Perguntas sobre verificação de identidade
Compra e integração
Recebi uma mensagem em nome da UNIFOKAL pedindo documento ou selfie. É legítimo?
Não. A UNIFOKAL não entra em contato com o titular para pedir documento, selfie ou código, e não cobra nada dele. A verificação sempre acontece dentro do site ou do aplicativo da empresa que pediu a verificação. Na dúvida, não responda e procure a empresa pelo canal oficial dela.
Resposta inteira em: PreçosComo funciona a cobrança?
A cobrança é por verificação, e o preço de um flow é a soma dos módulos que ele usa. Não há contrato, mínimo mensal nem taxa de instalação. O valor de cada módulo aparece na página de preços e vem do mesmo catálogo que o painel usa.
Resposta inteira em: PreçosPreciso falar com um vendedor para começar?
Não. Você cria a conta, gera a chave de sandbox e integra no mesmo dia. O ambiente de teste roda o fluxo inteiro com resultado determinístico, sem consumir saldo, com teto de 500 sessões por mês.
Resposta inteira em: PreçosO que significa o selo "Em breve" ao lado de um preço?
Significa que o módulo já tem preço definido e ainda não pode ser ligado num flow. O preço aparece porque quem avalia precisa saber quanto vai custar quando a venda abrir. O selo sai do catálogo: no dia em que a venda abre, ele cai sozinho.
Resposta inteira em: PreçosPor que alguns valores aparecem como um traço?
Porque o catálogo de preços não respondeu naquele momento. A página prefere mostrar um traço a mostrar um número velho: preço desatualizado numa página pública é pior do que preço nenhum.
Resposta inteira em: PreçosPreciso guardar a foto do documento e a selfie no meu sistema?
Não. A captura e o processamento acontecem no UNIFOKAL, e o seu front nunca toca foto, selfie ou documento. Você recebe o resultado, não os arquivos.
Resposta inteira em: Verificação de identidadeComo o resultado chega até mim?
Pelo webhook, assinado, no seu servidor. Ele é a fonte da verdade: a resposta imediata da criação confirma que a sessão existe, não o desfecho, e o evento que o navegador dispara serve só para a tela. Aprove, credite e libere a partir do webhook verificado.
Resposta inteira em: Verificação de identidadeA empresa precisa tirar foto de alguma coisa?
Não. O KYB é por documento societário enviado em PDF, sem câmera. O CNPJ consultado é o que foi lido do próprio documento, e não um número digitado à mão.
Resposta inteira em: Verificação de empresa (KYB)A pessoa precisa mostrar documento para provar a idade?
Só na faixa de dúvida. A estimativa sai da selfie que o fluxo já captura, com prova de vida, e devolve um veredito claro (sim, não ou inconclusivo) com margem de segurança sobre a idade legal. Quando o veredito é inconclusivo, o documento entra.
Resposta inteira em: Verificação de idadeA busca compara meu cliente com a base de outras empresas?
Não. A comparação é isolada por cliente: o rosto que chega é procurado na sua própria base, nunca numa base nacional compartilhada entre empresas.
Resposta inteira em: Detecção de múltiplas contasUm nome em lista reprova a verificação sozinho?
Nunca. O screening sinaliza com evidência datada e manda para revisão humana. Reprovar por coincidência de nome, sem ninguém olhar, é o erro que essa política existe para impedir.
Resposta inteira em: Screening de PEP, sanções e listasComo começo a usar o PLD/FT?
Crie a conta, ative a política no painel (o regime do seu setor, as regras e a nota de aprovação da sua governança) e crie um flow com o módulo de monitoramento. A seleção roda em produção, sobre as operações reais da sua carteira, com a chave de produção.
Resposta inteira em: Monitoramento de PLD/FTA UNIFOKAL comunica ao Coaf por mim?
Não. A análise e a decisão de comunicar são do seu encarregado, e quem transmite pelo Siscoaf é a sua organização.
Resposta inteira em: Monitoramento de PLD/FTComo o monitoramento de PLD/FT é cobrado?
Por pessoa monitorada no mês: quem teve evento enviado no mês entra uma vez na conta, não importa quantas transações ou alertas gerou. A fila, o caso, o dossiê e o rascunho não têm custo extra. A classificação de risco é cobrada por verificação que sai classificada.
Resposta inteira em: Monitoramento de PLD/FTOnde o alerta aparece?
No painel de PLD/FT, lido só por quem administra a conta, com cada leitura registrada. O seu sistema recebe o aviso pld.alert.created no webhook, assinado e com carga mínima: o alerta é informação sigilosa e não deve chegar ao seu cliente final.
Resposta inteira em: Monitoramento de PLD/FTO antifraude adiciona algum passo para o meu usuário?
Nenhum. Ele lê sinais de risco da própria sessão de verificação que já está acontecendo. Para quem está do outro lado, nada muda na tela.
Resposta inteira em: AntifraudeA assinatura é qualificada?
Não. É assinatura eletrônica avançada, nos termos da Lei 14.063/2020, art. 4º, II, com verificação de identidade e prova de vida no ato da assinatura.
Resposta inteira em: Assinatura eletrônicaComo alguém confere o dossiê sem depender da UNIFOKAL?
Com a chave pública que a UNIFOKAL publica na documentação: a chave que viaja no dossiê só vale se for igual a uma dessa lista. A assinatura Ed25519 cobre o manifesto que amarra o hash do contrato à verificação aprovada e ao instante.
Resposta inteira em: Assinatura eletrônicaTer dívida reprova a identidade?
Não. O resultado de crédito é informacional: ele descreve a situação do documento consultado e não muda o desfecho da verificação de identidade. Quem decide o que fazer com essa informação é você.
Resposta inteira em: Análise de créditoVocês entram na videochamada?
Não. A confirmação acontece fora dela: você manda um link pontual pelo canal que já tinha cadastrado para a pessoa, um canal que quem está na chamada não controla, e só o titular confirma o pedido.
Resposta inteira em: Humano verificadoO titular precisa instalar aplicativo?
Não. A passkey usa o navegador e o gerenciador de senhas que o titular já tem, e a confirmação abre numa página no navegador, com a sua marca e o resumo do pedido.
Resposta inteira em: Humano verificadoE se o aparelho do titular não tiver passkey?
A confirmação também aceita a reautenticação facial com prova de vida, que confirma que é a mesma pessoa aprovada no cadastro. Se a pessoa não tiver nenhum dos dois, a API diz isso na hora, e o pedido segue pelo seu próprio processo.
Resposta inteira em: Humano verificadoO que a plataforma recebe no atestado?
Uma declaração assinada de que a pessoa passou pela prova de vida, com um identificador que é diferente em cada plataforma, sem nome, CPF, rosto ou data de nascimento. Quem recebe confere a assinatura sem consultar a UNIFOKAL, e você apresenta só as informações que escolher.
Resposta inteira em: Humano verificado
Para quem está sendo verificado
Minha verificação foi recusada. Quem decide?
A empresa que pediu a verificação. A UNIFOKAL faz a análise para ela, e é ela quem decide aprovar, recusar ou liberar uma nova tentativa. Para rever o resultado, fale com a empresa pelo canal de atendimento dela.
Resposta inteira em: Central de ajudaA tela mostrou uma mensagem de erro. Posso tentar de novo?
Na maioria dos casos, sim. A própria tela diz o que aconteceu e oferece refazer aquela etapa, e esta central explica cada mensagem e o que fazer. Se o link não abre mais, peça um novo à empresa que pediu a verificação.
Resposta inteira em: Central de ajudaComo peço uma cópia dos meus dados ou a eliminação deles?
Pelo canal do titular, na página Seus direitos. Você abre o pedido, recebe um protocolo e acompanha a resposta por ele. A página explica quando quem responde é a UNIFOKAL e quando é a empresa que pediu a verificação.
Resposta inteira em: Central de ajuda
Blog: KYC
Transferência para carteira autocustodiada precisa ser comunicada ao COAF?
Sim, pelo artigo 49, V, da Circular BCB 3.978/2020, na redação da Resolução BCB 591/2026, quando o valor é igual ou superior ao equivalente a US$ 10 mil, para ou de essa carteira.
Resposta inteira em: Carteira autocustodiada na norma: o que o Banco Central pede quando a cripto sai da custódiaA lista SDN da OFAC traz todos os endereços de carteira sancionados?
Não. A FAQ 562 do OFAC diz que as listagens de endereços de moeda digital provavelmente não são exaustivas.
Resposta inteira em: Carteira autocustodiada na norma: o que o Banco Central pede quando a cripto sai da custódiaQuem só comunicou operação em espécie no ano precisa declarar?
No recorte do Banco Central, não: o artigo 54 da Circular 3.978 obriga quem não efetuou comunicações ao COAF, e a comunicação de espécie do artigo 49 é uma delas.
Resposta inteira em: Comunicação de não ocorrência: quem declara, quando e ondeEmpresa que encerrou a atividade ainda declara?
Sim, até o último ano de atividade. As perguntas frequentes do COAF dão o exemplo: quem operou em 2015 sem nenhuma situação a comunicar declara a não ocorrência até 31 de janeiro de 2016, no recorte dos setores supervisionados pelo COAF.
Resposta inteira em: Comunicação de não ocorrência: quem declara, quando e ondeA lei diz por quanto tempo guardar a evidência técnica?
Não. O artigo 2º-I da Lei 10.820 e o artigo 3º do Decreto 12.564 exigem a geração e o armazenamento da evidência, mas não fixam prazo. A guarda segue as regras aplicáveis à instituição e ao contrato de crédito.
Resposta inteira em: A evidência técnica do consignado digital: o que gerar, entregar e guardarUm registro de sistema dizendo que o usuário assinou é evidência técnica?
Sozinho, não. A lei pede evidência que comprove a autenticação e a integridade do ato e que possa ser usada em juízo, o que exige no mínimo o hash do documento, o instante e uma assinatura que um terceiro consiga conferir.
Resposta inteira em: A evidência técnica do consignado digital: o que gerar, entregar e guardarA assinatura avançada vale no consignado do trabalhador?
Vale, pelo parágrafo 2º, inciso II, do artigo 2º-I da Lei 10.820/2003, desde que cumpra o inciso II do artigo 4º da Lei 14.063/2020 e os dois requisitos do parágrafo 3º: biometria com prova de vida no ato da assinatura e geração de evidências técnicas de autenticação e...
Resposta inteira em: Assinatura avançada ou qualificada no consignado: o que muda na práticaAssinatura com biometria é assinatura qualificada?
Não. A qualificada é definida pelo uso de certificado digital da ICP-Brasil, no inciso III do artigo 4º da Lei 14.063/2020. Biometria com prova de vida é o que o consignado exige da assinatura avançada, que é outra classe.
Resposta inteira em: Assinatura avançada ou qualificada no consignado: o que muda na práticaO decreto exige biometria no momento da assinatura em todos os casos?
Não. A biometria com prova de vida no momento da assinatura é critério do inciso II do artigo 3º, a assinatura avançada. O inciso III, a assinatura digital com múltiplos fatores em ambiente seguro da instituição, não traz essa exigência no ato de assinar.
Resposta inteira em: Decreto 12.564: os três caminhos para formalizar o consignado digitalO consentimento para a biometria precisa ficar guardado?
Precisa. O parágrafo único do artigo 2º exige que o consentimento seja registrado e armazenado em meio eletrônico, em formato acessível ao trabalhador e auditável pelos órgãos de controle.
Resposta inteira em: Decreto 12.564: os três caminhos para formalizar o consignado digitalDesde quando o artigo 2º-I vale?
Desde 25 de julho de 2025. O artigo 10 da Lei 15.179/2025 diz que a lei entra em vigor na data da publicação, e ela foi publicada no Diário Oficial da União nesse dia.
Resposta inteira em: Lei 15.179: biometria com prova de vida no consignado do trabalhadorA lei obriga assinatura com certificado ICP-Brasil?
Não. O parágrafo 2º admite a qualificada, com certificado ICP-Brasil, ou a avançada, desde que a avançada tenha autenticação biométrica com prova de vida no ato da assinatura e gere evidências técnicas de autenticação e integridade, como pede o parágrafo 3º.
Resposta inteira em: Lei 15.179: biometria com prova de vida no consignado do trabalhadorO consentimento para a biometria precisa ser guardado?
Precisa. O parágrafo 1º torna o consentimento obrigatório, e o Decreto 12.564/2025 exige que ele seja registrado e armazenado em meio eletrônico, acessível ao trabalhador e auditável pelos órgãos de controle.
