Агуулга

• ХЭСЭГ I. НИЙТЛЭГ ҮНДЭСЛЭЛ (1–5 дугаар зүйл)
• ХЭСЭГ II. БАЙГУУЛЛАГЫН БҮРТГЭЛ, ЭРХ БАРИГЧ (6–7 дугаар зүйл)
• ХЭСЭГ III. ТӨЛӨӨЛЛИЙН ЭРХ (8–13 дугаар зүйл)
• ХЭСЭГ IV. ГАРЫН ҮСЭГ ҮҮСГЭХ, ТҮЛХҮҮРИЙН АЮУЛГҮЙ БАЙДАЛ (14–16 дугаар зүйл)
• ХЭСЭГ V. БҮРТГЭЛ, ТАЙЛАН, АУДИТЫН МӨР (17–18 дугаар зүйл)
• ХЭСЭГ VI. ИТГЭГЧ ТАЛЫН НӨХЦӨЛ (19–20 дугаар зүйл)
• ХЭСЭГ VII. СУВГИЙН ТҮНШИЙН НӨХЦӨЛ (21–22 дугаар зүйл)
• ХЭСЭГ VIII. ҮЙЛЧИЛГЭЭНИЙ ТҮВШИН (23–25 дугаар зүйл)
• ХЭСЭГ IX. НУУЦЛАЛ, ОЮУНЫ ӨМЧ, ХОРИГЛОХ ЗҮЙЛ (26–28 дугаар зүйл)
• ХЭСЭГ X. ХУВИЙН МЭДЭЭЛЭЛ, МЭДЭЭЛЛИЙН АЮУЛГҮЙ БАЙДАЛ (29–31 дүгээр зүйл)
• ХЭСЭГ XI. БАТАЛГАА, ХАРИУЦЛАГА (32–34 дүгээр зүйл)
• ХЭСЭГ XII. ҮЙЛЧИЛГЭЭ ТҮДГЭЛЗҮҮЛЭХ, ГЭРЭЭ ЦУЦЛАХ (35–36 дугаар зүйл)
• ХЭСЭГ XIII. ДАВАГДАШГҮЙ ХҮЧИН ЗҮЙЛ (37 дугаар зүйл)
• ХЭСЭГ XIV. НӨХЦӨЛИЙН ӨӨРЧЛӨЛТ, МЭДЭГДЭЛ, МАРГААН (38–41 дүгээр зүйл)
• ХАВСРАЛТ 1–4

ХЭСЭГ I. НИЙТЛЭГ ҮНДЭСЛЭЛ

1 дүгээр зүйл. Талууд

1.1. Энэхүү бүтээгдэхүүн, үйлчилгээний нөхцөл /цаашид «Нөхцөл» гэх/ нь «Гэрэгэ Системс» ХХК /улсын бүртгэлийн дугаар: 6235972; цаашид «Үйлчилгээ үзүүлэгч» гэх/ болон Нөхцөлийг хүлээн зөвшөөрсөн этгээдийн хооронд үүсэх харилцааг зохицуулна.

1.2. Нөхцөл дараах этгээдэд хамаарна:

1.2.1. Байгууллага — үйлчилгээнд бүртгүүлсэн хуулийн этгээд;

1.2.2. Эрх баригч — Байгууллагыг итгэмжлэлгүйгээр төлөөлөх эрх бүхий этгээд /Цахим гарын үсгийн тухай хуулийн 7.2/;

1.2.3. Төлөөлөгч — Эрх баригчийн олгосон цахим итгэмжлэлийн үндсэн дээр Байгууллагыг төлөөлж гарын үсэг зурах эрх авсан хүн /Цахим гарын үсгийн тухай хуулийн 7.3/;

1.2.4. Итгэгч тал — гарын үсгийг шалгаж, түүнд итгэн үйлдэл гүйцэтгэгч байгууллага /мерчант, төрийн байгууллага, аж ахуйн нэгж/;

1.2.5. Сувгийн түнш — Үйлчилгээг өөрийн платформд суулгаж түгээх талаар Үйлчилгээ үзүүлэгчтэй гэрээ байгуулсан хуулийн этгээд.

1.3. Нөхцөл нь зөвхөн Үйлчилгээ үзүүлэгчийн e-ID бүтээгдэхүүн, үйлчилгээнд хамаарах бөгөөд Үйлчилгээ үзүүлэгчийн бусад бүтээгдэхүүн, үйлчилгээнд хамаарахгүй.

2 дугаар зүйл. Нөхцөлийн хамрах хүрээ, эрэмбэ

2.1. Нөхцөл нь Үйлчилгээ үзүүлэгчийн цахим хуудсанд байнга нээлттэй байршина /Цахим гарын үсгийн тухай хуулийн 22.1/.

2.2. Нөхцөл нь талуудын хооронд байгуулсан гэрээний салшгүй хэсэг болно.

2.3. Арилжааны нөхцөл — үнэ, тариф, эзлэхүүний амлалт, хөнгөлөлт, төлбөрийн хуваарь болон бусад арилжааны зохицуулалтыг Нөхцөлд тусгахгүй. Эдгээрийг талууд тус тусад нь байгуулах Арилжааны хавсралтаар зохицуулна.

2.4. Баримт бичиг хоорондоо зөрчилдвөл дараах эрэмбээр хэрэглэнэ:

(а) Монгол Улсын хууль тогтоомжийн шаардлага;

(б) Үйлчилгээ үзүүлэгчийн гэрчилгээжүүлэх үйл ажиллагааны журам /CPS/;

(в) талуудын байгуулсан үндсэн гэрээ;

(г) Арилжааны хавсралт;

(д) энэхүү Нөхцөл;

(е) Нөхцөлийн хавсралтууд.

2.5. Төрийн нууцад хамаарах мэдээлэлд Үйлчилгээг ашиглахыг хориглоно /Цахим гарын үсгийн тухай хуулийн 3.1/.

3 дугаар зүйл. Бүтээгдэхүүн, үйлчилгээний төрөл

3.1. Нөхцөл дараах бүтээгдэхүүн, үйлчилгээнд хамаарна:

3.2. Харилцагчид үзүүлэх бүтээгдэхүүний бүрэлдэхүүнийг Арилжааны хавсралтаар тодорхойлно. Нөхцөлийн зохицуулалт нь зөвхөн тухайн харилцагчид үзүүлж байгаа бүтээгдэхүүнд хамаарна.

4 дүгээр зүйл. Нэр томьёо

4.1. Нөхцөлд хэрэглэсэн нэр томьёог Цахим гарын үсгийн тухай хуулийн 4 дүгээр зүйлд заасан утгаар ойлгоно. Түүнчлэн:

5 дугаар зүйл. Гэрээ байгуулах, хүчин төгөлдөр болох, хугацаа

5.1. Нөхцөл дараах аль нэг хэлбэрээр хүчин төгөлдөр болно:

(а) Харилцагч Платформ дээр Нөхцөлийг хүлээн зөвшөөрснөөр;

(б) талууд үндсэн гэрээнд гарын үсэг зурснаар.

5.2. Гэрээний хугацаа нь Арилжааны хавсралтад заасан хугацаа байх бөгөөд заагаагүй тохиолдолд нэг жил байна. Талуудын аль нь ч хугацаа дуусахаас 30 хоногийн өмнө цуцлах тухай мэдэгдэл гаргаагүй бол гэрээ мөн хугацаагаар сунгагдсанд тооцно.

5.3. Гэрчилгээ эзэмшигчтэй байгуулах харилцааг Цахим гарын үсгийн тухай хуулийн 16.6-д заасан гэрээ болон Үйлчилгээ үзүүлэгчийн гэрчилгээ эзэмшигчид зориулсан нөхцөлөөр зохицуулна.

ХЭСЭГ II. БАЙГУУЛЛАГЫН БҮРТГЭЛ, ЭРХ БАРИГЧ

6 дугаар зүйл. Бүртгэл үүсгэх, баталгаажуулах

6.1. Байгууллагын бүртгэлийг зөвхөн Эрх баригч нээнэ.

6.2. Эрх баригчийг дараах байдлаар шалгана /Цахим гарын үсгийн тухай хуулийн 16.2/:

(а) хувийн тоон гарын үсгийн гэрчилгээ хүчинтэй эсэх;

(б) хуулийн этгээдийн улсын бүртгэлд тухайн этгээд итгэмжлэлгүйгээр төлөөлөх эрх бүхий этгээд гэж бүртгэгдсэн эсэх;

(в) хуулийн этгээдийн улсын бүртгэлийн гэрчилгээ хүчинтэй эсэх.

6.3. Гэрээний 6.2/б/-д заасан шалгалтыг Үйлчилгээ үзүүлэгч улсын бүртгэлийн байгууллагын мэдээллийн сангаас автоматаар гүйцэтгэнэ. Автомат шалгалт боломжгүй тохиолдолд Байгууллага холбогдох баримт бичгийг ирүүлнэ.

6.4. Бүртгэл үүсгэснээр Байгууллагад дараах эрх үүснэ:

(а) цахим тамга эзэмших /ЦГҮ 7.1/;

(б) Төлөөлөгчид эрх олгох /Хэсэг III/;

(в) тайлан, аудитын мөр авах /Хэсэг V/.

6.5. Үйлчилгээ үзүүлэгч нь 6.2-т заасан шаардлага хангагдаагүй, эсхүл ирүүлсэн мэдээлэл зөрүүтэй тохиолдолд данс нээхээс татгалзах эрхтэй бөгөөд татгалзсан үндэслэлээ мэдэгдэнэ.

7 дугаар зүйл. Эрх баригчийн эрх, үүрэг

7.1. Эрх баригч дараах эрхтэй: Байгууллагын нэрийн өмнөөс гарын үсэг зурах, цахим тамга хэрэглэх; Төлөөлөгчид эрх олгох, эрхийн хүрээг тогтоох, өөрчлөх, цуцлах; тайлан, аудитын мөрд хандах; Байгууллагын дансыг хаах.

7.2. Эрх баригч дараах үүрэгтэй:

7.2.1. өөрийн хувийн түлхүүрийг бусдад шилжүүлэхгүй байх /ЦГҮ 14.3.1/;

7.2.2. төлөөллийн эрх олгохоос өмнө эрхийн хүрээг тодорхой тогтоох;

7.2.3. Төлөөлөгчийн эрх шаардлагагүй болмогц даруй цуцлах;

7.2.4. Эрх баригч солигдсон, Байгууллагын төлөөлөх эрх өөрчлөгдсөн тохиолдолд ажлын нэг өдрийн дотор Үйлчилгээ үзүүлэгчид мэдэгдэх;

7.2.5. Байгууллага өөрчлөн байгуулагдах, татан буугдах тохиолдолд урьдчилан мэдэгдэх;

7.2.6. Төлөөлөгч бүрд эрхийн хүрээ, хүлээх хариуцлагыг тайлбарлах;

7.2.7. бүртгэлд заасан холбоо барих мэдээллээ шинэчилж байх.

7.3. Эрх баригч нь Төлөөлөгчийн эрхийн хүрээнд гүйцэтгэсэн үйлдлийн үр дагаврыг Байгууллагын нэрийн өмнөөс хариуцна.

ХЭСЭГ III. ТӨЛӨӨЛЛИЙН ЭРХ

8 дугаар зүйл. Эрх олгох журам

8.1. Төлөөллийн эрх дараах дарааллаар үүснэ:

8.2. Төлөөлөгч хүлээн зөвшөөрөх хүртэл эрх үүсэхгүй.

8.3. Төлөөлөгч нь өөрийн нэр дээрх хүчинтэй тоон гарын үсгийн гэрчилгээтэй байна. Гэрчилгээгүй бол Цахим гарын үсгийн тухай хуульд заасан журмын дагуу эхлээд гэрчилгээ авна.

8.4. Хууль зүйн үндэс. Цахим итгэмжлэл нь Иргэний хуульд заасан итгэмжлэлийн шаардлагыг хангасан, цахим хэлбэрээр үйлдсэн итгэмжлэл болно. Цахим гарын үсгийн тухай хуулийн 6.3-т заасны дагуу тоон гарын үсэг нь цаасан баримт бичигт зурсан гарын үсэгтэй адил хүчинтэй байна.

9 дүгээр зүйл. Эрхийн хүрээ ба хязгаарлалт

9.1. Эрх баригч дараах хязгаарлалтыг тогтооно:

9.2. Эрхийн хүрээнээс гадуур үйлдэл гүйцэтгэх оролдлогыг Платформ техникийн хяналтаар хориглоно.

9.3. Эрхийн хүрээг өөрчлөх нь шинэ итгэмжлэл олгохтой адил бөгөөд Эрх баригч дахин гарын үсэг зурж, Төлөөлөгч дахин хүлээн зөвшөөрнө.

9.4. Нотариатын гэрчлэл. Хуулиар нотариатын гэрчлэл шаардсан хэлцэлд цахим итгэмжлэл дангаараа хангалттай биш байж болно. Платформ нь Хавсралт 1-д тусгайлан тэмдэглэсэн ангиллын баримтад Эрх баригчид анхааруулга харуулна. Тухайн хэлцэлд хуулиар шаардсан хэлбэрийг хангах үүрэг Байгууллагад ногдоно.

10 дугаар зүйл. Итгэмжлэлийн хугацаа

10.1. Тодорхой хугацаагаар олгосон цахим итгэмжлэл нь гурван жилээс илүүгүй хугацаатай байна.

10.2. Хугацаа заагаагүй тохиолдолд итгэмжлэл олгосон өдрөөс хойш нэг жил хүчинтэй байна.

10.3. Платформ нь 10.1, 10.2-т заасан хязгаарыг автоматаар хэрэгжүүлнэ.

10.4. Итгэмжлэлийн хугацаа нь Төлөөлөгчийн тоон гарын үсгийн гэрчилгээний хүчинтэй хугацаанаас хэтрэхгүй.

10.5. Хугацаа дуусахаас 30 хоногийн өмнө Эрх баригч болон Төлөөлөгчид мэдэгдэнэ.

11 дүгээр зүйл. Цуцлах, дуусгавар болох

11.1. Цахим итгэмжлэл дараах үндэслэлээр дуусгавар болно:

11.2. Эрх баригч болон Төлөөлөгч хэзээ ч итгэмжлэлийг цуцлах, эсхүл түүнээс татгалзах эрхтэй.

11.3. Мэдэгдэх үүрэг. Итгэмжлэл дуусгавар болмогц Платформ дараах этгээдэд автоматаар мэдэгдэнэ:

(а) Төлөөлөгчид;

(б) мэдэгдэл авахаар бүртгүүлсэн Итгэгч талд — Иргэний хуульд заасан гуравдагч этгээдэд мэдэгдэх үүргийг хангах зорилгоор;

(в) Эрх баригчид баталгаажуулах мэдэгдэл.

11.4. Итгэмжлэл дуусгавар болсон цагаас хойш тухайн итгэмжлэлд тулгуурлан зурсан гарын үсэг хүчин төгөлдөр байхгүй. Дуусгавар болохоос өмнө зурсан гарын үсгийн хүчинтэй байдалд дуусгавар болсон нь нөлөөлөхгүй бөгөөд зурсан цагийг цагийн бүртгэлээр тогтооно /ЦГҮ 9/.

12 дугаар зүйл. Эрх баригч солигдох

12.1. Эрх баригч солигдсон тохиолдолд дараах дарааллаар хэрэгжинэ:

12.2. Эрх баригч солигдсоныг дараах эх сурвалжаар тогтооно:

(а) улсын бүртгэлийн байгууллагын мэдээллийн сангийн өөрчлөлт /техникийн боломжтой тохиолдолд автоматаар/;

(б) Байгууллагын 7.2.4-т заасан мэдэгдэл;

(в) Үйлчилгээ үзүүлэгчийн үечилсэн тулгалт.

12.3. Байгууллагын хариуцлага. Автомат илрүүлэлт боломжгүй тохиолдолд Эрх баригч солигдсоныг ажлын нэг өдрийн дотор мэдэгдэх үүрэг Байгууллагад ногдоно. Мэдэгдээгүйгээс үүссэн үр дагаврыг Байгууллага хариуцна.

12.4. Байгууллага 12.3-д заасан эрсдэлийг бууруулах зорилгоор итгэмжлэлийн хугацааг 12 сараас илүүгүй тогтоохыг зөвлөнө.

13 дугаар зүйл. Төлөөлөгчийн эрх, үүрэг

13.1. Төлөөлөгч дараах эрхтэй: эрхийн хүрээнд Байгууллагыг төлөөлж гарын үсэг зурах; итгэмжлэлээс хэдийд ч татгалзах; өөрийн зурсан гарын үсгийн түүхийг харах; эрхийн хүрээгээ хэдийд ч харах.

13.2. Төлөөлөгч дараах үүрэгтэй:

13.2.1. өөрийн хувийн түлхүүрийг бусдад шилжүүлэхгүй байх /ЦГҮ 14.3.1/;

13.2.2. гарын үсэг зурахаас өмнө баримтын агуулгатай танилцах;

13.2.3. эрхийн хүрээнээс гадуур үйлдэл хийхгүй байх;

13.2.4. Байгууллагын нэрийн өмнөөс зурж байгаагаа мэдэж, түүнд тохирсон анхаарал болгоомжтой байх;

13.2.5. хувийн түлхүүрийн нууц алдагдсан гэж үзвэл даруй мэдэгдэх /ЦГҮ 14.3.3/.

13.3. Төлөөлөгч эрхийн хүрээнээс гадуур үйлдэл хийхийг оролдвол Платформ түүнийг гүйцэтгэхгүй. Техникийн хяналтыг зөрчиж, тойрч гүйцэтгэсэн тохиолдолд Төлөөлөгч хариуцна.

13.4. Түлхүүрийн зарчим. Төлөөлөгч нь Эрх баригчийн хувийн түлхүүрийг ашиглахгүй бөгөөд ашиглах техникийн боломжгүй байна. Төлөөлөгч зөвхөн өөрийн хувийн түлхүүрээр гарын үсэг зурж, эрхээ цахим итгэмжлэлээр нотолно. Энэ нь Цахим гарын үсгийн тухай хуулийн 14.3.1-д заасан шаардлага бөгөөд Платформ түүнийг техникийн хяналтаар баталгаажуулна.

ХЭСЭГ IV. ГАРЫН ҮСЭГ ҮҮСГЭХ, ТҮЛХҮҮРИЙН АЮУЛГҮЙ БАЙДАЛ

14 дүгээр зүйл. Түлхүүрийн хуваалт

14.1. Хувийн түлхүүрийг дараах байдлаар хуваан хадгална:

(а) нэг хэсгийг Эзэмшигчийн төхөөрөмжийн хамгаалагдсан санах ойд;

(б) нөгөө хэсгийг Үйлчилгээ үзүүлэгчийн серверт; серверийн түлхүүрийн хэсэг ба төхөөрөмжөөс ирсэн хэсэг хоёулаа криптограф модулиас /HSM/ гардаггүй AES-256 түлхүүрээр шифрлэгдэж хадгалагдана.

14.2. Аль ч тал дангаараа хүчин төгөлдөр гарын үсэг үүсгэх боломжгүй.

14.3. Үйлчилгээ үзүүлэгч Эзэмшигчийн зөвшөөрөлгүйгээр гарын үсэг үүсгэхийг хориглоно.

14.4. Үйлчилгээ үзүүлэгч Эзэмшигчийн хувийн түлхүүрийг бүрэн хэлбэрээр хуулбарлаж авахгүй /ЦГҮ 21.2.5/.

14.5. Төхөөрөмжийн түлхүүрийн хэсгийг хуулбарласан тохиолдлыг Үйлчилгээ үзүүлэгч илрүүлж, тухайн төхөөрөмжийг идэвхгүй болгон Эзэмшигчийн гэрчилгээг даруй цуцалж, Эзэмшигчид мэдэгдэнэ.

14.6. Үйлчилгээ үзүүлэгч нь зөвхөн цахим хөгжил, харилцаа холбооны асуудал эрхэлсэн төрийн захиргааны төв байгууллагын жагсаалтад орсон тоон гарын үсгийн хэрэгслийг ашиглана /ЦГҮ 20.2.9/.

15 дугаар зүйл. Дан ганц хяналт

15.1. Гарын үсэг үүсгэх бүрд дараах нөхцөл хангагдана:

(а) Эзэмшигч PIN, биометрик танилт эсхүл Үйлчилгээ үзүүлэгчийн CPS-д заасан түүнтэй адилтгах баталгаажуулалтыг гүйцэтгэнэ;

(б) Платформ юунд гарын үсэг зурж байгааг дэлгэцэд харуулна;

(в) Байгууллагыг төлөөлж зурж байгаа бол аль Байгууллага, ямар эрхийн хүрээнд зурж байгааг харуулна;

(г) Эзэмшигч санаатай, идэвхтэй үйлдлээр баталгаажуулна.

15.2. Гарын үсэг зурсны дараа мэдээлэлд өөрчлөлт оруулсан эсэхийг илрүүлэх боломжтой байна /ЦГҮ 6.2.3/.

16 дугаар зүйл. Төхөөрөмж солих, сэргээх

16.1. Эзэмшигч төхөөрөмжөө солих, эсхүл PIN мартсан тохиолдолд Платформ дараах сэргээх сувгийг санал болгоно:

(а) зайнаас: ДАН систем болон Liveness check;

(б) зайнаас: G-Sign тоон гарын үсгээр;

(в) биечлэн: Гэрэгэ киоск төхөөрөмжөөр.

16.2. Сэргээлтийг дахин бүртгэлээр хийнэ: шинэ гэрчилгээ олгогдоход өмнөх хүчинтэй гэрчилгээ superseded (4) шалтгаанаар цуцлагдана /ЦГҮ 17/.

16.3. Эзэмшигчийн Байгууллага дахь төлөөллийн эрх төхөөрөмж солиход хэвээр хадгалагдах бөгөөд зөвхөн гэрчилгээ дахин үүснэ.

16.4. Сэргээх сувгийн бүрэлдэхүүн техникийн болон зохицуулалтын шаардлагаас хамаарч өөрчлөгдөж болох бөгөөд Үйлчилгээ үзүүлэгч нэгээс доошгүй зайнаас сэргээх сувгийг байнга ажиллуулна.

ХЭСЭГ V. БҮРТГЭЛ, ТАЙЛАН, АУДИТЫН МӨР

17 дугаар зүйл. Бүртгэл

17.1. Платформ дараах мэдээллийг өөрчлөх боломжгүй байдлаар бүртгэнэ:

17.2. Бүртгэлийг хадгалах хугацаа:

17.3. Хадгалах хугацаа дууссан бүртгэлийг Үйлчилгээ үзүүлэгч хууль тогтоомжид заасан журмын дагуу устгана.

18 дугаар зүйл. Тайлан

18.1. Байгууллага дараах тайланг авах эрхтэй:

18.2. Тайлангийн хүртээмж, эзлэхүүн, тайлан гаргах давтамжийг Арилжааны хавсралтаар тодорхойлно.

18.3. Тайланг Байгууллагын Эрх баригч болон түүний зөвшөөрсөн этгээд харна.

18.4. Төлөөлөгч зөвхөн өөрийн зурсан гарын үсгийн тайланг харна.

ХЭСЭГ VI. ИТГЭГЧ ТАЛЫН НӨХЦӨЛ

19 дүгээр зүйл. Итгэгч талын үүрэг

19.1. Итгэгч тал нь Үйлчилгээ үзүүлэгчтэй тусдаа гэрээ байгуулж Үйлчилгээг ашиглана. Энэхүү Нөхцөл нь тухайн гэрээний салшгүй хэсэг болно.

19.2. Итгэгч тал гарын үсэгт итгэн үйлдэл гүйцэтгэхийн өмнө дараахыг заавал шалгана:

19.3. Гэрээний 19.2-т заасан шалгалтыг гүйцэтгээгүйгээс үүсэх хохирлыг Итгэгч тал өөрөө хариуцна.

19.4. Итгэгч тал нь 11.3-д заасан автомат мэдэгдэлд бүртгүүлэх эрхтэй бөгөөд ингэснээр итгэмжлэл цуцлагдсаныг бодит цагт мэдэх боломжтой.

19.5. Итгэгч тал нь баталгаажуулалтын үр дүнг зөвхөн гэрээнд заасан зориулалтаар ашиглах, Эзэмшигчийн мэдээллийг гуравдагч этгээдэд дамжуулахгүй, баталгаажуулалтын үр дүнг гуйвуулан харуулахгүй байх үүрэгтэй.

20 дугаар зүйл. Баталгаажуулах үйлчилгээ

20.1. Итгэгч тал нь гарын үсгийг шалгах API болон Үйлчилгээ үзүүлэгчийн нийтэд нээлттэй баталгаажуулах порталыг ашиглаж болно.

20.2. Нийтэд нээлттэй порталын үр дүн нь мэдээллийн зорилготой. Хууль зүйн нотлох баримт шаардлагатай тохиолдолд Итгэгч тал нотлох чадвартай баталгаажуулалтын тайланг захиалж авна.

20.3. Нийтэд нээлттэй портал нь арилжааны хэмжээнд ашиглахад зориулагдаагүй. Үйлчилгээ үзүүлэгч хэвийн бус ачаалал үүсгэсэн хандалтыг хязгаарлах эрхтэй.

20.4. Итгэгч тал таних болон баталгаажуулалтын үйлчилгээг ашиглах тохиолдолд түүнийг өөрийн эрсдэлийн үнэлгээтэй хамт хэрэглэх үүрэгтэй.

ХЭСЭГ VII. СУВГИЙН ТҮНШИЙН НӨХЦӨЛ

21 дүгээр зүйл. Сувгийн түншийн эрх, үүрэг

21.1. Сувгийн түнш нь Үйлчилгээ үзүүлэгчтэй байгуулсан гэрээний үндсэн дээр Үйлчилгээг өөрийн платформд суулгаж, эцсийн хэрэглэгчид түгээнэ. Энэхүү Нөхцөл нь тухайн гэрээний салшгүй хэсэг болно.

21.2. Сувгийн түнш дараах үүрэгтэй:

21.2.1. Үйлчилгээг зөвхөн гэрээнд заасан хүрээ, зорилгоор түгээх;

21.2.2. эцсийн хэрэглэгчид энэхүү Нөхцөлийг танилцуулж, хүлээн зөвшөөрүүлэх;

21.2.3. Үйлчилгээ үзүүлэгчээс олгосон API түлхүүр, client_id, client_secret, гэрчилгээг нууцлан хадгалах, задарсан буюу задрах эрсдэл үүссэн тухай нэн даруй мэдэгдэх;

21.2.4. өөрийн платформын мэдээллийн аюулгүй байдлыг хангах, эмзэг байдал илэрсэн тохиолдолд 24 цагийн дотор мэдэгдэх;

21.2.5. Үйлчилгээний нэрийн өмнөөс эцсийн хэрэглэгчид аливаа баталгаа, амлалт гаргахгүй байх;

21.2.6. интеграцийн архитектур, орчин, домэйн, redirect URI-д өөрчлөлт оруулахаас 10 хоногийн өмнө мэдэгдэх;

21.2.7. Үйлчилгээ үзүүлэгчийн нэр, барааны тэмдэг, логог зөвхөн урьдчилан тохиролцсон хэлбэрээр ашиглах.

21.3. Сувгийн түнш нь Үйлчилгээг дахин борлуулах, гуравдагч этгээдэд дамжуулахыг зөвхөн Үйлчилгээ үзүүлэгчийн бичгээр өгсөн зөвшөөрлийн үндсэн дээр гүйцэтгэнэ.

21.4. Хариуцлагын хуваарилалт. Эцсийн хэрэглэгчийн өмнө Сувгийн түнш нь өөрийн платформын үйл ажиллагаа, хэрэглэгчийн туршлага болон төлбөр тооцооны шийдлийг, Үйлчилгээ үзүүлэгч нь e-ID үйлчилгээний техникийн ажиллагаа, гарын үсгийн хууль зүйн хүчин төгөлдөр байдлыг тус тус хариуцна.

22 дугаар зүйл. Интеграцийн шаардлага

22.1. Сувгийн түнш интеграцыг Үйлчилгээ үзүүлэгчийн API документаци болон интеграцийн гарын авлагын дагуу гүйцэтгэнэ.

22.2. Бодит орчинд шилжихийн өмнө Үйлчилгээ үзүүлэгчийн интеграцийн баталгаажуулалтыг заавал давна.

22.3. Үйлчилгээ үзүүлэгч API-ийн хувилбарт өөрчлөлт оруулах, ашиглалтаас хасах тохиолдолд 60 хоногийн өмнө мэдэгдэж, шилжилтийн дэмжлэг үзүүлнэ. Аюулгүй байдлын шаардлагаас үүдэлтэй яаралтай өөрчлөлтийг нэн даруй хэрэгжүүлж, дараа нь мэдэгдэж болно.

22.4. Сувгийн түнш нь гарын үсгийн урсгалыг өөрчлөх, e-ID-ийн баталгаажуулалтын үр дүнг гуйвуулан харуулах, e-ID-ийг тойрч өнгөрөх хувилбар санал болгохыг хориглоно.

22.5. Хэвийн бус ачаалал, зүй бус ашиглалт илэрсэн тохиолдолд Үйлчилгээ үзүүлэгч хандалтыг хязгаарлах эрхтэй.

ХЭСЭГ VIII. ҮЙЛЧИЛГЭЭНИЙ ТҮВШИН

23 дугаар зүйл. Бэлэн байдал

23.1. Үйлчилгээ үзүүлэгч дараах бэлэн байдлын түвшинг хангана. Тухайн Харилцагчид хамаарах түвшинг Арилжааны хавсралтаар тодорхойлно:

23.2. Бэлэн байдлыг тооцооны сар тутам тооцно.

23.3. Төлөвлөгөөт засварыг долоо хоногийн өмнө мэдэгдэж, ачаалал багатай цагаар гүйцэтгэнэ. Төлөвлөгөөт засвар, давагдашгүй хүчин зүйл болон Харилцагчийн талын доголдлоос үүдсэн тасалдлыг бэлэн байдлын тооцоонд оруулахгүй.

24 дүгээр зүйл. Хариу өгөх хугацаа

24.1. Үйлчилгээ үзүүлэгч дараах зорилтот хугацааг хангана:

24.2. Дэмжлэгийн сувгийн ажиллах цагийг Хавсралт 2-т заасан.

25 дугаар зүйл. Нөхөн олговор

25.1. Тооцооны сарын бэлэн байдал 23.1-д заасан түвшнээс буурсан тохиолдолд Харилцагч дараах нөхөн олговор нэхэмжлэх эрхтэй:

25.2. Нөхөн олговрыг тухайн сар дууссанаас хойш 30 хоногийн дотор бичгээр нэхэмжилнэ. Хугацаа хэтэрсэн нэхэмжлэлийг хүлээн авахгүй.

25.3. Нөхөн олговор нь бэлэн байдлын түвшин хангаагүйтэй холбоотой Харилцагчийн эдлэх цорын ганц арга хэмжээ байна.

25.4. Үнэ төлбөргүй үзүүлж байгаа болон туршилтын горимд ажиллуулж байгаа үйлчилгээнд нөхөн олговор тооцохгүй.

ХЭСЭГ IX. НУУЦЛАЛ, ОЮУНЫ ӨМЧ, ХОРИГЛОХ ЗҮЙЛ

26 дугаар зүйл. Нууцлал

26.1. Тал бүр нөгөө талаас гэрээний хүрээнд хүлээн авсан арилжааны, техникийн болон бусад нууц мэдээллийг гуравдагч этгээдэд задруулахгүй, зөвхөн гэрээний зорилгоор ашиглана.

26.2. Нууцлалын үүрэг дараах мэдээлэлд хамаарахгүй: нийтэд нээлттэй мэдээлэл; талын буруугүйгээр нийтэд мэдэгдсэн мэдээлэл; хуулиар эсхүл эрх бүхий байгууллагын шийдвэрээр гаргаж өгөхийг шаардсан мэдээлэл.

26.3. Нууцлалын үүрэг гэрээ дуусгавар болсноос хойш гурван жил хүчинтэй байна. Эзэмшигчийн хувийн мэдээлэл болон гарын үсгийн бүртгэлд хамаарах нууцлалын үүрэг хугацаагүй байна.

26.4. Үйлчилгээ үзүүлэгч гэрчилгээ эзэмшигчийн нууцыг задруулахгүй /ЦГҮ 20.2.10/ бөгөөд мэдээллийг Цахим гарын үсгийн тухай хуулийн 30.1-д зааснаас бусад тохиолдолд бусдад дамжуулахгүй.

27 дугаар зүйл. Оюуны өмч

27.1. Платформ, түүний програм хангамж, API, баримт бичиг, брэнд, лого болон холбогдох оюуны өмчийн бүх эрх Үйлчилгээ үзүүлэгчид хамаарна.

27.2. Харилцагчид зөвхөн гэрээний хүрээнд Үйлчилгээг ашиглах, онцгой бус, шилжүүлэх боломжгүй лиценз олгоно.

27.3. Харилцагчийн үүсгэсэн, гарын үсэг зурсан баримт бичиг болон тэдгээрт агуулагдах мэдээлэл Харилцагчийн өмч байна.

27.4. Талууд нөгөө талын нэр, лого, брэндийг бичгээр зөвшөөрөл авалгүйгээр маркетингийн зорилгоор ашиглахгүй.

28 дугаар зүйл. Хориглох зүйл

28.1. Харилцагч болон Эзэмшигчид дараахыг хориглоно:

(а) бусдын нэрийн өмнөөс, эрхийн хүрээнээс гадуур гарын үсэг зурах;

(б) хуурамч баримт бичиг бүрдүүлж гэрчилгээ, эсхүл төлөөллийн эрх авах;

(в) хууль бус гэж үзсэн мэдээллийг баталгаажуулах, нууцлахад хувийн түлхүүр ашиглах /ЦГҮ 14.3.5/;

(г) төрийн нууцад хамаарах мэдээлэлд Үйлчилгээг ашиглах /ЦГҮ 3.1/;

(д) Платформыг задлан шинжлэх, хуулбарлах, өөрчлөх, гуравдагч этгээдэд дамжуулах;

(е) бичгээр зөвшөөрөл авалгүйгээр аюулгүй байдлын шалгалт, нэвтрэлтийн туршилт хийх;

(ж) автоматжуулсан хэрэгслээр хэвийн бус ачаалал үүсгэх;

(з) Үйлчилгээг бичгээр зөвшөөрөл авалгүйгээр дахин борлуулах.

ХЭСЭГ X. ХУВИЙН МЭДЭЭЛЭЛ, МЭДЭЭЛЛИЙН АЮУЛГҮЙ БАЙДАЛ

29 дүгээр зүйл. Хувийн мэдээлэл боловсруулах

29.1. Үйлчилгээ үзүүлэгч хувийн мэдээллийг Хүний хувийн мэдээлэл хамгаалах тухай хууль, Цахим гарын үсгийн тухай хууль болон CPS-д заасан журмын дагуу боловсруулна.

29.2. Боловсруулах мэдээллийн ангилал, хадгалах хугацааг 17.2-т заасан.

29.3. Биометрик өгөгдлийг зөвхөн таних, сэргээх зорилгоор, Эзэмшигчийн зөвшөөрлийн үндсэн дээр боловсруулах бөгөөд биометрик загварыг серверт хадгалахгүй.

29.4. Гэрээний 11.3-д заасан Итгэгч талд илгээх мэдэгдэлд зөвхөн итгэмжлэлийн төлөв болон эрхийн хүрээ орох бөгөөд түүнээс илүү мэдээлэл дамжуулахгүй.

29.5. Байгууллага нь Төлөөлөгчийн гарын үсгийн бүртгэлийг зөвхөн ажлын зорилгоор ашиглана.

29.6. Байгууллага, Итгэгч тал болон Сувгийн түншийн мэдээллийг Байгууллагын нууцын тухай хууль болон энэхүү Нөхцөлийн 26 дугаар зүйлд заасан журмын дагуу хамгаална.

29.7. Эзэмшигч өөрийн мэдээлэлд хандах, залруулах, устгуулах, зөвшөөрлөө буцаан татах эрхтэй. Бүртгэлээ устгахад гэрчилгээнд ороогүй хувийн мэдээлэл хүсэлт гаргаснаас хойш 30 хоногийн дараа устгагдах бөгөөд энэхүү Нөхцөлийн 17.2-т заасан бүртгэлийг хадгалах хугацаа нь дууссаны дараа устгана. Хүсэлтийг Хавсралт 3-д заасан хаягаар хүлээн авч, ажлын 10 өдрийн дотор хариу өгнө. Бүртгэлээ устгах («Бүртгэл устгах»), өөрийн мэдээллийг татаж авах («Мэдээллээ татах») үйлдлийг Эзэмшигч аппликейшн дотроос шууд хийнэ; устгасны дараа 30 хоногийн дотор дахин бүртгүүлбэл хувийн мэдээлэл устахгүй. Бүртгэлээ устгахад аппликейшны болон USB токенд олгосон хүчинтэй бүх гэрчилгээ (байгууллагын нэрийн өмнөөсх гэрчилгээ орно) цуцлагдана; гэрчилгээ, гарын үсгийн түүх нь энэхүү Нөхцөлийн 17.2-т заасан хугацаагаар хадгалагдана.

29.8. Талууд шаардлагатай тохиолдолд хувийн мэдээлэл боловсруулах тусдаа гэрээ байгуулна.

30 дугаар зүйл. Дэд гүйцэтгэгч

30.1. Үйлчилгээ үзүүлэгч Үйлчилгээний тодорхой хэсгийг дэд гүйцэтгэгчээр гүйцэтгүүлж болох бөгөөд дэд гүйцэтгэгчийн үйл ажиллагааны төлөө Харилцагчийн өмнө өөрөө хариуцна.

30.2. Хувийн мэдээлэл боловсруулахад оролцох дэд гүйцэтгэгчийн жагсаалтыг Үйлчилгээ үзүүлэгч Харилцагчийн хүсэлтээр гаргаж өгнө. Жагсаалтад өөрчлөлт орох тохиолдолд 30 хоногийн өмнө мэдэгдэнэ.

31 дүгээр зүйл. Мэдээллийн аюулгүй байдлын зөрчил

31.1. Мэдээллийн аюулгүй байдлын зөрчил илэрсэн тохиолдолд Үйлчилгээ үзүүлэгч:

(а) илрүүлснээс хойш 24 цагийн дотор нөлөөлөлд өртсөн Харилцагч, Эзэмшигчид мэдэгдэнэ;

(б) эрх бүхий байгууллагад хуульд заасан хугацаанд мэдэгдэнэ;

(в) шаардлагатай тохиолдолд нөлөөлөлд өртсөн гэрчилгээг даруй цуцална;

(г) зөрчлийн шалтгаан, авсан арга хэмжээ, урьдчилан сэргийлэх төлөвлөгөөг баримтжуулж, Харилцагчид мэдэгдэнэ.

31.2. Харилцагч өөрийн талд гарсан, Үйлчилгээнд нөлөөлж болзошгүй аюулгүй байдлын зөрчлийг илрүүлснээс хойш 24 цагийн дотор Үйлчилгээ үзүүлэгчид мэдэгдэнэ.

ХЭСЭГ XI. БАТАЛГАА, ХАРИУЦЛАГА

32 дугаар зүйл. Үйлчилгээ үзүүлэгчийн баталгаа

32.1. Үйлчилгээ үзүүлэгч дараахыг баталгаална:

(а) гэрчилгээнд тусгасан мэдээлэл гэрчилгээ олгох үед үнэн зөв байсан;

(б) хүсэлт гаргагчийн мэдээллийн үнэн зөв байдлыг хуульд заасны дагуу шалгасан /ЦГҮ 20.2.4/;

(в) Эзэмшигчийн хувийн түлхүүрийг бүрэн хэлбэрээр хуулбарлаж аваагүй /ЦГҮ 21.2.5/;

(г) цахим итгэмжлэлийн эрхийн хүрээг техникийн хяналтаар хэрэгжүүлсэн;

(д) бүртгэл, аудитын мөрийг өөрчлөх боломжгүй байдлаар хадгалсан;

(е) техникийн болон аюулгүй ажиллагааны шаардлагыг хангаж ажиллаж байгаа /ЦГҮ 20.2.1/.

32.2. Үйлчилгээ үзүүлэгч Үйлчилгээг Нөхцөл болон CPS-д заасан үйлчилгээний түвшинд үзүүлэхээс өөр, тодорхой зорилгод тохирох талаар илэрхий болон далд баталгаа гаргахгүй.

