空中云汇回应美方质疑，CEO继续反击！

Airwallex空中云汇持续扩大美国业务之际，一场围绕其全球公司结构、人员分布和数据处理方式的争议，被进一步提交至美国财政部评估。

9月17日，美国众议院John Moolenaar致函财政部长Scott Bessent，要求财政部审阅有关Airwallex的信息，评估其业务是否触发美国现有监管权限，并向委员会提供简报。委员会同时明确，并未认定Airwallex存在违法行为。

第二天，Airwallex公开回应。

公司确认已经直接回复Moolenaar。Airwallex在9月18日回函中援引委员会函件称，委员会的技术分析没有发现隐蔽的数据外传通道、隐藏的中国基础设施端点或经过混淆的通信。公司还回应了美国客户数据存储、中港员工访问权限和腾讯持股等问题。

但Airwallex的回应没有停在这封正式回函上。

此后数日，联合创始人兼CEO Jack Zhang继续公开反驳相关质疑。到9月22日，他仍在回应这场争议，并将部分指控描述为越来越具有“阴谋论”色彩。

一家正在扩大美国业务的全球支付公司，为什么在正式回函之后仍然选择继续公开回应？

这场争议值得跨境支付行业关注的地方在于，当一家支付公司的技术平台、员工和法律实体分布在多个国家以后，“数据存在哪里”已经不足以回答全部问题。

Airwallex不只回了一封信

Moolenaar的信关注Airwallex在中国大陆的员工规模及全球职能、香港等法律实体与美国业务之间的关系，以及投资人、公司治理和法律管辖等问题，并要求财政部进一步评估。

Airwallex则把重点放在数据存储、人员权限和现有安全控制上。公司称，目前全球员工超过2700人，其中约四分之一位于中国；美国客户数据存储在美国，中港员工不能访问，并采用最小权限、多因素认证和持续监控等措施。公司还表示，已聘请Coalfire进行独立评估。

9月18日正式回函后，Zhang又继续公开回应。

据悉，他在周末与Ramp投资人Keith Rabois围绕Airwallex与中国的关系公开交锋，并反驳对方针对其个人背景和公司的相关质疑。9月22日，澳大利亚金融评论再次报道这一轮公开争议，Zhang继续否认相关指控，并将Airwallex面对的部分质疑描述为越来越具有“阴谋论”色彩。

Zhang此后的公开回应，让这场争议进一步从正式函件延伸到公开舆论场。他一边继续否认有关Airwallex与中国之间存在不当数据联系的说法，一边公开回应部分外部批评者。

从公开动作看，Airwallex实际上形成了两种并行的回应方式。面对国会和潜在监管审查，公司强调正式回函、事实材料和可验证的控制措施。面对外围公开质疑，Zhang的表态明显更强硬，并进一步回应外界对公司身份及中国关联的讨论。

股权方面，Airwallex称腾讯持有不足10%的被动少数股权，没有董事席位，也没有超出一般被动少数股东的信息权。持股低于10%本身并不能单独决定一项投资的CFIUS法律性质，还要结合投资安排、信息权和治理参与等因素判断。

员工比例也是争议之一。Airwallex在回函中称，委员会结合企业记录、历史全球员工数字以及其自身称为“可靠性较低”的招聘网站数据，推算出更高的中国大陆员工比例。Airwallex最新披露则是，目前超过2700名员工中约四分之一位于中国。

员工所在地、技术权限和实际访问记录不是同一个问题。参与全球产品和支付基础设施开发，不等于拥有美国客户生产数据权限。是否具备后台访问能力、历史上是否实际访问过，还需要结合权限配置、日志和审计记录判断。

Airwallex在回函中援引委员会函件称，委员会的技术分析没有发现隐蔽的数据外传通道，但美国现行数据安全制度关注的也不只是已经发生的外传。通过雇佣、供应商、投资等关系形成的数据访问能力，也可能进入监管判断。具体规则是否适用，仍要看数据、交易关系、主体身份及豁免条件。

