راهنمای کامل احراز هویت شاپرک و مراحل ثبت‌نام در سامانه

احراز هویت در شبکه الکترونیکی پرداخت کارت (شاپرک)، فرآیندی است که طی آن هویت واقعی دارنده کارت یا پذیرنده درگاه‌های پرداخت با اطلاعات ثبت‌شده در مراجع قانونی تطبیق داده می‌شود. هدف اصلی این اقدام، افزایش امنیت تراکنش‌های مالی، جلوگیری از پولشویی، کاهش کلاهبرداری‌های اینترنتی مانند فیشینگ و اطمینان از این موضوع است که مالکیت شماره موبایل، کد ملی و شماره کارت بانکی همگی متعلق به یک شخص واحد باشد. این فرآیند تحت نظارت مستقیم بانک مرکزی انجام می‌گردد.

سامانه نهاب (نظام هویت‌سنجی الکترونیکی بانکی) به عنوان مخزن مرکزی اطلاعات هویتی مشتریان بانکی عمل می‌کند و برای هر مشتری یک شناسه منحصر‌به‌فرد «شهاب» صادر می‌کند. در مقابل، شاپرک بر روی شبکه پرداخت و تراکنش‌ها تمرکز دارد. در واقع شاپرک برای تایید هویت کاربران در اپلیکیشن‌های پرداخت و درگاه‌ها، از داده‌های سامانه نهاب و سامانه شاهکار استعلام می‌گیرد. بنابراین نهاب زیرساخت هویتی کل بانک‌هاست، اما شاپرک لایه نظارتی بر ابزارهای پرداخت و کارتخوان‌ها محسوب می‌شود.

بله، طبق بخشنامه‌های جدید بانک مرکزی، تمامی کارت‌های بانکی که قصد استفاده از خدمات پرداخت الکترونیک مانند خرید آنلاین، انتقال وجه کارت‌به‌کارت در اپلیکیشن‌ها و یا استفاده از کیف پول‌های دیجیتال را دارند، باید مرحله احراز هویت و تطبیق با کد ملی را پشت سر بگذارند. بدون انجام این فرآیند، دسترسی کاربر به بسیاری از خدمات غیرحضوری مسدود شده و تنها از طریق خودپردازهای فیزیکی یا مراجعه حضوری به بانک امکان مدیریت محدود حساب وجود خواهد داشت.

سامانه شاهکار (شبکه احراز هویت کاربران ارتباطی) نقش کلیدی در تطبیق شماره موبایل با کد ملی دارد. در شاپرک، برای اینکه یک تراکنش (مثلاً کارت‌به‌کارت) تایید شود، سیستم ابتدا از شاهکار استعلام می‌گیرد تا مطمئن شود سیم‌کارتی که اپلیکیشن روی آن نصب شده، متعلق به همان شخصی است که کد ملی او برای کارت بانکی ثبت شده است. این زنجیره امنیتی (کد ملی + شماره موبایل + شماره کارت) مانع از سوءاستفاده سارقان از کارت‌های بانکی دیگران در اپلیکیشن‌های موبایلی می‌شود.

بله، اتباع خارجی که دارای کد فراگیر معتبر و اجازه اقامت قانونی هستند، می‌توانند با ثبت اطلاعات خود در سامانه نهاب و دریافت شناسه اختصاصی، از خدمات شبکه شاپرک استفاده کنند. این افراد باید دقت کنند که شماره موبایل آن‌ها نیز باید با کد فراگیرشان در سامانه شاهکار ثبت شده باشد. فرآیند احراز هویت این افراد ممکن است به دلیل استعلامات امنیتی بیشتر، کمی طولانی‌تر از شهروندان ایرانی باشد اما در نهایت امکان استفاده از درگاه‌های پرداخت و اپلیکیشن‌ها برای آن‌ها فراهم است.

اجباری شدن احراز هویت در این اپلیکیشن‌ها به دلیل جلوگیری از جابجایی وجوه حاصل از فعالیت‌های غیرقانونی مانند قمار، شرط‌بندی و کلاهبرداری‌های پانزی است. پیش از این، افراد می‌توانستند با سیم‌کارت دیگران و کارت بانکی شخص ثالث اقدام به انتقال وجه کنند که ردیابی مجرم را دشوار می‌کرد. اکنون با الزامات شاپرک، هرگونه فعالیت مالی در اپلیکیشن‌ها مستقیماً به هویت واقعی مالک سیم‌کارت و کارت متصل است که امنیت فضای سایبری کشور را به شدت ارتقا داده است.

