Como oferecer BaaS em conformidade com Bacen e LGPD

Última atualização: 27 de julho de 2026

Principais lições deste artigo

• A Resolução Conjunta nº 16/2025 do Bacen estabelece regras para Banking as a Service, incluindo licenciamento, segregação de contas e relatórios obrigatórios até 31/12/2026.

• Uma empresa tomadora não precisa de licença própria quando contrata uma prestadora autorizada pelo Bacen, mas precisa garantir conformidade com LGPD e KYC.

• Contas coletivas, o “bolsão”, estão proibidas, e cada usuário final deve ter conta individualizada com segregação patrimonial.

• Processos de KYC/KYB e bases legais da LGPD precisam estar documentados e automatizados, com atenção especial a dados biométricos e sensíveis.

• Para implementar Banking as a Service em conformidade, vale contar com a infraestrutura regulada da Celcoin, conhecendo a solução completa.

Visão geral do guia

Este guia apresenta um roteiro operacional de oito passos para fintechs, ERPs e varejistas que desejam lançar ou regularizar uma operação de Banking as a Service em conformidade com a Resolução Conjunta nº 16/2025 e com a Lei Geral de Proteção de Dados (Lei nº 13.709/2018).

Pré-requisitos: ter decisão estratégica de embarcar serviços financeiros, contar com equipe técnica disponível para integração via API e firmar contrato com uma instituição provedora autorizada pelo Bacen.

Atores envolvidos: a prestadora, que é a instituição autorizada pelo Bacen e responsável regulatória, a tomadora, que é a empresa que distribui os serviços ao cliente final, e o usuário final, que é a pessoa física ou jurídica titular da conta.

Conheça a infraestrutura regulada da Celcoin para iniciar sua operação de Banking as a Service em conformidade.

Passo 1: confirmar o enquadramento regulatório

O que fazer: verificar se os serviços pretendidos estão dentro do rol taxativo da Resolução Conjunta nº 16/2025. Os serviços permitidos pela Resolução Conjunta nº 16/2025 são abertura e manutenção de contas de depósitos ou de pagamento, serviços de adquirência e operações de crédito. Serviços fora desse escopo não podem ser ofertados no modelo Banking as a Service.

Por que importa: a norma restringe a oferta ao que está expressamente previsto. Operar fora do rol sujeita a empresa a medidas do Bacen a partir de 2027.

Resultado esperado: ter mapeamento documentado dos produtos pretendidos com referência ao artigo correspondente da resolução.

Passo 2: selecionar uma prestadora autorizada pelo Bacen

O que fazer: contratar uma instituição com licença de Instituição de Pagamento (IP) ou Instituição Financeira (IF) ativa junto ao Bacen. A tomadora não precisa de licença própria quando contrata uma prestadora devidamente autorizada, pois a responsabilidade regulatória permanece com o provedor.

Por que importa: a responsabilidade perante o Bacen, que inclui governança, gestão de riscos, PLD/FT, segurança da informação e KYC, permanece integralmente com a prestadora de infraestrutura regulada. A tomadora precisa alinhar contratos, fluxos operacionais e governança com esse modelo.

Resultado esperado: ter contrato de Banking as a Service assinado com prestadora homologada, com cláusulas de responsabilidade regulatória claramente definidas.

Passo 3: eliminar contas coletivas e implementar segregação patrimonial

O que fazer: garantir que cada usuário final tenha conta individualizada diretamente com a prestadora. A Resolução Conjunta nº 16/2025 encerra o uso de contas coletivas, o “bolsão”, e exige segregação patrimonial exata para cada participante da cadeia de Banking as a Service.

Por que importa: estruturas de conta-bolsão misturam patrimônio do cliente com o da instituição, o que é vedado pela norma e gera risco sistêmico e de responsabilização solidária.

Resultado esperado: ter arquitetura de contas validada pela prestadora, com rastreabilidade individual de saldos e transações.

Passo 4: estruturar KYC e KYB automatizados

O que fazer: implementar fluxos de onboarding com verificação de identidade, KYC para pessoa física e KYB para pessoa jurídica, baseados em risco. Verificar apenas se um CNPJ está ativo na Receita Federal é insuficiente, e o processo precisa cruzar múltiplas fontes, incluindo verificação de identidade, sócios, processos judiciais e listas de sanções nacionais e internacionais, com todas as etapas documentadas.

