Ghid
Platformă RegTech, KYC și AML în EAU: reguli de externalizare
Răspunsul scurt
O platformă RegTech, KYC sau AML nu este, de regulă, licențiată ca atare, în nume propriu. Societatea se înregistrează în mod obișnuit, prin Dubai Department of Economy and Tourism (DET), într-o free zone sau printr-o autoritate a unei financial free zone. Clientul schimbă tabloul. Din momentul în care o instituție financiară licențiată se bazează pe platformă pentru verificările sale AML/CFT, autoritatea de reglementare a acelei instituții tratează acest aranjament drept externalizare și o consideră răspunzătoare pe aceasta, nu pe furnizor. Această autoritate poate fi Central Bank of the UAE (CBUAE), Dubai Financial Services Authority (DFSA, DIFC), Financial Services Regulatory Authority (FSRA, ADGM), Capital Market Authority (CMA, fosta Securities and Commodities Authority) sau Virtual Assets Regulatory Authority (VARA, Dubai). Întrebarea care stabilește traseul este dacă platforma doar furnizează software sau ia și decizia: închiderea unei alerte, soluționarea unui dosar, depunerea unui raport.
Cine decide și de ce depinde perimetrul
Nicio autoritate de reglementare din UAE nu emite o „licență RegTech". Activitatea comercială ține de DET sau de o free zone. Greutatea reglementară revine autorității care supervizează cumpărătorul: o bancă sau o casă de schimb răspunde în fața CBUAE, o societate din DIFC în fața DFSA, una din ADGM în fața FSRA, o societate de piață de capital în fața CMA, un furnizor de servicii pentru active virtuale în fața VARA. Fiecare se așteaptă ca entitatea sa licențiată să efectueze verificări prealabile (due diligence) asupra oricărei funcții externalizate și să păstreze drepturi de audit asupra furnizorului. Platforma este rareori partea reglementată; contractul care face clientul răspunzător pentru ea este ceea ce aceste autorități vor cere, în cele din urmă, să vadă.
Separat, și indiferent de autoritatea financiară de reglementare aplicabilă, Legea federală privind protecția datelor cu caracter personal acoperă prelucrarea datelor cu caracter personal „fie integral, fie parțial, prin sisteme electronice, în interiorul sau în afara țării.” Aceasta interzice prelucrarea fără consimțământul titularului, sub rezerva unor excepții limitate, și conferă persoanelor dreptul de a corecta sau de a restricționa prelucrarea datelor lor. O platformă care gestionează pașapoarte, selfie-uri sau istorice de tranzacții prelucrează date cu caracter personal în baza acestei legi, indiferent de modul în care este licențiată.
Ce verifică, de fapt, echipa de conformitate a unui cumpărător
Due diligence-ul de achiziție, nu înființarea societății, este locul unde vânzările RegTech se blochează. Un cumpărător reglementat dorește să vadă:
- De unde provin datele de bază și dacă platforma are drepturi durabile de a le utiliza
- Dacă o persoană analizează cazurile contestate, sau modelul decide singur
- Unde sunt găzduite datele și unde se află personalul de suport
- Cum sunt măsurate și înregistrate falsele pozitive și modificările modelului
- Ce se întâmplă cu un dosar atunci când autoritatea de reglementare a cumpărătorului îl solicită
Cyber Security Council al UAE administrează o National Cybersecurity Strategy pe cinci ani, aprobată în 2025, și un National Cyber Security Accreditation Program, un traseu de certificare pentru standardizarea practicii de securitate cibernetică. Niciunul dintre acestea nu este o poartă obligatorie pentru fiecare furnizor, însă analiza de securitate a cumpărătorului întreabă tot mai frecvent unde se situează o platformă în raport cu acel program, în special pentru orice implică date biometrice.
Cum circulă banii și răspunderea prin produs
Contul bancar propriu al unei societăți RegTech este, de obicei, prima întrebare bancară și cea mai simplă: afacerea are nevoie de un cont operațional ca orice societate de software, iar dosarul pe care îl cere o bancă arată la fel (structura acționariatului, sursa fondurilor fondatorilor și o descriere clară a ceea ce face produsul cu datele clienților). Parcurgerea din timp a etapei de pregătire pentru contul bancar evită ca deschiderea contului să devină ultimul lucru rezolvat înainte de lansare.
Aceasta se schimbă în clipa în care produsul încetează să mai fie software pur. Aceleași întrebări care stabilesc cine primește sau controlează banii într-o societate fintech se aplică și aici: un instrument care deține banii clienților, inițiază o plată sau acordă credit reprezintă o altă activitate reglementată, iar nicio pregătire pentru contul bancar nu transformă o licență comercială în permisiunea de a o desfășura. Păstrați cele două întrebări separate: poate această societate să aibă cont bancar și atinge vreodată ea, și nu clientul său, banii clienților. A doua, acolo unde apare, necesită propria autorizare sau un sponsor.
Proprietate, substanță și rolurile verificate de un cumpărător
Structura de grup poate plasa tehnologia, proprietatea intelectuală și orice funcție licențiată în entități separate, cu condiția ca fiecare să aibă un rol real. Echipa juridică a unui cumpărător va întreba cine deține modelul și fluxul de date, cine este nominalizat în contract și cine este răspunzător dacă un rezultat de verificare este greșit. Atunci când proprietatea se întinde pe mai multe jurisdicții, tratați-o ca proprietate reglementată și complexă înainte ca o echipă de due diligence să o testeze. Cazul scris trebuie să se afle în planul de afaceri aferent, nu asamblat după ce întrebarea este pusă.
Ce greșeli apar frecvent
- Extragerea (scraping) sau achiziționarea de date fără un drept durabil de a le utiliza pentru verificare
- Descrierea instrumentului ca fiind ceva care face un client „conform”, în loc de ceva care sprijină o decizie pe care clientul o deține în continuare
- Utilizarea datelor biometrice fără a parcurge întâi cerințele legii privind protecția datelor referitoare la consimțământ și scop
- Omiterea unei echipe de verificare offshore sau a unui subprocesator din contract și din dosarul de due diligence al cumpărătorului
Compararea taxelor de înființare este cea mai frecventă greșeală timpurie. Costul relevant este traseul complet: entitatea, orice licențiere a datelor și asigurare de securitate pe care o solicită un cumpărător, și cât costă adăugarea ulterioară a unui nivel de verificare administrată, dacă varianta exclusiv software se dovedește insuficientă. Velarozone tarifează acel pachet complet, nu o cifră centrală de înființare, și prezintă propriul onorariu în modul descris de modul în care funcționează Velarozone.
