Blog
Reguli de monitorizare a conturilor bancare și oportunitatea RegTech în EAU
Răspunsul scurt
Normele Department for Work and Pensions (DWP) din Regatul Unit privind monitorizarea conturilor bancare reprezintă politică britanică și nu se aplică în UAE. O societate din UAE care extrage de la bănci datele conturilor clienților are nevoie de o Open Finance Licence din partea Central Bank of the UAE (CBUAE), în temeiul Open Finance Regulation, cu consimțământul explicit al clientului și cu un capital minim de AED 1,000,000. Un furnizor de software care lucrează în baza contractului unei bănci este un caz diferit, iar poziția sa depinde de ceea ce face produsul cu datele.
Elementul decisiv este linia dintre un furnizor de software și un furnizor de acces la date. O societate care furnizează unei bănci autorizate instrumente de monitorizare sau de gestionare a dosarelor se află într-o poziție diferită de cea a unei societăți care preia date de cont direct de la clienți. Central Bank of the UAE (CBUAE) supraveghează băncile și activitatea de open finance, iar UAE Data Office supraveghează datele cu caracter personal în temeiul legii federale privind protecția datelor.
Consimțământul este firul comun. Legea federală interzice prelucrarea datelor cu caracter personal fără consimțământul titularului lor, cu excepții limitate pentru interesul public și anumite proceduri legale. O afacere construită pe „monitorizare" trebuie să poată arăta de unde provine acest consimțământ.
Ce spune și ce nu spune povestea britanică unui fondator din EAU
Dezbaterea britanică privește un departament guvernamental care dorește să verifice conturile bancare pentru fraudă și erori în plățile de asistență socială. Este o putere a statului, stabilită prin legislația britanică și exercitată împotriva unui grup determinat de solicitanți. Nimic echivalent nu acordă unei societăți private din UAE dreptul de a examina contul cuiva.
Cazul din Regatul Unit ridică pentru un fondator o întrebare de proiectare: ce parte din lanțul de monitorizare ar deține societatea mea? Băncile desfășoară monitorizarea tranzacțiilor pentru că sunt obligate să o facă. O societate de software poate construi instrumente care fac acest lucru mai ieftin și mai precis. Ea nu poate împrumuta autoritatea băncii de a vedea datele.
Această delimitare stabilește calea de reglementare. Conform Open Finance Regulation (C 03/2025) a CBUAE, o societate care extrage datele conturilor clienților prin interfețele băncilor are nevoie de o Open Finance Licence, în timp ce un furnizor care lucrează în baza contractului unei bănci este un caz diferit. Prezentările pentru investitori greșesc adesea prin descrierea unui produs de furnizor în limbajul unei funcții reglementate.
Patru modele de afaceri care seamănă între ele, dar nu sunt la fel
Gestionarea consimțământului și a permisiunilor. Produsul înregistrează ceea ce a acceptat un client, îi permite să își retragă acordul și păstrează pista de audit. Gestionează evidențele consimțământului, nu neapărat datele de cont subiacente. Este cel mai apropiat de normele privind protecția datelor, deoarece obligația centrală este să demonstreze un consimțământ valid.
Software de monitorizare vândut instituțiilor. În practică, banca este operatorul de date, iar furnizorul lucrează în temeiul contractului acesteia. Aspectele privind accesul, păstrarea, antrenarea modelelor pe datele clienților și raportarea incidentelor se stabilesc în contractul de servicii. Dacă furnizorul are nevoie de vreo autorizare depinde de ceea ce face exact, iar acesta este un punct care trebuie confirmat cu autoritatea de reglementare competentă, nu presupus.
Analiză de tip open finance. Aici societatea citește datele de cont ale clientului prin interfețele băncilor, cu permisiunea clientului. Aici contează cadrul de open finance al CBUAE și este modelul cu cea mai mare probabilitate de a necesita o autorizare proprie. Ghidul separat despre calea furnizorului de open finance tratează acest perimetru.
Instrumente de gestionare a dosarelor și de raportare reglementară. Acestea ajută echipele de conformitate să documenteze deciziile. Detaliul care contează este dacă instrumentul doar înregistrează deciziile umane sau începe să le ia el însuși.
