Що означає «некостодіальна обробка криптоплатежів»
Некостодіальна обробка криптоплатежів означає, що провайдер не зберігає кошти клієнтів або приватні ключі. Продавець отримує вартість напряму, або її спрямовує смартконтракт, а платіжний процесор не бере активи під свій контроль. Різниця здається невеликою. Але це не так, особливо коли бізнесу потрібно зрозуміти, чи законні криптоплатежі в ЄС у конкретній моделі роботи.
У кастодіальній моделі процесор може спочатку отримати криптовалюту, ненадовго її утримати, а потім пізніше провести розрахунок із продавцем. У некостодіальній моделі платіжний шлях побудований так, щоб процесор ніколи не контролював активи посередині. Типовий процес має 3 кроки: клієнт платить зі свого гаманця, блокчейн підтверджує переказ, а продавець отримує сповіщення або запис про розрахунок.
Один практичний приклад допомагає зрозуміти це краще. Покупець сплачує 80 USDC за цифровий продукт, на етапі оформлення замовлення відображається адреса гаманця, і щойно мережа підтверджує переказ, замовлення розблоковується. Між покупцем і продавцем немає гаманця провайдера. Жодного проміжного залишку. Жодного збереженого балансу.
Коротка відповідь: загалом законно, але на практиці регулюється
Коротка відповідь на запитання «чи є в ЄС законною некостодіальна обробка криптоплатежів» — так, загалом так, але лише якщо конкретна бізнес-модель відповідає правилам, які на неї поширюються. Відповідь нудна, а в праві це зазвичай добрий знак. Усе вирішують деталі, зокрема те, як співвідносяться MiCA PSD2 криптоплатежі з фактичними діями провайдера.
Некостодіальна модель не стає автоматично незаконною лише тому, що вона пов’язана з криптовалютою. Складніше питання — чи не робить провайдер насправді щось більше, ніж просто передає повідомлення. Якщо сервіс бере на себе передачу, конвертацію активів або здійснює контроль, регулятори можуть трактувати його інакше, ніж звичайне програмне забезпечення.
Бізнес-модель має значення. Як і країна, де надається послуга. Платформа, яка в одній державі-члені виглядає безпечно, в іншій може викликати питання щодо реєстрації або авторизації, особливо якщо вона працює з фіатом, стейблкоїнами або онбордингом клієнтів.
Ключові регуляторні рамки ЄС, які можуть застосовуватися
Одночасно можуть бути важливими кілька рамок ЄС. MiCA — головна назва для багатьох послуг із криптоактивами, але вона не єдина. Залежно від того, що саме робить процесор, можуть також застосовуватися правила AML/CTF, норми платіжного права за PSD2 і поточні обговорення PSD3, а також концепції електронних грошей.
MiCA може застосовуватися, якщо компанія надає послуги з криптоактивами в розумінні цього режиму. Сервіс, який лише публікує рахунки, може не потрапляти в один із блоків. Натомість сервіс, який передає ордери, маршрутизує платежі або організовує виконання, може потрапити в інший. Це розрізнення має реальні наслідки для ліцензування, управління та розкриття інформації.
PSD2 і майбутні правила, пов’язані з PSD3, мають значення, коли діяльність починає більше нагадувати платіжні послуги, а не просто програмну підтримку. Якщо провайдер виконує платіжні операції, забезпечує автентифікацію платника або працює як платіжний рахунок, аналіз змінюється. Питання не в тому, що написано в маркетинговому описі. Питання в тому, що саме робить сервіс.
Питання електронних грошей можуть виникати, якщо схема створює збережену вартість, що підлягає погашенню за номіналом у фіаті, або функціонує як грошовий інструмент. Некостодіальна система все одно може підпасти під таку дискусію, якщо поєднує функції гаманця, миттєву конвертацію та розрахунок із продавцем у спосіб, схожий на випуск платіжного інструменту. Одна функція може змінити всю картину.
Коли некостодіальний процесор усе ж може підлягати регулюванню
«Некостодіальний» — не чарівний щит. Якщо провайдер виступає посередником, маршрутизує, конвертує або іншим чином контролює платіжний шлях, регулятори можуть усе одно вважати таку діяльність регульованою. На практиці компанія може не бути кастодіальною й водночас залишатися під значним регуляторним ризиком.
