Regulation No 77/2023 on Payment Initiation, Aggregation, Merchant Acquiring and Accounts Information Services

Official Gazette n° Special of 27/12/2023 3 AMABWIRIZA RUSANGE No 77/2023 YO KU WA 04/12/2023 AGENGA ITANGWA RYA SERIVISI Z’ITANGIZABWISHYU, IZ’IKUSANYABWISHYU, IKUSANYABWISHYU RIKORESHA KONTI Y’UMUCURUZI N’IZ’IMENYEKANISHAMAKURU KU BYEREKERANYE NA KONTI ZO KWISHYURANA ISHAKIRO UMUTWE WA MBERE: INGINGO RUSANGE Ingingo ya mbere: Icyo aya mabwiriza agamije Ingingo ya 2: Isobanura Ingingo ya 3: Abarebwa n’aya mabwiriza rusange Ingingo ya 4: Ibigenderwaho mu kwemererwa gukora UMUTWE WA II: IBISABWA BYEREKEYE IMIKORERE Y’ABATANGA SERIVISI Z’ITANGIZABWISHYU, IZ’IMENYEKANISHAMAKURU KU REGULATION No 77/2023 OF 04/12/2023 ON PROVISION OF PAYMENT INITIATION, PAYMENT AGGREGATION, MERCHANT ACQUIRING AND PAYMENT ACCOUNTS INFORMATION SERVICES TABLE OF CONTENTS CHAPTER ONE: GENERAL PROVISIONS Article One: Purpose of the regulation Article 2: Interpretation Article 3: Scope Article 4: Licensing requirements CHAPTER II: OPERATIONAL REQUIREMENTS FOR PAYMENT INITIATION, PAYMENT ACCOUNTS INFORMATION, MERCHANT ACQUIRING AND PAYMENT RÈGLEMENT N° 77/2023 DU 04/12/2023 SUR LA PRESTATION DES SERVICES D'INITIATION DE PAIEMENT, D'AGRÉGATION DE PAIEMENT, D’ACQUISITION DE PAIEMENT DES MARCHANDS ET D'INFORMATION SUR DES COMPTES DE PAIEMENT TABLE DES MATIERES CHAPITRE PREMIER : DISPOSITIONS GÉNÉRALES Article premier : Objet du présent règlement Article 2 : Interprétation Article 3 : Champ d’application Article 4 : Conditions d’agrément CHAPITRE II : EXIGENCES OPÉRATIONNELLES APPLICABLES AUX PRESTATAIRES DE SERVICES D’INITIATION DE PAIEMENT, D’INFORMATIONS SUR DES COMPTES

Official Gazette n° Special of 27/12/2023 4 BYEREKERANYE NA KONTI ZO KWISHYURANA, IZ’IKUSANYABWISHYU RIKORESHA KONTI Y’UMUCURUZI N’IZ’IKUSANYABWISHYU Icyiciro cya mbere: Serivisi z’itangizabwishyu n’iz’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana Ingingo ya 5: Umutekano w’ikoranabuhanga no kurinda amakuru Ingingo ya 6: Inshingano z’utanga serivisi zo gutanga konti zo kwishyuriraho k’utanga serivisi z’itangizabwishyu n’utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana Ingingo ya 7: Uburenganzira bw’ukoresha konti yo kwishyurana bwo gukoresha serivisi z’itangizabwishyu n’iz’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana Ingingo ya 8: Kwakira amabwiriza yo kwishyura Ingingo ya 9: Imenyekanisha n’ikosorwa by’ibikorwa byo kwishyurana byakozwe AGGREGATION SERVICES PROVIDERS Section One: Payment initiation and payment account information services Article 5: Information and technology security and protection of data Article 6: Duties of the payment accounts issuance services provider towards a payment initiation services provider and the accounts information services provider Article 7: Right of the payment account user to use payment initiation and payment accounts information services Article 8: Receipt of payment orders Article 9: Notification and rectification of unauthorized or incorrectly executed payment transactions DE PAIEMENT, D’ACQUISITION DE PAIEMENT DE MARCHANDS ET D'AGRÉGATION DE PAIEMENT Section première : Services d'initiation de paiement et d'informations sur des comptes de paiement Article 5 : Sécurité de technologie informatique et protection des données Article 6 : Obligations du prestataire de services d'émission de comptes de paiement envers un prestataire de services d'initiation de paiement et un prestataire d'informations sur des comptes de paiement Article 7 : Droit de l'utilisateur du compte de paiement d'utiliser les services d'initiation de paiement et d'information sur des comptes de paiement Article 8 : Réception des ordres de paiement Article 9 : Notification et rectification d’opérations de paiement non autorisées ou exécutées de manière incorrecte

Official Gazette n° Special of 27/12/2023 5 nta burenganzira bwatanzwe cyangwa byakozwe nabi Ingingo ya 10: Uryozwa ibikorwa byo kwishyurana bitakozwe, ibyakozwe nabi cyangwa ibyakererewe mu rwego rw’ibijyanye na serivisi z’itangizabwishyu Ingingo ya 11: Uburyo bwo kwikorera igenzura hagamijwe kubahiriza amategeko yerekeranye no kurwanya iyezandonke no gutera inkunga iterabwoba Icyiciro cya 2: Isuzuma rikomeye ry’imyirondoro y’umukiriya Ingingo ya 12: Ikorwa ry’isuzuma rikomeye ry’umukiriya rikozwe n’utanga serivisi z’itangizabwishyu Ingingo ya 13: Ikorwa ry’isuzuma rikomeye ry’umukiriya rikozwe n’utanga serivisi zo gutanga konti zo kwishyuriraho Ingingo ya 14: Gukurikirana ibikorwa byo kwishyurana Ingingo ya 15: Kubuzwa kubika amafaranga y’ukoresha serivisi zo kwishyurana Article 10: Liability for non-execution, defective or late execution of payment transactions in the case of payment initiation services Article 11: Internal control mechanisms to comply with obligations in relation to anti￾money laundering and terrorist financing requirement Section 2: Strong customer authentication Article 12: Application of strong customer authentication procedures by payment initiation services provider Article 13: Application of strong customer authentication by payment accounts issuance services provider Article 14: Monitoring of payment transactions Article 15: Prohibition to hold the payment services user’s funds Article 10 : Responsabilité pour non￾exécution, exécution défectueuse ou tardive des opérations de paiement dans le cas des services d’initiation de paiement Article 11 : Mécanismes de contrôle interne pour se conformer aux obligations en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme Section 2: Authentification forte du client Article 12 : Application de procédures d'authentification forte du client par prestataire de services d'initiation de paiement Article 13 : Application d’authentification forte du client par un prestataire de services d’émission de comptes de paiement Article 14 : Suivi des opérations de paiement Article 15 : Interdiction de détenir des fonds d’un utilisateur des services de paiement

Official Gazette n° Special of 27/12/2023 6 Ingingo ya 16: Koroherezwa n’abashinzwe imikoreshereze y’uburyo bwo kwishyurana Icyiciro cya 3: Serivisi z’ikusanyabwishyu Ingingo ya 17: Politiki yo kwakira abacuruzi Ingingo ya 18: Iyubahirizwa rya politiki yo kwakira abacuruzi Ingingo ya 19: Ishyirwaho rya konti z’ikusanyabwishyu Ingingo ya 20: Ibikorwa byo kubitsa no kubikuza ku makonti y’ikusanyabwishyu Ingingo ya 21: Isozabwishyu Ingingo ya 22: Umutekano, kuburizamo ibikorwa by’uburiganya no gucunga ingorane zavuka Ingingo ya 23: Uguhuza imibare ya za konti Icyiciro cya 4: Abatanga serivisi z’ikusanyabwishyu rikoresha konti y’umucuruzi Ingingo ya 24: Ibikorwa byemewe Article 16: Facilitation by payment system operators Section 3: Payment aggregation services Article 17: Merchants onboarding policy Article 18: Compliance with the merchant onboarding policy Article 19: Establishment of nodal accounts Article 20: Credits and debits on nodal accounts Article 21: Settlement of funds Article 22: Security, fraud prevention and risk management Article 23: Account reconciliation Section 4: Merchant acquiring services providers Article 24: Permitted activities Article 16 : Facilitation par opérateurs des systèmes de paiement Section 3 : Services d’agrégation de paiement Article 17: Politique d'accueil des commerçants Article 18: Respect de la politique d’accueil des commerçants Article 19: Etablissement des comptes nodaux Article 20: Crédits et les débits sur les comptes nodaux Article 21: Règlement des fonds Article 22: Sécurité, prévention de la fraude et gestion des risques Article 23: Conciliation de compte Section 4: Prestataires de services d’acquisition de paiement de marchand Article 24 : Activités permises

Official Gazette n° Special of 27/12/2023 7 Ingingo ya 25: Igaragaza ry’amakuru ku bakoresha igikoresho kifashishwa mu kwishyurana UMUTWE WA III: INGINGO ZISOZA Ingingo ya 26: Ingingo ivanaho Ingingo ya 27: Ingingo y’ururimi Ingingo ya 28: Gutangira gukurikizwa Article 25: Display of information to users of payment infrastructure CHAPTER III: FINAL PROVISIONS Article 26: Repealing provision Article 27: Language provision Article 28: Entry into force Article 25 : Affichage d’informations aux utilisateurs des infrastructures de paiement CHAPTER III : DISPOSITIONS FINALES Article 26 : Disposition abrogatoire Article 27: Disposition linguistique Article 28 : Entrée en vigueur

Official Gazette n° Special of 27/12/2023 8 AMABWIRIZA RUSANGE No 77/2023 YO KU WA 04/12/2023 AGENGA ITANGWA RYA SERIVISI Z’ITANGIZABWISHYU, IZ’IKUSANYABWISHYU, IKUSANYABWISHYU RIKORESHA KONTI Y’UMUCURUZI N’IZ’IMENYEKANISHAMAKURU KU BYEREKERANYE NA KONTI ZO KWISHYURANA Banki Nkuru y’u Rwanda; Ishingiye ku Itegeko n° 48/2017 ryo ku wa 23/09/2017 rigenga Banki Nkuru y’u Rwanda nk’uko ryavuguruwe kugeza ubu cyane cyane mu ngingo zaryo iya 6bis, iya 8, iya 9, iya 10, n’iya 15; Ishingiye ku Itegeko n° 061/2021 ryo ku wa 14/10/2021 rigenga uburyo bwo kwishyurana cyane cyane mu ngingo zaryo iya 6 n’iya 15; Ishingiye ku Itegeko nº 47/2017 ryo ku wa 23/9/2017 rigena imitunganyirize y’imirimo y’amabanki cyane cyane mu ngigo yaryo ya 4; Ishingiye ku Itegeko n° 058/2021 ryo ku wa 13/10/2021 ryerekeye kurinda amakuru bwite n’imibereho bwite by’umuntu, cyane REGULATION No 77/2023 OF 04/12/2023 ON PROVISION OF PAYMENT INITIATION, PAYMENT AGGREGATION, MERCHANT ACQUIRING AND PAYMENT ACCOUNTS INFORMATION SERVICES The National Bank of Rwanda; Pursuant to Law n° 48/2017 of 23/09/2017 governing the National Bank of Rwanda as amended to date, especially in Articles 6bis, 8, 9, 10 and 15; Pursuant to Law n° 061/2021 of 14/10/2021 governing payment system, especially in Articles 6 and 15; Pursuant to the Law n°47/2017 of 23/9/2017 governing the organization of banking, especially in Article 4; Pursuant to the Law n° 058/2021 of 13/10/2021 relating to the protection of personal data and privacy, especially in Articles 4, 5, 6 and 11; RÈGLEMENT N° 77/2023 DU 04/12/2023 SUR LA PRESTATION DES SERVICES D'INITIATION DE PAIEMENT, D'AGRÉGATION DE PAIEMENT, D’ACQUISITION DE PAIEMENT DES MARCHAND ET D'INFORMATION SUR DES COMPTES DE PAIEMENT La Banque Nationale du Rwanda ; Vu la Loi n° 48/2017 du 23/09/2017 régissant la Banque Nationale du Rwanda, spécialement en ses articles 6bis, 8, 9, 10 et 15 ; Vu la Loi n° 61/2021 du 14/10/2021 régissant le système de paiement, spécialement en ses articles 6 et 15 ; Vu la Loi n° 47/2017 du 23/9/2017 portant organisation de l’activité bancaire, spécialement en son article 4 ; Vu la Loi n° 058/2021 du 13/10/2021 relative à la protection des données à caractère personnel et de la vie privée, spécialement en ses articles 4, 5, 6, et 11 ;

