Titre 3 - De la qualité de service, de la sécurité des transactions financières et de la protection des consommateurs
Chapitre 1 - De la qualité de service
Art. 22
Les fournisseurs et les opérateurs de téléphonie mobile sont tenus de s’assurer du bon fonctionnement de leurs plateformes, afin de répondre à leurs obligations de qualité de service vis-à-vis des utilisateurs.
Art. 23
La durée maximale de la session est de cent vingt secondes.
Le délai de déconnexion « Time out » ne doit pas être inférieur à soixante secondes.
Chapitre 2 - De la sécurité des transactions financières
Section 1 - De l’autorisation d’exploitation des données financières
Art. 24
L’agence de régulation des transferts de fonds (ARTF) est chargée de donner au fournisseur de services à valeur ajoutée (FSVA) agréé par I’ARPCE, une autorisation préalable pour l’exploitation des Codes USSD pour les services financiers.
Art. 25
L’agence de régulation des transferts de fonds (ARTF) délivre une certification aux fournisseurs et acteurs agréés par l’ARPCE afin d’exploiter le canal USSD pour effectuer des transactions financières.
Section 2 - Du contrat d’exploitation du Code USSD format pour les XXXX services financiers
Art. 26
Le contrat d’exploitation du Code USSD format XXXX entre le fournisseur de services à valeur ajoutée (FSVA) ou l’acteur non-opérateur de téléphonie mobile (NTOM) ou les fintechs ou les agrégateurs de paiements et l’opérateur de téléphonie mobile est librement négocié et de bonne foi. Toutefois, l’ARPCE ou l’ARTF met à disposition des contrats types pour organiser la collaboration entre fournisseurs ou acteurs ou fintechs ou agrégateurs et opérateurs, conformément au dispositif prévu à l’article 15 de la présente loi.
Section 3 - Des modalités d’exploitation
Art. 27
L’agence de régulation des transferts de fonds (ARTF) définit les modalités de cryptage, de sécurisation, d’audit et de rétention des données financières transmises par le canal USSD.
Les données financières transmises par les canaux USSD doivent être chiffrées, en vue de protéger l’intégrité de l’information financière.
Art. 28
Les fournisseurs de services à valeur ajoutée (FSVA) ou les acteurs non-opérateurs de téléphonie mobile (NTOM) ou les fintechs ou les agrégateurs de paiements utilisant les canaux USSD doivent mettre en place un mécanisme d’authentification spécifique permettant de s’assurer que les requêtes/réponses sont générées par des utilisateurs authentifiés, conformément aux instructions techniques définies par l’agence de régulation des transferts de Fonds (ARTF).
Art. 29
Les fournisseurs de services à valeur ajoutée (FSVA) ou les acteurs non -opérateurs de téléphonie mobile (NTOM), ou les fintechs ou les agrégateurs de paiements instaurent un mécanisme d’authentification avec une combinaison minimale, comprenant I’IMSI, la date de changement de cartes SIM, la date de recyclage du numéro de l’abonné (MSISDN), l’identité internationale de l’équipement mobile (IMEI), la date du changement du terminal, et toute autre solution ou moyen technique permettant cette authentification.
Art. 30
Les fournisseurs de services à valeur ajoutée (FSVA) ou les acteurs non-opérateurs de téléphonie mobile (NTOM), ou les fintechs ou les agrégateurs de paiements sont tenus de s’assurer que le client reçoit une notification du statut de chaque transaction effectuée par le canal USSD.
Art. 31
Les fournisseurs de services à valeur ajoutée (FSVA) ou les acteurs non-opérateurs de téléphonie mobile (NTOM), ou les fintechs ou les agrégateurs de paiements sont interdits d’utiliser le service USSD pour relayer les détails des canaux bancaires électroniques à leurs clients, et ce, pour éviter de les compromettre via le canal USSD.
Section 4 - Du cryptage de données financières
Art. 32
Les fournisseurs de services à valeur ajoutée (FSVA) ou les acteurs non-opérateurs de téléphonie mobile (NTOM) ou les fintechs ou les agrégateurs de paiements doivent enregistrer une copie encryptée, horodatée et certifiée de chaque transaction financière sur les registres décentralisés de l’agence de régulation des transferts de fonds (ARTF).
Art. 33
Les fournisseurs de services à valeur ajoutée (FSVA) ou les acteurs non-opérateurs de téléphonie mobile (NTOM) ou les fintechs ou les agrégateurs de paiements assurent le cryptage des informations USSD au sein de son environnement, par un processus qui peut être audité par l’agence de régulation des transferts de fonds (ARTF).
Toutefois, dans le cadre du contrôle des acteurs de services financiers, les directions des institutions financières nationales jouent pleinement leur rôle conformément aux textes en vigueur.
Art. 34
Les fournisseurs de services à valeur ajoutée (FSVA) ou les acteurs non-opérateurs de téléphonie mobile (NTOM) ou les fintechs ou les agrégateurs de paiements sont tenus d’assurer au moins, le cryptage de l’interface radio entre le terminal embarquant la SIM des utilisateurs et la station de base.
Art. 35
Les fournisseurs de services à valeur ajoutée (FSVA) ou les acteurs non-opérateurs de téléphonie mobile (NTOM) ou les fintechs ou les agrégateurs de paiements doivent effectuer la transmission sécurisée des signaux USSD entre les agrégateurs USSD et l’institution ou les institutions financières concernées.
Section 5 - Du stockage des données financières
Art. 36
Les fournisseurs de services à valeur ajoutée (FSVA) ou les acteurs non-opérateurs de téléphonie mobile (NTOM) ou les fintechs ou les agrégateurs de paiements s’assurent que les informations du client qui sont enregistrées par ou dans l’application USSD dans le cadre des transactions financières, n’incluent pas des informations sensibles telles que le Code PIN du client.
Art. 37
Les fournisseurs de services à valeur ajoutée (FSVA) ou les acteurs non-opérateurs de téléphonie mobile (NTOM) ou les fintechs ou les agrégateurs de paiements s’assurent que les données stockées par des applications USSD des établissements financiers sont cryptées, et répondent à un minimum de sécurité standard.
Art. 38
Les fournisseurs de services à valeur ajoutée (FSVA) ou les acteurs non-opérateurs de téléphonie mobile (NTOM) ou les fintechs ou les agrégateurs de paiements donnent aux clients, la possibilité d’activer et de se désactiver du canal USSD, pour des transactions financières.
Art. 39
Les fournisseurs de services à valeur ajoutée (FSVA) ou les acteurs non-opérateurs de téléphonie mobile (NTOM) ou les fintechs ou les agrégateurs de paiements exigent aux clients, d’utiliser une double authentification, pour toute transaction financière supérieure à un million de FCFA.
Chapitre 3 - De la protection des consommateurs
Art. 40
Tout exploitant, opérateur ou utilisateur d’un Code USSD est tenu :
- au respect strict des règles liées à la sécurité et à la protection des données à caractère personnel ;
- à la confidentialité des transactions effectuées sur sa plateforme.
Art. 41
Les opérateurs de téléphonie mobile sont tenus de respecter le principe du libre choix du consommateur d’accéder aux services de paiement mobile indépendamment de leurs réseaux d’appartenance.