در هنگام خرید فیزیکی، احراز هویت به معنای تطبیق موبایل انجام نمی‌شود، زیرا حضور فیزیکی کارت و وارد کردن رمز اول توسط مشتری به منزله تایید اولیه است. اما احراز هویت در اینجا برای «پذیرنده» یا همان صاحب فروشگاه بسیار سخت‌گیرانه است. صاحب دستگاه کارتخوان باید قبلاً در سامانه شاپرک و سازمان امور مالیاتی احراز هویت کامل شده باشد. برای مشتریان نیز در تراکنش‌های با مبالغ بسیار بالا، محدودیت‌هایی وجود دارد که ممکن است نیاز به ارائه مدارک شناسایی به بانک صادرکننده کارت داشته باشد.

احراز هویت سطح ۱ معمولاً شامل تطبیق کد ملی و شماره موبایل است که اجازه انجام تراکنش‌های خرد و روزمره را به کاربر می‌دهد. اما در احراز هویت سطح ۲، که برای مبالغ بالاتر یا دریافت درگاه پرداخت شخصی (IPG) الزامی است، اطلاعات تکمیلی مانند تصویر کارت ملی، تاییدیه پستی آدرس محل سکونت و گاهی ویدئوی سلفی برای تشخیص زنده بودن (Liveness Detection) دریافت می‌شود. شاپرک برای امنیت بیشتر، به مرور تمامی خدمات را به سمت احراز هویت‌های چندعاملی و سطح بالا سوق می‌دهد.

ابتدا کاربر شماره موبایل خود را وارد کرده و کد تایید پیامکی را ثبت می‌کند. در مرحله بعد، سیستم از طریق سامانه شاهکار بررسی می‌کند که آیا سیم‌کارت به نام کد ملی اعلامی هست یا خیر. سپس کاربر باید اطلاعات کارت بانکی خود را وارد کند. شاپرک در این مرحله «تطبیق شماره کارت با کد ملی» را بررسی می‌کند. در صورت موفقیت‌آمیز بودن تمامی استعلامات، کارت در اپلیکیشن ثبت شده و کاربر می‌تواند خدماتی مانند کارت‌به‌کارت یا موجودی را دریافت کند. این فرآیند معمولاً کمتر از یک دقیقه زمان می‌برد.

در این حالت احراز هویت شما با خطا مواجه خواهد شد. طبق قوانین شاپرک و بانک مرکزی، هیچ راه میان‌بری وجود ندارد. شما باید ابتدا به دفاتر پیشخوان دولت یا نمایندگی‌های اپراتور تلفن همراه خود مراجعه کرده و مالکیت سیم‌کارت را به نام خود تغییر دهید یا یک سیم‌کارت جدید به نام خود تهیه کنید. پس از گذشت ۲۴ تا ۴۸ ساعت از تغییر مالکیت و بروزرسانی سامانه شاهکار، می‌توانید مجدداً در اپلیکیشن‌های پرداخت اقدام به احراز هویت و ثبت کارت بانکی نمایید.

برای دریافت درگاه پرداخت، فرآیند بسیار پیچیده‌تر است. متقاضی ابتدا باید در سامانه مالیاتی ثبت‌نام کرده و کد رهگیری مالیاتی دریافت کند. سپس در سایت شرکت‌های PSP یا پرداخت‌یارها اطلاعات خود را بارگذاری نماید. شاپرک از طریق سامانه «هویار»، اطلاعات هویتی، کد مالیاتی، و آدرس وب‌سایت را بررسی می‌کند. همچنین تطبیق شماره شبا بانکی با کد ملی متقاضی الزامی است. پس از تایید نهایی توسط کارشناسان شاپرک، درگاه پرداخت فعال شده و ترمینال مربوطه در شبکه پرداخت کشور تعریف می‌گردد.

