Regras de monitoramento de contas bancárias e a oportunidade de RegTech nos Emirados Árabes Unidos

O debate britânico trata de um departamento governamental que deseja verificar contas bancárias em busca de fraude e erro em pagamentos de benefícios sociais. Trata-se de um poder do Estado, definido pela legislação do Reino Unido e exercido contra um grupo específico de requerentes. Nada equivalente confere a uma empresa privada dos UAE o direito de examinar a conta de quem quer que seja.

A história do Reino Unido levanta uma questão de desenho para um fundador: qual parte da cadeia de monitoramento minha empresa seria responsável? Os bancos realizam o monitoramento de transações porque são obrigados a fazê-lo. Uma empresa de software pode construir ferramentas que tornem isso mais barato e mais preciso. Ela não pode tomar emprestada a autoridade do banco para ver os dados.

Essa linha define o caminho regulatório. Segundo o Open Finance Regulation do CBUAE (C 03/2025), uma empresa que obtém dados de contas de clientes por meio de interfaces bancárias precisa de uma Open Finance Licence, enquanto um fornecedor que atua sob contrato com um banco é um caso diferente. As apresentações a investidores frequentemente erram ao descrever um produto de fornecedor na linguagem de uma função regulada.

Gestão de consentimento e permissões. O produto registra o que um cliente aceitou, permite que ele o revogue e mantém a trilha de auditoria. Trata de registros de consentimento, não necessariamente dos dados de conta subjacentes. É o modelo mais próximo das regras de proteção de dados, porque o dever central é demonstrar um consentimento válido.

Software de monitoramento vendido a instituições. Na prática, o banco é o controlador dos dados e o fornecedor atua nos termos do contrato com ele. As questões de acesso, retenção, treinamento de modelos com dados de clientes e comunicação de incidentes são resolvidas no contrato de prestação de serviços. A necessidade de alguma autorização para o fornecedor depende exatamente do que ele faz, e esse é um ponto a confirmar com o regulador competente, não a presumir.

Análises de open finance. Aqui a empresa lê os dados de contas dos clientes por meio de interfaces bancárias, com a permissão do cliente. É nesse ponto que o marco de open finance do CBUAE tem relevância, e é o modelo com maior probabilidade de exigir autorização própria. O guia específico sobre a rota de provedor de open finance trata desse perímetro.

Ferramentas de gestão de dossiês e de relatórios regulatórios. Ajudam as equipes de compliance a documentar decisões. O detalhe que importa é se a ferramenta apenas registra decisões humanas ou passa a tomá-las.

Um grupo pode operar várias dessas frentes sob uma mesma marca, mas os contratos diferem.

A lei federal de proteção de dados pessoais aplica-se ao tratamento realizado dentro ou fora dos UAE, total ou parcialmente por meios eletrônicos, e estabelece requisitos para a transferência transfronteiriça. O UAE Data Office, vinculado ao UAE Cabinet, elabora as orientações e trata das reclamações. Os titulares dos dados podem solicitar a correção e podem restringir ou interromper o tratamento.

Para um produto de monitoramento ou de dados, decorrem três pontos práticos. O consentimento precisa ser específico o bastante para cobrir o que o software de fato faz com os dados. A revogação precisa funcionar no produto, e não apenas nos termos. E um fluxo de dados que saia dos UAE, para uma região de nuvem ou para uma controladora offshore, precisa de um fundamento documentado. Um prestador de open finance licenciado enfrenta termos mais rigorosos. O Open Finance Regulation do CBUAE exige um consentimento separado para cada finalidade, e a revogação deve ser tão fácil quanto a concessão do consentimento. Ele também exige que os dados sejam armazenados nos UAE, a menos que o CBUAE tenha aprovado o armazenamento no exterior e o cliente tenha concordado por escrito depois de informado sobre onde os dados ficarão e por quê.

A localização acrescenta uma camada. A página de proteção de dados do Governo dos UAE lista a DIFC Data Protection Law (DIFC Law No. 5 of 2020) e a Dubai Data Law (Law No. 26 of 2015) ao lado da lei federal. Uma empresa dentro de uma free zone financeira pode, portanto, responder a um regime de dados diferente do de uma empresa na mainland, e uma empresa que atende clientes em ambas pode ficar sujeita aos dois. A página federal não explica como esses regimes interagem; assim, a posição para a sua própria estrutura deve ser confirmada com a autoridade da zona e o regulador competente antes de você se comprometer com uma localização.

Uma empresa mainland é adequada a um negócio que vende principalmente a bancos e a grandes empresas dos UAE e que não deseja limite territorial quanto às partes com quem contrata. Uma empresa em free zone pode funcionar bem para um negócio de tecnologia com base de clientes regional, desde que a atividade da licença da zona corresponda a serviços de software e de dados e que os contratos sejam celebrados com a entidade correta.

Para um fornecedor de RegTech, os testes práticos são diferentes dos de uma empresa comercial. A licença consegue descrever com exatidão o desenvolvimento de software e o tratamento de dados? A equipe de compras de um banco aceitará a entidade como fornecedora? Onde a equipe ficará instalada e que vistos de residência para a equipe fundadora essa localização comporta? Onde os dados ficarão fisicamente hospedados?

Um preço baixo de constituição pesa pouco se a atividade da licença tiver de ser alterada mais tarde porque o produto acabou tocando dados regulados. Defina primeiro o limite do produto e depois compare as localizações, que é a ordem descrita em como a Velarozone funciona.

Os fundadores costumam tratar o relacionamento bancário como uma tarefa posterior à constituição da empresa. Neste setor, ele é também o processo de vendas. Um banco que compra software de monitoramento, ou que abre a conta corporativa da sua empresa, desejará ver um quadro coerente.

Espere perguntas sobre quem é o dono da empresa e quem controla o código, onde os dados dos clientes são armazenados e quem pode acessá-los, como o modelo é testado e como os falsos positivos são tratados, e o que acontece após uma violação. Quanto à titularidade, a orientação do CBUAE espera que um banco identifique e verifique cada pessoa física que possua ou controle 25% ou mais de uma empresa cliente. Quando ninguém atinge 25%, o banco identifica o gestor sênior em seu lugar. Os bancos também perguntarão se a sua equipe tem experiência em compliance, porque o produto é tão crível quanto a equipe por trás dele.

Os alertas automáticos suscitam uma preocupação específica. Se um modelo sinaliza uma conta e um analista simplesmente aceita o alerta, a decisão é, na prática, automatizada. Clientes regulados preferem ferramentas que sustentem um julgamento humano documentado. Incorporar isso ao fluxo de trabalho desde o início custa menos do que adaptá-lo depois que um banco o exigir.

O caminho da plataforma RegTech de KYC e AML se sobrepõe bastante ao monitoramento. Seus compradores são as mesmas equipes de compliance, de modo que se aplica a mesma due diligence de fornecedores.