Resposta inteira em: Lei 15.179: biometria com prova de vida no consignado do trabalhadorO protocolo de CRNM vale para abrir conta?
O art. 19, § 3º, da Lei nº 13.445/2017 garante ao portador do comprovante de solicitação o acesso aos direitos disciplinados na lei, e o art. 63, § 1º, do Decreto nº 9.199/2017 fixa esse efeito por até cento e oitenta dias, prorrogáveis, desde que o protocolo venha acompanhado...
Resposta inteira em: Cadastro de estrangeiro: CRNM, RNM, protocolo e o documento vencidoCRNM vencida significa que a pessoa está irregular?
Não necessariamente. Na residência por prazo indeterminado, o art. 74 do Decreto nº 9.199/2017 dá nove anos de validade à carteira, e o vencimento atinge a via do documento, não o direito de residir.
Resposta inteira em: Cadastro de estrangeiro: CRNM, RNM, protocolo e o documento vencidoA CTPS digital serve como documento de identidade?
Não. O art. 3º, § 3º da Portaria Consolidada MTE nº 1/2025 diz que a Carteira de Trabalho Digital não se equipara aos documentos de identificação civil de que trata o art. 2º da Lei nº 12.037/2009.
Resposta inteira em: Carteira de trabalho digital na comprovação de vínculoO salário aparece no extrato da carteira digital?
Sim, o salário contratual, por força do art. 14, inciso I, alínea "c" da Portaria MTE nº 1/2025 e do art. 29, § 1º da CLT. Não aparecem horas extras, comissões efetivas, descontos nem valor líquido recebido.
Resposta inteira em: Carteira de trabalho digital na comprovação de vínculoPor que um emprego recente não aparece na carteira digital?
Porque há prazo de envio e tempo de processamento. Parte das informações tem prazo até o dia 15 do mês seguinte ao da ocorrência, conforme o art. 14 da Portaria MTE nº 1/2025.
Resposta inteira em: Carteira de trabalho digital na comprovação de vínculoCertidão de nascimento serve como documento de identificação?
Não sozinha. O art. 477, § 4º, do Provimento CNJ 149/2023 diz que a inclusão de dados cadastrais na certidão não dispensa a apresentação do documento original quando necessário à identificação do portador.
Resposta inteira em: Certidão de nascimento e de casamento na verificação de identidadeComo saber se uma certidão eletrônica é autêntica?
Pelos elementos que o art. 239, § 1º, do Provimento CNJ 149/2023 exige: PDF/A ou XML, certificado digital ICP-Brasil tipo A3 ou superior, assinatura em PKCS#7 e código de rastreamento.
Resposta inteira em: Certidão de nascimento e de casamento na verificação de identidadePreciso exigir segunda via recente?
Se o que você precisa é o estado atual, sim. Os arts. 106 e 107 da Lei 6.015/1973 mandam anotar casamento, óbito, interdição e mudança de nome no assento, não na via já impressa. O art. 19, § 2º, garante que a data do assento esteja na certidão para você comparar.
Resposta inteira em: Certidão de nascimento e de casamento na verificação de identidadeA factoring precisa se registrar no Banco Central?
Não para efeito de PLD. O dever de cadastro do art. 10, IV, da Lei nº 9.613/1998 é no órgão regulador ou fiscalizador e, na falta dele, no COAF, que é o caso do fomento mercantil. O art. 33 da Resolução COAF 41/2022 confirma o cadastro no próprio COAF.
Resposta inteira em: PLD em factoring e fomento mercantil: por que o COAF é o seu supervisorEmpresa pequena tem o mesmo dever que uma grande?
O dever legal é o mesmo, mas a execução é proporcional.
Resposta inteira em: PLD em factoring e fomento mercantil: por que o COAF é o seu supervisorÉ possível consultar a situação eleitoral de um cliente sem que ele saiba?
A certidão de quitação é emitida pela Justiça Eleitoral e acessível ao próprio titular. A Lei nº 13.444/2017 veda a comercialização da base da ICN e atribui a conferência biométrica a particulares com exclusividade ao TSE, no artigo 4º e seu § 2º.
Resposta inteira em: Título de eleitor e situação eleitoral: o que é público, o que é sigiloso e o que isso provaO título de eleitor serve como documento de identificação no cadastro?
Ele prova inscrição no cadastro eleitoral e, na forma do artigo 46, § 5º, do Código Eleitoral, que a pessoa está inscrita na seção em que deve votar. Como o alistamento é instruído por outro documento (artigo 44), o título não substitui a identificação civil primária.
Resposta inteira em: Título de eleitor e situação eleitoral: o que é público, o que é sigiloso e o que isso provaPosso recusar um cliente porque ele não votou na última eleição?
A política é escrevível, mas combina um sinal fraco de identidade com um recorte próximo de idade, escolaridade e nacionalidade. O artigo 6º, IX, da LGPD veda tratamento discriminatório ilícito ou abusivo, e o ônus de justificar fica com você.
Resposta inteira em: Título de eleitor e situação eleitoral: o que é público, o que é sigiloso e o que isso provaMinha empresa é de tecnologia, isso me tira da lista de sujeito obrigado?
Não. O art. 9º da Lei nº 9.613/1998 enquadra pela atividade exercida, em caráter permanente ou eventual, principal ou acessória, e não pela forma como a empresa se apresenta.
Resposta inteira em: Verificação de identidade por setor: o que muda e o que não mudaPreciso de reconhecimento facial para cumprir PLD-FT?
Em regra, não. A Circular BCB nº 3.978/2020 diz no art. 18 o que coletar, verificar e validar, e deixa o meio a critério da instituição. Apostas é a exceção em que a lei nomeia a tecnologia, pelo art. 23 da Lei nº 14.790/2023.
Resposta inteira em: Verificação de identidade por setor: o que muda e o que não mudaSe ninguém me regula, posso pedir selfie de todo mundo?
Só se conseguir sustentar. Dado biométrico é sensível e cai no art. 11 da LGPD, cujo rol é mais estreito que o do art. 7º. A alínea "g" admite a prevenção à fraude na identificação e autenticação de cadastro, mas exige necessidade real.
Resposta inteira em: Verificação de identidade por setor: o que muda e o que não mudaO Provimento CNJ 100/2020 ainda está em vigor?
Não. Ele foi revogado pelo Provimento 149, de 30 de agosto de 2023, que instituiu o Código Nacional de Normas do Foro Extrajudicial. A matéria dos atos notariais eletrônicos passou para a Seção II do Código, a partir do artigo 284, já alterada por vários provimentos posteriores.
Resposta inteira em: Ato notarial por videoconferência: como o cartório identifica quem assinaPreciso ir ao cartório alguma vez para assinar pelo e-Notariado?
O ato é remoto, mas a credencial não nasce remota. O certificado digital notarizado é definido como identidade digital de pessoa identificada presencialmente por um notário, no artigo 285, II, e é fornecido gratuitamente pelo tabelião, conforme o artigo 292, § 4º.
Resposta inteira em: Ato notarial por videoconferência: como o cartório identifica quem assinaQualquer tabelionato pode lavrar a escritura eletrônica?
Não. A competência é absoluta, pelo artigo 289. Para escritura, é do tabelião da circunscrição do imóvel ou do domicílio do adquirente, pelo artigo 302. Para ata notarial, é da circunscrição do fato constatado ou do domicílio do requerente, pelo artigo 303.
Resposta inteira em: Ato notarial por videoconferência: como o cartório identifica quem assinaO GAFI fiscaliza empresas privadas diretamente?
Não. A avaliação mútua tem como objeto o país. As obrigações de uma empresa nascem da lei nacional e das normas do supervisor setorial. O setor privado aparece na avaliação como fonte de evidência sobre o resultado alcançado pelo país.
Resposta inteira em: Avaliação mútua do GAFI: os dois placares que decidem a nota de um paísNota alta em conformidade técnica significa sistema efetivo?
Não. A metodologia diz expressamente que não se pode presumir efetividade a partir de conformidade técnica. São escalas separadas, com métodos de julgamento diferentes.
Resposta inteira em: Avaliação mútua do GAFI: os dois placares que decidem a nota de um paísQuantas notas existem em cada escala?
Conformidade técnica tem quatro níveis por Recomendação, mais a marcação de não aplicável em casos excepcionais. Efetividade tem quatro níveis por Resultado Imediato, de baixo a elevado, e são onze Resultados Imediatos avaliados.
Resposta inteira em: Avaliação mútua do GAFI: os dois placares que decidem a nota de um paísTodo vendedor de marketplace precisa ter CNPJ?
O Decreto 7.962/2013 exige exibir o número de inscrição do fornecedor, quando houver, no cadastro de pessoas físicas ou no de pessoas jurídicas. O texto contempla as duas hipóteses, então vendedor pessoa física aparece com CPF.
Resposta inteira em: Cadastro de vendedor em marketplace: quem responde pelo que o lojista fazO marketplace responde por defeito do produto do lojista?
Depende do enquadramento da plataforma como fornecedora naquela operação, o que se decide caso a caso. O CDC define fornecedor pela atividade exercida, no artigo 3º, e determina responsabilidade solidária entre os autores da ofensa, no parágrafo único do artigo 7º.
Resposta inteira em: Cadastro de vendedor em marketplace: quem responde pelo que o lojista fazGuardar registro de acesso por seis meses vale para marketplace?
O artigo 15 do Marco Civil alcança o provedor de aplicações constituído como pessoa jurídica que exerce a atividade de forma organizada, profissionalmente e com fins econômicos.
Resposta inteira em: Cadastro de vendedor em marketplace: quem responde pelo que o lojista fazA carteira europeia substitui o documento de identidade no cadastro?
Não. Ela é um meio de identificação eletrônica com nível de garantia elevado, de uso voluntário pelo titular. O regulamento exige que existam soluções alternativas para quem não a usa.
Resposta inteira em: Carteira de identidade digital europeia: o que o eIDAS 2 muda para quem verificaUma empresa brasileira pode simplesmente aceitar a carteira de um cliente europeu?
O texto condiciona a leitura dos dados ao registo do utilizador no Estado-Membro em que está estabelecido, com declaração prévia dos dados que pretende solicitar. Empresa sem estabelecimento na União não encontra esse caminho descrito no regulamento.
Resposta inteira em: Carteira de identidade digital europeia: o que o eIDAS 2 muda para quem verificaA carteira resolve a diligência de cliente exigida na Europa?
O regulamento a descreve como flexibilidade e solução adicional para o setor financeiro, inclusive para requisitos de diligência relativa à clientela. Ela facilita a identificação, e não revoga as obrigações da norma setorial aplicável.
Resposta inteira em: Carteira de identidade digital europeia: o que o eIDAS 2 muda para quem verificaConta gov.br ouro equivale a certificado digital ICP-Brasil?
Não. O artigo 3º, III, da Portaria SGD/MGI 10.863/2025 admite duas rotas para o ouro, e o certificado digital é apenas uma delas.
Resposta inteira em: Conta gov.br: o que bronze, prata e ouro realmente provamConta prata e conta ouro assinam a mesma coisa?
Na escada da assinatura, sim. Os artigos 3º e 4º da Portaria 11.230/2025 permitem que prata e ouro façam assinatura simples e avançada. A diferença entre eles está na comprovação da identidade e na autenticação, nos artigos 3º e 5º da Portaria 10.863/2025.
Resposta inteira em: Conta gov.br: o que bronze, prata e ouro realmente provamA classificação da Lei 14.063/2020 vale para contrato entre empresas privadas?
O Capítulo II dessa lei, que traz a classificação, não se aplica à interação entre pessoas naturais ou entre pessoas jurídicas de direito privado, pelo artigo 2º, parágrafo único, II, "a". Fora daquele capítulo os termos não carregam a mesma consequência jurídica.
Resposta inteira em: Conta gov.br: o que bronze, prata e ouro realmente provamCrowdfunding de recompensa também entra na Resolução CVM 88?
Não. O artigo 1º, parágrafo 3º, afasta do conceito de oferta pública de valores mobiliários o financiamento cujo retorno se dê por doação, brindes e recompensas, ou bens e serviços.
Resposta inteira em: Crowdfunding de investimento: o KYC que a Resolução CVM 88 exigeA plataforma precisa checar quanto o investidor já aplicou em outras plataformas?
Ela precisa obter declaração do investidor sobre esse somatório, nos modelos dos Anexos B e C. A verificação direta que o artigo 4º exige é do montante aplicado no ambiente da própria plataforma.
