Posted on

Regulação de cripto no Brasil: o que muda com as Resoluções BCB 519, 520 e 521

Em 10 de novembro de 2025, o Banco Central publicou três resoluções de regulação cripto Brasil que fecham o marco regulatório do mercado de cripto no Brasil.

Essas regras criam a figura das prestadoras de serviços de ativos virtuais, definem como essas empresas serão autorizadas e fiscalizadas, e enquadram várias operações com cripto no regime de câmbio e capitais internacionais.

As regras entram em vigor em 2 de fevereiro de 2026, com obrigações adicionais de reporte a partir de maio.

1) Regulação cripto Brasil: o que foi publicado

  • Nota oficial do Banco Central anunciando o pacote regulatório.
  • Resolução BCB 519, Resolução BCB 520 e Resolução BCB 521.
  • Conjunto encerra a etapa principal da regulação prevista pela Lei 14.478.

2) Regulação cripto Brasil: o que muda na prática

  • Passa a existir um regime claro de licenças para quem presta serviços com cripto no Brasil.
  • O relacionamento com clientes segue padrões do sistema financeiro, com transparência, segregação patrimonial e auditoria.
  • Diversas operações com cripto passam a ser tratadas como câmbio e sujeitas a reporte.

3) Resolução BCB 519: quem pode operar e sob quais regras

A 519 organiza os processos de autorização e atualiza procedimentos para segmentos já regulados, preparando o terreno para a supervisão do novo tipo de instituição. Pontos-chave:

  • Define processos de autorização e mudanças societárias para players supervisionados.
  • Integra o tema cripto à lógica prudencial do BC.
  • Serve de base procedimental para a chegada das prestadoras de serviços de ativos virtuais.

4) Resolução BCB 520: constituição, funcionamento e governança das PSAVs

A 520 é o coração operacional da regulação das PSAVs. Destaques práticos:

  • Disciplina a constituição e o funcionamento das sociedades prestadoras de serviços de ativos virtuais, além de permitir que outras instituições autorizadas pelo BC prestem certos serviços de cripto.
  • Classifica modalidades de atuação e exige autorização para iniciar a prestação de serviços.
  • Exige segregação patrimonial entre recursos e ativos dos clientes e os da própria empresa, com diretor responsável.
  • Determina prova de reservas, políticas de risco e auditoria independente periódica com divulgação pública.
  • Estabelece vedações como o uso de ativos de clientes em operações próprias, com exceções estritas para liquidez imediata, até 5% e sem ônus ao cliente.
  • Prevê cronograma de implantação de intercâmbio de informações no mercado nacional e internacional.

Tradução para o gestor: estrutura de “fintech plena” aplicada ao universo cripto, com governança, compliance, trilhas de auditoria e responsabilidades explícitas da diretoria.

5) Resolução BCB 521: câmbio, capitais internacionais e limites

A 521 enquadra atividades com cripto como operações de câmbio e de capitais internacionais. Implicações:

  • Pagamentos e transferências internacionais com cripto, uso de cripto para quitar obrigações de cartões no exterior, transferências para carteiras autocustodiadas e transações com ativos referenciados em moeda fiduciária passam a ser tratadas como câmbio.
  • Passa a existir obrigação de prestação de informações ao BC sobre essas operações a partir de maio de 2026.
  • Há limite de até 100 mil dólares por operação de pagamento ou transferência internacional com cripto quando a contraparte não for instituição autorizada a operar no mercado de câmbio.

Mensagem central: operações cross-border com cripto entram no guarda-chuva cambial e ganham trilha formal de reporte e controle.

6) Regulação cripto Brasil: prazos e transição

  • Vigência principal em 2 de fevereiro de 2026 para as três resoluções.
  • Reportes cambiais específicos com início de exigência a partir de 4 de maio de 2026.
  • Empresas já ativas devem solicitar autorização dentro dos prazos, podendo continuar operando até a decisão se protocolarem no tempo correto; quem não protocolar deve cessar a prestação de serviços em até 30 dias após o fim do prazo.

7) Como as empresas devem se preparar

Estratégia regulatória

  • Definir a modalidade de atuação e abrir o processo de autorização.
  • Mapear controladores, administradores e estrutura de governança.

Finanças e controles

  • Implementar segregação patrimonial com contas e registros individualizados.
  • Estabelecer rotina de prova de reservas e contratar auditoria independente com divulgação pública.

Compliance e PLD

  • Atualizar políticas KYC, KYP e monitoramento, inclusive para operações com carteiras autocustodiadas e fluxos internacionais.
  • Preparar os mecanismos e prazos de reporte ao BC.

Produto e operações

  • Formalizar regras de tarifas e relacionamento com o cliente à luz do arcabouço do SFN.
  • Ajustar contratos, termos e UX para refletir vedações e deveres de informação.

8) Perguntas frequentes

Qual é o capital social mínimo para abrir uma PSAV?
As resoluções não trazem um número fixo de capital social. A 520 fala em requisitos de autorização e governança, e as comunicações oficiais indicam que atos complementares detalharão requisitos prudenciais. A prática do BC é calibrar por risco e porte, de forma semelhante ao que ocorre com outras instituições. Recomenda-se planejar cenários de capital e patrimônio líquido compatíveis com a modalidade pretendida e com a presença de custódia e operações cross-border.

Minha empresa já opera com cripto. Como fica até sair a autorização?
Se protocolar o pedido dentro do prazo previsto, pode manter a operação até a decisão. Se não protocolar, deve encerrar a atividade em até 30 dias após o fim do prazo.