Por que importa: quase 48% dos bancos perdem clientes devido à lentidão ou ineficiência nos processos de KYC, segundo pesquisa da Fenergo em 2023. Uma abordagem baseada em risco reduz atrito para clientes de baixo risco e intensifica a diligência nos casos de alto risco.

Checklist mínimo de KYC/KYB:

• Verificação de identidade com biometria facial: base legal do art. 11, II, alínea g da LGPD

• Consulta a listas de sanções: OFAC, ONU e COAF

• Verificação de PEPs e processos judiciais: análise de exposição política e histórico relevante

• Identificação de beneficiário final: UBO para pessoa jurídica

• Monitoramento contínuo: re-checagem periódica de clientes ativos

• Trilha de auditoria: registro rastreável até a fonte dos dados

Resultado esperado: ter fluxo de onboarding automatizado, com revisão manual reservada para casos ambíguos ou de alto risco.

Passo 5: mapear bases legais da LGPD para cada operação de tratamento de dados

O que fazer: documentar a base legal aplicável a cada categoria de dado pessoal tratado na operação de Banking as a Service antes do início do tratamento. A LGPD estabelece dez bases legais no artigo 7º, e a escolha precisa ocorrer antes do início do tratamento e ficar registrada formalmente.

Por que importa: dados biométricos usados em KYC e autenticação não podem ser tratados pelas bases gerais do art. 7º da LGPD. Isso ocorre porque biometria é classificada como dado sensível, o que restringe o tratamento às hipóteses taxativas do art. 11. Dentre essas hipóteses, a alínea g, prevenção a fraudes e segurança em sistemas de identificação eletrônica, é a base mais robusta para autenticação biométrica em Banking as a Service, pois legítimo interesse e proteção ao crédito, comuns para dados não sensíveis, são expressamente proibidos para dados sensíveis.

Resultado esperado: manter o ROPA, Registro de Operações de Tratamento, atualizado, com base legal, finalidade, prazo de retenção e responsável para cada fluxo de dados.

Passo 6: elaborar ou atualizar o RIPD

O que fazer: elaborar o Relatório de Impacto à Proteção de Dados Pessoais, o RIPD, para operações de alto risco, como onboarding com biometria, scoring de crédito com IA e monitoramento em larga escala. O RIPD é obrigatório para operações de alto risco no setor financeiro e deve conter análise de fluxos de dados, riscos à privacidade e medidas de mitigação.

Por que importa: o RIPD precisa ser atualizado sempre que uma nova funcionalidade, novo uso de dados sensíveis ou mudança material de risco ocorrer, e a Resolução CD/ANPD nº 18/2024 atribui ao DPO a tarefa de guiar esse processo. Esse relatório funciona como evidência central em eventuais fiscalizações.

Resultado esperado: manter o RIPD documentado, aprovado pelo DPO e revisado a cada nova funcionalidade que envolva dados sensíveis.

Passo 7: configurar relatórios regulatórios automatizados

O que fazer: garantir que a prestadora gere e transmita os relatórios exigidos pelo Bacen, incluindo DIMP, COSIF, CADOCs, CCS e SCR, de forma automatizada, com conexão direta à Rede do Sistema Financeiro Nacional, RSFN, e ao Sistema de Pagamentos Brasileiro, SPB. Provedores de BaaS autorizados devem apurar capital mínimo por metodologia modular da Resolução Conjunta nº 14/2025 e submeter relatórios trimestrais ao DESUP.

Por que importa: relatórios incorretos ou atrasados geram penalidades diretas. A automação reduz risco operacional, evita retrabalho e melhora a previsibilidade de compliance.

Resultado esperado: ter pipeline de relatórios regulatórios operacional, com envio automático e log de confirmação de recebimento pelo Bacen.

Passo 8: validar, monitorar e preparar a migração para licença própria

O que fazer: após o go-live, implementar monitoramento contínuo de transações, auditorias internas periódicas e revisão do ROPA. Planejar a eventual migração para licença própria sem troca de infraestrutura tecnológica.