33 дугаар зүйл. Хариуцлагаас чөлөөлөгдөх

33.1. Үйлчилгээ үзүүлэгч дараах тохиолдолд хариуцлага хүлээхгүй:

(а) Эзэмшигч хувийн түлхүүрээ бусдад шилжүүлсэн, нууцыг задруулсан /ЦГҮ 14.4/;

(б) Итгэгч тал 19.2-т заасан шалгалтыг гүйцэтгээгүй;

(в) Эзэмшигч хүчингүй болсон, эсхүл түдгэлзүүлсэн гэрчилгээг ашигласан /ЦГҮ 20.4/;

(г) Байгууллага 7.2.4, 12.3-д заасан мэдэгдэх үүргээ биелүүлээгүй;

(д) Эрх баригч эрхийн хүрээг буруу, эсхүл хэтэрхий өргөн тогтоосон;

(е) Эзэмшигч баримтын агуулгатай танилцалгүйгээр гарын үсэг зурсан;

(ж) Эзэмшигч хууран мэхлэгдэж, хэлцлийг өөрөө санаатайгаар зөвшөөрсөн;

(з) давагдашгүй хүчин зүйл;

(и) гуравдагч этгээдийн үйлчилгээний доголдол, Харилцагчийн төхөөрөмж, програм хангамжийн доголдол, хортой програм;

(к) хуулиар нотариатын гэрчлэл шаардсан хэлцэлд Байгууллага хуульд заасан хэлбэрийг хангаагүй;

(л) Сувгийн түнш 21, 22 дугаар зүйлд заасан үүргээ зөрчсөн.

34 дүгээр зүйл. Хариуцлагын хязгаарлалт

34.1. Үйлчилгээ үзүүлэгчийн гэрээний хүрээнд хүлээх хариуцлагын дээд хэмжээ нь Харилцагчийн тухайн зөрчил гарахаас өмнөх 12 сарын хугацаанд төлсөн төлбөрийн нийт дүнгээр хязгаарлагдана. Гэрээний хугацаа 12 сараас бага бол бодитоор төлсөн төлбөрийн дүнгээр тооцно. Үнэ төлбөргүй үзүүлсэн үйлчилгээний хувьд хариуцлагын дээд хэмжээ 5,000,000 /таван сая/ төгрөг байна.

34.2. Гэрчилгээнд Цахим гарын үсгийн тухай хуулийн 10.3.2-ын дагуу хэлцлийн үнийн дүнгийн хязгаарлалт тусгагдсан бол тухайн гэрчилгээгээр зурсан гарын үсэгт хамаарах хариуцлага уг хязгаарлалтаас хэтрэхгүй.

34.3. Талууд Арилжааны хавсралтаар хариуцлагын дээд хэмжээг өөрөөр тохирч болно.

34.4. Үйлчилгээ үзүүлэгч алдагдсан ашиг, орлого, нэр хүндэд учирсан хохирол, шууд бус, дам, онцгой болон дагалдах хохирлыг хариуцахгүй.

34.5. Энэ зүйлд заасан хязгаарлалт нь Үйлчилгээ үзүүлэгчийн санаатай буруутай үйлдэл, ноцтой хайхрамжгүй байдал, нууцлалын үүргийг зөрчсөн болон хуулиар хязгаарлахыг хориглосон хариуцлагад хамаарахгүй.

34.6. Харилцагч нь Нөхцөлийг зөрчсөн, эсхүл эрх, үүргээ хэтрүүлэн хэрэгжүүлснээс Үйлчилгээ үзүүлэгчид гуравдагч этгээдийн шаардлага, торгууль, хохирол үүссэн тохиолдолд түүнийг нөхөн төлнө.

ХЭСЭГ XII. ҮЙЛЧИЛГЭЭ ТҮДГЭЛЗҮҮЛЭХ, ГЭРЭЭ ЦУЦЛАХ

35 дугаар зүйл. Үйлчилгээ түдгэлзүүлэх

35.1. Үйлчилгээ үзүүлэгч дараах тохиолдолд Үйлчилгээг бүхэлд нь буюу хэсэгчлэн түр түдгэлзүүлэх эрхтэй:

(а) Харилцагч, Эзэмшигч Нөхцөлийг ноцтой зөрчсөн;

(б) мэдээллийн аюулгүй байдалд шууд аюул учирсан;

(в) Үйлчилгээг хууль бус үйл ажиллагаанд ашиглаж байгаа үндэслэл бүхий сэжиг үүссэн;

(г) эрх бүхий байгууллагын шийдвэр гарсан;

(д) Харилцагч төлбөрийн үүргээ 30 хоногоос дээш хугацаагаар биелүүлээгүй.

35.2. Түдгэлзүүлэх тухай Үйлчилгээ үзүүлэгч нэн даруй мэдэгдэж, шалтгаан болон сэргээх нөхцөлийг тайлбарлана. Яаралтай тохиолдолд эхлээд түдгэлзүүлж, дараа нь мэдэгдэж болно.

35.3. Түдгэлзүүлсэн үндэслэл арилсан даруйд Үйлчилгээг ажлын нэг өдрийн дотор сэргээнэ.

35.4. Түдгэлзүүлсэн хугацаанд аль хэдийн зурагдсан гарын үсгийн хүчинтэй байдалд нөлөөлөхгүй.

36 дугаар зүйл. Гэрээ цуцлах, дуусгавар болох үр дагавар

36.1. Гэрээг дараах үндэслэлээр нэг талын санаачилгаар цуцална:

(а) нөгөө тал Нөхцөлийг ноцтой зөрчиж, бичгээр мэдэгдсэнээс хойш 30 хоногийн дотор арилгаагүй;

(б) Үйлчилгээ үзүүлэгчийн тусгай зөвшөөрөл хүчингүй болсон, түдгэлзсэн;

(в) аль нэг тал төлбөрийн чадваргүй болсон, татан буугдах шийдвэр гарсан;

(г) 38.4-т заасан үндэслэлээр.

36.2. Гэрээ дуусгавар болсон ч дараах заалт хүчинтэй хэвээр байна: нууцлал /26/, оюуны өмч /27/, хувийн мэдээлэл /29/, бүртгэл хадгалах /17/, хариуцлага /33, 34/, маргаан шийдвэрлэх /40/.

36.3. Гэрээ дуусгавар болсноос хойш Харилцагч 90 хоногийн дотор өөрийн тайлан, аудитын мөрийг татаж авах эрхтэй. Уг хугацаа өнгөрсний дараа мэдээллийг зөвхөн 17.2-т заасан хадгалалтын журмаар хадгална.

36.4. Гэрээ дуусгавар болсноор тухайн Байгууллагын цахим итгэмжлэл автоматаар дуусгавар болох бөгөөд Итгэгч талд 11.3-ын дагуу мэдэгдэнэ.

ХЭСЭГ XIII. ДАВАГДАШГҮЙ ХҮЧИН ЗҮЙЛ

37 дугаар зүйл. Давагдашгүй хүчин зүйл

37.1. Давагдашгүй хүчин зүйлд гал түймэр, үер, газар хөдлөлт, хүчтэй цасан болон шороон шуурга, тахал, дайн, зэвсэгт мөргөлдөөн, нийтийг хамарсан үймээн, улсын хэмжээний цахилгаан хангамжийн болон интернэт сүлжээний тасалдал, эрх бүхий байгууллагын шийдвэр, хууль тогтоомжийн өөрчлөлт болон талуудын хүсэл зоригоос үл хамаарах бусад нөхцөл байдал хамаарна.

37.2. Давагдашгүй хүчин зүйл үүссэн тал нөгөө талдаа ажлын гурван өдрийн дотор мэдэгдэж, боломжтой тохиолдолд эрх бүхий байгууллагын тодорхойлолтоор баталгаажуулна.

37.3. Давагдашгүй хүчин зүйлийн үргэлжлэх хугацаанд талууд гэрээний үүргээ биелүүлээгүйн хариуцлагаас чөлөөлөгдөнө. Төлбөрийн үүрэг давагдашгүй хүчин зүйлээр чөлөөлөгдөхгүй.

37.4. Давагдашгүй хүчин зүйл 60 хоногоос дээш үргэлжилсэн тохиолдолд аль ч тал гэрээг торгуульгүйгээр цуцлах эрхтэй.

ХЭСЭГ XIV. НӨХЦӨЛИЙН ӨӨРЧЛӨЛТ, МЭДЭГДЭЛ, МАРГААН

38 дугаар зүйл. Нөхцөлд өөрчлөлт оруулах

38.1. Үйлчилгээ үзүүлэгч энэхүү Нөхцөлд өөрчлөлт оруулах эрхтэй.

38.2. Харилцагчийн эрхийг мэдэгдэхүйц хязгаарлах өөрчлөлтийг хүчин төгөлдөр болохоос 30 хоногийн өмнө цахим хуудсанд байршуулж, бүртгэлтэй цахим шуудангаар мэдэгдэнэ.

38.3. Хууль тогтоомжийн өөрчлөлт, зохицуулагч байгууллагын шийдвэр болон мэдээллийн аюулгүй байдлын шаардлагаас үүдэлтэй өөрчлөлтийг нэн даруй хэрэгжүүлж, дараа нь мэдэгдэж болно.

38.4. Харилцагч өөрчлөлтийг хүлээн зөвшөөрөхгүй бол мэдэгдэл хүлээн авснаас хойш 30 хоногийн дотор гэрээг торгуульгүйгээр цуцлах эрхтэй. Уг хугацаанд татгалзаагүй, Үйлчилгээг үргэлжлүүлэн ашигласан бол өөрчлөлтийг хүлээн зөвшөөрсөнд тооцно.

38.5. Нөхцөлийн хувилбарын түүхийг Хавсралт 4-т бүртгэж, цахим хуудсанд нээлттэй байлгана.

39 дүгээр зүйл. Мэдэгдэл

39.1. Нөхцөлд заасан мэдэгдлийг Платформ дахь мэдэгдэл, бүртгэлтэй цахим шуудан, эсхүл албан бичгээр хүргүүлнэ.

39.2. Цахим шуудангаар илгээсэн мэдэгдлийг илгээсэн өдрийн дараагийн ажлын өдөр хүргэгдсэнд тооцно.

39.3. Харилцагч, Эзэмшигч нь холбоо барих мэдээллээ шинэчилж байх үүрэгтэй бөгөөд шинэчлээгүйгээс үүдэх үр дагаврыг өөрөө хариуцна.

40 дүгээр зүйл. Хэрэглэх хууль, маргаан шийдвэрлэх

40.1. Энэхүү Нөхцөл болон түүнээс үүдэх харилцааг Монгол Улсын хуулиар зохицуулж, тайлбарлана.

40.2. Маргааныг талууд эвийн журмаар харилцан тохиролцож шийдвэрлэнэ. Шийдвэрлэж чадаагүй тохиолдолд Монгол Улсын шүүхээр шийдвэрлүүлнэ.

40.3. Маргаан шийдвэрлэхэд Платформын аудитын мөр, цагийн бүртгэл болон нотлох чадвартай баталгаажуулалтын тайлан нь анхдагч нотлох баримт болно.

41 дүгээр зүйл. Бусад

41.1. Харилцагч нь Нөхцөл болон гэрээгээр хүлээсэн эрх, үүргээ Үйлчилгээ үзүүлэгчийн бичгээр өгсөн зөвшөөрөлгүйгээр бусдад шилжүүлэх эрхгүй. Үйлчилгээ үзүүлэгч нь өөрчлөн байгуулагдсан тохиолдолд эрх, үүргээ эрх залгамжлагчид шилжүүлж болно.

41.2. Нөхцөлийн аль нэг заалт хүчин төгөлдөр бус болсон нь бусад заалтын хүчин төгөлдөр байдалд нөлөөлөхгүй.

41.3. Нөхцөлийг монгол хэлээр үйлдэнэ. Бусад хэл рүү орчуулсан хувилбартай зөрчилдвөл монгол хэл дээрх хувилбар дагаж мөрдөгдөнө.

41.4. Нөхцөл нь талуудын хооронд түншлэл, хамтарсан үйлдвэр, төлөөлөл буюу ажил олгогч-ажилтны харилцаа үүсгэхгүй.

41.5. Нөхцөлд заагаагүй асуудлыг Монгол Улсын Иргэний хууль болон холбогдох бусад хууль тогтоомжийн дагуу шийдвэрлэнэ.

ХАВСРАЛТ 1. ЭРХИЙН ХҮРЭЭНИЙ ЗАГВАРУУД

Эрх баригч Төлөөлөгчид эрх олгохдоо дараах загварын аль нэгийг сонгох, эсхүл өөрөө тохируулж тогтооно. Хэлцлийн дүнгийн хязгаарыг Эрх баригч тухайн Байгууллагын дотоод журамд нийцүүлэн тогтооно.

ХАВСРАЛТ 2. ДЭМЖЛЭГИЙН СУВАГ, ҮЙЛЧИЛГЭЭНИЙ ТҮВШНИЙ ХУРААНГУЙ

Үйлчилгээний түвшин, хариу өгөх хугацаа, нөхөн олговрын нөхцөлийг Нөхцөлийн VIII хэсэгт заасан. Тухайн Харилцагчид хамаарах түвшинг Арилжааны хавсралтаар тодорхойлно.

ХАВСРАЛТ 3. ХОЛБОО БАРИХ

Үйлчилгээ үзүүлэгчийн хаяг, харилцах утас болон шинэчилсэн холбоо барих мэдээллийг цахим хуудсанд байршуулна.

ХАВСРАЛТ 4. ХУВИЛБАРЫН ТҮҮХ

1. Ерөнхий заалт

Gerege Systems ХХК (цаашид «бид», «манай») нь Монгол Улсын иргэдэд зориулсан цахим иргэний үнэмлэхний албан ёсны Гэрчилгээ олгогч байгууллага (Certificate Authority, CA) бөгөөд цахим гарын үсгийн гэрчилгээ олгох, баталгаажуулах үйлчилгээ үзүүлдэг. Үйлчилгээг ашиглаж буй хэрэглэгч нь Монгол Улсын Цахим гарын үсгийн тухай хууль, Хүний хувийн мэдээлэл хамгаалах тухай хууль, болон энэхүү нөхцөлийг бүрэн дагаж мөрдөнө.

Улсын бүртгэлийн дугаар 6235972. Энэ хэсэг нь гэрчилгээ эзэмшигч иргэнтэй үүсэх харилцааг зохицуулна (Цахим гарын үсгийн тухай хуулийн 16.6; дээрх Нөхцөлийн 5.3).

2. Үйлчилгээний тодорхойлолт

e-ID Mongolia үйлчилгээ нь дараах үндсэн бүрэлдэхүүн хэсгээс тогтоно:

• Цахим гарын үсгийн гэрчилгээ олгох (ДАН системээр баталгаажсан иргэнд)
• Гар утсаар цахим гарын үсэг зурах (iOS, Android)
• Найдвартай тал (Relying Party, RP)-уудаас ирэх баталгаажуулалт, гарын үсэг зурах хүсэлтийг боловсруулах
• Бүртгэгдсэн RP-уудтай TLS-ээр аюулгүй өгөгдөл солилцох
• Гэрчилгээний хүчин төгөлдөр байдлыг бодит цагт мэдээлэх (OCSP, CRL)

3. Үйлчилгээ авах эрх

Үйлчилгээг дараах нөхцөлийг хангасан этгээд ашиглана:

• Монгол Улсын 18 нас хүрсэн иргэн (Цахим гарын үсгийн тухай хуулийн дагуу)
• (б) гадаадын 18 нас хүрсэн иргэн — NFC чиптэй хүчин төгөлдөр паспорттой, паспортын чип болон царайны тулгалтаар баталгаажих боломжтой
• Хүчин төгөлдөр иргэний үнэмлэхтэй
• ДАН системээр баталгаажих боломжтой
• iOS 15+ эсвэл Android 7+ үйлдлийн системтэй төхөөрөмжтэй

18 нас хүрээгүй хүүхэд болон хуулийн хүчин төгөлдөр шийдвэрээр эрх нь хязгаарлагдсан этгээд Үйлчилгээ ашиглах эрхгүй.

4. Бүртгэл, нэвтрэлт

Үйлчилгээг ашиглахын тулд та дараах алхмуудыг хийнэ:

• ДАН системээр өөрийгөө баталгаажуулах (регистрийн дугаар, биометр)
• PIN код тохируулах: нэвтрэхэд PIN1 (4 орон), гарын үсэг зурахад PIN2 (6 орон). PIN кодыг найдвартай хадгалах нь Таны үүрэг
• Биометр түгжээ (Face ID / Touch ID / хурууны хээ) идэвхжүүлэх боломжтой
• Хувийн түлхүүр хоёр хуваагдан хадгалагдана: нэг хэсэг нь таны төхөөрөмжийн хамгаалагдсан санах ойд, нөгөө хэсэг нь манай серверт, криптограф модуль (HSM) доторх түлхүүрээр шифрлэгдсэн хэлбэрээр. Аль нэг тал дангаараа хүчин төгөлдөр гарын үсэг үүсгэж чадахгүй; бид таны хувийн түлхүүрийг бүрэн хэлбэрээр хуулбарлаж авахгүй бөгөөд таны зөвшөөрөлгүйгээр гарын үсэг үүсгэхгүй (Нөхцөлийн 14 дүгээр зүйл)
• Гарын үсэг бүрийг PIN эсвэл биометрик баталгаажуулалтаар, таны санаатай, идэвхтэй үйлдлээр үүсгэнэ; юунд гарын үсэг зурж байгааг дэлгэцэд харуулна (Нөхцөлийн 15 дугаар зүйл)

Бүртгэлтэй холбоотой сэжигтэй үйлдэл илэрсэн тохиолдолд та eIDsupport@gerege.com хаягт нэн даруй мэдэгдэх үүрэгтэй.

5. Хэрэглэгчийн үүрэг

• PIN кодоо бусадтай хуваалцахгүй, найдвартай хадгалах
• Төхөөрөмжөө бусдад өгөхгүй, алдсан буюу хулгайлагдсан тохиолдолд гэрчилгээгээ нэн даруй хүчингүй болгох
• Гэрчилгээний мэдээллийг үнэн зөв байлгах, өөрчлөгдсөн тохиолдолд бидэнд мэдэгдэх
• Хууль бус, луйврын зорилгоор Үйлчилгээг ашиглахгүй байх
• Аюулгүй байдлын зөрчил, хувийн түлхүүрийн нууц алдагдсан гэж үзвэл нэн даруй мэдэгдэх (eIDsupport@gerege.com, 24/7)
• Үйлдлийн систем болон аппликейшнаа сүүлийн хувилбарт шинэчилж байх

6. Гэрчилгээний хүчин төгөлдөр байдал

Цахим гарын үсгийн гэрчилгээний хүчин төгөлдөр байдлын нөхцөл:

• Гэрчилгээ олгогдсоноос хойш 5 жилийн хугацаанд хүчинтэй (гэрчилгээ олгогч CA-ийн хүчинтэй хугацаанаас хэтрэхгүй; одоогийн гинж 2031-01-30 хүртэл)
• Хугацаа дуусахаас өмнө шинэчлэх (renew) боломжтой
• Дараах тохиолдолд гэрчилгээ хүчингүй болно: хэрэглэгчийн хүсэлтээр; төхөөрөмж алдагдсан буюу хулгайлагдсан; гэрчилгээний мэдээлэл задарсан; хэрэглэгч нас барсан; эрх бүхий байгууллагын хуулийн хүчин төгөлдөр шийдвэрээр
• Хүчингүй болсон гэрчилгээг дахин сэргээх боломжгүй — хэрэглэгч шинэ гэрчилгээ авах шаардлагатай
• Хүчингүй болсон төлөвийг OCSP / CRL-ээр RP-уудад бодит цагт мэдээлнэ
• Төхөөрөмж солих, PIN мартсан тохиолдолд ДАН систем ба Liveness check, эсвэл G-Sign тоон гарын үсгээр дахин бүртгүүлж сэргээнэ; шинэ гэрчилгээ олгогдоход өмнөх гэрчилгээ цуцлагдана (Нөхцөлийн 16 дугаар зүйл)

7. Хориглох үйлдэл

Үйлчилгээг ашиглахдаа дараах үйлдлийг хийхийг хориглоно:

• Бусдын нэрийг хуурамчаар ашиглах, хуурамч баримт бичигт гарын үсэг зурах
• Аппликейшныг reverse engineer хийх, эх кодыг өөрчлөх, jailbreak / root хийсэн төхөөрөмж дээр ашиглах
• Аюулгүй байдлын механизмыг тойрох, халдлагын зорилгоор турших
• Үйлчилгээний дэд бүтцэд DDoS, brute-force зэрэг халдлага үзүүлэх
• Хувийн түлхүүрийг гарган авахыг оролдох, биометр баталгаажуулалтыг хуурах
• Bot, scraper, автоматжуулсан скриптээр Үйлчилгээг ашиглах
• Хууль бус мэдээллийг баталгаажуулах, нууцлахад хувийн түлхүүр ашиглах; төрийн нууцад хамаарах мэдээлэлд Үйлчилгээг ашиглах (Нөхцөлийн 28 дугаар зүйл)

8. Оюуны өмчийн эрх

e-ID Mongolia аппликейшн, лого, дизайн, эх код, баримт бичгийн оюуны өмчийн эрх нь Gerege Systems ХХК-д харьяалагдана. Үйлчилгээг хувь хүний хэрэгцээнд ашиглахаас бусад тохиолдолд (хуулбарлах, тараах, өөрчлөх, борлуулах, орчуулах, өөр бүтээгдэхүүнд оруулах гэх мэт) бичгээр өгсөн зөвшөөрөл шаардагдана.

9. Үйлчилгээ зогсоох, хүчингүй болгох

Бид дараах тохиолдолд таны Үйлчилгээ авах эрхийг түр зогсоох буюу хүчингүй болгоно:

• Энэхүү нөхцөлийг зөрчсөн
• Луйвар, хууль бус үйлдэлд оролцсон
• Үйлчилгээний аюулгүй байдалд эрсдэл учруулсан
• Эрх бүхий байгууллагын хуулийн хүчин төгөлдөр шийдвэрээр

Та хэзээ ч аппликейшн доторх «Бүртгэл устгах» товчоор Үйлчилгээг ашиглахаа зогсоох эрхтэй. Бүртгэл устгасан тохиолдолд хувийн мэдээллийг 30 хоногийн дотор устгана; харин хуулиар хадгалах бүртгэлийг Нөхцөлийн 17.2-т заасан хугацаагаар хадгална: гэрчилгээ, итгэмжлэлийн бүртгэл — гэрчилгээ дуусгавар болсноос хойш 10 жил; гарын үсгийн бүртгэл — 10 жил; системийн хандалтын лог — 5 жил.

10. Хариуцлагын хязгаарлалт

e-ID Mongolia нь дараах нөхцөлд хариуцлага хүлээхгүй:

• Хэрэглэгчийн PIN код задарсан буюу төхөөрөмж алдагдсанаас үүдсэн хохирол
• Гуравдагч этгээд (RP)-ийн зүй бус ашиглалтаас үүдсэн хохирол
• Хэрэглэгч худал мэдээлэл оруулсан буюу ДАН баталгаажуулалтыг тойрсноос үүдсэн хохирол
• Давагдашгүй хүчин зүйл (force majeure), кибер халдлага, төрийн зохицуулалтын өөрчлөлтөөс үүдсэн үйлчилгээний зогсолт
• Интернэт холболт болон хэрэглэгчийн төхөөрөмжийн доголдол

Манай нийт хариуцлагын дээд хэмжээ нь сүүлийн 12 сарын хугацаанд таны бидэнд төлсөн төлбөртэй тэнцэхүйц хэмжээгээр хязгаарлагдана. Үйлчилгээ нь иргэдэд үнэгүй үзүүлэгдэх тул эдгээр хариуцлагын хязгаарлалтыг хуулиар зөвшөөрөгдсөн хамгийн их хүрээнд хэрэгжүүлнэ.

11. Маргаан шийдвэрлэх

Энэхүү нөхцөлтэй холбоотой маргаан үүссэн тохиолдолд талууд эхлээд хэлэлцээний замаар шийдвэрлэхийг эрмэлзэнэ. 30 хоногийн дотор тохиролцоонд хүрч чадаагүй бол маргааныг Монгол Улсын эрх бүхий шүүхэд шилжүүлэн шийдвэрлүүлнэ. Энэхүү нөхцөл нь Монгол Улсын хуулиар зохицуулагдана.

12. Нөхцөлийн шинэчлэлт

Бид Үйлчилгээний нөхцөлд өөрчлөлт оруулах эрхтэй. Үндсэн өөрчлөлт оруулахаас 30-аас доошгүй хоногийн өмнө аппликейшн болон вэб сайтаар дамжуулан мэдэгдэнэ. Нөхцөл шинэчлэгдсэний дараа Үйлчилгээг үргэлжлүүлэн ашигласнаар та шинэ нөхцөлийг хүлээн зөвшөөрсөнд тооцогдоно. Шинэ нөхцөлийг хүлээн зөвшөөрөхгүй бол та Үйлчилгээг ашиглахаа зогсоож, бүртгэлээ устгах эрхтэй.

13. Хууль зүйн зохицуулалт

Үйлчилгээ дараах хууль, стандартад нийцэн ажиллана:

• Цахим гарын үсгийн тухай хууль (2021-12-17-ны шинэчилсэн найруулга, 2022-05-01-ээс мөрдөгдөж буй)
• Хүний хувийн мэдээлэл хамгаалах тухай хууль (2021)
• Кибер аюулгүй байдлын тухай хууль (2021)
• Олон улсын ETSI EN 319 4xx Trust Services стандарт
• RESTful API + TLS дээр суурилсан харилцан ажиллагаа (interoperability)-ны стандарт

14. Холбоо барих

Үйлчилгээний нөхцөлтэй холбоотой асуулт байвал бидэнтэй холбогдоно уу:

• Имэйл: eIDsupport@gerege.com — ерөнхий дэмжлэг, гомдол, хувийн мэдээлэлтэй холбоотой хүсэлт, мэдээллийн аюулгүй байдлын зөрчил (Нөхцөлийн Хавсралт 3)
• Гэрчилгээ цуцлуулах, аюулгүй байдлын зөрчил мэдээлэх — 24/7; ерөнхий дэмжлэг — ажлын өдөр 09:00–18:00 (Хавсралт 2)
• Утас: +976 7777 3773
• Хаяг: Gerege Systems ХХК, Улаанбаатар хот, Монгол Улс

Contents

• PART I. GENERAL PROVISIONS (Articles 1–5)
• PART II. ORGANISATION REGISTRATION, AUTHORITY HOLDER (Articles 6–7)
• PART III. RIGHT OF REPRESENTATION (Articles 8–13)
• PART IV. SIGNATURE CREATION, KEY SECURITY (Articles 14–16)
• PART V. RECORDS, REPORTS, AUDIT TRAIL (Articles 17–18)
• PART VI. RELYING PARTY TERMS (Articles 19–20)
• PART VII. CHANNEL PARTNER TERMS (Articles 21–22)
• PART VIII. SERVICE LEVEL (Articles 23–25)
• PART IX. CONFIDENTIALITY, INTELLECTUAL PROPERTY, PROHIBITED CONDUCT (Articles 26–28)
• PART X. PERSONAL DATA, INFORMATION SECURITY (Articles 29–31)
• PART XI. WARRANTIES, LIABILITY (Articles 32–34)
• PART XII. SUSPENSION OF SERVICE, TERMINATION (Articles 35–36)
• PART XIII. FORCE MAJEURE (Article 37)
• PART XIV. CHANGES TO THE TERMS, NOTICES, DISPUTES (Articles 38–41)
• ANNEXES 1–4

PART I. GENERAL PROVISIONS

Article 1. Parties

1.1. These product and service terms (hereinafter the «Terms») govern the relationship between Gerege Systems LLC (state registration number: 6235972; hereinafter the «Service Provider») and the person who has accepted the Terms.

1.2. The Terms apply to the following persons:

1.2.1. Organisation — a legal entity registered for the service;

1.2.2. Authority Holder — a person entitled to represent the Organisation without a power of attorney (Electronic Signature Act, Article 7.2);

1.2.3. Representative — an individual who has obtained the right to sign on behalf of the Organisation on the basis of an electronic power of attorney granted by the Authority Holder (Electronic Signature Act, Article 7.3);

1.2.4. Relying Party — an organisation that verifies a signature and acts in reliance on it (a merchant, government agency or business entity);

1.2.5. Channel Partner — a legal entity that has concluded an agreement with the Service Provider to integrate the Service into its own platform and distribute it.

1.3. The Terms apply only to the Service Provider's e-ID products and services and do not apply to the Service Provider's other products and services.

Article 2. Scope and order of precedence of the Terms

2.1. The Terms are permanently publicly available on the Service Provider's website (Electronic Signature Act, Article 22.1).

2.2. The Terms form an integral part of the agreement concluded between the parties.

2.3. Commercial terms — prices, tariffs, volume commitments, discounts, payment schedules and other commercial arrangements are not set out in the Terms. These are governed by a Commercial Annex concluded separately by the parties.

2.4. If documents conflict with one another, they apply in the following order:

(a) the requirements of the legislation of Mongolia;

(b) the Service Provider's Certification Practice Statement (CPS);

(c) the main agreement concluded by the parties;

(d) the Commercial Annex;

(e) these Terms;

(f) the annexes to the Terms.

2.5. Use of the Service for information classified as a state secret is prohibited (Electronic Signature Act, Article 3.1).

Article 3. Types of products and services

3.1. The Terms apply to the following products and services:

3.2. The set of products provided to a Customer is defined in the Commercial Annex. The provisions of the Terms apply only to the products provided to that Customer.

Article 4. Definitions

4.1. Terms used in the Terms have the meanings given in Article 4 of the Electronic Signature Act. In addition:

Article 5. Conclusion, entry into force and term of the agreement

5.1. The Terms enter into force in either of the following ways:

(a) by the Customer accepting the Terms on the Platform;

(b) by the parties signing the main agreement.

5.2. The term of the agreement is the term specified in the Commercial Annex or, if none is specified, one year. If neither party gives notice of termination at least 30 days before the term expires, the agreement is deemed extended for the same term.

5.3. The relationship with a certificate holder is governed by the agreement referred to in Article 16.6 of the Electronic Signature Act and by the Service Provider's terms for certificate holders.

PART II. ORGANISATION REGISTRATION, AUTHORITY HOLDER

Article 6. Creating and verifying a registration

6.1. An Organisation's registration may be opened only by the Authority Holder.

6.2. The Authority Holder is verified as follows (Electronic Signature Act, Article 16.2):

(a) whether their personal digital signature certificate is valid;

(b) whether that person is registered in the state register of legal entities as a person entitled to represent the entity without a power of attorney;

(c) whether the legal entity's state registration certificate is valid.

6.3. The Service Provider performs the check referred to in clause 6.2(b) of the Agreement automatically against the database of the state registration authority. Where an automatic check is not possible, the Organisation submits the relevant documents.

6.4. By creating a registration, the Organisation acquires the following rights:

(a) to hold an electronic seal (ESA 7.1);

(b) to grant rights to Representatives (Part III);

(c) to obtain reports and the audit trail (Part V).

6.5. The Service Provider has the right to refuse to open an account if the requirements set out in 6.2 are not met or the information submitted is inconsistent, and shall notify the grounds for refusal.

Article 7. Rights and obligations of the Authority Holder

7.1. The Authority Holder has the following rights: to sign on behalf of the Organisation and use the electronic seal; to grant rights to Representatives and to set, change and revoke the Scope of Authority; to access reports and the audit trail; to close the Organisation's account.

7.2. The Authority Holder has the following obligations:

7.2.1. not to transfer their own private key to others (ESA 14.3.1);

7.2.2. to define the Scope of Authority clearly before granting a right of representation;

7.2.3. to revoke a Representative's rights immediately once they are no longer needed;

7.2.4. to notify the Service Provider within one working day if the Authority Holder changes or the Organisation's right of representation changes;

7.2.5. to give advance notice if the Organisation is to be reorganised or liquidated;

7.2.6. to explain to each Representative their Scope of Authority and the responsibility they bear;

7.2.7. to keep the contact details given in the registration up to date.

7.3. The Authority Holder is responsible, on behalf of the Organisation, for the consequences of actions performed by a Representative within the Scope of Authority.

PART III. RIGHT OF REPRESENTATION

Article 8. Procedure for granting rights

8.1. A right of representation arises in the following sequence:

8.2. No right arises until the Representative accepts.

8.3. The Representative must hold a valid digital signature certificate in their own name. If they do not have a certificate, they must first obtain one in accordance with the procedure set out in the Electronic Signature Act.

8.4. Legal basis. An Electronic Power of Attorney is a power of attorney executed in electronic form that meets the requirements for a power of attorney set out in the Civil Code. Under Article 6.3 of the Electronic Signature Act, a digital signature has the same validity as a signature on a paper document.

Article 9. Scope of Authority and restrictions

9.1. The Authority Holder sets the following restrictions:

9.2. Attempts to act outside the Scope of Authority are blocked by the Platform's technical controls.

9.3. Changing the Scope of Authority is equivalent to granting a new power of attorney: the Authority Holder signs again and the Representative accepts again.

9.4. Notarisation. For transactions for which the law requires notarisation, an Electronic Power of Attorney alone may not be sufficient. The Platform shows the Authority Holder a warning for document categories specifically marked in Annex 1. The obligation to satisfy the form required by law for the transaction concerned rests with the Organisation.

Article 10. Term of a power of attorney

10.1. An Electronic Power of Attorney granted for a fixed term shall have a term of no more than three years.

10.2. If no term is specified, the power of attorney is valid for one year from the date it is granted.

10.3. The Platform enforces the limits set out in 10.1 and 10.2 automatically.

10.4. The term of a power of attorney does not exceed the validity period of the Representative's digital signature certificate.

10.5. The Authority Holder and the Representative are notified 30 days before the term expires.

Article 11. Revocation and termination

11.1. An Electronic Power of Attorney terminates on the following grounds:

11.2. The Authority Holder and the Representative have the right to revoke or renounce the power of attorney at any time.

11.3. Duty to notify. As soon as a power of attorney terminates, the Platform automatically notifies the following persons:

(a) the Representative;

(b) Relying Parties registered to receive notifications — in order to fulfil the duty under the Civil Code to notify third parties;

(c) the Authority Holder, by way of a confirmation notice.

11.4. From the time a power of attorney terminates, signatures made in reliance on that power of attorney are not valid. Termination does not affect the validity of signatures made before termination, and the time of signing is established by the time stamp (ESA 9).

Article 12. Change of Authority Holder

12.1. If the Authority Holder changes, the following sequence applies:

12.2. A change of Authority Holder is established from the following sources:

(a) a change in the database of the state registration authority (automatically, where technically possible);

(b) the Organisation's notice under 7.2.4;

(c) the Service Provider's periodic reconciliation.

12.3. Organisation's responsibility. Where automatic detection is not possible, the obligation to give notice of a change of Authority Holder within one working day rests with the Organisation. The Organisation is responsible for the consequences of failing to give notice.

12.4. To reduce the risk referred to in 12.3, the Organisation is advised to set the term of powers of attorney at no more than 12 months.

Article 13. Rights and obligations of the Representative

13.1. The Representative has the following rights: to sign on behalf of the Organisation within the Scope of Authority; to renounce the power of attorney at any time; to view the history of the signatures they have made; to view their Scope of Authority at any time.

13.2. The Representative has the following obligations:

13.2.1. not to transfer their own private key to others (ESA 14.3.1);

13.2.2. to review the content of a document before signing it;

13.2.3. not to act outside the Scope of Authority;

13.2.4. to be aware that they are signing on behalf of the Organisation and to exercise the corresponding care and caution;

13.2.5. to give notice immediately if they believe the confidentiality of their private key has been compromised (ESA 14.3.3).

13.3. If the Representative attempts to act outside the Scope of Authority, the Platform does not carry out the action. Where the action is carried out by breaching or circumventing the technical controls, the Representative is responsible.

13.4. Key principle. The Representative does not use the Authority Holder's private key and has no technical means of using it. The Representative signs only with their own private key and proves their authority with the Electronic Power of Attorney. This is a requirement of Article 14.3.1 of the Electronic Signature Act, and the Platform ensures it through technical controls.

PART IV. SIGNATURE CREATION, KEY SECURITY

Article 14. Key Splitting

14.1. The private key is split and stored as follows:

(a) one part in the protected storage of the Holder's device;

(b) the other part on the Service Provider's server; both the server key part and the part received from the device are stored encrypted with an AES-256 key that never leaves a cryptographic module (HSM).

14.2. Neither side alone can create a valid signature.

14.3. The Service Provider is prohibited from creating a signature without the Holder's consent.

14.4. The Service Provider does not copy the Holder's private key in full (ESA 21.2.5).

14.5. If the device key part is copied, the Service Provider detects it, deactivates the device concerned, immediately revokes the Holder's certificates and notifies the Holder.

14.6. The Service Provider uses only digital signature devices included in the list of the central state administrative body in charge of digital development and communications (ESA 20.2.9).

Article 15. Sole Control

15.1. Each time a signature is created, the following conditions are met:

(a) the Holder performs PIN, biometric authentication or equivalent authentication specified in the Service Provider's CPS;

(b) the Platform shows on screen what is being signed;

(c) if signing on behalf of an Organisation, it shows which Organisation and within what Scope of Authority the signature is being made;

(d) the Holder confirms by an intentional, active action.

15.2. It must be possible to detect whether the information has been altered after signing (ESA 6.2.3).

Article 16. Device change and recovery

16.1. If the Holder changes their device or forgets their PIN, the Platform offers the following recovery channels:

(a) remotely: via the DAN system and a Liveness check;

(b) remotely: with a G-Sign digital signature;

(c) in person: at a Gerege kiosk device.

16.2. Recovery is performed by re-enrollment: when new certificates are issued, the previous valid certificates are revoked with reason superseded (4) (ESA 17).

16.3. The Holder's rights of representation in an Organisation are retained when the device is changed; only the certificates are re-issued.

16.4. The set of recovery channels may change depending on technical and regulatory requirements, and the Service Provider keeps at least one remote recovery channel in operation at all times.

PART V. RECORDS, REPORTS, AUDIT TRAIL

Article 17. Records

17.1. The Platform records the following information in a way that cannot be altered:

17.2. Record retention periods:

17.3. The Service Provider deletes records whose retention period has expired in accordance with the procedure set out in legislation.

Article 18. Reports

18.1. The Organisation is entitled to obtain the following reports:

18.2. The availability and volume of reports and the frequency of reporting are defined in the Commercial Annex.

18.3. Reports are viewed by the Organisation's Authority Holder and persons authorised by them.

18.4. A Representative views only the report of the signatures they have made.

PART VI. RELYING PARTY TERMS

Article 19. Obligations of the Relying Party

19.1. A Relying Party uses the Service under a separate agreement concluded with the Service Provider. These Terms form an integral part of that agreement.

19.2. Before acting in reliance on a signature, the Relying Party must check the following:

19.3. The Relying Party itself bears any loss arising from failure to perform the checks referred to in clause 19.2 of the Agreement.

19.4. The Relying Party has the right to register for the automatic notifications referred to in 11.3, enabling it to learn of the revocation of a power of attorney in real time.

19.5. The Relying Party is obliged to use verification results only for the purpose specified in the agreement, not to pass Holders' information to third parties, and not to misrepresent verification results.

Article 20. Verification service

20.1. The Relying Party may use the signature verification API and the Service Provider's publicly available verification portal.

20.2. Results from the public portal are for information purposes. Where legal evidence is required, the Relying Party orders a verification report with evidentiary value.

20.3. The public portal is not intended for use at commercial scale. The Service Provider has the right to restrict access that creates an abnormal load.

20.4. Where the Relying Party uses identification and verification services, it is obliged to use them together with its own risk assessment.

PART VII. CHANNEL PARTNER TERMS

Article 21. Rights and obligations of the Channel Partner

21.1. The Channel Partner integrates the Service into its own platform and distributes it to end users on the basis of an agreement concluded with the Service Provider. These Terms form an integral part of that agreement.

21.2. The Channel Partner has the following obligations:

21.2.1. to distribute the Service only within the scope and for the purpose specified in the agreement;

21.2.2. to present these Terms to end users and obtain their acceptance;

21.2.3. to keep confidential the API keys, client_id, client_secret and certificates issued by the Service Provider, and to give immediate notice if they have been disclosed or there is a risk of disclosure;

21.2.4. to ensure the information security of its own platform and, if a vulnerability is discovered, to give notice within 24 hours;

21.2.5. not to give any warranty or promise to end users on behalf of the Service;

21.2.6. to give notice 10 days before making changes to the integration architecture, environment, domain or redirect URI;

21.2.7. to use the Service Provider's name, trademark and logo only in a form agreed in advance.