Quais operações com cripto viram câmbio?
Pagamentos e transferências internacionais, uso para quitação de obrigações de cartão no exterior, transferências entre carteiras autocustodiadas e transações com ativos referenciados em moeda fiduciária, observados limites e regras de reporte.

Existe limite por operação?
Sim. Até 100 mil dólares quando a contraparte não for instituição autorizada a operar no mercado de câmbio.

9) Referências oficiais

  • Nota do BC sobre a regulamentação de ativos virtuais e funcionamento das instituições do setor.
  • Resolução BCB 519.
  • Resolução BCB 520.
  • Resolução BCB 521.

Checklist prático para iniciar a adequação

  • Definir modalidade de PSAV e preparar dossiê de autorização.
  • Implantar segregação patrimonial, designar diretor responsável e revisar contratos.
  • Estruturar prova de reservas e contratar auditoria independente com publicação dos relatórios.
  • Mapear fluxos internacionais e carteira própria versus autocustódia do cliente, com regras de reporte.
  • Adequar políticas de PLD, KYC e monitoramento de riscos.
  • Atualizar UX, tarifário e canais de atendimento para o padrão do SFN.

Em resumo, a regulação cripto Brasil estabelece um marco claro e robusto, garantindo segurança jurídica e transparência para o mercado de ativos virtuais.

Posted on

Open Finance em 2025: tendências, oportunidades e como sua instituição pode se beneficiar

O Open Finance não é mais uma promessa: é uma realidade consolidada que está moldando o futuro das finanças no Brasil. Desde o Open Banking, o ecossistema evoluiu para um modelo mais amplo, integrando seguros, investimentos e até serviços não financeiros.

Em 2025, o foco sai da integração e entra na monetização dos dados — como transformar o compartilhamento seguro de informações em vantagem competitiva. Neste artigo, exploramos as principais tendências, oportunidades e caminhos práticos para instituições financeiras, fintechs e provedores de tecnologia que desejam se destacar nesse novo cenário.

Ilustração de dashboard financeiro mostrando integração de dados via Open Finance em 2025
Ilustração de dashboard financeiro mostrando integração de dados via Open Finance em 2025

1. O que é Open Finance e em que estágio estamos

O Open Finance é a evolução natural do Open Banking. Ele permite que o cliente autorize o compartilhamento de seus dados financeiros entre instituições diferentes, de forma segura e padronizada via APIs.

Atualmente, mais de 800 instituições participam do ecossistema, com milhões de consentimentos ativos e bilhões de chamadas de API mensais, segundo dados do Banco Central.

Em 2025, o Brasil se consolida como referência global — o país tem um dos sistemas mais completos e com maior adesão do mundo, superando inclusive o Reino Unido em volume de interações.

2. As tendências que estão moldando o Open Finance em 2025

2.1 Monetização de dados e inteligência preditiva

As instituições começam a transformar dados em ativos de negócio. O uso de IA e machine learning sobre dados abertos permite prever comportamento de consumo, risco de crédito e oportunidades de investimento.

2.2 Open Finance além do setor bancário

O movimento se expande para seguros, investimentos, consórcios e até varejo, criando o conceito de “Open Everything”. Plataformas passam a usar dados financeiros para personalizar benefícios, fidelidade e crédito integrado.

2.3 Parcerias entre fintechs e bancos tradicionais

Em vez de competição, cresce o modelo Banking-as-a-Service (BaaS), onde instituições compartilham infraestrutura e inovação. O Open Finance acelera essa colaboração.

2.4 Foco em experiência e confiança

Com a crescente preocupação com privacidade, empresas que oferecem UX simples, transparente e segura ganham vantagem. A jornada do consentimento precisa ser clara e intuitiva.

2.5 Regulação e supervisão contínuas

O Banco Central reforça a governança com novas instruções normativas, especialmente sobre segurança de APIs, autenticação e proteção de dados sensíveis.

3. Oportunidades para instituições financeiras

O Open Finance permite que fintechs e bancos:

  • Criem produtos personalizados com base em dados reais do cliente;

  • Ofereçam crédito mais inteligente, com risco ajustado;

  • Lancem superapps financeiros, unindo contas, investimentos e benefícios;

  • Fortaleçam a fidelização com experiências integradas;

  • Desenvolvam novos modelos de negócio via APIs abertas, parcerias e marketplaces financeiros.

4. Como se preparar para aproveitar o Open Finance

  1. Invista em APIs seguras e escaláveis — o coração do Open Finance é a integração.

  2. Implemente governança de dados — assegure consentimento, rastreabilidade e compliance com LGPD.

  3. Automatize processos regulatórios — relatórios, logs e auditorias precisam ser contínuos.

  4. Crie squads multidisciplinares — tecnologia, produto e jurídico devem atuar juntos.

  5. Busque parceiros especializados — o sucesso depende da combinação entre infraestrutura sólida e inovação constante.

5. Como a Alphacode apoia empresas no ecossistema Open Finance

Com mais de 10 anos desenvolvendo soluções tecnológicas para o setor financeiro, a Alphacode ajuda instituições a se conectarem ao ecossistema Open Finance com segurança e performance.

Com a plataforma MOSAICO Finance, é possível:

  • Integrar e consumir APIs do Open Finance;

  • Automatizar autenticação e consentimentos;

  • Monitorar transações com alertas em tempo real;

  • Criar dashboards de governança e indicadores;

  • Desenvolver novos produtos digitais sobre dados abertos.

A Alphacode atua como parceira estratégica, ajudando fintechs e bancos a transformar compliance em inovação e vantagem competitiva.

O Open Finance representa uma das maiores transformações do sistema financeiro moderno — e em 2025, ele entra em sua fase mais valiosa: a da criação de novos modelos de negócio baseados em dados.

