Генеральный директор Airwallex опроверг утечку данных: данные американских клиентов не передавались в Китай

Инвестор Кит Рабуа обвиняет Airwallex в риске утечки данных из-за наличия крупной инженерной команды и акционеров в Китае. Генеральный директор и соучредитель Airwallex Джек Чжан опроверг эти обвинения и подчеркнул их недостоверность, заявив, что компания никогда не передавала и не будет передавать какие-либо данные американских клиентов в Китай. Он пояснил, что данные американских клиентов хранятся исключительно в США, Нидерландах и Сингапуре, а сотрудники материкового Китая и Гонконга не имеют к ним доступа.

Обвинения инвестора Кита Рабуа в соцсетях вызвали бурную дискуссию

До того как Чжан публично опроверг обвинения, известный инвестор Кит Рабуа на платформе X выдвинул ряд серьёзных претензий к Airwallex. Рабуа утверждает, что китайское законодательство обязывает компании и граждан сотрудничать с государственными органами разведки, из-за чего любые компании, тесно связанные с Китаем, потенциально подвержены рискам утечки данных. Он особо отметил, что наличие у Airwallex крупной инженерной команды в Китае неизбежно ведет к угрозе безопасности данных.

Аргументация Рабуа основана на положениях “Закона КНР о разведывательной деятельности”, согласно которому “любые организации и граждане обязаны в соответствии с законом поддерживать, содействовать и сотрудничать с государственной разведывательной работой”. По мнению Рабуа, даже если данные хранятся на серверах в США, китайское законодательство может обязать инженеров, работающих в Китае, предоставить доступ или содействовать получению информации. Кроме того, Рабуа считает, что наличие у Airwallex китайских акционеров также является значительным фактором риска.

Эти обвинения вызвали широкий резонанс в финтех- и криптосообществе. Некоторые посты были впоследствии удалены, но спор продолжает распространяться. Сторонники Airwallex выступили с опровержениями, некоторые пользователи усомнились в доказательной базе обвинений, назвав их догадками. Один из топ-менеджеров Airwallex также заявил, что компания постоянно инвестирует в региональную изоляцию данных и применяет меры, выходящие за рамки требований регуляторов.

Генеральный директор Airwallex подробно разъясняет архитектуру хранения данных

В своем ответе Чжан предоставил подробную схему хранения данных в Airwallex. Он уточнил, что данные американских клиентов хранятся только в США, Нидерландах и Сингапуре. Он подчеркнул, что сотрудники материкового Китая и Гонконга не имеют доступа к личным данным (PII) американских клиентов. Такая стратегия изоляции данных — ключевой элемент глобальной комплаенс-архитектуры Airwallex.

Чжан особо обратил внимание на различие между географией инженерных команд и правами доступа к данным: “Таланты могут быть распределены по всему миру, но права доступа к данным — нет”. Он отметил, что местонахождение инженера не совпадает с местом хранения клиентских данных, а права доступа определяются ролью и необходимостью, а не локацией сотрудника. Такой ролевой контроль доступа (RBAC) является стандартом в современных облачных системах безопасности.

В настоящее время Airwallex обладает более чем 70 лицензиями по всему миру и регулируется в более чем 48 штатах США. Компания заявляет, что её правовые и технические системы способны предотвратить несанкционированный доступ иностранных правительств к американским данным. Чжан также отметил, что Airwallex не реагирует на запросы иностранных разведывательных служб о предоставлении не локальных конфиденциальных данных и придерживается стандартов федеральной защиты данных при трансграничной передаче.

Четыре столпа защиты данных в Airwallex

Географическая изоляция: данные американских клиентов хранятся только в США, Нидерландах и Сингапуре

Контроль доступа: права доступа к данным назначаются по ролевой необходимости, а не по месту расположения сотрудника

Международное регулирование: более 70 лицензий в различных юрисдикциях по всему миру

Отказ в удовлетворении иностранных запросов: не выполняются запросы иностранных правительств на получение не локальных конфиденциальных данных

При этом управленческая команда Airwallex распределена по США, Европе, Сингапуру и Австралии. Чжан добавил, что он сам проживает в Лондоне и не имеет операционных обязанностей в Китае. Такая децентрализованная структура управления дополнительно снижает влияние какой-либо одной страны на принятие решений в компании.

Формулировки политики конфиденциальности вызвали новую волну вопросов

Однако споры не утихают. Некоторые пользователи указали на размытые формулировки в глобальной политике конфиденциальности Airwallex. В этом документе говорится, что компания может обрабатывать клиентские данные в различных странах, включая Китай. Критики считают, что это противоречит публичным заявлениям Чжана и требуют дополнительных разъяснений от компании.

Различие в формулировках подчеркивает сложность комплаенс-вопросов для глобальных финтех-компаний. Необходимо, чтобы политика конфиденциальности охватывала все регионы деятельности компании, но при этом обеспечивала более строгую защиту данных клиентов в определенных странах, таких как США. Глобальная политика Airwallex, возможно, предназначена для охвата различных бизнес-направлений в разных странах, но недостаточно четко разграничивает особый порядок обработки данных американских клиентов.

Airwallex пока не разъяснил официально, распространяются ли эти положения политики на американских клиентов, находящихся под более строгой федеральной защитой. Компания утверждает, что личная информация (PII) американских клиентов ограничена утвержденными регионами, однако несоответствие между устными заявлениями и письменной политикой оставляет пространство для критики.

С точки зрения права, размытые формулировки в глобальной политике могут оставлять компании операционную гибкость, однако в условиях текущей геополитической напряженности такая неопределенность может стать проблемой. Многие транснациональные финтех-компании уже переходят к более детализированным региональным политикам конфиденциальности, четко разграничивая обработку данных клиентов в разных странах.

Нарушений со стороны регуляторов не выявлено, но обеспокоенность национальной безопасностью сохраняется

На данный момент ни один регулятор не подтвердил наличие нарушений со стороны Airwallex. Министерство финансов США, FinCEN и другие профильные органы не объявляли о начале официального расследования. С точки зрения закона, Airwallex находится в соответствии с требованиями, обладает необходимыми лицензиями и проходит регулярные проверки.

Тем не менее, этот конфликт сделал Airwallex объектом пристального внимания в сфере национальной безопасности, особенно в период, когда трансграничные финтех-компании сталкиваются с повышенной чувствительностью. На фоне обострения технологической конкуренции между США и Китаем любые потоки данных, связанные с Китаем, могут подвергаться дополнительному контролю. Опыт TikTok, Huawei и других компаний показывает, что даже при отсутствии доказательств злоупотреблений данными сам факт озабоченности национальной безопасностью способен серьёзно повлиять на бизнес.

На текущий момент Airwallex продолжает отстаивать свою позицию. Чжан заявил, что факты важнее обвинений, а онлайн-обсуждение поможет прояснить истину. Компания рассматривает возможность внедрения большей прозрачности, включая приглашение независимого аудита защиты данных и публикацию более подробных региональных политик обработки данных.