21.3. The Channel Partner may resell the Service or pass it on to third parties only on the basis of the Service Provider's written consent.

21.4. Allocation of responsibility. Towards end users, the Channel Partner is responsible for the operation of its own platform, the user experience and the payment solution, and the Service Provider is responsible for the technical operation of the e-ID service and the legal validity of signatures.

Article 22. Integration requirements

22.1. The Channel Partner carries out the integration in accordance with the Service Provider's API documentation and integration guide.

22.2. Before moving to the production environment, the Channel Partner must pass the Service Provider's integration certification.

22.3. If the Service Provider changes or retires an API version, it gives notice 60 days in advance and provides migration support. Urgent changes arising from security requirements may be implemented immediately and notified afterwards.

22.4. The Channel Partner is prohibited from altering the signing flow, misrepresenting e-ID verification results, or offering an alternative that bypasses e-ID.

22.5. If abnormal load or misuse is detected, the Service Provider has the right to restrict access.

PART VIII. SERVICE LEVEL

Article 23. Availability

23.1. The Service Provider ensures the following availability levels. The level applicable to a given Customer is defined in the Commercial Annex:

23.2. Availability is calculated for each billing month.

23.3. Planned maintenance is notified one week in advance and carried out during low-traffic hours. Interruptions caused by planned maintenance, force majeure or faults on the Customer's side are excluded from the availability calculation.

Article 24. Response times

24.1. The Service Provider meets the following target times:

24.2. The operating hours of the support channels are set out in Annex 2.

Article 25. Service credits

25.1. If availability in a billing month falls below the level set out in 23.1, the Customer is entitled to claim the following service credits:

25.2. Service credits must be claimed in writing within 30 days after the end of the month concerned. Late claims are not accepted.

25.3. Service credits are the Customer's sole remedy for failure to meet the availability level.

25.4. No service credits apply to services provided free of charge or operated in trial mode.

PART IX. CONFIDENTIALITY, INTELLECTUAL PROPERTY, PROHIBITED CONDUCT

Article 26. Confidentiality

26.1. Each party shall not disclose to third parties commercial, technical or other confidential information received from the other party under the agreement, and shall use it only for the purposes of the agreement.

26.2. The duty of confidentiality does not apply to the following information: information that is publicly available; information that has become public through no fault of the party; information whose disclosure is required by law or by a decision of a competent authority.

26.3. The duty of confidentiality remains in force for three years after the agreement terminates. The duty of confidentiality concerning Holders' personal data and signature records has no time limit.

26.4. The Service Provider does not disclose certificate holders' confidential information (ESA 20.2.10) and does not pass information to others except in the cases set out in Article 30.1 of the Electronic Signature Act.

Article 27. Intellectual property

27.1. All rights in the Platform, its software, API, documentation, brand, logo and related intellectual property belong to the Service Provider.

27.2. The Customer is granted a non-exclusive, non-transferable licence to use the Service only within the scope of the agreement.

27.3. Documents created and signed by the Customer and the information they contain are the property of the Customer.

27.4. The parties shall not use the other party's name, logo or brand for marketing purposes without written consent.

Article 28. Prohibited conduct

28.1. Customers and Holders are prohibited from:

(a) signing on behalf of another person or outside the Scope of Authority;

(b) obtaining a certificate or a right of representation by submitting forged documents;

(c) using a private key to authenticate or encrypt information deemed unlawful (ESA 14.3.5);

(d) using the Service for information classified as a state secret (ESA 3.1);

(e) reverse engineering, copying, modifying the Platform or passing it on to third parties;

(f) carrying out security testing or penetration testing without written consent;

(g) creating abnormal load with automated tools;

(h) reselling the Service without written consent.

PART X. PERSONAL DATA, INFORMATION SECURITY

Article 29. Processing of personal data

29.1. The Service Provider processes personal data in accordance with the procedures set out in the Personal Data Protection Act, the Electronic Signature Act and the CPS.

29.2. The categories of data processed and their retention periods are set out in 17.2.

29.3. Biometric data is processed only for identification and recovery purposes, on the basis of the Holder's consent, and biometric templates are not stored on the server.

29.4. Notifications sent to Relying Parties under clause 11.3 of the Agreement contain only the status and Scope of Authority of the power of attorney, and no further information is transmitted.

29.5. The Organisation uses Representatives' signature records only for work purposes.

29.6. Information of Organisations, Relying Parties and Channel Partners is protected in accordance with the Law on Organisational Secrets and the procedure set out in Article 26 of these Terms.

29.7. The Holder has the right to access, rectify and have deleted their own data and to withdraw their consent. When the Holder deletes their account, personal data not contained in certificates is deleted 30 days after the request, and the records set out in 17.2 of these Terms are deleted after their retention period has ended. Requests are received at the address set out in Annex 3 and answered within 10 working days. The Holder deletes their account («Delete account») and downloads their own data («Download my data») directly within the application; if they re-enroll within 30 days after deletion, their personal data is not deleted. When the account is deleted, all valid certificates issued in the application and on USB tokens (including certificates issued on behalf of an organisation) are revoked; certificates and signature history are retained for the period set out in 17.2 of these Terms.

29.8. Where necessary, the parties conclude a separate personal data processing agreement.

Article 30. Subcontractors

30.1. The Service Provider may have certain parts of the Service performed by subcontractors and remains itself responsible towards the Customer for the subcontractors' activities.

30.2. The Service Provider provides the list of subcontractors involved in processing personal data at the Customer's request. Changes to the list are notified 30 days in advance.

Article 31. Information security breaches

31.1. If an information security breach is detected, the Service Provider:

(a) notifies the affected Customers and Holders within 24 hours of detection;

(b) notifies the competent authorities within the time required by law;

(c) where necessary, immediately revokes the affected certificates;

(d) documents the cause of the breach, the measures taken and the prevention plan, and notifies the Customer.

31.2. The Customer notifies the Service Provider within 24 hours of detecting a security breach on its side that may affect the Service.

PART XI. WARRANTIES, LIABILITY

Article 32. Warranties of the Service Provider

32.1. The Service Provider warrants that:

(a) the information contained in a certificate was accurate at the time the certificate was issued;

(b) the accuracy of the applicant's information was verified as required by law (ESA 20.2.4);

(c) it has not copied the Holder's private key in full (ESA 21.2.5);

(d) the Scope of Authority of Electronic Powers of Attorney has been enforced through technical controls;

(e) records and the audit trail have been stored in a way that cannot be altered;

(f) it operates in compliance with technical and security requirements (ESA 20.2.1).

32.2. Other than providing the Service at the service level set out in the Terms and the CPS, the Service Provider gives no express or implied warranty as to fitness for a particular purpose.

Article 33. Exclusions of liability

33.1. The Service Provider is not liable in the following cases:

(a) the Holder transferred their private key to others or disclosed its confidentiality (ESA 14.4);

(b) the Relying Party did not perform the checks set out in 19.2;

(c) the Holder used a certificate that had become invalid or was suspended (ESA 20.4);

(d) the Organisation did not fulfil its duty to notify set out in 7.2.4 and 12.3;

(e) the Authority Holder set the Scope of Authority incorrectly or too broadly;

(f) the Holder signed without reviewing the content of the document;

(g) the Holder was deceived and intentionally consented to the transaction themselves;

(h) force majeure;

(i) failures of third-party services, faults of the Customer's devices or software, malicious software;

(j) for a transaction for which the law requires notarisation, the Organisation did not satisfy the form required by law;

(k) the Channel Partner breached its obligations set out in Articles 21 and 22.

Article 34. Limitation of liability

34.1. The Service Provider's maximum liability under the agreement is limited to the total amount of fees paid by the Customer in the 12 months preceding the breach concerned. If the term of the agreement is less than 12 months, it is calculated on the amount of fees actually paid. For services provided free of charge, the maximum liability is MNT 5,000,000 (five million tugrik).

34.2. Where a certificate includes a transaction value limit under Article 10.3.2 of the Electronic Signature Act, liability relating to signatures made with that certificate does not exceed that limit.

34.3. The parties may agree a different maximum liability in the Commercial Annex.

34.4. The Service Provider is not liable for lost profits, lost revenue, damage to reputation, or indirect, consequential, special or incidental damages.

34.5. The limitations set out in this Article do not apply to the Service Provider's intentional wrongdoing, gross negligence, breach of the duty of confidentiality, or liability that the law prohibits from being limited.

34.6. If third-party claims, fines or losses arise for the Service Provider because the Customer breached the Terms or exceeded its rights and obligations, the Customer shall indemnify the Service Provider for them.

PART XII. SUSPENSION OF SERVICE, TERMINATION

Article 35. Suspension of service

35.1. The Service Provider has the right to suspend the Service temporarily, in whole or in part, in the following cases:

(a) a Customer or Holder has seriously breached the Terms;

(b) there is a direct threat to information security;

(c) there is a reasonable suspicion that the Service is being used for unlawful activities;

(d) a decision of a competent authority has been issued;

(e) the Customer has failed to perform its payment obligations for more than 30 days.

35.2. The Service Provider gives immediate notice of the suspension and explains the reasons and the conditions for restoration. In urgent cases it may suspend first and notify afterwards.

35.3. As soon as the grounds for suspension are removed, the Service is restored within one working day.

35.4. Suspension does not affect the validity of signatures already made.

Article 36. Termination of the agreement and consequences of termination

36.1. The agreement may be terminated at the initiative of one party on the following grounds:

(a) the other party has seriously breached the Terms and has not remedied the breach within 30 days of written notice;

(b) the Service Provider's licence has become invalid or been suspended;

(c) either party has become insolvent or a decision to liquidate it has been made;

(d) on the grounds set out in 38.4.

36.2. The following provisions remain in force even after the agreement terminates: confidentiality (26), intellectual property (27), personal data (29), record retention (17), liability (33, 34), dispute resolution (40).

36.3. After the agreement terminates, the Customer has the right to download its reports and audit trail within 90 days. After that period, the information is kept only under the retention procedure set out in 17.2.

36.4. Upon termination of the agreement, the Electronic Powers of Attorney of the Organisation concerned terminate automatically, and Relying Parties are notified in accordance with 11.3.

PART XIII. FORCE MAJEURE

Article 37. Force Majeure

37.1. Force Majeure includes fire, flood, earthquake, severe snowstorms and dust storms, epidemics, war, armed conflict, widespread civil unrest, nationwide power supply and internet network outages, decisions of competent authorities, changes in legislation and other circumstances beyond the will of the parties.

37.2. The party affected by Force Majeure notifies the other party within three working days and, where possible, confirms it with a certificate from a competent authority.

37.3. For the duration of Force Majeure, the parties are released from liability for non-performance of their contractual obligations. Payment obligations are not released by Force Majeure.

37.4. If Force Majeure continues for more than 60 days, either party has the right to terminate the agreement without penalty.

PART XIV. CHANGES TO THE TERMS, NOTICES, DISPUTES

Article 38. Amending the Terms

38.1. The Service Provider has the right to amend these Terms.

38.2. Changes that materially restrict the Customer's rights are posted on the website 30 days before they take effect and notified by registered email.

38.3. Changes arising from changes in legislation, decisions of regulatory bodies or information security requirements may be implemented immediately and notified afterwards.

38.4. If the Customer does not accept a change, it has the right to terminate the agreement without penalty within 30 days of receiving the notice. If it does not object within that period and continues to use the Service, it is deemed to have accepted the change.

38.5. The version history of the Terms is recorded in Annex 4 and kept publicly available on the website.

Article 39. Notices

39.1. Notices provided for in the Terms are delivered by notification on the Platform, by registered email, or by official letter.

39.2. A notice sent by email is deemed delivered on the working day following the day it was sent.

39.3. Customers and Holders are obliged to keep their contact details up to date and bear the consequences of failing to do so themselves.

Article 40. Governing law and dispute resolution

40.1. These Terms and the relationships arising from them are governed by and interpreted in accordance with the laws of Mongolia.

40.2. The parties resolve disputes amicably by mutual agreement. If they cannot resolve them, the dispute is referred to the courts of Mongolia.

40.3. In resolving disputes, the Platform's audit trail, time stamps and verification reports with evidentiary value constitute primary evidence.

Article 41. Miscellaneous

41.1. The Customer may not transfer its rights and obligations under the Terms and the agreement to others without the Service Provider's written consent. If the Service Provider is reorganised, it may transfer its rights and obligations to its legal successor.

41.2. The invalidity of any provision of the Terms does not affect the validity of the other provisions.

41.3. The Terms are made in the Mongolian language. In the event of a conflict with a version translated into another language, the Mongolian version prevails.

41.4. The Terms do not create a partnership, joint venture, agency or employer–employee relationship between the parties.

41.5. Matters not provided for in the Terms are resolved in accordance with the Civil Code of Mongolia and other relevant legislation.

ANNEX 1. SCOPE OF AUTHORITY TEMPLATES

When granting rights to a Representative, the Authority Holder selects one of the following templates or configures the scope themselves. The Authority Holder sets the transaction amount limit in line with the Organisation's internal rules.

ANNEX 2. SUPPORT CHANNELS, SERVICE LEVEL SUMMARY

The service level, response times and service credit terms are set out in Part VIII of the Terms. The level applicable to a given Customer is defined in the Commercial Annex.

ANNEX 3. CONTACTS

The Service Provider's address, telephone number and updated contact details are posted on the website.

ANNEX 4. VERSION HISTORY

1. General provisions

Gerege Systems LLC (hereinafter «we», «our») is the official Certificate Authority (CA) for the electronic identity cards of citizens of Mongolia and provides electronic signature certificate issuance and verification services. Users of the Service shall fully comply with Mongolia's Electronic Signature Act, the Personal Data Protection Act and these terms.

State registration number 6235972. This part governs the relationship with citizens who hold certificates (Electronic Signature Act, Article 16.6; clause 5.3 of the Terms above).

2. Description of the Service

The e-ID Mongolia service consists of the following main components:

• Issuing electronic signature certificates (to citizens verified through the DAN system)
• Creating electronic signatures with a mobile phone (iOS, Android)
• Processing authentication and signing requests received from relying parties (Relying Party, RP)
• Exchanging data securely with registered RPs over TLS
• Reporting certificate validity in real time (OCSP, CRL)

3. Eligibility

The Service may be used by persons who meet the following conditions:

• A citizen of Mongolia aged 18 or over (in accordance with the Electronic Signature Act)
• (b) A foreign national aged 18 or over — holding a valid passport with an NFC chip and able to be verified through the passport chip and a face match
• Holds a valid national identity card
• Can be verified through the DAN system
• Has a device running iOS 15+ or Android 7+

Children under 18 and persons whose legal capacity has been restricted by a legally effective decision are not entitled to use the Service.

4. Registration and sign-in

To use the Service, you complete the following steps:

• Verify your identity through the DAN system (national registration number, biometrics)
• Set your PINs: PIN1 (4 digits) for signing in and PIN2 (6 digits) for signing. Keeping your PINs secure is your obligation
• You may enable biometric unlock (Face ID / Touch ID / fingerprint)
• Your private key is split into two parts: one part is kept in your device's protected storage and the other on our server, encrypted with a key held inside a cryptographic module (HSM). Neither side alone can create a valid signature; we do not copy your private key in full and do not create a signature without your consent (Article 14 of the Terms)
• Every signature is created with PIN or biometric confirmation, by your intentional, active action; what you are signing is shown on screen (Article 15 of the Terms)

If any suspicious activity relating to your account is detected, you are obliged to report it immediately to eIDsupport@gerege.com.

5. User obligations

• Do not share your PINs with others, and keep them secure
• Do not give your device to others; if it is lost or stolen, have your certificates invalidated immediately
• Keep your certificate information accurate and notify us if it changes
• Do not use the Service for unlawful or fraudulent purposes
• If you believe there has been a security breach or that the confidentiality of your private key has been compromised, report it immediately (eIDsupport@gerege.com, 24/7)
• Keep your operating system and the application updated to the latest version

6. Certificate validity

Conditions of validity of electronic signature certificates:

• Valid for 5 years from issuance (not exceeding the validity period of the issuing CA; the current chain is valid until 2031-01-30)
• Can be renewed before expiry
• A certificate becomes invalid in the following cases: at the user's request; the device is lost or stolen; the certificate information is compromised; the user dies; by a legally effective decision of a competent authority
• An invalidated certificate cannot be restored — the user must obtain a new certificate
• The invalid status is reported to RPs in real time via OCSP / CRL
• If you change your device or forget your PIN, you recover access by re-enrolling through the DAN system and a Liveness check, or with a G-Sign digital signature; when new certificates are issued, the previous certificates are revoked (Article 16 of the Terms)

7. Prohibited actions

When using the Service, the following actions are prohibited:

• Falsely using another person's name or signing forged documents
• Reverse engineering the application, modifying its source code, or using it on a jailbroken / rooted device
• Circumventing security mechanisms or testing them for attack purposes
• Attacking the Service's infrastructure with DDoS, brute-force or similar attacks
• Attempting to extract the private key or deceiving biometric verification
• Using the Service with bots, scrapers or automated scripts
• Using the private key to authenticate or encrypt unlawful information; using the Service for information classified as a state secret (Article 28 of the Terms)

8. Intellectual property rights

The intellectual property rights in the e-ID Mongolia application, logo, design, source code and documentation belong to Gerege Systems LLC. Any use other than use of the Service for personal needs (such as copying, distributing, modifying, selling, translating or incorporating it into another product) requires written permission.

9. Suspension and termination of the Service

We will suspend or terminate your right to use the Service in the following cases:

• You have breached these terms
• You have taken part in fraud or unlawful acts
• You have created a risk to the security of the Service
• By a legally effective decision of a competent authority

You have the right to stop using the Service at any time with the «Delete account» button in the application. If you delete your account, your personal data is deleted within 30 days; however, records that must be retained by law are kept for the periods set out in clause 17.2 of the Terms: certificate and power-of-attorney records — 10 years after the certificate terminates; signature records — 10 years; system access logs — 5 years.

10. Limitation of liability

e-ID Mongolia is not liable in the following circumstances:

• Loss resulting from the disclosure of the user's PIN or the loss of their device
• Loss resulting from misuse by a third party (RP)
• Loss resulting from the user entering false information or circumventing DAN verification
• Service interruptions caused by force majeure, cyberattacks or changes in government regulation
• Faults of the internet connection or the user's device

Our total maximum liability is limited to an amount equal to the fees you have paid us in the last 12 months. As the Service is provided to citizens free of charge, these limitations of liability apply to the maximum extent permitted by law.

11. Dispute resolution

If a dispute arises in connection with these terms, the parties shall first seek to resolve it through negotiation. If no agreement is reached within 30 days, the dispute shall be referred to a competent court of Mongolia for resolution. These terms are governed by the laws of Mongolia.

12. Updates to the terms

We have the right to amend the Terms of Service. We will give notice through the application and the website at least 30 days before making a material change. By continuing to use the Service after the terms are updated, you are deemed to have accepted the new terms. If you do not accept the new terms, you have the right to stop using the Service and delete your account.

13. Legal framework

The Service operates in compliance with the following laws and standards:

• Electronic Signature Act (revised version of 2021-12-17, in force since 2022-05-01)
• Personal Data Protection Act (2021)
• Cyber Security Act (2021)
• The international ETSI EN 319 4xx Trust Services standards
• Interoperability standards based on RESTful API + TLS

14. Contact us

If you have any questions about the Terms of Service, please contact us:

• Email: eIDsupport@gerege.com — general support, complaints, personal-data requests, information security breaches (Annex 3 of the Terms)
• Certificate revocation and reporting security breaches — 24/7; general support — working days 09:00–18:00 (Annex 2)
• Phone: +976 7777 3773
• Address: Gerege Systems LLC, Ulaanbaatar, Mongolia

Содержание

• ЧАСТЬ I. ОБЩИЕ ПОЛОЖЕНИЯ (статьи 1–5)
• ЧАСТЬ II. РЕГИСТРАЦИЯ ОРГАНИЗАЦИИ, ПРАВОМОЧНОЕ ЛИЦО (статьи 6–7)
• ЧАСТЬ III. ПОЛНОМОЧИЯ ПРЕДСТАВИТЕЛЯ (статьи 8–13)
• ЧАСТЬ IV. СОЗДАНИЕ ПОДПИСИ, БЕЗОПАСНОСТЬ КЛЮЧЕЙ (статьи 14–16)
• ЧАСТЬ V. РЕГИСТРАЦИЯ СОБЫТИЙ, ОТЧЁТЫ, АУДИТОРСКИЙ СЛЕД (статьи 17–18)
• ЧАСТЬ VI. УСЛОВИЯ ДЛЯ ДОВЕРЯЮЩЕЙ СТОРОНЫ (статьи 19–20)
• ЧАСТЬ VII. УСЛОВИЯ ДЛЯ КАНАЛЬНОГО ПАРТНЁРА (статьи 21–22)
• ЧАСТЬ VIII. УРОВЕНЬ ОБСЛУЖИВАНИЯ (статьи 23–25)
• ЧАСТЬ IX. КОНФИДЕНЦИАЛЬНОСТЬ, ИНТЕЛЛЕКТУАЛЬНАЯ СОБСТВЕННОСТЬ, ЗАПРЕТЫ (статьи 26–28)
• ЧАСТЬ X. ПЕРСОНАЛЬНЫЕ ДАННЫЕ, ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ (статьи 29–31)
• ЧАСТЬ XI. ГАРАНТИИ, ОТВЕТСТВЕННОСТЬ (статьи 32–34)
• ЧАСТЬ XII. ПРИОСТАНОВЛЕНИЕ ОБСЛУЖИВАНИЯ, РАСТОРЖЕНИЕ ДОГОВОРА (статьи 35–36)
• ЧАСТЬ XIII. НЕПРЕОДОЛИМАЯ СИЛА (статья 37)
• ЧАСТЬ XIV. ИЗМЕНЕНИЕ УСЛОВИЙ, УВЕДОМЛЕНИЯ, СПОРЫ (статьи 38–41)
• ПРИЛОЖЕНИЯ 1–4

ЧАСТЬ I. ОБЩИЕ ПОЛОЖЕНИЯ

Статья 1. Стороны

1.1. Настоящие условия продукта и услуги (далее — «Условия») регулируют отношения, возникающие между Gerege Systems LLC (государственный регистрационный номер: 6235972; далее — «Поставщик услуг») и лицом, принявшим Условия.

1.2. Условия распространяются на следующих лиц:

1.2.1. Организация — юридическое лицо, зарегистрировавшееся в сервисе;

1.2.2. Правомочное лицо — лицо, имеющее право представлять Организацию без доверенности (ст. 7.2 Закона об электронной подписи);

1.2.3. Представитель — физическое лицо, получившее право подписывать от имени Организации на основании электронной доверенности, выданной Правомочным лицом (ст. 7.3 Закона об электронной подписи);

1.2.4. Доверяющая сторона — организация, которая проверяет подпись и совершает действия, полагаясь на неё (мерчант, государственный орган, хозяйствующий субъект);

1.2.5. Канальный партнёр — юридическое лицо, заключившее с Поставщиком услуг договор о встраивании Сервиса в свою платформу и его распространении.

1.3. Условия распространяются только на продукты и услуги e-ID Поставщика услуг и не распространяются на другие продукты и услуги Поставщика услуг.

Статья 2. Сфера действия и иерархия Условий

2.1. Условия постоянно размещаются в открытом доступе на веб-сайте Поставщика услуг (ст. 22.1 Закона об электронной подписи).

2.2. Условия являются неотъемлемой частью договора, заключённого между сторонами.

2.3. Коммерческие условия — цены, тарифы, обязательства по объёму, скидки, график платежей и иные коммерческие договорённости в Условия не включаются. Они регулируются Коммерческим приложением, которое стороны заключают отдельно.

2.4. При противоречии между документами они применяются в следующем порядке:

(а) требования законодательства Монголии;

(б) Регламент деятельности по сертификации Поставщика услуг (CPS);

(в) основной договор, заключённый сторонами;

(г) Коммерческое приложение;

(д) настоящие Условия;

(е) приложения к Условиям.

2.5. Использование Сервиса для сведений, составляющих государственную тайну, запрещается (ст. 3.1 Закона об электронной подписи).

Статья 3. Виды продуктов и услуг

3.1. Условия распространяются на следующие продукты и услуги:

3.2. Состав продуктов, предоставляемых Клиенту, определяется Коммерческим приложением. Положения Условий распространяются только на продукты, фактически предоставляемые данному Клиенту.

Статья 4. Термины

4.1. Термины, используемые в Условиях, понимаются в значении, установленном статьёй 4 Закона об электронной подписи. Кроме того:

Статья 5. Заключение договора, вступление в силу, срок

5.1. Условия вступают в силу в одной из следующих форм:

(а) путём принятия Условий Клиентом на Платформе;

(б) путём подписания сторонами основного договора.

5.2. Срок договора — срок, указанный в Коммерческом приложении, а если он не указан — один год. Если ни одна из сторон не направит уведомление о расторжении за 30 дней до истечения срока, договор считается продлённым на тот же срок.

5.3. Отношения с владельцем сертификата регулируются договором, предусмотренным ст. 16.6 Закона об электронной подписи, и условиями Поставщика услуг для владельцев сертификатов.

ЧАСТЬ II. РЕГИСТРАЦИЯ ОРГАНИЗАЦИИ, ПРАВОМОЧНОЕ ЛИЦО

Статья 6. Создание и подтверждение учётной записи

6.1. Учётную запись Организации открывает только Правомочное лицо.

6.2. Правомочное лицо проверяется следующим образом (ст. 16.2 Закона об электронной подписи):

(а) действителен ли личный сертификат цифровой подписи;

(б) зарегистрировано ли данное лицо в государственном реестре юридических лиц в качестве лица, имеющего право представлять без доверенности;

(в) действительно ли свидетельство о государственной регистрации юридического лица.

6.3. Проверку, предусмотренную пунктом 6.2(б) Договора, Поставщик услуг выполняет автоматически по базе данных органа государственной регистрации. Если автоматическая проверка невозможна, Организация представляет соответствующие документы.

6.4. С созданием учётной записи у Организации возникают следующие права:

(а) владеть электронной печатью (ЗЭП 7.1);

(б) предоставлять полномочия Представителям (Часть III);

(в) получать отчёты и аудиторский след (Часть V).

6.5. Поставщик услуг вправе отказать в открытии учётной записи, если требования пункта 6.2 не выполнены либо представленные сведения содержат расхождения, и сообщает основания отказа.

Статья 7. Права и обязанности Правомочного лица

7.1. Правомочное лицо вправе: подписывать от имени Организации и использовать электронную печать; предоставлять полномочия Представителям, устанавливать, изменять и отзывать объём полномочий; получать доступ к отчётам и аудиторскому следу; закрывать учётную запись Организации.

7.2. Правомочное лицо обязано:

7.2.1. не передавать свой закрытый ключ другим лицам (ЗЭП 14.3.1);

7.2.2. чётко устанавливать объём полномочий до предоставления полномочий представителя;

7.2.3. немедленно отзывать полномочия Представителя, как только в них отпадает необходимость;

7.2.4. в случае смены Правомочного лица или изменения полномочий представительства Организации уведомить Поставщика услуг в течение одного рабочего дня;

7.2.5. заблаговременно уведомлять о реорганизации или ликвидации Организации;

7.2.6. разъяснять каждому Представителю объём его полномочий и ответственность;

7.2.7. поддерживать актуальность контактных данных, указанных при регистрации.

7.3. Правомочное лицо отвечает от имени Организации за последствия действий, совершённых Представителем в пределах объёма полномочий.

ЧАСТЬ III. ПОЛНОМОЧИЯ ПРЕДСТАВИТЕЛЯ

Статья 8. Порядок предоставления полномочий

8.1. Полномочия представителя возникают в следующем порядке:

8.2. До принятия Представителем полномочия не возникают.

8.3. Представитель должен иметь действующий сертификат цифровой подписи на своё имя. При отсутствии сертификата он сначала получает его в порядке, установленном Законом об электронной подписи.

8.4. Правовое основание. Электронная доверенность является доверенностью, совершённой в электронной форме и отвечающей требованиям к доверенности, установленным Гражданским кодексом. В соответствии со ст. 6.3 Закона об электронной подписи цифровая подпись имеет такую же силу, как подпись на бумажном документе.

Статья 9. Объём полномочий и ограничения

9.1. Правомочное лицо устанавливает следующие ограничения:

9.2. Попытки совершить действие за пределами объёма полномочий блокируются техническими средствами контроля Платформы.

9.3. Изменение объёма полномочий равнозначно выдаче новой доверенности: Правомочное лицо подписывает её повторно, а Представитель повторно её принимает.

9.4. Нотариальное удостоверение. Для сделок, требующих по закону нотариального удостоверения, электронной доверенности самой по себе может быть недостаточно. Для категорий документов, специально отмеченных в Приложении 1, Платформа показывает Правомочному лицу предупреждение. Обязанность соблюсти форму, требуемую законом для соответствующей сделки, возлагается на Организацию.

Статья 10. Срок доверенности

10.1. Электронная доверенность, выданная на определённый срок, выдаётся на срок не более трёх лет.

10.2. Если срок не указан, доверенность действует один год со дня её выдачи.

10.3. Платформа автоматически применяет ограничения, предусмотренные пунктами 10.1 и 10.2.

10.4. Срок доверенности не может превышать срок действия сертификата цифровой подписи Представителя.

10.5. За 30 дней до истечения срока Правомочное лицо и Представитель получают уведомление.

Статья 11. Отзыв, прекращение

11.1. Электронная доверенность прекращается по следующим основаниям:

11.2. Правомочное лицо и Представитель вправе в любое время отозвать доверенность или отказаться от неё.

11.3. Обязанность уведомления. Как только доверенность прекращается, Платформа автоматически уведомляет следующих лиц:

(а) Представителя;

(б) Доверяющую сторону, подписавшуюся на получение уведомлений, — в целях исполнения предусмотренной Гражданским кодексом обязанности уведомления третьих лиц;

(в) Правомочное лицо — подтверждающее уведомление.

11.4. Подпись, поставленная на основании доверенности после момента её прекращения, не имеет силы. Прекращение не влияет на действительность подписей, поставленных до прекращения, а время подписания устанавливается по метке времени (ЗЭП 9).

Статья 12. Смена Правомочного лица

12.1. При смене Правомочного лица действия выполняются в следующем порядке:

12.2. Смена Правомочного лица устанавливается по следующим источникам:

(а) изменение в базе данных органа государственной регистрации (автоматически, при наличии технической возможности);

(б) уведомление Организации, предусмотренное пунктом 7.2.4;

(в) периодическая сверка, проводимая Поставщиком услуг.

12.3. Ответственность Организации. Если автоматическое выявление невозможно, обязанность уведомить о смене Правомочного лица в течение одного рабочего дня возлагается на Организацию. Последствия неуведомления несёт Организация.

12.4. В целях снижения риска, указанного в пункте 12.3, Организации рекомендуется устанавливать срок доверенности не более 12 месяцев.

Статья 13. Права и обязанности Представителя

13.1. Представитель вправе: подписывать от имени Организации в пределах объёма полномочий; в любое время отказаться от доверенности; просматривать историю своих подписей; в любое время просматривать свой объём полномочий.

13.2. Представитель обязан:

13.2.1. не передавать свой закрытый ключ другим лицам (ЗЭП 14.3.1);

13.2.2. ознакомиться с содержанием документа до его подписания;

13.2.3. не совершать действий за пределами объёма полномочий;

13.2.4. осознавать, что подписывает от имени Организации, и проявлять соответствующую осмотрительность;

13.2.5. немедленно сообщить, если считает, что секретность закрытого ключа нарушена (ЗЭП 14.3.3).

13.3. Если Представитель пытается совершить действие за пределами объёма полномочий, Платформа его не выполняет. Если действие совершено в нарушение или в обход технических средств контроля, ответственность несёт Представитель.

13.4. Принцип ключа. Представитель не использует закрытый ключ Правомочного лица и не имеет технической возможности его использовать. Представитель подписывает только своим закрытым ключом, а свои полномочия подтверждает электронной доверенностью. Это требование ст. 14.3.1 Закона об электронной подписи, и Платформа обеспечивает его соблюдение техническими средствами контроля.

ЧАСТЬ IV. СОЗДАНИЕ ПОДПИСИ, БЕЗОПАСНОСТЬ КЛЮЧЕЙ

Статья 14. Разделение ключа

14.1. Закрытый ключ хранится в разделённом виде следующим образом:

(а) одна часть — в защищённой памяти устройства Владельца;

(б) другая часть — на сервере Поставщика услуг; серверная часть ключа и часть, поступившая с устройства, хранятся в зашифрованном виде ключом AES-256, который не покидает криптографический модуль (HSM).

14.2. Ни одна из сторон в одиночку не может создать действительную подпись.

14.3. Поставщику услуг запрещается создавать подпись без согласия Владельца.

14.4. Поставщик услуг не копирует закрытый ключ Владельца в полном виде (ЗЭП 21.2.5).

14.5. При выявлении случая копирования части ключа, хранящейся на устройстве, Поставщик услуг деактивирует соответствующее устройство, немедленно отзывает сертификат Владельца и уведомляет Владельца.

14.6. Поставщик услуг использует только средства цифровой подписи, включённые в перечень центрального государственного административного органа, ведающего вопросами цифрового развития и связи (ЗЭП 20.2.9).

Статья 15. Единоличный контроль

15.1. При каждом создании подписи обеспечиваются следующие условия:

(а) Владелец проходит подтверждение PIN-кодом, биометрической аутентификацией или равнозначным способом, указанным в CPS Поставщика услуг;

(б) Платформа показывает на экране, что именно подписывается;

(в) если подпись ставится от имени Организации, показывается, от имени какой Организации и в каком объёме полномочий она ставится;

(г) Владелец подтверждает подписание намеренным, активным действием.

15.2. Должна обеспечиваться возможность выявить, вносились ли изменения в сведения после подписания (ЗЭП 6.2.3).

Статья 16. Смена устройства, восстановление

16.1. Если Владелец меняет устройство или забыл PIN, Платформа предлагает следующие каналы восстановления:

(а) удалённо: через систему DAN и проверку Liveness;

(б) удалённо: с помощью цифровой подписи G-Sign;

(в) лично: через устройство киоск Gerege.

16.2. Восстановление осуществляется путём повторной регистрации: при выдаче нового сертификата прежний действующий сертификат отзывается по причине superseded (4) (ЗЭП 17).

16.3. Полномочия представителя Владельца в Организации при смене устройства сохраняются; заново создаётся только сертификат.

16.4. Состав каналов восстановления может меняться в зависимости от технических и регуляторных требований, при этом Поставщик услуг постоянно поддерживает в работе не менее одного канала удалённого восстановления.

ЧАСТЬ V. РЕГИСТРАЦИЯ СОБЫТИЙ, ОТЧЁТЫ, АУДИТОРСКИЙ СЛЕД

Статья 17. Регистрация событий

17.1. Платформа регистрирует следующие сведения без возможности их изменения:

17.2. Сроки хранения записей:

17.3. Записи с истёкшим сроком хранения Поставщик услуг уничтожает в порядке, установленном законодательством.

Статья 18. Отчёты

18.1. Организация вправе получать следующие отчёты:

18.2. Доступность, объём и периодичность формирования отчётов определяются Коммерческим приложением.

18.3. Отчёты просматривают Правомочное лицо Организации и уполномоченные им лица.

18.4. Представитель просматривает только отчёт о своих собственных подписях.

ЧАСТЬ VI. УСЛОВИЯ ДЛЯ ДОВЕРЯЮЩЕЙ СТОРОНЫ

Статья 19. Обязанности Доверяющей стороны

19.1. Доверяющая сторона пользуется Сервисом на основании отдельного договора с Поставщиком услуг. Настоящие Условия являются неотъемлемой частью этого договора.

19.2. Прежде чем совершить действие, полагаясь на подпись, Доверяющая сторона в обязательном порядке проверяет следующее:

19.3. Ущерб, возникший вследствие невыполнения проверок, предусмотренных пунктом 19.2 Договора, Доверяющая сторона несёт самостоятельно.

19.4. Доверяющая сторона вправе подписаться на автоматические уведомления, предусмотренные пунктом 11.3, и тем самым узнавать об отзыве доверенностей в режиме реального времени.

19.5. Доверяющая сторона обязана использовать результаты проверки только в целях, указанных в договоре, не передавать сведения о Владельце третьим лицам и не представлять результаты проверки в искажённом виде.

Статья 20. Услуга проверки

20.1. Доверяющая сторона может использовать API проверки подписи и общедоступный портал проверки Поставщика услуг.

20.2. Результаты общедоступного портала носят информационный характер. Если требуется юридическое доказательство, Доверяющая сторона заказывает отчёт о проверке, имеющий доказательную силу.

20.3. Общедоступный портал не предназначен для использования в коммерческих масштабах. Поставщик услуг вправе ограничивать обращения, создающие нештатную нагрузку.

20.4. Доверяющая сторона, использующая услуги идентификации и проверки, обязана применять их вместе с собственной оценкой рисков.

ЧАСТЬ VII. УСЛОВИЯ ДЛЯ КАНАЛЬНОГО ПАРТНЁРА

Статья 21. Права и обязанности Канального партнёра

21.1. Канальный партнёр на основании договора, заключённого с Поставщиком услуг, встраивает Сервис в свою платформу и распространяет его среди конечных пользователей. Настоящие Условия являются неотъемлемой частью этого договора.

21.2. Канальный партнёр обязан:

21.2.1. распространять Сервис только в пределах и в целях, указанных в договоре;

21.2.2. знакомить конечных пользователей с настоящими Условиями и получать их согласие с ними;

21.2.3. хранить в тайне API-ключи, client_id, client_secret и сертификаты, выданные Поставщиком услуг, и незамедлительно сообщать об их компрометации или о возникновении риска компрометации;

21.2.4. обеспечивать информационную безопасность своей платформы и сообщать о выявленных уязвимостях в течение 24 часов;

21.2.5. не давать конечным пользователям никаких гарантий и обещаний от имени Сервиса;

21.2.6. сообщать за 10 дней о внесении изменений в архитектуру интеграции, среду, домен, redirect URI;

21.2.7. использовать наименование, товарный знак и логотип Поставщика услуг только в заранее согласованной форме.

21.3. Канальный партнёр осуществляет перепродажу Сервиса или его передачу третьим лицам только на основании письменного разрешения Поставщика услуг.

21.4. Распределение ответственности. Перед конечным пользователем Канальный партнёр отвечает за работу своей платформы, пользовательский опыт и платёжные решения, а Поставщик услуг — за техническое функционирование услуги e-ID и юридическую действительность подписи.

Статья 22. Требования к интеграции

22.1. Канальный партнёр выполняет интеграцию в соответствии с документацией API и руководством по интеграции Поставщика услуг.

22.2. Перед переходом в промышленную среду обязательно прохождение проверки интеграции Поставщиком услуг.

22.3. При изменении версии API или выводе её из эксплуатации Поставщик услуг уведомляет за 60 дней и оказывает поддержку при переходе. Срочные изменения, обусловленные требованиями безопасности, могут вводиться немедленно с последующим уведомлением.

22.4. Канальному партнёру запрещается изменять процесс подписания, представлять результаты проверки e-ID в искажённом виде и предлагать варианты в обход e-ID.

22.5. При выявлении нештатной нагрузки или злоупотребления Поставщик услуг вправе ограничить доступ.

ЧАСТЬ VIII. УРОВЕНЬ ОБСЛУЖИВАНИЯ

Статья 23. Доступность

23.1. Поставщик услуг обеспечивает следующие уровни доступности. Уровень, применимый к конкретному Клиенту, определяется Коммерческим приложением:

23.2. Доступность рассчитывается за каждый расчётный месяц.

23.3. О плановом обслуживании сообщается за неделю, и оно проводится в часы низкой нагрузки. Перерывы, вызванные плановым обслуживанием, обстоятельствами непреодолимой силы и сбоями на стороне Клиента, в расчёт доступности не включаются.

Статья 24. Время отклика

24.1. Поставщик услуг обеспечивает следующие целевые показатели времени:

24.2. Часы работы каналов поддержки указаны в Приложении 2.