Resposta inteira em: Crowdfunding de investimento: o KYC que a Resolução CVM 88 exigeAdministradora de consórcio precisa comunicar ao COAF?
Sim. Ela é citada nominalmente no art. 9º, parágrafo único, inciso III, da Lei 9.613/1998 e, por ser autorizada a funcionar pelo Banco Central, aplica a Circular 3.978/2020, cujos arts. 48 e 49 definem as comunicações.
Resposta inteira em: KYC em administradora de consórcio: o grupo muda a diligênciaPreciso refazer o KYC quando a cota é cedida?
O art. 13 da Lei 11.795/2008 exige prévia anuência da administradora para transferir direitos e obrigações a terceiros.
Resposta inteira em: KYC em administradora de consórcio: o grupo muda a diligênciaPosso completar o cadastro depois de começar?
Só em parte. O parágrafo único do art. 23 da Circular 3.978 admite por até trinta dias o início da relação quando faltar informação de qualificação, sem prejuízo do monitoramento. Identificação incompleta não entra nessa exceção.
Resposta inteira em: KYC em administradora de consórcio: o grupo muda a diligênciaA cooperativa pode operar com quem não é associado?
O artigo 2º, parágrafo 1º, da Lei Complementar 130/2009 restringe captação de recursos e concessão de créditos e garantias aos associados, com ressalvas expressas no próprio dispositivo.
Resposta inteira em: KYC em cooperativa de crédito: o associado não é só clienteO associado pode ser recusado na admissão?
O ingresso é livre a quem quiser usar os serviços, desde que adira aos propósitos sociais e preencha as condições do estatuto, conforme o artigo 29 da Lei 5.764/1971, que ressalva o artigo 4º, item I, ou seja, a impossibilidade técnica de prestação de serviços.
Resposta inteira em: KYC em cooperativa de crédito: o associado não é só clienteA cooperativa precisa fazer a própria avaliação interna de risco?
Ela pode adotá-la de forma centralizada no sistema cooperativo de crédito, conforme o artigo 11 da Circular BCB 3.978/2020, desde que formalize a opção em reunião do conselho de administração ou, se inexistente, da diretoria.
Resposta inteira em: KYC em cooperativa de crédito: o associado não é só clientePreciso de autorização do Banco Central para operar câmbio?
Sim. O art. 3º da Lei 14.286/2021 permite operações no mercado de câmbio somente por meio de instituições autorizadas pelo Banco Central.
Resposta inteira em: KYC no câmbio: a identificação que o marco cambial da Lei 14.286 exigeCâmbio em espécie entre duas pessoas físicas é livre?
Só na faixa e nas condições do art. 19 da Lei 14.286/2021: até quinhentos dólares dos Estados Unidos ou equivalente, no País, de forma eventual e não profissional, entre pessoas físicas. Fora disso, vale a regra do art. 3º.
Resposta inteira em: KYC no câmbio: a identificação que o marco cambial da Lei 14.286 exigePosso avisar o cliente antes de bloquear?
Não. O artigo 9º da Lei 13.810/2019 determina cumprimento "sem prévio aviso aos sancionados". As medidas de auxílio direto judicial ainda correm sob segredo de justiça, pelo artigo 29.
Resposta inteira em: Lei 13.810/2019: a sanção da ONU que obriga indisponibilidade imediataPreciso esperar a publicação no Diário Oficial?
Não. O artigo 7º coloca a publicação pelo Ministério das Relações Exteriores como ato de publicidade, "sem prejuízo da obrigação de cumprimento imediato".
Resposta inteira em: Lei 13.810/2019: a sanção da ONU que obriga indisponibilidade imediataIndisponibilidade significa que a pessoa perdeu os bens?
Não. O artigo 4º diz que a indisponibilidade não constitui perda da propriedade, e o artigo 28 prevê liberação parcial para despesas ordinárias e extraordinárias.
Resposta inteira em: Lei 13.810/2019: a sanção da ONU que obriga indisponibilidade imediataA CNH precisa ter EAR para dirigir por aplicativo?
O inciso I do artigo 11-B da Lei 12.587/2012 exige habilitação na categoria B ou superior com a informação de que o condutor exerce atividade remunerada. A exigência vale nos municípios que optaram por regulamentar o serviço, conforme o caput do mesmo artigo.
Resposta inteira em: Onboarding de motorista e entregador de aplicativo: o que a lei federal exigeA certidão de antecedentes criminais vale por quanto tempo?
A lei federal não fixa prazo. O artigo 11-B, inciso IV, apenas exige a apresentação da certidão negativa. Prazo de validade e emissor são definidos na regulamentação municipal, e a reapresentação periódica é decisão de política de risco da plataforma.
Resposta inteira em: Onboarding de motorista e entregador de aplicativo: o que a lei federal exigeAs exigências do motorista valem para o entregador?
Não diretamente. O artigo 11-B trata de transporte remunerado privado individual de passageiros. A entrega remunerada de mercadorias em motocicleta segue a Lei 12.009/2009 e o Capítulo XIII-A do Código de Trânsito Brasileiro.
Resposta inteira em: Onboarding de motorista e entregador de aplicativo: o que a lei federal exigeJoalheria precisa se cadastrar no COAF?
A obrigação de cadastro está no art. 10, inciso IV, da Lei 9.613/1998: a pessoa obrigada se cadastra no órgão regulador ou fiscalizador e, na falta dele, no COAF.
Resposta inteira em: PLD em joias, metais preciosos e obras de arte: quem supervisiona cada setorGaleria de arte responde ao COAF ou ao IPHAN?
Aos dois, em momentos diferentes. Pela Portaria IPHAN nº 396/2016, o cadastro do negociante e a comunicação anual de não ocorrência vão para o IPHAN, enquanto as comunicações de operação em espécie e de suspeita dos arts. 6º e 7º vão para o COAF.
Resposta inteira em: PLD em joias, metais preciosos e obras de arte: quem supervisiona cada setorCadastrar o comprador basta?
Não em arte e antiguidade. O art. 4º da Portaria IPHAN nº 396/2016 manda cadastrar também representantes, procuradores, consignantes, donos das obras, intermediários, leiloeiros e beneficiários finais. Percorrer essa cadeia é o tema de beneficiário final na prática.
Resposta inteira em: PLD em joias, metais preciosos e obras de arte: quem supervisiona cada setorTodo contador é pessoa obrigada?
Não automaticamente. O art. 9º, parágrafo único, inciso XIV, da Lei 9.613/1998 alcança quem presta assessoria, consultoria, contadoria, auditoria, aconselhamento ou assistência nas operações listadas nas alíneas "a" a "f".
Resposta inteira em: PLD para contador e escritório de assessoria: quando você vira pessoa obrigadaSe eu não tiver nada a comunicar, preciso fazer alguma coisa?
Sim. O art. 7º da Resolução CFC 1.721/2024 exige comunicação de não ocorrência ao CFC até 31 de janeiro do ano seguinte, em sistema próprio, quando não houve no ano civil nenhuma das transações do art. 6º.
Resposta inteira em: PLD para contador e escritório de assessoria: quando você vira pessoa obrigadaQual é o prazo para comunicar uma operação suspeita?
Vinte e quatro horas contadas do conhecimento do fato, pelo art. 6º da Resolução CFC 1.721/2024, em linha com o art. 11, inciso II, da Lei 9.613/1998, e sem dar ciência a ninguém. Marcar cliente como pessoa exposta politicamente só funciona se alguém alimentar a lista.
Resposta inteira em: PLD para contador e escritório de assessoria: quando você vira pessoa obrigada
Blog: KYB
Por que uma empresa com processo trabalhista pode tirar certidão negativa?
Porque só condenações transitadas em julgado e não pagas levam ao banco, e só depois de quarenta e cinco dias úteis da citação sem garantia do juízo, pelo artigo 883-A da CLT. Processo em andamento ou dívida garantida não aparecem na CNDT.
Resposta inteira em: Banco Nacional de Devedores Trabalhistas: como a dívida entra e sai da certidãoEmpresa em recuperação judicial tira certidão positiva?
Durante o período de suspensão da Lei 11.101/2005, não pode ser incluída no banco, e se já estava, a certidão passa a ser positiva com efeitos de negativa, pelo artigo 13 do Ato CGJT 01/2022.
Resposta inteira em: Banco Nacional de Devedores Trabalhistas: como a dívida entra e sai da certidãoConsultar a inscrição estadual na UF da matriz cobre as filiais?
Não necessariamente. Cada estado mantém o próprio cadastro, e uma filial em outro estado tem inscrição própria. A resposta vale para a UF consultada, e a UF de localização pode até diferir da consultada em casos como o do substituto tributário.
Resposta inteira em: Inscrição estadual no KYB: o que o cadastro de contribuintes do ICMS respondeEmpresa sem inscrição estadual é irregular?
Não. Empresas que não são contribuintes do ICMS, como muitas prestadoras de serviço, em regra não têm inscrição. A ausência só é sinal quando a atividade da empresa exigiria a inscrição.
Resposta inteira em: Inscrição estadual no KYB: o que o cadastro de contribuintes do ICMS respondeAcordo de acionistas é público?
Não. O art. 118 da Lei 6.404/1976 exige arquivamento na sede para que a companhia seja obrigada a observá-lo, e o § 1º condiciona a oponibilidade a terceiros à averbação nos livros de registro. O acordo em si não é registro de consulta pública geral.
Resposta inteira em: Acordo de acionistas e o controle que o percentual não mostraUm sócio minoritário pode ser beneficiário final por controle?
Pode. Pelo art. 53, § 1º, da IN RFB 2.119/2022, é beneficiário final quem, atuando individualmente ou em conjunto, detém ou exerce a preponderância nas deliberações sociais e o poder de eleger a maioria dos administradores, ainda que sem controlar a entidade.
Resposta inteira em: Acordo de acionistas e o controle que o percentual não mostraLimitada pode ter acordo de sócios com o mesmo efeito?
O efeito não é automático. O Código Civil não traz dispositivo equivalente ao art. 118, e o art. 1.010 conta os votos pelo valor das quotas. A prática se apoia no art. 1.053, parágrafo único, que permite eleger a regência supletiva pelas normas da sociedade anônima.
Resposta inteira em: Acordo de acionistas e o controle que o percentual não mostraRecuperação judicial deve reprovar o cadastro automaticamente?
Não por força de lei. A Lei nº 11.101/2005 mantém o devedor operando (art. 64) e dispensa certidões negativas para o exercício da atividade (art. 52, inciso II). Contratar ou não é política de risco da sua empresa, não consequência jurídica do regime.
Resposta inteira em: Recuperação judicial e falência no cadastro de PJQuem assina por uma empresa falida?
O administrador judicial nomeado na sentença de falência (art. 99, inciso IX), que representa a massa falida em juízo (art. 22, inciso III, alínea "n") e sem o qual as ações são nulas (art. 76, parágrafo único).
Resposta inteira em: Recuperação judicial e falência no cadastro de PJRecuperação extrajudicial suspende cobranças?
Não. O art. 161, § 4º, da Lei nº 11.101/2005 diz expressamente que o pedido de homologação do plano extrajudicial não acarreta suspensão de direitos, ações ou execuções, nem impede o pedido de falência por credores não sujeitos ao plano.
Resposta inteira em: Recuperação judicial e falência no cadastro de PJO conselho é obrigado a responder consulta sobre registro de empresa?
Os conselhos são autarquias e estão no regime da Lei nº 12.527/2011 pelo art. 1º, parágrafo único, inciso II, com dever de divulgação ativa no art. 8º. O formato varia muito, e o pedido formal de acesso à informação é o caminho quando a busca pública não cobre o seu caso.
Resposta inteira em: Registro em conselho profissional na diligência de empresasRegistro cancelado por falta de anuidade impede a empresa de atuar?
Pela Lei nº 5.194/1966, art. 64, o registro é cancelado automaticamente após dois anos consecutivos sem pagamento, e exercer atividade regulada nessa condição é exercício ilegal da profissão, com reabilitação possível por novo registro.
Resposta inteira em: Registro em conselho profissional na diligência de empresasTrust tem sócio?
Não. Pelo artigo 12 da Lei 14.754/2023, o trust é figura contratual que organiza a relação entre instituidor, trustee e beneficiários sobre bens indicados na escritura.
Resposta inteira em: Trust e offshore na cadeia de beneficiário finalO trustee é beneficiário final mesmo sem receber nada?
Pela norma de cadastro, sim. O parágrafo 5º do artigo 53 da IN RFB 2.119/2022 lista os administradores entre os beneficiários finais do trust, ao lado dos instituidores, dos curadores, dos beneficiários e de quem exerça o controle final efetivo.
