指南
如何在阿联酋设立云计算或托管服务提供商
简短的回答
云服务或托管服务公司通常以普通商业许可证起步,问题在于还有哪些机构可能对此有进一步的要求。需要核实的机构包括:若服务的任何部分看起来属于电信业务,则是Telecommunications and Digital Government Regulatory Authority(TDRA);就网络安全方面的要求而言,则是UAE Cyber Security Council。无论许可证上如何表述,数据保护法都同样适用。
最常决定适用路径的因素是服务边界:该公司是转售服务、运营基础设施,还是管理客户自有的环境。这个答案决定了所需的合同、保险、人员配置和审批事项,也决定了电信方面的问题是否值得进行正式核查。
先确定服务模式,再申请许可证
大多数创业者会描述四种模式,每一种都会给公司带来不同的义务:
- 在合作伙伴协议下转售超大规模云服务商(hyperscaler)的服务。
- 运营私有云或公共云基础设施。
- 为客户自有环境提供运维管理。
- 将托管、备份、安全和支持服务整合在一起。
经销商承担合作伙伴认证、计费和支持职责。运营商承担硬件、设施、正常运行时间和恢复。托管服务公司承担对他人系统的特权访问。捆绑业务则同时承担以上所有职责。在企业之间传递发票数据的提供方是另一种情形，见电子发票提供商指南。
如果不止一种模式适用,通常会形成一个集团,而不是单一公司。资产所有方、运营方和与客户签约的主体往往是分开的实体。放款机构和主要客户往往也会推动这种拆分。由一家公司同时持有硬件、债务和客户风险,融资难度会更大。
监管边界的划定位置
风险在于服务在无人察觉的情况下逐渐越过某条界线,因此相关立场应向有关机构核实确认,而不是凭假设行事。应尽早核实以下几点:
- 服务的任何部分是否属于电信活动,而非IT服务。这个问题应由TDRA来解答。
- 客户所在行业对供应商有哪些网络安全标准要求,以及UAE Cyber Security Council已发布的内容中,哪些与该服务相关。
- 该公司对其接触到的每一组数据而言,属于数据控制者还是数据处理者。
- 分处理方(subprocessor)位于何处,以及数据是否跨境传输。
- 上游供应商协议允许哪些事项,因为超大规模云服务商(hyperscaler)的合作伙伴协议可能会限制转售和白标(white-labelling)服务。
核查发现问题,并不意味着一定需要取得授权,而是意味着该立场需要与相关机构进行以事实为依据的核实。如果客户使用流程实际执行了受监管的功能,将业务称为"技术平台"并不能使其脱离监管范围。
把这一立场写清楚：公司构建和运营哪些业务，不构建和运营哪些业务，哪些职能由经认可的合作伙伴承担，以及哪些扩张步骤会改变这一答案。房东、贷款机构和银行都会要求提供这份说明，企业客户在采购过程中也同样如此。
影响结果的结构选择
在比较内陆 (mainland)、自由区 (free zone)和金融中心路径之前，先确定这些变量：
- 基础设施归属何处，以及其服务哪些区域。
- 公司是以委托人、代理人还是经销商的身份签约。
- 由谁负责备份、恢复和安全管理。
- 客户数据如何隔离，以及谁拥有特权访问权限。
- 服务信用额度、责任上限和网络保险如何相互衔接。
签署客户合同的实体，应具备履行合同所需的人员、系统和风险承担能力。持有资产的载体公司、知识产权公司或海外母公司可以设在集团内的其他位置，但每一个都需要承担真实的职能。为宣传低设立成本而搭建的结构，往往会在后期引发银行方面的质询和返工。对于依赖电力和硬件、计算密集型的业务模式，人工智能算力指南介绍了这一额外层面的内容。
角色、人员与实质要求
托管服务提供商的核心是其人员。工程师对客户系统拥有管理员权限，因此公司需要为以下每一项指定明确的责任人：
- 安全运营和事件升级处理。
- 数据保护，包括客户将要求的处理者条款。
- 按照合同约定的恢复目标交付服务。
- 财务和合同管理。
每个人在接触客户环境之前，都需要具备居留和工作身份。办公场所也很重要，但对经销商而言重要性不如对拥有机架式硬件的运营商。客户会将团队页面和组织架构图视为业务实质的证明，银行也是如此。
资金如何流动，以及银行关注的要点
该行业的收入具有经常性特征：按月开具发票、按使用量计费、合作伙伴返利，有时还有转嫁费用。成本通常以外币支付给境外的超大规模云服务商和硬件供应商。银行会关注客户是谁、供应商设在何处，以及合同是否能解释这些资金流动。
须准备好展示以下内容：
- 供应商和数据中心协议。
- 服务目录和职责矩阵。
- 信息安全政策。
- 业务连续性和灾难恢复相关证明。
- 支持覆盖范围和事件升级处理。
目的是让演示文稿、财务模型、合同和银行资料共同讲述同一个故事。这正是企业银行账户开立准备服务围绕的核心，而商业计划与文件编制通常会成为参考文件。一致性可以消除可避免的质询，但并不能保证获得账户、融资或批准。
常见的问题
- 照搬超大规模云服务商的服务水平条款，却没有与之匹配的运营能力。
- 未在客户合同中披露分包处理方的所在地。
- 在满足客户的管控要求之前,就向受监管行业出售托管服务。
- 未核实边界,就将电信类连接服务与信息技术服务捆绑销售。
- 以不具备任何交付能力的实体签署客户合同。
- 只比较注册费用,而不比较整条路径的成本,包括续期费用、人员配置成本,以及合同签署后进行重组的成本。
费用
成本按层级构成,本公司的费用在业务约定书(engagement letter)中逐项列明;Velarozone 如何运作说明了具体方法。对运营商而言,场所、硬件和人员是许可证成本的主要构成部分。对经销商而言,合作伙伴认证和工程师则是主要构成部分。该行业不存在适用于整个行业的监管机构统一数据,因此此处不给出具体数字。