Статья 25. Компенсация

25.1. Если доступность за расчётный месяц оказалась ниже уровня, указанного в пункте 23.1, Клиент вправе потребовать следующую компенсацию:

25.2. Требование о компенсации предъявляется в письменной форме в течение 30 дней после окончания соответствующего месяца. Требования, предъявленные с пропуском срока, не принимаются.

25.3. Компенсация является единственным средством правовой защиты Клиента в связи с несоблюдением уровня доступности.

25.4. На услуги, предоставляемые бесплатно или в тестовом режиме, компенсация не начисляется.

ЧАСТЬ IX. КОНФИДЕНЦИАЛЬНОСТЬ, ИНТЕЛЛЕКТУАЛЬНАЯ СОБСТВЕННОСТЬ, ЗАПРЕТЫ

Статья 26. Конфиденциальность

26.1. Каждая сторона не разглашает третьим лицам коммерческую, техническую и иную конфиденциальную информацию, полученную от другой стороны в рамках договора, и использует её только в целях договора.

26.2. Обязательство о конфиденциальности не распространяется на следующую информацию: общедоступную информацию; информацию, ставшую общеизвестной не по вине стороны; информацию, предоставление которой требуется по закону или по решению уполномоченного органа.

26.3. Обязательство о конфиденциальности действует в течение трёх лет после прекращения договора. Обязательство о конфиденциальности в отношении персональных данных Владельца и журнала подписей является бессрочным.

26.4. Поставщик услуг не разглашает тайну владельца сертификата (ЗЭП 20.2.10) и не передаёт сведения другим лицам, за исключением случаев, предусмотренных ст. 30.1 Закона об электронной подписи.

Статья 27. Интеллектуальная собственность

27.1. Все права интеллектуальной собственности на Платформу, её программное обеспечение, API, документацию, бренд, логотип и связанные объекты принадлежат Поставщику услуг.

27.2. Клиенту предоставляется неисключительная, непередаваемая лицензия на использование Сервиса только в рамках договора.

27.3. Документы, созданные и подписанные Клиентом, и содержащаяся в них информация являются собственностью Клиента.

27.4. Стороны не используют наименование, логотип и бренд другой стороны в маркетинговых целях без письменного разрешения.

Статья 28. Запреты

28.1. Клиенту и Владельцу запрещается:

(а) подписывать от имени других лиц или за пределами объёма полномочий;

(б) получать сертификат или полномочия представителя, представив поддельные документы;

(в) использовать закрытый ключ для удостоверения или шифрования сведений, признанных противоправными (ЗЭП 14.3.5);

(г) использовать Сервис для сведений, составляющих государственную тайну (ЗЭП 3.1);

(д) декомпилировать, копировать, изменять Платформу или передавать её третьим лицам;

(е) проводить проверки безопасности и тесты на проникновение без письменного разрешения;

(ж) создавать нештатную нагрузку с помощью автоматизированных средств;

(з) перепродавать Сервис без письменного разрешения.

ЧАСТЬ X. ПЕРСОНАЛЬНЫЕ ДАННЫЕ, ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ

Статья 29. Обработка персональных данных

29.1. Поставщик услуг обрабатывает персональные данные в порядке, установленном Законом о защите персональных данных, Законом об электронной подписи и CPS.

29.2. Категории обрабатываемых данных и сроки их хранения указаны в пункте 17.2.

29.3. Биометрические данные обрабатываются только в целях идентификации и восстановления, на основании согласия Владельца, а биометрический шаблон на сервере не хранится.

29.4. Уведомление Доверяющей стороне, предусмотренное пунктом 11.3 Договора, содержит только статус доверенности и объём полномочий; сверх этого никакие сведения не передаются.

29.5. Организация использует журнал подписей Представителя только в рабочих целях.

29.6. Сведения Организации, Доверяющей стороны и Канального партнёра защищаются в порядке, установленном Законом о тайне организации и статьёй 26 настоящих Условий.

29.7. Владелец вправе получить доступ к своим данным, исправить их, потребовать их удаления и отозвать своё согласие. При удалении учётной записи персональные данные, не включённые в сертификат, удаляются через 30 дней после подачи запроса, а записи, указанные в пункте 17.2 настоящих Условий, — по истечении срока их хранения. Запросы принимаются по адресу, указанному в Приложении 3, ответ даётся в течение 10 рабочих дней. Удаление учётной записи («Удалить аккаунт») и скачивание своих данных («Скачать мои данные») Владелец выполняет непосредственно в приложении; при повторной регистрации в течение 30 дней после удаления персональные данные не удаляются. При удалении учётной записи все действующие сертификаты, выданные в приложении и на USB-токенах (включая сертификаты от имени организации), отзываются; сертификаты и история подписей хранятся в течение срока, указанного в пункте 17.2 настоящих Условий.

29.8. При необходимости стороны заключают отдельный договор об обработке персональных данных.

Статья 30. Субподрядчики

30.1. Поставщик услуг может поручать выполнение отдельных частей Сервиса субподрядчикам и сам отвечает перед Клиентом за деятельность субподрядчиков.

30.2. Список субподрядчиков, участвующих в обработке персональных данных, Поставщик услуг предоставляет по запросу Клиента. Об изменениях в списке сообщается за 30 дней.

Статья 31. Нарушение информационной безопасности

31.1. При выявлении нарушения информационной безопасности Поставщик услуг:

(а) в течение 24 часов с момента выявления уведомляет затронутых Клиентов и Владельцев;

(б) уведомляет уполномоченные органы в сроки, установленные законом;

(в) при необходимости немедленно отзывает затронутые сертификаты;

(г) документирует причину нарушения, принятые меры и план предотвращения и сообщает о них Клиенту.

31.2. Клиент уведомляет Поставщика услуг о нарушении безопасности на своей стороне, способном повлиять на Сервис, в течение 24 часов с момента его выявления.

ЧАСТЬ XI. ГАРАНТИИ, ОТВЕТСТВЕННОСТЬ

Статья 32. Гарантии Поставщика услуг

32.1. Поставщик услуг гарантирует, что:

(а) сведения, включённые в сертификат, были достоверны на момент его выдачи;

(б) достоверность сведений заявителя проверена в соответствии с законом (ЗЭП 20.2.4);

(в) закрытый ключ Владельца не был скопирован в полном виде (ЗЭП 21.2.5);

(г) объём полномочий по электронной доверенности обеспечивается техническими средствами контроля;

(д) записи и аудиторский след хранятся без возможности изменения;

(е) он работает с соблюдением технических требований и требований безопасной эксплуатации (ЗЭП 20.2.1).

32.2. Помимо предоставления Сервиса на уровне обслуживания, указанном в Условиях и CPS, Поставщик услуг не даёт никаких явных или подразумеваемых гарантий пригодности для какой-либо конкретной цели.

Статья 33. Освобождение от ответственности

33.1. Поставщик услуг не несёт ответственности в следующих случаях:

(а) Владелец передал свой закрытый ключ другим лицам или разгласил тайну (ЗЭП 14.4);

(б) Доверяющая сторона не выполнила проверки, предусмотренные пунктом 19.2;

(в) Владелец использовал недействительный или приостановленный сертификат (ЗЭП 20.4);

(г) Организация не исполнила обязанность уведомления, предусмотренную пунктами 7.2.4 и 12.3;

(д) Правомочное лицо установило объём полномочий неверно или чрезмерно широко;

(е) Владелец подписал документ, не ознакомившись с его содержанием;

(ж) Владелец был введён в заблуждение и сам умышленно согласился на сделку;

(з) непреодолимая сила;

(и) сбой услуг третьих лиц, неисправность устройства или программного обеспечения Клиента, вредоносная программа;

(к) Организация не соблюла установленную законом форму для сделки, требующей по закону нотариального удостоверения;

(л) Канальный партнёр нарушил обязанности, предусмотренные статьями 21 и 22.

Статья 34. Ограничение ответственности

34.1. Максимальный размер ответственности Поставщика услуг в рамках договора ограничивается общей суммой платежей, внесённых Клиентом за 12 месяцев, предшествующих соответствующему нарушению. Если срок договора меньше 12 месяцев, расчёт ведётся по фактически внесённой сумме. Для услуг, предоставляемых бесплатно, максимальный размер ответственности составляет 5,000,000 (пять миллионов) тугриков.

34.2. Если в сертификате в соответствии со ст. 10.3.2 Закона об электронной подписи указано ограничение суммы сделки, ответственность в отношении подписей, поставленных с использованием этого сертификата, не превышает этого ограничения.

34.3. Стороны могут иначе согласовать максимальный размер ответственности в Коммерческом приложении.

34.4. Поставщик услуг не отвечает за упущенную выгоду, утраченный доход, ущерб деловой репутации, а также за косвенные, опосредованные, особые и сопутствующие убытки.

34.5. Ограничения, установленные настоящей статьёй, не распространяются на ответственность за умышленные виновные действия Поставщика услуг, грубую неосторожность, нарушение обязательства о конфиденциальности, а также на ответственность, ограничение которой запрещено законом.

34.6. Если вследствие нарушения Клиентом Условий либо превышения им своих прав и обязанностей у Поставщика услуг возникли требования третьих лиц, штрафы или убытки, Клиент возмещает их.

ЧАСТЬ XII. ПРИОСТАНОВЛЕНИЕ ОБСЛУЖИВАНИЯ, РАСТОРЖЕНИЕ ДОГОВОРА

Статья 35. Приостановление обслуживания

35.1. Поставщик услуг вправе временно приостановить Сервис полностью или частично в следующих случаях:

(а) Клиент или Владелец существенно нарушил Условия;

(б) возникла непосредственная угроза информационной безопасности;

(в) возникло обоснованное подозрение, что Сервис используется для противоправной деятельности;

(г) принято решение уполномоченного органа;

(д) Клиент не исполняет платёжные обязательства более 30 дней.

35.2. О приостановлении Поставщик услуг незамедлительно уведомляет, разъясняя причину и условия возобновления. В срочных случаях можно сначала приостановить, а затем уведомить.

35.3. Как только основание приостановления устранено, Сервис возобновляется в течение одного рабочего дня.

35.4. Приостановление не влияет на действительность подписей, уже поставленных ранее.

Статья 36. Расторжение договора, последствия прекращения

36.1. Договор расторгается по инициативе одной стороны по следующим основаниям:

(а) другая сторона существенно нарушила Условия и не устранила нарушение в течение 30 дней после письменного уведомления;

(б) специальное разрешение (лицензия) Поставщика услуг стало недействительным или приостановлено;

(в) одна из сторон стала неплатёжеспособной или принято решение о её ликвидации;

(г) по основанию, предусмотренному пунктом 38.4.

36.2. Следующие положения сохраняют силу и после прекращения договора: конфиденциальность (26), интеллектуальная собственность (27), персональные данные (29), хранение записей (17), ответственность (33, 34), разрешение споров (40).

36.3. В течение 90 дней после прекращения договора Клиент вправе скачать свои отчёты и аудиторский след. По истечении этого срока сведения хранятся только в порядке хранения, установленном пунктом 17.2.

36.4. С прекращением договора электронные доверенности соответствующей Организации автоматически прекращаются, а Доверяющая сторона уведомляется в соответствии с пунктом 11.3.

ЧАСТЬ XIII. НЕПРЕОДОЛИМАЯ СИЛА

Статья 37. Непреодолимая сила

37.1. К обстоятельствам непреодолимой силы относятся пожар, наводнение, землетрясение, сильные снежные и пыльные бури, эпидемия, война, вооружённый конфликт, массовые беспорядки, общегосударственные перебои в электроснабжении и в работе сети интернет, решения уполномоченных органов, изменения законодательства и иные обстоятельства, не зависящие от воли сторон.

37.2. Сторона, для которой наступили обстоятельства непреодолимой силы, уведомляет другую сторону в течение трёх рабочих дней и, по возможности, подтверждает их справкой уполномоченного органа.

37.3. На время действия обстоятельств непреодолимой силы стороны освобождаются от ответственности за неисполнение договорных обязательств. Платёжные обязательства не прекращаются вследствие непреодолимой силы.

37.4. Если обстоятельства непреодолимой силы длятся более 60 дней, любая из сторон вправе расторгнуть договор без штрафа.

ЧАСТЬ XIV. ИЗМЕНЕНИЕ УСЛОВИЙ, УВЕДОМЛЕНИЯ, СПОРЫ

Статья 38. Внесение изменений в Условия

38.1. Поставщик услуг вправе вносить изменения в настоящие Условия.

38.2. Об изменениях, существенно ограничивающих права Клиента, сообщается за 30 дней до их вступления в силу путём размещения на веб-сайте и уведомления по зарегистрированной электронной почте.

38.3. Изменения, обусловленные изменением законодательства, решениями регулирующего органа и требованиями информационной безопасности, могут вводиться немедленно с последующим уведомлением.

38.4. Если Клиент не принимает изменения, он вправе расторгнуть договор без штрафа в течение 30 дней после получения уведомления. Если в течение этого срока Клиент не отказался и продолжил пользоваться Сервисом, изменения считаются принятыми.

38.5. История версий Условий ведётся в Приложении 4 и находится в открытом доступе на веб-сайте.

Статья 39. Уведомления

39.1. Уведомления, предусмотренные Условиями, направляются через уведомления на Платформе, по зарегистрированной электронной почте или официальным письмом.

39.2. Уведомление, отправленное по электронной почте, считается доставленным на рабочий день, следующий за днём отправки.

39.3. Клиент и Владелец обязаны поддерживать актуальность своих контактных данных и самостоятельно несут последствия их неактуальности.

Статья 40. Применимое право, разрешение споров

40.1. Настоящие Условия и вытекающие из них отношения регулируются и толкуются в соответствии с законодательством Монголии.

40.2. Споры разрешаются сторонами мирным путём по взаимному согласию. Если урегулировать спор не удалось, он разрешается в суде Монголии.

40.3. При разрешении споров аудиторский след Платформы, метки времени и отчёты о проверке, имеющие доказательную силу, являются первичными доказательствами.

Статья 41. Прочие положения

41.1. Клиент не вправе передавать другим лицам права и обязанности по Условиям и договору без письменного согласия Поставщика услуг. Поставщик услуг в случае реорганизации может передать свои права и обязанности правопреемнику.

41.2. Недействительность какого-либо положения Условий не влияет на действительность остальных положений.

41.3. Условия составлены на монгольском языке. При противоречии с переводом на другие языки применяется версия на монгольском языке.

41.4. Условия не создают между сторонами отношений партнёрства, совместного предприятия, представительства или отношений работодателя и работника.

41.5. Вопросы, не урегулированные Условиями, разрешаются в соответствии с Гражданским кодексом Монголии и иным применимым законодательством.

ПРИЛОЖЕНИЕ 1. ШАБЛОНЫ ОБЪЁМА ПОЛНОМОЧИЙ

Предоставляя полномочия Представителю, Правомочное лицо выбирает один из следующих шаблонов либо настраивает объём полномочий самостоятельно. Предельную сумму сделки Правомочное лицо устанавливает в соответствии с внутренними правилами соответствующей Организации.

ПРИЛОЖЕНИЕ 2. КАНАЛЫ ПОДДЕРЖКИ, СВОДКА УРОВНЯ ОБСЛУЖИВАНИЯ

Уровень обслуживания, время отклика и условия компенсации указаны в Части VIII Условий. Уровень, применимый к конкретному Клиенту, определяется Коммерческим приложением.

ПРИЛОЖЕНИЕ 3. КОНТАКТЫ

Адрес Поставщика услуг, контактный телефон и обновлённые контактные данные размещаются на веб-сайте.

ПРИЛОЖЕНИЕ 4. ИСТОРИЯ ВЕРСИЙ

1. Общие положения

Gerege Systems LLC (далее — «мы», «наш») является официальным удостоверяющим центром (Certificate Authority, CA) электронного удостоверения личности для граждан Монголии и оказывает услуги по выдаче и проверке сертификатов электронной подписи. Пользователь Сервиса в полной мере соблюдает Закон Монголии об электронной подписи, Закон о защите персональных данных и настоящие условия.

Государственный регистрационный номер 6235972. Настоящая часть регулирует отношения с гражданином — владельцем сертификата (ст. 16.6 Закона об электронной подписи; пункт 5.3 Условий выше).

2. Описание Сервиса

Сервис e-ID Mongolia состоит из следующих основных компонентов:

• Выдача сертификатов электронной подписи (гражданам, подтвердившим личность через систему DAN)
• Электронное подписание с мобильного телефона (iOS, Android)
• Обработка запросов на аутентификацию и подписание от доверяющих сторон (Relying Party, RP)
• Безопасный обмен данными с зарегистрированными RP по TLS
• Предоставление сведений о действительности сертификатов в режиме реального времени (OCSP, CRL)

3. Право на получение услуг

Сервисом могут пользоваться лица, отвечающие следующим условиям:

• Гражданин Монголии, достигший 18 лет (согласно Закону об электронной подписи)
• (б) Иностранный гражданин, достигший 18 лет, — с действительным паспортом с NFC-чипом, способный пройти проверку по чипу паспорта и сверке лица
• Наличие действительного удостоверения личности
• Возможность подтвердить личность через систему DAN
• Наличие устройства с операционной системой iOS 15+ или Android 7+

Несовершеннолетние, не достигшие 18 лет, и лица, чьи права ограничены вступившим в законную силу решением, не вправе пользоваться Сервисом.

4. Регистрация, вход

Чтобы пользоваться Сервисом, вы выполняете следующие шаги:

• Подтверждаете свою личность через систему DAN (регистрационный номер гражданина, биометрия)
• Устанавливаете PIN-коды: PIN1 (4 цифры) для входа и PIN2 (6 цифр) для подписания. Надёжное хранение PIN-кодов — Ваша обязанность
• Можно включить биометрическую блокировку (Face ID / Touch ID / отпечаток пальца)
• Закрытый ключ хранится разделённым на две части: одна часть — в защищённой памяти вашего устройства, другая — на нашем сервере в зашифрованном виде, ключом, находящимся внутри криптографического модуля (HSM). Ни одна из сторон в одиночку не может создать действительную подпись; мы не копируем ваш закрытый ключ в полном виде и не создаём подпись без вашего согласия (статья 14 Условий)
• Каждая подпись создаётся с подтверждением PIN-кодом или биометрией, вашим намеренным, активным действием; на экране показывается, что именно вы подписываете (статья 15 Условий)

При обнаружении подозрительных действий, связанных с учётной записью, вы обязаны немедленно сообщить об этом на eIDsupport@gerege.com.

5. Обязанности пользователя

• Не сообщать PIN-код другим лицам и надёжно его хранить
• Не передавать своё устройство другим лицам, а при его утере или краже немедленно аннулировать свой сертификат
• Поддерживать достоверность сведений сертификата и сообщать нам об их изменении
• Не использовать Сервис в противоправных и мошеннических целях
• Немедленно сообщать о нарушении безопасности или о предполагаемой компрометации закрытого ключа (eIDsupport@gerege.com, 24/7)
• Обновлять операционную систему и приложение до последней версии

6. Действительность сертификата

Условия действительности сертификата электронной подписи:

• Сертификат действителен в течение 5 лет с момента выдачи (но не дольше срока действия выдавшего его CA; текущая цепочка — до 30.01.2031)
• До истечения срока сертификат можно продлить (renew)
• Сертификат становится недействительным в следующих случаях: по запросу пользователя; при утере или краже устройства; при компрометации сведений сертификата; в случае смерти пользователя; по вступившему в законную силу решению уполномоченного органа
• Недействительный сертификат восстановить невозможно — пользователю необходимо получить новый сертификат
• Статус недействительности сообщается RP в режиме реального времени через OCSP / CRL
• При смене устройства или если вы забыли PIN, восстановление выполняется путём повторной регистрации через систему DAN и проверку Liveness либо с помощью цифровой подписи G-Sign; при выдаче нового сертификата прежний сертификат отзывается (статья 16 Условий)

7. Запрещённые действия

При пользовании Сервисом запрещается:

• Использовать чужое имя путём подлога, подписывать поддельные документы
• Выполнять reverse engineering приложения, изменять его исходный код, использовать его на устройстве с jailbreak / root
• Обходить механизмы безопасности, проводить тестирование в целях атаки
• Осуществлять атаки на инфраструктуру Сервиса, такие как DDoS и brute-force
• Пытаться извлечь закрытый ключ, обманывать биометрическую проверку
• Использовать Сервис с помощью ботов, скраперов и автоматизированных скриптов
• Использовать закрытый ключ для удостоверения или шифрования противоправных сведений; использовать Сервис для сведений, составляющих государственную тайну (статья 28 Условий)

8. Права интеллектуальной собственности

Права интеллектуальной собственности на приложение e-ID Mongolia, логотип, дизайн, исходный код и документацию принадлежат Gerege Systems LLC. За исключением использования Сервиса для личных нужд, в остальных случаях (копирование, распространение, изменение, продажа, перевод, включение в другой продукт и т. п.) требуется письменное разрешение.

9. Приостановление и прекращение обслуживания

Мы временно приостанавливаем или прекращаем ваше право на получение услуг в следующих случаях:

• Нарушение настоящих условий
• Участие в мошенничестве или противоправных действиях
• Создание угрозы безопасности Сервиса
• По вступившему в законную силу решению уполномоченного органа

Вы вправе в любое время прекратить пользование Сервисом с помощью кнопки «Удалить аккаунт» в приложении. При удалении учётной записи персональные данные удаляются в течение 30 дней; однако записи, хранение которых требуется по закону, хранятся в течение сроков, указанных в пункте 17.2 Условий: записи о сертификатах и доверенностях — 10 лет после прекращения действия сертификата; журнал подписей — 10 лет; журналы доступа к системе — 5 лет.

10. Ограничение ответственности

e-ID Mongolia не несёт ответственности в следующих случаях:

• Ущерб, возникший вследствие компрометации PIN-кода пользователя или утери устройства
• Ущерб, возникший вследствие ненадлежащего использования третьими лицами (RP)
• Ущерб, возникший вследствие ввода пользователем ложных сведений или обхода проверки DAN
• Перерывы в обслуживании, вызванные обстоятельствами непреодолимой силы (force majeure), кибератаками, изменениями государственного регулирования
• Неисправности интернет-соединения и устройства пользователя

Максимальный совокупный размер нашей ответственности ограничивается суммой, равной платежам, внесённым вами нам за последние 12 месяцев. Поскольку Сервис предоставляется гражданам бесплатно, эти ограничения ответственности применяются в максимальном объёме, допускаемом законом.

11. Разрешение споров

При возникновении спора, связанного с настоящими условиями, стороны прежде всего стремятся урегулировать его путём переговоров. Если в течение 30 дней соглашение не достигнуто, спор передаётся на разрешение в компетентный суд Монголии. Настоящие условия регулируются законодательством Монголии.

12. Обновление условий

Мы вправе вносить изменения в Условия обслуживания. О существенных изменениях мы сообщаем не менее чем за 30 дней через приложение и веб-сайт. Продолжая пользоваться Сервисом после обновления условий, вы считаетесь принявшим новые условия. Если вы не принимаете новые условия, вы вправе прекратить пользование Сервисом и удалить свою учётную запись.

13. Правовое регулирование

Сервис работает в соответствии со следующими законами и стандартами:

• Закон об электронной подписи (новая редакция от 17.12.2021, применяется с 01.05.2022)
• Закон о защите персональных данных (2021)
• Закон о кибербезопасности (2021)
• Международные стандарты Trust Services ETSI EN 319 4xx
• Стандарт взаимодействия (interoperability) на основе RESTful API + TLS

14. Контакты

Если у вас есть вопросы, связанные с Условиями обслуживания, свяжитесь с нами:

• Эл. почта: eIDsupport@gerege.com — общая поддержка, жалобы, запросы, связанные с персональными данными, нарушения информационной безопасности (Приложение 3 к Условиям)
• Отзыв сертификата, сообщение о нарушении безопасности — 24/7; общая поддержка — рабочие дни 09:00–18:00 (Приложение 2)
• Телефон: +976 7777 3773
• Адрес: Gerege Systems LLC, Улан-Батор, Монголия

目录

• 第 I 部分　总则（第 1–5 条）
• 第 II 部分　组织注册、法定代表人（第 6–7 条）
• 第 III 部分　代表权（第 8–13 条）
• 第 IV 部分　签名生成、密钥安全（第 14–16 条）
• 第 V 部分　记录、报告、审计轨迹（第 17–18 条）
• 第 VI 部分　依赖方条款（第 19–20 条）
• 第 VII 部分　渠道合作伙伴条款（第 21–22 条）
• 第 VIII 部分　服务水平（第 23–25 条）
• 第 IX 部分　保密、知识产权、禁止事项（第 26–28 条）
• 第 X 部分　个人数据、信息安全（第 29–31 条）
• 第 XI 部分　保证、责任（第 32–34 条）
• 第 XII 部分　服务暂停、合同解除（第 35–36 条）
• 第 XIII 部分　不可抗力（第 37 条）
• 第 XIV 部分　条款变更、通知、争议（第 38–41 条）
• 附件 1–4

第 I 部分　总则

第 1 条　当事方

1.1. 本产品与服务条款（以下简称“本条款”）调整 Gerege Systems 有限责任公司（国家注册号：6235972；以下简称“服务提供方”）与接受本条款的主体之间产生的关系。

1.2. 本条款适用于下列主体：

1.2.1. 组织——在本服务中注册的法人；

1.2.2. 法定代表人——无需授权委托书即有权代表组织的主体（《电子签名法》第 7.2 条）；

1.2.3. 代理人——根据法定代表人出具的电子授权委托书取得代表组织签名权限的个人（《电子签名法》第 7.3 条）；

1.2.4. 依赖方——核验签名并基于对签名的信赖实施行为的机构（商户、国家机关、企业）；

1.2.5. 渠道合作伙伴——与服务提供方订立合同，将本服务集成到自身平台并进行分发的法人。

1.3. 本条款仅适用于服务提供方的 e-ID 产品与服务，不适用于服务提供方的其他产品与服务。

第 2 条　本条款的适用范围与效力顺序

2.1. 本条款在服务提供方网站上持续公开发布（《电子签名法》第 22.1 条）。

2.2. 本条款构成当事方之间所订立合同不可分割的组成部分。

2.3. 商业条件——价格、资费、数量承诺、折扣、付款计划及其他商业安排不在本条款中规定，由当事方另行订立的商业附件予以约定。

2.4. 文件之间相互冲突的，按以下顺序适用：

(a) 蒙古国法律法规的要求；

(b) 服务提供方的认证业务规则（CPS）；

(c) 当事方订立的主合同；

(d) 商业附件；

(e) 本条款；

(f) 本条款的附件。

2.5. 禁止将本服务用于涉及国家秘密的信息（《电子签名法》第 3.1 条）。

第 3 条　产品与服务类型

3.1. 本条款适用于下列产品与服务：

3.2. 向客户提供的产品构成由商业附件确定。本条款的规定仅适用于向该客户实际提供的产品。

第 4 条　术语

4.1. 本条款所用术语按《电子签名法》第 4 条规定的含义理解。此外：

第 5 条　合同的订立、生效与期限

5.1. 本条款以下列任一方式生效：

(a) 客户在平台上接受本条款；

(b) 当事方签署主合同。

5.2. 合同期限为商业附件中规定的期限；未作规定的，为一年。任何一方均未在期限届满前 30 天提出解除通知的，合同视为按同等期限续展。

5.3. 与证书持有人之间的关系，由《电子签名法》第 16.6 条规定的合同以及服务提供方面向证书持有人的条款调整。

第 II 部分　组织注册、法定代表人

第 6 条　注册的创建与验证

6.1. 组织注册仅可由法定代表人开立。

6.2. 对法定代表人按以下方式核查（《电子签名法》第 16.2 条）：

(a) 其个人数字签名证书是否有效；

(b) 在法人国家登记中，该主体是否登记为无需授权委托书即有权代表的主体；

(c) 法人国家登记证书是否有效。

6.3. 第 6.2(b) 条规定的核查由服务提供方通过国家登记机关的数据库自动进行。无法自动核查的，由组织提交相关文件。

6.4. 注册完成后，组织享有下列权利：

(a) 持有电子印章（《电子签名法》第 7.1 条）；

(b) 向代理人授予权限（第 III 部分）；

(c) 获取报告与审计轨迹（第 V 部分）。

6.5. 未满足第 6.2 条规定的要求，或所提交信息存在不一致的，服务提供方有权拒绝开立账户，并告知拒绝理由。

第 7 条　法定代表人的权利与义务

7.1. 法定代表人享有下列权利：以组织名义签名、使用电子印章；向代理人授予权限，设定、变更、撤销权限范围；访问报告与审计轨迹；关闭组织账户。

7.2. 法定代表人负有下列义务：

7.2.1. 不将本人私钥转交他人（《电子签名法》第 14.3.1 条）；

7.2.2. 在授予代表权之前明确设定权限范围；

7.2.3. 代理人的权限不再需要时立即撤销；

7.2.4. 法定代表人变更或组织的代表权发生变化的，在一个工作日内通知服务提供方；

7.2.5. 组织重组或解散的，提前通知；

7.2.6. 向每一代理人说明其权限范围及应承担的责任；

7.2.7. 及时更新注册中填写的联系信息。

7.3. 法定代表人以组织名义对代理人在权限范围内实施行为的后果承担责任。

第 III 部分　代表权

第 8 条　授权程序

8.1. 代表权按以下顺序产生：

8.2. 在代理人接受之前，权限不产生。

8.3. 代理人须持有以本人名义签发的有效数字签名证书。没有证书的，须先按照《电子签名法》规定的程序取得证书。

8.4. 法律依据。电子授权委托书是满足《民法》关于授权委托书要求、以电子形式作出的授权委托书。依照《电子签名法》第 6.3 条的规定，数字签名与在纸质文件上所作的签名具有同等效力。

第 9 条　权限范围与限制

9.1. 法定代表人可设定下列限制：

9.2. 平台通过技术控制禁止超出权限范围实施行为的尝试。

9.3. 变更权限范围等同于出具新的授权委托书，须由法定代表人重新签名、代理人重新接受。

9.4. 公证。对于法律要求公证的交易，仅凭电子授权委托书可能不足。平台将对附件 1 中特别标注类别的文件向法定代表人显示提示。满足相关交易法定形式要求的义务由组织承担。

第 10 条　授权委托书的期限

10.1. 定期出具的电子授权委托书，期限不得超过三年。

10.2. 未规定期限的，授权委托书自出具之日起一年内有效。

10.3. 平台自动执行第 10.1、10.2 条规定的限制。

10.4. 授权委托书的期限不得超过代理人数字签名证书的有效期。

10.5. 在期限届满前 30 天通知法定代表人及代理人。

第 11 条　撤销与终止

11.1. 电子授权委托书因下列原因终止：

11.2. 法定代表人和代理人有权随时撤销或拒绝授权委托书。

11.3. 通知义务。授权委托书一经终止，平台将自动通知下列主体：

(a) 代理人；

(b) 已登记接收通知的依赖方——以履行《民法》规定的通知第三人的义务；

(c) 向法定代表人发送确认通知。

11.4. 自授权委托书终止之时起，依据该授权委托书所作的签名不具有效力。终止不影响终止前所作签名的有效性，签名时间以时间戳确定（《电子签名法》第 9 条）。

第 12 条　法定代表人变更

12.1. 法定代表人变更的，按以下顺序执行：

12.2. 法定代表人的变更依据下列来源确定：

(a) 国家登记机关数据库的变更（技术上可行时自动进行）；

(b) 组织依照第 7.2.4 条发出的通知；

(c) 服务提供方的定期核对。

12.3. 组织的责任。无法自动发现的，组织负有在一个工作日内通知法定代表人变更的义务。因未通知而产生的后果由组织承担。

12.4. 为降低第 12.3 条所述风险，建议组织将授权委托书的期限设定为不超过 12 个月。

第 13 条　代理人的权利与义务

13.1. 代理人享有下列权利：在权限范围内代表组织签名；随时拒绝授权委托书；查看本人所作签名的历史记录；随时查看本人的权限范围。

13.2. 代理人负有下列义务：

13.2.1. 不将本人私钥转交他人（《电子签名法》第 14.3.1 条）；

13.2.2. 签名前了解文件内容；

13.2.3. 不超出权限范围实施行为；

13.2.4. 知悉本人系以组织名义签名，并尽到与之相应的注意义务；

13.2.5. 认为私钥秘密已泄露的，立即通知（《电子签名法》第 14.3.3 条）。

13.3. 代理人试图超出权限范围实施行为的，平台不予执行。违反或规避技术控制而实施的，由代理人承担责任。

13.4. 密钥原则。代理人不使用法定代表人的私钥，且在技术上无法使用。代理人仅以本人私钥签名，并以电子授权委托书证明其权限。这是《电子签名法》第 14.3.1 条规定的要求，平台通过技术控制予以保障。

第 IV 部分　签名生成、密钥安全

第 14 条　密钥拆分

14.1. 私钥按以下方式拆分保存：

(a) 一部分保存在持有人设备的受保护存储中；

(b) 另一部分保存在服务提供方的服务器上；服务器端密钥部分与来自设备的部分均以从不离开密码模块（HSM）的 AES-256 密钥加密保存。

14.2. 任何一方均无法单独生成有效签名。

14.3. 禁止服务提供方未经持有人同意生成签名。

14.4. 服务提供方不完整复制持有人的私钥（《电子签名法》第 21.2.5 条）。

14.5. 发现设备端密钥部分被复制的，服务提供方将停用该设备，立即撤销持有人的证书，并通知持有人。

14.6. 服务提供方仅使用列入主管数字发展与通信事务的国家中央行政机关名录的数字签名工具（《电子签名法》第 20.2.9 条）。

第 15 条　唯一控制

15.1. 每次生成签名时，须满足下列条件：

(a) 持有人完成 PIN、生物特征识别或服务提供方 CPS 中规定的与之等同的认证；

(b) 平台在屏幕上显示签署的内容；

(c) 代表组织签名的，显示代表哪一组织、在何种权限范围内签名；

(d) 持有人以有意、主动的操作予以确认。

15.2. 签名后能够发现信息是否被修改（《电子签名法》第 6.2.3 条）。

第 16 条　设备更换与恢复

16.1. 持有人更换设备或忘记 PIN 的，平台提供下列恢复渠道：

(a) 远程：DAN 系统及活体检测（Liveness check）；

(b) 远程：通过 G-Sign 数字签名；

(c) 现场：通过 Gerege 自助终端设备。

16.2. 恢复通过重新注册进行：签发新证书时，原有效证书以 superseded（4）为由被撤销（《电子签名法》第 17 条）。

16.3. 更换设备时，持有人在组织中的代表权保持不变，仅重新生成证书。

16.4. 恢复渠道的构成可能因技术及监管要求而变化，服务提供方将持续运行不少于一个远程恢复渠道。

第 V 部分　记录、报告、审计轨迹

第 17 条　记录

17.1. 平台以不可更改的方式记录下列信息：

17.2. 记录的保存期限：

17.3. 保存期限届满的记录，由服务提供方按照法律法规规定的程序删除。

第 18 条　报告

18.1. 组织有权获取下列报告：

18.2. 报告的可获取范围、数量及出具频率由商业附件确定。

18.3. 报告由组织的法定代表人及其许可的人员查看。

18.4. 代理人仅可查看本人所作签名的报告。

第 VI 部分　依赖方条款

第 19 条　依赖方的义务

19.1. 依赖方与服务提供方另行订立合同后使用本服务。本条款构成该合同不可分割的组成部分。

19.2. 依赖方在基于对签名的信赖实施行为之前，必须核查下列事项：

19.3. 因未进行第 19.2 条规定的核查而产生的损失，由依赖方自行承担。

19.4. 依赖方有权登记接收第 11.3 条规定的自动通知，从而能够实时获知授权委托书被撤销的情况。

19.5. 依赖方有义务仅将核验结果用于合同约定的用途，不将持有人的信息传递给第三方，不歪曲展示核验结果。

第 20 条　核验服务

20.1. 依赖方可以使用签名核验 API 以及服务提供方面向公众开放的核验门户。

20.2. 公开门户的结果仅供参考。需要法律证据的，依赖方应订购具有证明力的核验报告。

20.3. 公开门户不适用于商业规模的使用。服务提供方有权限制造成异常负载的访问。

20.4. 依赖方使用身份识别及认证服务的，有义务将其与自身的风险评估结合使用。

第 VII 部分　渠道合作伙伴条款

第 21 条　渠道合作伙伴的权利与义务

21.1. 渠道合作伙伴根据与服务提供方订立的合同，将本服务集成到自身平台并向最终用户分发。本条款构成该合同不可分割的组成部分。

21.2. 渠道合作伙伴负有下列义务：

21.2.1. 仅在合同规定的范围内、为合同规定的目的分发本服务；

21.2.2. 向最终用户介绍本条款并使其接受；

21.2.3. 对服务提供方提供的 API 密钥、client_id、client_secret 及证书予以保密，发生泄露或存在泄露风险的，立即通知；

21.2.4. 保障自身平台的信息安全，发现漏洞的，在 24 小时内通知；

21.2.5. 不以本服务的名义向最终用户作出任何保证或承诺；

21.2.6. 对集成架构、环境、域名、redirect URI 作出变更的，提前 10 天通知；

21.2.7. 仅以事先约定的形式使用服务提供方的名称、商标及标识。

21.3. 渠道合作伙伴仅在取得服务提供方书面许可的情况下，方可转售本服务或将其转让给第三方。

21.4. 责任分配。对最终用户而言，渠道合作伙伴负责其自身平台的运行、用户体验及支付结算方案，服务提供方负责 e-ID 服务的技术运行及签名的法律效力。

第 22 条　集成要求

22.1. 渠道合作伙伴按照服务提供方的 API 文档及集成指南进行集成。

22.2. 切换至生产环境之前，必须通过服务提供方的集成验证。

22.3. 服务提供方变更 API 版本或停止使用某一版本的，提前 60 天通知并提供迁移支持。因安全要求而产生的紧急变更可立即实施，事后通知。

22.4. 禁止渠道合作伙伴更改签名流程、歪曲展示 e-ID 的核验结果，或提供绕过 e-ID 的替代方案。

22.5. 发现异常负载或不当使用的，服务提供方有权限制访问。

第 VIII 部分　服务水平

第 23 条　可用性

23.1. 服务提供方保障下列可用性水平。适用于特定客户的水平由商业附件确定：

23.2. 可用性按每一结算月计算。

23.3. 计划维护提前一周通知，并在低负载时段进行。因计划维护、不可抗力及客户方故障造成的中断不计入可用性计算。

第 24 条　响应时间

24.1. 服务提供方保障下列目标时间：

24.2. 支持渠道的服务时间见附件 2。

第 25 条　补偿

25.1. 结算月的可用性低于第 23.1 条规定水平的，客户有权要求下列补偿：

25.2. 补偿应在当月结束后 30 天内以书面形式提出。逾期提出的请求不予受理。

25.3. 补偿是客户就可用性水平未达标可获得的唯一救济措施。

25.4. 对免费提供的服务以及以试用模式运行的服务，不计算补偿。

第 IX 部分　保密、知识产权、禁止事项

第 26 条　保密

26.1. 各方对在合同范围内从另一方获得的商业、技术及其他保密信息不向第三方披露，并仅为合同目的使用。

26.2. 保密义务不适用于下列信息：公开信息；非因该方过错而为公众所知的信息；依法或根据有权机关的决定要求提供的信息。

26.3. 保密义务在合同终止后三年内有效。与持有人个人数据及签名记录有关的保密义务没有期限。

26.4. 服务提供方不泄露证书持有人的秘密（《电子签名法》第 20.2.10 条），除《电子签名法》第 30.1 条规定的情形外，不向他人传递信息。

第 27 条　知识产权

27.1. 平台及其软件、API、文档、品牌、标识及相关知识产权的一切权利均归服务提供方所有。

27.2. 向客户授予仅在合同范围内使用本服务的非排他性、不可转让的许可。

27.3. 客户创建、签署的文件及其中所含信息归客户所有。

27.4. 未经书面许可，当事方不得将另一方的名称、标识、品牌用于营销目的。

第 28 条　禁止事项

28.1. 禁止客户及持有人实施下列行为：

(a) 以他人名义、超出权限范围签名；

(b) 提交伪造文件以取得证书或代表权；

(c) 将私钥用于确认、加密被认定为违法的信息（《电子签名法》第 14.3.5 条）；

(d) 将本服务用于涉及国家秘密的信息（《电子签名法》第 3.1 条）；

(e) 对平台进行逆向分析、复制、修改或将其转让给第三方；

(f) 未经书面许可进行安全测试、渗透测试；

(g) 使用自动化工具造成异常负载；

(h) 未经书面许可转售本服务。

第 X 部分　个人数据、信息安全

第 29 条　个人数据处理

29.1. 服务提供方按照《蒙古国个人数据保护法》、《电子签名法》及 CPS 规定的程序处理个人数据。

29.2. 处理的数据类别及保存期限见第 17.2 条。

29.3. 生物特征数据仅为身份识别和恢复目的、基于持有人的同意进行处理，生物特征模板不存储在服务器上。

29.4. 依照第 11.3 条向依赖方发送的通知仅包含授权委托书的状态及权限范围，不传递其他任何信息。

29.5. 组织仅为工作目的使用代理人的签名记录。

29.6. 组织、依赖方及渠道合作伙伴的信息按照《组织秘密法》及本条款第 26 条规定的程序予以保护。

29.7. 持有人有权访问、更正、删除本人数据，并撤回同意。删除账户时，未包含在证书中的个人数据在提出请求 30 天后删除，本条款第 17.2 条规定的记录在其保存期限届满后删除。请求通过附件 3 所列地址受理，并在 10 个工作日内答复。删除账户（“删除账户”）、下载本人数据（“下载我的数据”）操作由持有人直接在应用内完成；删除后 30 天内重新注册的，个人数据不会被删除。删除账户时，在应用及 USB 令牌中签发的所有有效证书（包括代表组织签发的证书）均被撤销；证书及签名历史按本条款第 17.2 条规定的期限保存。

