就《虛擬資產交易平台指引》而言，電子數據儲存供應商²包括以下各項的外間供應商：

(a) 公共及私有雲端服務；

(b) 設於傳統數據中心的數據儲存伺服器或裝置；

(c) 電子資料的其他虛擬儲存形式；及

(d) 某些科技服務，而(i)在使用這些服務期間會產生資料，且資料會儲存於有關科技服務供應商或其他數據儲存供應商，及(ii)該等科技服務供應商可將所產生和儲存的資料檢索出來³。

如平台營運者沒有同時將一整套相同的監管紀錄存放於根據《打擊洗錢條例》第53ZRR條獲批准並由該平台營運者使用的香港處所，監管紀錄便會被視為只存放於電子數據儲存供應商。

舉例而言，如符合以下情況，監管紀錄不會被視為只存放於電子數據儲存供應商：

• 平台營運者將監管紀錄存放於電子數據儲存供應商，同時亦將一整套相同的監管紀錄存放於由該平台營運者所使用並根據《打擊洗錢條例》第53ZRR條獲批准的香港處所，例如當雲端儲存只用於數據備份或確保數據可用性的用途；或

• 平台營運者使用運算服務，但沒有將任何監管紀錄存放於電子數據儲存供應商，例如當雲端運算服務只用作運算及分析用途，而監管紀錄是被存放於該平台營運者的處所內。

若平台營運者希望將任何監管紀錄只存放於電子數據儲存供應商，便應確保遵從以下規定：

(a) 該電子數據儲存供應商(i)是在香港成立為法團的公司或根據《公司條例》（第622章）註冊的非香港公司⁴，而在這兩種情況下均由在香港進行營運的人員擔當職員，及(ii)藉位於香港的數據中心向平台營運者提供數據儲存（香港電子數據儲存供應商）。此外，只存放於該電子數據儲存供應商的平台營運者的監管紀錄將會在法律或法規所規定須存放有關監管紀錄的整個期間內，時刻存放於該數據中心⁵。

(b) 作為另一選擇，若該電子數據儲存供應商並非上文(a)段所界定的香港電子數據儲存供應商，平台營運者必須取得該電子數據儲存供應商有關按證監會可能提出的要求而提供監管紀錄和協助的承諾（大致上以本常見問題附錄1所載範本的形式）（有關承諾）。

(c) 平台營運者應將監管紀錄只存放於適當和可靠的電子數據儲存供應商，及已顧及到該電子數據儲存供應商的操作能力、技術專業知識及財政穩健性。

(d) 平台營運者應確保其只存放於某電子數據儲存供應商的所有監管紀錄，全部可應證監會要求在沒有不當延誤的情況下被取覽，及可從該平台營運者就這個目的而根據《打擊洗錢條例》第53ZRR條獲批准的香港處所以可閱讀形式重現。

(e) 該平台營運者應確保，(i)若其儲存於電子數據儲存供應商的監管紀錄曾被取覽（包括閱讀、編寫及修改），其能夠就此提供以可閱讀形式顯示的詳細稽查線索資料⁶，及(ii)稽查線索完整記錄平台營運者對任何儲存於電子數據儲存供應商的監管紀錄的取覽。稽查線索資料應在平台營運者須存放監管紀錄的期間內一直存放。平台營運者應被限制只能以唯讀方式取覽稽查線索資料，並且應確保每名曾取覽監管紀錄的用戶都能夠從稽查線索中被獨特地識別出來。

(f) 不論平台營運者使用哪一家電子數據儲存供應商，及其使用的電子數據儲存供應商在何處設置儲存資料的儲存設備，平台營運者應顧及所有在任何有關司法管轄區⁷的相關政治及法律⁸問題，確保證監會在履行職能或行使權力時對監管紀錄的有效取覽，不會因監管紀錄的存放方式而被削弱或不當地延誤。