کاربران عادی می‌توانند وضعیت تایید کارت‌های خود را در بخش «مدیریت کارت» اپلیکیشن‌های معتبر مشاهده کنند. اما پذیرندگان و صاحبان کسب‌وکار برای پیگیری دقیق‌تر باید به سامانه جامع پذیرندگان شرکت پرداخت طرف قرارداد خود مراجعه کنند. همچنین شاپرک سامانه‌ای به نام «امانت» و «هویار» دارد که شرکت‌های پرداخت از طریق آن وضعیت را استعلام می‌کنند. در صورت بروز مشکل، بهترین راه تماس با پشتیبانی شرکت PSP (پرداخت الکترونیک) است که دستگاه یا درگاه را از آن‌ها دریافت کرده‌اید.

اشخاص حقوقی (شرکت‌ها) باید مدارکی شامل شناسه ملی شرکت، آگهی تاسیس، آخرین تغییرات روزنامه رسمی، کد اقتصادی و اطلاعات هویتی صاحبان امضا (کارت ملی و شناسنامه) را ارائه دهند. علاوه بر این، شماره موبایل معرفی شده برای پنل‌های مدیریتی باید به نام یکی از صاحبان امضا باشد. شاپرک همچنین حساب بانکی معرفی شده را بررسی می‌کند تا حتماً به نام خود شرکت (شخص حقوقی) باشد و نه حساب شخصی مدیرعامل؛ این موضوع برای شفافیت مالیاتی بسیار حائز اهمیت است.

بله، به محض نصب اپلیکیشن پرداخت روی گوشی جدید، فرآیند احراز هویت از ابتدا آغاز می‌شود. سیستم مجدداً شماره موبایل را با کد ملی شما تطبیق می‌دهد. برخی اپلیکیشن‌ها برای امنیت بیشتر، در صورت تغییر دستگاه، کارت‌های بانکی ذخیره شده قبلی را نمایش نمی‌دهند و شما باید یک بار دیگر با استفاده از رمز دوم یا سرویس‌های استعلامی، مالکیت خود بر آن کارت‌ها را در دستگاه جدید اثبات کنید. این کار برای جلوگیری از دسترسی افراد غیرمجاز به اطلاعات مالی شما در صورت سرقت گوشی قبلی است.

برای کاربران عادی در اپلیکیشن‌های موبایلی، فرآیند استعلام از شاهکار و نهاب به صورت آنی (Real-time) انجام می‌شود و معمولاً در کمتر از ۳۰ ثانیه نتیجه اعلام می‌گردد. اما برای پذیرندگان درگاه پرداخت و کارتخوان، فرآیند بررسی مدارک، استعلام کد مالیاتی و تایید توسط شاپرک ممکن است بین ۲۴ تا ۷۲ ساعت کاری زمان ببرد. در موارد خاص که نیاز به بازدید حضوری از محل کسب یا بررسی‌های امنیتی بیشتر باشد، این زمان ممکن است تا یک هفته نیز افزایش یابد.

ابتدا از تطابق دقیق کد ملی و شماره موبایل خود مطمئن شوید. اگر سیم‌کارت به نام شماست اما خطا دریافت می‌کنید، ممکن است اطلاعات شما در سامانه شاهکار بروز نباشد که در این صورت باید با اپراتور تماس بگیرید. اگر خطا مربوط به شماره کارت است، احتمالاً اطلاعات هویتی شما در بانک صادرکننده کارت ناقص است و باید به شعبه بانک مراجعه کنید تا اطلاعات شما در سامانه نهاب اصلاح شود. در نهایت، پاک کردن حافظه کش اپلیکیشن یا بروزرسانی آن به آخرین نسخه نیز می‌تواند مشکلات فنی گذرا را حل کند.

این مکانیزم شامل یک فراخوانی API بین سوئیچ شاپرک و سامانه نهاب بانک مرکزی است. وقتی شما شماره کارت ۱۶ رقمی را وارد می‌کنید، شاپرک درخواستی حاوی این شماره و کد ملی شما را به نهاب ارسال می‌کند. نهاب در پایگاه داده خود بررسی می‌کند که آیا این کارت خاص متعلق به این کد ملی هست یا خیر. پاسخ به صورت Boolean (بله/خیر) بازگردانده می‌شود. این فرآیند بدون نمایش سایر اطلاعات حساب به اپلیکیشن واسط، امنیت و حریم خصوصی را حفظ کرده و صحت مالکیت را تایید می‌کند.