Official Gazette n° Special of 27/12/2023 9 cyane mu ngingo zaryo iya 4, iya 5, iya 6, n’iya 11; Ishingiye ku Itegeko no 072/2021 ryo ku wa 05/11/2021 rigenga ibigo by’imari iciriritse byakira amafaranga abitswa cyane cyane mu ngingo yaryo ya 4; Isubiye ku Mabwiriza Rusange no 07/2018 yo ku wa 27/03/2018 agenga serivisi z’itangizabwishyu n’ikusanyabwishyu; ISHYIZEHO AMABWIRIZA RUSANGE AKURIKIRA: UMUTWE WA MBERE: INGINGO RUSANGE Ingingo ya mbere: Icyo aya mabwiriza agamije Aya mabwiriza rusange ashyiraho ibisabwa mu rwego rw’imikorere bigomba gukurikizwa n’ibigo bitanga serivisi z’itangizabwishyu, iz’ikusanyabwishyu,iz’imenyekanishamakur u ku byerekeranye na konti zo kwishyurana n’iz’ikusanyabwishyu rikoresha konti y’umucuruzi. Pursuant to the Law n° 072/2021 of 05/11/2021 governing deposit-taking microfinance institutions, especially in Article 4; Having reviewed the Regulation n° 07/2018 of 27/03/2018 on payment initiation and aggregation services; ISSUES THE FOLLOWING REGULATION: CHAPTER ONE: GENERAL PROVISIONS Article One: Purpose of the regulation This Regulation establishes the operational requirements that must be upheld by entities providing payment initiation, payment aggregation, payment accounts information services and merchant acquiring services. Vu la Loi n° 072/2021 du 05/11/2021 régissant les institutions de microfinance de dépôt, spécialement en son article 4 ; Ayant revu le Règlement no 07/2018 du 27/03/2018 sur les services d’initiation et d’agrégation de paiement ; ÉDICTE LE RÈGLEMENT SUIVANT : CHAPITRE PREMIER : DISPOSITIONS GÉNÉRALES Article premier : Objet du présent règlement Le présent règlement établit les exigences opérationnelles qui doivent être respectées par les entités fournissant des services d'initiation de paiement, d'agrégation de paiement, d'information sur les comptes de paiement et services d’acquisition de paiement des marchands.

Official Gazette n° Special of 27/12/2023 10 Ingingo ya 2: Isobanura Muri aya mabwiriza rusange: (a) « isuzuma ry’umwirondoro » bivuga uburyo butuma utanga serivisi zo kwishyurana abona uko asuzuma umwirondoro w’umukiriya; (b) « Banki Nkuru » bivuga Banki Nkuru y’u Rwanda; (c) « kubika ibanga » bivuga kubuza icyatuma habaho gutangaza amakuru bidatangiwe uburenganzira. Abatanga serivisi z’itangizabwishyu n’abatanga serivisi z’ikusanyabwishyu rikoresha konti y’umucuruzi bagomba kubika neza amabanga ajyanye n’ibyo bakora; (d) «kohereza amafaranga hakoreshejwe uburyo bw’ikoranabuhanga » bivuga ibikorwa binyuranye byo kohereza amafaranga cyangwa ikorwa ry’ibikorwa byo kwishyurana iyo bikozwe hadakoreshejwe inoti n’ibiceri; (e) « umwimerere » bivuga ukwirinda guhindura amakuru mu gihe Article 2: Interpretation In this regulation: (a) “authentication” means a procedure that allows the payment services provider to verify a customer’s identity; (b) “Central Bank” means the National Bank of Rwanda; (c) “confidentiality” means the preventing of disclosure of data from unauthorized parties. Payment initiation service providers Merchant acquiring services providers must guarantee the secrecy of such details; (d) “electronic fund transfer” means the series of transactions for the transfer of money or the execution of payment transactions when executed without using bank notes and coins; (e) “integrity” means preventing of Article 2 : Interprétation Dans le présent règlement : (a) « authentification » signifie une procédure qui permet au prestataire de services de paiement de vérifier l'identité d'un client ; (b) « Banque Centrale » signifie la Banque Nationale du Rwanda ; (c) « confidentialité » signifie empêcher la divulgation de données par des parties non autorisées . Les prestataires de services d’initiation de paiement et prestataires de services d’acquisition de paiement de marchand doivent garantir le secret de ces détails ; (d) « transfert électronique de fonds » désigne la série d'opérations de transfert d'argent ou l'exécution des opérations de paiement lorsqu'elles sont exécutées sans utilisation de billets de banque et pièces de monnaie; (e) « intégrité » signifie la prévention de la modification non autorisée des données dans les moyens de communication ;

Official Gazette n° Special of 27/12/2023 11 ahererekanywa mu itumanaho bidatangiwe uburenganzira ; (f) «umucuruzi» bivuga umuntu wese wemera ibikoresho byo kwishyurana nk’uburyo bukoreshwa mu kwishyura ibicuruzwa na serivisi bye; (g) “serivisi zihabwa abacuruzi” bivuga serivisi iyo ari yose yo kwemera no gukorera umucuruzi igikorwa cyo kwishyurana hakurikijwe amasezerano ari hagati y’utanga serivisi zo kwishyurana n’umucuruzi atuma umucuruzi yohererezwa amafaranga hakurikijwe igikorwa cyo kwishyurana; (h) «konti y’ikusanyabwishyu» bivuga konti icungwa n’ukusanya ubwishyu hakoreshejwe ikoranabuhanga akorana n’imwe mu mabanki asanzwe cyangwa abatanga serivisi zo kwishyurana hagamijwe gukusanyiriza hamwe amafaranga aturutse ku bacuruzi no gutuma igikorwa cyo kuwishyura abo bacuruzi kigenda neza; unauthorized modification of data while it is in the communication channels; (f) “merchant” means any person that accepts payment instruments as payment for their goods and services; (g) “merchant acquiring service” means any service of accepting and processing a payment transaction for a merchant under a contract between the provider of the service and the merchant, which results in a transfer of money to the merchant pursuant to the payment transaction; (h) “nodal account” means an account held by a payment aggregator with any of the banks or payment service providers for the purpose of pooling the monies collected from the merchants and facilitating the subsequent payouts to the said merchants; (f) « commerçant » signifie toute personne qui accepte des instruments de paiement en paiement de ses biens et services ; (g) « service d’acquisition des marchands» signifie tout service d'acceptation et de traitement d'une opération de paiement pour le compte d’un commerçant dans le cadre d'un contrat entre le fournisseur du service et le commerçant, qui se traduit par un transfert d'argent au commerçant conformément à l'opération de paiement ; (h) « compte nodal » signifie un compte détenu par un agrégateur de paiement avec l'une des banques ou des prestataires de services de paiement dans le but de regrouper les fonds collectés auprès des commerçants et de faciliter les paiements ultérieurs aux dits commerçants ;

Official Gazette n° Special of 27/12/2023 12 (i) « utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana» bivuga umuntu wese utanga serivisi utanga amakuru ahurijwe hamwe ajyanye na konti imwe cyangwa nyinshi z’ukoresha serivisi zo kwishyurana zicungwa n’utanga serivisi zo kwishyurana umwe cyangwa abatanga serivisi zo kwishyurana barenze umwe; (j) « utanga serivisi zo gutanga konti zo kwishyuriraho » bivuga utanga serivisi yo kwishyurana ituma hafungurwa konti yo kwishyuriraho, amafaranga ashyirwa cyangwa agakurwa kuri konti yo kwishyuriraho ikanatuma hakorwa ibikorwa byose bisabwa kuri konti yo kwishyuriraho; (k) « amakuru bwite y’umutekano » bivuga ibiranga umuntu ku giti cye utanga serivisi zo kwishyurana aha ukoresha serivisi zo kwishyurana hagamijwe gusuzuma umwirondoro; (i) “payment accounts information services provider” means a service provider that provides consolidated information on one or more payment accounts held by the payment services user managed by either one or more than one payment services providers; (j) “payment accounts issuance services provider” means providing payment service, enabling the opening of a payment account, cash to be placed on a payment account, cash to be withdrawn from a Payment Account; and all necessary operations for operating a Payment Account; (k) “personalized security credentials” means personalized features provided by a payment service provider to a payment service user for the purposes of authentication; (i) « prestataire de services d'informations sur des comptes de paiement» signifie un prestataire de services qui fournit des informations consolidées sur un ou plusieurs comptes de paiement détenus par l'utilisateur de services de paiement gérés par un ou plusieurs prestataires de services de paiement ; (j) « prestataire de services d'émission de comptes de paiement » signifie le prestation Service de paiement permettant l'ouverture d'un compte de paiement, le dépôt d’espèces sur un compte de paiement, le retrait d’ espèces sur un compte de paiement ; et toutes les opérations nécessaires au fonctionnement d'un compte de paiement.; (k) « informations personnalisées de sécurité » signifie des caractéristiques personnalisées fournies par un prestataire de services de paiement à un utilisateur de services de paiement à des fins d'authentification ;

Official Gazette n° Special of 27/12/2023 13 (l) «konti yo kwishyurana» bivuga konti iri mu izina ry’ukoresha serivisi zo kwishyurana umwe cyangwa benshi ikoreshwa mu bikorwa byo kwishyurana; (m)« ukusanya ubwishyu » bivuga umuhuza ukusanya amafaranga yakiriwe avuye ku bakiriya kugira ngo yishyurwe abacuruzi hifashishijwe uburyo bwose bw’imyishyuranire koranabuhanga cyangwa bwifashisha inzira z’itumanaho ku bicuruzwa na serivisi bagemuye hanyuma bikoroshya iyoherezwa ry’ayo mafaranga ku bacuruzi bishyurwa imyenda abakiriya bababereyemo; (n) « ikarita ikoreshwa mu kwishyura » hakubiyemo ikarita yo kubikuza muri banki itemera inguzanyo, ikarita yo kubikuza muri banki yemera inguzanyo cyangwa ikarita zibikwaho amafaranga, cyangwa ikindi gikoresho harimo n’ibimenyetso cyangwa ubundi buryo bwose bwatuma umuntu akoresha konti igihe cyose, agamije kubikuza amafaranga cyangwa gukora igikorwa cyo kwishyura; (l) “payment account” means an account held in the name of one or more payment service users which is used for the execution of payment transactions; (m)“payment aggregator” means the intermediary collecting funds received from customers for payment to merchants using any electronic or online payment mode, for goods and services availed by them and subsequently facilitate the transfer of these funds to the merchants in final settlement of the obligations of the paying customers; (n) “payment card” includes a debit card, credit card and stored-value card, or other device including a code or any other means of access to an account, that may be used anytime to withdraw money or to make payment; (l) « compte de paiement » signifie un compte détenu au nom d'un ou de plusieurs utilisateurs de services de paiement, utilisé pour l'exécution d'opérations de paiement ; (m)« agrégateur de paiement » signifie un intermédiaire qui collecte des fonds reçus auprès des clients pour le paiement aux commerçants utilisant tout mode de paiement électronique ou en ligne, pour les biens et les services rendus disponibles par eux et, par la suite, facilite le transfert de ces fonds aux commerçants en règlement définitif des obligations des clients payants ; (n) « carte de paiement » comprend une carte de débit, une carte de crédit et une carte de valeur stockée, ou autre dispositif y compris un code ou tout autre moyen d'accès à un compte qui peut être utilisé à tout moment pour retirer de l'argent ou pour effectuer un paiement ;