Resposta inteira em: Trust e offshore na cadeia de beneficiário finalCertidão positiva com efeitos de negativa serve como prova de regularidade?
Serve. O artigo 206 do CTN diz que ela tem os mesmos efeitos da certidão negativa quando houver créditos não vencidos, créditos em cobrança executiva com penhora efetivada ou créditos com exigibilidade suspensa, nas hipóteses do artigo 151.
Resposta inteira em: Certidão negativa de débitos no KYB: o que ela prova, e por que a positiva pode valer igualQual é o prazo de validade de uma certidão de débitos?
Depende da norma que cria cada certidão. A CNDT tem cento e oitenta dias por força do artigo 642-A, parágrafo 4º, da CLT.
Resposta inteira em: Certidão negativa de débitos no KYB: o que ela prova, e por que a positiva pode valer igualUma certidão emitida pela matriz cobre as filiais?
Na CNDT, sim: o artigo 642-A, parágrafo 3º, da CLT diz que ela certifica a empresa em relação a todos os seus estabelecimentos, agências e filiais. Nas demais, o escopo é o que constar do documento, conforme o artigo 205, parágrafo único, do CTN.
Resposta inteira em: Certidão negativa de débitos no KYB: o que ela prova, e por que a positiva pode valer igualPrograma de integridade é obrigatório para toda empresa?
Não de forma geral. A Lei 12.846/2013 trata o programa como fator de dosimetria no artigo 7º, inciso VIII.
Resposta inteira em: Due diligence de terceiros: o que a Lei Anticorrupção exige do programa de integridadeA diligência precisa ser igual para todo fornecedor?
Não. O artigo 57, inciso XIII, do Decreto 11.129/2022 fala em diligências apropriadas e baseadas em risco, e o parágrafo 1º do mesmo artigo lista os aspectos de porte e de exposição que graduam a avaliação. O que não se sustenta é ausência de critério escrito.
Resposta inteira em: Due diligence de terceiros: o que a Lei Anticorrupção exige do programa de integridadeMontar o programa depois do problema adianta alguma coisa?
Adianta, com limite. O artigo 23, inciso V, do Decreto 11.129/2022 admite redução de até cinco por cento, mas o parágrafo único, inciso III, condiciona o percentual máximo a que o plano seja anterior ao ato lesivo.
Resposta inteira em: Due diligence de terceiros: o que a Lei Anticorrupção exige do programa de integridadeTer mais de cinquenta por cento do capital significa controlar a empresa?
Não necessariamente. O artigo 116 da Lei 6.404/1976 exige maioria dos votos nas deliberações e poder de eleger a maioria dos administradores, de modo permanente, mais o uso efetivo desse poder. Capital sem voto correspondente, ou voto sem exercício efetivo, não fecha a definição.
Resposta inteira em: Grupo econômico e controle comum: por que participação societária não define o grupoDuas empresas com o mesmo sócio formam grupo econômico?
Para fins trabalhistas, não por si só. O artigo 2º, parágrafo 3º, da CLT diz que a mera identidade de sócios não caracteriza grupo, exigindo interesse integrado, efetiva comunhão de interesses e atuação conjunta. Outras leis usam critérios próprios.
Resposta inteira em: Grupo econômico e controle comum: por que participação societária não define o grupoQual é a diferença entre coligada e controlada?
Controlada é aquela em que há preponderância permanente nas deliberações e poder de eleger a maioria dos administradores, pelo artigo 243, parágrafo 2º, da Lei 6.404/1976.
Resposta inteira em: Grupo econômico e controle comum: por que participação societária não define o grupoO LEI substitui o CNPJ?
Não. O LEI é um identificador global cujo registro aponta a base local da entidade, que no Brasil pode ser o CNPJ ou uma junta comercial.
Resposta inteira em: LEI e GLEIF: o identificador global de entidade e para que ele serve no BrasilComo consultar um LEI de graça?
Pelo Global LEI Index, gratuito e sem cadastro, em search.gleif.org ou em api.gleif.org.
Resposta inteira em: LEI e GLEIF: o identificador global de entidade e para que ele serve no BrasilNIRE e CNPJ são a mesma coisa?
Não. O CNPJ é a inscrição da entidade no cadastro da Receita Federal. O NIRE é o número atribuído pela junta comercial, de alcance estadual.
Resposta inteira em: NIRE, junta comercial e REDESIM: o registro que o CNPJ não contaDá para consultar a junta comercial sem ser sócio da empresa?
Sim. O artigo 29 da Lei 8.934/1994 permite a qualquer pessoa, sem necessidade de provar interesse, consultar os assentamentos e obter certidões mediante pagamento do preço devido. Cada junta define o canal e a tabela.
Resposta inteira em: NIRE, junta comercial e REDESIM: o registro que o CNPJ não contaAlvará de funcionamento significa que a empresa foi vistoriada?
Não necessariamente. Nas atividades de risco médio, o artigo 6º-A da Lei 11.598/2007 manda emitir alvará e licenças automaticamente, sem análise humana, e o parágrafo 1º do artigo 5º admite vistoria depois do início da operação quando o grau de risco comportar.
Resposta inteira em: NIRE, junta comercial e REDESIM: o registro que o CNPJ não contaFundo de investimento tem CNPJ próprio?
Sim, e as classes de cotas também têm inscrição própria. A Resolução CVM 175/2022 trata fundo e classes como objetos distintos, com patrimônio segregado por classe, e o artigo 37 se refere às inscrições no CNPJ de cada classe investida.
Resposta inteira em: Quando o sócio é um fundo: onde para a busca do beneficiário finalFundo exclusivo dispensa a identificação do beneficiário final?
Não pela Resolução CVM 50/2021. A dispensa do parágrafo 2º do artigo 13 exige, entre condições cumulativas, que o veículo não seja fundo exclusivo.
Resposta inteira em: Quando o sócio é um fundo: onde para a busca do beneficiário final
Blog: Antifraude
Passkey já garante que o cliente aprovou aquele pagamento?
Não por si só. Na NIST SP 800-63B-4, a passkey vincula a resposta ao site e prova a posse da credencial. O valor e o destinatário só ficam amarrados se entrarem no dado assinado e forem mostrados à pessoa.
Resposta inteira em: Aprovar o ato, e não só a pessoa: o que um login forte não prova num pagamentoA Secure Payment Confirmation já é padrão do W3C?
Ainda não. Ela é Candidate Recommendation Draft, etapa anterior à recomendação, e o W3C avisa que essa publicação não implica endosso dele nem dos membros.
Resposta inteira em: Aprovar o ato, e não só a pessoa: o que um login forte não prova num pagamentoPor que não usar validação cruzada comum num backtest antifraude?
Porque a divisão aleatória mistura casos do mesmo período no ajuste e na avaliação. Se a relação entre sinais e fraude muda com o tempo, o teste mede um regime que pode já ter passado.
Resposta inteira em: Backtest de regra antifraude: por que o corte é no tempo e o rótulo ainda não chegouQuanto tempo esperar para o rótulo de fraude amadurecer?
Não existe número universal. Meça no seu histórico depois de quanto tempo os rótulos param de chegar em volume relevante e registre a data em que os rótulos foram lidos.
Resposta inteira em: Backtest de regra antifraude: por que o corte é no tempo e o rótulo ainda não chegouDesde quando ceder conta laranja é crime previsto no Código Penal?
O inciso VII do art. 171, § 2º, foi incluído pela Lei 15.397, de 30 de abril de 2026, que entrou em vigor na data da publicação no Diário Oficial da União, 4 de maio de 2026.
Resposta inteira em: Ceder a conta virou estelionato: o que o inciso VII do art. 171 pune e o que ele não alcançaQual é a pena para quem cede a conta?
A do caput do art. 171, porque o § 2º diz que "nas mesmas penas incorre quem" pratica as condutas dos seus incisos: reclusão de 1 a 5 anos e multa, na redação dada pela Lei 15.397.
Resposta inteira em: Ceder a conta virou estelionato: o que o inciso VII do art. 171 pune e o que ele não alcançaEmprestar a conta para alguém é sempre crime?
O texto não diz isso. O inciso VII exige a cessão da conta para que nela transitem recursos destinados ao financiamento de atividade criminosa ou que dela sejam fruto, e o Código Penal exige dolo quando a lei não prevê forma culposa.
Resposta inteira em: Ceder a conta virou estelionato: o que o inciso VII do art. 171 pune e o que ele não alcançaLigar de volta para o número que a pessoa passou na chamada resolve?
Não. Esse número veio do canal do golpista. A ligação de volta só protege com o número do cadastro anterior ao pedido ou do contato oficial da organização, como recomenda o FBI.
Resposta inteira em: Confirmação fora da chamada: o pedido chega por um canal, a aprovação sai por outroPor que dez minutos, e não uma hora?
Porque prazo longo dá ao golpista mais tempo para obter e usar o código. A NIST SP 800-63B-4 invalida a autenticação fora de banda depois de 10 minutos, e o OWASP ASVS 5.0.0 usa o mesmo teto no requisito 6.5.5.
Resposta inteira em: Confirmação fora da chamada: o pedido chega por um canal, a aprovação sai por outroTreinar o time para desconfiar do vídeo não basta?
Ajuda, e a HKMA inclui nas boas práticas o treino de quem faz a checagem manual da verificação de identidade. Mas, numa videochamada, o treino atua dentro dela. O controle que não depende de acertar o diagnóstico na hora é a confirmação fora dela.
Resposta inteira em: Confirmação fora da chamada: o pedido chega por um canal, a aprovação sai por outroA Resolução BCB 501/2025 vale só para Pix?
Não. O art. 2º-A alcança as transações do art. 2º, § 1º, da Resolução BCB 142/2021: transferências com instrumento que movimente conta de depósitos ou pré-paga, transferências na própria instituição, TED, Pix, DOC e boletos.
Resposta inteira em: Conta com fundada suspeita de fraude: o pagamento que a instituição agora tem de recusarA instituição precisa de prova da fraude para rejeitar o pagamento?
Não. O gatilho é a fundada suspeita de envolvimento de fraude na conta destinatária, avaliada com fatores definidos pela própria instituição. Ela precisa conseguir demonstrar a suspeita e avisar o titular.
Resposta inteira em: Conta com fundada suspeita de fraude: o pagamento que a instituição agora tem de recusarEntrevista com câmera ligada e sem filtro de fundo resolve?
Ajuda a selecionar, não a identificar. No relato da KnowBe4, quatro entrevistas com a pessoa real na câmera não revelaram que a identidade era de outra pessoa. A prova de identidade precisa conferir documento e pessoa presente, e ligar o resultado à credencial que ela vai usar.
Resposta inteira em: Contratação remota: o candidato que não é quem diz, e por que a entrevista em vídeo não prova identidadeExigir entrevista presencial de todo candidato é a saída?
O FBI recomenda fazer presencialmente o máximo possível.
Resposta inteira em: Contratação remota: o candidato que não é quem diz, e por que a entrevista em vídeo não prova identidadePor que a mesma pessoa aparece como aparelho novo?
Porque a assinatura nasce de atributos que mudam com o uso normal do aparelho, como a versão do navegador depois de uma atualização. O FP-STALKER mediu mudanças em intervalos de horas a dias.
Resposta inteira em: Impressão digital de dispositivo colide e envelhece: o que os estudos medem e o que isso muda na regraPasskey sincronizada pode acabar nas mãos de outra pessoa?
Pode. O apêndice B da NIST SP 800-63B-4 registra que algumas implementações permitem compartilhar chaves entre usuários e orienta aplicações abertas ao público a supor que toda chave sincronizável pode ser compartilhada.
Resposta inteira em: Passkey vinculada a uma pessoa verificada: o que o vínculo prova e o que ele não provaRevogar a passkey no servidor apaga a chave do celular do cliente?
Não necessariamente. Os métodos de sinalização do WebAuthn Level 3 avisam o autenticador de forma oportunista e não confirmam o resultado. O que vale é o registro da parte confiante deixar de aceitar aquela credencial.
Resposta inteira em: Passkey vinculada a uma pessoa verificada: o que o vínculo prova e o que ele não provaDá para perceber a olho que uma videochamada é sintética?
Às vezes. O FBI lista sinais como imperfeições na imagem e movimentos pouco naturais, mas o NIST AI 100-4 registra desempenho humano perto do acaso em estudo de 2024. Use os sinais como alerta, nunca como aprovação.
