Requisitos para emitir cartões pré-pagos white label

Última atualização: 19 de julho de 2026

Principais lições deste artigo

• Em 2026, emitir cartões pré-pagos white label exige obter autorização prévia do Banco Central e cumprir LGPD, PCI-DSS e KYC/AML para operar de forma regular.

• Existem dois modelos principais: ter licença própria de Instituição de Pagamento ou usar Banking as a Service via instituição autorizada, com prazos e custos muito diferentes.

• KYC/AML, PCI-DSS e LGPD são obrigatórios em qualquer cenário. No modelo de Banking as a Service, a instituição prestadora assume a responsabilidade por esses controles.

• A infraestrutura mínima inclui ter um ledger imutável, usar APIs modulares, integrar com bandeiras, implementar tokenização e adotar antifraude baseado em IA.

• Com a Celcoin, sua empresa lança cartões white label em poucas semanas sem precisar de licença própria.

Visão geral do guia

Este guia apresenta sete estágios obrigatórios para emitir cartões pré-pagos white label no Brasil em 2026. Cada passo descreve um requisito regulatório ou tecnológico específico, com referências às normas vigentes. O conteúdo orienta fundadores de fintechs, heads de produto em varejistas e gestores de ERPs na tomada de decisão sobre licenciamento, compliance e arquitetura antes do desenvolvimento.

Os pré-requisitos fundamentais incluem definir o modelo regulatório, que pode ser licença própria ou Banking as a Service, ter capacidade de implementar KYC/AML, cumprir PCI-DSS e LGPD e contar com infraestrutura técnica mínima para ledger, APIs e integração com bandeiras.

Explore a infraestrutura da Celcoin para emissão de cartões white label.

Passo 1: escolha do modelo regulatório

As Resoluções BCB 494 e 495, publicadas em setembro de 2025, tornaram a autorização prévia do Banco Central obrigatória antes do início de qualquer operação de Instituição de Pagamento, encerrando o modelo em que a empresa iniciava as atividades e buscava autorização depois.

Existem dois caminhos principais:

• Licença própria de IP: a empresa solicita autorização diretamente ao Banco Central, assume todas as obrigações regulatórias e constrói ou contrata a própria infraestrutura. Os custos de compliance regulatório para estabelecer e manter uma Instituição de Pagamento incluem capital mínimo, governança, compliance, certificações de cibersegurança e o processo de autorização.

• Banking as a Service: a Resolução Conjunta nº 16, publicada em novembro de 2025, criou um marco regulatório específico para modelos de Banking as a Service, permitindo que empresas ofereçam serviços de pagamento usando a infraestrutura de uma instituição já autorizada, com requisitos definidos de governança e responsabilidade. Nesse modelo, a entidade tomadora, como varejista, ERP ou fintech, não precisa de licença própria do Banco Central.

Os contratos de Banking as a Service existentes têm até 31 de dezembro de 2026 para se adequar aos requisitos da Resolução Conjunta nº 16/2025, e novos contratos já seguem essas regras desde a publicação.

Passo 2: obrigações de KYC/AML e relatórios ao Bacen

Independentemente do modelo regulatório escolhido, toda operação de cartão pré-pago precisa cumprir obrigações de KYC/AML. A Circular Bacen 3.978/2020 estabelece procedimentos de KYC que incluem identificação do cliente, verificação da autenticidade dos documentos e avaliação de risco.

As obrigações operacionais incluem:

• Identificação do beneficiário final (KYB) e rastreamento contínuo de PEPs e sanções.

• Controles antifraude em tempo real contra identidades sintéticas.

• Trilha de auditoria completa das decisões de onboarding.

• Retenção de documentos para fins de PLD/FT, conforme a Lei 9.613/1998 e a Circular Bacen 3.978/2020.

• Reporte de operações suspeitas ao COAF.

No modelo de Banking as a Service regulado em 2025, a instituição prestadora autorizada pelo Banco Central assume de forma exclusiva e intransferível o gerenciamento de risco, KYC e PLD/FT, e a entidade tomadora não responde diretamente por essas obrigações.

Passo 3: requisitos de segurança, PCI-DSS, antifraude e LGPD

O PCI DSS v4.0.1 define doze requisitos que abrangem proteção de rede e dados, gestão de vulnerabilidades, controles de acesso, monitoramento contínuo e política de segurança da informação com validação anual. Todo emissor de cartão que armazena, processa ou transmite dados de portadores de cartão se submete a essa norma.

Os requisitos práticos incluem:

• Dados sensíveis de autenticação como CVV, dados completos de trilha e PIN não podem ser armazenados após a autorização, mesmo que criptografados.

• Certificação PCI-DSS em nível compatível com o volume anual de transações.

• Controles antifraude baseados em monitoramento contínuo.

• Conformidade com a LGPD, Lei 13.709/2018, com minimização de dados na coleta de documentos de identidade, retenção apenas pelo período legalmente exigido e uso de criptografia e controles de acesso.

A proteção de dados passou a incluir auditorias independentes e certificações de cibersegurança como exigência de compliance digital para IPs autorizadas.