Un grup poate derula mai multe dintre acestea sub aceeași marcă, dar contractele diferă.
Consimțământ, legea datelor și întrebarea despre free zone
Legea federală privind protecția datelor cu caracter personal se aplică prelucrării efectuate în interiorul sau în afara UAE, integral sau parțial prin mijloace electronice, și stabilește cerințe pentru transferul transfrontalier. UAE Data Office, afiliat Cabinetului UAE, redactează ghidurile și gestionează plângerile. Titularii datelor pot solicita rectificarea și pot restricționa sau opri prelucrarea.
Pentru un produs de monitorizare sau de date, rezultă trei puncte practice. Consimțământul trebuie să fie suficient de specific pentru a acoperi ceea ce face efectiv software-ul cu datele. Retragerea consimțământului trebuie să funcționeze în produs, nu doar în termeni și condiții. Iar un flux de date care părăsește UAE, către o regiune cloud sau către o societate-mamă offshore, necesită un temei documentat. Un furnizor de open finance licențiat se confruntă cu condiții mai stricte. Open Finance Regulation a CBUAE impune un consimțământ separat pentru fiecare scop, iar retragerea trebuie să fie la fel de simplă ca acordarea consimțământului. Ea impune, de asemenea, stocarea datelor în UAE, cu excepția cazului în care CBUAE a aprobat stocarea în străinătate și clientul și-a dat acordul în scris după ce a fost informat unde vor fi stocate datele și de ce.
Locația adaugă un nivel suplimentar. Pagina Guvernului UAE privind protecția datelor menționează DIFC Data Protection Law (DIFC Law No. 5 of 2020) și Dubai Data Law (Law No. 26 of 2015) alături de legea federală. O societate dintr-o free zone financiară poate astfel răspunde în fața unui regim de date diferit de cel al unei societăți din mainland, iar o societate care servește clienți din ambele poate fi supusă ambelor. Pagina federală nu explică modul în care acestea interacționează, așadar poziția pentru propria structură trebuie confirmată cu autoritatea free zone și cu autoritatea de reglementare relevantă înainte de a vă angaja asupra unei locații.
Alegerea între mainland și free zone pentru o afacere de date și conformitate
O societate mainland se potrivește unei afaceri care vinde în principal băncilor și societăților din UAE și nu dorește nicio limită teritorială privind cu cine contractează. O societate din free zone poate funcționa bine pentru o afacere tehnologică cu o bază de clienți regională, cu condiția ca activitatea din licența zonei să corespundă serviciilor de software și de date, iar contractele să fie încheiate cu entitatea potrivită.
Pentru un furnizor RegTech, criteriile practice diferă de cele ale unei societăți comerciale. Poate licența să descrie cu exactitate dezvoltarea de software și prelucrarea datelor? Va accepta echipa de achiziții a unei bănci entitatea ca furnizor? Unde va lucra personalul și ce vize de rezidență pentru echipa fondatoare susține acea locație? Unde vor fi găzduite fizic datele?
Un preț scăzut de constituire contează puțin dacă activitatea din licență trebuie modificată ulterior pentru că produsul s-a dovedit a atinge date reglementate. Stabiliți mai întâi limitele produsului, apoi comparați locațiile, în ordinea descrisă în cum funcționează Velarozone.
Ce va întreba o bancă înainte să semneze
Fondatorii tratează adesea serviciile bancare ca pe o sarcină ulterioară constituirii. Pentru acest sector, ele fac parte și din procesul de vânzare. O bancă ce cumpără software de monitorizare, sau o bancă ce deschide propriul dumneavoastră cont corporativ, va dori să vadă o imagine coerentă.
Așteptați-vă la întrebări despre cine deține societatea și cine controlează codul, unde sunt stocate datele clienților și cine le poate accesa, cum este testat modelul și cum sunt tratate alertele false, precum și ce se întâmplă după o breșă. În privința proprietății, ghidul CBUAE așteaptă ca o bancă să identifice și să verifice fiecare persoană fizică care deține sau controlează 25% sau mai mult dintr-o societate client. Dacă nimeni nu atinge 25%, banca identifică în schimb directorul de rang superior. Băncile vor întreba, de asemenea, dacă oamenii dumneavoastră au experiență în conformitate, deoarece produsul este credibil doar în măsura în care este echipa din spatele lui.