Розгляньмо 4 типові тригери. По-перше, процесор сам обирає адресу гаманця і контролює момент вивільнення коштів. По-друге, він автоматично обмінює криптовалюту на фіат. По-третє, він об’єднує транзакції перед розрахунком. По-четверте, він має технічний доступ до приватних ключів або багатосигнатурних підтверджень. Кожен із цих фактів може мати значення.
Панель керування для продавця, яка просто показує статус платежу, — це одне. Платформа, яка вирішує, чи прийняти транзакцію, затримує розрахунок із міркувань ризику або може змінювати інструкції маршрутизації, — це інше. Чим ближче сервіс до контролю виконання, тим менш переконливо звучить аргумент «ми ніколи не торкалися коштів».
Саме тут бізнесу часто потрібна уважна юридична перевірка ще до запуску. Гайд із платіжного шлюзу для e-commerce може допомогти з операційною частиною, але правова частина все одно потребує власної карти. Ця карта змінюється, якщо процесор також пропонує обмін, функції, близькі до кастодіальних, або баланси для продавців.
AML, KYC і вимоги travel rule
Обов’язки щодо AML і KYC часто є першою комплаєнс-проблемою, яку недооцінюють. Якщо на провайдера поширюються правила AML/CTF, може знадобитися належна перевірка клієнта ще до онбордингу продавців або, у деяких випадках, ще до обробки певних транзакцій. Це не означає, що для кожного мікроплатежу треба сканувати паспорт. Це означає, що ризик-орієнтований підхід має бути реальним, а не для галочки.
Ще один складний момент — моніторинг транзакцій. Процесор повинен уміти виявляти незвичні патерни, санкційні ризики, роздрібнення сум і повторні взаємодії з гаманцями високого ризику. Один підозрілий переказ може мати більше значення, ніж 50 звичайних. Екрани без подальших дій — це не комплаєнс.
Travel rule, або правило передачі даних для криптопереказів, може застосовуватися, якщо сервіс входить до відповідної регульованої категорії та досягнуто порогового значення або сфери дії переказу за місцевою імплементацією. Простими словами, інформація про відправника та отримувача може мати передаватися разом із транзакцією. Потік даних не є опційним, якщо правило застосовується.
Санкційний скринінг також має значення. Некостодіальна схема не скасовує необхідності перевіряти контрагентів, юрисдикції та ризики, пов’язані з адресами гаманців, якщо від компанії очікують саме цього. Якщо процесор може заблокувати або відхилити транзакцію, він має розуміти, чому. Якщо не може, це обмеження слід задокументувати.
Міждержавна діяльність у ЄС і відмінності між державами-членами
ЄС — це один правовий ринок, але на практиці нагляд і досі фрагментований. Провайдер може паспортизувати послугу в межах однієї рамки, повідомити регулятора в іншій або зіткнутися з іншим тлумаченням тих самих фактів з боку іншого національного органу. Дві країни. Два підходи. Один продукт.
Саме тому так важлива локальна імплементація. Правило, ухвалене на рівні ЄС, усе одно може застосовуватися з різною інтенсивністю національними органами. Один регулятор зосередиться на розкритті інформації для споживачів. Інший спершу запитає про ліцензування та корпоративне управління. Третій найбільше цікавитиметься AML-контролями. Один і той самий процесор може отримати 3 різні запитання.
Продажі через кордон можуть створити додаткові проблеми, якщо бізнес одночасно просуває послугу клієнтам у кількох державах-членах. Можуть мати значення мова, локальна обробка скарг, податковий режим і пороги реєстрації. Компанія, яка планувала лише один офіс і одну юридичну записку, може швидко потрапити в скрутне становище.
Командам, які розширюються через кордони, корисно порівнювати картину комплаєнсу з практичною операційною моделлю. Стаття про те, як перейти з ручних банківських переказів на криптоплатежі, корисна для бізнес-процесу, але питання виходу на ринок ЄС додає ще один шар: які національні правила застосовуються першими і де саме послуга перебуває в ланцюгу?
