پلیس فتا الزامات انتظامی و امنیتی صرافی‌های ارز دیجیتال را منتشر کرد

پلیس فتا به‌تازگی سندی را حاوی الزامات انتظامی و امنیتی فعالیت صرافی‌های داخلی ارز دیجیتال منتشر کرده است. این سند حاوی نکات بحث‌برانگیزی است که از بین آنها می‌توان به ممنوعیت کامل ارائه خدمات مرتبط با ارزهای دیجیتال به اتباع خارجی، الزام افزایش سقف حجم معاملات کاربران جدید به‌صورت پله‌ای و اعلام مشخصات کیف پول‌های مورد استفاده صرافی‌ها به پلیس فتا اشاره کرد.

به گزارش ارزدیجیتال و به نقل از راه پرداخت، پلیس فضای تولید و تبادل اطلاعات فراجا سندی با عنوان الزامات انتظامی-سایبری تخصصی کارگزاران مبادله رمزارز را در اختیار فعالان حوزه رمزارز گذاشته است. این الزامات از اولین خروجی‌های کارگروها ساماندهی تبادل رمزارزها است که براساس دستور مرکز ملی فضای مجازی در تاریخ ۲۷ اسفند ۱۳۹۹ تشکیل شده است. پلیس فتا الزامات این سند را به پنج بخش الزامات مدیریتی، حساب ریالی-رمزارزی، احراز هویت، بستر تبادل رمزارز و انتظامی تقسیم کرده است.

 این سند تاکنون مورد انتقاد و تعجب برخی فعالان این حوز قرار گرفته است. برای نمونه طبق یکی از این الزامات گفته شده که شرکتی که صرافی دارد باید تضامنی باشد. از سوی دیگر طبق همین الزامات، ارائه خدمات در حوزه رمزارز به اتباع خارجی ممنوع شده است. 

همچنین در این الزامات آمده که اگر پس از ارزیابی‌ها، بازبینی‌ها و تذکرات پلیس فتا، این نهاد به این نتیجه رسید که فعالیت صرافی‌ها سازگاری با روح این الزامات ندارند، از شاپرک خواهند خواست تا درگاه آنها را مسدود کنند. 

در بخش فراهم کردن امنیت برای پلتفرم‌های فعال در حوزه رمزارز نشانه‌هایی از انحصار هم دیده می‌شود، چرا که اعلام شده شرکت فعال در این بخش باید به صورت دوره‌ای و هر شش ماه یک بار نسبت به انجام تست امنیتی توسط یک شرکت ارزیاب «مورد تأیید پلیس فتا / مرکز افتا» اقدام کنند.

مورد عجیب دیگر این الزامات این است که شرکت‌ها ملزم هستند کلیه اطلاعات مرتبط با سوابق معاملات و تراکنش‌های کاربران را حداقل به مدت ۱۰ سال و به صورت امن نگهداری کنند. نگهداری اطلاعات کاربران به مدت ۱۰ سال برای شرکتی هم که منحل شده صادق است. 

 این الزامات که در ۱۳ صفحه تهیه شده، مخاطبانش طبق اعلام پلیس فتا شرکت‌هایی است که تحت عنوان کارگزار مبادله رمزارزی، اقدام به ارائه خدمات خرید، فروش و مبادله رمزارز می‌کنند. 

در مقدمه این الزامات تأکید شده که رعایت مفاد آن از سوی کارگزاران مبادله رمزارز به هیچ عنوان به منزله اعطای مجوز فعالیت رسمی و قانونی نیست. همچنین به این نکته اشاره شده که مخاطبان این سند ملزم به رعایت کلیه پیوست‌های امنیتی،‌ ابلاغیه‌ها و احکام صادر شده توسط نهادهای حاکمیتی و دولتی (انتظامی،‌ نظارتی، بانکی) کشور هستند. 

