt of dreigt te komen. 4

5 1.6 Boetereglement Indien door Contractant in strijd met enige bepaling uit deze toelichting en/of de Aanvullende Voorwaarden handelt, zal Contractant in elk van deze gevallen het risico lopen dat KPN besluit tot het blokkeren van de PINnen over Zakelijk Internet Dienst. Dit laat overige rechten van KPN, zoals op schadevergoeding en nakoming, onverlet. 1.7 Slotbepalingen Contractant dient zorgvuldig te handelen en in overstemming met de door KPN gegeven voorschriften. Contractant draagt zorg voor de maatregelen van technische en organisatorische aard ter continuering en beveiliging van de dienstverlening. Contractant is jegens KPN te allen tijde verplicht van toepassing zijnde eisen en verplichtingen zoals beschreven in dit document na te leven. Indien in het netwerk van de Contractant geen mechanismen zijn geïmplementeerd die PIN-verkeer beschermen tegen congestie in de upstream richting, kan KPN Contractant voorlichten over het effect van mogelijk door hemzelf veroorzaakte congestie op de access line. 5

6 2 Technische Eisen In deze paragraaf worden de technische eisen beschreven die PIN B.V. stelt aan datacomnetwerken. Hoewel op enkele punten verschillende eisen worden gesteld aan verschillende netwerkdelen, kan KPN alleen voor het gehele datacomnetwerk een certificaat van PIN B.V. ontvangen. Deelcertificaten worden niet verstrekt. Opmerking 1: Bij een aantal van de in dit document genoemde eisen zijn geen concrete toetsingsnormen gegeven. Bij toetsing van deze eisen zal (richting Currence) aannemelijk moeten worden gemaakt, dat het datacomnetwerk van KPN aan deze eisen voldoet. Deze zelfde eis geldt voor de Contractant (richting KPN) m.b.t. het datacomnetwerk in het klantdomein. Opmerking 2: Het kan voorkomen dat de apparatuur (waaronder router, switch, SIM-kaart) op locatie van de Contractant niet in eigendom en/of beheer is van KPN. Aangezien de technische eisen bewust inclusief deze apparatuur gesteld zijn, moet de Contractant zorgdragen voor een goede performance hiervan. In figuur 1 is dit weergegeven als het klantnetwerk en eventueel CPE. Opmerking 3: De eisen die PIN B.V. stelt, hebben betrekking op het hele pad, vanaf de Pinpad t/m de interconnectieverbindingen naar de Acquiring Hosts. KPN en de Contractant en/of business partner, zijn gezamenlijk verantwoordelijk voor de naleving van deze eisen. De Contractant en/of business partner draagt hierbij de verantwoordelijkheid voor de eisen die betrekking hebben op het (niet door KPN beheerde) klantdomein. 2.1 Eisen aan het aan het klantnetwerk en de router De eisen die PIN B.V. aan klantnetwerk en router stelt, hebben betrekking op de transactietijd, beschikbaarheid en security van de dienstverlening door KPN en het netwerk van de Contractant en/of business partner van KPN. Het datacomnetwerk van de Datacomleverancier (KPN), dat gebruikt wordt voor het transport van elektronisch betalingsverkeer tussen de terminal bij een Contractant en de Acquiring host, heeft in het algemeen de volgende configuratie (zie Figuur 1). Een deel van het Access Netwerk kan echter los staan van de KPN dienstverlening en eigendom zijn, of beheerd worden, door de Contractant zelf of een business partner van KPN. Voor dit laatste deel van het netwerk is de Contractant en/of de business partner dan ook verantwoordelijk voor de naleving van de door PIN B.V. gestelde eisen. KPN beheert de koppeling naar de Acquiring processors vanaf het IS/RA punt. KPN s verplichtingen en verantwoordingen zijn van toepassing tot en met het IS/RA punt. De Contractant is verantwoordelijk voor de werking van alle apparatuur en de infrastructuur binnen het klantdomein, zoals de router (tenzij KPN deze beheert), de IP PINpad en alle verdere apparatuur en systemen. 6