Empresas que enxergarem essa oportunidade agora terão vantagem real nos próximos anos. O futuro das finanças é colaborativo, inteligente e aberto.

Posted on

Relatórios Pix (APIX001 e 4111): como automatizar o compliance e evitar penalidades

O Pix é um dos maiores avanços do sistema financeiro brasileiro, mas também trouxe novas responsabilidades regulatórias. O Banco Central exige que instituições participantes enviem relatórios periódicos — como os arquivos APIX001 e 4111 — que comprovam a integridade e rastreabilidade das operações.

Dashboard de fintech mostrando relatórios Pix e automação de compliance regulatório
Dashboard de fintech mostrando relatórios Pix e automação de compliance regulatório

Muitas fintechs e bancos digitais ainda tratam esse processo manualmente, correndo risco de erros, penalidades e inconsistência nos dados. Neste artigo, vamos explicar o que são esses relatórios, por que eles são obrigatórios e como automatizar o processo com segurança e eficiência.

1. O que são os relatórios APIX001 e 4111

1.1 APIX001 — Relatório Mensal do Pix

O APIX001 é um arquivo XML obrigatório que deve ser enviado mensalmente ao Banco Central. Ele contém dados consolidados das operações Pix do período, permitindo que o Bacen monitore o volume transacionado, a liquidez e o comportamento de cada participante.

Principais informações exigidas:

  • Identificação da instituição participante;

  • Volume e valor total das transações;

  • Dados de liquidação no SPI (Sistema de Pagamentos Instantâneos);

  • Indicadores de risco e anomalias.

Prazo de envio: até o 5º dia útil do mês subsequente.

1.2 Relatório 4111 — Envio Diário

Já o 4111 é o arquivo diário que reporta todas as transações Pix liquidadas no SPI, garantindo a rastreabilidade em tempo real das movimentações financeiras.

Função: permitir o cruzamento de dados entre sistemas e auditorias automáticas do Banco Central.

Prazo de envio: até o início do próximo dia útil.

2. Por que automatizar o envio

Tratar o APIX001 e o 4111 de forma manual é inviável para quem transaciona alto volume. Além de ocupar equipe, aumenta o risco de:

  • Erros humanos nos campos do XML;

  • Atrasos no envio e advertências do Bacen;

  • Penalidades administrativas por descumprimento das normas;

  • Risco reputacional, já que falhas em compliance reduzem a confiança de parceiros e investidores.

Automatizar é o caminho natural — e exigido — para garantir conformidade contínua.

3. Como automatizar o compliance Pix

3.1 Mapeie os dados na origem

Garanta que os sistemas internos (core bancário, gateway de pagamentos, ERP) mantenham campos estruturados para gerar automaticamente as informações exigidas nos relatórios.

3.2 Gere os arquivos XML automaticamente

Use scripts ou módulos de software para montar os arquivos APIX001 e 4111 em conformidade com o layout oficial do Bacen.

Ferramentas recomendadas:

  • Rotinas em PHP ou Python para compor os campos XML;

  • Validação automática de schema (XSD) antes do envio;

  • Registro de logs e histórico de transmissões.

3.3 Valide e transmita via integração segura

Crie uma integração direta com o ambiente seguro do Bacen, garantindo autenticação, assinatura digital e protocolo de confirmação de recebimento.

3.4 Monitore e armazene logs

Todo envio deve ser registrado e arquivado por no mínimo 5 anos, com alertas automáticos para falhas de transmissão.

4. Benefícios de um processo automatizado

  • Zero retrabalho e redução de custos operacionais;

  • Conformidade garantida com o Banco Central;

  • Rastreabilidade total e auditorias facilitadas;

  • Maior confiança entre parceiros e clientes;

  • Escalabilidade — a estrutura suporta crescimento sem aumentar equipe.

5. Como a Alphacode apoia instituições financeiras

A Alphacode oferece soluções completas para fintechs, bancos e IPs automatizarem o compliance Pix e outras obrigações regulatórias.

Com o módulo MOSAICO Finance, é possível:

  • Gerar automaticamente os relatórios APIX001, 4111 e 4001;

  • Integrar via API com o SPI;

  • Validar arquivos com schema Bacen;

  • Armazenar logs e relatórios de conformidade;

  • Automatizar auditorias internas e alertas de erro.

Nosso time domina tanto a tecnologia bancária quanto os requisitos regulatórios, entregando segurança e performance.

Conclusão

O envio correto dos relatórios Pix é mais que uma obrigação — é um sinal de maturidade operacional e governança. Automatizar esse processo reduz riscos, economiza tempo e demonstra ao Banco Central que sua instituição é confiável e tecnicamente preparada.

Ao investir em automação de compliance, fintechs e bancos ganham eficiência e fortalecem sua credibilidade no mercado financeiro.

Posted on

Como operar sem contas-bolsão: alternativas para fintechs e bancos após as novas regras do Bacen

As chamadas contas-bolsão entraram no radar regulatório do Banco Central do Brasil (Bacen) como práticas que podem ocultar ou substituir obrigações financeiras de terceiros — e, a partir de 1º de dezembro de 2025, entram em vigor novos deveres para instituições financeiras no fim desse modelo. 

Contas-bolsão
Contas-bolsão

Para fintechs, bancos e empresas de tecnologia financeira, a pergunta agora é: como se adaptar para continuar operando, inovando e cumprindo compliance? Neste artigo, vamos mapear o que mudou, os riscos envolvidos, e três alternativas robustas para substituir as contas-bolsão, com foco em governança, tecnologia e modelo de negócio.