Official Gazette n° Special of 27/12/2023 14 (o) « serivisi z’itangizabwishyu » bivuga serivisi zitangwa hifashishijwe ikoranabuhanga mu gutangiza igikorwa cyo kwishyura bisabwe n’ukoresha serivisi zo kwishyurana kuri konti yo kwishyurana icungwa n’undi muntu utanga serivisi zo kwishyurana; (p) « amabwiriza yo kwishyura » bivuga amabwiriza uwishyura cyangwa uwishyurwa aha utanga serivisi zo kwishyurana amusaba gukora igikorwa cyo kwishyura; (q) « igikoresho kifashishwa mu kwishyurana» bivuga igikoresho cyangwa umuyoboro ukorana n’amakarita akoreshwa mu kwishyurana cyangwa ubundi buryo bwose bukoreshwa mu kwishyurana hagamijwe ibikorwa by’ihererekanya ry’amafaranga hakoreshejwe ikoranabuhanga. Igikoresho kifashishwa mu kwishyurana gishobora kuba imashini y’ikoranabuhanga yo kubitsa cyangwa kubikuza amafaranga (ATM), imashini koranabuhanga yo kwishyurana (POS) cyangwa imashini igenzura amakarita yo (o) “payment initiation services” means an online service to initiate a payment order at the request of the payment service user with respect to a payment account managed by another payment service provider; (p) “payment order” means any instruction by a payer or a payee to their respective payment service provider requesting the execution of a payment transaction; (q) “payment infrastructure” means a device or channel which interfaces with payment cards or any payment instrument to make electronic funds transfers. The payment infrastructure may be an Automated Teller Machine (ATM), point of sale (POS) or credit card. A payment infrastructure l allows a merchant to insert, swipe, or manually enter the required data related to the payment instrument, to transmit this data to the merchant service provider for authorization and finally, to transfer funds to the merchant; (o) «services d'initiation de paiement » signifie un service en ligne pour initier un ordre de paiement à la demande de l'utilisateur de services de paiement concernant un compte de paiement géré par un autre prestataire de services de paiement ; (p) « ordre de paiement » signifie toute instruction donnée par un payeur ou un bénéficiaire de paiement à leurs prestataires respectifs de services de paiement demandant l'exécution d'une opération de paiement ; (q) «infrastructure de paiement » signifie un appareil ou un canal qui s'interface avec les cartes de paiement ou tout instrument de paiement pour effectuer des transferts de fonds électroniques. L’infrastructure de paiement peut être le guichet automatique bancaire (ATM), le point de vente (POS) et la carte de crédit. Une infrastructure de paiement permet à un commerçant d'insérer, de glisser ou d'entrer manuellement les données requises relatives à l'instrument de paiement, de transmettre ces données prestataire de service d’un commerçant pour obtenir

Official Gazette n° Special of 27/12/2023 15 kubikuza muri banki yemera inguzanyo. Igikoresho kifashishwa mu kwishyurana gifasha umucuruzi kwinjiza, gukozaho ikarita cyangwa gukoresha intoki mu gutanga amakuru akenewe mu gikorwa kijyanye n’igikoresho cyo kwishyurana, ikohereza ayo makuru ku uha abacuruzi serivisi kandi igatuma umucuruzi yohererezwa amafaranga; (r) « igikorwa cyo kwishyurana » bivuga igikorwa gitangizwa n’uwishyura cyangwa n’uwishyurwa, cyangwa gikorwa mu izina ry’uwishyura kijyanye no gushyira, kohereza cyangwa gukura amafaranga kuri konti hatitawe ku nshingano ziri hagati y’uwishyura n’uwishyurwa; (s) « amakuru y’ubwishyu akwiye kwitonderwa cyane » bivuga amakuru arimo amakuru bwite y’umutekano ashobora gukoreshwa mu bikorwa by’uburiganya. Ku bijyanye n’ibikorwa by’abatanga serivisi y’itangizabwushyu, izina rya nyiri konti na nomero ya konti ntibifatwa nk’amakuru y’ubwishyu akwiye kwitonderwa cyane; (r) “payment transaction” means an act initiated by the payer or payee, or on behalf of the payer, of placing, transferring or withdrawing funds, irrespective of any underlying obligations between the payer and payee; (s) “sensitive payment data” means data, including personalized security credentials, which are exposed to being used to carry out fraud. For the activities of payment initiation service providers, the name of the account owner and the account number do not constitute sensitive payment data; l'autorisation et, enfin, de transférer des fonds au commerçant ; (r) « opération de paiement » signifie un acte initié par le payeur ou le bénéficiaire de paiement, ou au nom du payeur, consistant à placer, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire de paiement; (s) « données de paiement sensibles » signifie les données, y compris les informations personnalisées de sécurité, qui courent le risque d’être utilisées dans des opérations frauduleuses. Pour les activités des prestataires de services d’initiation de paiement, le nom du titulaire du compte et le numéro de compte ne constituent pas des données de paiement sensibles ;

Official Gazette n° Special of 27/12/2023 16 (t) « isuzuma rikomeye ry’imyirondoro y’umukiriya bivuga isuzuma rishingiye ku mikoreshereze y’ingingo ebyiri cyangwa izirenzeho zifatwa nk’ubumenyi (icyo ukoresha serivisi zo kwishyurana azi wenyine), umutungo (icyo ukoresha serivisi zo kwishyurana atunze wenyine) n’imiterere (icyo ukoresha serivisi zo kwishyurana ari cyo) byihariye, mu buryo butuma mu gihe ingingo imwe itubahirijwe, bitabuza izindi gukoreshwa mu buryo bwizewe, kandi ni isuzuma riteye ku buryo ririnda amakuru y’ibanga akoreshwa mu isuzuma; (u) « ukoresha serivisi zo kwishyurana » bivuga umuntu wese ukoresha igikoresho cyo kwishyurana cyangwa usaba serivisi zo kwishyurana; (v) « ikirango cy’umwihariko » bivuga uruhurirane rw’inyuguti, imibare cyangwa ibimenyetso ukoresha serivisi zo kwishyurana ashyikirizwa n’utanga serivisi zo kwishyurana hakoreshejwe ikoranabuhanga, kugira ngo ukoresha serivisi zo kwishyurana agitange mu rwego rwo kumenya ku buryo budashidikanywaho undi muntu (t) “strong customer authentication” means an authentication based on the use of two or more elements categorized as knowledge (something only the payment services user knows), possession (something only the payment services user possesses) and inherence (something the payment services user is) that are independent, in that the breach of one does not compromise the reliability of the others, and is designed in such a way as to protect the confidentiality of the authentication data; (u) “payment services user” means any person using a payment instrument or requesting payment services; (v) “unique identifier” means a combination of letters, numbers or symbols specified to the payment service user by the payment service provider, to be provided by the payment services user to identify unambiguously another payment service provider and the payment account of that other payment service provider for a payment transaction. (t) « forte authentification du client » signifie une authentification basée sur l'utilisation de deux ou plusieurs éléments classés comme la connaissance (quelque chose que seul l'utilisateur de services de paiement sait), la possession (quelque chose que seul l'utilisateur de services de paiement possède) et l’inhérence (quelque chose que l'utilisateur de services de paiement est) qui sont indépendants, en ce sens que la violation de l'une ne compromet pas la fiabilité des autres et est conçue de manière à protéger la confidentialité des données d'authentification ; (u) « utilisateur de services de paiement» signifie toute personne utilisant un instrument de paiement ou requérant des services de paiement ; (v) « identifiant unique » signifie une combinaison de lettres, de chiffres ou de symboles indiquée à l'utilisateur de services de paiement par le prestataire de services de paiement, que l'utilisateur de services de paiement doit fournir pour l’identification certaine d’un autre prestataire de services de paiement et de son compte

Official Gazette n° Special of 27/12/2023 17 utanga serivisi zo kwishyurana cyangwa hamenyekane konti y’uwo muntu wundi utanga serivisi zo kwishyurana kugira ngo hakorwe igikorwa cyo kwishyurana. Ingingo ya 3: Abarebwa n’aya mabwiriza rusange Aya mabwiriza rusange agenga – (a) abatanga serivisi z’itangizabwishyu; (b) iz’ikusanyabwishyu; (c) iz’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana; (d) n’abandi batanga serivisi zo kwishyurana n’abashinzwe imikoreshereze y’uburyo bwo kwishyurana bagomba gufasha kugira ngo serivisi zavuzwe mu ngingo ya mbere y’iri tegeko zitangwe neza. Ingingo ya 4: Ibigenderwaho mu kwemererwa gukora Ikigo kitari icy’imari gisaba gutangiza serivisi z’itangizabwishyu, Article 3: Scope This regulation applies to – (a) payment initiation service providers; (b) payment aggregators; (c) payment accounts information service providers, and (d) other payment service providers and payment system operators involved in facilitating the seamless operation of the services outlined in article One of this regulation. Article 4: Licensing requirements The non-financial institution that proposes to provide payment initiation, payment de paiement pour une opération de paiement. Article 3 : Champ d’application Le présent règlement s’applique aux – (a) prestataires de services d’initiation de paiement ; (b) des agrégateurs de paiement ; (c) les prestataires de services d’information sur des comptes de paiement ; et (d) d'autres prestataires de services de paiement et opérateurs des systèmes de paiement impliqués dans la facilitation du bon fonctionnement des services décrits dans l’article premier du présent règlement. Article 4 : Conditions d’agrément L’institution non financière qui propose de fournir des services d'initiation de paiement,

Official Gazette n° Special of 27/12/2023 18 iz’ikusanyabwishyu n’iz’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana kigomba kubahiriza ibigenderwaho mu kwemererwa gukora byagenwe mu mabwiriza agenga abatanga serivisi zo kwishyurana. UMUTWE WA II: IBISABWA BYEREKEYE IMIKORERE Y’ABATANGA SERIVISI Z’ITANGIZABWISHYU, IZ’IMENYEKANISHAMAKURU KU BYEREKERANYE NA KONTI ZO KWISHYURANA, IZ’IKUSANYABWISHYU RIKORESHA KONTI Y’UMUCURUZI N’IZ’IKUSANYABWISHYU Icyiciro cya mbere: Serivisi z’itangizabwishyu n’iz’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana Ingingo ya 5: Umutekano w’ikoranabuhanga no kurinda amakuru (1) Utanga serivisi z’itangizabwishyu n’utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana bagomba kugira ikoranabuhanga ryizewe cyane aggregation and payment account information services adheres to licensing arrangements established under the regulation governing payments services providers. CHAPTER II: OPERATIONAL REQUIREMENTS FOR PAYMENT INITIATION, PAYMENT ACCOUNTS INFORMATION, MERCHANT ACQUIRING AND PAYMENT AGGREGATION SERVICES PROVIDERS Section One: Payment initiation and payment account information services Article 5: Information and technology security and protection of data (1) The payment initiation services provider and the payment account information services provider must dispose of high-quality technology to ensure authentication, integrity, and confidentiality of data. d'agrégation de paiement et d'information sur des comptes de paiement doit respecter les conditions d'agrément établies en vertu du règlement régissant les prestataires de services de paiement. CHAPITRE II : EXIGENCES OPÉRATIONNELLES APPLICABLES AUX PRESTATAIRES DE SERVICES D’INITIATION DE PAIEMENT, D’INFORMATIONS SUR DES COMPTES DE PAIEMENT, D’ACQUISITION DE PAIEMENT DE MARCHANDS ET D'AGRÉGATION DE PAIEMENT Section première : Services d'initiation de paiement et d'informations sur des comptes de paiement Article 5 : Sécurité de technologie informatique et protection des données (1) Le prestataire de services d’initiation de paiement et le prestataire de services d'information sur des comptes de paiement doivent disposer d'une technologie de haute qualité pour

