Como escolher provedores white label com segurança

Última atualização: 22 de agosto de 2026

Principais lições deste artigo

• Verificar licenças do Banco Central e segregação patrimonial para reduzir riscos regulatórios, multas e perda de recursos de clientes.

• Exigir certificações ISO 27001, PCI DSS e relatórios de pentest recentes com escopo alinhado ao produto contratado.

• Confirmar motor KYC/AML em tempo real com baixa taxa de falsos positivos, trilha de auditoria completa e latência compatível com Pix.

• Analisar arquitetura de APIs, mapeamento LGPD, plano de incidentes, cláusulas de saída e evidências de resiliência operacional como critérios eliminatórios.

• Aplicar um checklist estruturado em oito frentes para avaliar provedores BaaS e de Core Banking antes da contratação.

• Usar o histórico de incidentes, SLAs e testes de continuidade para medir a maturidade operacional do fornecedor.

• Planejar desde o início a portabilidade de dados e a migração assistida para evitar lock-in técnico e regulatório.

• Conhecer a infraestrutura completa da Celcoin para contas digitais white label e avaliar como ela atende aos oito critérios de due diligence apresentados neste artigo.

Riscos regulatórios e de fraude ao escolher provedores white label

62% das organizações brasileiras registraram ao menos um incidente de segurança nos últimos 12 meses, superando a média latino-americana de 52,7%, segundo o ESET Security Report 2026. No setor bancário e financeiro, dois terços das instituições relataram ataques no mesmo período. Relatórios da Check Point Research mostram que organizações brasileiras sofreram em média milhares de ataques cibernéticos por semana em 2026, por exemplo 4.001 em junho, volume superior à média global.

Para fintechs, varejistas e ERPs que adotam infraestrutura white label, o risco é regulatório, financeiro e operacional. A escolha de um provedor sem due diligence adequada pode resultar em multas, perda de controle patrimonial, responsabilidade solidária por fraudes e interrupção de serviços essenciais. Uma due diligence estruturada em oito frentes reduz esses riscos antes da contratação e cria base objetiva para comparação entre fornecedores.

Conceitos essenciais: BaaS, Core Banking, segregação patrimonial, Resolução BCB 85/2026 e suboperadores

Banking as a Service (BaaS): modelo em que uma instituição licenciada disponibiliza sua infraestrutura regulatória e tecnológica para que terceiros ofereçam serviços financeiros com marca própria, sem precisar obter licença própria.

Core Banking: infraestrutura bancária completa que permite a uma instituição já licenciada operar com suas próprias autorizações, integrando gestão de contas, liquidação, relatórios regulatórios e compliance em um único ambiente.

Segregação patrimonial: obrigação de manter separação clara entre os recursos próprios da instituição e os ativos dos clientes, com políticas internas documentadas e auditorias independentes anuais.

Resolução BCB 85/2026: normativa do Banco Central que atualiza requisitos de autorização, controles de compliance, segregação patrimonial e responsabilidades de suboperadores para provedores de contas digitais e serviços financeiros white label.

Suboperadores: terceiros contratados pelo provedor principal para executar funções tecnológicas, operacionais ou comerciais. A instituição licenciada mantém responsabilidade integral perante clientes, usuários e o regulador, independentemente das funções delegadas a suboperadores.

Como avaliar licenças e autorização do Banco Central com segregação patrimonial

O primeiro item do checklist é confirmar que o provedor detém autorização vigente do Banco Central como Instituição de Pagamento (IP) ou Instituição Financeira (IF). A licença não pode servir de cobertura formal para que terceiros não autorizados executem atividades reguladas. A instituição licenciada deve reter controle efetivo sobre onboarding, KYC/AML, custódia, segregação de ativos e gestão de riscos.

• Solicitar o número de autorização e verificar no cadastro público do Banco Central.

• Confirmar a existência de contas individualizadas por cliente, evitando estruturas de conta-bolsão, que são irregulares e tendem a ser proibidas pelas normativas vigentes.

• Exigir evidência de auditoria independente anual sobre a segregação patrimonial, conforme a Resolução BCB 85/2026.

• Verificar participação direta no Sistema de Pagamentos Brasileiro (SPB) e na Rede do Sistema Financeiro Nacional (RSFN).

Como avaliar certificações ISO 27001, PCI DSS e relatórios de pentest recentes

ISO 27001 deve ser exigida para operações em ambientes regulados, pois cobre um Sistema de Gestão de Segurança da Informação distinto e não intercambiável com SOC 2. O escopo do certificado deve corresponder exatamente aos produtos e à infraestrutura contratados.