این الزامات با توجه به ۱۰ سند مرتبط در این حوزه تهیه شده است :

• فرامین مقام رهبری و سیاست‌های کلی نطام در حوزه کسب‌وکارها 
• قانون تجارت الکترونیکی مصوب ۱۲ اردیهبشت ۱۳۸۲ مجلس
• قانون مبارزه با پولشویی مصوب ۲ بهمن 1386 
• آئین‌نامه اجرایی ماه ۱۴ الحاقی قانون مبارزه با پولشویی
• فصل جرائم رایانه‌ای قانون مجازات اسلامی مصوب 1392 
• سند نظام ملی پیشگیری و مقابله با حوادث سایبری مصوب شورای عالی فضای مجازی در ۱۵ آبان 1396 
• مصوبات و ابلاغیه‌های مرکز ملی فضای مجازی 
• مصوبات کارگروه ساماندهی بازار مبادلات رمزارزها بانک مرکزی 
• قانون اجرای سیاست‌های اصل 44 
• سایر قوانین و مقررات موضوعی کشور 

آخرین ویرایش این الزامات که مربوط به اول مهر ماه سال جاری است، توسط پلیس فتا با هدف کاهش روند تخلف‌ها حوزه رمز ارز و نرخ رشد صعودی آن که متأثر از خلاء قوانین مشخص برای فعالیت در این زیست‌بوم است، تهیه شده است. در متن این الزامات تأکید شده که هدف دیگر تدوین آن اجرای ابلاغیه‌های مرکز ملی فضای مجازی در تاریخ ۲۷ اسفند ۱۳۹۹ و پنجم مرداد ۱۴۰۰ است. 

از ثبت شخصیت حقوقی تا قرار گرفتن شرکت در طبقه‌بندی کم ریسک

الزامات مدیریتی این سند خود شامل چهار باید و نباید است، باید‌ونباید‌هایی که می‌تواند کار را برای فعالان این حوزه سخت کند.

 در ابتدا در این الزامات مدیریتی تأکید شده کارگزار مبادلات رمزارز باید فعالیت خود را در قالب شخصیت حقوقی ثبت شده و صورت تضامنی انجام دهد. موردی که برخی مدیران صرافی رمزارز در رویداد نهم ژانویه به آن انتقاد‌هایی مطرح کردند. از سوی دیگر شرکت باید الزامات انتظامی-سایبری پایه کسب‌وکارهای مجازی را رعایت کند. 

همچنین در این الزامات مدیریتی تأکید شده که اعمال هرگونه تغییراتی در اعضای هیئت مدیره، مدیرعامل یا اساسنامه پس از تأیید رسمی باید به صورت مکتوب به پلیس فتا فراجا منعکس شود. 

اعتبارسنجی مالی یکی دیگر از الزاماتی است که در بخش مدیریتی این سند به آن اشاره شده است. طبق این الزام اعضای هیئت مدیره و مدیرعامل شرکت باید در گواهی اخذ شده از شرکت‌های اعتبارسنجی مورد تأیید بانک مرکزی در طبقه‌بندی «کم‌ریسک» باشند. 

همچنین هیچ یک از اعضای هیئت مدیره و مدیرعامل شرکت نباید بدهی معوق به نظام بانکی ایران یا دارای سابقه موثر چک برگشتی باشند. طبق این الزام مدیریتی، «الحاق اسناد مثبته در این رابطه به قرارداد کارگزاران مبادله رمزارز با شرکت‌های پرداخت‌یاری الزامی است.»

آمادگی برای بازدیدهای سرزده پلیس فتا

در نظر گرفتن الزامات برای مدیران فعال در حوزه رمزارز به الزامات مدیریتی ختم نمی‌شود و در بخش الزامات انتظامی سند نیز بایدها و نبایدهایی برای مدیران و شرکت‌های فعال در این حوزه در نظر گرفته شده است که در بعضی موارد بی‌شباهت به الزاماتی که در بخش مدیریتی به آن اشاره شده ندارد. 