Official Gazette n° Special of 27/12/2023 19 kugira ngo babashe kubungabunga umwirondoro, umwimerere, n’ibanga ry’amakuru. (2) Utanga serivisi z’itangizabwishyu n’utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana bagomba kumenya neza niba amakuru bwite y’umutekano y’ukoresha serivisi zo kwishyurana abasha gukoreshwa n’abandi bantu kandi niba yoherezwa n’utanga serivisi z’itangizabwishyu mu buryo bwizewe neza kandi bunoze. (3) Utanga serivisi z’itangizabwishyu n’utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana bagomba kumenya neza ko andi makuru yose y’ukoresha serivisi zo kwishyurana yamenyekanye mu gihe cyo gutanga serivisi z’itangizabwishyu ahabwa gusa uwishyurwa kandi bigakorwa gusa igihe ukoresha serivisi zo kwishyurana abyemeye. (4) Utanga serivisi z’itangizabwishyu agomba kumenya neza ko igihe cyose hatangijwe igikorwa cyo (2) The payment initiation services provider and the payment accounts information service provider must ensure that the personalized security credentials of the payment services user are accessible to other parties and that they are transmitted by the payment initiation services provider through safe and efficient channels. (3) The payment initiation services provider and the payment accounts information services provider must ensure that any other information about the payment service user obtained when providing payment initiation services, is only provided to the payee and only with the payment service user’s consent. (4) The payment initiation services provider ensures that every time a payment transaction is initiated, it assurer l'authentification, l'intégrité et la confidentialité des données. (2) Le prestataire de services d'initiation de paiement et le prestataire de services d'informations sur des comptes de paiement s’assurent que les informations personnalisées de sécurité de l'utilisateur de services de paiement soient accessibles à d'autres parties et qu'ils soient transmis par le prestataire de services d'initiation de paiement par des moyens sûrs et efficaces. (3) Le prestataire de services d'initiation de paiement et le prestataire de services d'information sur des comptes de paiement veillent à ce que toute autre information sur l'utilisateur de services de paiement obtenue lors de la fourniture de services d'initiation de paiement ne soit fournie qu'au bénéficiaire de paiement seulement et uniquement avec le consentement de l'utilisateur de services de paiement. (4) Le prestataire de services d'initiation de paiement veille à ce qu'à chaque fois qu'une opération de paiement est initiée,

Official Gazette n° Special of 27/12/2023 20 kwishyurana, yimenyekanisha ku utanga serivisi zo gutanga konti zo kwishyuriraho w’ukoresha konti yo kwishyurana. (5) Utanga serivisi z’itangizabwishyu n’utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana ntibabika amakuru y’imyishyuranire akwiye kwitonderwa cyane y’ukoresha serivisi zo kwishyurana. (6) Utanga serivisi z’itangizabwishyu n’utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana birinda gukoresha, kwinjira mu makuru cyangwa kuyabika hagamijwe ikindi gikorwa kitari ugutanga serivisi zo kwishyurana nk’uko biba byasabwe n’ukoresha konti yo kwishyurana. (7) Utanga serivisi z’itangizabwishyu yirinda guhindura umubare w’amafaranga, uwishyurwa cyangwa ikindi cyose kiranga igikorwa cyo kwishyurana. identifies itself towards the payment accounts issuance services provider of the payment account user. (5) The payment initiation services provider and the payment accounts information services provider do not store sensitive payment data of the payment services user. (6) The payment initiation services provider and the payment accounts information service provider do not use, access or store any data for purposes other than for the provision of the payment service as explicitly requested by the payment account user. (7) The payment initiation services provider does not modify the amount of money, the payee or any other feature of the payment transaction. il s'identifie auprès du prestataire de services d’émission de comptes de paiement de l'utilisateur du compte de paiement. (5) Le prestataire de services d'initiation de paiement et le prestataire de services d'information sur des comptes de paiement n’enregistrent pas les données de paiement sensibles de l'utilisateur de services de paiement. (6) Le prestataire de services d'initiation de paiement et le prestataire de services d'information sur des comptes de paiement n'utilisent, n'accèdent ni n’enregistrent aucune donnée à des fins autres que la fourniture du service de paiement, comme l'a explicitement demandé l'utilisateur du compte de paiement. (7) Le prestataire de services d'initiation de paiement ne modifie pas le somme d’argent, le bénéficiaire du paiement ni toute autre caractéristique de l’opération de paiement.

Official Gazette n° Special of 27/12/2023 21 (8) Utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana yinjira gusa mu makuru arebana na konti zo kwishyurana no mu bikorwa byo kwishyurana bijyanye nazo. (9) Utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana ntasaba amakuru arebana no kwishyurana yo kwitondera cyane ajyanye na konti zo kwishyurana. Ingingo ya 6: Inshingano z’utanga serivisi zo gutanga konti zo kwishyuriraho k’utanga serivisi z’itangizabwishyu n’utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana Utanga serivisi zo gutanga konti zo kwishyuriraho afite inshingano zikurikira: (a) gushyiraho uburyo bw’ihanahanamakuru butuma – (i) utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana n’utanga serivisi (8) The payment accounts information services provider accesses only the information from payment accounts and associated payment transactions. (9) The payment accounts information services provider does not request sensitive payment data linked to the payment accounts. Article 6: Duties of the payment accounts issuance services provider towards a payment initiation services provider and the accounts information services provider The payment accounts issuance services provider must: (a) have in place a communication interface through where – (i) payment accounts information services provider and the payment initiation service provider can identify themselves towards the (8) Le prestataire de services d'information sur des comptes de paiement accède uniquement aux informations des comptes de paiement et des opérations de paiement associées. (9) Le prestataire de services d'information sur des comptes de paiement ne demande pas de données de paiement sensibles liées aux comptes de paiement. Article 6 : Obligations du prestataire de services d'émission de comptes de paiement envers un prestataire de services d'initiation de paiement et un prestataire d'informations sur des comptes de paiement Le prestataire de services d'émission de comptes de paiement doit : (a) avoir en place une interface de communication par laquelle – (i) le prestataire de services d'information sur des comptes de paiement et le prestataire de services d'initiation de

Official Gazette n° Special of 27/12/2023 22 z’itangizabwishyu bashobora kwigaragaza ubwabo k’utanga serivisi zo gutanga konti zo kwishyuriraho; (ii) utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana ashobora gukoresha itumanaho ryizewe asaba kandi yakira amakuru kuri konti imwe cyangwa nyinshi zagenewe kwishyurana n’ibikorwa byo kwishyurana bijyana nazo; (iii) utanga serivisi z’itangizabwishyu ashobora gukoresha itumanaho ryizewe mu gutangiza ibwiriza ryo kwishyura riva kuri konti yo kwishyurana y’uwishyura no kwakira amakuru ajyanye no gutangiza no gukora ibikorwa byo kwishyurana. (b) guha cyangwa kwegereza utanga serivisi z’itangizabwishyu amakuru yose arebana n’ikorwa ry’igikorwa cyo kwishyurana ndetse n’amakuru yose yaba afitwe n’utanga serivisi zo gutanga konti zo kwishyuriraho; payment accounts issuance service provider; (ii) payment accounts information services provider can communicate securely to request and receive information on one or more designated payment accounts and associated payment transactions; (iii) the payment initiation services provider can communicate securely to initiate a payment order from the payer’s payment account and receive information on the initiation and the execution of payment transactions. (b) provide or make available all information on the initiation of the payment transaction and all information accessible by the payment accounts issuance services provider regarding the execution of the payment paiement peuvent s'identifier auprès du prestataire de services d’émission des comptes de paiement; (ii) le prestataire de services d'information sur des comptes de paiement peut communiquer en toute sécurité pour demander et recevoir des informations sur un ou plusieurs comptes de paiement désignés et les opérations de paiement associées ; (iii) le prestataire de services d'initiation de paiement peut communiquer en toute sécurité pour initier un ordre de paiement à partir du compte de paiement du payeur et recevoir des informations sur l'initiation et l'exécution des opérations de paiement. (b) fournir ou rendre disponibles au prestataire de services d'initiation de paiement toutes les informations sur l'initiation de l'opération de paiement et toutes les informations qui sont à la disposition du prestataire de services

Official Gazette n° Special of 27/12/2023 23 (c) kwita ku mabwiriza yo kwishyura ahererekanywa binyuze ku batanga serivisi z’itangizabwishyu no ku busabe bw’amakuru ahererekanywa binyuze muri serivisi zitangwa n’utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana hatabayeho ivangura iryo ari ryose uretse irishingiye ku mpamvu zumvikana. Ingingo ya 7: Uburenganzira bw’ukoresha konti yo kwishyurana bwo gukoresha serivisi z’itangizabwishyu n’iz’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana Ukoresha konti yo kwishyurana afite uburenganzira bwo gukoresha serivisi z’itangizabwishyu na serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana kugira ngo abone serivisi zo kwishyurana. Uburenganzira bwo gukoresha serivisi z’itangizabwishyu n’iz’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana ntibukoreshwa igihe transaction to the payment initiation services provider; (c) treat payment orders transmitted through payment initiation services providers and data requests transmitted through the services of account information services provider without any discrimination other than for objective reasons. Article 7: Right of the payment account user to use payment initiation and payment accounts information services A payment account user has the right to make use of payment initiation services and payment account information services to obtain payment services. The right to make use of a payment initiation services and payment accounts information services does not apply where the payment account is not accessible online. d’émission de comptes de paiement concernant l'exécution de l'opération de paiement ; (c) traiter les ordres de paiement transmis par le biais des prestataires de services d'initiation de paiement et les demandes de données transmises par le biais des services du prestataire de services d'information sur des comptes de paiement sans aucune discrimination autre que pour des raisons objectives. Article 7 : Droit de l'utilisateur du compte de paiement d'utiliser les services d'initiation de paiement et d'information sur des comptes de paiement Un utilisateur de compte de paiement a le droit d'utiliser des services d'initiation de paiement et des services d'informations sur des comptes de paiement pour obtenir des services de paiement. Le droit d'utiliser des services d'initiation de paiement et des services d'information sur des comptes de paiement ne s'applique pas lorsque le compte de paiement n'est pas accessible en ligne.

