七、保險業辦理本業務，應訂定相關作業處理程序，並納入內部控制制度 ，且應適時檢討修訂。 前項作業處理程序，至少應包括下列風險控管及控制措施： （一）身分驗證：確認申請者為保險公司之被保險人。 （二）個資同意：保戶首次申請需簽署同意書（含延續性個資與特種個資 同意事項），並應於申請前或掃描上傳後翌日起十五日內將紙本繳 回保險公司。 （三）險種、金額及條件控管： 1.險種以住院醫療費用保險（日額型、實支實付型）及傷害醫療保 險（日額型、實支實付型）為限。 2.當次理賠總額小於十萬元。 3.限匯款至受益人（同被保險人）本人帳戶。 4.限住院、不需正本收據且事故原因無須進行理賠調查。 5.未符合前四目所定條件之理賠案件，保險公司應主動通知保戶， 並告知保戶公司將於收到紙本文件後以傳統理賠程序辦理。 （四）診斷書、收據等文件真實性認定： 1.保戶未將紙本文件繳回，經聯繫保戶補全仍無法補回者，應啟動 調查機制，確認文件正確性。另針對保戶紙本文件未繳回者，應 建置未來之理賠案件無法再次使用本業務之控管機制。 2.保險公司於收到紙本文件時應與影像進行比對是否一致。如發現 文件偽造等情事，應依法進行告訴及追償。另針對發現文件係偽 造者，應建置未來之理賠案件無法再次使用本業務之控管機制。 3.應將本業務納入年度定期自行查核作業檢視範圍，並每月對經由 本業務送件之理賠文件進行一定比例（不得低於百分之十）抽查 ，以確保文件正確性。 （五）資安保護： 1.保戶於超商多媒體服務機（KIOSK） 啟動理賠申請服務時，超商 多媒體服務機（KIOSK） 資訊中心應即時呼叫保險公司系統，另 保戶於超商多媒體服務機（KIOSK） 送出理賠申請資料及相關影 像檔案時，保險公司系統應同步存取超商多媒體服務機（KIOSK ）資訊中心掃描服務，並取回保戶理賠申請檔案及刪除軌跡，以 確保保戶資訊不落地暫存。 2.為確保本業務資訊安全，保險公司應對委外廠商超商多媒體服務 機（KIOSK） 服務系統與環境固有資安風險進行資安風險評估， 其內容包括但不限於人員作業安全、系統／機器作業安全、資料 處理安全及委外廠商查核。 3.為確保本業務資料傳輸之安全，保險公司應於承作本業務前，確 認委外廠商超商多媒體服務機（KIOSK） 至委外廠商機房伺服器 至少係使用專屬網路加上非加密之通訊協定（FTP） ，且委外廠 商機房伺服器至保險公司機房係使用專屬網路及加密之通訊協定 （SFTP）。 4.保戶於輸入端（事務機）輸入資料至超商多媒體服務機（KIOSK ）以及超商多媒體服務機（KIOSK） 將資料傳輸至機房伺服器之 過程，保險公司應確保資料不落地暫存，且未暫存於委外廠商處 ，以確保保戶資料不外洩。 5.保險公司應取得資訊安全管理制度（ISMS）認證（如：ISO 27001） ，上開認證或制度導入範圍應涵蓋本業務所介接之對外 前端系統。 保險公司應取得個人資訊管理制度（PIMS）認證（如：BS 10012 、ISO 27701） ，上開認證或制度導入範圍應涵蓋本業務之直接 作業單位。 （六）交寄提醒與簡訊通知： 1.保戶於超商多媒體服務機（KIOSK） 操作上傳完成後，保險公司 應於超商多媒體服務機（KIOSK） 頁面提醒保戶應將理賠申請資 料送交門市櫃台始完成申請之訊息，並產製相關寄件單據供保戶 進行寄送。 2.理賠受理及結案後，應以系統自動發送方式，分別發送簡訊通知 保戶。 （七）委外查核：每年應對委外廠商執行至少一次委外事項查核，查核範 圍應包括超商多媒體服務機（KIOSK） 及委外廠商機房，超商多媒 體服務機（KIOSK） 查核項目至少應包括存取管控及資料安全、委 外廠商機房查核項目至少應包括門禁管理、存取管控及資料安全， 以確保本業務之資訊作業安全。 （八）保戶申訴處理程序。