برای نمونه در بخش الزامات انتظامی مانند مدیریتی باز تأکید شده که هیچ یک از اعضای هیئت مدیره و مدیرعامل شرکت نباید دارای سوءپیشینه کیفری یا حقوقی مرتبط با جرایم مالی و امنیتی باشند. 

از سوی دیگر تاکید شده که استعلام مراجع ذیصلاح انتظامی و امنیتی کشور در خصوص اعضای هیئت مدیره و مدیرعامل برای احراز صلاحیت باید مثبت باشد و این استعلام‌ها باید قبل از عضویت افراد در شرکت دریافت شود.

در بخشی از این الزامات انتظامی تأکید شده که شرکت باید آمادگی و شرایط لازم برای بازدید‌های سرزده و همچنین ممیزی‌های دوره‌ای کارشناسان پلیس فتا را نیز فراهم کند. این بخش شامل یک تبصره است که طبق آن تأکید شده: «کلیه مراحل عملیات بازدید از کارگزاران مبادله رمزارز مستقر در سراسر کشور (شامل صدور معرفی نامه‌ها، مکاتبات رسمی، هماهنگی، هدایت، نظارت و ارزیابی) با محوریت و توسط پلیس فتا فراجا انجام خواهد گرفت.» 

همچنین کارگزار مبادله رمزارز موظف است، یک خط ارتباطی مستقل (۷*۲۴) برای پاسخگویی به ضابطان قضایی ایجاد کند.

از دیگر الزامات عجیب در این بخش جلوگیری از ارائه خدمات به اتباع خارجی است. طبق این بند از الزامات انتظامی: «شرکت نباید به کاربران کمتر از ۱۸ سال و کلیه اتباع خارجی خدمات ارائه کند. همچنین رعایت ماده ۲۱۱ قانون مدنی از سوی شرکت لازم‌الاجرا است. (کاربران باید اهلیت استیفا داشته باشند.)

اعلام کیف پول‌های مورد استفاده با حفظ محرمانگی به پلیس فتا، شناسایی معاملات مشکوک، اعلام حساب‌های بانکی به پلیس فتا و… از دیگر بخش‌های الزامات انتظامی در این سند است.

الزامات سخت‌گیرانه ریالی-رمزارزی

الزامات حساب ریالی-رمزارزی این سند به ۱۵ زیر شاخه تقیسم می‌‌شود. در گام اول این الزامات حساب شرکت کارگزار مبادله رمزارز که در این رابطه مورد استفاده قرار می‌گیرد، باید از نوع حساب اشخاص حقوقی باشد. این حساب هم نمی‌تواند برای دریافت ضمانت‌های بانکی و دریافت اعتبار و تسهیلات مورد استفاده قرار گیرد. همچنین شرکت موظف است کلیه عملیات مالی را فقط از طریق حساب حقوقی خود انجام دهد. در بخش روش دریافت وجه تاکید شده که هرگونه دریافت وجوه باید صرفا به صورت ریالی و از طریق حساب حقوقی شرکت انجام گیرد. 

همچنین شرکت اجازه انتقال مبالغ ریالی بین کیف پول الکترونیکی کاربران نزد خود را نداشته و تسویه‌های تهاتری ریالی بین کاربران ممنوع است. 

از طرف دیگر شرکت اجازه ندارد از موجودی ریالی و رمزارزی کاربران در کیف پول الکترونیک کاربران نزد خود به عنوان ابزار پرداخت در خارج از شبکه خدمات شرکت استفاده کند (ممنوعیت ارائه خدمات به کیف پول‌های داخلی بین کسب‌وکارها.)

در مورد الزامات عملیات برداشت ریالی این بخش، تأکید شده که هرگونه عملیات ریالی کاربران صرفا به حساب بانکی متعلق به کاربر واریز شود و استفاده از سایر روش‌های پرداخت غیر ریالی (ارزی، سکه، طلا، سنگ‌های قیمتی و…) یا حساب‌های بانکی اشخاص دیگر ممنوع است و هرگونه واریز و برداشت به / از حساب کاربری الکترونیکی کاربر باید از / به کارت و حساب‌های متعلق به او صورت پذیرد.