Official Gazette n° Special of 27/12/2023 24 cyose konti yo kwishyurana idakoresha itumanaho rya interineti. Ingingo ya 8: Kwakira amabwiriza yo kwishyura (1) Igihe cyo kwakira amabwiriza yo kwishyura ni igihe ibwiriza ryo kwishyura ryakiriwe n’utanga serivisi zo kwishyurana ku ruhande rw’uwishyura. (2) Konti y’uwishyura ntishobora gukurwaho amafaranga mbere y’uko hakirwa ibwiriza ryo kwishyura. Iyo igihe cyo kwakira iryo bwiriza gihuriranye n’umunsi utari uw’akazi k’utanga serivisi zo kwishyurana ku ruhande rw’uwishyura, ibwiriza ryo kwishyura rifatwa nk’aho ryakiriwe ku munsi w’akazi ukurikiraho. Ingingo ya 9: Imenyekanisha n’ikosorwa by’ibikorwa byo kwishyurana byakozwe nta burenganzira bwatanzwe cyangwa byakozwe nabi Ukoresha serivisi zo kwishyurana akosorerwa n’utanga serivisi zo kwishyurana, mu gihe igikorwa cyo kwishyurana cyakozwe bitatangiwe uburenganzira cyangwa cyakozwe nabi, gusa Article 8: Receipt of payment orders (1) The time of receipt of payment orders is when the payment order is received by the payer’s payment service provider. (2) The payer’s account is not debited before receipt of the payment order. If the time of receipt is not on a business day for the payer’s payment service provider, the payment order is considered to have been received on the following business day. Article 9: Notification and rectification of unauthorized or incorrectly executed payment transactions The payment service user obtains rectification of an unauthorized or incorrectly executed payment transaction from the payment service provider only if the payment service user notifies the payment service provider without Article 8 : Réception des ordres de paiement (1) Le moment de la réception des ordres de paiement est le moment où l’ordre de paiement est reçu par le prestataire de services de paiement du payeur. (2) Le compte du payeur ne doit pas être débité avant la réception de l'ordre de paiement. Si le délai de réception n'est pas un jour ouvrable pour le prestataire de services de paiement du payeur, l'ordre de paiement est réputé avoir été reçu le jour ouvrable suivant. Article 9 : Notification et rectification d’opérations de paiement non autorisées ou exécutées de manière incorrecte L’utilisateur de services de paiement n’obtient du prestataire de services de paiement la correction d'une opération de paiement non autorisée ou exécutée de manière incorrecte que si l’utilisateur de services de paiement en

Official Gazette n° Special of 27/12/2023 25 iyo ukoresha serivisi zo kwishyurana abimenyesheje utanga serivisi zo kwishyurana adakerewe nta mpamvu, akabikora akimara kumenya icyo gikorwa gikeneye gukosorwa mu gihe kitarenze amezi 12 amafaranga yishyuwe. Ingingo ya 10: Uryozwa ibikorwa byo kwishyurana bitakozwe, ibyakozwe nabi cyangwa ibyakererewe mu rwego rw’ibijyanye na serivisi z’itangizabwishyu (1) Mu gihe ibwiriza ryo kwishyura ritanzwe n’uwishyura abinyujije k’utanga serivisi z’itangizabwishyu, haseguriwe ibiteganyijwe mu ngingo ya 5 n’iya 6 z’aya mabwiriza rusange, utanga serivisi zo gutanza konti zo kwishyuriraho, agomba gusubiza uwishyuye amafaranga y’igikorwa cyo kwishyura kitakozwe cyangwa cyakozwe nabi, iyo bishoboka, konti yavanyweho amafaranga ikongera gusubizwa uko yagombye kuba imeze iyo igikorwa cyo kwishyura kiba kitarakozwe nabi. (2) Utanga serivisi zo kwishyurana agomba kwishyura amafaranga avugwa mu gika cya (1) cy’iyi ngingo vuba bishoboka kandi bigakorwa mbere y’uko umunsi w’akazi undue delay on becoming aware of any such transaction giving rise to a claim and no later than 12 months after the debit date. Article 10: Liability for non-execution, defective or late execution of payment transactions in the case of payment initiation services (1) Where a payment order is initiated by the payer through a payment initiation services provider, the payment accounts issuance services provider must, without prejudice to Article 5 and 6 of this regulation, refund to the payer the amount of the non-executed or defective payment transaction and, where applicable, restore the debited payment account to the state in which it would have been had if the defective payment transaction not taken place. (2) The payment service provider must provide a refund referred to in Paragraph (1) of this Article as soon as practicable, and in any event no later than the end of the next business day notifie le prestataire de services de paiement sans retard injustifié, après avoir pris connaissance d’une telle opération donnant lieu à une réclamation, et au plus tard 12 mois après la date de débit. Article 10 : Responsabilité pour non￾exécution, exécution défectueuse ou tardive des opérations de paiement dans le cas des services d’initiation de paiement (1) Lorsqu'un ordre de paiement est engagé par le payeur par le biais d'un prestataire du service d’initiation de paiement, le prestataire de services d’émission de comptes de paiement doit, sans préjudice des articles 5 et 6 du présent règlement, remettre au payeur le montant de l’opération de paiement non exécutée ou défectueuse et, le cas échéant, restaurer le compte de paiement débité à l'état dans lequel il aurait été si l’opération de paiement défectueuse n'avait pas eu lieu. (2) Le prestataire de services de paiement doit procéder au remboursement visé au paragraphe (1) du présent article dès que possible et, en tout état de cause, au plus tard à la fin du jour ouvrable

Official Gazette n° Special of 27/12/2023 26 ukurikira umunsi yamenyeyeho ko habayeho igikorwa kitemewe urangira. (3) Igihe kivugwa mu gika cya (2) cy’iyi ngingo ntigikurikizwa iyo utanga serivisi zo kwishyurana afite impamvu zumvikana zituma habaho gukeka ko ukoresha serivisi zo kwishyurana yaba yarakoze ibikorwa by’uburiganya. (4) Utanga serivisi z’itangizabwishyu agomba kugaragaza ko ibwiriza ryo kwishyura ryakiriwe n’utanga serivisi zo gutanga konti zo kwishyuriraho ku ruhande rw’uwishyura nk’uko biteganywa mu ngingo ya 5 y’aya mabwiriza rusange, kandi ko mu bubasha bwe, igikorwa cyo kwishyura cyemejwe, cyabitswe uko bikwiye kandi kitagizweho ingaruka n’ikibazo cya tekiniki cyangwa ikindi kibazo gifitanye isano n’igikorwa cyo kwishyura kitakozwe, icyakozwe nabi cyangwa icyakererewe. (5) Mu gihe utanga serivisi z’itangizabwishyu ari we watumye igikorwa cyo kwishyura kidakorwa, gikorwa nabi cyangwa gikererwa, agomba guhita yishyura utanga following the day on which it becomes aware of the unauthorized transaction. (3) The timeline stipulated under Paragraph (2) of this Article does not apply where the payment service provider has reasonable grounds to suspect fraudulent activities by the payment service user. (4) The payment initiation services provider has to prove that the payment order was received by the payer’s payment accounts issuance services provider in accordance with Article 5 of this regulation and that within its sphere of competence the payment transaction was authenticated, accurately recorded and not affected by a technical breakdown or other deficiency linked to the non-execution, defective or late execution of the transaction. (5) If the payment initiation services provider is liable for the non-execution, defective or late execution of the payment transaction, it immediately compensates the payment accounts suivant le jour où il a eu connaissance de la transaction non autorisée. (3) Les délais prévus au paragraphe (2) du présent article ne s'appliquent pas lorsque le prestataire de services de paiement a des motifs raisonnables de soupçonner des activités frauduleuses de la part de l'utilisateur de services de paiement. (4) Le prestataire de services d’initiation de paiement doit prouver que l'ordre de paiement a été reçu par le prestataire de services d’émission de comptes de paiement du payeur conformément à l'article 5 du présent règlement et que, dans sa compétence, l'opération de paiement a été authentifiée, enregistrée de façon correcte et n’a pas été affectée par une panne technique ou par une autre lacune liée à la non-exécution, à l'exécution défectueuse ou tardive de l’opération de paiement. (5) Si le prestataire de services d’initiation de paiement est responsable de la non￾exécution, de l'exécution défectueuse ou tardive de l'opération de paiement, il doit immédiatement indemniser le

Official Gazette n° Special of 27/12/2023 27 serivisi zo gutanga konti zo kwishyuriraho, indishyi z’ibihombo yagize cyangwa iz’amafaranga yatanze yongera gusubiza uwishyuye amafaranga ye mu gihe abisabye. (6) Uwishyura yishyuzwa amafaranga y’igihombo cyose cyatewe n’igikorwa cyo kwishyura kitatangiwe uruhushya iyo – (a) yabikoze mu buriganya; (b) cyangwa abigambiriye cyangwa bitewe n’uburangare bukabije atubahirije ibiteganywa n’amategeko yerekeranye n’amakuru bwite y’umutekano. Ingingo ya 11: Uburyo bwo kwikorera igenzura hagamijwe kubahiriza amategeko yerekeranye no kurwanya iyezandonke no gutera inkunga iterabwoba (1) Mu rwego rwo kubahiriza inshingano zijyanye no kurwanya iyezandonke no gutera inkunga iterabwoba, utanga serivisi z’itangizabwishyu ashyiraho uburyo bwo kwigenzura. issuance services provider at its request for the losses incurred or sums paid as a result of the refund to the payer. (6) The payer is liable for all losses incurred in respect of an unauthorized payment transaction where the payer – (a) has acted fraudulently; or (b) has with intent or gross negligence failed to comply with laws in relation to personalized security credentials. Article 11: Internal control mechanisms to comply with obligations in relation to anti￾money laundering and terrorist financing requirement (1) In order to comply with anti-money laundering and countering the financing of terrorism (AML/CFT) obligations, a payment initiation services provider puts in place internal control mechanisms. prestataire de services d’émission de comptes de paiement à sa demande pour les pertes subies ou les sommes payées en raison du remboursement du payeur. (6) Le payeur est responsable de toutes les pertes subies eu égard à une opération de paiement non autorisée lorsque le payeur a – (a) agit frauduleusement ; ou (b) intentionnellement ou par négligence grave, omis de se conformer à la législation relative aux informations personnalisées de sécurité. Article 11 : Mécanismes de contrôle interne pour se conformer aux obligations en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme (1) Afin de se conformer aux obligations en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, un prestataire de services d’initiation de paiement doit mettre en place des mécanismes de contrôle interne.