1. O que são contas-bolsão e por que o Bacen mudou as regras

1.1 Definição e uso

Contas-bolsão são contas de depósito ou pagamento em nome de uma empresa (por exemplo, uma fintech) em que os recursos são usados para pagamentos, recebimentos ou compensações em nome de terceiros, sem clara identificação dos beneficiários ou titulares reais. 

1.2 Motivo da nova normativa

O Bacen identificou que esse modelo pode servir para ocultar fluxos financeiros ilícitos, fraudes, lavagem de dinheiro ou substituir obrigações de terceiros, o que fragiliza a rastreabilidade do sistema financeiro. 

1.3 Principais normas envolvidas

  • Resolução BCB nº 518 — altera a Resolução BCB nº 96/2021 sobre contas de pagamento. 

  • Resolução CMN nº 5.261 — altera a Resolução CMN nº 4.753/2019 sobre contas de depósitos. 

1.4 Vigência e transição

As regras entram em vigor em 1º de dezembro de 2025 e as instituições devem manter documentação das contas encerradas por até 10 anos. 

2. Riscos para fintechs, bancos e provedores de tecnologia

2.1 Compliance e supervisão

Instituições que estruturar contas-bolsão ou modelos próximos poderão ser obrigadas a encerrá-las compulsoriamente, além de reforçar capital, infraestrutura e controles de compliance. 

2.2 Mudança no modelo de negócios

Para fintechs que operavam como agregadores de recebíveis ou pagamentos via uma conta central, haverá impacto direto no fluxo de operação, exigindo reestruturação de modelo.

2.3 Tecnologia e rastreabilidade

É exigido que a instituição “use critérios próprios” para identificar contas-bolsão, com base em dados públicos/privados, o que demanda sistemas de monitoramento, detecção de padrões atípicos, governança de dados etc. 

3. Três alternativas para substituir as contas-bolsão

3.1 Estrutura segregada de contas por cliente ou carteira

Em vez de uma conta-bolsão agregada, crie uma estrutura onde cada cliente ou carteira tenha conta individual ou logicamente segregada.

Benefícios: transparência, rastreabilidade, compliance facilitado.

Desafios: maior custo operacional, necessidade de automação para criar e gerir múltiplas contas (ou sub-contas).

3.2 Uso de contas escrow ou fiduciárias específicas

Contrate ou monte contas fiduciárias/escrow com regras contratuais claras para recebimento e pagamento em nome de terceiros, com título vinculante ao fluxo do cliente (ex: marketplace).

Benefícios: bom nível de governança, visão clara de titularidade e obrigação.

Desafios: deve atender requisitos regulatórios de serviço de pagamento ou agência, dependendo do caso; necessidade de contratos bem desenhados.

3.3 Plataforma como serviço (PaaS) de contas digitais com compliance embutido

Ofereça ou utilize uma plataforma tecnológica (como o modelo que sua empresa, Alphacode, entrega) que permite instanciar contas digitais para clientes com regras automáticas de monitoramento, segregação de fluxos e relatórios de compliance.

Benefícios: escalabilidade, possibilidade de gerar receita recorrente, controle tecnológico de ponta.

Desafios: investimento em desenvolvimento, necessidade de integração com open banking / open finance / APIs regulatórias.

4. Etapas para implementação e adequação

  1. Mapeamento das contas existentes – identifique se há estrutura de conta-bolsão ou similar, revise contratos e operações.

  2. Revisão de governança e política de risco – defina critérios próprios para detectar contas-bolsão, documente-os conforme exigido pelas normas. 

  3. Reestruturação de tecnologia e operações – implemente automação para múltiplas contas, segregação de fluxos, monitoramento em tempo real e alertas de compliance.

  4. Comunicação com clientes e parceiros – ajuste contratos, informe mudanças, renegocie se necessário para novos modelos de operação.

  5. Monitoramento contínuo e relatórios – mantenha documentação por pelo menos 10 anos (como exige o Bacen) e reporte adequadamente à Diretoria. 

5. Como a Alphacode pode ajudar a sua instituição financeira

Na qualidade de fornecedor de tecnologia e parceiro de inovação financeira, a Alphacode (com foco em vertical Finance) apoia fintechs, bancos e instituições de pagamento na adaptação a essas mudanças regulatórias, oferecendo:

  • Plataforma modular para contas digitais, segregação de fluxos e relatórios de governança (modelo MOSAICO Finance).

  • Time especializado em integração API e compliance regulatório (open finance, contas de pagamento, etc.).

  • Roadmap de adequação regulatória sob o seu comando, com entregas em sprints, reduzindo o risco de não conformidade.

    Se a sua instituição está se preparando para eliminar modelos de contas-bolsão ou migrar para uma nova estrutura, entre em contato para avaliarmos juntos o melhor caminho tecnológico.

Conclusão

As novas regras do Bacen sobre contas-bolsão marcam um ponto de inflexão para o sistema financeiro: há menos tolerância para estruturas que dificultam transparência e rastreabilidade. Para fintechs e bancos, a urgência de se adequar — com governança, tecnologia e modelo de negócio concretos — é real e exige ação.

Mas essa mudança também traz oportunidade: ao adotar estruturas modernas, automatizadas e conformes, você se posiciona à frente no mercado, reduz risco regulatório e ganha credibilidade — e, com isso, pode converter essa vantagem em crescimento.

Se você deseja transformar esse desafio em diferencial competitivo, a hora de agir é agora.

Posted on

A evolução regulatória da Conta Bolsão: da Circular 3.680/2013 às Resoluções de 2025

A conta bolsão foi um recurso que permitiu o surgimento de muitas fintechs brasileiras. Mas, ao longo dos anos, o Banco Central do Brasil (BACEN) foi ajustando as regras para aumentar a transparência e reduzir riscos.