7 betaalautoma(a)t(en) LAN Interconnectieverbindingen gateway naar AH Acquiring Host Access netwerk Core netwerk klantaansluiting ( CPE ) edge apparatuur (router, switch, ) datacomnetwerk systemen voor overige netwerkdiensten (zoals Internet) klantnetwerk CPE datacomnetwerk Figuur 1. Schematisch overzicht van het datacomnetwerk, dat de betaalautomaataansluiting op de locatie van de Contractant verbindt met de Acquiring host. De klantaansluiting kan zowel binnen als buiten het domein van KPN vallen. KPN is niet verantwoordelijk voor de registratie, de uitgifte, het beheer, het wijzigen of het intrekken van Adrescodes. Contractant verplicht zich jegens KPN te voldoen aan de voorschriften die met betrekking tot de registratie en het gebruik van Adrescodes zijn gesteld door de hiermee belaste instanties. KPN is niet verantwoordelijk voor het gebruik dat met behulp van de Adrescodes van Contractant van het Internet of van de op het Internet geboden diensten wordt gemaakt. 2.2 Transactietijdeisen Eis T01: Minimaal 95% van alle PIN-transacties tussen terminal en Acquiring host is voltooid binnen 1 seconde, exclusief de bijdragen aan deze transactietijd door terminal en Acquiring host. (Het gaat dus puur om de bijdrage van het datacomnetwerk aan de transactietijd.) Toelichting: PIN B.V. wil haar eisen aan Datacomleveranciers niet blokkeren voor technologische innovaties en daarom zijn deze technologieonafhankelijk geformuleerd. Voor de huidig voorkomende IP- en X.25- geldt dat eis T01 zich praktisch gezien als volgt laat vertalen: IP: 1 maal de round trip delay (tussen terminal en AH) gemeten door een ICMP bericht van 32 Bytes, plus 1 maal de round trip delay gemeten door een ICMP bericht van 144 bytes, dient korter dan 1 seconde te zijn in minimaal 95% van de gevallen. 7

8 2.3 Beschikbaarheideisen Eis B01: De beschikbaarheid van verbindingen tussen het koppelvlak betaalautomaat klantaansluiting (CPE) en het koppelvlak core netwerk Acquiring host (zie dubbele pijl in Figuur 2) is minimaal 99,6% op jaarbasis. betaalautoma(a)t(en) LAN Interconnectieverbindingen gateway naar AH Acquiring Host Access netwerk Core netwerk klantaansluiting ( CPE ) edge apparatuur (router, switch, ) systemen voor overige netwerkdiensten (zoals Internet) Figuur 2. Schematisch overzicht van het datacomnetwerk, dat de betaalautomaataansluiting op de locatie van de Contractant (gebruiker) verbindt met de Acquiring host. De stippellijnen geven de interfaces aan waarop eis B01 is gedefinieerd. Contractant zal zich inspannen het PINpad zo continu mogelijk aangesloten en in bedrijf te houden. Eis B02: Aanvullend aan eis B01 geldt een toegestane storingsduur (Time To Repair) voor een enkele storing. Deze is afhankelijk van het netwerkniveau binnen het datacomnetwerk en wordt gegeven door onderstaande tabel. Contractant of business partner dienen ervoor zorg te dragen dat reparatie van storingen binnen hun eigen domein aan de eerste twee normen van de tabel voldoet. Type storing CPE 2 Local loop Edge-router Core-netwerk Duur (Time To Repair) van een enkele storing Binnen 16 kantooruren Binnen 24 uur Binnen 8 uur Binnen 4 uur Tabel 1. Overzicht van de eisen aan maximale storingsoplossingstijd, afhankelijk van het netwerkniveau. 2 Indien CPE in beheer is bij KPN, zorgt KPN voor tijdige vervanging. Anders zorgt de Contractant hiervoor. 8