Official Gazette n° Special of 27/12/2023 28 (2) Kugira ngo ibikubiye mu gika cya mbere (1) cy’iyi ngingo bibashe gushyirwa mu bikorwa, hagomba gushyirwaho: (a) uburyo bwo gusuzuma ingorane zishobora guterwa n’abakiriya b’utanga serivisi z’itangizabwishyu, ibicuruzwa na serivisi zitangwa, inzira zikoreshwa mu gushyikiriza serivisi abazikeneye n’ahantu bikorerwa; (b) politiki n’imikorere bifasha kugendera ku mabwiriza yo gukoresha ubushishozi ku byerekeye umukiriya na politiki n’imikorere bituma ibikorwa bikemangwa bitahurwa kandi bikamenyeshwa inzego zibikurikirana; (c) imikorere n’igenzura bihamya ko politiki n’imikorere bye birwanya iyezandonke no gushyigikira iterabwoba bijyanye n’igihe kandi bikoreshwa mu buryo bunoze; (2) For purposes of provisions of Paragraph (1) of this Article, the following measures must be put in place: (a) the assessment framework of risks associated with the payment initiation services provider’s customer base, the products and services provided, the distribution channels used and the geographic areas of operation; (b) policies and procedures to comply with customer due diligence requirements and the policies and procedures to detect and report suspicious transactions or activities; (c) the systems and controls to ensure its anti-money laundering and counter terrorist financing policies and procedures remain up to date, effective and relevant; (2) Aux fins des dispositions de l’alinéa premier (1) du présent article, les mesures suivantes doivent être mises en place : (a) le cadre d’évaluation des risques associés à la clientèle du prestataire de services d’initiation de paiement, les produits et les services fournis, les canaux de distribution utilisés et les zones géographiques d'exploitation ; (b) les politiques et les procédures pour se conformer aux exigences du devoir de diligence raisonnable relatif à la clientèle ainsi que des politiques et procédures pour détecter et signaler les opérations ou les activités suspectes ; (c) les systèmes et les contrôles pour s'assurer que ses politiques et procédures de lutte contre le blanchiment de capitaux et le financement du terrorisme restent actualisées, efficaces et pertinentes ;

Official Gazette n° Special of 27/12/2023 29 (d) imikorere n’igenzura bihamya ko intumwa zisanzwe n’abagira uruhare mu gushyikiriza serivisi abazikeneye badatuma serivisi z’itangizabwishyu zirushaho kujya mu kaga ko kuba zakora ibikorwa by’iyezandonke no gutera inkunga ibikorwa by’iterabwoba. (3) Utanga serivisi z’itangizabwishyu yubahiriza ibindi bisabwa mu rwego rwo kurwanya iyezandonke no gutera inkunga iterabwoba nk’uko biteganywa mu Itegeko rikumira kandi rihana iyezandonke, gutera inkunga iterabwoba no gutera inkunga ikwirakwiza ry’intwaro za kirimbuzi no mu mabwiriza agenga abatanga serivisi zo kwishyurana n’andi mategeko yerekeye kurwanya iyezandonke no gutera inkunga iterabwoba. Icyiciro cya 2: Isuzuma rikomeye ry’imyirondoro y’umukiriya (d) the systems and controls to ensure that the agents and distributors do not expose the payment initiation services to increased money laundering and terrorist financing risk. (3) A payment initiation services provider complies with other anti-money laundering and countering the financing of terrorism (AML/CFT) requirements provided for in the Law on prevention and punishment of money laundering, financing of terrorism and financing of proliferation of weapons of mass destruction, the regulation governing payment services providers and other legislation related to anti-money laundering and countering the financing of terrorism. Section 2: Strong customer authentication (d) les systèmes et les contrôles pour s'assurer que les agents et les distributeurs n'exposent pas le service d'initiation de paiement à un risque accru de blanchiment de capitaux et de financement du terrorisme. (3) Un prestataire de services d’initiation de paiement se conforme aux autres exigences de la lutte contre le blanchiment de capitaux et le financement du terrorisme prévu par la loi portant prévention et répression du blanchiment de capitaux, du financement du terrorisme et du financement de la prolifération des armes de destruction massive, le règlement régissant les prestataires de services de paiement et d'autres législations relatives à la lutte contre le blanchiment de capitaux et le financement du terrorisme. Section 2: Authentification forte du client

Official Gazette n° Special of 27/12/2023 30 Ingingo ya 12: Ikorwa ry’isuzuma rikomeye ry’umukiriya rikozwe n’utanga serivisi z’itangizabwishyu Utanga serivisi z’itangizabwishyu agomba gushyiraho uburyo bwo gukorera abakiriya isuzuma rikomeye nk’uko risobanurwa muri aya mabwiriza rusange. Ingingo ya 13: Ikorwa ry’isuzuma rikomeye ry’umukiriya rikozwe n’utanga serivisi zo gutanga konti zo kwishyuriraho (1) Utanga serivisi zo gutanga konti zo kwishyuriraho agomba gukora isuzuma rikomeye ry’umukiriya iyo ukoresha serivisi zo kwishyurana– (a) agera kuri konti ye yo kwishyurana akoresheje ikoranabuhanga byaba mu buryo butaziguye cyangwa anyuze ku utanga serivisi zo kwishyurana utanga amakuru ku byerekeranye na konti zo kwishyurana; (b) atangije igikorwa cyo kwishyurana akoresheje ikoranabuhanga; Article 12: Application of strong customer authentication procedures by payment initiation services provider The payment initiation services provider must have a strong customer authentication procedure as defined in this regulation. Article 13: Application of strong customer authentication by payment account issuance payment services provider (1) A payment account issuance payment services provider must apply strong customer authentication where a payment service user – (a) accesses its payment account online, whether directly or through an account information services provider; (b) initiates an electronic payment transaction; or Article 12 : Application de procédures d'authentification forte du client par prestataire de services d'initiation de paiement Le prestataire de services d'initiation de paiement doit disposer d'une procédure d'authentification forte des clients telle que définie dans le présent règlement. Article 13 : Application d’authentification forte du client par un prestataire de services d’émission de compte de paiement (1) Un prestataire de services d’émission de comptes de paiement doit appliquer une authentification forte du client lorsqu'un utilisateur de services de paiement – (a) accède à son compte de paiement en ligne, soit directement, soit par l'intermédiaire d'un prestataire de services d'information sur les comptes de paiement ; (b) initie une transaction de paiement électronique ; ou

Official Gazette n° Special of 27/12/2023 31 (c) cyangwa akoze igikorwa icyo ari cyo cyose akoresheje umuyoboro w’iyakure ushobora kubonekamo ingorane zijyanye n’uburiganya mu kwishyura cyangwa indi mikoreshereze mibi. (2) Utanga serivisi zo gutanga konti zo kwishyuriraho agomba guha utanga serivisi z’itangizabwishyu cyangwa utanga serivisi z’imenyekanishamakuru ku byerekeranye na konti zo kwishyurana uburenganzira bwo kwemera imyirondoro ukoresha serivisi zo kwishyurana yahawe n’ utanga serivisi zo gutanga konti zo kwishyuriraho nk’uko biteganywa mu gika cya mbere (a), (b), na (c) cy’iyi ngingo. Ingingo ya 14: Gukurikirana ibikorwa byo kwishyurana (1) Utanga serivisi z’itangizabwishyu agomba gushyiraho ingamba zo gukurikirana ibikorwa byo kwishyurana hagamijwe kuburizamo, gutahura no guhagarika ibikorwa byo kwishyurana bikozwe mu buriganya. (c) carries out any action through a remote channel which may imply a risk of payment fraud or other abuses. (2) A payment account issuance services provider must allow a payment initiation services provider or payment account information services provider to rely on the authentication procedures provided by the payment accounts issuance services provider to a payment services user in accordance with paragraph (1) (a), (b) and (c) of this article. Article 14: Monitoring of payment transactions (1) The payment initiation services provider must have in place payment transactions monitoring mechanisms designed to prevent, detect and block fraudulent payment transactions. (c) effectue toute action via un canal à distance qui peut impliquer un risque de fraude de paiement ou d'autres abus. (2) Un prestataire de services d’émission des comptes de paiement doit permettre à un prestataire de services d'initiation de paiement ou à un prestataire de services d'information sur les comptes de paiement de s'appuyer sur les procédures d'authentification fournies par le prestataire de services d’émission des comptes de paiement à un utilisateur de services de paiement conformément au paragraphe (1) (a), (b) et (c) du présent article. Article 14 : Suivi des opérations de paiement (1) Le prestataire de services d'initiation de paiement doit disposer de mécanismes de suivi des transactions de paiement conçues pour prévenir, détecter et bloquer les transactions de paiement frauduleuses.

Official Gazette n° Special of 27/12/2023 32 (2) Ingamba zo kugenzura ibikorwa byo kwishyurana zikoreshwa mbere y’uko hatangwa uruhushya rwa burundu rwo kwishyurana. Ibikorwa byo kwishyurana bikemangwa cyangwa bigaragara nk’ibyateza ingorane zikomeye bigomba gufatirwa ingamba zihariye zo kubitahura no kubisuzuma. (3) Ingamba zo kugenzura ibikorwa byo kwishyurana zigomba kwita byibura kuri izi ngingo zikurikira: (a) imikoreshereze y’amafaranga yabanje y’ukoresha serivisi zo kwishyurana ku giti cye; (b) uko ibikorwa byo kwishyurana byagiye bikorwa kuri buri wese ukoresha serivisi zo kwishyurana z’utanga serivisi zo kwishyurana; (c) imyitwarire idasanzwe y’ukoresha serivisi zo kwishyurana mu rwego rwo kwishyurana ugereranyije n’ibikorwa byo kwishyurana byabayeho mu gihe cyahise. (2) The payment transactions monitoring mechanisms are operated before the final authorization to execute the payment. Suspicious or high risk payment transactions must be subject to a specific screening and evaluation procedure. (3) The payment transactions monitoring mechanisms take into account, at a least the following factors: (a) the previous spending patterns of the individual payment services user; (b) the payment transactions history of each of the payment services provider’s payment services user; (c) the abnormal behaviour of payment patterns of the payment services user in relation to the payment transaction history. (2) Les mécanismes de suivi des opérations de paiement sont mis en action avant l'autorisation définitive d’exécuter le paiement. Les opérations de paiement suspectes ou à haut risque doivent faire l'objet d'une procédure de contrôle et d'évaluation spécifique. (3) Les mécanismes de suivi des opérations de paiement tiennent compte, au minimum, des facteurs suivants : (a) les habitudes de dépenses antérieures de l'utilisateur de services de paiement individuel ; (b) l'historique des opérations de paiement de chacun des utilisateurs de services de paiement du prestataire de services de paiement; (c) les comportements de paiement anormaux de l'utilisateur de services de paiement par rapport à l'historique des transactions de paiement.

Official Gazette n° Special of 27/12/2023 33 Ingingo ya 15: Kubuzwa kubika amafaranga y’ukoresha serivisi zo kwishyurana (1) Iyo atanga serivisi z’itangizabwishyu gusa, utanga serivisi z’itangizabwishyu ntiyemerewe kubika amafaranga y’ukoresha serivisi zo kwishyurana igihe icyo ari cyo cyose mu ruhererekane rw’ibikorwa byo kwishyurana. (2) Iyo utanga serivisi z’itangizabwishyu ashatse gutanga serivisi zo kwishyurana zisaba kubika amafaranga y’ukoresha serivisi zo kwishyurana agomba kubihererwa uburenganzira busesuye na Banki Nkuru. Ingingo ya 16: Koroherezwa n’abashinzwe imikoreshereze y’uburyo bwo kwishyurana Uwemerewe gukoresha uburyo bwo kwishyurana wese agateganya mu masezerano bireba ingingo zubahiriza ibiteganywa n’aya mabwiriza rusange kandi zorohereza ubuhuza mu ihererekanya ry’amafaranga rikorwa n’utanga serivisi z’itangizabwishyu. Article 15: Prohibition to hold the payment services user’s funds (1) When the payment initiation services provider exclusively provides payment initiation services, it does not at any stage of the payment chain hold payment services user’s funds. (2) When a payment initiation services provider intends to provide payment services in relation to which it holds payment services user’s funds, it must obtain a full authorization for those services from the Central Bank. Article 16: Facilitation by payment system operators Any person authorized to operate payment systems provides in relevant contract the rules that comply with the provisions of this regulation and facilitate the intermediation of transfers by a payment initiation services provider. Article 15 : Interdiction de détenir des fonds d’un utilisateur des services de paiement (1) Lorsque le prestataire de services d'initiation de paiement fournit exclusivement des services d'initiation de paiement, il ne détient à aucun stade de la chaîne de paiement les fonds de l'utilisateur des services de paiement. (2) Lorsqu'un prestataire de services d'initiation de paiement a l'intention de fournir des services de paiement pour lesquels il détient des fonds d'utilisateur des services de paiement, il doit obtenir une autorisation complète de la Banque Centrale pour ces services. Article 16 : Facilitation par opérateurs des systèmes de paiement Toute personne autorisée à exploiter des systèmes de paiement prévoit dans les contrats concernés les règles qui respectent les dispositions du présent règlement et facilitent l'intermédiation des transferts par le prestataire de services d’initiation de paiement.