(g) 平台營運者應指定至少兩名在香港為核心職能主管的人士，他們不但需具備相關認識、專業知識及授權，以便隨時取覽存放於電子數據儲存供應商的所有監管紀錄，而且能確保證監會在行使權力時一旦提出要求，便可在沒有不當延誤的情況下有效地取覽該等紀錄。核心職能主管或獲其轉授有關職能者必須管有所有數碼證書、鑰匙、密碼和保安編碼器，以確保能夠完全取覽存放於電子數據儲存供應商的所有監管紀錄。核心職能主管將負責確保資訊保安，以防止監管紀錄在未經授權下被取覽、竄改或銷毀。核心職能主管或獲其轉授有關職能者必須向證監會提供一切所需的協助，以令證監會可確保並及時獲得對該公司存放於電子數據儲存供應商的所有監管紀錄的取覽，並且制定所有必需的政策、程序及內部監控措施，確保證監會可於提出要求時在沒有不當延誤的情況下完全取覽所有監管紀錄。平台營運者及指定核心職能主管應確保該指定核心職能主管的上述責任在所有時間都能夠及將會獲得履行。

(h) 平台營運者應根據《打擊洗錢條例》第53ZRR條就用作存放監管紀錄的處所取得批准。見下文常見問題8。

為妥善管理網絡和其他運作風險，使用外間數據儲存或處理服務的平台營運者應實施以下監控措施，不論監管紀錄是否只存放在電子數據儲存供應商內。

(a) 平台營運者應對電子數據儲存供應商及與其提供數據儲存服務的基礎設施、人員及程序有關的監控措施，進行適當的初步盡職審查，以及定期監察電子數據儲存供應商的服務交付，而所進行的初步盡職審查與定期監察需與電子數據儲存供應商的服務的關鍵程度、重要性、規模及範圍相稱。有關的盡職審查應涵蓋：

(i)      電子數據儲存供應商的內部管治，以保護平台營運者的監管紀錄（當監管紀錄是存放於電子數據儲存供應商的情況下），以及可能包括評估儲存設備的實體保安、寄存的類別（即是否為專用或共用硬件）、網絡基礎設施的保安、資訊科技系統及應用系統、身分及取覽的管理、網絡風險管理、資訊保安、數據遺失及違規通知、鑑證能力、災難恢復及業務持續運作程序；及

(ii)      由電子數據儲存供應商就儲存平台營運者的監管紀錄而作出的任何分包安排，特別是關於網絡風險管理及資訊保安。

(b) 平台營運者應維持有效的管治程序，以(i)購置、部署及使用作閱讀、編寫或修改任何客戶數據和與平台營運者業務運作有關的資料（有關資料）用途的軟件應用程式或服務，及(ii)適當地確保平台營運者的有關資料的保安、真實性、可靠性、完整性和保密性，以及其能夠適時提供有關資料。

(c) 平台營運者應實施全面的資訊保安政策，以防止未經授權的披露或洩漏。該政策應包含適當的數據分類框架、不同數據分類級別的說明、為識別數據敏感度而編製的角色和責任清單，及相應的監控措施。平台營運者亦應採取適當的措施，確保電子數據儲存供應商能夠保護屬於機密的有關資料，以防止在蓄意或不慎的情況下披露予未經授權的第三方或被他們所誤用。為保護其屬於機密的有關資料，平台營運者應在數據靜止及傳遞時將其加密，或制訂有效的程序和機制，保障其保密性及安全性。當有關資料被加密時，平台營運者須實施適當的密碼匙管理監控措施，持續管有加密及解密匙，並且在證監會行使法定權力期間，要求平台營運者交出任何電子紀錄時，確保證監會可於提出要求時在沒有不當延誤的情況下取得密碼匙。

(d) 平台營運者應實施適當的政策、程序及監控措施，以管理用戶的取覽權，確保有關資料只可由獲授權的人員就恰當的目的而作出更改，及免受損害或竄改。一般來說，應禁止不同用戶之間共用系統驗證碼（例如密碼），以確保每名曾取覽監管紀錄的用戶都能夠被獨特地識別出來。

(e) 若平台營運者只是將有關資料的一部分存放在電子數據儲存供應商內（不論是否因數據敏感顧慮或其他原因），平台營運者便應制定監控措施，防止有關資料在未經妥善授權的情況下遷移至電子數據儲存供應商。