Neste artigo, vamos mostrar a linha do tempo das principais mudanças.

 2013 – O marco legal das contas de pagamento

  • Lei nº 12.865/2013: criou a figura das instituições de pagamento.

  • Determinou que os recursos dos clientes devem ser patrimônio separado da fintech, não podendo ser usados para outros fins.

  • Foi a base legal que sustentou o uso do modelo de conta bolsão.

2013 – Circular 3.680/2013

  • Definiu que cada usuário deve ter uma conta de pagamento individualizada, mesmo que os recursos estejam em uma conta única (o bolsão).

  • Na prática, obrigou as fintechs a criar contas gráficas internas para rastrear o saldo de cada cliente.

 2020 – Regulamento do Pix

  • Com a Resolução Conjunta nº 1/2020, o Pix foi lançado como arranjo oficial.

  • Inicialmente, fintechs podiam usar contas bolsão para oferecer Pix aos seus clientes via bancos parceiros.

2022 – Resolução BCB nº 269

  • Proibiu o uso de contas bolsão no Pix.

  • Exigiu que cada cliente tivesse uma conta transacional identificada dentro do arranjo.

  • Mudança importante: as fintechs tiveram que se tornar participantes indiretos ou diretos do Pix.

2023 – Resolução BCB nº 293

  • Estabeleceu um plano de transição para as fintechs que usavam o modelo de bolsão no Pix.

  • Fixou prazos para adequação e reforçou a figura do participante responsável (normalmente um banco de maior porte).

2025 – O endurecimento das regras

  • As Resoluções BCB nº 494 a 497/2025 anteciparam a exigência de autorização para fintechs:

    • Prazo para autorização mudou de 2029 para maio de 2026.

    • Nenhuma instituição de pagamento pode operar sem autorização do BACEN.

  • Foram criados limites de R$ 15 mil para transações via Pix e TED em operações originadas de fintechs não bancárias.

Conclusão

Em pouco mais de 10 anos, o modelo de conta bolsão passou:

  • de uma solução tolerada e útil para fintechs,

  • a um arranjo cercado por exigências regulatórias cada vez mais rígidas.

O movimento do Banco Central é claro: o futuro do setor depende de transparência, rastreabilidade e autorização plena.

Posted on

O que é uma Conta Bolsão e como ela funciona no Brasil?

Nos últimos anos, o termo “conta bolsão” ganhou destaque no mercado financeiro, principalmente com o crescimento das fintechs. Apesar de não aparecer literalmente nas normas do Banco Central, o conceito é amplamente utilizado e regulado de forma indireta. Neste artigo, vamos explicar de forma simples o que é, como funciona e quais os cuidados envolvidos.

O que é uma Conta Bolsão?

A conta bolsão é uma conta bancária única, aberta em nome de uma instituição (geralmente uma fintech ou instituição de pagamento), que concentra os recursos financeiros de diversos clientes.

  • Na prática, todos os depósitos feitos pelos usuários vão para essa conta “mãe”.

  • A fintech controla internamente, por meio de um sistema, o saldo individual de cada cliente em subcontas gráficas.

  • Para o banco que mantém a conta bolsão, o titular é apenas a fintech, e não cada usuário final.

Como ela funciona no dia a dia?

Imagine uma fintech que oferece contas digitais sem ser um banco. Ela pode:

  1. Abrir uma conta bolsão em um banco parceiro.

  2. Receber os depósitos de todos os clientes nessa conta única.

  3. Gerenciar, em seu sistema, os saldos de cada cliente como se fossem “carteiras individuais”.

Exemplo:

  • João deposita R$ 500.

  • Maria deposita R$ 200.

  • Ambos os valores entram no mesmo bolsão, mas o sistema da fintech registra: João tem R$ 500, Maria tem R$ 200.

Qual a base legal e regulatória?

Embora o termo “conta bolsão” não esteja escrito nas normas, a Lei nº 12.865/2013 já determinava que os recursos dos clientes em contas de pagamento pertencem aos usuários, não à instituição.

Além disso, regras posteriores do Banco Central (como a Circular 3.680/2013) exigem que cada usuário final seja identificado e tenha seu saldo registrado individualmente.

👉 Ou seja: o uso de conta bolsão é permitido, desde que a fintech mantenha:

  • segregação patrimonial (os recursos dos clientes não podem se misturar ao caixa da empresa),

  • controles internos robustos,

  • e transparência para atender autoridades, como o Banco Central e o COAF.

 Limitações e riscos

Apesar de prático, o modelo tem riscos que chamaram atenção do regulador:

  • Falta de rastreabilidade: o banco enxerga apenas a fintech como titular da conta, dificultando a identificação direta do cliente final.

  • Lavagem de dinheiro: se os controles internos forem falhos, pode haver uso indevido para movimentar valores ilícitos.

  • Restrições recentes: normas como a Resolução BCB 269/2022 proibiram o uso de contas bolsão no Pix, exigindo que cada usuário esteja devidamente identificado como titular de uma conta transacional.

 O futuro da Conta Bolsão

Com as novas regras do Banco Central (incluindo as Resoluções publicadas em 2025), o modelo de bolsão tende a perder espaço. As fintechs estão sendo pressionadas a obter autorização formal do BACEN e a oferecer contas individualizadas ou parcerias em modelo de Banking as a Service (BaaS).

Ainda assim, a conta bolsão foi um motor de inovação que permitiu o surgimento de dezenas de fintechs no Brasil. Seu legado é claro: mostrou que era possível democratizar o acesso a serviços financeiros de forma rápida e acessível.