Resposta inteira em: Prova de humano na era do deepfake: a pergunta certa não é se o vídeo é falsoLigar de volta resolve?
Resolve a parte do canal, se o número vier do cadastro ou do contato oficial, e nunca da conversa suspeita. Para atos de valor, junte a isso a aprovação do ato com credencial do titular.
Resposta inteira em: Prova de humano na era do deepfake: a pergunta certa não é se o vídeo é falsoA retenção de 24 horas vale para toda transferência de cripto?
Não. Vale quando o destino é entidade no exterior que atue com ativos virtuais ou carteira autocustodiada, e a operação supera o equivalente a US$ 10 mil, na operação ou na soma do dia, ou a política de risco indica a retenção.
Resposta inteira em: Retenção de 24 horas na exchange: a norma antifraude dos pagamentos chega às prestadoras de ativos virtuaisA partir de quando a prestadora de ativos virtuais cumpre a Resolução BCB 142?
A partir de 1º de janeiro de 2027, inclusive em fase de adequação. As políticas de coibição a fraude do artigo 43 da Resolução BCB 520/2025 vigoram desde 2 de fevereiro de 2026, e a prestadora em adequação passa a observá-las plenamente quando essa fase termina.
Resposta inteira em: Retenção de 24 horas na exchange: a norma antifraude dos pagamentos chega às prestadoras de ativos virtuaisA Súmula 479 obriga o banco a indenizar todo golpe?
Não. Ela trata de fortuito interno, e o art. 14, § 3º, do CDC afasta a responsabilidade quando o fornecedor prova que não houve defeito ou que a culpa foi exclusiva do consumidor ou de terceiro.
Resposta inteira em: Súmula 479 não é responsabilidade automática: o perfil transacional no golpe da falsa centralO que o STJ considera falha do banco em golpe da falsa central?
Segundo a notícia oficial do julgamento, exemplos de falha são não identificar operações incompatíveis com o perfil do cliente, mecanismos de segurança insuficientes ou outro elemento que vincule a fraude ao risco da atividade bancária.
Resposta inteira em: Súmula 479 não é responsabilidade automática: o perfil transacional no golpe da falsa centralSe o IP é compartilhado, ainda dá para chegar ao assinante?
Não só com o registro do servidor. Endereço e instante não bastam (RFC 6269); a RFC 6302 recomenda registrar também porta de origem e horário preciso, e quem liga esse conjunto ao assinante é o registro da operadora.
Resposta inteira em: Um IP, muitas pessoas: o que o Private Relay e o NAT de operadora fazem com a regra por endereçoO endereço do Private Relay mostra onde o usuário está?
Segundo a Apple, mostra a região e, por padrão, a cidade aproximada, sem divulgar a localização exata.
Resposta inteira em: Um IP, muitas pessoas: o que o Private Relay e o NAT de operadora fazem com a regra por endereçoA proibição da NIST vale como lei no Brasil?
Não. A NIST SP 800-63B-4 é uma diretriz técnica americana, escrita para sistemas do governo de lá. Ela é citada aqui como referência técnica, por ter tomado posição explícita sobre voz, e o motivo que ela dá, de que biometria não é segredo, vale para qualquer sistema.
Resposta inteira em: Voz não é prova: por que a voz conhecida no telefone não autentica ninguémUm detector de voz sintética resolve o problema?
Não como controle principal. O FBI escreve que o conteúdo gerado por IA muitas vezes é difícil de identificar. O controle que não depende de acertar esse diagnóstico é confirmar o pedido fora da chamada, com um fator que o titular vinculou antes.
Resposta inteira em: Voz não é prova: por que a voz conhecida no telefone não autentica ninguémHash de senha não resolve o problema do template?
Não. Hash exige igualdade exata da entrada, e duas capturas do mesmo rosto nunca produzem o mesmo vetor: o reconhecimento é decisão por distância, com ruído de iluminação, pose e sensor.
Resposta inteira em: Biometria cancelável: o template revogável e o problema que nenhuma senha temProteção de template substitui prova de vida e os outros controles?
Não. Ela protege o material guardado, não o momento da captura. Uma apresentação fraudulenta bem-sucedida na frente da câmera gera uma referência legítima, e nenhuma propriedade de template protegido impede isso.
Resposta inteira em: Biometria cancelável: o template revogável e o problema que nenhuma senha temDá para exigir isso de um fornecedor num questionário?
Dá, desde que a pergunta seja específica. "Os dados são criptografados" não separa ninguém. Perguntar como a referência biométrica de um titular é revogada e reemitida, e o que acontece com a antiga depois disso, separa.
Resposta inteira em: Biometria cancelável: o template revogável e o problema que nenhuma senha temCAPTCHA é proibido pelas WCAG?
Não. O critério 1.1.1 das WCAG 2.2, nível A, permite CAPTCHA desde que haja alternativa textual descrevendo o propósito e formas alternativas usando modos de percepção sensorial diferentes.
Resposta inteira em: CAPTCHA no cadastro: o que ele para e o que custaOferecer a versão em áudio resolve o problema de acessibilidade?
Ajuda, mas não fecha a conta. O documento de entendimento do W3C sobre o critério 3.3.8, nível AA, é explícito: se o desafio exige transcrição, a opção em áudio não satisfaz a exceção. E a versão em áudio não atende quem tem perda auditiva.
Resposta inteira em: CAPTCHA no cadastro: o que ele para e o que custaVale manter CAPTCHA se ele pode ser resolvido por serviço humano?
Vale quando a ameaça dominante é automação barata em volume, e não vale quando o ativo protegido paga com folga o custo da resolução terceirizada. É comparação de preços, não de tecnologia.
Resposta inteira em: CAPTCHA no cadastro: o que ele para e o que custaPedir prova de identidade no sinistro atrasa o pagamento?
Não precisa atrasar. O prazo do art. 86 da Lei 15.040/2024 só começa a correr com a reclamação acompanhada dos elementos necessários à decisão, e esses elementos devem estar expressamente arrolados nos documentos do seguro.
Resposta inteira em: Fraude em sinistro de seguro: a identidade de quem recebeO cadastro feito na contratação não basta?
Não. Ele identifica o segurado no passado e não diz nada sobre quem apresenta o pedido hoje. Entre a apólice e o sinistro, o beneficiário pode ter sido substituído e a conta de destino pode ser de um terceiro. O cadastro é o ponto de partida da conferência, não o seu resultado.
Resposta inteira em: Fraude em sinistro de seguro: a identidade de quem recebeUm documento colhido em vaga falsa é falsificado?
Em regra não: é um documento autêntico de uma pessoa real, e por isso a verificação de autenticidade documental não resolve o caso sozinha. O que falta não é autenticidade, é a ligação com a pessoa presente na sessão.
Resposta inteira em: Golpe da vaga falsa: o processo seletivo que existe só para coletar documento e selfieA vítima que entregou o documento cometeu algum crime?
Quem foi induzido a erro é vítima, não autora. O artigo 171 do Código Penal recai sobre quem obtém vantagem ilícita induzindo alguém a erro, e o artigo 307 sobre quem se atribui falsa identidade.
Resposta inteira em: Golpe da vaga falsa: o processo seletivo que existe só para coletar documento e selfiePor que preciso fotografar o documento antes de encostar no celular?
Porque a chave de acesso vem do impresso. No BAC ela é derivada do número do documento, da data de nascimento e da data de validade com seus dígitos verificadores, lidos da MRZ. No PACE, o chip aceita a MRZ como senha e pode aceitar o CAN. Sem esse dado, o circuito não abre.
Resposta inteira em: Ler o chip do documento por NFC no celular: o que o aparelho precisa terA Carteira de Identidade Nacional tem chip para leitura por NFC?
O Decreto nº 10.977/2022 não prevê circuito integrado sem contato na CIN, e sim código bidimensional no padrão QR e zona de leitura mecânica no padrão da OACI. É pelo QR que se faz a consulta de validade.
Resposta inteira em: Ler o chip do documento por NFC no celular: o que o aparelho precisa terQual a precisão da estimativa de idade por foto?
Depende do algoritmo, do acervo e da faixa etária. Na avaliação do NIST, o erro absoluto médio na faixa de 18 a 24 anos variou de 2,3 a 5,1 anos entre os seis protótipos e os quatro acervos, sem nenhum algoritmo melhor em todos eles.
Resposta inteira em: Estimar idade pelo rosto: a precisão real e onde ela falhaErro médio baixo significa que o sistema barra menores?
Não. O relatório diz expressamente que o erro médio não mede quantas estimativas são superestimativas grandes, e por isso não é métrica apropriada para verificação de idade. A régua certa é a taxa de falso positivo no ponto de corte escolhido.
Resposta inteira em: Estimar idade pelo rosto: a precisão real e onde ela falhaEstimativa de idade guarda dado biométrico?
Ela não precisa. O NIST registra que a estimativa pode operar sem estado, sem armazenamento persistente da foto nem de dado derivado dela, ao contrário do reconhecimento facial, que depende de referência guardada para comparar.
Resposta inteira em: Estimar idade pelo rosto: a precisão real e onde ela falhaQual é a diferença entre FMR e FNMR?
FMR é a proporção de comparações entre pessoas diferentes que passou do limiar, o par errado aceito. FNMR é a proporção de comparações da mesma pessoa que ficou abaixo dele, o cliente legítimo reprovado. As duas se movem em direções opostas quando o limiar muda.
Resposta inteira em: FMR e FNMR: como ler a taxa de erro que o fornecedor mostraUm FMR de um em dez mil significa que o sistema resiste a fraude?
Não. A NIST SP 800-63B exige esse valor sob a condição de impostor de esforço zero, alguém que apresenta o próprio rosto sem tentar imitar ninguém. Ataque com máscara, foto ou vídeo é outro problema, coberto pela exigência de detecção de ataque de apresentação da mesma seção.
Resposta inteira em: FMR e FNMR: como ler a taxa de erro que o fornecedor mostraDá para comparar a taxa de dois fornecedores?
Só se o protocolo for o mesmo: mesma base, mesmo pareamento de impostores, mesmo limiar e mesmas métricas. É por isso que a norma manda seguir a ISO/IEC 19795-1 e, no teste demográfico, a ISO/IEC 19795-10, e publicar os resultados.
Resposta inteira em: FMR e FNMR: como ler a taxa de erro que o fornecedor mostraO INSS responde pela dívida contratada em nome de terceiro?
O artigo 6º, § 2º, da Lei 10.820/2003 limita a responsabilidade do INSS à retenção dos valores autorizados e ao repasse à consignatária, sem responsabilidade solidária pelos débitos contratados pelo segurado.
Resposta inteira em: Fraude no consignado: por que a biometria entrou no empréstimo do INSSDá para contratar consignado sem biometria cadastrada?
Sim. Pelo § 21 do artigo 5º da Instrução Normativa 138/2022, incluído em 2026, quando não existir biometria nas bases governamentais a autorização no Meu INSS é oportunizada por login gov.br com utilização dos dados da conta bancária.
Resposta inteira em: Fraude no consignado: por que a biometria entrou no empréstimo do INSSPor quanto tempo um benefício novo fica bloqueado para consignado?
Pelo artigo 8º, I, o bloqueio ocorre automaticamente na concessão. O § 1º mantém bloqueados por noventa dias, contados da Data de Despacho do Benefício, os benefícios concedidos a partir de 1º de abril de 2019.
Resposta inteira em: Fraude no consignado: por que a biometria entrou no empréstimo do INSSFoto sem EXIF é sinal de fraude?
Não. Qualquer etapa que reconstrói o arquivo elimina o bloco, e o padrão HTML define a serialização de um canvas a partir dos dados de pixel do bitmap, sem transportar metadado de origem. Ausência é o resultado esperado de um fluxo web comum, não um indício.
Resposta inteira em: Metadados de foto no onboarding: o que o EXIF entrega e por que a ausência não acusaDá para confiar na data de captura do EXIF?
Não como prova. O item 6.5 da Recomendação ITU-T T.871 descreve esses segmentos como informação de aplicação que não afeta a decodificação, então reescrevê-los não deixa marca na imagem. A data serve como contexto de priorização, com peso pequeno, nunca como portão de decisão.
Resposta inteira em: Metadados de foto no onboarding: o que o EXIF entrega e por que a ausência não acusaPor que a foto aparece certa na tela e girada no servidor?
Porque o navegador aplica a orientação do EXIF por padrão: a propriedade image-orientation do CSS Images nível 3 tem valor inicial from-image, que equivale ao ângulo indicado pelos metadados.