Passo 4: arquitetura técnica mínima

A infraestrutura mínima para emissão de cartões pré-pagos white label reúne camadas que se complementam.

• Ledger: a base é um sistema de registro imutável de transações, com suporte a eventos tipados e versionados para reconstrução de estado. Esse ledger alimenta as demais camadas.

• APIs modulares: sobre o ledger, os endpoints para criação de contas, emissão de cartões físicos e virtuais, controles de MCC e webhooks com idempotência expõem as funcionalidades para integração.

• Processadora e integração com bandeira: construir infraestrutura do zero exige coordenar compliance regulatório com o Banco Central, processos de KYC/AML, integração e certificações com Visa e Mastercard, além de desenvolver sistemas de autorização e controle de saldo, o que aumenta complexidade e prazo.

• Tokenização: suporte a Apple Pay e Google Pay exige certificações por carteira e por bandeira e integração com a camada de autorização.

• Antifraude: monitoramento baseado em IA integrado ao fluxo de autorização reduz perdas e estornos.

Usar infraestrutura moderna com foco em APIs permite lançar um MVP para emissão de cartões em 4 a 8 semanas, em vez de 12 a 18 meses necessários para integrações diretas com sistemas bancários legados.

Passo 5: certificações e homologações necessárias

Operar emissão de cartões pré-pagos no Brasil exige obter ou considerar as seguintes certificações e homologações.

• PCI DSS, padrão de segurança de dados da indústria de cartões, aplicável a emissores e prestadores de serviço que armazenam, processam ou transmitem dados de portadores de cartão.

• Homologação junto à bandeira, como Visa, para emissão de BIN próprio ou compartilhado.

• Credenciamento para operar Pix junto ao Banco Central. A Resolução BCB 496/2025 passou a exigir credenciamento para operar Pix sem limiar de transações.

• Certificações de cibersegurança exigidas pelo Banco Central para IPs autorizadas.

Passo 6: prazos e custos comparativos

Projetos simples de cartão pré-pago white label podem ser implementados em poucas semanas via Banking as a Service, enquanto iniciativas mais complexas levam alguns meses, em comparação com mais de um ano para construir infraestrutura completa do zero.

Em capital regulatório, a Resolução Conjunta nº 14 substituiu os requisitos de capital mínimo fixo por um cálculo baseado em risco. A transição começa em julho de 2026 e termina em janeiro de 2028, o que impacta o planejamento de empresas que optam por licença própria.

Passo 7: fluxo de integração e testes em sandbox até produção

O fluxo padrão de integração via Banking as a Service segue estas etapas.

1. Acesso ao ambiente de sandbox com documentação e SDKs.

2. Integração das APIs de criação de conta e emissão de cartão virtual.

3. Configuração de webhooks tipados e versionados para eventos de transação.

4. Testes de fluxos de KYC, onboarding e controles de MCC.

5. Validação de tokenização para carteiras digitais.

6. Auditoria de segurança e validação PCI-DSS no ambiente de homologação.

7. Promoção para produção com monitoramento antifraude ativo.

Tabela de decisão: licença própria IP versus Banking as a Service

Critério	Licença própria IP	Banking as a Service (via instituição autorizada)
Autorização Bacen	Obrigatória, solicitada diretamente pela empresa	Responsabilidade da instituição prestadora
Capital mínimo regulatório	Cálculo baseado em risco	Não exigido da entidade tomadora
Prazo de go-live	12 a 18+ meses	4 a 8 semanas (MVP)
Responsabilidade por KYC/AML	Integral da IP	Da instituição prestadora autorizada
Custo estimado de compliance	Variável, incluindo custos de compliance regulatório	Compartilhado com a infraestrutura do parceiro
Flexibilidade de produto	Total, com maior complexidade operacional	Alta, dentro dos módulos disponíveis

Erros comuns e pontos de atenção

Os erros mais frequentes na emissão de cartões pré-pagos white label se concentram em três áreas.

• Contas-bolsão: operar com estruturas em que recursos de terceiros são administrados de forma não segregada, misturando patrimônio do cliente com o da instituição, configura prática irregular vedada pelas normas do Banco Central. A Resolução Conjunta nº 16/2025 reforça a exigência de contas de pagamento individualizadas.

• Integração fragmentada: contratar múltiplos fornecedores para ledger, processadora, antifraude e relatórios regulatórios aumenta o risco operacional e dificulta manter conformidade contínua. Consolidar essas funções em uma única plataforma reduz esse risco.

• Desatualização regulatória: o modelo tradicional de Banking as a Service white label em que o cliente final não identificava a instituição financeira licenciada por trás do app ou cartão foi proibido pela Resolução Conjunta nº 16/2025. A instituição prestadora precisa ser claramente identificada em todos os canais, contratos e instrumentos de pagamento.

Evite esses erros com a plataforma completa de cartões da Celcoin.

Critérios de sucesso

Uma operação de cartão pré-pago white label bem-sucedida apresenta alguns indicadores claros.

• Tempo de go-live: projetos via Banking as a Service devem atingir produção em semanas, não em meses.

