Kripto ödənişləri üçün Travel Rule

1) Travel Rule nədir və niyə lazımdır

Travel Rule - virtual aktiv provayderlərinin kriptovalyutaların köçürülməsi zamanı göndərici və alıcının identifikasiya məlumatlarının mübadiləsi üçün tənzimləyici tələbdir. Məqsəd: AML/CTF risklərini azaltmaq, araşdırmaları asanlaşdırmaq və onchain infrastrukturunun səmərəliliyini qoruyaraq VASP köçürmələrinin şəffaflığını artırmaqdır.

• Məlumatlar tərcümə ilə birlikdə «səyahət» (VASP VASP off-chain rabitə kanalı).
• Tələblər və hədlər yurisdiksiyadan asılıdır; tez-tez hədd 1000 ~ yaxındır (ekvivalentində), lakin bir sıra rejimlərdə daha kiçik məbləğlərə də aiddir - siyasətinizdə yerli normanı qeyd edin.
• Tələblər hosted (kastodial) və unhosted (müstəqil) cüzdanları fərqləndirir.

2) Obyektlər və tətbiq sahələri

VASP → VASP (hosted hosted): Tam standart məlumat mübadiləsi (tercihen onchain broadcast qədər).
VASP → Unhosted: yerli RBA siyasəti üzrə vəsaitlərin ünvanı və mənşəyi haqqında məlumatların toplanması/yoxlanılması; «kontragent-VASP» ilə mübadilə yoxdur.
Cross-border: kontragent və təhlükəsiz kanal axtarmaq üçün Discovery/Directory və etimad müqavilələri istifadə edin.

3) Hansı məlumatlar ötürülür (minimum tərkibi)

• Adı (və ya adı. şirkət), unikal müştəri identifikatoru (sisteminizdən),
• Ünvan/ölkə və ya doğum tarixi (ölkə üzrə dəyişkən),
• Hesab/cüzdan nömrəsi (daxili identifikator/ünvan),
• Əlaqə (lazım olduqda), VASP identifikatoru (LEI/BIC/reg. nömrə - harada tətbiq olunur).

• Adı/adı (alıcı başqa bir VASP və təsdiq əgər),
• Benefisiar-VASP-da hesab/cüzdan identifikatoru,
• Unhosted - RBA siyasətinizə uyğun olaraq müştəridən toplanan məlumatlar.

• Aktiv/şəbəkə (BTC, ETH/chain), məbləğ, timestamp,
• Payment/Transfer ID, CUT referansı/sanksiya skrininqi,
• Travel Rule seans/mesaj identifikatoru.

4) Mübadilə standartları və protokolları

IVMS101 - məlumat modeli (nə və necə adlandırmaq olar).
TRISA/TRP/OpenVASP - şəbəkə protokolları və «etimad şəbəkələri» (PKI, mTLS, VASP kataloqları, marşrutlaşdırma, çatdırılma təsdiqi).
Kommersiya mərkəzləri/aqreqatorları uyğunluq (Gateway-yanaşma) və Discovery həyata keçirə bilər.

Tövsiyə: API-ni pozmadan provayderi/protokolu sərbəst dəyişdirmək üçün nəqliyyatı (Adapter qatını) abstrakt edin və IVMS101 «canonical model» kimi saxlayın.

5) Tətbiqi memarlıq (referans)

1. Travel Rule Gateway (mikroservis): IVMS101 mesajlarının qəbulu/göndərilməsi, imza/şifrələmə, retralar, kvotalar.

2. Directory/Discovery: Axtarış-VASP (reyestr, PKI, etimad siyasəti).

3. KYT/Sanctions Engine: ünvanların/birjaların/klasterlərin skrininqi, göndərilmədən əvvəl risklərin qiymətləndirilməsi.

4. Compliance Engine (RBA): qərar qəbul: allow/hold/reject/əlavə məlumat sorğusu.

5. Case Management: cases, əlavələr, SLA, eskalasiyalar (L1/L2/L3).

6. PII Vault: şəxsi məlumatların təhlükəsiz saxlanması (şifrələmə, tokenizasiya, RBAC, audit).

1. Müştəri tərcümə yaradır → 2) COP/sanksiyalar pre-check → 3) kontragent Discovery → 4) Exchange IVMS101 (onchain qədər) → 5) Solution (allow/hold) → 6) Onchain Broadcast → 7) Post-faktum hesabat/loging.

6) Unhosted cüzdan: siyasət və yoxlamalar

Müştəridən kontragent haqqında məlumatların toplanması (adı/ölkəsi/münasibəti), ünvana sahib olmağın təsdiqi (mesaj imzası, kiçik «pruf-transfer», birjada yoxlama).
Risk qaydaları: yüksək KYT riski olan ünvanlar üçün qadağa/limitlər (mikserlər, «qaranlıq» bazarlar, sanksiya klasterləri), siyasətinizə görə KYC olmadan P2P platformalarının qadağası.
TTL və review ilə ağ ünvan siyahıları (address book/whitelisting).

