Regras de compliance para buy now pay later no Brasil

Última atualização: 21 de julho de 2026

Principais lições deste artigo

• O BNPL no Brasil é regido pelo CDC, pela Lei do Superendividamento (Lei nº 14.181/2021), por resoluções do Banco Central e pela LGPD.

• Toda instituição de pagamento que emite instrumento pós-pago, categoria que abrange BNPL, precisa de autorização prévia do Banco Central, sem exceção.

• A prevenção ao superendividamento exige análise de capacidade de pagamento antes da concessão do crédito, com responsabilidade recaindo sobre o operador.

• KYC, PLD/FT e LGPD são requisitos operacionais obrigatórios, não diferenciais competitivos opcionais.

• Conheça a infraestrutura de crédito completa da Celcoin.

O que é buy now pay later e quais agentes regulatórios atuam?

BNPL é uma modalidade de crédito ao consumidor em que o pagamento de uma compra ocorre de forma diferida e parcelada. Em geral, o consumidor não vê juros explícitos, porque o lojista absorve o custo ou o embute na operação. No Brasil, uma operação de BNPL pode usar uma instituição de pagamento na categoria de emissor de instrumento de pagamento pós-pago, uma Sociedade de Crédito Direto ou uma estrutura baseada em licenças de terceiros.

Os principais agentes regulatórios que atuam sobre esse produto são:

• Banco Central do Brasil (BCB: autoriza e supervisiona instituições de pagamento e Sociedades de Crédito Direto, além de editar resoluções sobre KYC, PLD e capital mínimo.

• Conselho Monetário Nacional (CMN: define normas sobre crédito ao consumidor e capital regulatório.

• COAF (Conselho de Controle de Atividades Financeiras: recebe e analisa comunicações de operações suspeitas de lavagem de dinheiro.

• ANPD (Autoridade Nacional de Proteção de Dados: fiscaliza o cumprimento da LGPD, com modelo de supervisão ativa desde 2026.

• Procon e Senacon: atuam na defesa do consumidor, inclusive em casos de superendividamento.

Como funciona a operação de BNPL da originação à cobrança

Uma operação de BNPL segue um fluxo padronizado que vai da análise de crédito à recuperação de valores em atraso. Esse fluxo costuma incluir as seguintes etapas:

1. Originação: o consumidor solicita crédito no ponto de venda físico ou digital. A plataforma analisa o score e verifica a capacidade de pagamento.

2. KYC e onboarding: a operação valida CPF, biometria facial e endereço com bases da Receita Federal e de terceiros. A coleta de dados segue as regras da LGPD.

3. Formalização: a instituição emite um instrumento de crédito, como uma CCB ou contrato equivalente, com informação clara de taxas, IOF e Custo Efetivo Total.

4. Liquidação ao lojista: a instituição paga o lojista à vista ou em prazo reduzido e assume o risco de crédito do consumidor.

5. Gestão da carteira: a operação monitora inadimplência, envia comunicações e aplica a régua de cobrança definida na política interna.

6. Cobrança e recuperação: a empresa executa a régua de cobrança, faz negativação em bureaus e, quando necessário, repactua dívidas nos termos da Lei nº 14.181/2021.

Panorama regulatório em 2026: CDC, Lei do Superendividamento, resoluções BCB e LGPD

O Banco Central decidiu não criar regulação específica para o “Pix Parcelado” e proibiu o uso oficial dessa denominação. Expressões como “parcele no Pix” e “Pix no crédito” continuam permitidas. A ausência de lei própria não cria vácuo regulatório. O BNPL se enquadra como produto de crédito ao consumidor e segue o conjunto de normas já vigente.

CDC e Lei do Superendividamento (Lei nº 14.181/2021: o artigo 54-D do CDC obriga o fornecedor de crédito a informar a natureza do crédito, os custos aplicáveis e as consequências do inadimplemento. A lei também exige avaliação responsável de crédito, com consulta a bureaus e verificação do comprometimento de renda. O descumprimento permite revisão-sanção de juros e encargos contratuais.