Official Gazette n° Special of 27/12/2023 34 Icyiciro cya 3: Serivisi z’ikusanyabwishyu Ingingo ya 17: Politiki yo kwakira abacuruzi (1) Ukusanya ubwishyu agomba kugira politiki yerekeranye no kwakira abacuruzi yemejwe n’inama y’ubutegetsi. (2) Ukusanya ubwishyu mu kwakira abacuruzi agomba kubanza kugenzura amateka yabo akamenya niba bakora ibikorwa byemewe n’amategeko cyangwa badatanga ibicuruzwa cyangwa serivisi zitari iz’ukuri. (3) Ukusanya ubwishyu agomba kumenya ko – (a) nta mucuruzi wakiriwe ufite izina ritazwi cyangwa bigaragara ko nyiraryo atabaho; (b) nta mucuruzi wakiriwe iyo ukusanya ubwishyu adashobora gukoresha ingamba z’ubushishozi mu byerekeye umukiriya mu buryo bukwiye. Section 3: Payment aggregation services Article 17: Merchants onboarding policy (1) A payment aggregator must have a policy for merchants onboarding approved by the board of directors. (2) The payment aggregator must prior to onboarding merchants carry out background checks of the merchants, to ensure that such merchants do operate legally acceptable business, do not offer counterfeit products or services. (3) The payment aggregator ensures that – (a) no merchant is onboarded with an anonymous or fictitious name; (b) no merchant is onboarded where the payment aggregator is unable to apply appropriate customer due diligence measures. Section 3 : Services d’agrégation de paiement Article 17: Politique d'accueil des commerçants (1) L‘agrégateur de paiement doit avoir une politique d'accueil des commerçants approuvée par le conseil d'administration. (2) L’agrégateur de paiement doit, avant l’accueil des commerçants, effectuer des vérifications des antécédents des commerçants, afin de s'assurer que ces commerçants mènent des activités légalement acceptables et n'offrent pas de produits ou de services contrefaits. (3) L’agrégateur de paiement s’assure que – (a) aucun commerçant n'est accueilli avec un nom anonyme ou fictif. (b) aucun commerçant n'est accueilli lorsque l'agrégateur de paiement n'est pas en mesure d'appliquer les mesures appropriées de vigilance à l'égard de la clientèle.

Official Gazette n° Special of 27/12/2023 35 (c) uburyo bwo kwishyuriraho bw’umucuruzi bugaragaza neza ibisabwa mu gutanga serivisi n’ingengabihe y’itunganywa rya raporo no gusubiza amafaranga. (d) umucuruzi akorerwa ubugenzuzi ku byerekeranye n’umutekano kugira ngo barebe niba yubahiriza ibisabwa mu rwego rw’umutekano igihe cyose bibaye ngombwa. (4) Amasezerano yo gukusanya ubwishyu akorwa hamwe n’umucuruzi agomba guteganya ingingo zivuga ku mutekano w’ibanga ry’amakuru y’umukiriya. (5) Kutubahiriza ibiteganyijwe mu gika cya (4) cy’iyi ngingo bihanwa hakurikijwe ibiteganywa n’amabwiriza rusange agenga ibihano bihabwa abakoresha uburyo bwo kwishyurana n’abatanga serivisi zo kwishyurana. Ingingo ya 18: Iyubahirizwa rya politiki yo kwakira abacuruzi Mu rwego rwo kubahiriza politiki yo kwakira abacuruzi ivugwa mu ngingo ya 17 y’aya (c) merchant’s portals clearly indicate the terms and conditions of the service and time-line for processing reports and refunds. (d) a security audit of the merchant is carried out to check compliance with security requirements, as and when required. (4) A payment collection agreement with merchant must have provisions for security privacy of customer data. (5) Failure to comply with the provisions of Paragraph (4) of this article is sanctioned as provided by the regulation on sanctions to payment system operators and payment services providers. Article 18: Compliance with the merchant onboarding policy To comply with merchants onboarding policy stipulated under Article 17 of this regulation, (c) les portails des commerçants indiquent clairement les termes et les conditions de service et le délai de traitement des rapports et des remboursements. (d) un audit de sécurité du commerçant est mené pour vérifier le respect des exigences de sécurité, chaque fois que de besoin. (4) L'accord de collecte de paiement avec le commerçant doit prévoir des dispositions relatives à la confidentialité des données du client. (5) Le non-respect des dispositions du paragraphe (4) du présent article est sanctionné tel que prévu par le règlement sur les sanctions appliquées aux opérateurs de systèmes de paiement et aux prestataires de services de paiement. Article 18: Respect de la politique d’accueil des commerçants Pour se conformer à la politique d’accueil des commerçants stipulée à l'article 17 du présent

Official Gazette n° Special of 27/12/2023 36 mabwiriza rusange, ukusanya ubwishyu agomba – (a) gutanga inshingano hagamijwe kunoza ishyirwa mu bikorwa rya politiki n’imikorere; (b) gukorera isuzuma ryigenga abashinzwe iyubahirizwa ry’ibisabwa mu rwego rwa politiki n’imikorere harimo n’ibisabwa mu rwego rw’amategeko n’urw’ubugenzuzi; (c) gushyiraho uburyo bwo kwigenzura bw’ako kanya hagamijwe kumenya niba politiki n’imikorere byo kumenya umukiriya byubahirizwa; (d) kureba niba ibikorwa birebana n’ifatwa ry’ibyemezo bijyanye n’iyubahirizwa ry’ibisabwa mu rwego rwo kumenya umukiriya bidakorwa n’abantu baturuka hanze. Ingingo ya 19: Ishyirwaho rya konti z’ikusanyabwishyu Ukusanya ubwishyu afungura konti z’ikusanyabwishyu muri banki, ikigo cy’imari iciriritse cyakira amafaranga abitswa cyangwa ku kigo gitanga amafaranga the payment aggregator must – (a) allocate responsibilities for effective implementation of policies and procedures; (b) carry out an independent evaluation of the compliance functions of policies and procedures, including legal and regulatory requirements; (c) establish concurrent internal audit system to verify the compliance with Know Your Customer policies and procedures; (d) ensure that decision-making functions of determining compliance with Know Your Customer norms are not outsourced. Article 19: Establishment of nodal accounts The payment aggregator opens nodal accounts with a bank, a deposit taking microfinance institution or e-money issuer for facilitating règlement, l‘agrégateur de paiement doit – (a) répartir les responsabilités en vue d’une mise en œuvre efficace des politiques et des procédures ; (b) procéder à une évaluation indépendante des fonctions de conformité des politiques et procédures, y compris les exigences légales et réglementaires ; (c) établir le système d'audit interne simultané pour vérifier la conformité avec les politiques et les procédures de Connaissance de son Client ; (d) s'assurer que les fonctions de prise de décision pour déterminer la conformité aux normes de Connaissance de son Client ne sont pas externalisées. Article 19: Etablissement des comptes nodaux L‘agrégateur de paiement doit ouvrir des comptes nodaux auprès d’une banque, d’une institution de microfinance de dépôts ou d'un émetteur de monnaie électronique pour

Official Gazette n° Special of 27/12/2023 37 ari mu buryo bw’ikoranabuhanga hagamijwe koroshya ikusanyabwishyu ku bakiriya b’abacuruzi. Ingingo ya 20: Ibikorwa byo kubitsa no kubikuza ku makonti y’ikusanyabwishyu (1) Ibikorwa byemewe byo kubitsa no kubikuza ku makonti y’ikusanyabwishyu ni ibi bikurikira: (a) ibikorwa byo kubitsa: (i) ubwishyu butanzwe n’abantu batandukanye mu gihe cyo kugura ibicuruzwa cyangwa serivisi; (ii) amafaranga yishyurwa mbere n’umucuruzi cyangwa n’ukusanya ubwishyu; (iii) amafaranga yoherejwe kuri konti y’ikusanyabwishyu avuye mu yandi mabanki nk’uko byagenwe mu masezerano; collection of payments from customers of merchants. Article 20: Credits and debits on nodal accounts (1) Permitted credits and debits on nodal accounts are the following: (a) credits: (i) payments from various persons towards purchase of goods or services; (ii) pre-funding by the merchant or payment aggregator; (iii) transfers from other banks as per pre-determined agreement into the nodal account; faciliter la collecte des paiements auprès des clients des commerçants. Article 20: Crédits et les débits sur les comptes nodaux (1) Les crédits et les débits autorisés sur les comptes nodaux sont les suivants : (a) les crédits : (i) les paiements de diverses personnes lors de l'achat des biens ou des services ; (ii) préfinancement par le commerçant ou l'agrégateur de paiement ; (iii) virements en provenance d'autres banques vers le compte nodal selon un accord prédéterminé ;

Official Gazette n° Special of 27/12/2023 38 (iv) ihererekanya ry’amafaranga asubijwe biturutse ku bikorwa byo kwishyurana byakozwe nabi cyangwa byajemo amakimbirane. (b) ibikorwa byo kubikuza: (i) kohereza amafaranga ku yindi konti yo kwishyurana; (ii) kwishyura abacuruzi n’abatanga serivisi batandukanye; (iii) kohereza amafaranga kuri konti nk’uko byagenwe mu masezerano ayishyiraho, mu gihe iyo konti ari iy’ukusanya ubwishyu; (iv) ihererekanya ry’amafaranga asubijwe biturutse ku bikorwa byo kwishyurana byakozwe nabi cyangwa byajemo amakimbirane; (iv)transfers representing refunds for failed or disputed payment transactions. (b) debits: (i) transfers to other payment account; (ii) payments to various merchants or services providers; (iii) transfers to the account as per predetermined agreement, if that account is the nodal account for the payment aggregator; (iv)transfers representing refunds for failed or disputed payment transactions; (iv) les transferts à titre des remboursements pour les opérations de paiement échouées ou contestées. (b) les débits : (i) transferts vers un autre compte de paiement ; (ii) paiements à divers commerçants ou prestataires de services ; (iii) les transferts vers un compte conformément à l'accord prédéterminé, si ce compte est le compte nodal de l'agrégateur de paiement ; (iv) transferts à titre des remboursements pour les opérations de paiement échouées ou contestées ;

Official Gazette n° Special of 27/12/2023 39 (v) komisiyo zihabwa ukusanya ubwishyu. (2) Usibye za komisiyo zitangwa ku kigero cyangwa inshuro byemeranyijweho, nta yandi mafaranga yishyurwa ukusanya ubwishyu. Izo komisiyo zishyurwa gusa kuri konti y’utanga serivisi zo gutanga konti zo kwishyuriraho yahawe n’ukusanya ubwishyu. (3) Iyo bibaye ngombwa kwimura konti y’ikusanyabwishyu muri banki imwe ijya mu yindi, ukusanya ubwishyu akora ku buryo iryo yimurwa rikorwa mu gihe runaka rikarangira bitabangamiye ibikorwa by’imishyuranire by’umucuruzi. (4) Ukusanya ubwishyu agomba gukora ku buryo umubare w’amafaranga ari kuri konti y’ikusanyabwishyu utaba munsi y’uw’amafaranga yakusanyijwe mu bakiriya cyangwa ayo agomba kwishyura umucuruzi. (5) Ukusanya ubwishyu afite uburenganzira bwo kubika mbere amafaranga kuri konti y’ikusanyabwishyu akoresheje (v) commissions to the payment aggregator. (2) No payment other than the commissions at pre-determined rates or frequency are payable to the payment aggregator. Such commissions are only affected to a payment account of a payment accounts issuance services provider indicated to it by the payment aggregator. (3) In case there is a need to shift the nodal account from one bank to another, payment aggregator ensures that the same is affected in a time-bound manner without impacting the payment cycle to merchant. (4) The payment aggregator ensures that the amount in nodal account is not less than the amount already collected from customers or the amount due to the merchant. (5) The payment aggregator is permitted to pre-fund the nodal account with own or merchant’s funds. (v) commissions à l'agrégateur de paiement. (2) Aucun paiement autre que les commissions à des taux ou à une fréquence prédéterminée n'est payable à l'agrégateur de paiement. Ce paiement n’est effectué que vers un compte du prestataire de services d’émission de comptes de paiement lui indiqué par l'agrégateur de paiement. (3) Dans le cas où il s’avère nécessaire de transférer le compte nodal d'une banque à une autre, l’agrégateurs de paiement s'assure que ce transfert est effectué dans un délai limité sans affecter le cycle de paiement au commerçant. (4) L’agrégateur de paiement s’assure que le montant du compte nodal n'est pas inférieur au montant déjà collecté auprès des clients ou au montant dû au commerçant. (5) L’agrégateur de paiement est autorisé à préfinancer le compte nodal avec ses propres fonds ou avec ceux du commerçant.