Sob o PCI DSS 4.0, testes de penetração externos e internos devem ocorrer ao menos uma vez por ano e após qualquer mudança significativa na infraestrutura, com metodologia documentada cobrindo todo o ambiente de dados do portador de cartão.

• Solicitar o certificado ISO 27001 com escopo explícito e data de validade.

• Exigir o relatório de pentest mais recente, com data, escopo, empresa executora e evidências de remediação das vulnerabilidades críticas.

• Tratar relatórios auto-atestados, whitepapers de segurança ou materiais de marketing sem evidência de auditoria como lacunas, não como aprovações.

• Confirmar reteste após remediação, não apenas encerramento em planilha.

Como avaliar motor KYC/AML e monitoramento em tempo real

O motor KYC/AML é o núcleo da prevenção à lavagem de dinheiro em contas digitais white label. Uma solução AML robusta cobre pelo menos 1.500 listas de sanções e PEPs em mais de 200 jurisdições, com atualização diária como padrão e em tempo real como ideal.

• Verificar a taxa de falsos positivos após calibração, com benchmark aceitável abaixo de 5%.

• Confirmar que o motor de monitoramento de transações oferece no mínimo 50 cenários de detecção pré-configurados e suporte a criação de regras customizadas sem código.

• Garantir latência de detecção de fraude em tempo real inferior a 100ms para se adequar à janela de liquidação do Pix.

• Exigir trilha de auditoria completa para cada decisão, com explicabilidade das regras e modelos de IA.

• Tratar como sinal de alerta alegações vagas de “cobertura global” sem bases de dados por jurisdição e recusa em fornecer benchmarks de falsos positivos de clientes comparáveis.

Como avaliar arquitetura de APIs (OAuth 2.0, rate-limiting, proteção contra replay)

A arquitetura de APIs de uma plataforma BaaS deve incluir APIs RESTful documentadas, balanceamento de carga, autoscaling, SLA de uptime detalhado e recursos de observabilidade para suporte à resposta proativa a incidentes.

• Confirmar autenticação OAuth 2.0 com tokens de curta duração e rotação automática.

• Verificar implementação de rate-limiting por cliente e por endpoint para prevenir abuso.

• Exigir proteção contra ataques de replay por meio de nonces ou timestamps validados.

• Garantir documentação em OpenAPI 3.0 ou superior, com sandbox disponível, e tempo médio de integração entre 8 e 16 semanas para integrações complexas.

• Solicitar evidência de criptografia end-to-end em trânsito com TLS 1.2 ou superior e em repouso.

Como avaliar mapeamento LGPD (controlador x operador) e lista de suboperadores

Sob o artigo 39 da LGPD, controladores e operadores devem manter contrato escrito que especifique instruções de tratamento, obrigações de segurança, confidencialidade, suporte a direitos dos titulares e obrigações de devolução ou exclusão de dados ao término do contrato.

• Garantir que o contrato liste explicitamente os suboperadores que o fornecedor utiliza ao tratar dados pessoais.

• Exigir o Registro de Atividades de Tratamento (RoPA) atualizado, mapeando cada categoria de dado, finalidade, base legal e suboperador envolvido.

• Verificar a localização de armazenamento de objetos, backups, logs, chaves de criptografia, acesso de suporte e sistemas de monitoramento, não apenas a região do banco de dados principal.

• Confirmar que mudanças de suboperadores são rastreadas com responsável designado, conforme exigido pelas regras da ANPD.

• Garantir atendimento aos direitos de portabilidade de dados em formato estruturado e legível por máquina, como JSON ou CSV.

Como avaliar plano de resposta a incidentes com SLA e prazos de notificação

Um SLA contratual de notificação de violação de 72 horas a partir da descoberta é o padrão mínimo a negociar para incidentes envolvendo dados pessoais.

• Solicitar o plano de resposta a incidentes documentado, com papéis, responsabilidades e fluxo de escalonamento.

• Verificar o histórico de incidentes dos últimos 24 meses, incluindo frequência, tempo médio de detecção (MTTD) e tempo médio de resolução (MTTR).

• Confirmar integração do plano com as obrigações de notificação à ANPD previstas na LGPD.

• Exigir SLA de disponibilidade com penalidades contratuais em caso de descumprimento.

Como avaliar cláusulas contratuais de saída, portabilidade de dados e tempo de migração

A Resolução BCB 85/2026 reforça a necessidade de cláusulas de saída que garantam continuidade operacional e portabilidade de dados sem dependência do provedor. Contratos sem essas cláusulas criam risco de lock-in regulatório e operacional.

• Exigir prazo máximo documentado para exportação completa de dados após rescisão, em formato estruturado.