Por que importa: práticas recomendadas para compliance em Banking as a Service incluem monitoramento contínuo de transações, auditorias internas periódicas, automação regulatória e centralização da operação em parceiro com infraestrutura autorizada pelo Banco Central. Essa abordagem permite crescer com segurança e preparar o licenciamento próprio quando o volume justificar.

Resultado esperado: manter operação estável, com SLA de disponibilidade acima de 99,5%, zero pendências regulatórias e roadmap de licenciamento próprio documentado.

Agora que os oito passos operacionais estão claros, o próximo passo é entender o contexto regulatório que sustenta essas práticas. As seções a seguir detalham as normas do Bacen e da LGPD que estruturam o modelo de Banking as a Service no Brasil.

Quais são as normas do Banco Central sobre a atividade de Banking as a Service?

A Resolução Conjunta nº 16/2025 define Banking as a Service como a prestação de serviços financeiros por uma instituição autorizada a clientes de uma entidade tomadora por meio de integração tecnológica, permanecendo a prestadora responsável pela relação jurídica com o cliente final, incluindo KYC, prevenção à lavagem de dinheiro e sigilo bancário.

Os principais pontos da norma são:

• Rol taxativo de serviços permitidos, que inclui contas, pagamentos, credenciamento e crédito

• Proibição de contas coletivas e exigência de segregação patrimonial individual

• Vedação à tomadora de usar nomenclatura típica de instituições financeiras ou cobrar tarifas próprias sobre os serviços da prestadora

• Proibição de uma tomadora contratar mais de uma instituição para o mesmo tipo de conta, salvo em conglomerado prudencial

• Prazo de adequação de contratos pré-existentes até 31 de dezembro de 2026

Como a LGPD impacta o setor bancário e financeiro?

A LGPD define dez bases legais para o tratamento de dados pessoais que instituições financeiras devem identificar para cada operação de tratamento. No contexto de Banking as a Service, os impactos mais relevantes são:

• Dados biométricos em KYC: exigem base legal específica do art. 11, sem uso de legítimo interesse ou proteção ao crédito.

• Open Finance: exige consentimento granular, com dashboard para o usuário gerenciar e revogar autorizações por categoria de dado.

• Terceirização de processamento: mantém o controlador solidariamente responsável por danos causados pelo operador, com necessidade de formalizar um DPA com cláusulas de segurança, subcontratação e notificação de incidentes.

• Direitos dos titulares: acesso, retificação, exclusão, portabilidade e revogação de consentimento precisam estar disponíveis como funcionalidades nativas, com prazo de resposta de 15 dias.

• Scoring de crédito com IA: modelos que processem variáveis que revelem dados sensíveis ficam sujeitos ao regime reforçado do art. 11, independentemente da finalidade original de coleta.

Implementar esses requisitos regulatórios, da Resolução Conjunta nº 16/2025 aos controles de LGPD, exige infraestrutura tecnológica robusta e licenças ativas junto ao Bacen. A solução da Celcoin foi desenhada para atender a esse cenário.

A infraestrutura da Celcoin para Banking as a Service em conformidade

A Celcoin opera com portfólio completo de licenças e tecnologia proprietária, oferecendo APIs modulares para que empresas possam prover serviços bancários completos, de contas digitais e cartões a liquidação, compliance e relatórios regulatórios. Fintechs, bancos digitais, ERPs e grandes varejistas podem iniciar utilizando as licenças da Celcoin no modelo Banking as a Service e, depois, migrar para suas próprias licenças com o Core Banking, mantendo a mesma base tecnológica. A Celcoin medeia mais de R$ 30 bilhões em transações mensalmente e atende mais de 6 mil clientes.

A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

A tabela a seguir resume como as funcionalidades da plataforma Celcoin se convertem em benefícios operacionais e financeiros para sua empresa.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes que reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos, melhorando o tempo para geração de receita e competitividade.
Distribuição white-label e embutida, embedded	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Ter solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando mesmo com altos volumes e protege a receita com estabilidade.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferecer pagamentos e emissão de crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas, com impacto em conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

Veja como a Celcoin pode acelerar seu lançamento com APIs modulares e compliance integrado.

Erros comuns e pontos de atenção

• Manter estruturas de conta-bolsão: a Resolução Conjunta nº 16/2025 proíbe contas coletivas, e operações que ainda utilizam esse modelo precisam migrar antes de dezembro de 2026.

