Como avaliar um fornecedor de KYC, um roteiro com perguntas objetivas

Escolher fornecedor de verificação de identidade é uma decisão que a empresa carrega por anos: o fornecedor fica no meio do seu funil de cadastro, processa dado sensível dos seus clientes e vira parte da sua resposta a reguladores. Ainda assim, muitas avaliações se resumem a uma demonstração comercial e uma tabela de preço. Este artigo propõe um roteiro de avaliação com perguntas objetivas, cada uma amarrada a um critério verificável, para transformar a escolha num exercício de engenharia e compliance, não de persuasão.

Qualidade medida, não prometida

A primeira bateria de perguntas separa números com metodologia de números de folheto.

• Em que metodologia as taxas divulgadas foram medidas? Para prova de vida, a referência é a ISO/IEC 30107-3, que define as duas métricas obrigatórias, a taxa de ataques aceitos e a taxa de usuários legítimos rejeitados. Número único de precisão, sem as duas taxas, não é métrica, é marketing.
• Para comparação facial, as métricas de falsa correspondência e falsa não correspondência seguem a ISO/IEC 19795-1, e o programa público de avaliação do NIST é a referência de benchmark independente da indústria. O fornecedor participa de avaliação independente? Se não, com que dataset declarado mede a si mesmo?
• As taxas foram medidas em população parecida com a sua? Desempenho de modelo varia entre grupos demográficos e condições de captura, e a avaliação pública do NIST documenta essas variações. Um número medido só em condições de laboratório diz pouco sobre celular de entrada com luz ruim.
• O que acontece na rejeição indevida: existe recaptura orientada, ou o usuário legítimo cai num beco? A taxa de rejeição indevida custa conversão todos os dias.

O papel jurídico do fornecedor na LGPD

A segunda bateria trata a relação pela Lei 13.709/2018. Na configuração típica, a sua empresa é a controladora e o fornecedor é o operador, nos papéis do artigo 5º, e o artigo 42 estrutura a responsabilidade civil por danos, com hipóteses em que o operador responde junto. Perguntas que o contrato precisa responder por escrito:

• Em que base legal o tratamento biométrico se apoia, e como as ressalvas do artigo 11, inciso II, alínea g, prevenção à fraude em identificação e autenticação, são atendidas no desenho do produto?
• Qual é a política de retenção por categoria de dado, e o expurgo é automático e auditável? Os artigos 15 e 16 mandam eliminar ao término do tratamento, com as exceções legais documentadas.
• Quem são os sub-operadores, onde os dados residem e há transferência internacional nos termos dos artigos 33 e seguintes?
• Como o fornecedor apoia os direitos do titular do artigo 18 e a comunicação de incidentes do artigo 48, e em que prazos?

Fornecedor que não responde essas perguntas com artigo e parágrafo está pedindo que o seu risco jurídico fique implícito.

Segurança de operação, não só certificado na parede

Certificações como a ISO/IEC 27001, de gestão de segurança da informação, e relatórios de auditoria independente do tipo SOC 2, definidos pelo instituto americano AICPA, indicam processo maduro e valem pontos. Mas a avaliação técnica direta revela mais:

• Como a mídia trafega e repousa? Upload direto para armazenamento cifrado, sem cópia desnecessária em servidores intermediários, é desenho melhor do que mídia passeando por camadas de aplicação.
• Chaves de API têm escopo e ambiente separados? Vazamento de chave de teste não pode alcançar produção.
• Existe página de status pública e histórico de incidentes? Transparência operacional é indicador de cultura.
• O que degrada quando uma dependência do fornecedor cai, e o que acontece com as verificações em andamento? A resposta certa envolve fila, reprocessamento e estado consultável, não perda silenciosa.

Integração honesta: sandbox, webhook e documentação

A terceira bateria se responde sem reunião: pedindo acesso e integrando.

• Existe sandbox gratuito com resultado determinístico, em que o fluxo inteiro roda de ponta a ponta antes de qualquer contrato? Fornecedor que só demonstra em ligação comercial tem algo a esconder ou processo imaturo.
• A decisão chega por webhook assinado, com política de retentativa documentada e idempotência? Integração por polling ou por e-mail não sustenta operação.
• A documentação é pública, com contrato de API versionado e changelog? Documentação atrás de formulário de contato é atrito hoje e risco de mudança surpresa amanhã.
• O preço é público e a unidade de cobrança é clara? Cobrança por verificação, com o preço de cada módulo visível, permite calcular custo por cadastro aprovado sem planilha secreta. Nós, na UNIFOKAL, operamos assim de propósito, documentação e preços públicos e sandbox sem custo, e recomendamos usar essa régua contra qualquer fornecedor, inclusive contra nós.

Portabilidade e a saída antes da entrada

A última bateria é a que quase ninguém faz e todo mundo deveria: como se sai? A resposta importa porque o custo de troca é o que transforma um fornecedor ruim em fornecedor permanente.

• Os dados e trilhas de verificação são exportáveis em formato aberto e documentado, respeitando os limites legais do dado biométrico?
• O contrato tem prazo de guarda pós-rescisão e destruição certificada?
• O fluxo do usuário final depende de SDK proprietário profundo, ou a integração é substituível por contrato de API? Quanto mais fino o acoplamento, mais real é a sua liberdade futura.

Um roteiro assim produz uma tabela comparável entre candidatos, com cada célula apontando para uma evidência: um relatório de teste, um artigo de lei, uma página de documentação, um teste de integração que a sua equipe rodou no sandbox. É trabalho de alguns dias que compra anos de tranquilidade, e a recusa de um fornecedor a qualquer linha do roteiro já é, em si, a resposta.

Fontes citadas

• ISO/IEC 30107-3, metodologia e métricas de teste de detecção de ataque de apresentação
• ISO/IEC 19795-1, métricas de desempenho de sistemas biométricos
• NIST, National Institute of Standards and Technology, programa público de avaliação de reconhecimento facial, incluindo a documentação de variações demográficas de desempenho
• Lei 13.709/2018, LGPD, artigos 5º, 11, 15, 16, 18, 33, 42 e 48, disponível no portal do Planalto: planalto.gov.br
• ISO/IEC 27001, norma de sistemas de gestão de segurança da informação
• AICPA, instituto responsável pela definição dos relatórios de auditoria SOC 2