(f) 使用電子數據儲存供應商的服務（特別是公共雲端）的平台營運者需注意，該等服務的運作及它們在網絡威脅方面的風險承擔可能有別於在該平台營運者的處所內的運算環境，特別是關於資料保密性、完整性及復原能力，以及資料及保安監控措施的實施。公共雲端供應商及用戶一般就科技保安及監控措施共同分擔責任，而這做法可能較傳統的外判模式複雜。不論科技是如何部署的，平台營運者應確保其清晰界定、明確了解並妥善管理其與電子數據儲存供應商之間的責任分配，例如保安設定的配置、工作負載保護及憑證管理。此外，平台營運者可考慮使用保安自動化功能，及由電子數據儲存供應商提供的保安服務和工具，以維持一致的保安水平。若有關服務或工具使用加密技術，平台營運者須持續管有上文(c)段所述的加密及解密匙。

(g) 若平台營運者使用其他形式的虛擬儲存，應實施就其更高的複雜程度及保安風險（相對非虛擬環境）而言屬適當的監控措施。

(h) 若平台營運者在進行其有關活動⁹時使用外間數據儲存或處理服務，則應評估其對服務供應商提供及時和持續不斷的服務的依賴程度，以及假如服務中斷可能會對平台營運者及其客戶帶來的運作影響。平台營運者應制訂適當的應變計劃，確保其在運作方面的抵禦能力，以及規定電子數據儲存供應商須披露有關數據遺失、違反保安規定，或可能對平台營運者的有關活動構成重大影響的運作失誤的情況。

(i)平台營運者應制定退出策略，確保可終止外間數據儲存或處理服務，而不會對任何運作（對其有關活動的進行至關重要）的持續性造成重大干擾，包括在服務供應商無力償債的情況下。若監管紀錄只儲存於電子數據儲存供應商內，該策略應清楚地述明，過渡至替代儲存解決方案會如何執行（可能包括其他電子數據儲存供應商），以及在過渡期間如何確保證監會憑藉行使其法定權力而取覽監管紀錄的權力不會被削弱。退出策略應定期進行檢討及更新（如適用）。

(j) 平台營運者應與電子數據儲存供應商制訂具有法律約束力的協議，當中訂明合約終止條文。合約條文可能包含要求有關電子數據儲存供應商須協助過渡至新電子數據儲存供應商，或容許將數據移回該平台營運者的處所內儲存，以及在適用的情況下，釐清數據及知識產權於合約終止後的擁有權。

(k) 若一家主要電子數據儲存供應商向大量金融公司提供數據服務，便可能會產生集中風險，因為當其服務受到重大干擾時，可能會對市場造成影響。平台營運者應視乎其營運規模及其使用電子數據儲存供應商的數據儲存或處理服務的規模，考慮是否適合使用多於一家電子數據儲存供應商，或設立其他安排以確保在運作方面的抵禦能力。

證監會明白，有些平台營運者可能無法就本常見問題而言找到兩名通常居於香港的核心職能主管。在該等情況下，平台營運者應就其情況與證監會討論。證監會可按個別情況，同意只須為本常見問題的目的提供一名通常居於香港的核心職能主管或負責人員的姓名，前提是該平台營運者能令證監會信納其將制定有效的安排，以確保通常居於香港並獲核心職能主管或負責人員轉授有關職能者具備足夠的相關授權、認識和專業知識，以在核心職能主管或負責人員不能親自執行其職能和責任時，履行有關職責。

證監會期望，在本會同意只須為本常見問題的目的而委任一名通常居於香港的核心職能主管的情況下，該核心職能主管通常是負責整體管理監督職能的核心職能主管，除非平台營運者令證監會信納另一名核心職能主管更適合擔當這個角色¹⁰，並具備履行本常見問題所載的職責的相關授權、認識和專業知職。

除非平台營運者令證監會信納，通常居於香港的核心職能主管無一具備履行本常見問題所載的核心職能主管職責的相關授權、認識和專業知職，否則證監會不會考慮同意委任通常居於香港的負責人員履行有關職責。

在將監管紀錄只存放於某電子數據儲存供應商之前，符合上文常見問題3及4訂定的所有規定的平台營運者應：

(a) 根據《打擊洗錢條例》第53ZRR條，為電子數據儲存供應商將會用來存放平台營運者監管紀錄的數據中心提出批准申請；平台營運者根據《打擊洗錢條例》第53ZRR條提出的批准申請應附有：

