Генеральний директор Airwallex спростовує витік даних! Дані клієнтів із США не передавалися до Китаю

Інвестор Кіт Ребуа (Keith Rabois) звинуватив Airwallex у ризику витоку даних через наявність великої інженерної команди та акціонерів у Китаї. Генеральний директор і співзасновник Airwallex Джек Чжан (Jack Zhang) це заперечив і наголосив, що звинувачення безпідставні, а компанія ніколи не передавала жодних даних клієнтів зі США до Китаю. Він пояснив, що дані американських клієнтів зберігаються лише в США, Нідерландах і Сінгапурі, а співробітники з материкового Китаю та Гонконгу не мають до них доступу.

Звинувачення інвестора Кіта Ребуа у соцмережах спровокували дискусію

Перед тим, як Чжан публічно спростував закиди, відомий інвестор Кіт Ребуа у мережі X висунув низку серйозних звинувачень проти Airwallex. Ребуа стверджував, що китайське законодавство вимагає від компаній і громадян сприяти діяльності державної розвідки, тому будь-яка компанія з тісними зв’язками з Китаєм може стикнутися з ризиком безпеки даних. Особливий акцент він зробив на тому, що у Airwallex велика інженерна команда у Китаї, що, за його словами, неминуче створює ризики витоку даних.

Аргументація Ребуа базується на положеннях китайського «Закону про національну розвідку», який встановлює: «Будь-яка організація чи громадянин повинні згідно із законом підтримувати, допомагати і співпрацювати з державною розвідкою». На його думку, навіть якщо дані зберігаються на серверах у США, китайське законодавство може змусити інженерів у Китаї надати доступ або допомогти отримати дані. Окрім того, він вважає, що наявність китайських акціонерів у Airwallex – ще один суттєвий фактор ризику.

Ці звинувачення викликали широку дискусію у сфері фінтеху та криптовалют. Частина дописів згодом була видалена, проте суперечка вже поширилася. Прихильники Airwallex виступили з відповіддю, а деякі користувачі поставили під сумнів докази на підтримку звинувачень, назвавши їх припущеннями. Один із топ-менеджерів Airwallex також відповів, що компанія постійно інвестує у регіональну ізоляцію даних і застосовує заходи, що перевищують вимоги регуляторів.

Генеральний директор Airwallex докладно пояснює архітектуру зберігання даних

У своїй відповіді Чжан навів детальний опис архітектури зберігання даних Airwallex. Він уточнив, що дані клієнтів зі США зберігаються лише у США, Нідерландах і Сінгапурі. Він підкреслив, що співробітники з материкового Китаю та Гонконгу не мають доступу до персональних даних американських клієнтів (PII). Така стратегія ізоляції даних є основою глобальної комплаєнс-архітектури Airwallex.

Чжан особливо наголосив на відмінності між геолокацією інженерної команди та правом доступу до даних: «Таланти можуть працювати по всьому світу, але права доступу до даних — ні». Він зазначив, що місце роботи інженера не збігається з місцем зберігання даних клієнта, а права доступу визначаються за роллю та потребою, а не за місцем перебування співробітника. Такий підхід до розподілу доступу на основі ролей (RBAC) є стандартною практикою сучасної хмарної безпеки.

Зараз Airwallex має понад 70 ліцензій по всьому світу й перебуває під регулюванням у більш ніж 48 штатах США. Компанія стверджує, що її юридичні та технічні системи здатні заблокувати несанкціонований доступ іноземних урядів до американських даних. Чжан також зазначив, що Airwallex не реагує на запити іноземних спецслужб щодо не місцевих чутливих даних, а компанія дотримується федеральних стандартів захисту даних США при передачі через кордон.

Чотири основні принципи захисту даних в Airwallex

Географічна ізоляція: дані клієнтів зі США зберігаються тільки в США, Нідерландах і Сінгапурі

Контроль доступу: права доступу до даних надаються за роллю, а не за місцем знаходження співробітника

Багатонаціональне регулювання: понад 70 фінансових ліцензій у різних юрисдикціях світу

Відмова іноземним запитам: не задовольняються запити іноземних держав на не місцеві чутливі дані

Керівна команда Airwallex також працює у США, Європі, Сінгапурі та Австралії. Чжан додав, що сам мешкає у Лондоні й не має оперативних функцій у Китаї. Така децентралізована структура подальше знижує вплив окремої держави на прийняття рішень у компанії.

Формулювання політики конфіденційності викликало нову хвилю сумнівів

Однак суперечка не вщухла. Деякі користувачі звернули увагу на розпливчасті формулювання у глобальній політиці конфіденційності Airwallex. Документ стверджує, що компанія може обробляти дані клієнтів у різних країнах, включаючи Китай. Критики вважають, що це суперечить публічним заявам Чжана й вимагають додаткових роз’яснень.

Такі розбіжності у формулюваннях підкреслюють складність комплаєнсу для глобальних фінтех-компаній. Компаніям потрібно охопити всі регіони діяльності у глобальній політиці конфіденційності, але водночас забезпечити суворіший захист даних у певних регіонах, наприклад у США. Глобальна політика Airwallex, ймовірно, створена для охоплення різних бізнес-ліній компанії в різних країнах, але не чітко виокремлює правила обробки даних американських клієнтів.

Airwallex наразі офіційно не роз’яснила, чи поширюються ці положення політики конфіденційності на клієнтів зі США, які підпадають під суворіше федеральне регулювання. Компанія наполягає, що персональні ідентифікаційні дані (PII) клієнтів зі США обмежені дозволеними регіонами, але невідповідність між цими усними заявами та письмовою політикою дає підстави для критики.

З юридичної точки зору, розпливчасті формулювання глобальної політики конфіденційності можуть забезпечити гнучкість для бізнесу, але в нинішніх умовах геополітичної чутливості така невизначеність може стати тягарем для компанії. Багато міжнародних фінтех-компаній уже впроваджують більш деталізовані регіональні політики конфіденційності, чітко розділяючи порядок обробки даних клієнтів у різних регіонах.

Жодних порушень регулювання, але питання нацбезпеки залишаються актуальними

Наразі жоден регулятор не підтвердив порушень Airwallex. Також немає інформації про офіційні розслідування з боку Мінфіну США, FinCEN та інших органів. З юридичної точки зору Airwallex залишається у комплаєнсі, володіє необхідними ліцензіями і проходить регулярні перевірки.

Втім, цей конфлікт зробив Airwallex об’єктом уваги у сфері національної безпеки, особливо на тлі зростання чутливості до діяльності транснаціональних фінтех-компаній. На тлі загострення китайсько-американського техноконфлікту будь-які транскордонні потоки даних, пов’язані з Китаєм, можуть піддаватися додатковому контролю. Досвід TikTok, Huawei та інших компаній показує: навіть за відсутності доказів зловживань даними самі підозри щодо нацбезпеки можуть суттєво впливати на бізнес.

Станом на зараз Airwallex залишається на своїх позиціях. Чжан заявив, що факти говорять самі за себе, а онлайн-звинувачення допоможуть з’ясувати правду. Компанія розглядає можливість впровадження ще більших заходів прозорості — зокрема, залучення незалежного аудитора для оцінки архітектури захисту даних і публікації більш детальної регіональної політики обробки даних.