نگهداری ۱۰ سال سابقه تراکنش‌های کاربران

مورد عجیب دیگر در این الزامات حساب ریالی- رمزارزی، نگهداری اطلاعات معاملاتی کابران برای ۱۰ سال است. طبق این بند، شرکت‌ها ملزم هستند کلیه اطلاعات مرتبط با سوابق معاملات و تراکنش‌های کاربران را حداقل به مدت ۱۰ سال و به صورت امن نگهداری کنند. همچنین تاکید شده که شکل نگهداری این سوابق باید به گونه‌ای باشد که از نظر فنی امکان بازیابی کلیه اطلاعات هر یک از معاملات و از نظر محتوایی دارای مدارک و شواهد لازم برای پی‌جویی جرائم احتمالی باشد.

شرکت‌ باید از تبادل و عرضه رمزارزها و توکن‌هایی که از سوی کارگروه ساماندهی مبادلات رمزارزها ممنوع اعلام شده‌اند، خودداری کنند. همچنین شرکت مجاز نیست از هیچ یک از رمزارزها به عنوان ابزار پرداخت استفاده کند.

در الزامات حساب ریالی-رمزارزی به رعایت امانت‌داری هم اشاره شده است. طبق آن موجودی رمزارزی و ریالی کاربران نزد شرکت به صورت امانت بوده و شرکت نمی‌تواند بدون کسب اجازه صریح و انکارناپذیر از کاربر نسبت به هرگونه دخل و تصرف در آن از جمله انتقال یا فروش آن اقدام کند. 

همچنین هرگونه وثیقه‌گیری، سپرده‌پذیری یا توقیف دارایی‌های رمزارزی و ریالی کاربران نزد شرکت به صورت کامل ممنوع است. البته تمام این موارد می‌تواند به خواست ضابطان قضایی در اختیار آنها اقرار گیرد. در این مورد آمده‌ است که در صورت اعلام کتبی، الکترونیکی یا تلفنی (احراز شده) نهادهای اطلاعاتی-امنیتی، شرکت موظف است موجودی ریالی/ موجودی رمزارزی / موجودی ریالی و رمزارزی کاربران را به مدت ۷۲ ساعت کاری فریز کند، تا صدور دستور قضائی مربوط تکمیل شود. البته در این مورد اشاره‌ای نشده که اگر به اشتباه حساب کاربری به درخواست مقامات قضایی مسدود شود پس از مشخص شدن اشتباه آیا خسارتی به شرکت یا کاربر باید پرداخت شود یا خیر. 

از امنیت تا دسترسی به کیف‌پول‌ها 

در بخش دیگر الزامات حساب ریالی-رمزارزی به امنیت و نحوه دسترسی به کیف‌پول‌ها اشاره شده است. در این مورد آمده که شرکت موظف است سازوکارهای امنیتی لازم (مانند تغییر دوره‌ای و مستمر آدرس کیف پول اصلی حداقل هر دوماه یکبار) برای عدم شناسایی کیف پول‌های اصلی خود برای نهادها و اشخاصی غیر از مراجع نظارتی داخلی را به نحو مناسبی در نظر بگیرد و به صورت دوره‌ای نسبت به پایش این سازوکارهای امنیتی اقدام کند. 

از سوی دیگر دسترسی کارکنان به کیف‌ پول‌ها نیز در این بخش مورد توجه قرار گرفته است. در این زمینه تأکید شده که دسترسی کارکنان شرکت به کیف پول‌های گرم شرکت باید دارای فرآیندی امن بوده و برای انتقال درایی‌ها علاوه بر حد آستانه،‌ اخذ تاییدیه شخص ثالث نیز ضروری است. از سوی دیگر باید اسامی کارکنانی که اجازه دسترسی به کیف پول‌های سرد (کیف‌پول‌های اصلی) را دارند نیز به صورت رسمی به پلیس فتا اعلام شود. همچنین دسترسی کلیه اعضای شرکت به کلیه کیف پول‌های شرکت و کاربران و تغییرات انجام شده باید به صورت کامل ثبت شود. 

