Guia
Plataforma de RegTech, KYC e AML nos UAE: regras de terceirização
A resposta curta
Uma plataforma de RegTech, KYC ou AML normalmente não é licenciada como tal por si só. A empresa se registra da forma habitual, por meio do Dubai Department of Economy and Tourism (DET), de uma free zone ou de uma autoridade de financial free zone. O cliente muda o quadro. Quando uma instituição financeira licenciada passa a depender da plataforma para suas verificações de AML/CFT, o regulador da própria instituição trata o arranjo como terceirização e responsabiliza a instituição, e não o fornecedor, por ele. Esse regulador pode ser o Central Bank of the UAE (CBUAE), a Dubai Financial Services Authority (DFSA, DIFC), a Financial Services Regulatory Authority (FSRA, ADGM), a Capital Market Authority (CMA, antiga Securities and Commodities Authority) ou a Virtual Assets Regulatory Authority (VARA, Dubai). A questão que define o caminho é se a plataforma apenas fornece software ou também toma a decisão: encerrar um alerta, liberar um dossiê, apresentar um relatório.
Quem decide, e em que se baseia o perímetro
Nenhum regulador único dos Emirados Árabes Unidos (UAE) emite uma "licença de RegTech". A atividade comercial fica com o DET ou com uma free zone. O peso regulatório fica com a autoridade que supervisiona o comprador: um banco ou casa de câmbio responde ao CBUAE, uma empresa do DIFC à DFSA, uma empresa do ADGM à FSRA, uma empresa do mercado de capitais à CMA, um prestador de serviços de ativos virtuais à VARA. Cada uma espera que a entidade licenciada realize due diligence sobre qualquer função terceirizada e mantenha direitos de auditoria sobre o prestador. A plataforma raramente é a parte regulada; o contrato que torna o cliente responsável por ela é o que esses reguladores acabarão pedindo para ver.
Separadamente, e independentemente de qual regulador financeiro se aplique, a Personal Data Protection Law federal abrange o processamento de dados pessoais "seja total ou parcialmente por meio de sistemas eletrônicos, dentro ou fora do país". Ela proíbe o processamento sem o consentimento do titular, sujeito a exceções limitadas, e dá às pessoas o direito de corrigir ou restringir o processamento de seus dados. Uma plataforma que trata passaportes, selfies ou históricos de transações está processando dados pessoais nos termos dessa lei, independentemente de como é licenciada.
O que a equipe de compliance de um comprador realmente vai verificar
A diligência de aquisição (procurement), não a constituição da empresa, é onde as vendas de RegTech travam. Um comprador regulado quer ver:
- De onde vêm os dados subjacentes e se a plataforma tem direitos duráveis de usá-los
- Se uma pessoa revisa os casos contestados, ou se o modelo decide por conta própria
- Onde os dados estão hospedados e onde fica a equipe de suporte
- Como falsos positivos e mudanças no modelo são medidos e registrados
- O que acontece a um dossiê de caso quando o próprio regulador do comprador o solicita
O UAE Cyber Security Council administra uma National Cybersecurity Strategy de cinco anos, aprovada em 2025, e um National Cyber Security Accreditation Program, uma via de certificação para padronizar a prática de segurança cibernética. Nenhum dos dois é um requisito obrigatório para todo fornecedor, mas a análise de segurança de um comprador cada vez mais pergunta onde uma plataforma se posiciona em relação a esse programa, particularmente para tudo que envolva dados biométricos.
Como o dinheiro e a responsabilidade se movem pelo produto
A conta bancária da própria empresa de RegTech costuma ser a primeira questão bancária e a mais simples: o negócio precisa de uma conta operacional como qualquer empresa de software, e o dossiê que o banco quer é semelhante (titularidade, origem dos recursos dos fundadores e uma descrição clara do que o produto faz com os dados dos clientes). Trabalhar a preparação para conta bancária desde cedo evita que a conta seja a última pendência a ser resolvida antes do lançamento.
Isso muda no momento em que o produto deixa de ser puro software. As mesmas perguntas que definem quem recebe ou controla dinheiro em uma fintech se aplicam aqui: uma ferramenta que mantém dinheiro de clientes, inicia um pagamento ou concede crédito é uma atividade regulada diferente, e nenhuma preparação para conta bancária transforma uma licença comercial em permissão para isso. Mantenha as duas questões separadas: se esta empresa consegue abrir conta bancária, e se ela, e não o seu cliente, chega a tocar o dinheiro dos clientes. A segunda, quando se apresenta, exige autorização própria ou um patrocinador.
Propriedade, substância e as funções que um comprador verifica
A estrutura de grupo pode colocar a tecnologia, a propriedade intelectual e qualquer função licenciada em entidades separadas, desde que cada uma tenha um papel genuíno. A equipe jurídica de um comprador vai perguntar quem é o proprietário do modelo e do pipeline de dados, quem está nomeado no contrato, e quem é responsável se um resultado de triagem estiver errado. Quando a propriedade está distribuída por mais de uma jurisdição, trate isso como propriedade regulamentada e complexa antes que uma equipe de diligência o teste. O caso por escrito pertence ao plano de negócios de apoio, e não deve ser montado depois que a pergunta é feita.
O que costuma dar errado
- Coletar (scraping) ou comprar dados sem um direito durável de usá-los para triagem
- Descrever a ferramenta como algo que torna um cliente "em conformidade", em vez de algo que apoia uma decisão que o cliente continua a deter
- Usar dados biométricos sem ter resolvido antes as exigências de consentimento e finalidade da lei de proteção de dados
- Manter uma equipe de revisão offshore ou um subprocessador fora do contrato e fora do dossiê de diligência do comprador
Comparar taxas de constituição é o erro inicial mais comum. O custo que importa é a rota completa: a entidade, qualquer licenciamento de dados e garantia de segurança que um comprador exige, e quanto custa acrescentar, mais tarde, uma camada de revisão gerenciada, caso o modelo apenas-software se mostre insuficiente. A Velarozone precifica essa estrutura completa, em vez de um valor de destaque na constituição, e apresenta seus próprios honorários da forma como como a Velarozone funciona descreve.