Resoluções BCB 494–497/2025: essas resoluções, publicadas em 5 de setembro de 2025, tornaram KYC, PLD e antifraude pré-requisitos de existência para instituições de pagamento. A Resolução BCB 494/2025 determinou que instituições de pagamento sem licença formal protocolassem pedido de autorização entre 1º e 31 de maio de 2026 ou encerrassem atividades. A Resolução BCB 495/2025 proibiu o uso de coworkings, escritórios virtuais ou espaços compartilhados como sede de instituição de pagamento, salvo quando pertencem ao mesmo conglomerado. As Resoluções 496 e 497/2025 fixaram limite de R$ 15 mil por transação em Pix e TED para instituições não autorizadas.

LGPD (Lei nº 13.709/2018: a partir de 2026, a ANPD passou a atuar com maior autonomia e estrutura de fiscalização, o que elevou o nível de escrutínio sobre o setor financeiro. Toda operação de BNPL que trata dados pessoais precisa ter base legal declarada, finalidade específica e prazo de retenção definido.

PLD/FT: fintechs e instituições de pagamento autorizadas pelo Banco Central devem manter programas de PLD/FT em linha com a Lei nº 9.613/1998 e a Circular BCB nº 3.978/2020. Esses programas incluem KYC, KYE, KYS, monitoramento contínuo de transações e comunicação ao COAF sem aviso ao investigado.

Esses marcos regulatórios se traduzem em requisitos operacionais específicos que toda operação de BNPL precisa cumprir. A tabela a seguir consolida as principais obrigações, as ações necessárias e os riscos de não conformidade.

Tabela de requisitos de compliance para BNPL

Requisito	O que fazer	Risco de não cumprir
Autorização BCB (Res. 494/2025)	Protocolar pedido de autorização como instituição de pagamento ou operar via licença de parceiro BaaS autorizado	Cessação compulsória de atividades com prazo de 30 dias após notificação
Disclosure de custos (CDC art. 54-D)	Informar Custo Efetivo Total, IOF, taxas de juros e consequências de inadimplemento antes da contratação	Revisão-sanção de juros e encargos e penalidades do Procon e da Senacon
Prevenção ao superendividamento (Lei 14.181/2021)	Consultar bureaus, verificar comprometimento de renda e preservar o mínimo existencial	Responsabilização civil e revisão judicial do contrato
KYC e PLD/FT (Circ. BCB 3.978/2020)	Validar CPF, biometria e endereço, monitorar transações e comunicar ao COAF	Multas, suspensão de licença e responsabilização pessoal de diretores
LGPD (Lei 13.709/2018)	Definir base legal, finalidade e prazo de retenção e firmar DPAs com fornecedores	Multa de até 2% da receita do grupo, limitada a R$ 50 milhões por infração
Sede física exclusiva (Res. BCB 495/2025)	Manter endereço físico de uso exclusivo e efetivo como condição de autorização	Indeferimento ou cassação da autorização de instituição de pagamento

Critérios de análise e boas práticas para operações escaláveis

Operações de BNPL que crescem com segurança compartilham quatro características estruturais que se reforçam entre si.

• Integração end-to-end: originação, formalização, gestão de carteira e cobrança em um único ambiente reduzem erros de rastreabilidade e facilitam auditorias regulatórias. Essa integração cria a base para os demais pilares.

• Escalabilidade técnica: infraestrutura em nuvem com alta disponibilidade sustenta picos de volume sem degradação de serviço ou falhas de compliance. Essa capacidade garante que a operação integrada continue estável mesmo em períodos de alta demanda.

• Neutralidade de funding: plataformas que não favorecem gestoras específicas permitem acesso a condições de originação mais competitivas e reduzem conflitos de interesse. Essa neutralidade fortalece a governança da operação integrada.

• Rastreabilidade de documentos: emissão digital de CCBs com registro automático e trilha de auditoria viabiliza cessão de recebíveis e estruturação de FIDCs. Essa rastreabilidade permite monetizar a carteira construída com os pilares anteriores.

Erros comuns e pontos de atenção ao oferecer BNPL

• Operar como emissor de instrumento pós-pago sem autorização do Banco Central, confiando em isenções revogadas pela Resolução 494/2025.

• Deixar de realizar análise de capacidade de pagamento antes da concessão e aumentar o risco de revisão judicial de contratos por superendividamento.