تبلیغات فریبنده ممنوع! 

در بخش الزامات حساب ریالی-ارزی نحوه تبلیغات در حوزه رمزارز هم مورد توجه قرار گرفته است. در این زمینه تقریبا هر نوع تبلیغ رمزارزی ممنوع شده است. طبق الزامات در این زمینه هرگونه تبلیغات فریبنده در راستای ترویج رمزارزها (داخلی و یا خارجی)، تشویق و ترغیب عمومی به سرمایه‌گذاری در حوزه رمز‌ارزها (هایپ) هرگونه تبلیغات و تشویق مردم برای سرمایه‌گذاری در سایت‌های پرداخت‌کننده سودهای کلان در کوتاه مدت (هایپ)، هرگونه اطلاع‌رسانی که منجر به ترغیب یا تشویق عمومی به خرید یک توکن مشخص یا بازارسازی برای آن شود، ارائه هر گونه اطلاعات مرتبط با ترویج رمزارزها، ارائه سیگنال‌های مرتبط با بازار رمزارزها و هرگونه تبلیغات رمزارزها منتشر شده داخلی فاقد مجوز از سازمان بورس و اروراق بهادار ممنوع است. 

هفت خان رستم

احراز هویت یکی دیگر از الزاماتی است که در سند پلیس فتا برای ساماندهی بازار رمزارز دیده می‌شود. این الزمات احراز هویتی حداقل شامل انجام ۸ عملیات مجزا می‌شود. طبق این الزامات کلیه خدمات قابل ارائه از سوی کارگزار مبادله رمزارز منوط به احراز هویت کامل کاربران براساس مولفه‌های اطلاعاتی مندرج در همین سند می‌شود.

لیست مولفه‌های دریافتی از کاربر برای اجرای احراز هویت هم شامل موارد زیر می‌شود: 

• نام و نام خانوادگی 
• کد ملی
• نشان محلی سکونت+کدپستی+شماره تلفن ثابت
• شماره تلفن‌همراه
• شماره کارت
• اسکن کارت ملی 
• تصویر کاربر+ فیلم ویدیویی از کاربر به همراه اظهار قبول و تایید شرایط و .. با رعایت کامل کلیه شئونات اسلامی 
• اطلاعات حقوقی 
• شناسه ملی شرکت 
• معرفی نامه رسمی نماینده قانونی شرکت ( کلیه مراحل شخصیت حقوقی طی شود)
• معرفی اطلاعت حساب حقوقی بانک 
• آگهی دفترنامه رسمی 

در این زمینه تأکید شده که باید در قسمت قوانین سایت حتما این نکته به کاربر یادآوری شود که «موظف است هر گونه تغییر در مولفه‌های احراز هویت را به اطلاعا کارگزار مبادله رمزارز برساند.»

بخش مولفه‌های احراز هویت شامل دو تبصره هم می‌شود. طبق تبصره اول، در صورت استفاده کارگزاران تبادل رمزارز از سرویس‌های ارائه‌دهندگان خدمات احراز هویت Identify Provider (IDP)، در متن قرارداد فی مابین باید به صورت دقیق و شفاف مسئول خسارت‌های مالی، امنیتی و … در شرایط احراز هویت ناصحیح یا هرگونه افضای اطلاعات مشخص شود. در این زمینه تأکید شده که کلیه تعهدات مربوط به نگهداری اطلاعات موضوع این بخش از سوی سرویس‌دهندگان خدمات احراز هویت نیز لازم‌الاجرا خواهد بود. 

همچنین در تبصره دوم این بخش آمده که کارگزار تبادل رمزارز در صورت استفاده از خدمات IDP، نباید اطلاعات غیرضروری ذکر شده را در پایگاه داده‌های خود ذخیره کند.