(i) 若符合上文常見問題3中(a)段的規定：

• 平台營運者就符合上文常見問題3中(a)段的規定所作的確認（有關確認）；及

• 平台營運者致電子數據儲存供應商的通知（有關通知）（大致上以本常見問題附錄2所載範本的形式）的副本，以授權和要求電子數據儲存供應商向證監會提供平台營運者的紀錄，並由電子數據儲存供應商加簽，作為電子數據儲存供應商承認有關授權和要求的證據（有關加簽）；及

(ii) 若不符合上文常見問題3中(a)段的規定：

• 平台營運者致電子數據儲存供應商的有關通知的副本；及

• 電子數據儲存供應商的有關承諾。

證監會可按其認為在有關情況下屬合理的條件下給予批准。

(b) 提供平台營運者用作香港主要營業地點的處所的詳細資料，而其存放於電子數據儲存供應商的所有監管紀錄，全部可應證監會要求在沒有不當延誤的情況下於該處所被完全取覽；及

(c) 提供平台營運者於香港的各個分行辦事處的詳細資料，而其存放於電子數據儲存供應商的監管紀錄可於該處所被取覽（如適用）。

上文(b)及(c)所指的主要營業地點及分行辦事處亦應是根據《打擊洗錢條例》第53ZRR條獲批准或將會獲批准的處所。

平台營運者必須令證監會信納該等處所適合作存放監管紀錄的用途。

獲取電子數據儲存供應商的承諾這項規定，僅適用於平台營運者將電子監管紀錄只存放於某個非香港電子數據儲存供應商的情況。平台營運者如同時將一整套相同的電子監管紀錄存放於根據《打擊洗錢條例》第53ZRR條獲批准並由該平台營運者使用的香港處所，便無須取得電子數據儲存供應商的承諾。同樣地，平台營運者如將電子監管紀錄只存放於某家香港電子數據儲存供應商，便無須取得電子數據儲存供應商的承諾；平台營運者可提供上文常見問題8中(a)段所指由該香港電子數據儲存供應商加簽的通知。

本常見問題列明證監會對有關使用電子數據儲存供應商的期望，以及其評估電子數據儲存供應商的處所是否適合存放電子監管紀錄的方式。此外，在符合下文常見問題11所載的條件的情況下，證監會將接受由為本常見問題目的委任的兩名核心職能主管各自作出的承諾，或在獲得證監會同意的情況下，由一名核心職能主管或負責人員作出的承諾來代替電子數據儲存供應商的有關承諾，形式大致上如本常見問題附錄3所載的範本（核心職能主管／負責人員的承諾）。

平台營運者亦可與證監會聯絡，藉以建議或討論可符合證監會的監管目標和規定的其他替代選擇。

核心職能主管／負責人員的承諾可於以下情況使用：

(a) 如平台營運者將其電子監管紀錄只存放於香港電子數據儲存供應商，便可以該承諾來代替上文常見問題8中(a)段所指由香港電子數據儲存供應商加簽的通知；

(b) 如平台營運者將其電子監管紀錄只存放於非香港電子數據儲存供應商，便可以該承諾來代替電子數據儲存供應商的承諾；

(c) 如平台營運者將電子監管紀錄只存放於其非香港聯屬公司，不論該等聯屬公司是否委聘任何電子數據儲存供應商存放該平台營運者的電子監管紀錄；或

(d) 如平台營運者將電子監管紀錄只存放於其本地（即香港）聯屬公司，而有關聯屬公司亦使用電子數據儲存供應商或其他非香港聯屬公司存放該平台營運者的電子監管紀錄。

為免生疑問，上述(c)及(d)項所指受聘於聯屬公司以存放平台營運者的電子監管紀錄的電子數據儲存供應商，可同時指香港及非香港電子數據儲存供應商。

以下為接納核心職能主管／負責人員的承諾的條件：

(a) 該核心職能主管／負責人員的承諾須由根據上文常見問題3中(g)段委任的兩名核心職能主管各自作出，或在獲得證監會同意的情況下，由如上文就常見問題6的回應所指的通常居於香港的一名核心職能主管或一名負責人員作出；