7) KOT/sanksiyalar və AML ilə inteqrasiya

KYT (Know Your Transaction): ünvanlar/birjaların risk qiymətləndirilməsi, N-hoplara qədər «pis» klasterlərlə əlaqələr, həcm/marşrutların anomaliyaları.
Sanksiyalar: müştəri/qarşı tərəfin (KYC/KYB) və infrastrukturun (birjalar, kastodianlar) skrininqi.
Müsbət risk → hold, sənəd sorğusu (SoF/SoW) və/və ya imtina, lazım olduqda - SAR/STR.

8) Data & Privacy (GDPR/Təhlükəsizlik)

Minimallaşdırma: yalnız tələb olunan Travel Rule sahələrini saxlayın; PII-ni ödəniş PAN/açarlarından ayırın.
Şifrələmə: dinc (KMS/HSM) və tranzit (mTLS), açarların rotasiyası.
Giriş: ciddi RBAC, fəaliyyət jurnalı, «need-to-know» prinsipi.
Retenshn: yurisdiksiya qanununa görə (çox vaxt 5 + il); avtomatik ekspirasiya və silinmə hesabatları.
DSR: giriş/düzəliş/silinmə prosedurları, harada tətbiq olunur.

9) SLA, retraj və deqradasiya

• Pre-check (CUT/sanksiyalar): ≤ 5-15 c p95.
• Discovery + Exchange (VASP, VASP): ≤ 60-120 c p95 (retralar daxil olmaqla).
• Həll (allow/hold/reject): auto cases üçün 2-5 dəq p95 ≤; Yüksək risk əl baxış - ≤ 4 saat.

• Eksponent backoff + jitter; alternativ end nöqtələri.
• Sunrise-problem (qarşı tərəf Travel Rule dəstəkləmir): RBA istisnaları/limitləri, şifrələnmiş kanal vasitəsilə əl mübadiləsi (siyasət/qanun icazə verərsə) və ya imtina.

10) UX-patternlər (dönüşümü pozmadan)

Tez-tez köçürmələr üçün alıcı məlumatlarının əvvəlcədən doldurulması (ünvan kitabı).
Aydın mesajlar: «Ünvan təsdiqi tələb olunur »/« Qaydaya uyğunluq üçün alıcının məlumatları tələb olunur».
Kontekst yoxlamalar (ünvan imzası, mikro tərcümə) addım-addım ipuçları ilə.
hold/yoxlama statusu və zamanlayıcıları, şəffaf gözləntilər.
Alternativlər: «KYC ilə birjada almaq» rədd edildikdə unhosted.

11) Metrika və keyfiyyətə nəzarət

• Travel Rule coverage% (uğurlu IVMS101 mübadiləsi ilə VASP VASP köçürmələrinin payı).
• Ünvanın yoxlanılması və SoF (eşik) ilə unhosted payı.
• mübadilə/həllər üzrə SLA hit rate; əl hallarının payı.

• KYT high-risk rate, sanksiyalardan imtina, SAR-conversion.
• Ünvanlar/klasterlər üzrə təkrar alertlər, KYT üzrə paylaşım «false positive».

• p50/p95 tərcüməsinə qədər vaxt, Travel Rule (impact) səbəbiylə imtina, təkrar tərcümələrin çevirilməsi (ünvan kitabı).

12) Həllər matrisi (eskiz)

13) Anti-nümunələr

VASP VASP məlumat mübadiləsi başa çatana qədər onchain göndərilməsi (tərcümədən əvvəl tələb olunan rejimlərdə).
RBA istisnaları və ünvanlı yoxlama olmadan bütün unhosted «lock».
Discovery/Directory → qeyri-sabit çatdırılma və tez-tez saxta hold.
Həddindən artıq PII-nin məqsədsiz/retrenşn saxlanması; ayrılmamış log və PII.
Abstraksiya olmadan bir protokol provayderinə sərt bağlama (vendor lock-in).

14) Giriş çek siyahısı

• Travel Rule Siyasəti: yurisdiksiyalar, eşiklər, hosted/unhosted, RBA istisnaları.
• TRISA/TRP/OpenVASP altında IVMS101 və Adapter qatının kanonik modeli.
• Directory/Discovery и PKI/mTLS; etibarlı VASP idarə.
• CUT/sanksiyaların pre-check-ə inteqrasiyası; hold/reject qaydaları.
• PII Vault: şifrələmə, RBAC, audit, retenshn/DSR.
• SLA/retray/alert, metrik dashboard; deqradasiya pleybukları.
• Unhosted üçün proseslər: ünvanlı yoxlama, SoF sorğuları, ağ siyahılar.
• Case-menecment və kommunikasiya şablonları; SAR/STR prosedurları.
• Test stendləri: VASP kontragent emulyasiyası, failure ssenariləri, yük testi.
• Payments/Risk/Compliance/Support təlim və müntəzəm təlimlər.

15) Xülasə

Travel Rule «kriptovalyuta haqqında» deyil, VASP arasında əməliyyat-təhlükəsiz məlumat mübadiləsidir. Bir kanonik model kimi IVMS101 ilə bir şluz qurun, Discovery/Directory bağlayın, CUT/sanksiyalar və RBA həllərini inteqrasiya edin, PII-ni qoruyun və başa düşülən SLA-ları təyin edin. Sonra VASP VASP köçürmələri və unhosted ünvanlarla işləmək sürətli, tələblərə cavab verəcək və dönüşü məhv etməyəcək.