29.8. 必要时，当事方另行订立个人数据处理合同。

第 30 条　分包商

30.1. 服务提供方可将本服务的特定部分交由分包商履行，并就分包商的行为对客户承担责任。

30.2. 参与处理个人数据的分包商名单，由服务提供方应客户请求提供。名单发生变更的，提前 30 天通知。

第 31 条　信息安全事件

31.1. 发现信息安全事件时，服务提供方：

(a) 在发现后 24 小时内通知受影响的客户及持有人；

(b) 在法律规定的期限内通知主管机关；

(c) 必要时立即撤销受影响的证书；

(d) 将事件原因、已采取的措施及预防计划形成书面记录，并通知客户。

31.2. 客户发现其一方发生的、可能影响本服务的安全事件的，应在发现后 24 小时内通知服务提供方。

第 XI 部分　保证、责任

第 32 条　服务提供方的保证

32.1. 服务提供方保证：

(a) 证书所载信息在证书签发时真实准确；

(b) 已依法核查申请人信息的真实准确性（《电子签名法》第 20.2.4 条）；

(c) 未完整复制持有人的私钥（《电子签名法》第 21.2.5 条）；

(d) 已通过技术控制执行电子授权委托书的权限范围；

(e) 以不可更改的方式保存记录及审计轨迹；

(f) 在满足技术及安全运行要求的条件下运营（《电子签名法》第 20.2.1 条）。

32.2. 除按本条款及 CPS 规定的服务水平提供本服务外，服务提供方不就本服务适用于特定目的作出任何明示或默示的保证。

第 33 条　免责

33.1. 发生下列情形时，服务提供方不承担责任：

(a) 持有人将私钥转交他人、泄露秘密（《电子签名法》第 14.4 条）；

(b) 依赖方未进行第 19.2 条规定的核查；

(c) 持有人使用已失效或已暂停的证书（《电子签名法》第 20.4 条）；

(d) 组织未履行第 7.2.4、12.3 条规定的通知义务；

(e) 法定代表人设定的权限范围有误或过宽；

(f) 持有人未了解文件内容即签名；

(g) 持有人受欺骗而自行故意同意交易；

(h) 不可抗力；

(i) 第三方服务故障、客户设备或软件故障、恶意程序；

(j) 对于法律要求公证的交易，组织未满足法定形式；

(k) 渠道合作伙伴违反第 21、22 条规定的义务。

第 34 条　责任限制

34.1. 服务提供方在合同范围内承担的责任上限，以客户在相关违约发生前 12 个月内支付的费用总额为限。合同期限不足 12 个月的，按实际支付的费用金额计算。对于免费提供的服务，责任上限为 5,000,000（伍佰万）图格里克。

34.2. 证书中依照《电子签名法》第 10.3.2 条载明交易金额限制的，与该证书所作签名相关的责任不超过该限制。

34.3. 当事方可通过商业附件另行约定责任上限。

34.4. 服务提供方不对利润损失、收入损失、商誉损害以及间接、派生、特殊和附带损失承担责任。

34.5. 本条规定的限制不适用于服务提供方的故意过错行为、重大过失、违反保密义务以及法律禁止限制的责任。

34.6. 因客户违反本条款或超越其权利、义务行事，致使服务提供方遭受第三方索赔、罚款或损失的，客户应予赔偿。

第 XII 部分　服务暂停、合同解除

第 35 条　服务暂停

35.1. 发生下列情形时，服务提供方有权全部或部分暂停本服务：

(a) 客户、持有人严重违反本条款；

(b) 信息安全面临直接威胁；

(c) 有合理依据怀疑本服务被用于违法活动；

(d) 有权机关作出决定；

(e) 客户未履行付款义务超过 30 天。

35.2. 服务提供方立即通知暂停事宜，并说明原因及恢复条件。紧急情况下可先暂停，事后通知。

35.3. 暂停事由消除后，在一个工作日内恢复本服务。

35.4. 暂停不影响此前已作签名的有效性。

第 36 条　合同解除及终止的后果

36.1. 有下列情形之一的，一方可单方解除合同：

(a) 另一方严重违反本条款，且在收到书面通知后 30 天内未予纠正；

(b) 服务提供方的许可证被吊销或暂停；

(c) 任何一方丧失清偿能力或被作出解散决定；

(d) 依据第 38.4 条规定的事由。

36.2. 合同终止后，下列条款仍然有效：保密（第 26 条）、知识产权（第 27 条）、个人数据（第 29 条）、记录保存（第 17 条）、责任（第 33、34 条）、争议解决（第 40 条）。

36.3. 合同终止后 90 天内，客户有权下载其报告及审计轨迹。该期限届满后，信息仅按第 17.2 条规定的保存规则保存。

36.4. 合同终止后，该组织的电子授权委托书自动终止，并依照第 11.3 条通知依赖方。

第 XIII 部分　不可抗力

第 37 条　不可抗力

37.1. 不可抗力包括火灾、洪水、地震、强暴风雪及沙尘暴、瘟疫、战争、武装冲突、大规模骚乱、全国范围的电力供应及互联网中断、有权机关的决定、法律法规的变更以及其他不以当事方意志为转移的情况。

37.2. 遭遇不可抗力的一方应在三个工作日内通知另一方，并在可能的情况下以有权机关出具的证明予以确认。

37.3. 在不可抗力持续期间，当事方免除不履行合同义务的责任。付款义务不因不可抗力而免除。

37.4. 不可抗力持续超过 60 天的，任何一方均有权无违约金解除合同。

第 XIV 部分　条款变更、通知、争议

第 38 条　本条款的变更

38.1. 服务提供方有权变更本条款。

38.2. 对客户权利构成明显限制的变更，应在生效前 30 天在网站上发布，并通过登记的电子邮箱通知。

38.3. 因法律法规变更、监管机构决定及信息安全要求而产生的变更，可立即实施，事后通知。

38.4. 客户不接受变更的，有权在收到通知后 30 天内无违约金解除合同。在该期限内未拒绝并继续使用本服务的，视为接受变更。

38.5. 本条款的版本历史记录于附件 4，并在网站上公开。

第 39 条　通知

39.1. 本条款规定的通知，通过平台内通知、登记的电子邮箱或正式公函送达。

39.2. 以电子邮件发送的通知，视为在发送日的下一个工作日送达。

39.3. 客户、持有人有义务及时更新联系信息，并自行承担因未更新而产生的后果。

第 40 条　适用法律与争议解决

40.1. 本条款及由此产生的关系受蒙古国法律管辖并依其解释。

40.2. 争议由当事方通过友好协商解决。协商不成的，提交蒙古国法院解决。

40.3. 在争议解决中，平台的审计轨迹、时间戳以及具有证明力的核验报告构成原始证据。

第 41 条　其他

41.1. 未经服务提供方书面许可，客户无权将其根据本条款及合同享有的权利和承担的义务转让给他人。服务提供方重组的，可将其权利义务转让给权利继受人。

41.2. 本条款任一条款无效，不影响其他条款的效力。

41.3. 本条款以蒙古语制定。与其他语言译本不一致的，以蒙古语版本为准。

41.4. 本条款不在当事方之间建立合伙、合营、代理或雇主与雇员关系。

41.5. 本条款未规定的事项，依照蒙古国《民法》及其他相关法律法规解决。

附件 1　权限范围模板

法定代表人向代理人授予权限时，选择下列模板之一，或自行设置。交易金额上限由法定代表人依照该组织的内部规章设定。

附件 2　支持渠道、服务水平摘要

服务水平、响应时间及补偿条件见本条款第 VIII 部分。适用于特定客户的水平由商业附件确定。

附件 3　联系方式

服务提供方的地址、联系电话及更新后的联系信息在网站上发布。

附件 4　版本历史

1. 一般规定

Gerege Systems LLC（以下简称“我们”、“我方”）是面向蒙古国公民的电子身份证的官方证书签发机构（Certificate Authority，CA），提供电子签名证书的签发与验证服务。使用本服务的用户应完全遵守《蒙古国电子签名法》、《蒙古国个人数据保护法》以及本条款。

国家注册号 6235972。本部分调整与证书持有人公民之间产生的关系（《电子签名法》第 16.6 条；上述条款第 5.3 条）。

2. 服务说明

e-ID Mongolia 服务由以下主要部分组成：

• 签发电子签名证书（面向经 DAN 系统核验的公民）
• 通过手机进行电子签名（iOS、Android）
• 处理来自依赖方（Relying Party，RP）的认证与签名请求
• 通过 TLS 与已注册的 RP 安全交换数据
• 实时提供证书有效性信息（OCSP、CRL）

3. 使用服务的资格

满足下列条件的主体可使用本服务：

• 年满 18 周岁的蒙古国公民（依据《电子签名法》）
• （b）年满 18 周岁的外国公民——持有带 NFC 芯片的有效护照，能够通过护照芯片和人脸比对进行验证
• 持有有效的公民身份证
• 能够通过 DAN 系统完成核验
• 拥有运行 iOS 15+ 或 Android 7+ 操作系统的设备

未满 18 周岁的未成年人以及经生效法律决定被限制行为能力的人，无权使用本服务。

4. 注册与登录

为使用本服务，您需完成以下步骤：

• 通过 DAN 系统验证本人身份（国民登记号码、生物特征）
• 设置 PIN 码：登录使用 PIN1（4 位），签名使用 PIN2（6 位）。妥善保管 PIN 码是您的义务
• 可启用生物特征锁（Face ID / Touch ID / 指纹）
• 私钥被拆分为两部分保存：一部分保存在您设备的受保护存储中，另一部分以密码模块（HSM）内的密钥加密后保存在我们的服务器上。任何一方都无法单独生成有效签名；我们不会完整复制您的私钥，未经您同意也不会生成签名（本条款第 14 条）
• 每一次签名均通过 PIN 或生物特征认证，由您有意、主动的操作生成；签署的内容将显示在屏幕上（本条款第 15 条）

发现与账户有关的可疑操作时，您有义务立即通知 eIDsupport@gerege.com。

5. 用户义务

• 不与他人分享 PIN 码，并妥善保管
• 不将设备交给他人；设备遗失或被盗的，立即使证书失效
• 保持证书信息真实准确，信息变更时通知我们
• 不将本服务用于违法或欺诈目的
• 认为发生安全事件或私钥秘密已泄露的，立即通知（eIDsupport@gerege.com，24/7）
• 将操作系统和应用更新至最新版本

6. 证书的有效性

电子签名证书的有效性条件：

• 自证书签发之日起 5 年内有效（不超过签发证书的 CA 的有效期；当前证书链有效期至 2031-01-30）
• 可在期限届满前续期（renew）
• 下列情形下证书失效：应用户请求；设备遗失或被盗；证书信息泄露；用户死亡；依据有权机关的生效法律决定
• 已失效的证书无法恢复——用户需取得新证书
• 失效状态通过 OCSP / CRL 实时告知各 RP
• 更换设备或忘记 PIN 的，通过 DAN 系统及活体检测（Liveness check）或 G-Sign 数字签名重新注册予以恢复；签发新证书时，原证书被撤销（本条款第 16 条）

7. 禁止行为

使用本服务时，禁止实施下列行为：

• 冒用他人姓名、在伪造文件上签名
• 对应用进行逆向工程（reverse engineer）、修改源代码、在已越狱（jailbreak）/ 已 root 的设备上使用
• 规避安全机制、以攻击为目的进行测试
• 对服务基础设施实施 DDoS、暴力破解（brute-force）等攻击
• 试图提取私钥、欺骗生物特征认证
• 通过机器人（bot）、爬虫（scraper）、自动化脚本使用本服务
• 将私钥用于确认、加密违法信息；将本服务用于涉及国家秘密的信息（本条款第 28 条）

8. 知识产权

e-ID Mongolia 应用、标识、设计、源代码及文档的知识产权归 Gerege Systems LLC 所有。除个人需要使用本服务外，其他任何使用（复制、分发、修改、销售、翻译、纳入其他产品等）均须取得书面许可。

9. 服务的中止与终止

在下列情形下，我们将暂时中止或终止您使用本服务的权利：

• 违反本条款
• 参与欺诈、违法行为
• 对服务安全造成风险
• 依据有权机关的生效法律决定

您有权随时通过应用内的“删除账户”按钮停止使用本服务。删除账户后，个人数据将在 30 天内删除；但依法须保存的记录按本条款第 17.2 条规定的期限保存：证书及授权委托书记录——证书终止后 10 年；签名记录——10 年；系统访问日志——5 年。

10. 责任限制

在下列情形下，e-ID Mongolia 不承担责任：

• 因用户 PIN 码泄露或设备遗失造成的损失
• 因第三方（RP）不当使用造成的损失
• 因用户提供虚假信息或规避 DAN 核验造成的损失
• 因不可抗力（force majeure）、网络攻击、国家监管变化导致的服务中断
• 互联网连接及用户设备故障

我方的全部责任上限以您在最近 12 个月内向我们支付的费用金额为限。由于本服务向公民免费提供，上述责任限制在法律允许的最大范围内适用。

11. 争议解决

因本条款产生争议的，双方应首先努力通过协商解决。30 天内未能达成一致的，将争议提交蒙古国有管辖权的法院解决。本条款受蒙古国法律管辖。

12. 条款更新

我们有权修改服务条款。重大修改将至少提前 30 天通过应用和网站进行通知。条款更新后继续使用本服务的，即视为您接受新条款。如不接受新条款，您有权停止使用本服务并删除账户。

13. 法律规范

本服务符合下列法律与标准：

• 《电子签名法》（2021 年 12 月 17 日修订版，自 2022 年 5 月 1 日起施行）
• 《个人数据保护法》（2021 年）
• 《网络安全法》（2021 年）
• 国际 ETSI EN 319 4xx 信任服务（Trust Services）标准
• 基于 RESTful API + TLS 的互操作性（interoperability）标准

14. 联系我们

如对服务条款有任何疑问，请与我们联系：

• 邮箱：eIDsupport@gerege.com——一般支持、投诉、个人数据相关请求、信息安全事件（本条款附件 3）
• 证书撤销、安全事件报告——24/7；一般支持——工作日 09:00–18:00（附件 2）
• 电话：+976 7777 3773
• 地址：Gerege Systems LLC，蒙古国乌兰巴托

Sommaire

• PARTIE I. DISPOSITIONS GÉNÉRALES (articles 1 à 5)
• PARTIE II. INSCRIPTION DE L'ORGANISATION, REPRÉSENTANT LÉGAL (articles 6 à 7)
• PARTIE III. POUVOIR DE REPRÉSENTATION (articles 8 à 13)
• PARTIE IV. CRÉATION DE SIGNATURE, SÉCURITÉ DES CLÉS (articles 14 à 16)
• PARTIE V. ENREGISTREMENTS, RAPPORTS, PISTE D'AUDIT (articles 17 à 18)
• PARTIE VI. CONDITIONS APPLICABLES AUX PARTIES UTILISATRICES (articles 19 à 20)
• PARTIE VII. CONDITIONS APPLICABLES AUX PARTENAIRES DE DISTRIBUTION (articles 21 à 22)
• PARTIE VIII. NIVEAU DE SERVICE (articles 23 à 25)
• PARTIE IX. CONFIDENTIALITÉ, PROPRIÉTÉ INTELLECTUELLE, INTERDICTIONS (articles 26 à 28)
• PARTIE X. INFORMATIONS PERSONNELLES, SÉCURITÉ DE L'INFORMATION (articles 29 à 31)
• PARTIE XI. GARANTIES, RESPONSABILITÉ (articles 32 à 34)
• PARTIE XII. SUSPENSION DU SERVICE, RÉSILIATION DU CONTRAT (articles 35 à 36)
• PARTIE XIII. FORCE MAJEURE (article 37)
• PARTIE XIV. MODIFICATION DES CONDITIONS, NOTIFICATIONS, LITIGES (articles 38 à 41)
• ANNEXES 1 À 4

PARTIE I. DISPOSITIONS GÉNÉRALES

Article 1. Parties

1.1. Les présentes conditions relatives au produit et au service /ci-après les « Conditions »/ régissent la relation qui naît entre Gerege Systems LLC /numéro d'enregistrement d'État : 6235972 ; ci-après le « Prestataire »/ et la personne qui a accepté les Conditions.

1.2. Les Conditions s'appliquent aux personnes suivantes :

1.2.1. Organisation — personne morale inscrite au service ;

1.2.2. Représentant légal — personne habilitée à représenter l'Organisation sans procuration /article 7.2 de la Loi sur la signature électronique/ ;

1.2.3. Mandataire — personne ayant obtenu le pouvoir de signer en représentation de l'Organisation sur la base d'une procuration électronique délivrée par le Représentant légal /article 7.3 de la Loi sur la signature électronique/ ;

1.2.4. Partie utilisatrice — organisation qui vérifie la signature et agit en s'y fiant /commerçant, organisme public, entreprise/ ;

1.2.5. Partenaire de distribution — personne morale ayant conclu avec le Prestataire un contrat portant sur l'intégration et la distribution du Service sur sa propre plateforme.

1.3. Les Conditions s'appliquent uniquement aux produits et services e-ID du Prestataire et ne s'appliquent pas aux autres produits et services du Prestataire.

Article 2. Champ d'application et ordre de priorité des Conditions

2.1. Les Conditions sont accessibles en permanence sur le site web du Prestataire /article 22.1 de la Loi sur la signature électronique/.

2.2. Les Conditions font partie intégrante du contrat conclu entre les parties.

2.3. Conditions commerciales — les prix, tarifs, engagements de volume, remises, échéanciers de paiement et autres dispositions commerciales ne figurent pas dans les Conditions. Ils sont régis par une Annexe commerciale conclue séparément par les parties.

2.4. En cas de contradiction entre documents, ceux-ci s'appliquent dans l'ordre de priorité suivant :

(a) les exigences de la législation de la Mongolie ;

(b) la déclaration des pratiques de certification du Prestataire /CPS/ ;

(c) le contrat principal conclu entre les parties ;

(d) l'Annexe commerciale ;

(e) les présentes Conditions ;

(f) les annexes des Conditions.

2.5. Il est interdit d'utiliser le Service pour des informations relevant du secret d'État /article 3.1 de la Loi sur la signature électronique/.

Article 3. Types de produits et services

3.1. Les Conditions s'appliquent aux produits et services suivants :

3.2. La composition des produits fournis à un Client est définie par l'Annexe commerciale. Les dispositions des Conditions ne s'appliquent qu'aux produits effectivement fournis au Client concerné.

Article 4. Terminologie

4.1. Les termes employés dans les Conditions s'entendent au sens défini à l'article 4 de la Loi sur la signature électronique. En outre :

Article 5. Conclusion du contrat, entrée en vigueur, durée

5.1. Les Conditions entrent en vigueur selon l'une des modalités suivantes :

(a) par l'acceptation des Conditions par le Client sur la Plateforme ;

(b) par la signature du contrat principal par les parties.

5.2. La durée du contrat est celle indiquée dans l'Annexe commerciale ; à défaut d'indication, elle est d'un an. Si aucune des parties n'a notifié sa résiliation 30 jours avant l'expiration, le contrat est réputé prorogé pour la même durée.

5.3. La relation avec le titulaire de certificat est régie par le contrat visé à l'article 16.6 de la Loi sur la signature électronique et par les conditions du Prestataire destinées aux titulaires de certificat.

PARTIE II. INSCRIPTION DE L'ORGANISATION, REPRÉSENTANT LÉGAL

Article 6. Création et vérification de l'inscription

6.1. Seul le Représentant légal ouvre l'inscription de l'Organisation.

6.2. Le Représentant légal est vérifié de la manière suivante /article 16.2 de la Loi sur la signature électronique/ :

(a) la validité de son certificat personnel de signature numérique ;

(b) son inscription au registre d'État des personnes morales en tant que personne habilitée à représenter l'entité concernée sans procuration ;

(c) la validité du certificat d'enregistrement d'État de la personne morale.

6.3. La vérification visée au point 6.2/b/ du contrat est effectuée automatiquement par le Prestataire à partir de la base de données de l'organisme d'enregistrement de l'État. Lorsque la vérification automatique est impossible, l'Organisation fournit les documents pertinents.

6.4. La création de l'inscription confère à l'Organisation les droits suivants :

(a) détenir un cachet électronique /LSE 7.1/ ;

(b) octroyer des pouvoirs à des Mandataires /Partie III/ ;

(c) obtenir des rapports et la piste d'audit /Partie V/.

6.5. Le Prestataire a le droit de refuser l'ouverture du compte lorsque les exigences visées au point 6.2 ne sont pas remplies ou que les informations fournies sont discordantes, et notifie alors le motif du refus.

Article 7. Droits et obligations du Représentant légal

7.1. Le Représentant légal a le droit de : signer au nom de l'Organisation et utiliser le cachet électronique ; octroyer des pouvoirs à des Mandataires, fixer, modifier et révoquer le périmètre de leurs pouvoirs ; accéder aux rapports et à la piste d'audit ; clôturer le compte de l'Organisation.

7.2. Le Représentant légal a l'obligation de :

7.2.1. ne pas transférer sa clé privée à autrui /LSE 14.3.1/ ;

7.2.2. définir clairement le périmètre des pouvoirs avant d'octroyer un pouvoir de représentation ;

7.2.3. révoquer immédiatement les pouvoirs d'un Mandataire dès qu'ils ne sont plus nécessaires ;

7.2.4. notifier le Prestataire dans un délai d'un jour ouvrable en cas de changement de Représentant légal ou de modification du pouvoir de représentation de l'Organisation ;

7.2.5. notifier à l'avance toute réorganisation ou liquidation de l'Organisation ;

7.2.6. expliquer à chaque Mandataire le périmètre de ses pouvoirs et la responsabilité qu'il assume ;

7.2.7. tenir à jour les coordonnées indiquées lors de l'inscription.

7.3. Le Représentant légal répond, au nom de l'Organisation, des conséquences des actes accomplis par le Mandataire dans le périmètre de ses pouvoirs.

PARTIE III. POUVOIR DE REPRÉSENTATION

Article 8. Procédure d'octroi des pouvoirs

8.1. Le pouvoir de représentation naît selon la séquence suivante :

8.2. Le pouvoir ne naît pas tant que le Mandataire ne l'a pas accepté.

8.3. Le Mandataire dispose d'un certificat de signature numérique valide établi à son nom. À défaut, il obtient d'abord un certificat selon la procédure prévue par la Loi sur la signature électronique.

8.4. Fondement juridique. La procuration électronique est une procuration établie sous forme électronique qui satisfait aux exigences du Code civil relatives à la procuration. Conformément à l'article 6.3 de la Loi sur la signature électronique, la signature numérique a la même valeur qu'une signature apposée sur un document papier.

Article 9. Périmètre des pouvoirs et restrictions

9.1. Le Représentant légal fixe les restrictions suivantes :

9.2. La Plateforme interdit, par des contrôles techniques, toute tentative d'accomplir un acte en dehors du périmètre des pouvoirs.

9.3. La modification du périmètre des pouvoirs équivaut à l'octroi d'une nouvelle procuration : le Représentant légal signe à nouveau et le Mandataire accepte à nouveau.

9.4. Authentification notariale. Pour les transactions pour lesquelles la loi exige une authentification notariale, la procuration électronique peut ne pas suffire à elle seule. La Plateforme affiche un avertissement au Représentant légal pour les catégories de documents spécialement signalées à l'Annexe 1. Il incombe à l'Organisation de respecter la forme exigée par la loi pour la transaction concernée.

Article 10. Durée de la procuration

10.1. Une procuration électronique délivrée pour une durée déterminée ne peut excéder trois ans.

10.2. En l'absence de durée indiquée, la procuration est valable un an à compter de la date de sa délivrance.

10.3. La Plateforme applique automatiquement les limites visées aux points 10.1 et 10.2.

10.4. La durée de la procuration ne peut excéder la durée de validité du certificat de signature numérique du Mandataire.

10.5. Le Représentant légal et le Mandataire sont notifiés 30 jours avant l'expiration.

Article 11. Révocation, extinction

11.1. La procuration électronique prend fin pour les motifs suivants :

11.2. Le Représentant légal et le Mandataire ont le droit, à tout moment, de révoquer la procuration ou d'y renoncer.

11.3. Obligation de notification. Dès l'extinction de la procuration, la Plateforme notifie automatiquement les personnes suivantes :

(a) le Mandataire ;

(b) les Parties utilisatrices inscrites pour recevoir les notifications — afin de satisfaire à l'obligation de notification aux tiers prévue par le Code civil ;

(c) le Représentant légal, par une notification de confirmation.

11.4. À compter du moment de l'extinction de la procuration, les signatures apposées sur la base de cette procuration sont dépourvues d'effet. L'extinction n'affecte pas la validité des signatures apposées avant celle-ci, le moment de la signature étant établi par horodatage /LSE 9/.

Article 12. Changement de Représentant légal

12.1. En cas de changement de Représentant légal, il est procédé selon la séquence suivante :

12.2. Le changement de Représentant légal est établi à partir des sources suivantes :

(a) une modification de la base de données de l'organisme d'enregistrement de l'État /automatiquement lorsque c'est techniquement possible/ ;

(b) la notification de l'Organisation visée au point 7.2.4 ;

(c) le rapprochement périodique effectué par le Prestataire.

12.3. Responsabilité de l'Organisation. Lorsque la détection automatique est impossible, il incombe à l'Organisation de notifier le changement de Représentant légal dans un délai d'un jour ouvrable. L'Organisation répond des conséquences résultant de l'absence de notification.

12.4. Afin de réduire le risque visé au point 12.3, il est recommandé à l'Organisation de fixer la durée des procurations à 12 mois au plus.

Article 13. Droits et obligations du Mandataire

13.1. Le Mandataire a le droit de : signer en représentation de l'Organisation dans le périmètre de ses pouvoirs ; renoncer à tout moment à la procuration ; consulter l'historique des signatures qu'il a apposées ; consulter à tout moment le périmètre de ses pouvoirs.

13.2. Le Mandataire a l'obligation de :

13.2.1. ne pas transférer sa clé privée à autrui /LSE 14.3.1/ ;

13.2.2. prendre connaissance du contenu du document avant de le signer ;

13.2.3. ne pas agir en dehors du périmètre de ses pouvoirs ;

13.2.4. être conscient qu'il signe au nom de l'Organisation et faire preuve de la diligence et de la prudence appropriées ;

13.2.5. signaler immédiatement toute compromission présumée de la confidentialité de sa clé privée /LSE 14.3.3/.

13.3. Si le Mandataire tente d'accomplir un acte en dehors du périmètre de ses pouvoirs, la Plateforme ne l'exécute pas. Si l'acte est accompli en violant ou en contournant les contrôles techniques, le Mandataire en est responsable.

13.4. Principe des clés. Le Mandataire n'utilise pas la clé privée du Représentant légal et n'a aucune possibilité technique de l'utiliser. Le Mandataire signe uniquement avec sa propre clé privée et justifie de ses pouvoirs par la procuration électronique. Il s'agit d'une exigence prévue à l'article 14.3.1 de la Loi sur la signature électronique, dont la Plateforme garantit le respect par des contrôles techniques.

PARTIE IV. CRÉATION DE SIGNATURE, SÉCURITÉ DES CLÉS

Article 14. Division de la clé

14.1. La clé privée est conservée de manière divisée comme suit :

(a) une partie dans la mémoire protégée de l'appareil du Titulaire ;

(b) l'autre partie sur le serveur du Prestataire ; la partie serveur de la clé et la partie provenant de l'appareil sont toutes deux conservées chiffrées au moyen d'une clé AES-256 qui ne quitte jamais le module cryptographique /HSM/.

14.2. Aucune des parties ne peut à elle seule créer une signature valide.

14.3. Il est interdit au Prestataire de créer une signature sans le consentement du Titulaire.

14.4. Le Prestataire ne copie pas la clé privée du Titulaire sous sa forme complète /LSE 21.2.5/.

14.5. Lorsque le Prestataire détecte une copie de la partie de la clé détenue sur l'appareil, il désactive l'appareil concerné, révoque immédiatement le certificat du Titulaire et en informe le Titulaire.

14.6. Le Prestataire utilise uniquement des dispositifs de signature numérique figurant sur la liste de l'autorité administrative centrale de l'État chargée du développement numérique et des communications /LSE 20.2.9/.

Article 15. Contrôle exclusif

15.1. Lors de chaque création de signature, les conditions suivantes sont remplies :

(a) le Titulaire procède à une authentification par PIN, par reconnaissance biométrique ou par un moyen équivalent prévu dans la CPS du Prestataire ;

(b) la Plateforme affiche à l'écran ce qui est signé ;

(c) en cas de signature en représentation d'une Organisation, elle affiche pour quelle Organisation et dans quel périmètre de pouvoirs la signature est apposée ;

(d) le Titulaire confirme par une action intentionnelle et active.

15.2. Toute modification apportée aux données après la signature doit pouvoir être détectée /LSE 6.2.3/.

Article 16. Changement d'appareil, récupération

16.1. Lorsque le Titulaire change d'appareil ou oublie son PIN, la Plateforme propose les canaux de récupération suivants :

(a) à distance : système DAN et Liveness check ;

(b) à distance : au moyen d'une signature numérique G-Sign ;

(c) en personne : au moyen d'un appareil Gerege kiosk.

16.2. La récupération s'effectue par une nouvelle inscription : lors de la délivrance du nouveau certificat, le certificat valide précédent est révoqué pour le motif superseded (4) /LSE 17/.

16.3. Le pouvoir de représentation du Titulaire au sein de l'Organisation est maintenu lors du changement d'appareil ; seul le certificat est créé à nouveau.

16.4. La composition des canaux de récupération peut évoluer en fonction d'exigences techniques et réglementaires, et le Prestataire maintient en permanence en fonctionnement au moins un canal de récupération à distance.

PARTIE V. ENREGISTREMENTS, RAPPORTS, PISTE D'AUDIT

Article 17. Enregistrements

17.1. La Plateforme enregistre les informations suivantes de manière inaltérable :

17.2. Durée de conservation des enregistrements :

17.3. Les enregistrements dont la durée de conservation a expiré sont détruits par le Prestataire selon la procédure prévue par la législation.

Article 18. Rapports

18.1. L'Organisation a le droit d'obtenir les rapports suivants :

18.2. L'accès aux rapports, leur volume et leur fréquence d'émission sont définis par l'Annexe commerciale.

18.3. Les rapports sont consultés par le Représentant légal de l'Organisation et par les personnes qu'il autorise.

18.4. Le Mandataire ne consulte que le rapport des signatures qu'il a lui-même apposées.

PARTIE VI. CONDITIONS APPLICABLES AUX PARTIES UTILISATRICES

Article 19. Obligations de la Partie utilisatrice

19.1. La Partie utilisatrice utilise le Service après avoir conclu un contrat distinct avec le Prestataire. Les présentes Conditions font partie intégrante de ce contrat.

19.2. Avant d'agir en se fiant à une signature, la Partie utilisatrice vérifie obligatoirement les éléments suivants :

19.3. La Partie utilisatrice supporte elle-même le préjudice résultant de l'absence des vérifications visées au point 19.2 du contrat.

19.4. La Partie utilisatrice a le droit de s'inscrire aux notifications automatiques visées au point 11.3, ce qui lui permet d'être informée en temps réel de la révocation d'une procuration.

19.5. La Partie utilisatrice a l'obligation d'utiliser les résultats de vérification uniquement aux fins prévues par le contrat, de ne pas transmettre les informations du Titulaire à des tiers et de ne pas présenter les résultats de vérification de manière déformée.

Article 20. Service de vérification

20.1. La Partie utilisatrice peut utiliser l'API de vérification des signatures et le portail de vérification public du Prestataire.

20.2. Les résultats du portail public ont une finalité informative. Lorsqu'une preuve juridique est nécessaire, la Partie utilisatrice commande un rapport de vérification à valeur probante.

20.3. Le portail public n'est pas destiné à une utilisation à l'échelle commerciale. Le Prestataire a le droit de restreindre les accès générant une charge anormale.

20.4. Lorsque la Partie utilisatrice utilise les services d'identification et d'authentification, elle a l'obligation de les utiliser conjointement avec sa propre évaluation des risques.

PARTIE VII. CONDITIONS APPLICABLES AUX PARTENAIRES DE DISTRIBUTION

Article 21. Droits et obligations du Partenaire de distribution

21.1. Le Partenaire de distribution intègre le Service sur sa propre plateforme et le distribue aux utilisateurs finaux sur la base du contrat conclu avec le Prestataire. Les présentes Conditions font partie intégrante de ce contrat.

21.2. Le Partenaire de distribution a l'obligation de :

21.2.1. distribuer le Service uniquement dans le périmètre et aux fins prévus par le contrat ;

21.2.2. porter les présentes Conditions à la connaissance des utilisateurs finaux et les leur faire accepter ;

21.2.3. garder confidentiels les clés API, client_id, client_secret et certificats délivrés par le Prestataire, et notifier sans délai toute divulgation ou tout risque de divulgation ;

21.2.4. assurer la sécurité de l'information de sa propre plateforme et notifier toute vulnérabilité détectée dans un délai de 24 heures ;

21.2.5. ne donner aucune garantie ni aucun engagement aux utilisateurs finaux au nom du Service ;

21.2.6. notifier toute modification de l'architecture d'intégration, de l'environnement, du domaine ou des redirect URI 10 jours à l'avance ;

21.2.7. utiliser le nom, les marques et le logo du Prestataire uniquement sous la forme convenue au préalable.

21.3. Le Partenaire de distribution ne peut revendre le Service ou le transmettre à des tiers que sur la base d'une autorisation écrite du Prestataire.

21.4. Répartition des responsabilités. À l'égard de l'utilisateur final, le Partenaire de distribution répond du fonctionnement de sa propre plateforme, de l'expérience utilisateur et de la solution de paiement, et le Prestataire répond du fonctionnement technique du service e-ID et de la validité juridique des signatures.

Article 22. Exigences d'intégration

22.1. Le Partenaire de distribution réalise l'intégration conformément à la documentation API et au guide d'intégration du Prestataire.

22.2. Avant le passage en environnement de production, il doit obligatoirement réussir la validation d'intégration du Prestataire.

22.3. En cas de modification ou de retrait d'une version de l'API, le Prestataire le notifie 60 jours à l'avance et fournit un accompagnement à la migration. Les modifications urgentes dictées par des exigences de sécurité peuvent être mises en œuvre immédiatement et notifiées ultérieurement.

22.4. Il est interdit au Partenaire de distribution de modifier le flux de signature, de présenter de manière déformée les résultats de vérification e-ID ou de proposer une alternative permettant de contourner l'e-ID.

22.5. En cas de charge anormale ou d'utilisation abusive, le Prestataire a le droit de restreindre l'accès.

PARTIE VIII. NIVEAU DE SERVICE

Article 23. Disponibilité

23.1. Le Prestataire assure les niveaux de disponibilité suivants. Le niveau applicable au Client concerné est défini par l'Annexe commerciale :

23.2. La disponibilité est calculée pour chaque mois de facturation.

23.3. La maintenance planifiée est notifiée une semaine à l'avance et effectuée pendant les heures de faible charge. Les interruptions dues à la maintenance planifiée, à un cas de force majeure ou à une défaillance du côté du Client ne sont pas prises en compte dans le calcul de la disponibilité.

Article 24. Délais de réponse

24.1. Le Prestataire respecte les délais cibles suivants :

24.2. Les horaires de fonctionnement des canaux d'assistance sont indiqués à l'Annexe 2.

Article 25. Compensation

25.1. Lorsque la disponibilité au cours d'un mois de facturation est inférieure au niveau visé au point 23.1, le Client a le droit de réclamer la compensation suivante :

25.2. La compensation est réclamée par écrit dans un délai de 30 jours suivant la fin du mois concerné. Les réclamations tardives ne sont pas recevables.

25.3. La compensation constitue le seul recours dont dispose le Client en cas de non-respect du niveau de disponibilité.

25.4. Aucune compensation n'est due pour les services fournis gratuitement ou exploités en mode d'essai.

PARTIE IX. CONFIDENTIALITÉ, PROPRIÉTÉ INTELLECTUELLE, INTERDICTIONS

Article 26. Confidentialité

26.1. Chaque partie s'abstient de divulguer à des tiers les informations confidentielles commerciales, techniques et autres reçues de l'autre partie dans le cadre du contrat, et ne les utilise qu'aux fins du contrat.

26.2. L'obligation de confidentialité ne s'applique pas aux informations suivantes : les informations accessibles au public ; les informations devenues publiques sans faute de la partie ; les informations dont la communication est exigée par la loi ou par une décision d'une autorité compétente.

26.3. L'obligation de confidentialité reste en vigueur pendant trois ans après l'extinction du contrat. L'obligation de confidentialité relative aux informations personnelles du Titulaire et aux enregistrements des signatures n'est pas limitée dans le temps.

26.4. Le Prestataire ne divulgue pas les secrets du titulaire de certificat /LSE 20.2.10/ et ne transmet pas les informations à autrui, sauf dans les cas prévus à l'article 30.1 de la Loi sur la signature électronique.

Article 27. Propriété intellectuelle

27.1. Tous les droits de propriété intellectuelle sur la Plateforme, ses logiciels, son API, sa documentation, sa marque, son logo et les éléments connexes appartiennent au Prestataire.

27.2. Le Client se voit accorder une licence non exclusive et non transférable d'utilisation du Service uniquement dans le cadre du contrat.

27.3. Les documents créés et signés par le Client, ainsi que les informations qu'ils contiennent, sont la propriété du Client.

27.4. Les parties n'utilisent pas le nom, le logo ou la marque de l'autre partie à des fins de marketing sans son autorisation écrite.

Article 28. Interdictions

28.1. Il est interdit au Client et au Titulaire de :

(a) signer au nom d'autrui ou en dehors du périmètre des pouvoirs ;

(b) obtenir un certificat ou un pouvoir de représentation au moyen de faux documents ;

(c) utiliser la clé privée pour authentifier ou chiffrer des informations réputées illicites /LSE 14.3.5/ ;

(d) utiliser le Service pour des informations relevant du secret d'État /LSE 3.1/ ;

(e) décompiler, copier, modifier la Plateforme ou la transmettre à des tiers ;

(f) effectuer des contrôles de sécurité ou des tests d'intrusion sans autorisation écrite ;

(g) générer une charge anormale au moyen d'outils automatisés ;

(h) revendre le Service sans autorisation écrite.

PARTIE X. INFORMATIONS PERSONNELLES, SÉCURITÉ DE L'INFORMATION

Article 29. Traitement des informations personnelles

29.1. Le Prestataire traite les informations personnelles selon la procédure prévue par la Loi sur la protection des informations personnelles, la Loi sur la signature électronique et la CPS.

29.2. Les catégories d'informations traitées et leurs durées de conservation sont indiquées au point 17.2.

29.3. Les données biométriques sont traitées uniquement à des fins d'identification et de récupération, sur la base du consentement du Titulaire, et aucun modèle biométrique n'est conservé sur le serveur.

29.4. La notification adressée à la Partie utilisatrice visée au point 11.3 du contrat ne comporte que le statut et le périmètre des pouvoirs de la procuration, et aucune autre information n'est transmise.