Resposta inteira em: Metadados de foto no onboarding: o que o EXIF entrega e por que a ausência não acusaO que a autenticação passiva do chip prova?
Que o conteúdo do objeto de segurança e dos grupos de dados foi assinado pelo Estado emissor e não foi alterado desde a emissão. É prova de origem e integridade dos dados, e nada além disso.
Resposta inteira em: O chip do passaporte: o que a autenticação passiva provaA autenticação passiva detecta um chip clonado?
Não. A tabela da Parte 11 do Doc 9303 diz expressamente que o mecanismo não impede cópia exata nem substituição do circuito. Quem responde por isso é a autenticação ativa ou a de chip, ambas opcionais para o emissor.
Resposta inteira em: O chip do passaporte: o que a autenticação passiva provaSe a leitura do chip falhar, o documento deve ser recusado?
Não necessariamente, diz a norma. Certificado revogado, assinatura inválida ou chip em branco não invalidam o documento por si, e o verificador pode se apoiar em outros elementos de segurança.
Resposta inteira em: O chip do passaporte: o que a autenticação passiva provaLer o QR Code prova que a CNH digital é verdadeira?
Não. O leitor decodifica e devolve os bytes que estavam no símbolo, sem informação sobre quem o gerou.
Resposta inteira em: O QR Code da CNH digital: por que ler o código não é validar o documentoO QR Code da CNH contém a foto do condutor?
Sim. O parágrafo 4º do artigo 2º da mesma resolução diz que o código armazena todas as informações contidas nos dados variáveis do documento, inclusive a fotografia, com exceção da assinatura do condutor.
Resposta inteira em: O QR Code da CNH digital: por que ler o código não é validar o documentoSe os dados do QR Code batem com os dados impressos, o documento é autêntico?
Não necessariamente. Quem produz um documento falso produz a impressão e o código a partir do mesmo conteúdo, então a coerência entre os dois só mostra que vieram da mesma origem. Coerência interna é conferência de consistência, não de procedência.
Resposta inteira em: O QR Code da CNH digital: por que ler o código não é validar o documento
Blog: LGPD e compliance
Identificador por par é o mesmo que anonimização?
Não. Quem emitiu consegue ligar o identificador à pessoa, então ele deve ser tratado como dado pessoal sob a LGPD. O ganho é impedir que as plataformas se cruzem entre si.
Resposta inteira em: Pessoa real sem entregar identidade: o que o pseudônimo esconde, e de quemDá para provar maioridade sem mostrar a data de nascimento?
Dá. A NIST SP 800-63C-4 prevê o valor derivado, sim ou não, sem revelar o valor de base, e o SD-JWT permite revelar só essa afirmação.
Resposta inteira em: Pessoa real sem entregar identidade: o que o pseudônimo esconde, e de quemPosso consultar o crédito de um lead que ainda não pediu nada?
A lei exige relação mantida ou pretendida com o cadastrado. Um lead que iniciou uma proposta de crédito ou de compra a prazo está numa relação pretendida; um contato frio, sem proposta nenhuma, não está.
Resposta inteira em: Consulta de crédito | Quem pode consultar, e para quêA autorização do titular substitui a relação?
Não para o artigo 15, que fala da relação do consulente com o cadastrado. A autorização específica do artigo 4º, inciso IV, é uma exigência a mais para o histórico detalhado, e não dispensa a relação.
Resposta inteira em: Consulta de crédito | Quem pode consultar, e para quêA guarda da autorização de consulta começa na assinatura?
Não. O parágrafo 3º do artigo 12 da Resolução CMN 5.037/2022 conta os cinco anos da data da última consulta. Cada nova consulta feita com a autorização empurra o fim da guarda para frente.
Resposta inteira em: Autorização de consulta ao SCR: a guarda conta da última consultaO prazo de cinco anos pode ser maior?
Pode. A própria norma diz que o prazo vale sem prejuízo de outras disposições que fixem prazo maior para a guarda do documento, então a instituição pode ampliar o prazo quando outra regra ou a política dela pedir.
Resposta inteira em: Autorização de consulta ao SCR: a guarda conta da última consultaO cliente pode pedir a eliminação da autorização antes do prazo?
Durante o prazo de guarda, a conservação é autorizada pelo artigo 16, inciso I, da LGPD, que admite conservar dados para cumprimento de obrigação legal ou regulatória pelo controlador.
Resposta inteira em: Autorização de consulta ao SCR: a guarda conta da última consultaPreciso de consentimento dos pais para tratar dado de adolescente?
O § 1º do artigo 14 da LGPD exige consentimento específico e em destaque do responsável apenas para dados de crianças, até 12 anos incompletos pelo artigo 2º do ECA.
Resposta inteira em: Dado de criança e de adolescente no cadastro: o que o artigo 14 da LGPD exigePosso pedir o e-mail dos pais sem consentimento prévio?
Sim, na hipótese estreita do § 3º do artigo 14: quando a coleta for necessária para contatar os pais ou o responsável legal, com uso uma única vez e sem armazenamento, ou para proteção da criança. Fora disso, e para qualquer repasse a terceiro, exige-se o consentimento do § 1º.
Resposta inteira em: Dado de criança e de adolescente no cadastro: o que o artigo 14 da LGPD exigeO que conta como esforço razoável para verificar o consentimento?
A lei não lista métodos, manda considerar as tecnologias disponíveis, pelo § 5º do artigo 14. Na prática o que sustenta o esforço é combinar sinais independentes: identificar o adulto que autoriza, confirmar por canal próprio dele e checar o vínculo com a criança.
Resposta inteira em: Dado de criança e de adolescente no cadastro: o que o artigo 14 da LGPD exigeConsentimento é sempre necessário para pedir uma selfie?
Não. Se a verificação existe para cumprir obrigação legal ou regulatória, ou para prevenir fraude em identificação e autenticação de cadastro eletrônico, a LGPD prevê bases próprias no artigo 11, inciso II, alíneas a e g, sem consentimento.
Resposta inteira em: LGPD na verificação de identidade, a jornada do dado da coleta ao descarteO titular pode exigir que eu apague a verificação dele?
Pode pedir, e o pedido precisa de resposta. Mas o artigo 18, inciso VI, ressalva as hipóteses do artigo 16, e a conservação para cumprimento de obrigação legal ou regulatória é uma delas.
Resposta inteira em: LGPD na verificação de identidade, a jornada do dado da coleta ao descartePublicar relatório de transparência é obrigatório no Brasil?
Para empresa privada, não. A Lei 12.527/2011 impõe o relatório estatístico anual do artigo 30, inciso III, aos órgãos e entidades listados no parágrafo único do artigo 1º, e a LGPD, no artigo 23, impõe deveres de publicidade ao poder público.
Resposta inteira em: Relatório de transparência de pedidos de autoridade: o que dá para publicarContar um pedido sob segredo de justiça viola o sigilo?
Depende do recorte. O sigilo do artigo 23 do Marco Civil alcança o caso e seus elementos identificáveis, não a existência de estatística agregada. O risco aparece quando a granularidade isola o caso, por período curto ou categoria com poucas ocorrências.
Resposta inteira em: Relatório de transparência de pedidos de autoridade: o que dá para publicarO relatório substitui avisar o titular?
Não. O artigo 18, inciso VII, da LGPD é direito individual, exercido mediante requerimento do titular, de saber com quais entidades houve uso compartilhado. O relatório é coletivo e anônimo, e o aviso individual ainda cede diante de sigilo judicial enquanto ele durar.
Resposta inteira em: Relatório de transparência de pedidos de autoridade: o que dá para publicarA LGPD obriga revisão por um humano?
Não. O art. 20, com a redação da Lei nº 13.853/2019, fala em direito a solicitar a revisão sem exigir que seja feita por pessoa natural, e o § 3º que traria a exigência foi vetado pela Mensagem nº 288/2019.
Resposta inteira em: Revisão de decisão automatizada na LGPD: o que o art. 20 exige de verdadePosso recusar explicar o critério alegando segredo comercial?
Pode invocar segredo comercial e industrial para não abrir a fórmula, nos termos do § 1º do art. 20, mas não para deixar de informar critérios e procedimentos de forma compreensível.
Resposta inteira em: Revisão de decisão automatizada na LGPD: o que o art. 20 exige de verdadeQuem responde pela revisão quando o score vem de um birô?
Na Lei nº 12.414/2011, art. 5º, VI, a revisão é solicitada ao consulente, a quem usou o score para decidir. O birô responde pelo acesso ao histórico e à pontuação e pela correção de informação errada.
Resposta inteira em: Revisão de decisão automatizada na LGPD: o que o art. 20 exige de verdadeA família pode exercer os direitos do art. 18 da LGPD?
A lei não diz que pode nem que não pode: ela simplesmente não trata de sucessão do direito de titular. O art. 18, § 3º, fala em titular ou representante legalmente constituído.
Resposta inteira em: Titular falecido e o dado que sobraO prazo de guarda regulatória continua correndo depois do óbito?
Sim. O dever é do controlador e nasce da norma setorial, não da relação com o titular.
Resposta inteira em: Titular falecido e o dado que sobraPosso apagar tudo assim que souber da morte?
Não sem checar o prazo. A certidão de óbito não é autorização para descumprir norma de retenção. O correto é cessar o que não tem amparo e conservar o que tem, informando qual é qual.
Resposta inteira em: Titular falecido e o dado que sobraAgente de pequeno porte precisa nomear encarregado?
Não é obrigado. O artigo 11 da Resolução CD/ANPD 2/2022 dispensa a indicação exigida pelo artigo 41 da LGPD, mas exige um canal de comunicação com o titular. Indicar encarregado mesmo assim é considerado política de boas práticas e governança.
Resposta inteira em: Agente de tratamento de pequeno porte na LGPD: o que a ANPD flexibiliza e o que nãoQual é o prazo para comunicar incidente de segurança?
O Regulamento de Comunicação de Incidente de Segurança, aprovado pela Resolução CD/ANPD 15/2024, fixa três dias úteis para comunicar à ANPD e três dias úteis para comunicar ao titular. Para agentes de pequeno porte, esses prazos são contados em dobro.
Resposta inteira em: Agente de tratamento de pequeno porte na LGPD: o que a ANPD flexibiliza e o que nãoSer microempresa garante o enquadramento?
Não. O artigo 3º afasta o tratamento diferenciado quando há tratamento de alto risco, quando a receita ultrapassa o limite legal ou quando o agente pertence a grupo econômico, de fato ou de direito, cuja receita global ultrapasse esses limites.
Resposta inteira em: Agente de tratamento de pequeno porte na LGPD: o que a ANPD flexibiliza e o que nãoA portaria do ponto eletrônico obriga o uso de biometria?
Não. O texto publicado da Portaria MTP 671/2021 não menciona biometria, impressão digital nem reconhecimento facial. Ele exige marcação fiel, integridade do dado registrado e identificação do trabalhador, que o art. 79 resolve com nome e CPF no comprovante.
Resposta inteira em: Biometria no registro de ponto: o que muda quando o titular é empregadoO empregado pode se recusar a cadastrar a digital?
A LGPD não trata dessa recusa de forma direta, mas o art. 8º, § 5º, garante revogação do consentimento a qualquer momento por procedimento gratuito e facilitado. Sem uma via de marcação alternativa, essa revogação não existe na prática.
Resposta inteira em: Biometria no registro de ponto: o que muda quando o titular é empregadoServe escrever a autorização no contrato de trabalho?
O art. 11, I, exige consentimento específico e destacado, para finalidades específicas, e o art. 8º, § 4º, declara nulas as autorizações genéricas. Cláusula diluída no contrato tende a falhar nos dois requisitos.
Resposta inteira em: Biometria no registro de ponto: o que muda quando o titular é empregadoO teste de balanceamento é obrigatório por lei?
A LGPD não usa a expressão. O que a lei exige é o registro das operações de tratamento, com menção expressa ao legítimo interesse, no artigo 37, além dos deveres do artigo 10.
Resposta inteira em: Legítimo interesse na LGPD: como montar o teste de balanceamentoQuando o teste precisa virar relatório de impacto?
São documentos diferentes. O artigo 10, parágrafo 3º, permite à autoridade solicitar o relatório quando o fundamento for o legítimo interesse, e o artigo 38 prevê essa determinação em termos gerais.
Resposta inteira em: Legítimo interesse na LGPD: como montar o teste de balanceamentoO template facial é dado pessoal sensível pela LGPD?
Sim. O artigo 5º, inciso II, classifica o dado biométrico vinculado a pessoa natural como sensível, sem distinguir entre a imagem e a representação matemática derivada dela.