شاپرک از پروتکل‌های رمزنگاری پیشرفته مانند SSL/TLS برای انتقال داده‌ها استفاده می‌کند. تمامی اطلاعات حساس مانند شماره کارت و کدهای ملی به صورت Hash شده یا رمزنگاری شده در دیتابیس‌ها ذخیره می‌شوند تا حتی در صورت نفوذ احتمالی، قابل بهره‌برداری نباشند. علاوه بر این، شاپرک دارای استانداردهای سخت‌گیرانه امنیتی مشابه PCI-DSS است و به طور دوره‌ای تست‌های نفوذ (Penetration Testing) را بر روی تمامی زیرساخت‌های متصل به شبکه پرداخت انجام می‌دهد تا از عدم نشت اطلاعات اطمینان حاصل کند.

در سیستم‌های جدید شاپرک، به جای ارسال مستقیم اطلاعات کارت در هر مرحله، از مفهوم «توکن‌سازی» (Tokenization) استفاده می‌شود. پس از اولین احراز هویت موفق، یک توکن امنیتی منحصر‌به‌فرد برای آن کارت و آن دستگاه خاص تولید می‌شود. در تراکنش‌های بعدی، به جای شماره کارت، این توکن جابجا می‌شود. این کار باعث می‌شود که حتی اگر ترافیک شبکه شنود شود، اطلاعات اصلی کارت فاش نگردد. این توکن‌ها دارای تاریخ انقضا هستند و فقط در بستر همان اپلیکیشن معتبر می‌باشند.

این خطا زمانی رخ می‌دهد که متد استعلامی ارسال شده به وب‌سرویس شاهکار، پاسخ منفی برمی‌گرداند. از نظر فنی، این یعنی در دیتابیس سازمان تنظیم مقررات و ارتباطات رادیویی، شماره موبایل ارسالی با کد ملی وارد شده جفت نشده است. دلایل فنی می‌تواند شامل تاخیر در بروزرسانی دیتابیس اپراتور پس از تغییر مالکیت، وجود کاراکترهای غیرمجاز در کد ملی ارسالی، یا حتی قطعی موقت سرویس API شاهکار باشد که در این حالت سیستم‌های شاپرک به صورت خودکار تراکنش را متوقف می‌کنند.

در حال حاضر شاپرک مستقیماً داده‌های بیومتریک (مانند اثر انگشت یا تشخیص چهره) را ذخیره نمی‌کند، اما اجازه می‌دهد اپلیکیشن‌های پرداخت از قابلیت‌های بیومتریک گوشی‌های هوشمند برای باز کردن برنامه یا تایید تراکنش‌های خرد استفاده کنند. با این حال، در پروژه‌های جدید بانک مرکزی، استفاده از ویدئوی سلفی و تطبیق چهره با تصویر کارت ملی در ثبت احوال (Liveness Detection) برای احراز هویت‌های سطح بالا در حال پیاده‌سازی است که امنیت را به سطح بسیار بالاتری می‌برد.

سامانه هویار (سامانه جامع مدیریت پذیرندگان) به عنوان هسته مرکزی مدیریت هویت در شاپرک عمل می‌کند. وظیفه فنی این سامانه، یکپارچه‌سازی اطلاعات پذیرندگان کارتخوان و درگاه پرداخت است. هویار به صورت خودکار به سامانه‌های سازمان امور مالیاتی، ثبت احوال و شرکت پست متصل است. وقتی یک درخواست جدید برای درگاه ثبت می‌شود، هویار تمام استعلامات لازم را به صورت خودکار انجام داده و در صورت تایید، کد ترمینال و کد پذیرندگی را صادر می‌کند تا در شبکه پرداخت فعال شود.