Em resumo: a conta bolsão é uma solução legítima, mas hoje cercada de regras cada vez mais rígidas. Para fintechs, representa tanto um aprendizado histórico quanto um alerta para o futuro: transparência, compliance e governança não são opcionais.

Posted on

Regulação de fintechs pelo Banco Central: o que mudou em 2025 e como se preparar

Na esteira de uma série de ataques cibernéticos envolvendo instituições financeiras e de pagamento, o Banco Central do Brasil anunciou em 5 de setembro de 2025 um pacote emergencial de medidas voltadas à segurança do Sistema Financeiro Nacional.

As novas regras atingem principalmente fintechs, instituições de pagamento (IPs) não autorizadas e empresas que atuam como Prestadoras de Serviços de Tecnologia da Informação (PSTIs).

Por que o BC apertou as regras agora?

Segundo a nota oficial, o motivo é claro: ações recentes do crime organizado afetaram diretamente operações de pagamento e instituições conectadas à Rede do Sistema Financeiro Nacional. Diante disso, o BC resolveu agir com firmeza e rapidez para proteger o ecossistema e os usuários.

O que muda com as novas regras?

Abaixo estão os principais pontos anunciados pelo Banco Central:

1. Limite de R$ 15 mil por transação para Pix e TED

  • Fintechs não autorizadas e instituições conectadas via PSTIs passam a ter limite de R$ 15.000 por operação de Pix ou TED.

  • Esse limite poderá ser retirado caso a IP e seu PSTI comprovem conformidade com os novos controles de segurança da informação.

  • Exceção transitória: empresas que atestarem o uso de controles poderão ser dispensadas do limite por até 90 dias.

2. Autorização obrigatória para operar

  • A partir de agora, nenhuma instituição de pagamento poderá operar sem autorização prévia do BC.

  • O prazo final para empresas não autorizadas solicitarem regularização foi antecipado de dezembro de 2029 para maio de 2026.

3. Regras mais rígidas para o uso do Pix

  • Apenas instituições integrantes dos segmentos S1, S2, S3 ou S4 (exceto cooperativas) poderão ser responsáveis pelo Pix de fintechs não autorizadas.

  • Contratos vigentes deverão ser ajustados em até 180 dias.

4. Possibilidade de exigência de certificação técnica

  • O BC poderá solicitar laudos de avaliação técnica emitidos por empresas independentes qualificadas para comprovar que a instituição cumpre os requisitos de segurança.

5. Fim das operações em caso de indeferimento

  • Caso uma IP em operação tenha o pedido de autorização negado, deverá encerrar suas atividades em até 30 dias.

6. Regras mais duras para PSTIs

  • PSTIs agora precisam atender a novos critérios de governança e gestão de riscos.

  • Foi estabelecido um capital mínimo de R$ 15 milhões.

  • O descumprimento poderá acarretar medidas cautelares ou até mesmo descredenciamento.

  • Empresas já em atividade terão quatro meses para se adequar.

Qual o impacto prático para o setor de fintechs?

Essas medidas não são simbólicas — elas têm efeito imediato, mudam regras operacionais importantes e pressionam o mercado a profissionalizar sua estrutura de segurança da informação.

Se você é empreendedor, gestor ou parceiro de uma empresa que atua como IP ou white-label bancário, vale revisar imediatamente:

  • Se a sua estrutura está operando com PSTI autorizado;

  • Se os fluxos de Pix e TED obedecem aos novos limites temporários;

  • Se há plano de regularização até maio de 2026;

  • Se seus contratos e parceiros estão preparados para auditorias externas e exigências do regulador.

Conclusão

O recado do Banco Central é claro: segurança agora é prioridade absoluta no setor financeiro, e não haverá mais espaço para operações informais, sem controle técnico ou regulação efetiva.

As fintechs que quiserem escalar com solidez e longevidade precisarão construir suas bases sobre compliance, transparência e resiliência cibernética.

Posted on

O que é o Arquivo 4111 do Banco Central e por que ele importa para sua fintech

Se você está construindo (ou já opera) uma fintech que atua com serviços financeiros regulados, especialmente com Pix, precisa conhecer esse nome: arquivo 4111.

Esse arquivo é enviado diariamente ao Banco Central do Brasil por instituições participantes diretas do arranjo Pix, e carrega os saldos contábeis de todas as contas mantidas pela instituição. Pode parecer apenas um detalhe técnico, mas é uma das engrenagens mais importantes de toda a estrutura regulatória.

Neste artigo, explico de forma prática e objetiva o que é esse arquivo, quem precisa enviar, o que ele exige e como se preparar para lidar com ele sem dor de cabeça.

Pra que serve o arquivo 4111?

Ele é uma obrigação regulatória que tem como objetivo garantir que o Banco Central tenha, diariamente, uma visão clara e estruturada dos saldos das contas operadas por instituições que atuam diretamente no Pix.

Na prática, ele funciona como um “espelho contábil” que mostra:

  • O saldo disponível e o saldo contábil de cada conta

  • A titularidade dessas contas (CPF/CNPJ)

  • O tipo de conta (transacional, técnica, garantidora etc.)

  • O status atual da conta (ativa, bloqueada, encerrada)

Tudo isso precisa estar preciso e validado, dentro do modelo XML definido pelo BCB.

Quem precisa enviar?

Esse arquivo é obrigatório para instituições que:

  • São participantes diretos do Pix

  • Atuam como liquidantes

  • Mantêm contas de pagamento ou contas transacionais

  • Têm conta de liquidação ou reserva no Bacen

Ou seja, se sua operação inclui manter saldo segregado, você precisa prestar contas todo dia.