Практичний комплаєнс-чекліст для бізнесу
Почніть із письмової юридичної оцінки. Це звучить базово, бо так і є. Класифікуйте сервіс в одному документі: кастодіальний, некостодіальний, маршрутизація, конвертація, онбординг, інтеграція гаманця або суто програмна підтримка. Якщо опис нечіткий, оцінка ризику теж буде нечіткою.
Потім змоделюйте рух коштів. Намалюйте платіжний шлях від гаманця клієнта до гаманця продавця та позначте кожну точку, де бізнес може торкнутися транзакції, перенаправити її, заморозити, обміняти або спостерігати за нею. Якщо є 2 людські підтвердження або крок із багатосигнатурою, зафіксуйте це. Регулятори люблять схеми більше, ніж гасла.
Після цього оцініть ризик ліцензування та реєстрації. З’ясуйте, чи може бізнес вважатися постачальником послуг із криптоактивами, платіжним провайдером, емітентом електронних грошей або чимось близьким до цих категорій. Якщо відповідь — «можливо», це не дуже комфортна відповідь, але вона чесна.
Далі побудуйте AML-політики, що відповідають розміру та ризику операції. Стартапу з 5 людей не потрібен 200-сторінковий комплаєнс-меморандум, але йому потрібні письмові правила для онбордингу, моніторингу, ескалації та зберігання записів. Політики, якими ніхто не користується, — це дорога шпалера.
Розкриття інформації для споживачів також має значення. Поясніть комісії, момент конвертації, обмеження щодо повернень, затримки мережі та хто несе ризик блокчейну. Якщо продавець не має доступу до зворотного списання, скажіть про це прямо. Якщо платіж може не пройти, бо користувач надіслав кошти не в ту мережу, теж скажіть. Чим зрозуміліший checkout, тим менше гнівних листів потім.
Тестування — це частина комплаєнсу, а не побічне завдання. Перед запуском бізнесу слід провести контрольовані транзакції, перевірити обробку адрес, протестувати сповіщення моніторингу та впевнитися, що служба підтримки може реагувати на помилки. Публікація про те, як тестувати криптоплатіж, добре підходить як операційний супутник, але бізнес усе одно має перевіряти власні юридичні припущення з тією самою ретельністю.
Коли варто звернутися по юридичну допомогу
Спеціалізована юридична консультація стає важливою, коли модель починає розмивати межі. Конвертація фіату — це великий червоний прапорець. Потоки зі стейблкоїнами — ще один. Інтеграція гаманця, яка дає провайдеру непрямий контроль над виконанням, теж може змінити аналіз. Однієї функції може бути достатньо, щоб змінити питання щодо ліцензування.
Звертайтеся по пораду раніше, якщо процесор може призупинити переказ, перенаправити кошти або обирати момент виконання. У продуктивних обговореннях ці факти можуть здаватися дрібними, а в регуляторному перегляді — великими. Платформа, яка може схвалювати, відхиляти або повторно обробляти транзакції, — це не просто пасивне ПЗ.
Юридична допомога також потрібна, якщо бізнес хоче працювати в кількох державах-членах з однієї інфраструктури. Плани виходу на ринки часто провалюються, бо компанія припускає, що існує одна відповідь для всього ЄС. Це не так. Національна практика все ще має значення.
Командам, які створюють інструменти для продавців, варто також подумати про обробку даних і записи клієнтів. GDPR і криптоплатежі породжують власні питання щодо зберігання, правової підстави та картографування даних гаманців. Якщо сервіс зберігає дані транзакцій, йому потрібна причина і строк зберігання. 30 днів — це не те саме, що 3 роки.
Фрилансери та агенції мають дещо іншу картину. Криптоплатіжний шлюз для фрилансерів може виглядати просто, але облік інвойсів, момент конвертації та податкові записи все одно можуть втягнути бізнес у питання комплаєнсу. Індивідуальний підприємець може бути меншим за масштабом, але це не означає звільнення лише через розмір.
Останній червоний прапорець — це невизначеність. Якщо команда не може за 2 хвилини пояснити, хто контролює ключі, хто ініціює конвертацію і хто може зупинити платіж, продукт, імовірно, ще не готовий до запуску. Саме в цей момент юрист має побачити схему процесу, а не після першої скарги.
Коментарі