9 2.4 Securityeisen Eis S01: Contractant of business partner dienen ervoor zorg te dragen dat verbindingen binnen hun eigen domein volgens de correcte paden tot stand komen. Eis S02: Contractant of business partner dienen ervoor te zorgen dat de transactiestroom binnen hun eigen domein door geen andere partij kan worden gezien of benaderd dan de PIN-terminal en de Acquiring host. Eis S03: Contractant of business partner dienen ervoor te zorgen dat noch de PIN-terminal, noch de Acquiring host kan worden gezien of benaderd door andere partijen dan de Contractant en de Acquiring processor. Contractant zorgt ervoor dat zijn PINpads niet vanaf het Internet te benaderen zijn, bijvoorbeeld door gebruik te maken van een firewall. Eis S04: De interconnectiekoppeling mag alleen voor PIN- en terminalmanagementverkeer worden gebruikt. Eis S05: De netwerkelementen die gebruikt worden om PIN-verkeer te routeren, mogen slechts het verkeer doorrouteren en mogen zelf niet benaderbaar zijn, behalve door de netwerkbeheerders van KPN Eis S06: Het is niet toegestaan getransporteerde data op welke wijze dan ook te dupliceren of op te slaan. Eis S07: Contractant of business partner dienen het beheer dusdanig te hebben ingericht dat adequaat op beveiligingsincidenten kan worden gereageerd. 9

10 Begrippen Adrescodes Acquiring host Acquiring processor Currence Datacomleverancier Identificatiecodes die gebruikt worden tijdens de communicatie tussen PINpad en acquiring host. Deze worden door de PINpad-leverancier aangevraagd bij de acquiring processor en geconfigureerd in het PINpad. Apparatuur van de acquiring processor t.b.v. de communicatie met PINpads (op klantlocaties). Deze apparatuur verzorgt ondermeer de authenticatie van de PINpads. De partij die de betalingstransacties verwerkt in opdracht van banken. In veel gevallen is dit Equens (voorheen Interpay). Zie equens.nl en interpay.nl voor aanvullende informatie. Currence is een onafhankelijke organisatie die verantwoordelijk is voor nationale collectieve betaalproducten (zoals PINnen en Chipknip betalingen) en het faciliteren van marktwerking en transparantie met behoud van de kwaliteit en veiligheid van het betalingsverkeer in Nederland. Currence is op 1 januari 2005 opgericht. Currence bepaalt of partijen die betaalproducten aan willen bieden, voldoen aan de eisen en in aanmerking komen voor certificering. Zie currence.nl voor meer informatie. De leverancier van de datacommunicatie dienstverlening die nodig is om de PINpadapparatuur op locatie te verbinden met de apparatuur van een acquiring host. Voor PINnen over Zakelijk Internet is dit KPN. Datacom-subactiviteiten De activiteiten binnen het betalingsverkeer die benodigd zijn om datacommunicatie tussen PINpads en acquiring host mogelijk te maken. PIN B.V. PINpad PIN B.V. is eigenaar van het betaalformule PIN en merkhouder van het merk PIN en stelt vanuit die hoedanigheid eisen aan het product PIN. PIN B.V. is verantwoordelijk voor het beheren en de exploitatie van de door de vennootschap gehouden (nationale) handels- en beeldmerkrechten, handelsnamen, auteursrechten en overige rechten van industriële eigendom ten aanzien van, of verband houdend met, elektronisch geldverkeer door middel van Persoonlijke Identificatie Nummer (PIN) beveiligingsprocedures ter waarborging van de toepassing van de noodzakelijke technische- en beveiligingsstandaarden en van het elektronisch verkeer; houdster- en financieringsmaatschappij. Apparatuur op de locatie waarmee de PIN-kaart van betalers wordt gelezen. Ook wel PIN terminal genoemd. 10