Como é o envio?

  • Formato: XML, validado por um schema XSD oficial

  • Canal: Sistema de Transferência de Arquivos (STA)

  • Frequência: Diária

  • Prazo: Até as 8h30 da manhã do dia seguinte à data de referência

  • Nome técnico: Documento 4111 – Saldos Contábeis Diários

E o que acontece se eu não enviar?

Simples: você está descumprindo uma obrigação regulatória, e isso pode gerar:

  • Advertências formais

  • Multas administrativas

  • Risco de suspensão ou sanção da sua operação

  • Problemas com bancos parceiros, PSTIs e credores

Além disso, vale lembrar que o Banco Central pode cruzar os dados enviados com o que está registrado no SPI e no DICT. Ou seja, inconsistência pega mal.

Como estruturar isso do jeito certo

Você precisa garantir que o seu sistema:

✅ Mantenha saldo contábil e disponível separados

✅ Identifique cada conta com um ID único + CPF/CNPJ

✅ Atualize os saldos corretamente a cada movimentação

✅ Gera o XML automaticamente com base em dados reais

✅ Valide o arquivo com o schema XSD antes do envio

✅ Mantenha trilha de auditoria para cada versão enviada

Lá na Alphacode, resolvemos isso com o Mosaico Banking

Nossa solução de core bancário modular já vem pronta para lidar com todas essas exigências. Temos estrutura de saldo segregado, APIs para controle contábil e relatórios que batem direto com o que o BCB exige.

Inclusive, vários dos nossos clientes já usam essa estrutura para estar em conformidade com o envio do 4111, APIX001 e outros arquivos regulatórios.

Se você quer montar sua fintech com responsabilidade técnica e visão de longo prazo, essa estrutura precisa estar desde o começo.

Se quiser conversar sobre isso, é só me chamar.

Posted on

Segurança no Banking as a Service: o que você precisa considerar antes de lançar sua fintech

Quando falamos de segurança no BAAS, não estamos tratando apenas de firewall ou criptografia. Trata-se da confiança do seu cliente na operação — e da sobrevivência da sua fintech.

Nos últimos anos, o modelo de Banking as a Service (BAAS) tem viabilizado uma nova geração de empresas oferecendo serviços financeiros sob medida — sem precisar montar um banco tradicional. É um modelo poderoso, flexível e estratégico para varejistas, marketplaces, plataformas e fintechs.

seguranca no baas

Mas junto com a oportunidade, vem a responsabilidade. E tem um ponto que, infelizmente, ainda é negligenciado por muitos empreendedores que querem entrar nesse mercado: a segurança da informação.

Nesse artigo, eu quero abordar esse tema com profundidade — trazendo uma visão realista sobre os riscos, as boas práticas e, principalmente, o papel da rastreabilidade como elemento-chave em qualquer projeto sério de BAAS.

BAAS lida com dinheiro e dados críticos. Isso muda tudo.

Quando você cria um app de delivery, um e-commerce ou uma plataforma de serviços, os riscos estão principalmente na performance, na experiência do usuário e na operação.

Agora, quando você cria uma fintech — ainda que operando em modelo white-label com apoio de parceiros — você passa a lidar com:

  • Saldos de contas vinculadas ao CPF do cliente

  • Transações financeiras com valores reais

  • Dados de documentos, contratos e autorizações

  • Pix, boletos, CCBs e até limites de crédito

  • Processos de autenticação, senha e segurança

Não importa se a liquidação é feita por um banco parceiro ou se o app foi desenvolvido sob licença: a responsabilidade sobre a integridade dos dados e a segurança da operação é sua.

Quais são os riscos mais comuns em soluções BAAS?

Se eu tivesse que listar os erros mais recorrentes que vejo em projetos que tentam “cortar caminho”, eles seriam:

  • Falta de controle de acesso por perfil (qualquer pessoa acessa tudo)

  • Ausência de autenticação em APIs sensíveis

  • Dados de saldo armazenados em cache, sem consistência transacional

  • Falta de logs detalhados e rastreáveis

  • Backups inexistentes ou manuais

  • Deploys em servidores compartilhados, sem isolamento por instância

  • Requisições vulneráveis a manipulação direta (testes com Postman revelam falhas)

E o pior: boa parte desses problemas só aparece quando o negócio começa a escalar. Quando chegam mil usuários, o sistema quebra. E aí a confiança já foi embora.

Segurança no BAAS vai além da tecnologia: trata-se de responsabilidade

Muita gente pensa que segurança é só “proteger contra hackers”. Mas na prática, a maior parte dos problemas reais que uma fintech enfrenta são operacionais, e não ataques externos.

É por isso que eu sempre bato na tecla da rastreabilidade. Um sistema financeiro sem rastreabilidade é uma bomba-relógio.

Você precisa ser capaz de responder perguntas como:

  • Quem iniciou essa transação?

  • Que IP acessou essa conta?

  • Quem alterou o status desse pagamento?

  • Essa operação foi processada quando? Por quem?

  • Houve rollback? Por quê?

Isso não serve só para auditoria. Serve para que você possa confiar na sua própria operação. E para que os parceiros e reguladores confiem também.

O que é uma boa rastreabilidade em projetos BAAS?

  • Cada movimentação de saldo deve gerar um log completo com ID do usuário, horário exato e parâmetros da requisição

  • As trilhas de auditoria devem ser armazenadas fora do ambiente de produção (por exemplo, em serviços de log criptografado ou banco separado)

  • Operações críticas (alteração de dados, reversões, estornos) devem ter autenticação reforçada e logs assinados

  • Integrações com PSTIs, bancos liquidantes e parceiros de crédito devem ser documentadas e monitoradas

  • Logs devem ser imutáveis, criptografados e auditáveis

A rastreabilidade é a linha que separa uma fintech confiável de uma operação frágil.