اما الزامات احراز هویتی در این سند به همین‌جا ختم نمی‌شود. در بخش دیگری از الزامات هویتی آمده است که کلیه مدارک دریافتی از کاربر که در نزد شرکت ذخیره و نگهداری می‌شود، باید دارای نشانه‌نگاری نام شرکت بوده و کارکنان شرکت مدارک نشانه‌گذاری شده را مشاهده کنند. 

از طرفی مسئولیت صحت سنجی احراز هویت کاربران (حقیقی و حقوقی ) بر عهده شرکت (مدیرعامل و هیئت مدیره) بوده و برون‌سپاری فرایندهای احراز هویت رافع مسئولیت شرکت نیست. 

همچنین شرکت موظف است پس از انجام مراحل شناسایی و احراز هویت کاربران و تخصیص اطلاعات کاربری، کلیه مستندات و تصاویر دریافتی از آنها را از پایگاه داده برخط و عملیاتی خود حذف و به صورت زمانبندی شده با امکان ارائه به مقام قضایی و ضابطان قضایی به صورت غیر برخط بایگانی کند.

در بخش الزامات هویتی شرایطی هم برای دریافت خسارت در صورت احراز هویت ناقص در نظر گرفته شده است. طبق این الزام «چنانچه فردی در فضای رمزارز متحمل خسارت شد و به دلیل احراز هویت ناقص یا اشتباه شرکت، فرایند پی‌جویی جرم با شکست مواجه شود، شرکت موظف است کلیه خسارت‌های مالباخته را جبران کند. همچنین میزان جبران خسارت براساس تصمیم مقام قضایی خواهد بود.»

ناقص ثبت شدن اطلاعات کاربر همچنین پیامدهایی برای او دارد. از جمله اینکه اگر در هر مرحله از ارائه خدمات به کاربر مشخص شود صحت اطلاعات او دارای نقیصه است، شرکت موظف است تا زمان رفع نقص اطلاعات، کلیه فعالیت‌های کاربر را تعلیق کرده و مراتب را هم برای رفع نقص اطلاعات به کاربر اعلام کند. در کنار این کار شرکت موظف است موارد مشکوک را به صورت مکتوب به پلیس فتا هم اعلام کند. در زمینه موارد مشکوک توضیحی در این سند الزامات داده نشده است. 

در بخش الزامات احراز هویتی برای نحوه احراز هویت کاربران فعلی شرکت‌های فعال در این حوزه نیز راه‌حلی در نظر گرفته شده است. براین اساس، در صورتی که پس از انتشار این دستورالعمل کاربران به صورت صحیح و مطابق مفاد این دستورالعمل احراز هویت نشده باشند، شرکت موظف است ضمن اطلاع‌رسانی به کاربران برای تکمیل مستندات مربوطه، ظرف مدت ۱۴ روز کاری اقدام به تکمیل اطلاعات خود کنند. در این زمینه تاکید شده که در صورت عدم تکمیل این فرایند ظرف مدت تعیین شده، مطابق این دستورالعمل کارگزار موظف به تعلیق کلیه فعالیت‌های کاربر تا زمان احراز هویت است. 

تلاش برای بالا بردن امنیت با روش‌های انحصاری 

چهارمین الزاماتی که در این سند به آن توجه شده الزامات بستر تبادل رمزارز است که بیشتر از همه به موضوع امنیت تبادل رمزارز توسط شرکت‌ها و کاربران توجه کرده است. الزامات این بخش شامل ۱۷ مورد می‌شود. 

در گام نخست در این زمینه به تخصیص بودجه برای برقراری امنیت در بستر تبادل رمزارز اشاره و تأکید شده که شرکت موظف است برای حفظ ارتقای امنیت پلتفرم و درایی‌های کاربران اقدامات لازم و ضروری را انجام دهد. در این زمینه توضیح بیشتری داده نشده و تنها اعلام شده که ملاحظات تکمیلی حداقلی در خصوص نحوه اقدام در رابطه با این بند به صورت دوره‌ای از سوی پلیس فتا اعلام می‌شود. به باور فعالان این حوزه اگر قرار باشد این ملاحظات به صورت دوره‌ای تغییر کند این کار باعث پیچیدگی و سختی انجام فعالیت آنها می‌شود. 

