博客
银行账户监测规则与阿联酋监管科技机遇
简短的回答
英国劳动与养老金部（DWP）的银行账户监控规则属于英国的政策，在阿联酋不适用。阿联酋公司如需从银行获取客户账户数据，须根据阿联酋中央银行（CBUAE）的开放金融监管规定取得开放金融许可证，并须取得客户的明确同意，最低资本为1,000,000迪拉姆。依据银行合同开展工作的软件供应商属于另一种情形，其法律地位取决于产品如何处理这些数据。
关键在于软件供应商与数据访问提供方之间的界线。向持牌银行提供监测或案件管理工具的公司，与直接从客户处获取账户数据的公司，处境并不相同。Central Bank of the UAE（CBUAE）负责监管银行和开放金融活动，UAE Data Office 则依据联邦数据保护法监督个人数据。
同意是贯穿其中的共同主线。联邦法律禁止未经数据所有人同意而处理个人数据，仅对公共利益和某些法律程序设有有限的例外。以“监测”为基础的业务，必须能够说明这项同意从何而来。
英国的这件事能告诉阿联酋创始人什么，不能告诉什么
英国的讨论涉及一个政府部门，该部门希望检查银行账户，以发现福利支付中的欺诈和错误。这是一项由英国立法确立的国家权力，针对的是特定的申领人群体。阿联酋不存在任何同等的规定，能让一家私营公司有权查看任何人的账户。
英国的这一事例向创始人提出了一个设计问题：在整个监控链条中，我的公司将承担哪一环节？银行开展交易监控是因为负有法定义务。软件公司可以开发工具，使监控更低成本、更准确，但无法借用银行查看数据的权限。
这条界线决定了监管路径。根据CBUAE的开放金融监管规定（C 03/2025），通过银行接口获取客户账户数据的公司需要取得开放金融许可证，而依据银行合同开展工作的供应商则属于另一种情形。融资路演材料常见的错误，是用受监管职能的措辞来描述一款供应商产品。
四种看似相似、实则不同的业务模式
同意与授权管理。产品记录客户同意了什么，让客户可以撤回同意，并保存审计跟踪（audit trail）。它处理的是同意记录，而不一定是底层的账户数据。它最接近数据保护规则，因为核心义务是证明同意有效。
向机构销售的监测软件。实际上，银行是数据控制方（data controller），供应商依据与银行的合同开展工作。访问、留存、使用客户数据训练模型以及事件报告等问题，都在服务协议中约定。供应商是否需要任何授权，取决于其具体做什么，应当向相关监管机构确认，而不是想当然。
开放金融分析。在这种模式下，公司经客户许可，通过银行接口读取客户账户数据。CBUAE 的开放金融框架正是在这里发挥作用，这也是最有可能需要自身授权的模式。关于开放金融服务提供方路径的单独指南涵盖了这一范围。
案件管理与监管报告工具。这些工具帮助合规团队记录决定。关键细节在于，工具是仅仅记录人工决定，还是开始自行作出决定。
一个集团可以在同一品牌下运营其中几种业务，但合同各不相同。
同意、数据法律与自由区问题
联邦个人数据保护法适用于在阿联酋境内或境外、全部或部分通过电子方式进行的处理，并对跨境传输提出要求。UAE Data Office 隶属于阿联酋内阁，负责制定指引并处理投诉。数据所有人可以要求更正，也可以限制或停止处理。
对于监控或数据类产品，有三点实务要求。其一，同意必须足够具体，涵盖软件对数据的实际处理方式。其二，撤回同意必须能在产品中实际操作，而不仅仅写在条款里。其三，数据如流出阿联酋，例如流向云区域或境外母公司，须有书面记载的依据。获得许可的开放金融服务提供方面临更严格的条件。CBUAE的开放金融监管规定要求针对每一项目的分别取得同意，且撤回同意必须与给予同意同样便捷。该规定还要求数据存储在阿联酋境内，除非CBUAE已批准境外存储，且客户在被告知存储地点及原因后已书面同意。
所在地点会增加一层要求。阿联酋政府的数据保护页面在联邦法律之外，还列出了DIFC数据保护法（DIFC Law No. 5 of 2020）和迪拜数据法（Law No. 26 of 2015）。因此，位于金融自由区（free zone）内的公司可能适用与内陆（mainland）公司不同的数据制度，而同时服务两地客户的公司可能需要同时遵守两种制度。联邦页面并未说明这些制度之间如何衔接，因此在确定所在地点之前，应就您自身架构的具体情况向自由区管理机构及相关监管机构确认。