• Tratar KYC como etapa única de onboarding, sem monitoramento contínuo de transações atípicas exigido pela Circular BCB 3.978/2020.

• Coletar dados pessoais sem base legal de LGPD declarada ou sem Data Processing Agreement com fornecedores de score e biometria.

• Não divulgar juros e IOF de forma clara, o que cria passivo de revisão-sanção contratual.

• Utilizar coworking ou endereço virtual como sede, o que impede a autorização sob a Resolução BCB 495/2025.

Variações de compliance por perfil: fintechs, varejistas e ERPs

Fintechs e bancos digitais: precisam definir se vão operar com licença própria de instituição de pagamento, com base na Resolução BCB 494/2025, ou com licença de Sociedade de Crédito Direto, com base na Resolução CMN 4.656/2018. Outra opção é operar sob modelo BaaS, com responsabilidade regulatória atribuída ao parceiro licenciado, em linha com a Resolução Conjunta nº 16/2025. O processo de autorização do Banco Central pode levar de seis a dezoito meses. Nesse intervalo, operar via infraestrutura licenciada de terceiros costuma ser o caminho mais rápido.

Varejistas de grande porte: em geral não possuem licença própria e dependem de parceiros BaaS ou de correspondentes bancários para formalizar operações de BNPL. O ponto crítico é garantir que o contrato com o parceiro licenciado defina com clareza as responsabilidades de KYC, PLD e LGPD. Os contratos existentes precisam ser adaptados até 31 de dezembro de 2026, conforme a Resolução Conjunta nº 16/2025.

ERPs: atuam como distribuidores de crédito para clientes empresariais. Esses provedores precisam avaliar se a modalidade de crédito ofertada exige licença própria ou se o modelo de correspondente bancário é suficiente. Também precisam garantir que os fluxos de dados entre o ERP e o parceiro financeiro estejam cobertos por DPAs e respeitem a LGPD.

Como a Celcoin resolve os principais desafios de compliance em BNPL

A Celcoin não oferece empréstimo direto para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

Para fintechs sem licença própria, a Celcoin disponibiliza licenças de instituição de pagamento e de Sociedade de Crédito Direto. Esse modelo elimina o prazo de seis a dezoito meses do processo de autorização do Banco Central e permite lançar produtos de BNPL de forma imediata dentro do arcabouço regulatório vigente. Para empresas que já possuem licença, a plataforma oferece esteira completa de originação, formalização com emissão de CCBs, gestão de carteira e cobrança, com KYC, AML e relatórios integrados que reduzem o risco regulatório.

O modelo BaaS da Celcoin segue a Resolução Conjunta nº 16/2025, com responsabilidades regulatórias definidas entre a Celcoin e o cliente. A neutralidade da plataforma, sem favorecimento de gestoras de fundos, garante acesso a condições competitivas de originação e reduz conflitos de interesse que podem afetar a governança da operação.

A tabela a seguir mostra como cada funcionalidade da plataforma Celcoin se converte em benefício operacional concreto para sua empresa.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos e reduzem o tempo para geração de receita.
Distribuição white-label e embutida	Suporte a produtos financeiros com marca própria em diferentes jornadas.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável em nuvem mantém serviços ativos em altos volumes e protege a receita.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferta combinada de pagamentos e crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas e melhoram conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e encurtam ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em inteligência artificial e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

Veja como a Celcoin acelera seu lançamento de BNPL.

Perguntas frequentes sobre compliance de BNPL

Uma fintech precisa de licença de instituição de pagamento ou de Sociedade de Crédito Direto para oferecer BNPL no Brasil?

A necessidade de licença depende do modelo de negócio adotado. Se a fintech emite o instrumento de pagamento pós-pago diretamente, assume o risco de crédito e formaliza o contrato com o consumidor, ela se enquadra como emissor de instrumento de pagamento pós-pago e precisa de autorização do Banco Central como instituição de pagamento, nos termos da Resolução BCB 494/2025. Se a fintech concede crédito com recursos próprios por meio de plataforma eletrônica, a licença adequada é a de Sociedade de Crédito Direto, regulada pela Resolução CMN 4.656/2018. Empresas sem licença podem operar via infraestrutura de um parceiro BaaS autorizado, com responsabilidade regulatória atribuída ao parceiro licenciado conforme a Resolução Conjunta nº 16/2025, enquanto o processo de autorização própria avança.