29.5. L'Organisation n'utilise les enregistrements des signatures du Mandataire qu'à des fins professionnelles.

29.6. Les informations de l'Organisation, de la Partie utilisatrice et du Partenaire de distribution sont protégées selon la procédure prévue par la Loi sur le secret des organisations et par l'article 26 des présentes Conditions.

29.7. Le Titulaire a le droit d'accéder à ses informations, de les faire rectifier ou supprimer et de retirer son consentement. En cas de suppression du compte, les informations personnelles non contenues dans les certificats sont supprimées 30 jours après la demande, et les enregistrements visés au point 17.2 des présentes Conditions sont supprimés à l'expiration de leur durée de conservation. Les demandes sont reçues à l'adresse indiquée à l'Annexe 3 et il y est répondu dans un délai de 10 jours ouvrables. Le Titulaire supprime son compte (« Supprimer le compte ») et télécharge ses propres informations (« Télécharger mes données ») directement depuis l'application ; s'il se réinscrit dans un délai de 30 jours après la suppression, ses informations personnelles ne sont pas supprimées. La suppression du compte entraîne la révocation de tous les certificats valides délivrés dans l'application et sur jeton USB (y compris les certificats délivrés au nom d'une organisation) ; les certificats et l'historique des signatures sont conservés pendant la durée prévue au point 17.2 des présentes Conditions.

29.8. Les parties concluent, si nécessaire, un contrat distinct relatif au traitement des informations personnelles.

Article 30. Sous-traitants

30.1. Le Prestataire peut confier l'exécution de certaines parties du Service à des sous-traitants et répond lui-même à l'égard du Client des activités de ces sous-traitants.

30.2. Le Prestataire communique au Client, à sa demande, la liste des sous-traitants participant au traitement des informations personnelles. Toute modification de cette liste est notifiée 30 jours à l'avance.

Article 31. Violation de la sécurité de l'information

31.1. En cas de détection d'une violation de la sécurité de l'information, le Prestataire :

(a) notifie les Clients et Titulaires concernés dans un délai de 24 heures à compter de la détection ;

(b) notifie les autorités compétentes dans le délai prévu par la loi ;

(c) si nécessaire, révoque immédiatement les certificats concernés ;

(d) documente la cause de la violation, les mesures prises et le plan de prévention, et en informe le Client.

31.2. Le Client notifie au Prestataire, dans un délai de 24 heures à compter de sa détection, toute violation de sécurité survenue de son côté et susceptible d'affecter le Service.

PARTIE XI. GARANTIES, RESPONSABILITÉ

Article 32. Garanties du Prestataire

32.1. Le Prestataire garantit que :

(a) les informations figurant dans le certificat étaient exactes au moment de sa délivrance ;

(b) l'exactitude des informations du demandeur a été vérifiée conformément à la loi /LSE 20.2.4/ ;

(c) la clé privée du Titulaire n'a pas été copiée sous sa forme complète /LSE 21.2.5/ ;

(d) le périmètre des pouvoirs de la procuration électronique a été appliqué par des contrôles techniques ;

(e) les enregistrements et la piste d'audit ont été conservés de manière inaltérable ;

(f) il fonctionne en satisfaisant aux exigences techniques et de sécurité /LSE 20.2.1/.

32.2. Hormis la fourniture du Service au niveau de service prévu par les Conditions et la CPS, le Prestataire ne donne aucune garantie, expresse ou implicite, d'adéquation à un usage particulier.

Article 33. Exonération de responsabilité

33.1. Le Prestataire n'engage pas sa responsabilité dans les cas suivants :

(a) le Titulaire a transféré sa clé privée à autrui ou en a divulgué le secret /LSE 14.4/ ;

(b) la Partie utilisatrice n'a pas effectué les vérifications visées au point 19.2 ;

(c) le Titulaire a utilisé un certificat invalidé ou suspendu /LSE 20.4/ ;

(d) l'Organisation n'a pas respecté son obligation de notification visée aux points 7.2.4 et 12.3 ;

(e) le Représentant légal a fixé un périmètre des pouvoirs erroné ou trop large ;

(f) le Titulaire a signé sans prendre connaissance du contenu du document ;

(g) le Titulaire, ayant été trompé, a lui-même consenti intentionnellement à la transaction ;

(h) force majeure ;

(i) défaillance de services de tiers, défaillance de l'appareil ou du logiciel du Client, logiciel malveillant ;

(j) pour une transaction pour laquelle la loi exige une authentification notariale, l'Organisation n'a pas respecté la forme prévue par la loi ;

(k) le Partenaire de distribution a manqué à ses obligations prévues aux articles 21 et 22.

Article 34. Limitation de responsabilité

34.1. Le montant maximal de la responsabilité du Prestataire au titre du contrat est limité au montant total des redevances payées par le Client au cours des 12 mois précédant la violation concernée. Si la durée du contrat est inférieure à 12 mois, il est calculé sur la base du montant effectivement payé. Pour les services fournis gratuitement, le montant maximal de la responsabilité est de 5,000,000 /cinq millions/ de tugriks.

34.2. Lorsque le certificat comporte une limitation du montant des transactions conformément à l'article 10.3.2 de la Loi sur la signature électronique, la responsabilité afférente aux signatures apposées au moyen de ce certificat ne peut excéder cette limitation.

34.3. Les parties peuvent convenir d'un montant maximal de responsabilité différent dans l'Annexe commerciale.

34.4. Le Prestataire ne répond pas des pertes de bénéfices ou de revenus, des atteintes à la réputation, ni des préjudices indirects, consécutifs, spéciaux et accessoires.

34.5. Les limitations prévues au présent article ne s'appliquent pas à la responsabilité découlant d'une faute intentionnelle du Prestataire, d'une négligence grave, d'une violation de l'obligation de confidentialité, ni à la responsabilité dont la loi interdit la limitation.

34.6. Le Client indemnise le Prestataire des réclamations de tiers, amendes et préjudices subis par celui-ci du fait de la violation des Conditions par le Client ou de l'exercice excessif de ses droits et obligations.

PARTIE XII. SUSPENSION DU SERVICE, RÉSILIATION DU CONTRAT

Article 35. Suspension du Service

35.1. Le Prestataire a le droit de suspendre temporairement le Service, en tout ou en partie, dans les cas suivants :

(a) le Client ou le Titulaire a gravement violé les Conditions ;

(b) une menace directe pèse sur la sécurité de l'information ;

(c) il existe un soupçon fondé d'utilisation du Service pour des activités illicites ;

(d) une décision d'une autorité compétente a été rendue ;

(e) le Client n'a pas exécuté ses obligations de paiement pendant plus de 30 jours.

35.2. Le Prestataire notifie sans délai la suspension et en explique le motif ainsi que les conditions de rétablissement. En cas d'urgence, il peut d'abord suspendre puis notifier ultérieurement.

35.3. Dès que le motif de la suspension a disparu, le Service est rétabli dans un délai d'un jour ouvrable.

35.4. La période de suspension n'affecte pas la validité des signatures déjà apposées.

Article 36. Résiliation du contrat, effets de l'extinction

36.1. Le contrat est résilié à l'initiative d'une partie pour les motifs suivants :

(a) l'autre partie a gravement violé les Conditions et n'y a pas remédié dans un délai de 30 jours à compter d'une notification écrite ;

(b) la licence du Prestataire a été retirée ou suspendue ;

(c) l'une des parties est devenue insolvable ou a fait l'objet d'une décision de liquidation ;

(d) pour le motif prévu au point 38.4.

36.2. Même après l'extinction du contrat, les dispositions suivantes restent en vigueur : confidentialité /26/, propriété intellectuelle /27/, informations personnelles /29/, conservation des enregistrements /17/, responsabilité /33, 34/, règlement des litiges /40/.

36.3. Après l'extinction du contrat, le Client a le droit de télécharger ses rapports et sa piste d'audit dans un délai de 90 jours. Passé ce délai, les informations ne sont conservées que selon les règles de conservation prévues au point 17.2.

36.4. L'extinction du contrat entraîne l'extinction automatique des procurations électroniques de l'Organisation concernée, et la Partie utilisatrice en est notifiée conformément au point 11.3.

PARTIE XIII. FORCE MAJEURE

Article 37. Force majeure

37.1. Constituent des cas de force majeure les incendies, inondations, tremblements de terre, fortes tempêtes de neige et de sable, épidémies, guerres, conflits armés, troubles publics généralisés, interruptions de l'approvisionnement en électricité et du réseau Internet à l'échelle nationale, décisions d'autorités compétentes, modifications législatives et autres circonstances indépendantes de la volonté des parties.

37.2. La partie confrontée à un cas de force majeure le notifie à l'autre partie dans un délai de trois jours ouvrables et, dans la mesure du possible, en justifie par une attestation d'une autorité compétente.

37.3. Pendant la durée du cas de force majeure, les parties sont exonérées de leur responsabilité pour l'inexécution de leurs obligations contractuelles. Les obligations de paiement ne sont pas levées par un cas de force majeure.

37.4. Si le cas de force majeure se prolonge au-delà de 60 jours, chacune des parties a le droit de résilier le contrat sans pénalité.

PARTIE XIV. MODIFICATION DES CONDITIONS, NOTIFICATIONS, LITIGES

Article 38. Modification des Conditions

38.1. Le Prestataire a le droit de modifier les présentes Conditions.

38.2. Toute modification restreignant de manière significative les droits du Client est publiée sur le site web et notifiée par courrier électronique à l'adresse enregistrée 30 jours avant son entrée en vigueur.

38.3. Les modifications découlant de changements législatifs, de décisions d'une autorité de régulation ou d'exigences de sécurité de l'information peuvent être mises en œuvre immédiatement et notifiées ultérieurement.

38.4. Si le Client n'accepte pas la modification, il a le droit de résilier le contrat sans pénalité dans un délai de 30 jours à compter de la réception de la notification. S'il ne s'y est pas opposé dans ce délai et a continué à utiliser le Service, il est réputé avoir accepté la modification.

38.5. L'historique des versions des Conditions est consigné à l'Annexe 4 et tenu accessible sur le site web.

Article 39. Notifications

39.1. Les notifications prévues par les Conditions sont adressées par notification sur la Plateforme, par courrier électronique à l'adresse enregistrée ou par courrier officiel.

39.2. Une notification envoyée par courrier électronique est réputée reçue le jour ouvrable suivant le jour de son envoi.

39.3. Le Client et le Titulaire ont l'obligation de tenir à jour leurs coordonnées et supportent eux-mêmes les conséquences d'un défaut de mise à jour.

Article 40. Droit applicable, règlement des litiges

40.1. Les présentes Conditions et les relations qui en découlent sont régies et interprétées conformément au droit de la Mongolie.

40.2. Les parties règlent les litiges à l'amiable par accord mutuel. À défaut de règlement, le litige est porté devant les juridictions de la Mongolie.

40.3. Dans le règlement des litiges, la piste d'audit de la Plateforme, l'horodatage et le rapport de vérification à valeur probante constituent des preuves primaires.

Article 41. Dispositions diverses

41.1. Le Client n'a pas le droit de transférer à autrui les droits et obligations qu'il tient des Conditions et du contrat sans l'autorisation écrite du Prestataire. En cas de réorganisation, le Prestataire peut transférer ses droits et obligations à son ayant cause.

41.2. La nullité de l'une des dispositions des Conditions n'affecte pas la validité des autres dispositions.

41.3. Les Conditions sont établies en langue mongole. En cas de contradiction avec une version traduite dans une autre langue, la version en langue mongole prévaut.

41.4. Les Conditions ne créent entre les parties aucune relation de partenariat, de coentreprise, de représentation ou d'employeur à salarié.

41.5. Les questions non prévues par les Conditions sont réglées conformément au Code civil de la Mongolie et aux autres textes législatifs applicables.

ANNEXE 1. MODÈLES DE PÉRIMÈTRE DES POUVOIRS

Lorsqu'il octroie des pouvoirs à un Mandataire, le Représentant légal choisit l'un des modèles suivants ou les définit lui-même sur mesure. Le Représentant légal fixe le plafond du montant des transactions conformément au règlement intérieur de l'Organisation concernée.

ANNEXE 2. CANAUX D'ASSISTANCE, RÉSUMÉ DES NIVEAUX DE SERVICE

Les niveaux de service, les délais de réponse et les conditions de compensation sont prévus à la Partie VIII des Conditions. Le niveau applicable au Client concerné est défini par l'Annexe commerciale.

ANNEXE 3. CONTACTS

L'adresse, le numéro de téléphone et les coordonnées mises à jour du Prestataire sont publiés sur le site web.

ANNEXE 4. HISTORIQUE DES VERSIONS

1. Dispositions générales

Gerege Systems LLC (ci-après « nous », « notre ») est l'Autorité de certification (Certificate Authority, CA) officielle de la carte d'identité électronique destinée aux citoyens de la Mongolie et fournit des services de délivrance et de validation de certificats de signature électronique. L'utilisateur du Service se conforme pleinement à la Loi sur la signature électronique de la Mongolie, à la Loi sur la protection des informations personnelles et aux présentes conditions.

Numéro d'enregistrement d'État 6235972. La présente partie régit la relation avec le citoyen titulaire de certificat (article 16.6 de la Loi sur la signature électronique ; point 5.3 des Conditions ci-dessus).

2. Description du service

Le service e-ID Mongolia se compose des éléments principaux suivants :

• Délivrance de certificats de signature électronique (aux citoyens authentifiés par le système DAN)
• Signature électronique au moyen du téléphone mobile (iOS, Android)
• Traitement des demandes d'authentification et de signature émanant des parties utilisatrices (Relying Party, RP)
• Échange sécurisé de données par TLS avec les RP enregistrées
• Information en temps réel sur la validité des certificats (OCSP, CRL)

3. Droit d'accès au service

Le Service peut être utilisé par les personnes remplissant les conditions suivantes :

• Être citoyen de la Mongolie âgé de 18 ans révolus (conformément à la Loi sur la signature électronique)
• (b) Être ressortissant étranger âgé de 18 ans révolus — titulaire d’un passeport en cours de validité doté d’une puce NFC et pouvant être vérifié au moyen de la puce du passeport et d’une comparaison faciale
• Disposer d'une carte d'identité en cours de validité
• Pouvoir être authentifié par le système DAN
• Disposer d'un appareil fonctionnant sous iOS 15+ ou Android 7+

Les mineurs de moins de 18 ans et les personnes dont la capacité est restreinte par une décision ayant force de loi n'ont pas le droit d'utiliser le Service.

4. Inscription, connexion

Pour utiliser le Service, vous accomplissez les étapes suivantes :

• Vous authentifier par le système DAN (numéro de registre national, données biométriques)
• Définir vos codes PIN : PIN1 (4 chiffres) pour la connexion, PIN2 (6 chiffres) pour la signature. Il vous incombe de conserver vos codes PIN en lieu sûr
• Vous pouvez activer le verrouillage biométrique (Face ID / Touch ID / empreinte digitale)
• La clé privée est conservée divisée en deux : une partie dans la mémoire protégée de votre appareil, l'autre sur notre serveur, sous forme chiffrée au moyen d'une clé se trouvant à l'intérieur du module cryptographique (HSM). Aucune des parties ne peut à elle seule créer une signature valide ; nous ne copions pas votre clé privée sous sa forme complète et ne créons pas de signature sans votre consentement (article 14 des Conditions)
• Chaque signature est créée par une authentification par PIN ou biométrique, au moyen d'une action intentionnelle et active de votre part ; ce que vous signez est affiché à l'écran (article 15 des Conditions)

En cas de détection d'une activité suspecte liée à votre compte, vous avez l'obligation de le signaler sans délai à l'adresse eIDsupport@gerege.com.

5. Obligations de l'utilisateur

• Ne pas partager vos codes PIN avec autrui et les conserver en lieu sûr
• Ne pas remettre votre appareil à autrui et, en cas de perte ou de vol, faire immédiatement invalider votre certificat
• Maintenir l'exactitude des informations du certificat et nous informer de toute modification
• Ne pas utiliser le Service à des fins illicites ou frauduleuses
• Signaler immédiatement toute violation de sécurité ou toute compromission présumée de la confidentialité de la clé privée (eIDsupport@gerege.com, 24/7)
• Maintenir le système d'exploitation et l'application à jour dans leur dernière version

6. Validité du certificat

Conditions de validité du certificat de signature électronique :

• Valable pendant 5 ans à compter de sa délivrance (sans pouvoir excéder la durée de validité de la CA émettrice ; chaîne actuelle jusqu'au 2031-01-30)
• Peut être renouvelé (renew) avant son expiration
• Le certificat devient invalide dans les cas suivants : à la demande de l'utilisateur ; perte ou vol de l'appareil ; divulgation des informations du certificat ; décès de l'utilisateur ; décision ayant force de loi d'une autorité compétente
• Un certificat invalidé ne peut pas être rétabli — l'utilisateur doit obtenir un nouveau certificat
• Le statut d'invalidation est communiqué en temps réel aux RP par OCSP / CRL
• En cas de changement d'appareil ou d'oubli du PIN, l'accès est rétabli par une nouvelle inscription au moyen du système DAN et du Liveness check, ou d'une signature numérique G-Sign ; lors de la délivrance du nouveau certificat, le certificat précédent est révoqué (article 16 des Conditions)

7. Actes interdits

Lors de l'utilisation du Service, il est interdit de :

• Usurper le nom d'autrui ou signer des documents falsifiés
• Procéder à la rétro-ingénierie (reverse engineer) de l'application, modifier son code source, l'utiliser sur un appareil jailbreaké / rooté
• Contourner les mécanismes de sécurité ou les tester à des fins d'attaque
• Mener des attaques telles que DDoS ou brute-force contre l'infrastructure du Service
• Tenter d'extraire la clé privée ou de tromper l'authentification biométrique
• Utiliser le Service au moyen de bots, de scrapers ou de scripts automatisés
• Utiliser la clé privée pour authentifier ou chiffrer des informations illicites ; utiliser le Service pour des informations relevant du secret d'État (article 28 des Conditions)

8. Droits de propriété intellectuelle

Les droits de propriété intellectuelle sur l'application e-ID Mongolia, son logo, son design, son code source et sa documentation appartiennent à Gerege Systems LLC. Toute utilisation autre que l'utilisation du Service pour des besoins personnels (copie, diffusion, modification, vente, traduction, intégration dans un autre produit, etc.) requiert une autorisation écrite.

9. Suspension, invalidation du service

Nous suspendons temporairement ou retirons votre droit d'accès au Service dans les cas suivants :

• Violation des présentes conditions
• Participation à une fraude ou à un acte illicite
• Mise en danger de la sécurité du Service
• Décision ayant force de loi d'une autorité compétente

Vous avez le droit, à tout moment, de cesser d'utiliser le Service au moyen du bouton « Supprimer le compte » dans l'application. En cas de suppression du compte, les informations personnelles sont supprimées dans un délai de 30 jours ; toutefois, les enregistrements dont la conservation est exigée par la loi sont conservés pendant la durée prévue au point 17.2 des Conditions : enregistrements des certificats et des procurations — 10 ans après l'extinction du certificat ; enregistrements des signatures — 10 ans ; journaux d'accès au système — 5 ans.

10. Limitation de responsabilité

e-ID Mongolia n'engage pas sa responsabilité dans les cas suivants :

• Préjudice résultant de la divulgation du code PIN de l'utilisateur ou de la perte de son appareil
• Préjudice résultant d'une utilisation abusive par un tiers (RP)
• Préjudice résultant de la saisie de fausses informations par l'utilisateur ou du contournement de l'authentification DAN
• Interruption du service due à un cas de force majeure (force majeure), à une cyberattaque ou à une modification de la réglementation publique
• Défaillance de la connexion Internet et de l'appareil de l'utilisateur

Le montant maximal de notre responsabilité totale est limité à un montant équivalent aux sommes que vous nous avez payées au cours des 12 derniers mois. Le Service étant fourni gratuitement aux citoyens, ces limitations de responsabilité s'appliquent dans toute la mesure permise par la loi.

11. Règlement des litiges

En cas de litige relatif aux présentes conditions, les parties s'efforcent d'abord de le régler par la négociation. Si aucun accord n'est trouvé dans un délai de 30 jours, le litige est porté devant le tribunal compétent de la Mongolie. Les présentes conditions sont régies par le droit de la Mongolie.

12. Mise à jour des conditions

Nous avons le droit de modifier les Conditions d'utilisation. Toute modification substantielle est notifiée au moins 30 jours à l'avance par l'intermédiaire de l'application et du site web. En continuant d'utiliser le Service après la mise à jour des conditions, vous êtes réputé avoir accepté les nouvelles conditions. Si vous n'acceptez pas les nouvelles conditions, vous avez le droit de cesser d'utiliser le Service et de supprimer votre compte.

13. Cadre juridique

Le Service fonctionne conformément aux lois et normes suivantes :

• Loi sur la signature électronique (version révisée du 2021-12-17, en vigueur depuis le 2022-05-01)
• Loi sur la protection des informations personnelles (2021)
• Loi sur la cybersécurité (2021)
• Norme internationale ETSI EN 319 4xx Trust Services
• Norme d'interopérabilité (interoperability) fondée sur RESTful API + TLS

14. Contact

Pour toute question relative aux Conditions d'utilisation, veuillez nous contacter :

• E-mail : eIDsupport@gerege.com — assistance générale, réclamations, demandes relatives aux informations personnelles, violations de la sécurité de l'information (Annexe 3 des Conditions)
• Révocation de certificat, signalement des violations de sécurité — 24/7 ; assistance générale — jours ouvrables 09:00–18:00 (Annexe 2)
• Téléphone : +976 7777 3773
• Adresse : Gerege Systems LLC, Oulan-Bator, Mongolie

Índice

• PARTE I. DISPOSICIONES GENERALES (artículos 1–5)
• PARTE II. REGISTRO DE LA ORGANIZACIÓN Y TITULAR DE FACULTADES (artículos 6–7)
• PARTE III. DERECHO DE REPRESENTACIÓN (artículos 8–13)
• PARTE IV. CREACIÓN DE FIRMAS Y SEGURIDAD DE LAS CLAVES (artículos 14–16)
• PARTE V. REGISTROS, INFORMES Y PISTA DE AUDITORÍA (artículos 17–18)
• PARTE VI. CONDICIONES DE LA PARTE USUARIA (artículos 19–20)
• PARTE VII. CONDICIONES DEL SOCIO DE CANAL (artículos 21–22)
• PARTE VIII. NIVEL DE SERVICIO (artículos 23–25)
• PARTE IX. CONFIDENCIALIDAD, PROPIEDAD INTELECTUAL Y PROHIBICIONES (artículos 26–28)
• PARTE X. DATOS PERSONALES Y SEGURIDAD DE LA INFORMACIÓN (artículos 29–31)
• PARTE XI. GARANTÍAS Y RESPONSABILIDAD (artículos 32–34)
• PARTE XII. SUSPENSIÓN DEL SERVICIO Y RESCISIÓN DEL CONTRATO (artículos 35–36)
• PARTE XIII. FUERZA MAYOR (artículo 37)
• PARTE XIV. MODIFICACIÓN DE LAS CONDICIONES, NOTIFICACIONES Y CONTROVERSIAS (artículos 38–41)
• ANEXOS 1–4

PARTE I. DISPOSICIONES GENERALES

Artículo 1. Partes

1.1. Las presentes condiciones del producto y servicio (en adelante, las «Condiciones») regulan la relación que surge entre Gerege Systems LLC (número de registro estatal: 6235972; en adelante, el «Proveedor de Servicios») y la persona que acepta las Condiciones.

1.2. Las Condiciones se aplican a las siguientes personas:

1.2.1. Organización: persona jurídica registrada en el servicio;

1.2.2. Titular de Facultades: persona facultada para representar a la Organización sin poder de representación (Artículo 7.2 de la Ley de Firma Electrónica);

1.2.3. Representante: persona que ha obtenido el derecho de firmar en representación de la Organización sobre la base de un poder electrónico otorgado por el Titular de Facultades (Artículo 7.3 de la Ley de Firma Electrónica);

1.2.4. Parte Usuaria: organización que verifica la firma y actúa confiando en ella (comercio, organismo público, entidad empresarial);

1.2.5. Socio de Canal: persona jurídica que ha celebrado un contrato con el Proveedor de Servicios para integrar y distribuir el Servicio en su propia plataforma.

1.3. Las Condiciones se aplican únicamente al producto y servicio e-ID del Proveedor de Servicios y no se aplican a otros productos y servicios del Proveedor de Servicios.

Artículo 2. Ámbito y orden de prelación de las Condiciones

2.1. Las Condiciones están publicadas de forma permanente y accesible en el sitio web del Proveedor de Servicios (Artículo 22.1 de la Ley de Firma Electrónica).

2.2. Las Condiciones forman parte integrante del contrato celebrado entre las partes.

2.3. Condiciones comerciales: el precio, las tarifas, los compromisos de volumen, los descuentos, el calendario de pagos y demás disposiciones comerciales no se recogen en las Condiciones. Estos se regulan mediante un Anexo Comercial que las partes celebran por separado.

2.4. En caso de conflicto entre documentos, se aplicarán en el siguiente orden:

(a) los requisitos de la legislación de Mongolia;

(b) la declaración de prácticas de certificación del Proveedor de Servicios (CPS);

(c) el contrato principal celebrado por las partes;

(d) el Anexo Comercial;

(e) las presentes Condiciones;

(f) los anexos de las Condiciones.

2.5. Queda prohibido utilizar el Servicio para información clasificada como secreto de Estado (Artículo 3.1 de la Ley de Firma Electrónica).

Artículo 3. Tipos de productos y servicios

3.1. Las Condiciones se aplican a los siguientes productos y servicios:

3.2. La composición de los productos prestados al cliente se determina en el Anexo Comercial. Las disposiciones de las Condiciones se aplican únicamente a los productos que se prestan a dicho cliente.

Artículo 4. Definiciones

4.1. Los términos utilizados en las Condiciones se entenderán con el significado establecido en el Artículo 4 de la Ley de Firma Electrónica. Además:

Artículo 5. Celebración, entrada en vigor y duración del contrato

5.1. Las Condiciones entran en vigor en cualquiera de las siguientes formas:

(a) mediante la aceptación de las Condiciones por el Cliente en la Plataforma;

(b) mediante la firma del contrato principal por las partes.

5.2. La duración del contrato será la indicada en el Anexo Comercial y, si no se indica, será de un año. Si ninguna de las partes notifica su rescisión 30 días antes del vencimiento, el contrato se considerará prorrogado por el mismo período.

5.3. La relación con el titular del certificado se regula mediante el contrato previsto en el Artículo 16.6 de la Ley de Firma Electrónica y las condiciones del Proveedor de Servicios para los titulares de certificados.

PARTE II. REGISTRO DE LA ORGANIZACIÓN Y TITULAR DE FACULTADES

Artículo 6. Creación y verificación del registro

6.1. El registro de la Organización solo puede abrirlo el Titular de Facultades.

6.2. El Titular de Facultades se verifica del siguiente modo (Artículo 16.2 de la Ley de Firma Electrónica):

(a) si su certificado personal de firma digital es válido;

(b) si dicha persona figura en el registro estatal de personas jurídicas como persona facultada para representar sin poder de representación;

(c) si el certificado de registro estatal de la persona jurídica es válido.

6.3. La verificación prevista en el apartado 6.2(b) la realiza automáticamente el Proveedor de Servicios a partir de la base de datos del organismo de registro estatal. Si no es posible la verificación automática, la Organización presentará los documentos pertinentes.

6.4. Con la creación del registro, la Organización adquiere los siguientes derechos:

(a) ser titular de un sello electrónico (LFE 7.1);

(b) otorgar derechos a Representantes (Parte III);

(c) obtener informes y la pista de auditoría (Parte V).

6.5. El Proveedor de Servicios tiene derecho a negarse a abrir la cuenta si no se cumplen los requisitos del apartado 6.2 o si la información presentada presenta discrepancias, y notificará los motivos de la negativa.

Artículo 7. Derechos y obligaciones del Titular de Facultades

7.1. El Titular de Facultades tiene los siguientes derechos: firmar en nombre de la Organización y utilizar el sello electrónico; otorgar derechos a Representantes y establecer, modificar y revocar el alcance de los derechos; acceder a los informes y a la pista de auditoría; cerrar la cuenta de la Organización.

7.2. El Titular de Facultades tiene las siguientes obligaciones:

7.2.1. no transferir su clave privada a otras personas (LFE 14.3.1);

7.2.2. establecer claramente el alcance de los derechos antes de otorgar el derecho de representación;

7.2.3. revocar de inmediato los derechos del Representante en cuanto dejen de ser necesarios;

7.2.4. notificar al Proveedor de Servicios dentro de un día hábil si cambia el Titular de Facultades o se modifican las facultades de representación de la Organización;

7.2.5. notificar con antelación la reorganización o liquidación de la Organización;

7.2.6. explicar a cada Representante el alcance de sus derechos y la responsabilidad que asume;

7.2.7. mantener actualizados los datos de contacto indicados en el registro.

7.3. El Titular de Facultades responde, en nombre de la Organización, de las consecuencias de los actos realizados por el Representante dentro del alcance de sus derechos.

PARTE III. DERECHO DE REPRESENTACIÓN

Artículo 8. Procedimiento de otorgamiento de derechos

8.1. El derecho de representación surge en el siguiente orden:

8.2. El derecho no surge hasta que el Representante lo acepta.

8.3. El Representante debe tener un certificado de firma digital válido a su nombre. Si no lo tiene, primero obtendrá un certificado conforme al procedimiento establecido en la Ley de Firma Electrónica.

8.4. Fundamento jurídico. El poder electrónico es un poder otorgado en forma electrónica que cumple los requisitos del poder establecidos en el Código Civil. Conforme al Artículo 6.3 de la Ley de Firma Electrónica, la firma digital tiene la misma validez que la firma estampada en un documento en papel.

Artículo 9. Alcance de los derechos y restricciones

9.1. El Titular de Facultades establece las siguientes restricciones:

9.2. La Plataforma impide, mediante controles técnicos, los intentos de realizar actos fuera del alcance de los derechos.

9.3. La modificación del alcance de los derechos equivale al otorgamiento de un nuevo poder: el Titular de Facultades vuelve a firmar y el Representante vuelve a aceptar.

9.4. Legalización notarial. En las operaciones para las que la ley exige legalización notarial, el poder electrónico por sí solo puede no ser suficiente. La Plataforma muestra una advertencia al Titular de Facultades para las categorías de documentos señaladas específicamente en el Anexo 1. La obligación de cumplir la forma exigida por la ley para dicha operación corresponde a la Organización.

Artículo 10. Plazo del poder

10.1. El poder electrónico otorgado por un plazo determinado no podrá exceder de tres años.

10.2. Si no se indica plazo, el poder es válido durante un año a partir de la fecha de su otorgamiento.

10.3. La Plataforma aplica automáticamente los límites establecidos en los apartados 10.1 y 10.2.

10.4. El plazo del poder no excederá el período de validez del certificado de firma digital del Representante.

10.5. Se notificará al Titular de Facultades y al Representante 30 días antes del vencimiento.

Artículo 11. Revocación y extinción

11.1. El poder electrónico se extingue por los siguientes motivos:

11.2. El Titular de Facultades y el Representante tienen derecho a revocar el poder o a renunciar a él en cualquier momento.

11.3. Obligación de notificación. En cuanto el poder se extingue, la Plataforma lo notifica automáticamente a las siguientes personas:

(a) al Representante;

(b) a la Parte Usuaria registrada para recibir notificaciones, a fin de cumplir la obligación de notificar a terceros prevista en el Código Civil;

(c) al Titular de Facultades, una notificación de confirmación.

11.4. Las firmas realizadas sobre la base del poder después del momento de su extinción no tienen validez. La extinción no afecta a la validez de las firmas realizadas antes de ella, y el momento de la firma se establece mediante el sello de tiempo (LFE 9).

Artículo 12. Cambio del Titular de Facultades

12.1. En caso de cambio del Titular de Facultades, se procede en el siguiente orden:

12.2. El cambio del Titular de Facultades se determina mediante las siguientes fuentes:

(a) la modificación en la base de datos del organismo de registro estatal (automáticamente, cuando sea técnicamente posible);

(b) la notificación de la Organización prevista en el apartado 7.2.4;

(c) la conciliación periódica del Proveedor de Servicios.

12.3. Responsabilidad de la Organización. Cuando no sea posible la detección automática, la obligación de notificar el cambio del Titular de Facultades dentro de un día hábil corresponde a la Organización. La Organización responde de las consecuencias derivadas de la falta de notificación.

12.4. Para reducir el riesgo previsto en el apartado 12.3, se recomienda a la Organización fijar el plazo de los poderes en no más de 12 meses.

Artículo 13. Derechos y obligaciones del Representante

13.1. El Representante tiene los siguientes derechos: firmar en representación de la Organización dentro del alcance de sus derechos; renunciar al poder en cualquier momento; consultar el historial de las firmas que ha realizado; consultar en cualquier momento el alcance de sus derechos.

13.2. El Representante tiene las siguientes obligaciones:

13.2.1. no transferir su clave privada a otras personas (LFE 14.3.1);

13.2.2. conocer el contenido del documento antes de firmarlo;

13.2.3. no realizar actos fuera del alcance de sus derechos;

13.2.4. ser consciente de que firma en nombre de la Organización y actuar con la diligencia correspondiente;

13.2.5. notificar de inmediato si considera que la confidencialidad de su clave privada se ha visto comprometida (LFE 14.3.3).

13.3. Si el Representante intenta realizar un acto fuera del alcance de sus derechos, la Plataforma no lo ejecutará. Si el acto se realiza vulnerando o eludiendo los controles técnicos, el Representante será responsable.

13.4. Principio de la clave. El Representante no utiliza la clave privada del Titular de Facultades ni tiene la posibilidad técnica de utilizarla. El Representante firma únicamente con su propia clave privada y acredita sus derechos mediante el poder electrónico. Este es un requisito establecido en el Artículo 14.3.1 de la Ley de Firma Electrónica, y la Plataforma garantiza su cumplimiento mediante controles técnicos.

PARTE IV. CREACIÓN DE FIRMAS Y SEGURIDAD DE LAS CLAVES

Artículo 14. División de la clave

14.1. La clave privada se almacena dividida del siguiente modo:

(a) una parte, en la memoria protegida del dispositivo del Titular;

(b) la otra parte, en el servidor del Proveedor de Servicios; tanto la parte de la clave del servidor como la parte procedente del dispositivo se almacenan cifradas con una clave AES-256 que nunca sale del módulo criptográfico (HSM).

14.2. Ninguna de las partes puede crear por sí sola una firma válida.

14.3. Se prohíbe al Proveedor de Servicios crear firmas sin el consentimiento del Titular.

14.4. El Proveedor de Servicios no copiará en forma completa la clave privada del Titular (LFE 21.2.5).

14.5. Si el Proveedor de Servicios detecta que se ha copiado la parte de la clave del dispositivo, desactivará dicho dispositivo, revocará de inmediato el certificado del Titular y se lo notificará al Titular.

14.6. El Proveedor de Servicios utiliza únicamente dispositivos de firma digital incluidos en la lista del organismo central de la administración del Estado competente en materia de desarrollo digital y comunicaciones (LFE 20.2.9).

Artículo 15. Control exclusivo

15.1. En cada creación de una firma se cumplen las siguientes condiciones:

(a) el Titular realiza la verificación mediante PIN, reconocimiento biométrico u otra verificación equivalente prevista en la CPS del Proveedor de Servicios;

(b) la Plataforma muestra en pantalla lo que se está firmando;

(c) si se firma en representación de una Organización, muestra en nombre de qué Organización y dentro de qué alcance de derechos se firma;

(d) el Titular confirma mediante una acción intencionada y activa.

15.2. Después de la firma, debe ser posible detectar si se ha modificado la información (LFE 6.2.3).

Artículo 16. Cambio de dispositivo y recuperación

16.1. Si el Titular cambia de dispositivo u olvida su PIN, la Plataforma ofrece los siguientes canales de recuperación:

(a) a distancia: sistema DAN y Liveness check;

(b) a distancia: con firma digital G-Sign;

(c) en persona: mediante el quiosco Gerege.

16.2. La recuperación se realiza mediante un nuevo registro: al expedirse el nuevo certificado, el certificado válido anterior se revoca con el motivo superseded (4) (LFE 17).

16.3. Los derechos de representación del Titular en la Organización se conservan al cambiar de dispositivo, y únicamente se vuelve a generar el certificado.

16.4. La composición de los canales de recuperación puede cambiar en función de requisitos técnicos y regulatorios, y el Proveedor de Servicios mantendrá en funcionamiento de forma permanente al menos un canal de recuperación a distancia.

PARTE V. REGISTROS, INFORMES Y PISTA DE AUDITORÍA

Artículo 17. Registros

17.1. La Plataforma registra la siguiente información de forma inalterable:

17.2. Plazos de conservación de los registros:

17.3. El Proveedor de Servicios suprimirá los registros cuyo plazo de conservación haya vencido conforme al procedimiento establecido en la legislación.

Artículo 18. Informes

18.1. La Organización tiene derecho a obtener los siguientes informes:

18.2. La disponibilidad, el volumen y la frecuencia de emisión de los informes se determinan en el Anexo Comercial.

18.3. Los informes los consultan el Titular de Facultades de la Organización y las personas autorizadas por este.

18.4. El Representante solo consulta el informe de las firmas que él mismo ha realizado.

PARTE VI. CONDICIONES DE LA PARTE USUARIA

Artículo 19. Obligaciones de la Parte Usuaria

19.1. La Parte Usuaria utiliza el Servicio mediante la celebración de un contrato independiente con el Proveedor de Servicios. Las presentes Condiciones forman parte integrante de dicho contrato.

19.2. Antes de actuar confiando en una firma, la Parte Usuaria verificará obligatoriamente lo siguiente:

19.3. La Parte Usuaria responde por sí misma de los daños derivados de no haber realizado las verificaciones previstas en el apartado 19.2.

19.4. La Parte Usuaria tiene derecho a registrarse para recibir la notificación automática prevista en el apartado 11.3 y, de este modo, conocer en tiempo real la revocación de un poder.

19.5. La Parte Usuaria está obligada a utilizar el resultado de la verificación únicamente para la finalidad prevista en el contrato, a no transmitir los datos del Titular a terceros y a no presentar de forma distorsionada el resultado de la verificación.

Artículo 20. Servicio de verificación

20.1. La Parte Usuaria puede utilizar la API de verificación de firmas y el portal de verificación de acceso público del Proveedor de Servicios.

20.2. El resultado del portal de acceso público tiene fines informativos. Cuando se requiera una prueba jurídica, la Parte Usuaria encargará un informe de verificación con valor probatorio.

20.3. El portal de acceso público no está destinado a un uso a escala comercial. El Proveedor de Servicios tiene derecho a limitar los accesos que generen una carga anómala.

20.4. Cuando la Parte Usuaria utilice los servicios de identificación y verificación, está obligada a aplicarlos junto con su propia evaluación de riesgos.

PARTE VII. CONDICIONES DEL SOCIO DE CANAL

Artículo 21. Derechos y obligaciones del Socio de Canal

21.1. El Socio de Canal integra el Servicio en su propia plataforma y lo distribuye a los usuarios finales sobre la base del contrato celebrado con el Proveedor de Servicios. Las presentes Condiciones forman parte integrante de dicho contrato.

21.2. El Socio de Canal tiene las siguientes obligaciones:

21.2.1. distribuir el Servicio únicamente dentro del ámbito y para la finalidad previstos en el contrato;

21.2.2. dar a conocer las presentes Condiciones a los usuarios finales y obtener su aceptación;

21.2.3. mantener en confidencialidad las claves API, el client_id, el client_secret y los certificados otorgados por el Proveedor de Servicios, y notificar de inmediato cualquier filtración o riesgo de filtración;

21.2.4. garantizar la seguridad de la información de su propia plataforma y notificar en un plazo de 24 horas cualquier vulnerabilidad detectada;

21.2.5. no otorgar a los usuarios finales ninguna garantía ni promesa en nombre del Servicio;

21.2.6. notificar con 10 días de antelación cualquier cambio en la arquitectura de integración, el entorno, el dominio o el redirect URI;

21.2.7. utilizar el nombre, la marca y el logotipo del Proveedor de Servicios únicamente en la forma acordada previamente.

21.3. El Socio de Canal solo podrá revender el Servicio o transmitirlo a terceros con la autorización escrita del Proveedor de Servicios.