شاپرک و شرکت‌های PSP از مکانیزم‌های Rate Limiting و Throttling استفاده می‌کنند. اگر یک آدرس IP یا یک شماره موبایل بیش از تعداد مجاز در یک بازه زمانی کوتاه (مثلاً ۵ بار در دقیقه) اقدام به ارسال درخواست احراز هویت با اطلاعات غلط کند، سیستم به صورت خودکار آن کاربر را برای مدتی مسدود می‌کند. همچنین استفاده از کپچا (CAPTCHA) در درگاه‌ها و اپلیکیشن‌ها مانع از فعالیت ربات‌ها برای تست کردن شماره کارت‌ها و کدهای ملی مختلف می‌شود.

هاب فناوران مالی به عنوان یک لایه واسط، دسترسی پرداخت‌یارها به سرویس‌های احراز هویت شاپرک را تسهیل کرده است. از نظر فنی، این هاب باعث می‌شود که استانداردسازی در ارسال درخواست‌ها ایجاد شود و پایداری سرویس‌ها افزایش یابد. با استفاده از این زیرساخت، خطاهای ناشی از پیاده‌سازی‌های متفاوت در شرکت‌های مختلف کاهش یافته و شاپرک می‌تواند نظارت دقیق‌تر و متمرکزتری بر جریان احراز هویت و تراکنش‌های عبوری از پرداخت‌یارها داشته باشد.

برای کاربران عادی که از اپلیکیشن‌های پرداخت برای ثبت کارت یا انجام تراکنش استفاده می‌کنند، فرآیند احراز هویت معمولاً رایگان است و هزینه‌ای بابت استعلام شاهکار یا نهاب از مشتری دریافت نمی‌شود. هزینه‌های مربوط به این استعلامات طبق قراردادهای داخلی بین بانک مرکزی، شاپرک و اپراتورها تسویه می‌گردد. با این حال، برخی سرویس‌های خاص مانند استعلام چک صیادی یا خدمات پیشرفته اعتبارسنجی ممکن است کارمزدهای مصوب ناچیزی داشته باشند که قبل از انجام به اطلاع کاربر می‌رسد.

ثبت‌نام و احراز هویت در سامانه شاپرک برای دریافت کارتخوان به خودی خود هزینه‌ای ندارد. اما شرکت‌های PSP ممکن است بابت نصب، راه‌اندازی، ودیعه دستگاه یا هزینه‌های مربوط به سیم‌کارت داخل دستگاه مبالغی را دریافت کنند. همچنین پذیرنده باید هزینه‌های جانبی مانند دریافت گواهی امضای الکترونیک (در صورت نیاز) یا هزینه‌های پستی تایید آدرس را پرداخت کند. به طور کلی، فرآیند اداری و سیستمی در شاپرک رایگان است اما خدمات لجستیکی و سخت‌افزاری شامل هزینه می‌شوند.

احراز هویت به تنهایی باعث کسر مالیات نمی‌شود، اما طبق قانون پایانه‌های فروشگاهی، تمامی درگاه‌های پرداخت و کارتخوان‌ها باید به پرونده مالیاتی متصل باشند. در واقع احراز هویت در شاپرک، اطلاعات درآمدی شما را برای سازمان امور مالیاتی شفاف می‌کند. مالیات بر اساس حجم تراکنش‌ها و سود کسب‌وکار شما محاسبه می‌شود، نه بر اساس صرفِ انجام احراز هویت. برای کاربران عادی که فقط کارت‌به‌کارت انجام می‌دهند، این موضوع فعلاً جنبه مالیاتی مستقیم ندارد مگر اینکه حجم تراکنش‌ها از سقف تجاری عبور کند.

شرکت‌های پرداخت‌یار موظف هستند بابت هر استعلام هویتی (مانند تطبیق کد ملی و موبایل) که از طریق زیرساخت‌های شاپرک انجام می‌دهند، کارمزد مشخصی را به شرکت‌های ارائه دهنده سرویس پرداخت کنند. این مبالغ معمولاً در فاکتورهای ماهانه شاپرک برای پرداخت‌یارها لحاظ می‌شود. نرخ این کارمزدها توسط بانک مرکزی تعیین شده و به صورت دوره‌ای بروزرسانی می‌گردد. پرداخت‌یارها معمولاً این هزینه را از پذیرندگان خود دریافت نمی‌کنند و آن را جزو هزینه‌های عملیاتی خود محسوب می‌کنند.