Resposta inteira em: O vetor facial é dado pessoal: o que dá para reconstruir de um templateGuardar só o vetor, e não a foto, reduz o risco?
Reduz alguns riscos e não muda o regime jurídico. Descartar a imagem diminui o que um vazamento entrega de imediato, mas a literatura revisada por pares mostra reconstrução de imagem utilizável a partir do template e previsão de atributos pessoais a partir dele.
Resposta inteira em: O vetor facial é dado pessoal: o que dá para reconstruir de um templateDá para chamar o template de dado anonimizado?
Só se ele passar no teste do artigo 12 da LGPD, que pergunta se a reversão é possível com esforços razoáveis, considerando custo, tempo e tecnologias disponíveis. Diante da literatura de reconstrução, o template facial comum não passa.
Resposta inteira em: O vetor facial é dado pessoal: o que dá para reconstruir de um templateExiste prazo legal para atender um pedido de portabilidade?
Não há prazo específico para o inciso V. O parágrafo 5º do artigo 18 remete prazos e termos a regulamento.
Resposta inteira em: Portabilidade de dados na LGPD: o direito que existe e a norma que faltaA empresa pode cobrar para portar os dados?
Não. O artigo 18, parágrafo 5º, determina que o requerimento seja atendido sem custos para o titular.
Resposta inteira em: Portabilidade de dados na LGPD: o direito que existe e a norma que faltaDados anonimizados entram no pacote?
Não. O artigo 18, parágrafo 7º, exclui expressamente da portabilidade os dados que já tenham sido anonimizados pelo controlador. A diferença entre anonimizar e pseudonimizar, que muda essa resposta, está em anonimização e pseudonimização.
Resposta inteira em: Portabilidade de dados na LGPD: o direito que existe e a norma que faltaPrint de tela serve como prova de aceite?
Um print mostra a tela de hoje, não a de quando o clique aconteceu. Ele pode compor o conjunto, mas sozinho não responde à versão do texto exibido nem à data do evento, e é justamente isso que o artigo 429, inciso II, do CPC cobra de quem produziu o documento.
Resposta inteira em: Prova de aceite eletrônico: como demonstrar que o titular concordouPreciso de certificado ICP-Brasil para aceite de termos?
A MP 2.200-2/2001 não exige. O artigo 10, parágrafo 2º, admite outros meios de comprovação de autoria e integridade. A diferença é que a presunção do parágrafo 1º acompanha apenas o processo de certificação da ICP-Brasil.
Resposta inteira em: Prova de aceite eletrônico: como demonstrar que o titular concordouPor quanto tempo guardar o registro de aceite?
Não há prazo único. Os seis meses do artigo 15 do Marco Civil valem para registros de acesso a aplicações, não para a prova contratual.
Resposta inteira em: Prova de aceite eletrônico: como demonstrar que o titular concordou
Blog: Produto e integração
Posso conciliar só pelo extrato, sem guardar o custo de cada evento?
Pode, mas perde a régua independente. O extrato sozinho diz quanto saiu; o custo guardado no evento diz para qual cliente final e em qual operação do seu sistema. Sem os dois, uma diferença no total não tem onde ser procurada.
Resposta inteira em: O saldo que se prova | Conciliar por evento e por período até fechar com o extratoPor que reimportar o extrato não pode duplicar lançamentos?
Porque o fechamento real é iterativo: exporta-se o mês, corrige-se, exporta-se de novo com o período ajustado. Se cada importação somar linhas que já estavam lá, o saldo do seu lado cresce a cada tentativa. Um identificador único por linha resolve isso na raiz.
Resposta inteira em: O saldo que se prova | Conciliar por evento e por período até fechar com o extratoO playground substitui o sandbox com conta?
Não. Ele mostra o contrato e os desfechos para quem está avaliando. A integração de verdade precisa da chave de teste, do webhook apontado para o seu servidor e de volume que um sandbox público não oferece.
Resposta inteira em: Playground sem conta | O que um sandbox público pode mostrar e por que ele precisa de tetoPor que o playground não aceita meu próprio CPF para testar?
Porque uma página sem conta não tem como tratar dado pessoal com finalidade e responsabilidade definidas. O titular sintético mostra o mesmo formato de resposta sem que nenhum dado seu seja pedido.
Resposta inteira em: Playground sem conta | O que um sandbox público pode mostrar e por que ele precisa de tetoO dígito verificador prova que o CPF existe?
Não. Ele prova que o número foi escrito de forma coerente com a regra de cálculo. Um número inventado com os dois últimos dígitos calculados também fecha a conta. Para saber se o documento existe e a quem pertence, é preciso verificar a pessoa.
Resposta inteira em: Dígito verificador de CPF e CNPJ, o que a conta prova e o que ela não provaO CNPJ alfanumérico usa uma conta diferente do numérico?
A regra é a mesma, e o que muda é o valor de cada caractere: o código ASCII menos 48. Para os algarismos isso devolve o próprio número, então todo CNPJ numérico continua válido pela mesma conta, e as letras passam a valer de 17 a 42.
Resposta inteira em: Dígito verificador de CPF e CNPJ, o que a conta prova e o que ela não provaO CNPJ alfanumérico pode terminar em letra?
Não. As doze primeiras posições aceitam letras e números, mas as duas últimas, que são os dígitos verificadores, são sempre números.
Resposta inteira em: Dígito verificador de CPF e CNPJ, o que a conta prova e o que ela não provaE se a fonte parar sem aviso?
Aí não é janela prevista, é incidente, e o tratamento é outro. A página de status registra a indisponibilidade quando ela é observada, e o comunicado ao cliente descreve o que ele vê, sem prometer horário de volta que ninguém confirmou.
Resposta inteira em: Janela prevista das fontes oficiais: avisar o cliente sem entregar o mapaVale publicar a janela de uma fonte que o cliente nem usa?
Vale publicar por capacidade, e não por fonte. O cliente que não usa consulta de CNPJ lê a capacidade afetada e sabe na hora que o aviso não é com ele. Publicar o nome da fonte sem dizer a capacidade obriga cada cliente a mapear sozinho a própria dependência.
Resposta inteira em: Janela prevista das fontes oficiais: avisar o cliente sem entregar o mapaQuem pode publicar a janela?
Só quem opera a plataforma, com o comunicado oficial em mãos. Uma janela publicada sem fonte é um boato com carimbo de oficial.
Resposta inteira em: Janela prevista das fontes oficiais: avisar o cliente sem entregar o mapaA simulação pode rodar ao mesmo tempo que a produção?
Pode, e deve rodar sem disputar recurso com ela. Uma simulação sobre milhares de verificações não cabe numa resposta de tela: o jeito seguro é processar em lotes, em segundo plano, com a tela acompanhando o progresso.
Resposta inteira em: Simular a política no próprio histórico, sem cobrar, sem consultar ninguém e sem abrir uma fotoPor quanto tempo o histórico serve para simular?
Enquanto a evidência que decidiu cada verificação ainda estiver guardada. Quando a política de retenção apaga os resultados e a mídia de uma verificação, ela deixa de poder ser refeita, e a simulação precisa dizer isso em vez de contá-la como igual.
Resposta inteira em: Simular a política no próprio histórico, sem cobrar, sem consultar ninguém e sem abrir uma fotoE se a regra nova mudar só casos raros?
Então o número absoluto importa mais que a taxa. Três verificações que passariam a ser aprovadas podem ser justamente as três que a regra antiga existia para barrar. Nesses casos, abra cada uma antes de decidir.
Resposta inteira em: Simular a política no próprio histórico, sem cobrar, sem consultar ninguém e sem abrir uma fotoO funil inclui as verificações do monitoramento contínuo?
Não. A verificação de sistema do monitoramento contínuo nasce fora do onboarding e é excluída da série no próprio servidor, como o gráfico da página inicial já fazia.
Resposta inteira em: Funil de conversão por etapa: o número que o painel deve calcular por vocêPor que a janela tem teto de 90 dias?
Porque uma janela aberta é uma varredura da tabela inteira para servir uma tela, e o custo disso apareceria como lentidão geral da API. Noventa dias cobrem um trimestre de comparação; para mais do que isso, a exportação de dados é o caminho certo.
Resposta inteira em: Funil de conversão por etapa: o número que o painel deve calcular por vocêO número do painel bate com a minha planilha?
Se a sua planilha conta sessões da janela, sim, por construção: o topo do funil é a contagem bruta. Se ela conta verificações, os números divergem no exato tamanho das sessões que nunca viraram verificação, e essa diferença é a primeira etapa do funil.
Resposta inteira em: Funil de conversão por etapa: o número que o painel deve calcular por vocêO registro substitui o meu log de aplicação?
Não. Ele confirma o que chegou à UNIFOKAL e como foi respondido; o que aconteceu antes e depois, na sua aplicação, continua sendo assunto do seu log. Os dois se encontram pelo identificador da requisição.
Resposta inteira em: Registro de requisições sem o corpo: o histórico de API que não vira banco de dado pessoalPor que a mensagem de erro não é gravada?
Porque a mensagem é texto livre e pode mudar; o código é estável e é por ele que a sua aplicação deve ramificar. Gravar o código e não a mensagem fecha uma porta por onde dado pessoal poderia voltar ao registro.
Resposta inteira em: Registro de requisições sem o corpo: o histórico de API que não vira banco de dado pessoalConsigo ver o corpo da resposta de uma chamada antiga?
Não, e essa é a promessa. O resultado de uma verificação está na própria verificação, no painel e no webhook; o registro guarda que a chamada aconteceu, nunca o que ela devolveu.
Resposta inteira em: Registro de requisições sem o corpo: o histórico de API que não vira banco de dado pessoalO orçamento vale para o sandbox?
Não. O sandbox não fatura, então não há gasto a limitar. A tela do orçamento diz isso quando o ambiente ativo é o sandbox.
Resposta inteira em: Teto de gasto diário em uma API de verificação: avisar antes de cortarO que acontece com uma verificação que já estava em andamento quando o teto chegou?
Nada muda para ela. O teto é avaliado na criação de sessão, que é a porta onde o gasto é comprometido. Uma sessão já admitida segue a jornada até a decisão.
Resposta inteira em: Teto de gasto diário em uma API de verificação: avisar antes de cortarO aviso de 80% chega por qual canal?
O aviso é registrado no serviço e aparece na tela do orçamento, com o gasto do dia e o patamar cruzado. O canal de notificação ao cliente, por e-mail ou por evento de webhook, é uma decisão em aberto e será anunciado no changelog quando entrar.
Resposta inteira em: Teto de gasto diário em uma API de verificação: avisar antes de cortarPreciso trocar meu HMAC atual pela RFC 9421 hoje?
Não necessariamente. O ganho imediato não está no formato do campo, está em quais componentes entram no material assinado. Se o seu esquema já amarra método, URL de destino, timestamp e hash do corpo, ele cobre a mesma classe de ataque.
Resposta inteira em: Assinatura de mensagem HTTP: o que a RFC 9421 padroniza no webhookA RFC 9421 substitui TLS ou mTLS?
Não. O TLS (Transport Layer Security) protege o canal entre dois pontos e cai fora assim que há um proxy terminando a conexão. A assinatura de mensagem viaja com a mensagem e sobrevive a intermediários, que é o caso de uso declarado no resumo da RFC. São camadas complementares.
Resposta inteira em: Assinatura de mensagem HTTP: o que a RFC 9421 padroniza no webhookChamar o fornecedor de operador no contrato me protege?
Não por si só. A qualificação depende de quem decide sobre o tratamento, conforme os incisos VI e VII do artigo 5º da LGPD. Se o fornecedor decide finalidade, fonte ou critério por conta própria, a prática contradiz o rótulo.
Resposta inteira em: Contrato de fornecedor de identidade: as cláusulas que doemDá para limitar a responsabilidade por vazamento no contrato?
Entre as partes, dá para pactuar limites e regresso. Perante o titular e a autoridade, a solidariedade do artigo 42 da LGPD continua valendo. O limite contratual redistribui custo depois, não evita a cobrança.
Resposta inteira em: Contrato de fornecedor de identidade: as cláusulas que doemO que pedir como prova de eliminação no fim do contrato?
Atestado assinado informando categorias eliminadas, data, abrangência (produção, réplicas, backups e subcontratados) e o que permaneceu, com a norma de retenção que sustenta cada exceção. Sem prazo e sem abrangência escrita, a cláusula não é exigível.
Resposta inteira em: Contrato de fornecedor de identidade: as cláusulas que doemDevolvo 429 ou 503 quando estou sem capacidade?
