Migrar de fornecedor de KYC sem parar o funil

Trocar o fornecedor de verificação de identidade é uma cirurgia com o paciente acordado: o cadastro não pode parar, a obrigação legal de identificar clientes não tira férias e os dados acumulados no fornecedor antigo não podem simplesmente evaporar. Ainda assim, empresas fazem essa troca o tempo todo, por preço, por cobertura, por qualidade de decisão, e a diferença entre uma migração tranquila e um incidente de semanas é quase toda planejamento.

Este artigo é o plano de corte: o que inventariar antes de qualquer contrato, o que a lei obriga a guardar, como rodar os dois fornecedores em paralelo com segurança e como encerrar a relação antiga sem deixar dado órfão para trás.

O inventário vem antes de qualquer contrato novo

A migração começa com uma lista exaustiva do que existe hoje no fornecedor atual:

• integrações: endpoints chamados, webhooks recebidos, campos do payload consumidos por sistemas internos, porque o formato do concorrente nunca é igual;
• dados: verificações históricas, decisões, trilha de auditoria, mídia capturada, e em qual sistema cada categoria vive;
• dependências escondidas: relatórios que o time de fraude consulta na interface do fornecedor, exportações agendadas, processos de revisão manual apoiados em tela de terceiro;
• contrato: prazo de aviso prévio, cláusulas de devolução e eliminação de dados, custo de exportação em massa.

O item mais subestimado é o mapeamento de identificadores externos: IDs de verificação do fornecedor antigo espalhados pelo seu banco. Se a tabela de clientes guarda o identificador do fornecedor A, todo código que o usa precisa de um plano para o mundo em que as verificações novas vêm do fornecedor B e as antigas continuam referenciando o A.

O que a lei manda guardar, e o que não deve migrar

Dois regimes legais puxam em direções diferentes, e os dois têm razão. A Lei 9.613/1998, no art. 10, §2º, manda conservar os cadastros e registros de identificação de clientes por, no mínimo, cinco anos, prazo que a autoridade competente pode ampliar. Encerrar o contrato com o fornecedor antigo não encerra essa obrigação: o plano precisa dizer onde os registros históricos vão viver e como serão recuperados diante de uma requisição de autoridade.

Na direção oposta, a Lei 13.709/2018 (LGPD) cobra necessidade e minimização entre os seus princípios do art. 6º: migrar dado por inércia é tratamento sem propósito. A pergunta certa para cada categoria não é podemos levar, é precisamos levar. Decisões e trilha de auditoria, sim: são o lastro documental da obrigação legal. Biometria histórica é o caso espinhoso: transferir dado sensível a um operador novo exige fundamento próprio, e refazer a captura no próximo acesso relevante costuma ser desenho mais limpo do que carregar acervo biométrico entre fornecedores. O art. 18, V, da LGPD, que prevê a portabilidade a pedido expresso do titular, reforça essa leitura: portar dado é ato fundamentado, não mudança de depósito.

Prazos, formato de guarda e eliminação ao fim do prazo são um capítulo próprio, detalhado no artigo sobre retenção de dados de verificação.

Rodagem paralela: a fase que compra segurança

O erro clássico da migração é o corte seco: desligar o fornecedor A na sexta e ligar o B na segunda, descobrindo em produção que os limiares são outros e o payload mudou. O desenho seguro tem três fases:

1. Homologação fora de produção: reconstruir o fluxo completo no sandbox do fornecedor novo e provar cada caminho antes de tocar produção: aprovação, recusa, recaptura, expiração, webhook. Na UNIFOKAL, por exemplo, o sandbox é determinístico de propósito, os mesmos cenários produzem os mesmos desfechos, para que a homologação vire uma suíte repetível em vez de uma sessão de sorte.
2. Modo sombra: uma fatia do tráfego novo é processada pelos dois fornecedores, com o novo decidindo sem efeito sobre o usuário, apenas registrando. A comparação das decisões, caso a caso, revela divergência de calibração antes de ela custar conversão ou deixar fraude passar. Essa fase exige disciplina de idempotência nos consumidores de eventos, porque reenvio e duplicidade viram rotina quando dois sistemas emitem sobre o mesmo funil.
3. Corte gradual e reversível: um percentual pequeno do tráfego novo decide de verdade no fornecedor B, com medição de taxa de aprovação, latência e custo por verificação, aumento progressivo e um caminho de volta testado enquanto o contrato antigo ainda está de pé.

A métrica de guarda durante o corte é a taxa de aprovação de usuários legítimos por etapa do funil. Fornecedores calibram limiares de formas diferentes, e uma queda de aprovação na virada raramente é fraude nova: quase sempre é calibração diferente engolindo gente boa em silêncio.

Offboarding: encerrar sem deixar dado órfão

O fim do contrato antigo é parte da migração, não um epílogo administrativo:

• devolução dos dados em formato utilizável, prevista em contrato: a cláusula de saída deveria ter sido negociada na entrada, e é por isso que ela aparece no roteiro de avaliação de fornecedor de KYC antes de qualquer assinatura;
• eliminação certificada do que não fica: declaração formal de eliminação, com escopo e data, arquivada na sua trilha de auditoria;
• revogação de credenciais nos dois sentidos: chaves de API, webhooks que ainda apontam para os seus endpoints, acessos de funcionários à interface antiga;
• registro da migração em si: quem decidiu, quando, o que foi transferido, o que foi eliminado e com qual fundamento.

A norma ISO/IEC 27001, o padrão internacional de gestão de segurança da informação, trata no seu anexo de controles a relação com fornecedores como objeto de controle explícito, da entrada ao encerramento: acordo, monitoramento e saída fazem parte do mesmo ciclo de vida. A tradução prática: a migração termina quando o último dado no fornecedor antigo tem destino documentado, devolvido ou eliminado, e não quando o tráfego chega a zero.

Migração de KYC bem feita é chata, e isso é um elogio: fases previsíveis, métricas acompanhadas, nenhum momento de coragem. Se o plano exige um fim de semana de virada e torcida, ele ainda não está pronto.

Fontes citadas

• Lei 9.613/1998, art. 10, §2º, sobre a conservação de cadastros e registros de identificação: planalto.gov.br
• Lei 13.709/2018 (LGPD), arts. 6º e 18, sobre princípios do tratamento e direitos do titular: planalto.gov.br
• ISO/IEC 27001, sistema de gestão de segurança da informação, anexo de controles sobre relacionamento com fornecedores, da Organização Internacional de Normalização (ISO)