21.4. Distribución de responsabilidades. Frente al usuario final, el Socio de Canal responde del funcionamiento de su plataforma, de la experiencia de usuario y de la solución de pagos, y el Proveedor de Servicios responde del funcionamiento técnico del servicio e-ID y de la validez jurídica de las firmas.

Artículo 22. Requisitos de integración

22.1. El Socio de Canal realiza la integración conforme a la documentación de la API y la guía de integración del Proveedor de Servicios.

22.2. Antes de pasar al entorno de producción, deberá superar obligatoriamente la verificación de integración del Proveedor de Servicios.

22.3. Cuando el Proveedor de Servicios modifique una versión de la API o la retire del uso, lo notificará con 60 días de antelación y prestará apoyo para la migración. Los cambios urgentes derivados de requisitos de seguridad pueden aplicarse de inmediato y notificarse posteriormente.

22.4. Se prohíbe al Socio de Canal modificar el flujo de firma, presentar de forma distorsionada el resultado de la verificación e-ID u ofrecer alternativas que eludan e-ID.

22.5. Si se detecta una carga anómala o un uso indebido, el Proveedor de Servicios tiene derecho a limitar el acceso.

PARTE VIII. NIVEL DE SERVICIO

Artículo 23. Disponibilidad

23.1. El Proveedor de Servicios garantiza los siguientes niveles de disponibilidad. El nivel aplicable a cada Cliente se determina en el Anexo Comercial:

23.2. La disponibilidad se calcula por cada mes de facturación.

23.3. El mantenimiento programado se notifica con una semana de antelación y se realiza en horas de baja carga. Las interrupciones debidas al mantenimiento programado, a fuerza mayor o a fallos del lado del Cliente no se incluyen en el cálculo de la disponibilidad.

Artículo 24. Tiempos de respuesta

24.1. El Proveedor de Servicios garantiza los siguientes tiempos objetivo:

24.2. El horario de los canales de soporte se indica en el Anexo 2.

Artículo 25. Compensación

25.1. Si la disponibilidad del mes de facturación es inferior al nivel establecido en el apartado 23.1, el Cliente tiene derecho a reclamar la siguiente compensación:

25.2. La compensación se reclama por escrito dentro de los 30 días siguientes al final del mes correspondiente. No se aceptarán reclamaciones presentadas fuera de plazo.

25.3. La compensación constituye el único remedio del que dispone el Cliente en relación con el incumplimiento del nivel de disponibilidad.

25.4. No se calcula compensación para los servicios prestados de forma gratuita ni para los que funcionan en modo de prueba.

PARTE IX. CONFIDENCIALIDAD, PROPIEDAD INTELECTUAL Y PROHIBICIONES

Artículo 26. Confidencialidad

26.1. Cada parte no divulgará a terceros la información comercial, técnica o de otro tipo de carácter confidencial recibida de la otra parte en el marco del contrato, y la utilizará únicamente para los fines del contrato.

26.2. La obligación de confidencialidad no se aplica a la siguiente información: información de acceso público; información que se haya hecho pública sin culpa de la parte; información cuya entrega exija la ley o una decisión de un organismo competente.

26.3. La obligación de confidencialidad se mantiene durante tres años desde la extinción del contrato. La obligación de confidencialidad relativa a los datos personales del Titular y a los registros de firmas no tiene límite de tiempo.

26.4. El Proveedor de Servicios no divulgará la información confidencial del titular del certificado (LFE 20.2.10) ni transmitirá información a terceros salvo en los casos previstos en el Artículo 30.1 de la Ley de Firma Electrónica.

Artículo 27. Propiedad intelectual

27.1. Todos los derechos de propiedad intelectual sobre la Plataforma, su software, la API, la documentación, la marca, el logotipo y los elementos relacionados corresponden al Proveedor de Servicios.

27.2. Se otorga al Cliente una licencia no exclusiva e intransferible para utilizar el Servicio únicamente en el marco del contrato.

27.3. Los documentos creados y firmados por el Cliente y la información que contienen son propiedad del Cliente.

27.4. Las partes no utilizarán el nombre, el logotipo ni la marca de la otra parte con fines de marketing sin su autorización escrita.

Artículo 28. Prohibiciones

28.1. Se prohíbe al Cliente y a los Titulares:

(a) firmar en nombre de otra persona o fuera del alcance de sus derechos;

(b) obtener un certificado o un derecho de representación mediante documentos falsos;

(c) utilizar la clave privada para validar o cifrar información considerada ilícita (LFE 14.3.5);

(d) utilizar el Servicio para información clasificada como secreto de Estado (LFE 3.1);

(e) someter la Plataforma a ingeniería inversa, copiarla, modificarla o transmitirla a terceros;

(f) realizar pruebas de seguridad o pruebas de penetración sin autorización escrita;

(g) generar cargas anómalas mediante herramientas automatizadas;

(h) revender el Servicio sin autorización escrita.

PARTE X. DATOS PERSONALES Y SEGURIDAD DE LA INFORMACIÓN

Artículo 29. Tratamiento de datos personales

29.1. El Proveedor de Servicios trata los datos personales conforme al procedimiento establecido en la Ley de Protección de la Información Personal, la Ley de Firma Electrónica y la CPS.

29.2. Las categorías de datos tratados y los plazos de conservación se establecen en el apartado 17.2.

29.3. Los datos biométricos se tratan únicamente con fines de identificación y recuperación, sobre la base del consentimiento del Titular, y las plantillas biométricas no se guardan en el servidor.

29.4. La notificación enviada a la Parte Usuaria prevista en el apartado 11.3 contiene únicamente el estado del poder y el alcance de los derechos, y no se transmite ninguna información adicional.

29.5. La Organización utiliza los registros de firmas del Representante únicamente con fines laborales.

29.6. La información de la Organización, de la Parte Usuaria y del Socio de Canal se protege conforme a la Ley de Secretos de Organizaciones y al procedimiento establecido en el Artículo 26 de las presentes Condiciones.

29.7. El Titular tiene derecho a acceder a sus datos, a rectificarlos, a que se supriman y a retirar su consentimiento. Al eliminar la cuenta, los datos personales que no figuran en el certificado se suprimen 30 días después de presentada la solicitud, y los registros previstos en el apartado 17.2 de las presentes Condiciones se suprimen una vez finalizado su plazo de conservación. Las solicitudes se reciben en la dirección indicada en el Anexo 3 y se responden en un plazo de 10 días hábiles. El Titular realiza directamente desde la aplicación la eliminación de su cuenta («Eliminar cuenta») y la descarga de sus datos («Descargar mis datos»); si vuelve a registrarse dentro de los 30 días siguientes a la eliminación, sus datos personales no se suprimen. Al eliminar la cuenta, se revocan todos los certificados vigentes expedidos en la aplicación y en tokens USB (incluidos los certificados en nombre de una organización); los certificados y el historial de firmas se conservan durante el plazo establecido en el apartado 17.2 de las presentes Condiciones.

29.8. Cuando sea necesario, las partes celebrarán un contrato independiente de tratamiento de datos personales.

Artículo 30. Subcontratistas

30.1. El Proveedor de Servicios puede encargar a subcontratistas la ejecución de determinadas partes del Servicio y responde personalmente ante el Cliente de la actuación de los subcontratistas.

30.2. El Proveedor de Servicios facilitará, a solicitud del Cliente, la lista de subcontratistas que intervienen en el tratamiento de datos personales. Los cambios en la lista se notificarán con 30 días de antelación.

Artículo 31. Incidentes de seguridad de la información

31.1. Si se detecta un incidente de seguridad de la información, el Proveedor de Servicios:

(a) lo notificará a los Clientes y Titulares afectados dentro de las 24 horas siguientes a su detección;

(b) lo notificará a los organismos competentes dentro del plazo establecido por la ley;

(c) cuando sea necesario, revocará de inmediato los certificados afectados;

(d) documentará la causa del incidente, las medidas adoptadas y el plan de prevención, y lo notificará al Cliente.

31.2. El Cliente notificará al Proveedor de Servicios, dentro de las 24 horas siguientes a su detección, cualquier incidente de seguridad producido de su lado que pueda afectar al Servicio.

PARTE XI. GARANTÍAS Y RESPONSABILIDAD

Artículo 32. Garantías del Proveedor de Servicios

32.1. El Proveedor de Servicios garantiza lo siguiente:

(a) que la información incluida en el certificado era exacta en el momento de su expedición;

(b) que ha verificado la exactitud de la información del solicitante conforme a la ley (LFE 20.2.4);

(c) que no ha copiado en forma completa la clave privada del Titular (LFE 21.2.5);

(d) que ha aplicado el alcance de los derechos del poder electrónico mediante controles técnicos;

(e) que ha conservado los registros y la pista de auditoría de forma inalterable;

(f) que opera cumpliendo los requisitos técnicos y de seguridad operativa (LFE 20.2.1).

32.2. Aparte de prestar el Servicio con el nivel de servicio establecido en las Condiciones y en la CPS, el Proveedor de Servicios no otorga garantías expresas ni implícitas de idoneidad para un fin determinado.

Artículo 33. Exención de responsabilidad

33.1. El Proveedor de Servicios no asume responsabilidad en los siguientes casos:

(a) el Titular transfirió su clave privada a otra persona o divulgó información confidencial (LFE 14.4);

(b) la Parte Usuaria no realizó las verificaciones previstas en el apartado 19.2;

(c) el Titular utilizó un certificado que había quedado sin efecto o que estaba suspendido (LFE 20.4);

(d) la Organización no cumplió la obligación de notificación prevista en los apartados 7.2.4 y 12.3;

(e) el Titular de Facultades estableció el alcance de los derechos de forma incorrecta o excesivamente amplia;

(f) el Titular firmó sin conocer el contenido del documento;

(g) el Titular fue engañado y consintió él mismo, de forma intencionada, la operación;

(h) fuerza mayor;

(i) fallos de servicios de terceros, fallos de los dispositivos o del software del Cliente, software malicioso;

(j) en operaciones para las que la ley exige legalización notarial, la Organización no cumplió la forma establecida por la ley;

(k) el Socio de Canal incumplió las obligaciones previstas en los artículos 21 y 22.

Artículo 34. Limitación de responsabilidad

34.1. La responsabilidad máxima del Proveedor de Servicios en el marco del contrato se limita al importe total de los pagos realizados por el Cliente durante los 12 meses anteriores al incumplimiento correspondiente. Si la duración del contrato es inferior a 12 meses, se calcula sobre el importe efectivamente pagado. Para los servicios prestados de forma gratuita, la responsabilidad máxima es de 5,000,000 (cinco millones) de tugriks.

34.2. Si el certificado incluye un límite del importe de las operaciones conforme al Artículo 10.3.2 de la Ley de Firma Electrónica, la responsabilidad relativa a las firmas realizadas con dicho certificado no excederá de dicho límite.

34.3. Las partes pueden acordar en el Anexo Comercial una responsabilidad máxima distinta.

34.4. El Proveedor de Servicios no responde del lucro cesante, la pérdida de ingresos, los daños a la reputación ni los daños indirectos, mediatos, especiales o accesorios.

34.5. Las limitaciones previstas en este artículo no se aplican a la responsabilidad derivada de actos dolosos o negligencia grave del Proveedor de Servicios, del incumplimiento de la obligación de confidencialidad, ni a la responsabilidad cuya limitación esté prohibida por la ley.

34.6. Si el incumplimiento de las Condiciones por el Cliente, o el ejercicio por este de sus derechos y obligaciones más allá de lo permitido, da lugar a reclamaciones de terceros, multas o daños para el Proveedor de Servicios, el Cliente lo indemnizará.

PARTE XII. SUSPENSIÓN DEL SERVICIO Y RESCISIÓN DEL CONTRATO

Artículo 35. Suspensión del servicio

35.1. El Proveedor de Servicios tiene derecho a suspender temporalmente el Servicio, total o parcialmente, en los siguientes casos:

(a) el Cliente o el Titular ha incumplido gravemente las Condiciones;

(b) existe una amenaza directa para la seguridad de la información;

(c) existe una sospecha fundada de que el Servicio se está utilizando para actividades ilícitas;

(d) se ha dictado una decisión de un organismo competente;

(e) el Cliente no ha cumplido sus obligaciones de pago durante más de 30 días.

35.2. El Proveedor de Servicios notificará de inmediato la suspensión y explicará su motivo y las condiciones para el restablecimiento. En casos urgentes, puede suspender primero y notificar después.

35.3. En cuanto desaparezca el motivo de la suspensión, el Servicio se restablecerá dentro de un día hábil.

35.4. La suspensión no afecta a la validez de las firmas ya realizadas.

Artículo 36. Rescisión del contrato y consecuencias de su extinción

36.1. El contrato se rescinde por iniciativa unilateral por los siguientes motivos:

(a) la otra parte ha incumplido gravemente las Condiciones y no lo ha subsanado dentro de los 30 días siguientes a la notificación escrita;

(b) la licencia especial del Proveedor de Servicios ha quedado sin efecto o ha sido suspendida;

(c) una de las partes ha devenido insolvente o se ha dictado una decisión de liquidación;

(d) por el motivo previsto en el apartado 38.4.

36.2. Aun después de la extinción del contrato, siguen vigentes las siguientes disposiciones: confidencialidad (26), propiedad intelectual (27), datos personales (29), conservación de registros (17), responsabilidad (33, 34), resolución de controversias (40).

36.3. Tras la extinción del contrato, el Cliente tiene derecho a descargar sus informes y su pista de auditoría dentro de un plazo de 90 días. Transcurrido dicho plazo, la información se conserva únicamente conforme al régimen de conservación previsto en el apartado 17.2.

36.4. Con la extinción del contrato, los poderes electrónicos de la Organización correspondiente se extinguen automáticamente y se notifica a la Parte Usuaria conforme al apartado 11.3.

PARTE XIII. FUERZA MAYOR

Artículo 37. Fuerza mayor

37.1. Constituyen fuerza mayor los incendios, inundaciones, terremotos, fuertes tormentas de nieve y de arena, epidemias, guerras, conflictos armados, disturbios generalizados, interrupciones del suministro eléctrico o de la red de Internet a escala nacional, las decisiones de organismos competentes, los cambios legislativos y demás circunstancias ajenas a la voluntad de las partes.

37.2. La parte afectada por la fuerza mayor lo notificará a la otra parte dentro de tres días hábiles y, cuando sea posible, lo acreditará mediante un certificado del organismo competente.

37.3. Mientras dure la fuerza mayor, las partes quedan exentas de responsabilidad por el incumplimiento de sus obligaciones contractuales. Las obligaciones de pago no quedan exentas por causa de fuerza mayor.

37.4. Si la fuerza mayor se prolonga más de 60 días, cualquiera de las partes tiene derecho a rescindir el contrato sin penalización.

PARTE XIV. MODIFICACIÓN DE LAS CONDICIONES, NOTIFICACIONES Y CONTROVERSIAS

Artículo 38. Modificación de las Condiciones

38.1. El Proveedor de Servicios tiene derecho a modificar las presentes Condiciones.

38.2. Los cambios que restrinjan de forma significativa los derechos del Cliente se publicarán en el sitio web y se notificarán por el correo electrónico registrado 30 días antes de su entrada en vigor.

38.3. Los cambios derivados de modificaciones legislativas, decisiones de organismos reguladores o requisitos de seguridad de la información pueden aplicarse de inmediato y notificarse posteriormente.

38.4. Si el Cliente no acepta los cambios, tiene derecho a rescindir el contrato sin penalización dentro de los 30 días siguientes a la recepción de la notificación. Si no se opone dentro de ese plazo y sigue utilizando el Servicio, se considera que acepta los cambios.

38.5. El historial de versiones de las Condiciones se registra en el Anexo 4 y se mantiene accesible en el sitio web.

Artículo 39. Notificaciones

39.1. Las notificaciones previstas en las Condiciones se envían mediante notificación en la Plataforma, por el correo electrónico registrado o por carta oficial.

39.2. Las notificaciones enviadas por correo electrónico se consideran entregadas el día hábil siguiente al de su envío.

39.3. El Cliente y el Titular están obligados a mantener actualizados sus datos de contacto y responden por sí mismos de las consecuencias de no hacerlo.

Artículo 40. Ley aplicable y resolución de controversias

40.1. Las presentes Condiciones y las relaciones que de ellas se deriven se rigen e interpretan conforme a la legislación de Mongolia.

40.2. Las controversias se resolverán de forma amistosa mediante acuerdo mutuo entre las partes. Si no logran resolverse, se someterán a los tribunales de Mongolia.

40.3. En la resolución de controversias, la pista de auditoría de la Plataforma, los sellos de tiempo y los informes de verificación con valor probatorio constituyen prueba primaria.

Artículo 41. Disposiciones varias

41.1. El Cliente no tiene derecho a ceder a terceros los derechos y obligaciones asumidos en virtud de las Condiciones y del contrato sin la autorización escrita del Proveedor de Servicios. En caso de reorganización, el Proveedor de Servicios puede transferir sus derechos y obligaciones a su sucesor legal.

41.2. La invalidez de cualquier disposición de las Condiciones no afecta a la validez de las demás disposiciones.

41.3. Las Condiciones se redactan en mongol. En caso de conflicto con una versión traducida a otro idioma, prevalecerá la versión en mongol.

41.4. Las Condiciones no crean entre las partes una relación de asociación, empresa conjunta, representación ni de empleador y empleado.

41.5. Las cuestiones no previstas en las Condiciones se resolverán conforme al Código Civil de Mongolia y demás legislación aplicable.

ANEXO 1. MODELOS DE ALCANCE DE LOS DERECHOS

Al otorgar derechos a un Representante, el Titular de Facultades elige uno de los siguientes modelos o establece una configuración propia. El Titular de Facultades fija el límite del importe de las operaciones de conformidad con la normativa interna de la Organización.

ANEXO 2. CANALES DE SOPORTE Y RESUMEN DEL NIVEL DE SERVICIO

El nivel de servicio, los tiempos de respuesta y las condiciones de compensación se establecen en la Parte VIII de las Condiciones. El nivel aplicable a cada Cliente se determina en el Anexo Comercial.

ANEXO 3. CONTACTO

La dirección, el teléfono de contacto y los datos de contacto actualizados del Proveedor de Servicios se publican en el sitio web.

ANEXO 4. HISTORIAL DE VERSIONES

1. Disposiciones generales

Gerege Systems LLC (en adelante, «nosotros», «nuestro») es la Autoridad de Certificación (Certificate Authority, CA) oficial del documento nacional de identidad electrónico para los ciudadanos de Mongolia y presta servicios de expedición y validación de certificados de firma electrónica. El usuario que utiliza el Servicio cumplirá plenamente la Ley de Firma Electrónica de Mongolia, la Ley de Protección de la Información Personal y las presentes condiciones.

Número de registro estatal 6235972. Esta parte regula la relación con el ciudadano titular del certificado (Artículo 16.6 de la Ley de Firma Electrónica; apartado 5.3 de las Condiciones anteriores).

2. Descripción del servicio

El servicio e-ID Mongolia consta de los siguientes componentes principales:

• Expedición de certificados de firma electrónica (a ciudadanos verificados mediante el sistema DAN)
• Firma electrónica con el teléfono móvil (iOS, Android)
• Tratamiento de las solicitudes de autenticación y de firma recibidas de las partes usuarias (Relying Party, RP)
• Intercambio seguro de datos mediante TLS con las RP registradas
• Información en tiempo real sobre la validez de los certificados (OCSP, CRL)

3. Derecho a recibir el servicio

Pueden utilizar el Servicio las personas que cumplan las siguientes condiciones:

• Ciudadanos de Mongolia que hayan cumplido 18 años (conforme a la Ley de Firma Electrónica)
• (b) Ciudadanos extranjeros que hayan cumplido 18 años — con pasaporte vigente con chip NFC y que puedan verificarse mediante el chip del pasaporte y la comparación facial
• Disponer de un documento nacional de identidad vigente
• Poder verificarse mediante el sistema DAN
• Disponer de un dispositivo con sistema operativo iOS 15+ o Android 7+

Los menores de 18 años y las personas cuya capacidad haya sido restringida por una resolución judicial firme no tienen derecho a utilizar el Servicio.

4. Registro e inicio de sesión

Para utilizar el Servicio, usted realiza los siguientes pasos:

• Verificar su identidad mediante el sistema DAN (número de registro nacional, biometría)
• Configurar los códigos PIN: PIN1 (4 dígitos) para iniciar sesión y PIN2 (6 dígitos) para firmar. Guardar los códigos PIN de forma segura es su obligación
• Puede activar el desbloqueo biométrico (Face ID / Touch ID / huella dactilar)
• La clave privada se almacena dividida en dos: una parte en la memoria protegida de su dispositivo y la otra en nuestro servidor, cifrada con una clave guardada dentro del módulo criptográfico (HSM). Ninguna de las partes puede crear por sí sola una firma válida; no copiamos su clave privada en forma completa y no creamos firmas sin su consentimiento (artículo 14 de las Condiciones)
• Cada firma se crea mediante verificación con PIN o biométrica, por una acción intencionada y activa de usted; en la pantalla se muestra lo que está firmando (artículo 15 de las Condiciones)

Si detecta una actividad sospechosa relacionada con su cuenta, está obligado a notificarlo de inmediato a eIDsupport@gerege.com.

5. Obligaciones del usuario

• No compartir sus códigos PIN con otras personas y guardarlos de forma segura
• No entregar su dispositivo a otras personas y, en caso de pérdida o robo, dejar sin efecto su certificado de inmediato
• Mantener exacta la información del certificado y notificarnos si cambia
• No utilizar el Servicio con fines ilícitos o fraudulentos
• Notificar de inmediato si considera que se ha producido un incidente de seguridad o se ha comprometido la confidencialidad de su clave privada (eIDsupport@gerege.com, 24/7)
• Mantener actualizados a la última versión el sistema operativo y la aplicación

6. Validez del certificado

Condiciones de validez del certificado de firma electrónica:

• Es válido durante 5 años desde su expedición (sin exceder el período de validez de la CA emisora; la cadena actual, hasta el 2031-01-30)
• Puede renovarse (renew) antes de su vencimiento
• El certificado queda sin efecto en los siguientes casos: a solicitud del usuario; pérdida o robo del dispositivo; filtración de la información del certificado; fallecimiento del usuario; por resolución firme de un organismo competente
• Un certificado que ha quedado sin efecto no puede restablecerse; el usuario debe obtener un nuevo certificado
• El estado de revocación se comunica en tiempo real a las RP mediante OCSP / CRL
• En caso de cambio de dispositivo u olvido del PIN, la recuperación se realiza volviendo a registrarse mediante el sistema DAN y Liveness check, o con firma digital G-Sign; al expedirse el nuevo certificado, el anterior se revoca (artículo 16 de las Condiciones)

7. Actos prohibidos

Al utilizar el Servicio, se prohíben los siguientes actos:

• Usurpar el nombre de otra persona o firmar documentos falsos
• Realizar ingeniería inversa (reverse engineer) de la aplicación, modificar su código fuente o utilizarla en dispositivos con jailbreak / root
• Eludir los mecanismos de seguridad o realizar pruebas con fines de ataque
• Lanzar ataques como DDoS o brute-force contra la infraestructura del Servicio
• Intentar extraer la clave privada o burlar la verificación biométrica
• Utilizar el Servicio mediante bots, scrapers o scripts automatizados
• Utilizar la clave privada para validar o cifrar información ilícita; utilizar el Servicio para información clasificada como secreto de Estado (artículo 28 de las Condiciones)

8. Derechos de propiedad intelectual

Los derechos de propiedad intelectual sobre la aplicación e-ID Mongolia, el logotipo, el diseño, el código fuente y la documentación pertenecen a Gerege Systems LLC. Salvo para el uso del Servicio para necesidades personales, se requiere autorización escrita (para copiar, distribuir, modificar, vender, traducir, incorporar a otro producto, etc.).

9. Suspensión y cancelación del servicio

Suspenderemos temporalmente o cancelaremos su derecho a recibir el Servicio en los siguientes casos:

• Incumplimiento de las presentes condiciones
• Participación en fraudes o actos ilícitos
• Puesta en riesgo de la seguridad del Servicio
• Por resolución firme de un organismo competente

Usted tiene derecho a dejar de utilizar el Servicio en cualquier momento mediante el botón «Eliminar cuenta» de la aplicación. Si elimina su cuenta, sus datos personales se suprimen en un plazo de 30 días; no obstante, los registros que deben conservarse por ley se conservan durante los plazos establecidos en el apartado 17.2 de las Condiciones: registros de certificados y poderes, 10 años desde la extinción del certificado; registros de firmas, 10 años; registros de acceso al sistema, 5 años.

10. Limitación de responsabilidad

e-ID Mongolia no asume responsabilidad en los siguientes casos:

• Daños derivados de la divulgación del código PIN del usuario o de la pérdida del dispositivo
• Daños derivados del uso indebido por terceros (RP)
• Daños derivados de que el usuario haya introducido información falsa o eludido la verificación DAN
• Interrupciones del servicio derivadas de fuerza mayor (force majeure), ciberataques o cambios en la regulación estatal
• Fallos de la conexión a Internet y del dispositivo del usuario

Nuestra responsabilidad total máxima se limita a un importe equivalente a los pagos que usted nos haya realizado durante los últimos 12 meses. Dado que el Servicio se presta gratuitamente a los ciudadanos, estas limitaciones de responsabilidad se aplican en la máxima medida permitida por la ley.

11. Resolución de controversias

Si surge una controversia relacionada con las presentes condiciones, las partes procurarán primero resolverla mediante negociación. Si no se alcanza un acuerdo en un plazo de 30 días, la controversia se someterá a la resolución del tribunal competente de Mongolia. Las presentes condiciones se rigen por la legislación de Mongolia.

12. Actualización de las condiciones

Tenemos derecho a modificar las Condiciones del servicio. Notificaremos los cambios sustanciales con al menos 30 días de antelación a través de la aplicación y del sitio web. Si continúa utilizando el Servicio después de la actualización de las condiciones, se considerará que acepta las nuevas condiciones. Si no acepta las nuevas condiciones, tiene derecho a dejar de utilizar el Servicio y a eliminar su cuenta.

13. Marco jurídico

El Servicio funciona de conformidad con las siguientes leyes y normas:

• Ley de Firma Electrónica (versión revisada de 2021-12-17, en vigor desde 2022-05-01)
• Ley de Protección de la Información Personal (2021)
• Ley de Ciberseguridad (2021)
• Norma internacional ETSI EN 319 4xx Trust Services
• Norma de interoperabilidad (interoperability) basada en RESTful API + TLS

14. Contacto

Si tiene preguntas sobre las Condiciones del servicio, póngase en contacto con nosotros:

• Correo electrónico: eIDsupport@gerege.com — soporte general, reclamaciones, solicitudes relativas a datos personales, incidentes de seguridad de la información (Anexo 3 de las Condiciones)
• Revocación de certificados y notificación de incidentes de seguridad: 24/7; soporte general: días hábiles, 09:00–18:00 (Anexo 2)
• Teléfono: +976 7777 3773
• Dirección: Gerege Systems LLC, Ulaanbaatar, Mongolia

المحتويات

• الجزء I. أحكام عامة (المواد 1–5)
• الجزء II. تسجيل المؤسسة، صاحب الصلاحية (المادتان 6–7)
• الجزء III. صلاحية التمثيل (المواد 8–13)
• الجزء IV. إنشاء التوقيع، أمن المفاتيح (المواد 14–16)
• الجزء V. السجلات والتقارير وسجل التدقيق (المادتان 17–18)
• الجزء VI. شروط الطرف المعتمِد (المادتان 19–20)
• الجزء VII. شروط شريك القناة (المادتان 21–22)
• الجزء VIII. مستوى الخدمة (المواد 23–25)
• الجزء IX. السرية، الملكية الفكرية، المحظورات (المواد 26–28)
• الجزء X. المعلومات الشخصية، أمن المعلومات (المواد 29–31)
• الجزء XI. الضمانات، المسؤولية (المواد 32–34)
• الجزء XII. تعليق الخدمة، إنهاء العقد (المادتان 35–36)
• الجزء XIII. القوة القاهرة (المادة 37)
• الجزء XIV. تعديل الشروط، الإشعارات، النزاعات (المواد 38–41)
• الملاحق 1–4

الجزء I. أحكام عامة

المادة 1. الأطراف

1.1. تنظم شروط المنتج والخدمة هذه /ويُشار إليها فيما بعد بـ«الشروط»/ العلاقة التي تنشأ بين شركة «Gerege Systems» ذ.م.م /رقم التسجيل الحكومي: 6235972؛ ويُشار إليها فيما بعد بـ«مزوّد الخدمة»/ والشخص الذي قبل الشروط.

1.2. تسري الشروط على الأشخاص التالين:

1.2.1. المؤسسة — الشخص الاعتباري المسجّل في الخدمة؛

1.2.2. صاحب الصلاحية — الشخص المخوّل بتمثيل المؤسسة دون توكيل /المادة 7.2 من قانون التوقيع الإلكتروني/؛

1.2.3. الممثل — الشخص الذي حصل على صلاحية التوقيع نيابةً عن المؤسسة بناءً على توكيل إلكتروني صادر عن صاحب الصلاحية /المادة 7.3 من قانون التوقيع الإلكتروني/؛

1.2.4. الطرف المعتمِد — الجهة التي تتحقق من التوقيع وتتصرف استنادًا إلى الثقة به /التاجر، الجهة الحكومية، الكيان التجاري/؛

1.2.5. شريك القناة — الشخص الاعتباري الذي أبرم عقدًا مع مزوّد الخدمة بشأن دمج الخدمة في منصته وتوزيعها.

1.3. تسري الشروط على منتج وخدمة e-ID الخاصين بمزوّد الخدمة فقط، ولا تسري على منتجات وخدمات مزوّد الخدمة الأخرى.

المادة 2. نطاق الشروط وأولويتها

2.1. تُنشر الشروط على الموقع الإلكتروني لمزوّد الخدمة بشكل متاح للجميع على الدوام /المادة 22.1 من قانون التوقيع الإلكتروني/.

2.2. تشكّل الشروط جزءًا لا يتجزأ من العقد المبرم بين الطرفين.

2.3. الشروط التجارية — لا تتضمن الشروط الأسعار والتعريفات والتزامات الحجم والخصومات وجداول الدفع وغيرها من الترتيبات التجارية. وتُنظَّم هذه المسائل بموجب ملحق تجاري يبرمه الطرفان بشكل منفصل.

2.4. في حال تعارض المستندات فيما بينها، تُطبَّق وفق الترتيب التالي:

(أ) متطلبات تشريعات منغوليا؛

(ب) بيان ممارسات التصديق لمزوّد الخدمة /CPS/؛

(ج) العقد الأساسي المبرم بين الطرفين؛

(د) الملحق التجاري؛

(هـ) هذه الشروط؛

(و) ملاحق الشروط.

2.5. يُحظر استخدام الخدمة في المعلومات المصنّفة ضمن أسرار الدولة /المادة 3.1 من قانون التوقيع الإلكتروني/.

المادة 3. أنواع المنتجات والخدمات

3.1. تسري الشروط على المنتجات والخدمات التالية:

3.2. يُحدَّد تكوين المنتجات المقدَّمة للعميل بموجب الملحق التجاري. ولا تسري أحكام الشروط إلا على المنتجات المقدَّمة لذلك العميل.

المادة 4. المصطلحات

4.1. تُفهم المصطلحات المستخدمة في الشروط بالمعنى المحدد في المادة 4 من قانون التوقيع الإلكتروني. وفضلًا عن ذلك:

المادة 5. إبرام العقد وسريانه ومدته

5.1. تدخل الشروط حيز النفاذ بأحد الأشكال التالية:

(أ) بقبول العميل للشروط على المنصة؛

(ب) بتوقيع الطرفين على العقد الأساسي.

5.2. تكون مدة العقد هي المدة المحددة في الملحق التجاري، وفي حال عدم تحديدها تكون سنة واحدة. وإذا لم يُصدر أيٌّ من الطرفين إشعارًا بالإنهاء قبل 30 يومًا من انتهاء المدة، يُعدّ العقد ممددًا لمدة مماثلة.

5.3. تُنظَّم العلاقة مع حامل الشهادة بموجب العقد المنصوص عليه في المادة 16.6 من قانون التوقيع الإلكتروني وبموجب شروط مزوّد الخدمة الخاصة بحاملي الشهادات.

الجزء II. تسجيل المؤسسة، صاحب الصلاحية

المادة 6. إنشاء الحساب والتحقق منه

6.1. لا يفتح حساب المؤسسة إلا صاحب الصلاحية.

6.2. يُتحقَّق من صاحب الصلاحية على النحو التالي /المادة 16.2 من قانون التوقيع الإلكتروني/:

(أ) ما إذا كانت شهادة التوقيع الرقمي الشخصية سارية؛

(ب) ما إذا كان ذلك الشخص مسجّلًا في السجل الحكومي للأشخاص الاعتباريين بوصفه الشخص المخوّل بالتمثيل دون توكيل؛

(ج) ما إذا كانت شهادة التسجيل الحكومي للشخص الاعتباري سارية.

6.3. يُجري مزوّد الخدمة التحقق المنصوص عليه في البند 6.2/ب/ من العقد تلقائيًا من قاعدة بيانات جهة التسجيل الحكومي. وفي حال تعذّر التحقق التلقائي، تقدّم المؤسسة المستندات ذات الصلة.

6.4. بإنشاء الحساب تنشأ للمؤسسة الحقوق التالية:

(أ) امتلاك ختم إلكتروني /قانون التوقيع الإلكتروني 7.1/؛

(ب) منح الصلاحيات للممثلين /الجزء III/؛

(ج) الحصول على التقارير وسجل التدقيق /الجزء V/.

6.5. يحق لمزوّد الخدمة رفض فتح الحساب في حال عدم استيفاء المتطلبات المنصوص عليها في البند 6.2، أو في حال وجود تناقض في المعلومات المقدَّمة، ويُبلغ بأسباب الرفض.

المادة 7. حقوق صاحب الصلاحية والتزاماته

7.1. يتمتع صاحب الصلاحية بالحقوق التالية: التوقيع نيابةً عن المؤسسة واستخدام الختم الإلكتروني؛ منح الصلاحيات للممثلين وتحديد نطاق الصلاحية وتعديله وإلغاؤه؛ الاطلاع على التقارير وسجل التدقيق؛ إغلاق حساب المؤسسة.

7.2. يلتزم صاحب الصلاحية بما يلي:

7.2.1. عدم نقل مفتاحه الخاص إلى الغير /قانون التوقيع الإلكتروني 14.3.1/؛

7.2.2. تحديد نطاق الصلاحية بوضوح قبل منح صلاحية التمثيل؛

7.2.3. إلغاء صلاحية الممثل فور انتفاء الحاجة إليها؛

7.2.4. إبلاغ مزوّد الخدمة خلال يوم عمل واحد في حال تغيير صاحب الصلاحية أو تغيّر صلاحية تمثيل المؤسسة؛

7.2.5. الإبلاغ مسبقًا في حال إعادة تنظيم المؤسسة أو تصفيتها؛

7.2.6. شرح نطاق الصلاحية والمسؤولية المترتبة لكل ممثل؛

7.2.7. تحديث بيانات الاتصال المذكورة في الحساب باستمرار.

7.3. يتحمل صاحب الصلاحية، نيابةً عن المؤسسة، مسؤولية عواقب الأفعال التي يؤديها الممثل ضمن نطاق صلاحيته.

الجزء III. صلاحية التمثيل

المادة 8. إجراءات منح الصلاحية

8.1. تنشأ صلاحية التمثيل وفق التسلسل التالي:

8.2. لا تنشأ الصلاحية حتى يقبلها الممثل.

8.3. يجب أن يحمل الممثل شهادة توقيع رقمي سارية باسمه. وإذا لم تكن لديه شهادة، يحصل عليها أولًا وفق الإجراءات المنصوص عليها في قانون التوقيع الإلكتروني.

8.4. الأساس القانوني. التوكيل الإلكتروني هو توكيل مُعدّ بشكل إلكتروني يستوفي متطلبات التوكيل المنصوص عليها في القانون المدني. ووفقًا للمادة 6.3 من قانون التوقيع الإلكتروني، يتمتع التوقيع الرقمي بالقوة ذاتها للتوقيع على مستند ورقي.

المادة 9. نطاق الصلاحية والقيود

9.1. يحدد صاحب الصلاحية القيود التالية:

9.2. تمنع المنصة، عبر الضوابط التقنية، أي محاولة لأداء فعل خارج نطاق الصلاحية.

9.3. يُعدّ تعديل نطاق الصلاحية بمثابة منح توكيل جديد، فيوقّع صاحب الصلاحية مجددًا ويقبل الممثل مجددًا.

9.4. التوثيق لدى كاتب العدل. في المعاملات التي يشترط القانون فيها التوثيق لدى كاتب العدل، قد لا يكون التوكيل الإلكتروني وحده كافيًا. وتعرض المنصة تنبيهًا لصاحب الصلاحية بالنسبة لفئات المستندات المشار إليها تحديدًا في الملحق 1. ويقع على المؤسسة التزام استيفاء الشكل الذي يشترطه القانون للمعاملة المعنية.

المادة 10. مدة التوكيل

10.1. لا تتجاوز مدة التوكيل الإلكتروني الممنوح لمدة محددة ثلاث سنوات.

10.2. في حال عدم تحديد المدة، يسري التوكيل لمدة سنة واحدة من تاريخ منحه.

10.3. تطبّق المنصة الحدود المنصوص عليها في البندين 10.1 و10.2 تلقائيًا.

10.4. لا تتجاوز مدة التوكيل مدة سريان شهادة التوقيع الرقمي للممثل.

10.5. يُبلَّغ صاحب الصلاحية والممثل قبل 30 يومًا من انتهاء المدة.

المادة 11. الإلغاء والانقضاء

11.1. ينقضي التوكيل الإلكتروني للأسباب التالية:

11.2. يحق لصاحب الصلاحية والممثل في أي وقت إلغاء التوكيل أو التخلي عنه.

11.3. التزام الإشعار. فور انقضاء التوكيل، تُشعر المنصة الأشخاص التالين تلقائيًا:

(أ) الممثل؛

(ب) الطرف المعتمِد المسجّل لتلقي الإشعارات — بغرض الوفاء بالتزام إشعار الغير المنصوص عليه في القانون المدني؛

(ج) صاحب الصلاحية بإشعار تأكيد.

11.4. لا يكون التوقيع المنشأ استنادًا إلى التوكيل بعد وقت انقضائه نافذًا. ولا يؤثر الانقضاء في صلاحية التوقيع المنشأ قبل الانقضاء، ويُحدَّد وقت التوقيع بالختم الزمني /قانون التوقيع الإلكتروني 9/.

المادة 12. تغيير صاحب الصلاحية

12.1. في حال تغيير صاحب الصلاحية، يُنفَّذ ما يلي وفق التسلسل الآتي:

12.2. يُثبَت تغيير صاحب الصلاحية من المصادر التالية:

(أ) التغيير في قاعدة بيانات جهة التسجيل الحكومي /تلقائيًا متى كان ذلك ممكنًا تقنيًا/؛

(ب) إشعار المؤسسة المنصوص عليه في البند 7.2.4؛

(ج) المطابقة الدورية التي يجريها مزوّد الخدمة.

12.3. مسؤولية المؤسسة. في حال تعذّر الكشف التلقائي، يقع على المؤسسة التزام الإبلاغ عن تغيير صاحب الصلاحية خلال يوم عمل واحد. وتتحمل المؤسسة العواقب الناجمة عن عدم الإبلاغ.

12.4. يُنصح بأن تحدد المؤسسة مدة التوكيل بما لا يزيد على 12 شهرًا بغرض الحد من المخاطر المشار إليها في البند 12.3.

المادة 13. حقوق الممثل والتزاماته

13.1. يتمتع الممثل بالحقوق التالية: التوقيع نيابةً عن المؤسسة ضمن نطاق الصلاحية؛ التخلي عن التوكيل في أي وقت؛ الاطلاع على سجل التوقيعات التي أنشأها؛ الاطلاع على نطاق صلاحيته في أي وقت.

13.2. يلتزم الممثل بما يلي:

13.2.1. عدم نقل مفتاحه الخاص إلى الغير /قانون التوقيع الإلكتروني 14.3.1/؛

13.2.2. الاطلاع على مضمون المستند قبل التوقيع؛

13.2.3. عدم القيام بأي فعل خارج نطاق الصلاحية؛

13.2.4. إدراك أنه يوقّع نيابةً عن المؤسسة وتوخي العناية والحذر المناسبين لذلك؛

13.2.5. الإبلاغ فورًا إذا اعتقد أن سرية مفتاحه الخاص قد انكشفت /قانون التوقيع الإلكتروني 14.3.3/.