اگر بابت خدماتی (مانند خرید دستگاه کارتخوان یا اشتراک یک اپلیکیشن) هزینه‌ای پرداخت کرده باشید و سپس در مرحله احراز هویت شاپرک رد شوید، بازگشت وجه تابع قوانین قراردادی آن شرکت است. در اکثر موارد، اگر رد صلاحیت به دلیل ارائه اطلاعات دروغین یا ممنوعیت‌های قانونی فرد باشد، ممکن است بخشی از هزینه به عنوان جریمه کسر شود. اما اگر مشکل فنی باشد یا فرد شرایط لازم را نداشته باشد، معمولاً مبلغ پس از کسر هزینه‌های اداری ناچیز، به حساب فرد بازگردانده می‌شود.

بله، برنامه‌نویسان و صاحبان کسب‌وکارهای نوپا که می‌خواهند از APIهای احراز هویت (مانند شاهکار یا استعلام بانکی) در پلتفرم خود استفاده کنند، باید با شرکت‌های معتبر ارائه دهنده این سرویس‌ها (مانند جیبیت، فینوتک و غیره) قرارداد ببندند. این شرکت‌ها بابت هر فراخوانی موفق API، مبلغی را به عنوان کارمزد دریافت می‌کنند. قیمت‌ها معمولاً به صورت پله‌ای است؛ یعنی با افزایش تعداد استعلام‌ها در ماه، هزینه هر استعلام کاهش می‌یابد. این هزینه‌ها صرف نگهداری زیرساخت و پرداخت سهم سازمان‌های دولتی می‌شود.

یکی از مراحل احراز هویت پذیرندگان شاپرک، تایید کد پستی محل فعالیت است. این کار معمولاً از طریق سرویس تاییدیه پستی شرکت پست انجام می‌شود. هزینه این سرویس طبق تعرفه‌های رسمی شرکت پست (که معمولاً سالانه تغییر می‌کند) دریافت می‌شود. مامور پست به محل مراجعه کرده و با چک کردن مدارک، حضور پذیرنده در آن مکان را تایید می‌کند. این هزینه جدا از هزینه‌های بانکی بوده و مستقیماً به حساب شرکت پست واریز می‌گردد تا امنیت فیزیکی کسب‌وکار تایید شود.

خیر، بروزرسانی اطلاعات هویتی مانند تغییر شماره موبایل یا آدرس در سامانه‌هایی مثل هویار یا اپلیکیشن‌های پرداخت معمولاً شامل هزینه نمی‌شود. هدف شاپرک تشویق کاربران به داشتن اطلاعات دقیق و بروز است. تنها در صورتی که نیاز به صدور مجدد کارت بانکی یا تغییرات اساسی در روزنامه رسمی شرکت (برای اشخاص حقوقی) باشد، هزینه‌های مربوط به آن سازمان‌ها (بانک یا ثبت شرکت‌ها) باید پرداخت شود، اما خودِ فرآیند اصلاح داده در دیتابیس شاپرک رایگان است.

مهم‌ترین سند قانونی در این زمینه، بخشنامه سال ۱۴۰۰ بانک مرکزی است که تمامی بانک‌ها و شرکت‌های پرداخت را موظف کرد تا تراکنش‌های بدون حضور کارت (CNP) را منوط به تطبیق شماره موبایل و کد ملی کنند. همچنین «قانون پایانه‌های فروشگاهی و سامانه مودیان» مصوب سال ۱۳۹۸، زیربنای قانونی اتصال درگاه‌های پرداخت به پرونده‌های مالیاتی را فراهم کرد. عدم رعایت این الزامات توسط شرکت‌های پرداخت، منجر به جریمه‌های سنگین و حتی ابطال مجوز فعالیت آن‌ها توسط شاپرک خواهد شد.

استفاده از کارت بانکی شخص دیگر، حتی با رضایت او، در اپلیکیشنی که به نام شما احراز هویت شده، می‌تواند مصداق «اجاره کارت» تلقی شود. طبق قانون مبارزه با پولشویی، این کار جرم محسوب شده و در صورت بروز هرگونه تخلف مالی یا کلاهبرداری، مسئولیت حقوقی و کیفری مستقیماً متوجه صاحب حساب و صاحب سیم‌کارت خواهد بود. مسدود شدن دائم تمامی حساب‌های بانکی در شبکه شتاب و محرومیت از خدمات بانکی به مدت چندین سال، از جمله مجازات‌های سنگین این اقدام است.