• Usar KYC baseado apenas em CNPJ ativo: um CNPJ ativo pode estar vinculado a empresas com histórico de fraude, envolvimento em lavagem de dinheiro ou presença em listas de sanções nacionais e internacionais, o que exige análise mais profunda.

• Escolher base legal incorreta para dados biométricos: usar legítimo interesse ou proteção ao crédito para tratar biometria configura não conformidade direta com o art. 11 da LGPD e se tornou um dos principais gatilhos de fiscalização da ANPD.

• Manter o ROPA desatualizado: a ausência de documentação da base legal correta para cada operação de tratamento de dados sensíveis esteve entre os principais gatilhos de fiscalização da ANPD em 2024, o que reforça a necessidade de atualização contínua.

• Gerar relatórios regulatórios de forma manual: erros em DIMP, COSIF ou CCS geram penalidades diretas, e a automação via infraestrutura da prestadora reduz esse risco.

• Manter KYC estático: o KYC precisa ser contínuo e incluir re-checagens periódicas, pois contrapartes podem mudar após o onboarding inicial, o que altera o perfil de risco.

Critérios de sucesso e validação

• Prazo de implementação: operações simples podem entrar em produção em uma semana, enquanto migrações complexas podem levar até três meses.

• Aderência regulatória: manter zero pendências junto ao Bacen, ANPD ou Receita Federal, com contratos adaptados à Resolução Conjunta nº 16/2025 antes de 31 de dezembro de 2026.

• Estabilidade operacional: alcançar SLA de disponibilidade acima de 99,5%, com pipeline de relatórios regulatórios e envio automático confirmado.

• Proteção de dados: manter o ROPA atualizado, elaborar o RIPD para operações de alto risco e formalizar o DPA com a prestadora.

• KYC/KYB: garantir trilha de auditoria rastreável para 100% dos onboardings e manter monitoramento contínuo ativo para clientes de médio e alto risco.

Ferramentas e modelos de apoio

Para estruturar a operação com segurança, as seguintes ferramentas ajudam a organizar responsabilidades e evidências:

• ROPA, Registro de Operações de Tratamento: tabela viva com categoria de dado, finalidade, base legal, prazo de retenção, controlador e operador.

• Checklist de adequação à Resolução Conjunta nº 16/2025: verificação de rol de serviços, segregação de contas, cláusulas contratuais e relatórios regulatórios.

• Matriz de base legal LGPD: mapeamento de cada fluxo de dados com a base legal aplicável, art. 7º para dados comuns e art. 11 para dados sensíveis.

• DPA, Data Processing Agreement: contrato com a prestadora definindo objeto, duração, tipos de dados, medidas de segurança, subcontratação, notificação de incidentes e direitos de auditoria.

• Sandbox da prestadora: ambiente de testes para validar integrações antes do go-live em produção.

Próximos passos

O mercado brasileiro de Banking as a Service foi avaliado em US$ 1,47 bilhão em 2024, com projeção de US$ 4,78 bilhões até 2035 e CAGR de 11,3%. Empresas que estruturarem sua operação em conformidade com a Resolução Conjunta nº 16/2025 e com a LGPD antes do prazo de dezembro de 2026 tendem a ter vantagem competitiva em um mercado que deve se concentrar em provedores com infraestrutura regulatória robusta.

O caminho mais direto é iniciar com as licenças de uma prestadora autorizada, validar a operação em produção e, quando o volume justificar, migrar para licença própria sem trocar de infraestrutura tecnológica, que é exatamente o modelo que a Celcoin oferece.

Inicie sua operação de Banking as a Service com a Celcoin e garanta conformidade desde o primeiro dia.

Perguntas frequentes

Uma empresa sem licença do Bacen pode oferecer Banking as a Service?

Sim. A Resolução Conjunta nº 16/2025 permite que uma tomadora opere serviços financeiros sem licença própria, desde que contrate uma prestadora devidamente autorizada pelo Banco Central. A responsabilidade regulatória, que inclui KYC, PLD/FT, sigilo bancário e relatórios ao Bacen, permanece integralmente com a prestadora licenciada. A tomadora responde por LGPD, Código de Defesa do Consumidor e falhas operacionais em sua camada de distribuição.

Qual é o prazo para adequação à Resolução Conjunta nº 16/2025?