Como tratamos isso na Alphacode

Na Alphacode, a gente não entrega apenas um “sistema com tela bonita”. A gente entrega a estrutura que sustenta operações financeiras robustas, escaláveis e com total responsabilidade técnica.

O nosso Mosaico Banking é um core bancário modular que já vem com:

  • Controles de acesso por perfil e por rota

  • Logs detalhados por tipo de transação

  • Backup automático com replicação segura

  • Ambiente separado por cliente, com isolamento real

  • Integração com PSTIs homologadas

  • Conectividade com sistemas como SPI, DICT, CIP e registradoras

Além disso, a gente entende que o projeto precisa atender não só à parte técnica, mas também aos padrões esperados por bancos parceiros, auditorias e reguladores.

Conclusão

Montar uma fintech ou oferecer serviços financeiros em sua empresa é uma oportunidade real de gerar receita recorrente, fidelização e inovação. Mas essa oportunidade exige maturidade técnica.

Não dá para brincar com dados de pagamento.

E se você está nesse caminho, eu recomendo fortemente começar sua estrutura com rastreabilidade, segurança e controle. Porque escalar com base em improviso pode custar muito caro depois.

Se quiser trocar ideias sobre seu projeto, entender melhor como o Mosaico pode ser implantado com segurança ou revisar a arquitetura da sua fintech, é só me chamar.

Vai ser um prazer ajudar.

Posted on

O que é uma PSTI no contexto do Banco Central?

No mundo das fintechs e dos serviços financeiros digitais, não basta apenas ter uma boa ideia ou um app funcional. Existe uma camada crítica por trás de toda operação regulada que precisa ser sólida, auditável e em conformidade com as normas do Banco Central. Essa camada é, muitas vezes, operada por uma PSTI — Prestadora de Serviços de Tecnologia da Informação.

Se você está envolvido com a criação de um banco digital, carteira, sistema de crédito ou qualquer outra operação que demande integração com Pix, contas ou liquidação de pagamentos, é essencial entender esse conceito.

Afinal, o que é uma PSTI?

PSTI é a sigla usada pelo Banco Central para classificar empresas que prestam serviços tecnológicos críticos a instituições financeiras ou de pagamento. Isso inclui, por exemplo:

  • Operação técnica do Pix e do SPI

  • Gerenciamento de chaves e comunicação com o DICT

  • Processamento de boletos via CIP

  • Assinatura digital de mensagens financeiras

  • Manutenção de redes, servidores e ambientes regulatórios

A PSTI atua como a “responsável técnica” por manter no ar os sistemas que conectam sua fintech com o restante do sistema financeiro nacional.

O Banco Central exige que toda instituição regulada que terceiriza a operação de seus sistemas essenciais registre essa relação formalmente, reconhecendo o papel da PSTI contratada.

Por que o Banco Central exige isso?

Porque o sistema financeiro não pode correr riscos operacionais sem controle.

Imagine o que aconteceria se uma fintech deixasse de funcionar por falha em servidores, perda de dados ou má gestão da segurança? O impacto não seria só interno, mas poderia afetar a confiança do consumidor no ecossistema como um todo.

Por isso, o Bacen define requisitos mínimos que uma empresa deve atender para ser considerada PSTI:

  • Infraestrutura redundante com alta disponibilidade

  • Política de segurança da informação formalizada

  • Proteção de chaves criptográficas (HSM)

  • Monitoramento contínuo dos serviços

  • Plano de continuidade e recuperação de desastres

  • Aderência técnica aos manuais do SPI, DICT, SPB, RSFN e CIP

Não se trata apenas de “ter um servidor rodando”. Trata-se de garantir estabilidade, segurança e rastreabilidade para movimentações financeiras.

Onde a Alphacode se posiciona nesse cenário?

Na Alphacode, desenvolvemos o Mosaico Banking, uma plataforma de Core Bancário que atende fintechs, bancos digitais e projetos financeiros de alta complexidade.

É importante esclarecer que a Alphacode não atua como PSTI diretamente, ou seja, não é a responsável pela infraestrutura de integração com o Banco Central.

O que fazemos é entregar o núcleo do sistema — o software que controla as contas, movimentações, CCBs, liquidações e integrações do seu banco digital — já pronto para se conectar a uma PSTI homologada.

Ou seja, o Mosaico Banking se integra de forma nativa às principais PSTIs autorizadas pelo Bacen, garantindo que a operação dos nossos clientes esteja em conformidade com os padrões técnicos e operacionais exigidos.

Esse modelo traz o melhor dos dois mundos: a agilidade e a personalização da Alphacode com a robustez e a segurança de parceiros especialistas em infraestrutura regulatória.

Conclusão

Se você está montando uma operação financeira séria, não tem como fugir da responsabilidade técnica — e entender o papel de uma PSTI é parte essencial dessa jornada.

Seja como contratante direto de uma PSTI ou usando uma solução como o Mosaico Banking integrada a parceiros homologados, o ponto é o mesmo: você precisa estar em conformidade com o que o Banco Central exige.

Na Alphacode, trabalhamos todos os dias para que nossos clientes possam crescer com tecnologia de ponta, usabilidade moderna e uma base sólida para operar com segurança.

Se quiser conversar mais sobre isso, tirar dúvidas sobre estrutura regulatória ou entender como montar sua fintech do zero com segurança e escalabilidade, me chama. Vai ser um prazer trocar ideias.