شاپرک به عنوان بازوی نظارتی بانک مرکزی، تنها در چارچوب قانون و مصوبات شورای عالی امنیت فضای مجازی و قوانین مبارزه با پولشویی فعالیت می‌کند. اطلاعات کاربران تنها با مراجع ذی‌صلاح قضایی، سازمان امور مالیاتی (در حد نیاز قانونی) و نهادهای امنیتی در صورت وجود پرونده قانونی به اشتراک گذاشته می‌شود. طبق قوانین حریم خصوصی، شاپرک و PSPها حق فروش اطلاعات یا استفاده تبلیغاتی از داده‌های هویتی و تراکنشی کاربران را ندارند و موظف به حفظ محرمانگی کامل هستند.

ماده ۱۱ این قانون صراحتاً بیان می‌کند که بانک مرکزی موظف است با همکاری سازمان امور مالیاتی، نسبت به ساماندهی دستگاه‌های کارتخوان و درگاه‌های پرداخت اقدام کند. طبق این قانون، هر دستگاهی که احراز هویت نشده و کد مالیاتی نداشته باشد، باید توسط شاپرک مسدود شود. این قانون باعث شد تا بیش از چندین میلیون دستگاه کارتخوان که هویت مالکان آن‌ها نامشخص بود یا فعالیت مالیاتی نداشتند، از شبکه پرداخت کشور حذف شوند و انضباط مالی شدیدی برقرار گردد.

در صورت بروز هرگونه نشت اطلاعات که ناشی از ضعف امنیتی در زیرساخت‌های شاپرک یا شرکت‌های تحت نظارت آن باشد، طبق قانون جرایم رایانه‌ای و مسئولیت مدنی، شاپرک و شرکت خاطی مسئول جبران خسارات وارده به کاربران هستند. نهادهای نظارتی مانند پدافند غیرعامل و پلیس فتا بر امنیت این سیستم‌ها نظارت دارند. کاربران حق دارند در صورت بروز چنین حوادثی، از طریق مراجع قضایی اقدام به طرح شکایت کنند. البته شاپرک با پیاده‌سازی استانداردهای امنیتی لایه‌بندی شده، احتمال بروز چنین وقایعی را به حداقل رسانده است.

افراد بین ۷ تا ۱۸ سال که دارای کارت بانکی دانش‌آموزی یا نوجوان هستند، می‌توانند با کد ملی خود و شماره موبایلی که به نام خودشان (یا در برخی موارد والدین با شرایط خاص) ثبت شده، احراز هویت محدود انجام دهند. اما برای دریافت درگاه پرداخت یا دستگاه کارتخوان، داشتن حداقل ۱۸ سال تمام و کارت پایان خدمت یا معافیت (برای آقایان در برخی موارد) و یا گواهی اشتغال به تحصیل الزامی است. افراد زیر ۱۸ سال از نظر قانونی «غیررشید» محسوب شده و نمی‌توانند مسئولیت حقوقی یک کسب‌وکار را در شبکه شاپرک بپذیرند.

به محض ثبت فوت در سامانه ثبت احوال، اطلاعات به صورت خودکار به سامانه نهاب و سپس شاپرک منتقل می‌شود. در این حالت، تمامی درگاه‌های پرداخت و کارتخوان‌های متصل به کد ملی متوفی به صورت سیستمی مسدود می‌گردند. وراث قانونی نمی‌توانند از درگاه متوفی استفاده کنند و باید پس از انجام انحصار ورثه، برای دریافت درگاه جدید به نام خود یا یکی از وراث با موافقت سایرین اقدام کنند. استفاده از درگاه متوفی پس از فوت، تخلف قانونی بوده و می‌تواند منجر به جریمه‌های مالیاتی سنگین شود.