Official Gazette n° Special of 27/12/2023 40 amafaranga ye cyangwa ay’abacuruzi. Ingingo ya 21: Isozabwishyu (1) Amafaranga yishyurwa abacuruzi agomba kugera ku bo yagenewe mu gihe cyumvikanyweho n’abacuruzi. (2) Amabanki cyangwa ibigo by’imari iciriritse byakira amafaranga abitswa bigomba gushyiraho uburyo buhoraho bwo kwishyura abacuruzi mu gihe kitarenze T+1. (3) Ukusanya ubwishyu agomba gukora ku buryo igikorwa cyo kwishyura abacuruzi kitivanga n’ibindi bikorwa. Ingingo ya 22: Umutekano, kuburizamo ibikorwa by’uburiganya no gucunga ingorane zavuka (1) Ukusanya ubwishyu agomba gushyiraho uburyo bukomeye bwo gucunga ingorane zavuka hagamijwe kuburizamo ibibazo bijyanye n’uburiganya byavuka no kurengera umukiriya. Article 21: Settlement of funds (1) The final settlements of funds to the merchants are transferred to the ultimate beneficiaries within the time limit agreed upon with merchants. (2) Banks or a deposit taking microfinance institutions implement a settlement cycle for all final settlements to merchants within a maximum of T+1. (3) The payment aggregator ensures that settlement of funds with merchants are not mixed with other business. Article 22: Security, fraud prevention and risk management (1) The payment aggregator ensures that there is a strong risk management system to counter the challenges of fraud and ensure customer protection. Article 21: Règlement des fonds (1) Les règlements définitifs des fonds aux commerçants doivent être transférés aux derniers bénéficiaires dans les délais convenus avec les commerçants. (2) Les banques ou les institutions de microfinance de dépôts doivent mettre en place un cycle de règlement pour tous les règlements définitifs aux commerçants dans un délai maximum de T + 1. (3) L’agrégateur de paiement s’assure que le règlement des fonds avec les commerçants ne se mêle pas avec d'autres activités. Article 22: Sécurité, prévention de la fraude et gestion des risques (1) L’agrégateur de paiement s'assure qu'il existe un système de gestion des risques solide pour contrer les défis de fraude et assurer la protection des clients.

Official Gazette n° Special of 27/12/2023 41 (2) Ukusanya ubwishyu ashyiraho ibikorwaremezo n’uburyo bikwiye by’umutekano w’amakuru hagamijwe kuburizamo no gutahura ibikorwa by’uburiganya. (3) Ukusanya ubwishyu akora isuzuma ry’ingorane zishobora kuvuka hagamijwe kumenya ibibazo biriho cyangwa bishobora kuvuka by’uburyo akoresha n’ingaruka bishobora gutera mu rwego rwo kubika ibanga, ukuboneka cyangwa ukudahungabana kw’ibikorwa bye. Ingingo ya 23: Uguhuza imibare ya za konti Ukusanya ubwishyu agomba guhuza imibare ya za konti z’ikusanyabwishyu buri munsi kandi agashyikiriza raporo Banki Nkuru buri kwezi. Icyiciro cya 4: Abatanga serivisi z’ikusanyabwishyu rikoresha konti y’umucuruzi Ingingo ya 24: Ibikorwa byemewe (1) Utanga serivisi z’ikusanyabwishyu rikoresha konti y’umucuruzi aha abaguzi serivisi z’ibijyanye (2) The payment aggregator puts in place adequate information and data security infrastructure and systems for prevention and detection of frauds. (3) The payment aggregator carries out risk assessment to identify the threat or vulnerability of its systems and likelihood of impact on confidentiality, availability or integrity of its activities. Article 23: Account reconciliation The payment aggregator must subject the nodal accounts to daily reconciliation and report to Central Bank on a monthly basis. Section 4: Merchant acquiring services providers Article 24: Permitted activities (1) The merchant acquiring services provider offers services to merchants, (2) L’agrégateur de paiement met en place une infrastructure et des systèmes adéquats de sécurité des informations et des données pour la prévention et la détection des fraudes. (3) L’agrégateur de paiement effectue une évaluation des risques pour identifier la menace ou la vulnérabilité de ses systèmes et la probabilité d'un impact sur la confidentialité, la disponibilité ou l'intégrité de ses activités. Article 23: Conciliation de compte L’agrégateur de paiement doit soumettre les comptes nodaux à une conciliation quotidienne et rendre compte mensuellement à la Banque Centrale. Section 4: Prestataires de services d’acquisition de paiement de marchand Article 24 : Activités permises (1) Le prestataire de services d’acquisition de paiement de marchand offre des services aux marchands couvrant tous

Official Gazette n° Special of 27/12/2023 42 n’ibikoresho byifashishwa mu kwishyurana, harimo – (a) Kubisana no gutanga ubufasha buri tekiniki; (b) gushyira izo mashini ku murongo wa interineti; (c) guhugura abantu kuzikoresha; (d) kuzisana; (e) gushyiraho izindi serivisi z’inyongeragaciro. (2) Utanga serivisi z’ikusanyabwishyu rikoresha konti y’umucuruzi agomba kugenzura neza ko zikora neza igihe cyose. Hagomba gushyirwaho uburyo bunoze bwo kubona mu buryo bw’iyakure ibikeneye gukosorwa ku mikoreshereze yazo. (3) Utanga serivisi z’ikusanyabwishyu rikoresha konti y’umucuruzi ntagomba kubika amafaranga y’uwishyura mu rwego rwo gutanga serivisi z’itangizabwishyu. covering all aspects relating to payment infrastructures, including – (a) maintenance and technical support; (b) provision of connectivity; (c) training of users; (d) repairs; (e) development of value-added services. (2) The merchant acquiring services provider ensures that its deployed payment infrastructure functional at all times. Appropriate mechanism must be put in place to remotely detect failures. (3) A merchant acquiring services provider does not hold the payer’s funds in connection with the provision of the payment initiation services. les aspects liés aux infrastructures de paiement y compris – (a) maintenance et soutien technique; (b) la fourniture de connectivité ; (c) la formation des utilisateurs ; (d) les réparations ; (e) le développement de services à valeur ajoutée. (2) Le prestataire de services d’acquisition de paiement de marchand doit s'assurer que ses terminaux déployés sont fonctionnels en tout temps. Un mécanisme approprié doit être mis en place pour détecter à distance les défaillances. (3) Le prestataire de services d’acquisition de paiement de marchand ne doit détenir les fonds du payeur dans le cadre de la fourniture des services d’initiation de paiement.

Official Gazette n° Special of 27/12/2023 43 Ingingo ya 25: Igaragaza ry’amakuru ku bakoresha igikoresho kifashishwa mu kwishyurana Buri gikoresho kifashishwa mu kwishyurana kigomba kuba gifite ikoranabuhanga ryizewe kugira ngo ishobore kugaragaza neza mu buryo bworoshye – (a) amategeko n’amabwiriza agenga ikoreshwa ryayo; (b) uko hamenyekanishwa igihe cyose ibibazo igikoreho kigize; (c) uburyo bwiza bwo kurinda igikoresho cyo kwishyurana ibibazo byaturuka ku mikoreshereze mibi y’igikoresho . UMUTWE WA III: INGINGO ZISOZA Ingingo ya 26: Ingingo ivanaho Amabwiriza rusange n° 07/2018 yo ku wa 27/03/2018 agenga serivisi z’itangizabwishyu n’ikusanyabwishyu n’ingingo z’amabwiriza abanziriza aya kandi zinyuranyije n’aya mabwiriza rusange bivanyweho. Article 25: Display of information to users of payment infrastructure Each payment infrastructure disposes of the relevant technology to permit to clearly indicate in an easily understandable manner – (a) the terms and conditions of its usage; (b) how to notify at any time break downs of the infrastructure; (c) how to best protect its own payment instrument by misuse within the infrastructure. CHAPTER III: FINAL PROVISIONS Article 26: Repealing provision Regulation n° 07/2018 of 27/03/2018 on payment initiation and aggregation services and all prior regulatory provisions contrary this regulation are repealed. Article 25 : Affichage d’informations aux utilisateurs des infrastructures de paiement Tout l’infrastructure de paiement doit disposer de la technologie pertinente pour permettre d'indiquer clairement et d’une manière facilement compréhensible – (a) les termes et les conditions de son utilisation ; (b) comment notifier à tout moment les pannes de l’infrastructure ; (c) comment protéger au mieux son propre instrument de paiement contre une utilisation abusive dans l’infrastructure. CHAPTER III : DISPOSITIONS FINALES Article 26 : Disposition abrogatoire Le règlement n° 07/2018 du 27/03/2018 sur les services d'initiation et d'agrégation de paiements et toutes dispositions règlementaires antérieures contraires au présent règlement sont abrogés.

Official Gazette n° Special of 27/12/2023 44 Ingingo ya 27: Ingingo y’ururimi Aya mabwiriza rusange yateguwe mu rurimi rw’Icyongereza. Ingingo ya 28: Gutangira gukurikizwa Aya mabwiriza rusange atangira gukurikizwa ku munsi atangarijweho mu Igazeti ya Leta ya Repubulika y’u Rwanda. Article 27: Language provision This Regulation was drafted in English. Article 28: Entry into force This Regulation comes into force on the date of its publication in the Official Gazette of the Republic of Rwanda. Article 27: Disposition linguistique Le présent règlement a été rédigé en Anglais. Article 28 : Entrée en vigueur Le présent règlement entre en vigueur le jour de sa publication au Journal Officiel de la République du Rwanda.

Official Gazette n° Special of 27/12/2023 45 Kigali, 04/12/2023 (sé) RWANGOMBWA John Guverineri Governor Gouverneur Bibonywe kandi bishyizweho Ikirango cya Repubulika: Seen and sealed with the Seal of the Republic: Vu et scellé du Sceau de la République : (sé) Dr UGIRASHEBUJA Emmanuel Minisitiri w’Ubutabera akaba n’Intumwa Nkuru ya Leta Minister of Justice and Attorney General Ministre de la Justice et Garde des Sceaux