Como a Lei do Superendividamento afeta a operação de BNPL?

A Lei nº 14.181/2021 incluiu no CDC a obrigação de avaliação responsável de crédito antes de qualquer concessão. Em BNPL, o operador precisa consultar bureaus de crédito, verificar o comprometimento de renda do consumidor e garantir que o valor das parcelas não comprometa o mínimo existencial. O Decreto nº 11.150/2022 fixou o mínimo existencial em 25% do salário mínimo, equivalente a R$ 303 mensais na data de publicação. O descumprimento dessas obrigações permite revisão judicial dos encargos contratuais. A boa-fé do consumidor é presumida, e o credor precisa provar eventual má-fé. Por isso, operações de BNPL devem documentar o processo de análise de crédito de forma rastreável para uso em eventuais ações de revisão contratual.

Quais são as obrigações de LGPD específicas para operações de BNPL?

Uma operação de BNPL trata dados pessoais sensíveis, como CPF, renda, histórico de crédito e biometria. Essa operação precisa cumprir obrigações da LGPD como definir base legal para cada atividade de tratamento, em geral obrigação legal para KYC e PLD e legítimo interesse ou consentimento para scoring. Também precisa declarar a finalidade de uso dos dados antes da coleta, aplicar o princípio da minimização, estabelecer prazo de retenção compatível com a Lei nº 9.613/1998, firmar Data Processing Agreements com todos os fornecedores que processam dados e realizar DPIA para modelos de scoring baseados em inteligência artificial. A ANPD pode aplicar multas de até 2% da receita do grupo, limitadas a R$ 50 milhões por infração.

O Open Finance pode ser usado para análise de crédito em BNPL?

O uso de Open Finance em BNPL permite que consumidores compartilhem dados bancários, como extratos, histórico de crédito e fluxo de caixa, com a instituição ofertante de BNPL. Esse compartilhamento exige consentimento explícito, granular e revogável a qualquer momento, com validade por tempo indeterminado ou prazos superiores a 12 meses. Esses dados enriquecem a análise de crédito, em especial para consumidores com histórico limitado em bureaus tradicionais. A instituição que recebe os dados permanece responsável pelo tratamento conforme a LGPD e não pode usar as informações para finalidade diferente da declarada no momento do consentimento. Apenas instituições autorizadas pelo Banco Central participam do ecossistema de Open Finance, o que garante supervisão regulatória e protocolos de segurança padronizados.

O que muda para varejistas que já oferecem parcelamento próprio e querem migrar para BNPL formalizado?

O parcelamento comercial tradicional, em que o próprio varejista financia o consumidor sem intermediação de instituição financeira, não exige licença do Banco Central, mas não permite cessão de recebíveis a fundos de investimento nem emissão de CCBs. A migração para BNPL formalizado exige estruturar a operação via instituição de pagamento ou Sociedade de Crédito Direto, própria ou de parceiro BaaS. Essa mudança traz obrigações de KYC, PLD, disclosure de Custo Efetivo Total e prevenção ao superendividamento. Em contrapartida, o varejista passa a poder securitizar a carteira, acessar funding institucional e escalar o produto sem comprometer o capital de giro próprio. O prazo para adaptar contratos BaaS existentes à Resolução Conjunta nº 16/2025 é 31 de dezembro de 2026.

Conclusão: estruture sua operação de BNPL com segurança e escala

O ambiente regulatório brasileiro para BNPL em 2026 é exigente e está em consolidação. A ausência de lei específica não reduz as obrigações. O CDC, a Lei nº 14.181/2021, as Resoluções BCB 494–497/2025, a LGPD e as regras de PLD/FT formam um conjunto normativo robusto que exige governança, rastreabilidade e infraestrutura tecnológica adequada desde o início da operação.

Fintechs, varejistas e ERPs que desejam oferecer BNPL de forma segura e escalável encontram na parceria com infraestrutura licenciada e full stack um caminho eficiente para cumprir esses requisitos sem desenvolver sistemas proprietários ou aguardar longos processos de autorização. Estruture sua operação de BNPL com a plataforma licenciada da Celcoin.