اگرچه ایران عضو رسمی معاهدات GDPR نیست، اما ساختار احراز هویت در شاپرک بسیاری از اصول مشابه مانند «حداقل بودن داده‌های جمع‌آوری شده» و «هدفمند بودن پردازش داده‌ها» را رعایت می‌کند. شاپرک تلاش کرده است تا با بومی‌سازی استانداردهای امنیتی پرداخت (مانند PCI-DSS)، لایه‌های حفاظتی را به گونه‌ای طراحی کند که با استانداردهای جهانی همخوانی داشته باشد. این موضوع برای آینده و اتصال احتمالی شبکه پرداخت ایران به شبکه‌های بین‌المللی (مانند میر روسیه یا سیستم‌های دیگر) بسیار حیاتی و الزامی است.

بهترین راه برای جلوگیری از سوءاستفاده، عدم ارائه کد تایید (OTP) ارسال شده به موبایل به افراد غیر است. کلاهبرداران اغلب با تماس تلفنی و ادعای اینکه از پشتیبانی شاپرک یا بانک هستند، سعی در دریافت این کد دارند. باید بدانید که هیچ نهاد رسمی برای احراز هویت از شما درخواست کد تایید به صورت تلفنی نمی‌کند. همچنین همیشه از اپلیکیشن‌های رسمی و وب‌سایت‌های دارای نماد اعتماد الکترونیک استفاده کنید و قبل از وارد کردن اطلاعات، آدرس مرورگر را چک کنید که حتماً با پروتکل https و دامنه صحیح باشد.

طبق قوانین بانکی و مبارزه با پولشویی، اطلاعات تراکنش‌ها و سوابق هویتی مرتبط با آن‌ها باید حداقل به مدت ۱۰ سال در سیستم‌های بانکی نگهداری شوند. بنابراین امکان «حذف کامل» اطلاعات وجود ندارد. با این حال، شما می‌توانید حساب خود را در یک اپلیکیشن ببندید یا درگاه پرداخت خود را ابطال کنید. در این صورت اطلاعات شما «غیرفعال» می‌شود اما سوابق قبلی برای مراجع قانونی محفوظ می‌ماند. این کار برای ردیابی مالی در صورت بروز شکایات قضایی در آینده الزامی است و حقی برای حذف آن توسط کاربر وجود ندارد.

کد پستی به عنوان شناسه مکان فیزیکی کسب‌وکار در احراز هویت شاپرک عمل می‌کند. طبق قانون، هر پایانه پرداخت باید در یک مکان مشخص و ثبت شده فعالیت کند. اگر یک دستگاه کارتخوان از آدرس ثبت شده خود به مکان دیگری منتقل شود، شاپرک حق دارد آن را مسدود کند. این کار برای جلوگیری از فعالیت‌های غیرمجاز در مکان‌های نامعلوم و همچنین تعیین حوزه مالیاتی دقیق پذیرنده انجام می‌شود. تطبیق کد پستی با آدرس اعلامی از طریق استعلام آنلاین از شرکت پست انجام می‌گیرد.

کسب‌وکارهای خانگی نیز مشمول همان قوانین کلی هستند، اما تسهیلاتی برای آن‌ها در نظر گرفته شده است. این افراد می‌توانند با دریافت «اینماد بدون ستاره» و کد مالیاتی به عنوان شخص حقیقی، در شاپرک احراز هویت شوند. برای این دسته از کاربران، آدرس منزل به عنوان محل کسب پذیرفته می‌شود، اما همچنان تطبیق کد ملی، شماره موبایل و شماره شبا الزامی است. شاپرک با این کار سعی کرده است تا ضمن حفظ نظارت قانونی، مانع از فعالیت کسب‌وکارهای کوچک و خانگی در فضای مجازی نشود.

در صورت تغییر اطلاعات شناسنامه‌ای، ابتدا باید اطلاعات خود را در بانک صادرکننده کارت بروزرسانی کنید. بانک این تغییرات را در سامانه نهاب ثبت می‌کند. پس از بروزرسانی نهاب، سیستم شاپرک در استعلام بعدی به طور خودکار اطلاعات جدید را دریافت خواهد کرد. اگر پذیرنده درگاه هستید، باید مدارک شناسایی جدید خود را برای شرکت PSP ارسال کنید تا در سامانه هویار اصلاح گردد. عدم تطابق نام در کارت بانکی و اطلاعات ثبت احوال می‌تواند منجر به شکست در فرآیند احراز هویت و مسدود شدن موقت درگاه شود.