一边看结构，一边讲控制

从两份公开文件看，双方关注的并不是完全相同的一层问题。

国会方面更多从公司结构出发。Airwallex在不同市场拥有不同法律实体和监管许可，技术和产品由多国团队共同建设。对全球支付平台而言，这本来就是连接不同市场的一种经营方式。

进入美国新的数据安全监管框架后，法律实体之间如何分工，也成为需要进一步说明的问题。公开合同材料显示，在美国部分州的特定服务安排中，Airwallex US LLC与Airwallex (Hong Kong) Limited会同时出现在相关实体和服务条款中。

这意味着部分服务关系涉及美国与香港两个法律实体。至于谁负责具体服务、数据托管在哪里、哪些人员拥有访问权限，则需要分别判断。

谁是合同主体，谁提供外汇、财资或支付能力，数据托管在哪里，哪些员工拥有实际访问权限，是相关但不同的问题。

Airwallex更多从实际控制作答：美国客户数据存储在美国，并通过权限管理限制其他地区人员访问。美国司法部2025年实施的数据安全计划也说明，服务器位置不是唯一变量；雇佣、供应商、投资等关系形成的数据访问同样可能受到关注，但跨境协作本身并不意味着规则当然适用。

Data Security Program和CFIUS是否适用于Airwallex的具体安排，还取决于数据类型和数量、交易关系、投资权利以及相关豁免等具体条件。美国国会目前提出的是进一步评估要求。

因此，国会方面更多关注人员、实体、投资关系和法律管辖是否可能形成潜在的数据访问路径。Airwallex更多回答数据实际存储位置、现有访问权限和技术控制。

两份文件实际上在从不同层面讨论同一套全球化支付架构。

全球化支付的另一种成本

跨境支付天然需要连接不同国家、币种、银行和支付网络。如果每进入一个市场，都完整复制一套独立的技术平台、风控系统、工程团队和财资能力，运营成本和协同难度都会明显增加。统一技术和跨国协作首先意味着规模效率。

Airwallex就是一个具体样本。

公司已从跨境支付扩展到多币种账户、发卡、费用管理、财资和嵌入式金融等业务。2025年末，Airwallex把旧金山设为双全球总部之一，并宣布计划在2026—2029年向美国投入超过10亿美元。今年9月，其旗下T:0又面向美国初创企业开放AI会计和实时财务信息能力。

业务越接近完整的企业金融基础设施，处理的数据类型也越丰富。Airwallex此次在美国经历的审视，则把关注点从牌照、收款和清算继续推向后台：谁能看到数据，谁能操作生产系统，哪个法律实体承担具体服务，不同地区团队如何隔离权限。

这并不要求全球支付公司放弃统一平台或把所有技术和人员彻底本地化。对全球化程度较高的平台来说，更现实的变化是，需要投入更多资源证明这种共享存在清晰边界。

从Airwallex此次经历看，证明全球架构中数据和权限边界的能力已经变得更加重要。

Airwallex一边扩大美国业务，一边继续依赖跨区域技术、实体和人员协作。怎样保留全球网络效率，同时让不同市场能够验证本地的数据、权限和法律责任边界，正在成为类似平台需要持续回答的问题。

这种证明也不只面向监管机构。对于正在扩大美国业务的全球支付平台而言，合作银行、企业客户和其他市场参与者如何理解公司的治理结构、数据边界和实际控制，同样会影响其全球化经营。

截至目前，美国国会方面提出的是进一步评估要求，Airwallex已经作出公开回应。后续是否进入具体行政审查或执法程序，还要看美国相关主管机关的进一步动作。CFIUS个案具有保密性，相关进展也未必都会公开呈现。

这场争议把一个长期藏在跨境支付后台的问题推到了台前。

全球化能力仍然创造效率，但随着支付平台不断深入企业账户、财资、支出管理和财务数据，如何证明全球架构在不同市场拥有真实、清晰且可验证的边界，也成为类似平台需要持续面对的问题。

这里是支付之家。我们关注支付表象之下的规则差异与逻辑变化，提供支付科技领域增量信息。观点内容仅供参考。