O prazo vai até 31 de dezembro de 2026, conforme estabelecido pela norma. Após essa data, operações que não estiverem em conformidade podem ficar sujeitas a medidas regulatórias.

O que são contas coletivas e por que estão proibidas?

Contas coletivas, também chamadas de “bolsão”, são estruturas em que os recursos de múltiplos clientes ficam agrupados em uma única conta titularizada pela tomadora. A Resolução Conjunta nº 16/2025 proíbe esse modelo porque ele mistura o patrimônio dos clientes com o da instituição, gerando risco sistêmico e dificultando a rastreabilidade individual de saldos. Cada usuário final precisa ter conta individualizada com segregação patrimonial, abertura diretamente com a prestadora autorizada.

Dados biométricos coletados no KYC precisam de base legal diferente dos demais dados pessoais?

Sim. A biometria é classificada como dado sensível pela LGPD, o que veda o uso das bases legais do art. 7º, como legítimo interesse e proteção ao crédito. O tratamento de dados biométricos fica restrito às hipóteses taxativas do art. 11. Para autenticação em Banking as a Service, a base mais robusta é a alínea g do art. 11, que cobre prevenção a fraudes e segurança em sistemas de identificação eletrônica. Essa base precisa estar documentada no ROPA antes do início do tratamento.

O que é o RIPD e quando ele deve ser elaborado?

O RIPD é o Relatório de Impacto à Proteção de Dados Pessoais, um documento que descreve os fluxos de dados de uma operação, os riscos à privacidade identificados e as medidas adotadas para mitigá-los. Ele é obrigatório para operações classificadas como de alto risco, como onboarding com biometria, scoring de crédito com IA e monitoramento em larga escala. O RIPD precisa ser aprovado pelo DPO e atualizado sempre que uma nova funcionalidade envolver dados sensíveis ou quando houver mudança material de risco.

Uma tomadora pode contratar mais de uma prestadora para o mesmo tipo de conta?

Não. A Resolução Conjunta nº 16/2025 veda que uma tomadora contrate mais de uma instituição para o mesmo tipo de conta, como duas contas de pagamento distintas, salvo quando as partes integram o mesmo conglomerado prudencial. Essa restrição visa evitar fragmentação regulatória e garantir clareza na responsabilidade da prestadora perante o Bacen.

Uma tomadora pode usar nomenclatura de instituição financeira para identificar seus produtos?

Não. A norma veda que a tomadora use termos típicos de instituições financeiras, como “banco” ou “financeira”, para identificar seus produtos ou serviços no modelo Banking as a Service. Além disso, a tomadora não pode cobrar tarifas próprias sobre os serviços prestados pela instituição provedora. O descumprimento dessas vedações pode ser enquadrado como operação irregular perante o Bacen.

Quais relatórios regulatórios uma prestadora de Banking as a Service precisa enviar ao Bacen?

Entre os principais relatórios exigidos estão DIMP, COSIF, CADOCs, CCS e SCR. A transmissão deve ser feita de forma automatizada, com conexão direta à RSFN e ao SPB. Provedores autorizados também precisam apurar capital mínimo pela metodologia modular da Resolução Conjunta nº 14/2025 e submeter relatórios trimestrais ao DESUP. O envio incorreto ou em atraso gera penalidades diretas, o que torna a automação via infraestrutura da prestadora uma condição operacional, não apenas uma conveniência.

Conclusão

Estruturar uma operação de Banking as a Service em conformidade com a Resolução Conjunta nº 16/2025 e a LGPD exige decisões técnicas e jurídicas concretas: eliminar contas coletivas, documentar bases legais para dados sensíveis, automatizar relatórios regulatórios e manter KYC contínuo. Cada um desses requisitos tem prazo, responsável e evidência esperada em eventual fiscalização.

O diferencial competitivo, nesse cenário, não está apenas em lançar produtos financeiros rapidamente, mas em fazê-lo com infraestrutura que suporte crescimento sem gerar passivo regulatório. Empresas que resolverem conformidade como parte da arquitetura, e não como correção posterior, chegam ao prazo de dezembro de 2026 com operação validada e base para escalar.

Conheça a infraestrutura regulada da Celcoin e inicie sua operação de Banking as a Service em conformidade.