(b) 平台營運者須備存一份概述電子監管紀錄只儲存於聯屬公司及／或電子數據儲存供應商的情況的文件（取覽地圖）。取覽地圖應概括地顯示只儲存於各聯屬公司或電子數據儲存供應商的電子監管紀錄的種類，以及儲存電子監管紀錄的數據中心或其他處所的實體地點，即司法管轄區或（如該平台營運者可取得有關資料）地址；

(c) 平台營運者須確保取覽地圖準確，反映現況，及可按證監會的要求在兩個營業日內提供以作檢視；

(d) 平台營運者須確保其在運作上的抵禦能力，並每日就電子監管紀錄進行備份，以確保備存一套完整、足以說明以下項目的最新紀錄：

(i)  客戶交易；

(ii) 未平倉客戶持倉¹¹；及

(iii) 由平台營運者的有聯繫實體持有的客戶資產。

日常備份應以安全及可靠的方式備存，並在切實可行的範圍內使用加密程式及於平台營運者處所以外的地方儲存。平台營運者應定期進行測試，以核實備份復原程序是否有效，從而確保在有需要時可盡快提供維持業務持續運作的備份數據；及

(e) 平台營運者須確保其可隨時（包括在存放該等監管紀錄的電子數據儲存供應商或其聯屬公司出現任何運作或財務上的缺失時）取覽足以說明由其或其有聯繫實體持有的未平倉客戶持倉及客戶資產的最新監管紀錄。取覽的詳情應載於取覽地圖內。

如核心職能主管或負責人員在向證監會提供核心職能主管／負責人員的承諾後的任何時間，無法再履行其條款，則該核心職能主管或負責人員（或平台營運者）須立即通知證監會，而平台營運者亦須立即提供證監會信納的新核心職能主管／負責人員的承諾。

為免生疑問，如已作出承諾的核心職能主管或負責人員須為本常見問題的目的而被另一名核心職能主管或負責人員所替代，平台營運者便應在切實可行的範圍內盡快安排接任的核心職能主管或負責人員簽署及向證監會提供核心職能主管／負責人員的承諾。

平台營運者應在與電子數據儲存供應商的服務協議終止、屆滿、更替或轉讓之前至少30個曆日將建議的過渡安排通知證監會。平台營運者應確保電子數據儲存供應商在終止、更替或轉讓服務協議前，會給予其足夠的通知，以便平台營運者能夠符合這項規定。

平台營運者如選擇將存放其電子監管紀錄的工作轉授或外判予聯屬公司，無論這些聯屬公司是否位於香港，平台營運者都應妥善管理與轉授或外判安排相關的風險。平台營運者應注意，根據證監會在使用外判方面的一貫立場，平台營運者可向另一實體（例如聯屬公司）轉授權力以進行某些活動或職能，但不能將其監管責任轉授他人。此外，平台營運者如使用其聯屬公司委聘的電子數據儲存供應商來以電子形式存放或處理資料，應遵從上文常見問題4（(j)段除外）訂明的所有一般責任。

另外，上文常見問題3中(d)至(h)段及常見問題8將同等地適用於將電子監管紀錄只存放於其聯屬公司的平台營運者，不論該聯屬公司於何地註冊成立，及該紀錄的存放是否獲進一步外判予電子數據儲存供應商。在這種情況下，本常見問題相關段落所提述的“電子數據儲存供應商＂，亦應包括平台營運者的聯屬公司。

在上述情況下，如該等新處所位於香港以外地方，則無需另行取得批准。無論電子監管紀錄存放於何處，平台營運者都有責任確保其時刻遵從相關規定。此外，簽立了上文常見問題9所指的核心職能主管／負責人員的承諾的人士，亦有責任在使用位於香港以外地方的任何新處所前，確保自己能夠履行對證監會的承諾。然而，平台營運者應在切實可行的範圍內盡快在上文常見問題11所提述的取覽地圖上作出更新。

相反，如新處所位於香港，便應根據《打擊洗錢條例》第53ZRR條申請特定批准。

如平台營運者擬作出以下安排，亦須取得新批准：

(a) 使用不同或另外的聯屬公司；或

(b) 直接委聘不同或另外的電子數據儲存供應商，

以存放其電子監管紀錄，不論有關聯屬公司或電子數據儲存供應商在哪裏註冊成立。