در بخش فراهم کردن امنیت برای پلتفرم‌های فعال در حوزه رمزارز نشانه‌هایی از انحصار هم دیده می‌شود، چرا که گفته شده شرکت فعال در این بخش باید به صورت دوره‌ای و هر شش ماه یک بار نسبت به انجام تست امنیتی توسط یک شرکت ارزیاب «مورد تایید پلیس فتا / مرکز افتا»، مطابق دستورالعمل‌های ارزیابی مخاطرات ابلاغی اقدام کرده و گزارش تأییدیه امنیتی اخذ شده را به صورت رسمی به پلیس فتا ارسال کند. همچنین در این مورد تاکید شده که در هر دوره از ارزیابی، شرکت ارزیاب باید متفاوت از شرکت قبلی باشد. 

در الزامات بستر تبادل رمزارز در این سند به رمزنگاری اطلاعات نیز تاکید شده است. طبق این الزام شرکت موظف است پس از طبقه‌بندی اطلاعات پلتفرم، نسبت به نگهداری اطلاعات به صورت محرمانه در پایگاه داده ( حداقل شامل شماره شبا کاربران، شماره کارت کاربران، کد ملی کاربران، کلمه عبور و نام کاربری، تصاویر و مستندات دریافتی از کاربران، کلید خصوصی کیف‌ پول‌های تخصیص یافته به کاربران) به صورت رمز شده (با استفاده از روش‌های و استانداردهای بین‌المللی) اقدام کند.

همچنین در تبصره این الزام به نگهداری اطلاعات کاربران در صورتی که شرکتی منحل شده باشد نیز اشاره شده است. طبق این تبصره پس از انحلال شرکت با صدور اطلاعیه و طی کردن تشریفات قانونی شرکت اطلاعات را باید تا ۱۰ سال به صورت رمزنگاری شده نگه‌دارد. از سوی دیگر مسئولیت نگهداری اطلاعات با آخرین شخص مدیرعامل است. 

معاملاتی که بر بستر شرکت‌های رمزارز ممنوع است

در بخش الزامات بستر تبادل رمزارز ممنوعیت‌هایی هم برای فعالیت این شرکت‌ها در نظر گرفته شده است. برای نمونه انجام هر نوع عملیات ارزی (فیات)، (حواله، خرید و فروش نقدی اسکناس ارزی و …) و خرید و فروش فلزات و سنگ‌های قیمتی توسط شرکت ممنوع است. از سوی دیگر شرکت فعال در این بخش مجاز به انجام معاملات به صورت پیش خرید یا پیش فروش (معاملات سلف و آتی)، معاملات اهرمی و ارائه خدمات مرتبط با معاملات یاد شده نیست. 

از دیگر الزامات جالب این بخش «فریز معاملات کاربران جدید» است. طبق این الزام، شرکت موظف است، تراکنش‌های رمزارزی کاربرانی که به تازگی عضو شده‌اند را تا ۷۲ ساعت کاری فریز کند. از سوی دیگر حجم معاملات برای کاربران جدید باید به صورت پله‌ای افزایش یابد. 

اطلاع از شرایط و ضوابط کاری به کاربران، ایجاد بستر معاملاتی سالم باز هم با استفاده از الزامات امنیتی و زیرساختی تکمیلی از سوی پلیس فتا و مرکز افتا، شفافیت در اعلام کارمزد، آموزش کاربران و اعلام هشدار، اعلام زمان انجام تراکنش، پشتیبانی از کاربران، صدور فاکتور رسمی و… از دیگر الزامات در نظر گرفته شده در سند پلیس فتا برای فعالان حوزه مبادله رمزارز است.