Alertele automate ridică o preocupare specifică. Dacă un model semnalează un cont, iar un analist acceptă pur și simplu semnalarea, decizia este efectiv automatizată. Clienții reglementați preferă instrumentele care susțin o judecată umană documentată. Integrarea acesteia în fluxul de lucru de la început este mai ieftină decât adăugarea ulterioară, după ce o cere o bancă.
Calea platformei RegTech KYC și AML se suprapune în mare măsură cu monitorizarea. Cumpărătorii săi sunt aceleași echipe de conformitate, astfel că se aplică aceeași verificare a furnizorului.
Pe scurt
Ce să rețineți din aceasta
- Normele britanice sunt doar declanșatorul. O societate din UAE ar proiecta pentru legislația UAE privind datele și pentru așteptările CBUAE, nu pentru competențele DWP.
- Prima alegere structurală este între furnizorul de software și societatea care vine în contact cu datele de cont ale clienților.
- Legea federală privind protecția datelor face din consimțământ punctul de plecare pentru prelucrarea datelor cu caracter personal, iar UAE Data Office este autoritatea federală de reglementare.
- Amplasarea într-o free zone poate aduce un regim de date separat, precum legea privind protecția datelor a Dubai International Financial Centre (DIFC).
- Vânzarea către bănci înseamnă de obicei trecerea de verificarea de diligență a furnizorilor, care testează securitatea și guvernanța înainte de preț.
- Un produs prezentat ca o modalitate de a ocoli monitorizarea nu este o afacere pe care o bancă sau o autoritate de reglementare din UAE ar dori să o aibă în preajmă.
- Poate o societate din UAE să ofere monitorizare la care clienții își dau consimțământul, dacă datele provin de la banca lor?
- Posibil, dar aceasta este o chestiune de open finance, nu una de software. O societate care extrage datele conturilor de la bănci la instrucțiunea unui client are nevoie de o Open Finance Licence din partea CBUAE, iar consimțământul singur nu autorizează accesul. Consimțământul trebuie să fie explicit, specific scopului și revocabil în orice moment. Datele obținute în acest mod trebuie stocate în UAE, cu excepția cazului în care CBUAE și clientul au aprobat ambii stocarea în străinătate.
- Avem nevoie de licență dacă vindem doar software băncilor?
- Depinde de ceea ce face software-ul. Un instrument care funcționează în mediul băncii și în temeiul contractului acesteia este un caz diferit de un serviciu care primește sau transferă datele clienților pe cont propriu. Notați ce face și ce nu face produsul și verificați această descriere cu autoritatea de reglementare competentă, deoarece eticheta produsului nu stabilește nimic.
- Ce lege privind datele se aplică dacă ne aflăm într-o free zone?
- Ambele straturi pot conta. Legea federală privind protecția datelor cu caracter personal vizează prelucrarea în interiorul și în afara UAE, iar free zones financiare precum DIFC au propria lege privind protecția datelor. Care dintre ele guvernează o anumită activitate depinde de locul în care se află societatea și de cine servește, așa că verificați cu autoritatea zonei.
- Putem prezenta produsul ca o modalitate prin care clienții să evite monitorizarea?
- Nu. Băncile și autoritățile de reglementare vor percepe acest lucru ca pe un semnal de alarmă, iar acesta subminează argumentul de conformitate al produsului. O poziție credibilă este că produsul îi ajută pe clienți să înțeleagă și să controleze modul în care le sunt folosite datele, în limitele legii.
Surse
De unde provine asta
Informații generale extrase din CBUAE Rulebook, inclusiv Retail Payment Services and Card Schemes Regulation (C 15/2021), și Cabinet Resolution No. (134) of 2025, așa cum au fost publicate, nu consultanță juridică sau fiscală. Regulile și ghidurile se schimbă, așa că confirmați textul în vigoare și cerințele proprii ale fiecărei instituții înainte de a depune.