• Taxa de aprovação de onboarding: processos de KYC automatizados e bem calibrados reduzem fricção e aumentam conversão.

• Volume estável: infraestrutura escalável em nuvem mantém disponibilidade mesmo em picos de transações.

• Conformidade contínua: relatórios regulatórios automatizados, como DIMP, CADOCs e CCS, reduzem risco de sanções. O Banco Central aplica penalidades por falhas em verificação documental e due diligence.

Alcance esses indicadores com o banking da Celcoin.

Infraestrutura da Celcoin para emissão de cartões white label

A Celcoin fornece infraestrutura tecnológica, operacional e regulatória para empresas que desejam lançar cartões pré-pagos com marca própria. A solução inclui integração com Visa, antifraude, embossing, gestão de disputas, relatórios regulatórios automatizados e emissão de cartões físicos e virtuais, sem que a entidade tomadora precise de licença própria ou conexão direta com bandeiras e processadoras.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos e antecipam geração de receita.
Distribuição white-label e embutida (embedded)	Suporte a produtos financeiros com marca própria em diferentes canais.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços ativos em altos volumes e protege a receita.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferecer pagamentos e emissão de crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas e melhoram conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

A Celcoin não oferece empréstimo para consumidores. A Celcoin fornece infraestrutura tecnológica para que empresas ofertem produtos de crédito aos seus clientes.

Próximos passos

Após o go-live do cartão pré-pago white label, a empresa pode evoluir a oferta em etapas.

• Expandir para cartões pós-pagos, que exigem estrutura regulatória e operacional adicional.

• Integrar com Open Finance para enriquecer dados de onboarding e personalizar ofertas.

• Automatizar relatórios regulatórios, como DIMP, CADOCs e CCS, para manter conformidade contínua sem intervenção manual.

• Monitorar de forma contínua as atualizações do Banco Central, com atenção às Resoluções BCB 494-497/2025 e à Resolução Conjunta nº 16/2025.

• Migrar para licença própria de IP, mantendo a mesma base tecnológica, quando o volume e a estratégia de negócio justificarem.

Comece sua jornada de emissão de cartões com o banking da Celcoin.

FAQ

Qual é o prazo para lançar um cartão pré-pago white label via Banking as a Service?

Via Banking as a Service, um MVP de cartão pré-pago white label pode entrar em produção em 4 a 8 semanas, dependendo da complexidade da integração com o sistema existente da empresa e do escopo de funcionalidades. Projetos mais complexos, que envolvem múltiplos canais, tokenização para carteiras digitais e integrações com ERPs, podem levar alguns meses. Em qualquer caso, o prazo fica bem abaixo dos 12 a 18 meses típicos de uma construção de infraestrutura própria do zero. A Celcoin disponibiliza ambiente de sandbox, documentação e SDKs para reduzir ciclos de integração e acelerar o go-live.

Quanto custa obter uma licença de Instituição de Pagamento no Brasil em 2026?

O custo para estabelecer e manter uma Instituição de Pagamento inclui capital mínimo regulatório, estrutura de governança, compliance, certificações de cibersegurança e o processo de autorização junto ao Banco Central. O capital mínimo passou a ser calculado com base em risco pela Resolução Conjunta nº 14, em transição até janeiro de 2028. Empresas que optam pelo modelo de Banking as a Service não precisam arcar com esses custos de licenciamento, pois operam sob a licença da instituição prestadora.

Quais são as exigências de KYC para emitir cartões pré-pagos white label?

As exigências de KYC para emissão de cartões pré-pagos derivam principalmente da Circular Bacen 3.978/2020 e do pacote de Resoluções BCB 494-497/2025. Os procedimentos incluem identificação do cliente e do beneficiário final no caso de pessoas jurídicas, verificação da autenticidade dos documentos e avaliação de risco. Também é obrigatório manter rastreamento contínuo de Pessoas Expostas Politicamente e listas de sanções, controles antifraude em tempo real contra identidades sintéticas, trilha de auditoria completa das decisões de onboarding e retenção de documentos para fins de PLD/FT. No modelo de Banking as a Service regulado pela Resolução Conjunta nº 16/2025, a instituição prestadora autorizada pelo Banco Central assume a responsabilidade por todas essas obrigações.

A certificação PCI-DSS é obrigatória para emitir cartões pré-pagos?

Sim. Qualquer entidade que armazena, processa ou transmite dados de portadores de cartão se submete ao PCI DSS, independentemente do porte ou volume de transações. O PCI DSS v4.0.1 define doze requisitos que abrangem proteção de rede e dados, gestão de vulnerabilidades, controles de acesso, monitoramento contínuo e política de segurança da informação com validação anual. O nível de certificação exigido varia conforme o volume anual de transações. Empresas com mais de 6 milhões de transações precisam de auditoria anual por um QSA, Qualified Security Assessor, e varreduras trimestrais de vulnerabilidade. Volumes menores podem utilizar o SAQ, Self-Assessment Questionnaire. Dados sensíveis como CVV, dados completos de trilha e PIN não podem ser armazenados após a autorização, mesmo que criptografados.