数据与合规业务应选内陆还是自由区
内陆公司（mainland）适合主要向阿联酋银行和企业销售、且不希望合同对象受地域限制的业务。自由区（free zone）公司可能很适合拥有区域客户群的技术类业务，前提是自由区的许可经营范围与软件和数据服务相符，且合同是与正确的实体签订的。
对监管科技（RegTech）供应商而言，实际考验与贸易公司不同。许可证能否准确描述软件开发和数据处理？银行的采购团队会否接受该实体作为供应商？员工将在哪里办公，该地点能支持创始团队办理哪些居留签证？数据将实际托管在哪里？
如果产品后来被发现涉及受监管数据，导致贸易许可证上的业务活动需要日后修改，那么较低的设立价格意义不大。应先确定产品边界，再比较各个地点，这正是Velarozone的工作方式中所述的顺序。
银行签约前会问什么
创始人常把银行事务视为公司注册后的工作。对这一行业而言，它同时也是销售流程。购买监测软件的银行，或为贵公司开立企业账户的银行，都希望看到一幅前后一致的图景。
预期会被问到的问题包括：公司归谁所有、代码由谁控制，客户数据存放在哪里、谁可以访问，模型如何测试、误报如何处理，以及发生数据泄露后如何处理。关于所有权，CBUAE的指引要求银行识别并核实持有或控制公司客户25%或以上的每一位个人。如无人达到25%，则改为识别高级管理人员。银行还会询问您的团队是否具备合规经验，因为产品的可信度取决于其背后的团队。
自动预警会引发一个特定的担忧。如果模型标记了某个账户，分析人员只是照单接受，那么该决定实际上就是自动作出的。受监管的客户更倾向于支持有书面记录的人工判断的工具。从一开始就把这一点纳入工作流程，比银行提出要求后再补做要便宜。
RegTech KYC与AML平台路径与监控业务高度重叠。其买方同为合规团队，因此适用同样的供应商尽职调查。
简而言之
从中获取什么
- 英国的规则只是起因。阿联酋公司将依据阿联酋数据法律和 CBUAE 的预期来设计产品，而不是依据 DWP 的权力。
- 第一项结构性选择，是软件供应商，还是接触客户账户数据的公司。
- 联邦数据保护法以同意作为处理个人数据的起点，UAE Data Office 是联邦监管机构。
- 位于自由区（free zone）可能引入单独的数据制度，例如 Dubai International Financial Centre（DIFC）的数据保护法。
- 向银行销售通常意味着要通过其供应商尽职调查，该调查先考察安全与治理，再看价格。
- 被包装成规避监测手段的产品，不是阿联酋银行或监管机构愿意靠近的业务。
- 如果数据来自客户的银行，阿联酋公司能否提供客户同意的监测服务？
- 有可能，但这属于开放金融问题，而非软件问题。依客户指示从银行获取账户数据的公司，需要取得CBUAE颁发的开放金融许可证，仅有客户同意并不能授权此类访问。同意必须是明确的、针对具体目的的，并且可随时撤回。以此方式获得的数据必须存储在阿联酋境内，除非CBUAE与客户均已批准境外存储。
- 如果我们只向银行销售软件，还需要许可证吗？
- 这取决于软件做什么。在银行环境内、依据银行合同运行的工具，与以自身名义接收或转移客户数据的服务，是不同的情形。请写明产品做什么、不做什么，并请相关监管机构核对该描述，因为产品的标签并不能说明任何问题。
- 如果我们位于自由区（free zone），适用哪部数据法？
- 两个层面都可能适用。联邦个人数据保护法涵盖阿联酋境内外的处理活动，而 DIFC 等金融自由区有自己的数据保护法。具体某项活动适用哪一部，取决于公司所在地及服务对象，因此请向自由区管理机构核实。
- 我们能否把产品宣传为帮助客户规避监测的方式？
- 不能。银行和监管机构会将其视为危险信号，而且这会削弱产品的合规立场。可信的立场是：产品在法律范围内帮助客户了解并控制其数据的使用方式。
一般信息取自CBUAE Rulebook，包括Retail Payment Services and Card Schemes Regulation (C 15/2021)以及已公布的2025年第(134)号内阁决议，不构成法律或税务建议。规则和指引会变化，因此在提交前请确认现行文本以及各机构自身的要求。