Depende de quem causou. Se aquele cliente específico passou da cota dele, é 429. Se a capacidade caiu para todo mundo, por sobrecarga ou manutenção, é 503, que a RFC 9110 descreve exatamente assim.
Resposta inteira em: Limite de taxa em API: o que devolver e como reagirPosso tratar os cabeçalhos de RateLimit como padrão publicado?
Ainda não. Em maio de 2026 o rascunho de cabeçalhos RateLimit seguia como Internet-Draft ativo do grupo HTTPAPI, sem virar RFC. Implementar já é razoável, mas o documento pode mudar até a publicação. Documente o que a sua API emite em vez de dizer só "seguimos o padrão".
Resposta inteira em: Limite de taxa em API: o que devolver e como reagirPosso usar documentos e selfies da minha própria equipe?
Com consentimento específico e destacado para essa finalidade, nos termos do art. 11, I, da Lei 13.709/2018, sim, porque dado biométrico vinculado a pessoa natural é sensível pelo art. 5º, II.
Resposta inteira em: Prova de conceito de KYC: como desenhar uma POC que decide alguma coisaO resultado do NIST substitui a minha POC?
Não, e o inverso também não. O NIST avalia algoritmos submetidos por desenvolvedores sobre conjuntos que ele controla, em avaliações que desde agosto de 2023 se chamam FRTE e FATE, após a divisão do antigo FRVT.
Resposta inteira em: Prova de conceito de KYC: como desenhar uma POC que decide alguma coisaDá para calcular o ROI de um controle antifraude com precisão?
Não. Uma das três linhas é contrafactual e só existe como estimativa. O que se defende em auditoria é uma estimativa com método escrito, incerteza declarada e as duas linhas de custo somadas junto.
Resposta inteira em: Calcular o ROI de um controle antifraude sem enganar a si mesmoO que é rodar um controle em modo sombra?
É deixar o controle avaliar cada caso e gravar a decisão que teria tomado, sem aplicá-la ao usuário. Depois se compara o desfecho real dos casos que ele teria barrado com os que teria aprovado, sem liberar fraude de propósito.
Resposta inteira em: Calcular o ROI de um controle antifraude sem enganar a si mesmoPor que não basta comparar a perda antes e depois de ligar o controle?
Porque entre os dois períodos mudaram também a sazonalidade, o mix de canais, o público trazido pelo marketing e o comportamento do fraudador. A diferença observada mistura tudo isso com o efeito do controle.
Resposta inteira em: Calcular o ROI de um controle antifraude sem enganar a si mesmo99,9% de disponibilidade são quantos minutos por mês?
Depende do tamanho do mês. Num mês de 30 dias, 43,2 minutos, ou 43 minutos e 12 segundos. Num mês de 31 dias, 44,64 minutos. Em fevereiro com 28 dias, 40,32 minutos.
Resposta inteira em: Ler um SLA de 99,9%: janela, medição e o que o crédito não devolveSLA de 99,9% ao ano é a mesma coisa que 99,9% ao mês?
O total tolerado é o mesmo, 525,6 minutos num ano de 365 dias. A distribuição não é. Uma queda única de 8 horas cabe no orçamento anual e é mais de onze vezes o orçamento de um mês de 30 dias.
Resposta inteira em: Ler um SLA de 99,9%: janela, medição e o que o crédito não devolveO crédito de SLA cobre o prejuízo da minha operação?
Só até onde o contrato disser. Se o crédito for cláusula penal e o contrato não ressalvar indenização suplementar, o artigo 416, parágrafo único, do Código Civil impede exigir mais do que a pena convencionada.
Resposta inteira em: Ler um SLA de 99,9%: janela, medição e o que o crédito não devolveO que é CER em OCR?
CER é a taxa de erro por caractere. Ela se apoia na distância de edição, definida no dicionário do NIST como o menor número de inserções, remoções e substituições que transforma uma sequência em outra, e normaliza essa distância pelo tamanho do texto de referência.
Resposta inteira em: Medir a acurácia de um OCR de documento: CER, acerto por campo e o que enganaPor que um OCR com acurácia alta erra o número do documento?
Porque a acurácia agregada dilui o erro no volume de caracteres da página. Errar um dígito num documento com centenas de caracteres move pouco a CER e derruba por completo o acerto naquele campo, já que a avaliação por campo não dá crédito parcial.
Resposta inteira em: Medir a acurácia de um OCR de documento: CER, acerto por campo e o que enganaComo medir um OCR sem ter um conjunto de teste rotulado?
Sem gabarito não dá para medir acurácia, mas dá para medir consistência: taxa de campos vazios, taxa de dígito verificador que não fecha e taxa de recaptura por tipo de documento.
Resposta inteira em: Medir a acurácia de um OCR de documento: CER, acerto por campo e o que enganaTLS mútuo substitui a chave de API?
Ele substitui o segredo compartilhado como prova de identidade do cliente perante o servidor de autorização. A RFC 8705 o apresenta como mecanismo adicional ao método por segredo do OAuth 2.0, com características de segurança melhores.
Resposta inteira em: mTLS e assinatura de requisição: provando quem chama a APISe eu uso TLS mútuo, ainda preciso assinar a requisição?
Depende do caminho. A RFC 9421 observa que o TLS garante integridade e autenticidade apenas sobre uma conexão, e que o caminho pode ter várias conexões independentes. Com gateway terminando o TLS, a garantia fim a fim vem da assinatura da mensagem.
Resposta inteira em: mTLS e assinatura de requisição: provando quem chama a APITrocar o certificado derruba a integração?
Troca de certificado invalida os tokens presos a ele. A RFC 8705 recomenda tratar esse caso como token expirado: o cliente pede outro e repete a requisição.
Resposta inteira em: mTLS e assinatura de requisição: provando quem chama a APIO que conta como abandono no onboarding?
Conta o que a sua janela de corte definir. Como o processo pode se estender por dias, todo número de abandono depende do tempo que você espera antes de declarar que a pessoa não volta. Escolha a janela pelos dados de retorno observados e mantenha-a fixa.
Resposta inteira em: O funil da verificação: medir onde o usuário desiste, etapa por etapaQual etapa do funil de verificação otimizar primeiro?
Não é necessariamente a de pior taxa. O ganho é o volume que entra na etapa, vezes a melhora da taxa, vezes o produto das taxas seguintes. Etapa ruim no fim do funil, alcançada por pouca gente, rende menos que uma melhora modesta no começo.
Resposta inteira em: O funil da verificação: medir onde o usuário desiste, etapa por etapaTaxa de aprovação e taxa de conclusão são a mesma coisa?
Não. Aprovação é calculada sobre quem terminou a verificação; conclusão é calculada sobre quem começou. Uma operação pode ter aprovação alta e conclusão baixa, e é nessa diferença que mora o abandono.
Resposta inteira em: O funil da verificação: medir onde o usuário desiste, etapa por etapaO consentimento do Open Finance dispensa a identificação pela instituição receptora?
Não. O artigo 10 da Resolução Conjunta nº 1/2020 impõe à receptora identificar o cliente e obter o consentimento como deveres distintos, e a nova redação do artigo 22-A, na portabilidade de crédito, repete a identificação em inciso próprio.
Resposta inteira em: Open Finance: o consentimento não substitui a verificação de identidadeDado biométrico circula no Open Finance?
Pelo escopo de dados de cadastro, não. O artigo 5º, § 4º, I, exclui dado classificado como sensível pela legislação, notas ou pontuações de crédito e as credenciais usadas para autenticar o cliente.
Resposta inteira em: Open Finance: o consentimento não substitui a verificação de identidadeO consentimento vale no máximo doze meses?
Não mais. O limite estava na redação original do artigo 10, § 1º, III, e a Resolução Conjunta nº 7/2023 deu nova redação ao inciso, que passou a exigir apenas prazo compatível com as finalidades declaradas.
Resposta inteira em: Open Finance: o consentimento não substitui a verificação de identidadePasskey substitui a verificação de identidade no cadastro?
Não. A especificação WebAuthn diz que a user verification não dá à parte confiante uma identificação concreta do usuário, apenas a evidência de que foi o mesmo usuário em cerimônias sucessivas com aquela credencial.
Resposta inteira em: Passkey e WebAuthn no cadastro: por que a chave não substitui o KYCWebAuthn é considerado resistente a phishing?
Sim, pelo critério do NIST SP 800-63B, que o cita como exemplo de padrão que obtém resistência a phishing por vinculação ao nome do verificador, e afirma que autenticadores baseados em digitação manual de código não são.
Resposta inteira em: Passkey e WebAuthn no cadastro: por que a chave não substitui o KYCPasskey sincronizada entre aparelhos vale menos?
Depende do nível exigido. O NIST trata autenticadores sincronizáveis em anexo normativo próprio, aponta que suas chaves são inerentemente exportáveis e determina que não sejam usados no nível AAL3, o mais alto dos três níveis de garantia de autenticação.
Resposta inteira em: Passkey e WebAuthn no cadastro: por que a chave não substitui o KYCO que conta como uma verificação na cobrança?
Depende do contrato, e é a primeira coisa a esclarecer por escrito. Pode ser a tentativa, a sessão, cada módulo acionado, cada consulta externa ou só o resultado aprovado.
Resposta inteira em: Preço por verificação: os modelos de cobrança de KYC e as pegadinhas da contaFaixa de volume retroativa ou marginal, qual a diferença?
Na retroativa, atingir o patamar barateia todas as unidades do período. Na marginal, o preço menor vale só para as unidades acima do patamar. Para o mesmo volume a fatura é diferente, e a diferença é mais sensível para quem opera perto do limite de uma faixa.
Resposta inteira em: Preço por verificação: os modelos de cobrança de KYC e as pegadinhas da contaPor que o custo por cliente sai maior que o preço de tabela?
Porque cada cliente consome mais de uma unidade. Recaptura, módulos por sessão, sessões duplicadas, abandono depois de uma chamada paga e reavaliação periódica somam. O número que serve para planejar é o total gasto dividido pelos clientes efetivamente aprovados.
Resposta inteira em: Preço por verificação: os modelos de cobrança de KYC e as pegadinhas da contaTaxa de aprovação alta é sinal de bom fornecedor?
Sozinha, não. O limiar é ajustável, e afrouxá-lo aumenta a aprovação e a taxa de falso casamento ao mesmo tempo. Uma taxa de aprovação só informa algo quando vem com a taxa de erro no mesmo ponto de operação e com a população em que foi medida.
Resposta inteira em: Taxa de aprovação de KYC: por que o número de dois fornecedores não se comparaComo comparar dois fornecedores de forma justa?
Submetendo os dois à mesma população, no mesmo período, com a mesma definição de tentativa, de sessão e de aprovado. Piloto em fatia de tráfego ou execução em paralelo entregam isso; slides de fornecedor, não.
Resposta inteira em: Taxa de aprovação de KYC: por que o número de dois fornecedores não se comparaPor que a taxa cai quando muda a origem do tráfego?
Porque a população mudou. O NIST IR 8280 documenta que o padrão de erro dos mesmos algoritmos muda entre conjuntos de imagens, e atribui parte da diferença à qualidade de imagem de cada conjunto.
Resposta inteira em: Taxa de aprovação de KYC: por que o número de dois fornecedores não se comparaTOTP é mais seguro que o código por SMS?
Num aspecto específico, sim: ele não depende da rede telefônica, então não é afetado por troca fraudulenta de chip nem por desvio de mensagem na operadora.
Resposta inteira em: TOTP no app autenticador: janela de tempo, desvio de relógio e segredo compartilhadoO que acontece se o relógio do aparelho estiver errado?
O código corresponde a outro passo de tempo e é rejeitado, a menos que o desvio caiba na tolerância configurada.
Resposta inteira em: TOTP no app autenticador: janela de tempo, desvio de relógio e segredo compartilhadoQuantos dígitos o código precisa ter?
A RFC 4226 exige no mínimo seis e diz que sete ou mais devem ser considerados conforme o requisito de segurança. Na fórmula da própria norma, os dígitos entram como expoente na probabilidade de acerto por tentativa.
Resposta inteira em: TOTP no app autenticador: janela de tempo, desvio de relógio e segredo compartilhado
Precisa conferir se um CPF ou um CNPJ foi digitado certo? A ferramenta gratuita de dígito verificador roda no seu navegador, inclusive para o CNPJ alfanumérico.
A referência da API responde como integrar, módulo por módulo, e o ambiente de teste roda o fluxo inteiro sem consumir saldo.