13.3. إذا حاول الممثل القيام بفعل خارج نطاق الصلاحية، فلن تنفذه المنصة. وفي حال تنفيذه بانتهاك الضوابط التقنية أو التحايل عليها، يتحمل الممثل المسؤولية.

13.4. مبدأ المفاتيح. لا يستخدم الممثل المفتاح الخاص لصاحب الصلاحية، ولا تتوفر لديه الإمكانية التقنية لاستخدامه. ولا يوقّع الممثل إلا بمفتاحه الخاص، ويُثبت صلاحيته بالتوكيل الإلكتروني. وهذا متطلب منصوص عليه في المادة 14.3.1 من قانون التوقيع الإلكتروني، وتضمنه المنصة عبر الضوابط التقنية.

الجزء IV. إنشاء التوقيع، أمن المفاتيح

المادة 14. تقسيم المفتاح

14.1. يُحفظ المفتاح الخاص مقسّمًا على النحو التالي:

(أ) جزء في الذاكرة المحمية لجهاز الحامل؛

(ب) والجزء الآخر على خادم مزوّد الخدمة؛ ويُحفظ كلٌّ من جزء المفتاح الخاص بالخادم والجزء الوارد من الجهاز مشفّرَين بمفتاح AES-256 لا يغادر وحدة الأمان التشفيرية /HSM/.

14.2. لا يستطيع أيٌّ من الطرفين بمفرده إنشاء توقيع نافذ.

14.3. يُحظر على مزوّد الخدمة إنشاء توقيع دون موافقة الحامل.

14.4. لا ينسخ مزوّد الخدمة المفتاح الخاص للحامل بشكله الكامل /قانون التوقيع الإلكتروني 21.2.5/.

14.5. في حال نسخ جزء المفتاح الخاص بالجهاز، يكشف مزوّد الخدمة ذلك، ويعطّل الجهاز المعني، ويلغي شهادة الحامل فورًا، ويُبلغ الحامل.

14.6. لا يستخدم مزوّد الخدمة إلا أدوات التوقيع الرقمي المدرجة في قائمة الجهة الإدارية الحكومية المركزية المختصة بشؤون التنمية الرقمية والاتصالات /قانون التوقيع الإلكتروني 20.2.9/.

المادة 15. التحكم المنفرد

15.1. عند كل إنشاء للتوقيع، تُستوفى الشروط التالية:

(أ) يُجري الحامل التحقق عبر رمز PIN أو التعرف البيومتري أو ما يعادلهما من وسائل التحقق المنصوص عليها في CPS لمزوّد الخدمة؛

(ب) تعرض المنصة على الشاشة ما الذي يجري التوقيع عليه؛

(ج) إذا كان التوقيع نيابةً عن مؤسسة، تعرض المنصة أي مؤسسة يجري التوقيع نيابةً عنها وضمن أي نطاق صلاحية؛

(د) يؤكد الحامل بفعل متعمَّد ونشط.

15.2. يجب أن يكون بالإمكان الكشف عمّا إذا كان قد أُدخل تعديل على البيانات بعد التوقيع /قانون التوقيع الإلكتروني 6.2.3/.

المادة 16. تغيير الجهاز والاستعادة

16.1. في حال تغيير الحامل لجهازه أو نسيانه رمز PIN، تتيح المنصة قنوات الاستعادة التالية:

(أ) عن بُعد: نظام DAN مع التحقق من الحيوية (Liveness check)؛

(ب) عن بُعد: بالتوقيع الرقمي G-Sign؛

(ج) حضوريًا: بواسطة جهاز كشك Gerege.

16.2. تتم الاستعادة بإعادة التسجيل: عند إصدار شهادة جديدة تُلغى الشهادة السارية السابقة بسبب superseded (4) /قانون التوقيع الإلكتروني 17/.

16.3. تظل صلاحية تمثيل الحامل في المؤسسة قائمة عند تغيير الجهاز، ولا يُعاد إنشاء سوى الشهادة.

16.4. قد يتغير تكوين قنوات الاستعادة تبعًا للمتطلبات التقنية والتنظيمية، ويُبقي مزوّد الخدمة قناة استعادة واحدة على الأقل عن بُعد عاملةً على الدوام.

الجزء V. السجلات والتقارير وسجل التدقيق

المادة 17. السجلات

17.1. تسجّل المنصة المعلومات التالية بطريقة لا تقبل التعديل:

17.2. مدة حفظ السجلات:

17.3. يحذف مزوّد الخدمة السجلات التي انتهت مدة حفظها وفق الإجراءات المنصوص عليها في التشريعات.

المادة 18. التقارير

18.1. يحق للمؤسسة الحصول على التقارير التالية:

18.2. تُحدَّد إتاحة التقارير وحجمها ودورية إصدارها بموجب الملحق التجاري.

18.3. يطّلع على التقارير صاحب الصلاحية في المؤسسة والشخص المأذون له من قِبله.

18.4. لا يطّلع الممثل إلا على تقرير التوقيعات التي أنشأها بنفسه.

الجزء VI. شروط الطرف المعتمِد

المادة 19. التزامات الطرف المعتمِد

19.1. يستخدم الطرف المعتمِد الخدمة بموجب عقد منفصل يبرمه مع مزوّد الخدمة. وتشكّل هذه الشروط جزءًا لا يتجزأ من ذلك العقد.

19.2. يتعين على الطرف المعتمِد، قبل التصرف استنادًا إلى الثقة بالتوقيع، التحقق إلزاميًا مما يلي:

19.3. يتحمل الطرف المعتمِد بنفسه الضرر الناجم عن عدم إجراء التحقق المنصوص عليه في البند 19.2 من العقد.

19.4. يحق للطرف المعتمِد التسجيل لتلقي الإشعارات التلقائية المنصوص عليها في البند 11.3، وبذلك يتمكن من معرفة إلغاء التوكيل في الوقت الفعلي.

19.5. يلتزم الطرف المعتمِد باستخدام نتائج التحقق للغرض المحدد في العقد فقط، وبعدم نقل معلومات الحامل إلى الغير، وبعدم عرض نتائج التحقق بشكل محرَّف.

المادة 20. خدمة التحقق

20.1. يجوز للطرف المعتمِد استخدام واجهة API للتحقق من التوقيع وبوابة التحقق العامة المتاحة للجميع التابعة لمزوّد الخدمة.

20.2. نتائج البوابة العامة لأغراض إعلامية. وفي حال الحاجة إلى دليل قانوني، يطلب الطرف المعتمِد تقرير تحقق ذا قوة إثباتية.

20.3. البوابة العامة غير مخصصة للاستخدام على نطاق تجاري. ويحق لمزوّد الخدمة تقييد الوصول الذي يُحدث حِملًا غير اعتيادي.

20.4. يلتزم الطرف المعتمِد، عند استخدامه خدمات التعريف والتحقق، باستخدامها مقرونةً بتقييمه الخاص للمخاطر.

الجزء VII. شروط شريك القناة

المادة 21. حقوق شريك القناة والتزاماته

21.1. يدمج شريك القناة الخدمة في منصته ويوزعها على المستخدمين النهائيين بناءً على العقد المبرم مع مزوّد الخدمة. وتشكّل هذه الشروط جزءًا لا يتجزأ من ذلك العقد.

21.2. يلتزم شريك القناة بما يلي:

21.2.1. توزيع الخدمة ضمن النطاق وللغرض المحددين في العقد فقط؛

21.2.2. إطلاع المستخدمين النهائيين على هذه الشروط والحصول على قبولهم لها؛

21.2.3. الحفاظ على سرية مفاتيح API وclient_id وclient_secret والشهادات الصادرة عن مزوّد الخدمة، والإبلاغ فورًا عن انكشافها أو نشوء خطر انكشافها؛

21.2.4. ضمان أمن المعلومات لمنصته، والإبلاغ خلال 24 ساعة في حال اكتشاف ثغرة أمنية؛

21.2.5. عدم تقديم أي ضمانات أو وعود للمستخدمين النهائيين باسم الخدمة؛

21.2.6. الإبلاغ قبل 10 أيام من إدخال أي تغيير على بنية التكامل أو البيئة أو النطاق (الدومين) أو redirect URI؛

21.2.7. عدم استخدام اسم مزوّد الخدمة وعلامته التجارية وشعاره إلا بالشكل المتفق عليه مسبقًا.

21.3. لا يعيد شريك القناة بيع الخدمة أو ينقلها إلى الغير إلا بناءً على إذن كتابي من مزوّد الخدمة.

21.4. توزيع المسؤولية. أمام المستخدم النهائي، يتحمل شريك القناة مسؤولية تشغيل منصته وتجربة المستخدم وحلول الدفع والتسوية، ويتحمل مزوّد الخدمة مسؤولية التشغيل التقني لخدمة e-ID والنفاذ القانوني للتوقيع، كلٌّ فيما يخصه.

المادة 22. متطلبات التكامل

22.1. يُجري شريك القناة التكامل وفقًا لوثائق API ودليل التكامل الصادرين عن مزوّد الخدمة.

22.2. يجب اجتياز التحقق من التكامل لدى مزوّد الخدمة إلزاميًا قبل الانتقال إلى بيئة الإنتاج.

22.3. في حال تعديل مزوّد الخدمة لإصدار API أو إيقاف استخدامه، يُبلغ بذلك قبل 60 يومًا ويقدّم الدعم اللازم للانتقال. ويجوز تنفيذ التعديلات العاجلة الناشئة عن متطلبات أمنية فورًا والإبلاغ عنها لاحقًا.

22.4. يُحظر على شريك القناة تعديل مسار التوقيع، أو عرض نتائج تحقق e-ID بشكل محرَّف، أو اقتراح بديل يتجاوز e-ID.

22.5. يحق لمزوّد الخدمة تقييد الوصول في حال اكتشاف حِمل غير اعتيادي أو استخدام مسيء.

الجزء VIII. مستوى الخدمة

المادة 23. التوافر

23.1. يضمن مزوّد الخدمة مستويات التوافر التالية. ويُحدَّد المستوى المنطبق على العميل المعني بموجب الملحق التجاري:

23.2. يُحتسب التوافر عن كل شهر محاسبي.

23.3. يُبلَّغ عن الصيانة المجدولة قبل أسبوع، وتُنفَّذ في أوقات انخفاض الحِمل. ولا تُدرج في حساب التوافر الانقطاعات الناجمة عن الصيانة المجدولة أو القوة القاهرة أو الأعطال من جانب العميل.

المادة 24. زمن الاستجابة

24.1. يضمن مزوّد الخدمة الأزمنة المستهدفة التالية:

24.2. ساعات عمل قنوات الدعم مبيّنة في الملحق 2.

المادة 25. التعويض

25.1. في حال انخفاض التوافر في الشهر المحاسبي عن المستوى المحدد في البند 23.1، يحق للعميل المطالبة بالتعويض التالي:

25.2. يُطالَب بالتعويض كتابةً خلال 30 يومًا من انتهاء الشهر المعني. ولا تُقبل المطالبات المقدَّمة بعد انقضاء المهلة.

25.3. يمثل التعويض التدبير الوحيد المتاح للعميل فيما يتعلق بعدم استيفاء مستوى التوافر.

25.4. لا يُحتسب تعويض عن الخدمات المقدَّمة مجانًا أو المشغَّلة في الوضع التجريبي.

الجزء IX. السرية، الملكية الفكرية، المحظورات

المادة 26. السرية

26.1. لا يُفشي أيٌّ من الطرفين للغير المعلومات السرية التجارية أو التقنية أو غيرها التي تلقّاها من الطرف الآخر في إطار العقد، ولا يستخدمها إلا لأغراض العقد.

26.2. لا يسري التزام السرية على المعلومات التالية: المعلومات المتاحة للعموم؛ المعلومات التي أصبحت معروفة للعموم دون خطأ من الطرف؛ المعلومات التي يُطلب الإفصاح عنها بموجب القانون أو بقرار من جهة مختصة.

26.3. يظل التزام السرية ساريًا لمدة ثلاث سنوات بعد انقضاء العقد. أما التزام السرية المتعلق بالمعلومات الشخصية للحامل وسجلات التوقيعات فغير محدد المدة.

26.4. لا يُفشي مزوّد الخدمة أسرار حامل الشهادة /قانون التوقيع الإلكتروني 20.2.10/، ولا ينقل المعلومات إلى الغير إلا في الحالات المنصوص عليها في المادة 30.1 من قانون التوقيع الإلكتروني.

المادة 27. الملكية الفكرية

27.1. تعود جميع حقوق الملكية الفكرية المتعلقة بالمنصة وبرمجياتها وواجهة API والوثائق والعلامة التجارية والشعار وما يتصل بها إلى مزوّد الخدمة.

27.2. يُمنح العميل ترخيصًا غير حصري وغير قابل للنقل لاستخدام الخدمة في إطار العقد فقط.

27.3. تكون المستندات التي ينشئها العميل ويوقّعها، والمعلومات الواردة فيها، ملكًا للعميل.

27.4. لا يستخدم أيٌّ من الطرفين اسم الطرف الآخر أو شعاره أو علامته التجارية لأغراض التسويق دون الحصول على إذن كتابي.

المادة 28. المحظورات

28.1. يُحظر على العميل والحامل ما يلي:

(أ) التوقيع باسم الغير أو خارج نطاق الصلاحية؛

(ب) الحصول على شهادة أو صلاحية تمثيل بتقديم مستندات مزوّرة؛

(ج) استخدام المفتاح الخاص للتصديق على معلومات تُعدّ غير قانونية أو لتشفيرها /قانون التوقيع الإلكتروني 14.3.5/؛

(د) استخدام الخدمة في المعلومات المصنّفة ضمن أسرار الدولة /قانون التوقيع الإلكتروني 3.1/؛

(هـ) إجراء الهندسة العكسية للمنصة أو نسخها أو تعديلها أو نقلها إلى الغير؛

(و) إجراء فحوص أمنية أو اختبارات اختراق دون الحصول على إذن كتابي؛

(ز) إحداث حِمل غير اعتيادي بواسطة أدوات مؤتمتة؛

(ح) إعادة بيع الخدمة دون الحصول على إذن كتابي.

الجزء X. المعلومات الشخصية، أمن المعلومات

المادة 29. معالجة المعلومات الشخصية

29.1. يعالج مزوّد الخدمة المعلومات الشخصية وفق الإجراءات المنصوص عليها في قانون حماية المعلومات الشخصية وقانون التوقيع الإلكتروني وCPS.

29.2. فئات المعلومات المعالَجة ومدد حفظها مبيّنة في البند 17.2.

29.3. لا تُعالَج البيانات البيومترية إلا لأغراض التعريف والاستعادة، وبناءً على موافقة الحامل، ولا تُحفظ القوالب البيومترية على الخادم.

29.4. لا تتضمن الإشعارات المرسلة إلى الطرف المعتمِد المنصوص عليها في البند 11.3 من العقد سوى حالة التوكيل ونطاق الصلاحية، ولا تُنقل أي معلومات تزيد على ذلك.

29.5. لا تستخدم المؤسسة سجلات توقيعات الممثل إلا لأغراض العمل.

29.6. تُحمى معلومات المؤسسة والطرف المعتمِد وشريك القناة وفق الإجراءات المنصوص عليها في قانون سرية المؤسسات والمادة 26 من هذه الشروط.

29.7. يحق للحامل الاطلاع على معلوماته وتصحيحها وحذفها وسحب موافقته. وعند حذف الحساب، تُحذف المعلومات الشخصية غير المدرجة في الشهادة بعد 30 يومًا من تقديم الطلب، وتُحذف السجلات المنصوص عليها في البند 17.2 من هذه الشروط بعد انقضاء مدة حفظها. وتُستقبل الطلبات على العنوان المحدد في الملحق 3، ويُرد عليها خلال 10 أيام عمل. ويُجري الحامل حذف الحساب («حذف الحساب») وتنزيل معلوماته («تنزيل بياناتي») مباشرةً من داخل التطبيق؛ وإذا أعاد التسجيل خلال 30 يومًا من الحذف، فلن تُحذف معلوماته الشخصية. وعند حذف الحساب، تُلغى جميع الشهادات السارية الصادرة في التطبيق وعلى رمز USB (بما فيها الشهادات الصادرة نيابةً عن مؤسسة)؛ وتُحفظ الشهادات وسجل التوقيعات للمدة المنصوص عليها في البند 17.2 من هذه الشروط.

29.8. يبرم الطرفان، عند الاقتضاء، عقدًا منفصلًا لمعالجة المعلومات الشخصية.

المادة 30. المقاولون من الباطن

30.1. يجوز لمزوّد الخدمة إسناد تنفيذ أجزاء معينة من الخدمة إلى مقاولين من الباطن، ويظل مسؤولًا بنفسه أمام العميل عن أعمال المقاولين من الباطن.

30.2. يقدّم مزوّد الخدمة، بناءً على طلب العميل، قائمة المقاولين من الباطن المشاركين في معالجة المعلومات الشخصية. وفي حال إدخال تغيير على القائمة، يُبلَّغ عنه قبل 30 يومًا.

المادة 31. خرق أمن المعلومات

31.1. في حال اكتشاف خرق لأمن المعلومات، يقوم مزوّد الخدمة بما يلي:

(أ) إبلاغ العملاء والحاملين المتأثرين خلال 24 ساعة من الاكتشاف؛

(ب) إبلاغ الجهات المختصة خلال المدة المحددة في القانون؛

(ج) إلغاء الشهادات المتأثرة فورًا عند الاقتضاء؛

(د) توثيق سبب الخرق والتدابير المتخذة وخطة الوقاية، وإبلاغ العميل بها.

31.2. يُبلغ العميل مزوّد الخدمة خلال 24 ساعة من اكتشافه أي خرق أمني يقع من جانبه ومن شأنه التأثير في الخدمة.

الجزء XI. الضمانات، المسؤولية

المادة 32. ضمانات مزوّد الخدمة

32.1. يضمن مزوّد الخدمة ما يلي:

(أ) أن المعلومات الواردة في الشهادة كانت صحيحة وقت إصدار الشهادة؛

(ب) أنه تحقق من صحة معلومات مقدّم الطلب وفقًا للقانون /قانون التوقيع الإلكتروني 20.2.4/؛

(ج) أنه لم ينسخ المفتاح الخاص للحامل بشكله الكامل /قانون التوقيع الإلكتروني 21.2.5/؛

(د) أنه طبّق نطاق صلاحية التوكيل الإلكتروني عبر الضوابط التقنية؛

(هـ) أنه حفظ السجلات وسجل التدقيق بطريقة لا تقبل التعديل؛

(و) أنه يعمل مستوفيًا للمتطلبات التقنية ومتطلبات التشغيل الآمن /قانون التوقيع الإلكتروني 20.2.1/.

32.2. لا يقدّم مزوّد الخدمة أي ضمانات صريحة أو ضمنية بشأن ملاءمة الخدمة لغرض معين، بخلاف تقديم الخدمة بمستوى الخدمة المنصوص عليه في الشروط وCPS.

المادة 33. الإعفاء من المسؤولية

33.1. لا يتحمل مزوّد الخدمة المسؤولية في الحالات التالية:

(أ) نقل الحامل مفتاحه الخاص إلى الغير أو إفشاؤه سريته /قانون التوقيع الإلكتروني 14.4/؛

(ب) عدم إجراء الطرف المعتمِد التحقق المنصوص عليه في البند 19.2؛

(ج) استخدام الحامل شهادة باطلة أو معلّقة /قانون التوقيع الإلكتروني 20.4/؛

(د) عدم وفاء المؤسسة بالتزام الإبلاغ المنصوص عليه في البندين 7.2.4 و12.3؛

(هـ) تحديد صاحب الصلاحية نطاق الصلاحية بشكل خاطئ أو واسع أكثر من اللازم؛

(و) توقيع الحامل دون الاطلاع على مضمون المستند؛

(ز) تعرّض الحامل للاحتيال وموافقته بنفسه عمدًا على المعاملة؛

(ح) القوة القاهرة؛

(ط) أعطال خدمات الغير، أو أعطال أجهزة العميل وبرمجياته، أو البرمجيات الخبيثة؛

(ي) عدم استيفاء المؤسسة الشكل المنصوص عليه في القانون في المعاملات التي يشترط القانون فيها التوثيق لدى كاتب العدل؛

(ك) إخلال شريك القناة بالتزاماته المنصوص عليها في المادتين 21 و22.

المادة 34. حدود المسؤولية

34.1. يقتصر الحد الأقصى لمسؤولية مزوّد الخدمة في إطار العقد على إجمالي الرسوم التي دفعها العميل خلال الـ 12 شهرًا السابقة لوقوع الإخلال المعني. وإذا كانت مدة العقد أقل من 12 شهرًا، يُحتسب على أساس مبلغ الرسوم المدفوعة فعليًا. وبالنسبة للخدمات المقدَّمة مجانًا، يكون الحد الأقصى للمسؤولية 5,000,000 /خمسة ملايين/ توغريك.

34.2. إذا تضمنت الشهادة حدًا لقيمة المعاملة وفقًا للمادة 10.3.2 من قانون التوقيع الإلكتروني، فإن المسؤولية المتعلقة بالتوقيع المنشأ بتلك الشهادة لا تتجاوز ذلك الحد.

34.3. يجوز للطرفين الاتفاق على حد أقصى مختلف للمسؤولية بموجب الملحق التجاري.

34.4. لا يتحمل مزوّد الخدمة مسؤولية الأرباح أو الإيرادات الفائتة، أو الضرر اللاحق بالسمعة، أو الأضرار غير المباشرة أو التبعية أو الخاصة أو العرضية.

34.5. لا تسري القيود المنصوص عليها في هذه المادة على الفعل الخاطئ العمدي لمزوّد الخدمة، أو الإهمال الجسيم، أو الإخلال بالتزام السرية، أو المسؤولية التي يحظر القانون تقييدها.

34.6. يعوّض العميل مزوّد الخدمة في حال نشوء مطالبات أو غرامات أو أضرار من الغير على مزوّد الخدمة نتيجة إخلال العميل بالشروط أو تجاوزه في ممارسة حقوقه والتزاماته.

الجزء XII. تعليق الخدمة، إنهاء العقد

المادة 35. تعليق الخدمة

35.1. يحق لمزوّد الخدمة تعليق الخدمة مؤقتًا كليًا أو جزئيًا في الحالات التالية:

(أ) إخلال العميل أو الحامل بالشروط إخلالًا جسيمًا؛

(ب) نشوء تهديد مباشر لأمن المعلومات؛

(ج) نشوء اشتباه مبني على أسباب معقولة في استخدام الخدمة في نشاط غير قانوني؛

(د) صدور قرار من جهة مختصة؛

(هـ) عدم وفاء العميل بالتزامات الدفع لمدة تزيد على 30 يومًا.

35.2. يُبلغ مزوّد الخدمة بالتعليق فورًا، ويوضح السبب وشروط الاستئناف. وفي الحالات العاجلة، يجوز التعليق أولًا ثم الإبلاغ لاحقًا.

35.3. تُستأنف الخدمة خلال يوم عمل واحد فور زوال سبب التعليق.

35.4. لا يؤثر التعليق في صلاحية التوقيعات التي أُنشئت بالفعل.

المادة 36. إنهاء العقد وآثار انقضائه

36.1. يُنهى العقد بمبادرة من طرف واحد للأسباب التالية:

(أ) إخلال الطرف الآخر بالشروط إخلالًا جسيمًا وعدم تداركه خلال 30 يومًا من الإشعار الكتابي؛

(ب) بطلان الترخيص الخاص لمزوّد الخدمة أو تعليقه؛

(ج) إعسار أيٍّ من الطرفين أو صدور قرار بتصفيته؛

(د) للأسباب المنصوص عليها في البند 38.4.

36.2. حتى بعد انقضاء العقد، تظل الأحكام التالية سارية: السرية /26/، الملكية الفكرية /27/، المعلومات الشخصية /29/، حفظ السجلات /17/، المسؤولية /33، 34/، تسوية النزاعات /40/.

36.3. يحق للعميل خلال 90 يومًا من انقضاء العقد تنزيل تقاريره وسجل التدقيق الخاص به. وبعد انقضاء هذه المدة، لا تُحفظ المعلومات إلا وفق إجراءات الحفظ المنصوص عليها في البند 17.2.

36.4. بانقضاء العقد، تنقضي التوكيلات الإلكترونية للمؤسسة المعنية تلقائيًا، ويُشعَر الطرف المعتمِد وفقًا للبند 11.3.

الجزء XIII. القوة القاهرة

المادة 37. القوة القاهرة

37.1. تشمل القوة القاهرة الحرائق والفيضانات والزلازل والعواصف الثلجية والترابية الشديدة والأوبئة والحروب والنزاعات المسلحة والاضطرابات العامة وانقطاع إمدادات الكهرباء وشبكة الإنترنت على المستوى الوطني وقرارات الجهات المختصة وتعديلات التشريعات وغيرها من الظروف الخارجة عن إرادة الطرفين.

37.2. يُبلغ الطرف الذي وقعت له القوة القاهرة الطرفَ الآخر خلال ثلاثة أيام عمل، ويُثبتها، متى أمكن ذلك، بشهادة من جهة مختصة.

37.3. يُعفى الطرفان، طوال مدة استمرار القوة القاهرة، من المسؤولية عن عدم الوفاء بالتزاماتهما التعاقدية. ولا تُعفى التزامات الدفع بسبب القوة القاهرة.

37.4. إذا استمرت القوة القاهرة أكثر من 60 يومًا، يحق لأيٍّ من الطرفين إنهاء العقد دون غرامة.

الجزء XIV. تعديل الشروط، الإشعارات، النزاعات

المادة 38. تعديل الشروط

38.1. يحق لمزوّد الخدمة تعديل هذه الشروط.

38.2. تُنشر التعديلات التي تقيّد حقوق العميل تقييدًا ملموسًا على الموقع الإلكتروني قبل 30 يومًا من دخولها حيز النفاذ، ويُبلَّغ عنها عبر البريد الإلكتروني المسجّل.

38.3. يجوز تنفيذ التعديلات الناشئة عن تعديل التشريعات أو قرارات الجهات التنظيمية أو متطلبات أمن المعلومات فورًا والإبلاغ عنها لاحقًا.

38.4. إذا لم يقبل العميل التعديلات، يحق له إنهاء العقد دون غرامة خلال 30 يومًا من تلقي الإشعار. وإذا لم يرفضها خلال هذه المدة واستمر في استخدام الخدمة، يُعدّ قابلًا للتعديلات.

38.5. يُسجَّل سجل إصدارات الشروط في الملحق 4، ويظل متاحًا للعموم على الموقع الإلكتروني.

المادة 39. الإشعارات

39.1. تُرسل الإشعارات المنصوص عليها في الشروط عبر إشعار على المنصة، أو البريد الإلكتروني المسجّل، أو بخطاب رسمي.

39.2. يُعدّ الإشعار المرسل بالبريد الإلكتروني مُسلَّمًا في يوم العمل التالي ليوم إرساله.

39.3. يلتزم العميل والحامل بتحديث بيانات الاتصال الخاصة بهما، ويتحملان بأنفسهما العواقب الناجمة عن عدم تحديثها.

المادة 40. القانون الواجب التطبيق وتسوية النزاعات

40.1. تخضع هذه الشروط والعلاقات الناشئة عنها لقوانين منغوليا وتُفسَّر وفقًا لها.

40.2. يسوّي الطرفان النزاعات وديًا بالتفاوض المتبادل. وفي حال تعذّر التسوية، يُحال النزاع إلى محاكم منغوليا للفصل فيه.

40.3. في تسوية النزاعات، يشكّل سجل التدقيق في المنصة والختم الزمني وتقرير التحقق ذو القوة الإثباتية الأدلةَ الأولية.

المادة 41. أحكام أخرى

41.1. لا يحق للعميل نقل حقوقه والتزاماته بموجب الشروط والعقد إلى الغير دون إذن كتابي من مزوّد الخدمة. ويجوز لمزوّد الخدمة، في حال إعادة تنظيمه، نقل حقوقه والتزاماته إلى خلفه القانوني.

41.2. لا يؤثر بطلان أي حكم من أحكام الشروط في نفاذ الأحكام الأخرى.

41.3. تُحرَّر الشروط باللغة المنغولية. وفي حال التعارض مع نسخة مترجمة إلى لغة أخرى، تُتَّبع النسخة باللغة المنغولية.

41.4. لا تُنشئ الشروط بين الطرفين علاقة شراكة أو مشروع مشترك أو وكالة أو علاقة صاحب عمل بموظف.

41.5. تُسوّى المسائل غير المنصوص عليها في الشروط وفقًا للقانون المدني لمنغوليا والتشريعات الأخرى ذات الصلة.

الملحق 1. نماذج نطاق الصلاحية

عند منح الصلاحية للممثل، يختار صاحب الصلاحية أحد النماذج التالية أو يحددها بنفسه حسب الحاجة. ويحدد صاحب الصلاحية حد مبلغ المعاملة بما يتوافق مع اللوائح الداخلية للمؤسسة المعنية.

الملحق 2. قنوات الدعم، ملخص مستوى الخدمة

مستوى الخدمة وزمن الاستجابة وشروط التعويض منصوص عليها في الجزء VIII من الشروط. ويُحدَّد المستوى المنطبق على العميل المعني بموجب الملحق التجاري.

الملحق 3. معلومات الاتصال

يُنشر عنوان مزوّد الخدمة وهاتف الاتصال ومعلومات الاتصال المحدَّثة على الموقع الإلكتروني.

الملحق 4. سجل الإصدارات

1. أحكام عامة

شركة Gerege Systems ذ.م.م (ويُشار إليها فيما بعد بـ«نحن» و«لنا») هي الجهة الرسمية المانحة للشهادات (Certificate Authority, CA) لبطاقة الهوية الإلكترونية المخصصة لمواطني منغوليا، وتقدّم خدمات إصدار شهادات التوقيع الإلكتروني والتحقق منها. ويلتزم المستخدم الذي يستخدم الخدمة التزامًا تامًا بقانون التوقيع الإلكتروني لمنغوليا وقانون حماية المعلومات الشخصية وهذه الشروط.

رقم التسجيل الحكومي 6235972. ينظم هذا الجزء العلاقة التي تنشأ مع المواطن حامل الشهادة (المادة 16.6 من قانون التوقيع الإلكتروني؛ البند 5.3 من الشروط أعلاه).

2. وصف الخدمة

تتألف خدمة e-ID Mongolia من المكونات الأساسية التالية:

• إصدار شهادات التوقيع الإلكتروني (للمواطن الذي جرى التحقق منه عبر نظام DAN)
• التوقيع الإلكتروني بالهاتف المحمول (iOS، Android)
• معالجة طلبات التحقق والتوقيع الواردة من الأطراف المعتمِدة (Relying Party, RP)
• تبادل البيانات بشكل آمن عبر TLS مع الأطراف المعتمِدة (RP) المسجّلة
• الإفادة بصلاحية الشهادات في الوقت الفعلي (OCSP، CRL)

3. أهلية الحصول على الخدمة

يستخدم الخدمة الشخص الذي يستوفي الشروط التالية:

• مواطن منغولي بلغ 18 عامًا (وفقًا لقانون التوقيع الإلكتروني)
• (ب) مواطن أجنبي بلغ 18 عامًا — يحمل جواز سفر ساري المفعول مزوّدًا بشريحة NFC، ويمكن التحقق منه عبر شريحة الجواز ومطابقة الوجه
• يحمل بطاقة هوية سارية المفعول
• يمكن التحقق منه عبر نظام DAN
• يمتلك جهازًا بنظام تشغيل iOS 15+ أو Android 7+

لا يحق للقاصرين دون 18 عامًا ولا للأشخاص المقيّدة أهليتهم بقرار نافذ قانونًا استخدام الخدمة.

4. التسجيل وتسجيل الدخول

لاستخدام الخدمة، تقوم بالخطوات التالية:

• التحقق من هويتك عبر نظام DAN (رقم التسجيل الوطني، البيانات البيومترية)
• تعيين رموز PIN: PIN1 لتسجيل الدخول (4 أرقام)، وPIN2 للتوقيع (6 أرقام). والحفاظ على رموز PIN بشكل آمن التزام يقع عليك
• يمكن تفعيل القفل البيومتري (Face ID / Touch ID / بصمة الإصبع)
• يُحفظ المفتاح الخاص مقسّمًا إلى جزأين: جزء في الذاكرة المحمية لجهازك، والجزء الآخر على خادمنا مشفّرًا بمفتاح موجود داخل وحدة الأمان التشفيرية (HSM). ولا يستطيع أيٌّ من الطرفين بمفرده إنشاء توقيع نافذ؛ ولا ننسخ مفتاحك الخاص بشكله الكامل، ولا ننشئ توقيعًا دون موافقتك (المادة 14 من الشروط)
• يُنشأ كل توقيع بالتحقق عبر رمز PIN أو بالتحقق البيومتري، وبفعل متعمَّد ونشط منك؛ ويُعرض على الشاشة ما الذي توقّع عليه (المادة 15 من الشروط)

في حال اكتشاف أي نشاط مريب يتعلق بالحساب، يتعين عليك الإبلاغ فورًا على العنوان eIDsupport@gerege.com.

5. التزامات المستخدم

• عدم مشاركة رمز PIN مع الآخرين والحفاظ عليه بشكل آمن
• عدم إعطاء جهازك للآخرين، وفي حال فقدانه أو سرقته إبطال شهادتك فورًا
• الحفاظ على صحة معلومات الشهادة وإبلاغنا في حال تغيّرها
• عدم استخدام الخدمة لأغراض غير قانونية أو احتيالية
• الإبلاغ فورًا إذا اعتقدت بوقوع خرق أمني أو انكشاف سرية المفتاح الخاص (eIDsupport@gerege.com، 24/7)
• تحديث نظام التشغيل والتطبيق إلى أحدث إصدار باستمرار

6. صلاحية الشهادة

شروط صلاحية شهادة التوقيع الإلكتروني:

• تسري لمدة 5 سنوات من تاريخ إصدارها (دون أن تتجاوز مدة صلاحية CA المُصدِرة للشهادة؛ والسلسلة الحالية حتى 2031-01-30)
• يمكن تجديدها (renew) قبل انتهاء مدتها
• تصبح الشهادة باطلة في الحالات التالية: بناءً على طلب المستخدم؛ فقدان الجهاز أو سرقته؛ انكشاف معلومات الشهادة؛ وفاة المستخدم؛ بقرار نافذ قانونًا من جهة مختصة
• لا يمكن استعادة الشهادة بعد إبطالها — ويتعين على المستخدم الحصول على شهادة جديدة
• تُبلَّغ الأطراف المعتمِدة (RP) بحالة الإبطال في الوقت الفعلي عبر OCSP / CRL
• في حال تغيير الجهاز أو نسيان رمز PIN، تتم الاستعادة بإعادة التسجيل عبر نظام DAN مع التحقق من الحيوية (Liveness check)، أو بالتوقيع الرقمي G-Sign؛ وعند إصدار شهادة جديدة تُلغى الشهادة السابقة (المادة 16 من الشروط)

7. الأفعال المحظورة

يُحظر عند استخدام الخدمة القيام بالأفعال التالية:

• انتحال اسم الغير، أو التوقيع على مستندات مزوّرة
• إجراء الهندسة العكسية (reverse engineer) للتطبيق، أو تعديل الشيفرة المصدرية، أو الاستخدام على جهاز خضع لعملية jailbreak / root
• التحايل على آليات الأمان، أو اختبارها بغرض الاختراق
• شنّ هجمات مثل DDoS وbrute-force على البنية التحتية للخدمة
• محاولة استخراج المفتاح الخاص، أو خداع التحقق البيومتري
• استخدام الخدمة عبر الروبوتات (Bot) أو أدوات الاستخلاص (scraper) أو البرامج النصية المؤتمتة
• استخدام المفتاح الخاص للتصديق على معلومات غير قانونية أو لتشفيرها؛ استخدام الخدمة في المعلومات المصنّفة ضمن أسرار الدولة (المادة 28 من الشروط)

8. حقوق الملكية الفكرية

تعود حقوق الملكية الفكرية لتطبيق e-ID Mongolia وشعاره وتصميمه وشيفرته المصدرية ووثائقه إلى شركة Gerege Systems ذ.م.م. ويُشترط الحصول على إذن كتابي في غير حالات استخدام الخدمة للاحتياجات الشخصية (مثل النسخ أو التوزيع أو التعديل أو البيع أو الترجمة أو التضمين في منتج آخر).

9. إيقاف الخدمة وإبطالها

نوقف حقك في الحصول على الخدمة مؤقتًا أو نُبطله في الحالات التالية:

• الإخلال بهذه الشروط
• المشاركة في الاحتيال أو في أفعال غير قانونية
• تعريض أمن الخدمة للخطر
• بقرار نافذ قانونًا من جهة مختصة

يحق لك في أي وقت التوقف عن استخدام الخدمة بواسطة زر «حذف الحساب» داخل التطبيق. وفي حال حذف الحساب، تُحذف المعلومات الشخصية خلال 30 يومًا؛ أما السجلات الواجب حفظها قانونًا فتُحفظ للمدة المنصوص عليها في البند 17.2 من الشروط: سجلات الشهادات والتوكيلات — 10 سنوات بعد انقضاء الشهادة؛ سجلات التوقيعات — 10 سنوات؛ سجلات الوصول إلى النظام — 5 سنوات.

10. حدود المسؤولية

لا يتحمل e-ID Mongolia المسؤولية في الحالات التالية:

• الضرر الناجم عن انكشاف رمز PIN الخاص بالمستخدم أو فقدان الجهاز
• الضرر الناجم عن الاستخدام المسيء من قِبل الغير (RP)
• الضرر الناجم عن إدخال المستخدم معلومات كاذبة أو تحايله على التحقق عبر DAN
• توقف الخدمة الناجم عن القوة القاهرة (force majeure) أو الهجمات السيبرانية أو تغيير التنظيمات الحكومية
• أعطال الاتصال بالإنترنت وأجهزة المستخدم

يقتصر الحد الأقصى لمسؤوليتنا الإجمالية على مبلغ يعادل الرسوم التي دفعتها لنا خلال الـ 12 شهرًا الأخيرة. ولأن الخدمة تُقدَّم للمواطنين مجانًا، تُطبَّق قيود المسؤولية هذه إلى أقصى حد يسمح به القانون.

11. تسوية النزاعات

في حال نشوء نزاع يتعلق بهذه الشروط، يسعى الطرفان أولًا إلى تسويته عن طريق التفاوض. وإذا لم يتوصلا إلى اتفاق خلال 30 يومًا، يُحال النزاع إلى المحكمة المختصة في منغوليا للفصل فيه. وتخضع هذه الشروط لقوانين منغوليا.

12. تحديث الشروط

يحق لنا تعديل شروط الخدمة. ونُبلغ عن التعديلات الجوهرية قبل 30 يومًا على الأقل من إدخالها عبر التطبيق والموقع الإلكتروني. وباستمرارك في استخدام الخدمة بعد تحديث الشروط، تُعدّ قابلًا للشروط الجديدة. وإذا لم تقبل الشروط الجديدة، يحق لك التوقف عن استخدام الخدمة وحذف حسابك.

13. الإطار القانوني

تعمل الخدمة وفقًا للقوانين والمعايير التالية:

• قانون التوقيع الإلكتروني (الصيغة المعدّلة في 2021-12-17، والمعمول بها اعتبارًا من 2022-05-01)
• قانون حماية المعلومات الشخصية (2021)
• قانون الأمن السيبراني (2021)
• المعيار الدولي ETSI EN 319 4xx Trust Services
• معيار قابلية التشغيل البيني (interoperability) القائم على RESTful API + TLS

14. اتصل بنا

إذا كانت لديك أي أسئلة تتعلق بشروط الخدمة، يُرجى التواصل معنا:

• البريد الإلكتروني: eIDsupport@gerege.com — الدعم العام، الشكاوى، الطلبات المتعلقة بالمعلومات الشخصية، خروقات أمن المعلومات (الملحق 3 من الشروط)
• إلغاء الشهادات والإبلاغ عن الخروقات الأمنية — 24/7؛ الدعم العام — أيام العمل 09:00–18:00 (الملحق 2)
• الهاتف: +976 7777 3773
• العنوان: شركة Gerege Systems ذ.م.م، مدينة أولان باتور، منغوليا