• Verificar existência de cláusula de migração assistida com suporte técnico dedicado.

• Confirmar que formatos de exportação são abertos e não proprietários, evitando custos de migração que podem variar de R$ 200 mil a R$ 1,2 milhão em plataformas com formatos proprietários.

• Solicitar referências de clientes que já realizaram migração e o tempo efetivo do processo.

Como avaliar evidências de resiliência operacional (SLA, redundância, histórico de incidentes)

Além dos SLAs de API mencionados anteriormente, uma plataforma BaaS deve apresentar SLA de uptime documentado para toda a infraestrutura, balanceamento de carga, autoscaling e recursos de observabilidade para suporte à resposta proativa a incidentes. A resiliência operacional funciona como critério eliminatório no checklist de segurança BaaS Brasil.

• Solicitar o histórico de disponibilidade dos últimos 12 meses com evidências de uptime superior a 99,9%.

• Confirmar arquitetura multi-zona ou multi-região com failover automático.

• Verificar testes de continuidade de negócios (BCP/DR) realizados nos últimos 12 meses.

• Exigir monitoramento contínuo com alertas em tempo real e logs auditáveis.

Security Due Diligence Pack

A tabela a seguir consolida as oito frentes do checklist para uso direto em processos de avaliação de fornecedores:

Frente	O que verificar	Evidência mínima exigida
1. Licenças e segregação patrimonial	Autorização BCB vigente, contas individualizadas, vedação a conta-bolsão	Número de autorização BCB, auditoria independente anual
2. Certificações e pentest	ISO 27001 com escopo correto, PCI DSS 4.0, relatório de pentest anual	Certificado vigente, relatório de pentest com remediação documentada
3. Motor KYC/AML	Cobertura de listas, taxa de falsos positivos, latência de detecção	Benchmark de falsos positivos abaixo de 5%, trilha de auditoria completa
4. Arquitetura de APIs	OAuth 2.0, rate-limiting, proteção contra replay, TLS 1.2+	Documentação OpenAPI 3.0+, sandbox disponível
5. Mapeamento LGPD	Contrato com suboperadores listados, RoPA atualizado, portabilidade em JSON/CSV	Contrato LGPD-compliant, RoPA datado e versionado
6. Resposta a incidentes	Plano documentado, SLA de notificação em 72h, histórico de incidentes	Plano de IR, MTTD e MTTR dos últimos 24 meses
7. Cláusulas de saída	Prazo de exportação, formato aberto, migração assistida	Cláusula contratual de saída, referências de migração
8. Resiliência operacional	SLA de uptime, arquitetura multi-zona, testes BCP/DR	Histórico de disponibilidade 12 meses, relatório de teste DR

Funcionalidades da Celcoin

A Celcoin opera com portfólio completo de licenças e tecnologia proprietária, mediando mais de R$ 30 bilhões em transações por mês e atendendo mais de 6 mil clientes entre fintechs, bancos digitais, ERPs e varejistas. A infraestrutura cobre as oito frentes do checklist de segurança, com KYC/AML integrado, relatórios regulatórios automatizados para Banco Central, Receita Federal e SUSEP, e APIs modulares documentadas com sandbox.

A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

A tabela a seguir mostra como cada funcionalidade do banking da Celcoin se traduz em benefícios operacionais e financeiros para a sua empresa:

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes que reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos, melhorando o tempo para geração de receita e competitividade.
Distribuição white label e embutida	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando mesmo com altos volumes, protegendo sua receita.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferta de pagamentos e emissão de crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas, com impacto direto em conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

Boas práticas, erros comuns e aplicações

Boas práticas: iniciar a due diligence antes da negociação comercial, envolver equipes jurídica, de segurança e de produto ao mesmo tempo e documentar cada evidência coletada com data e versão do documento recebido.

Erros comuns: aceitar certificações com escopo diferente do produto contratado, não verificar a lista de suboperadores sob LGPD, ignorar cláusulas de saída até o momento da rescisão e avaliar apenas o preço sem considerar o custo regulatório de uma escolha inadequada.

Aplicações práticas: fintechs em estágio inicial podem usar o checklist para qualificar provedores BaaS antes do primeiro contrato. Varejistas e ERPs podem aplicá-lo ao avaliar expansão para serviços financeiros embarcados. Bancos digitais em processo de obtenção de licença própria podem usá-lo para garantir que a infraestrutura de Core Banking suporte a transição sem troca de plataforma.

Descubra a infraestrutura completa do banking da Celcoin para fintechs, bancos digitais, gestoras de fundos, varejistas e ERPs.

Perguntas frequentes

O que é a Resolução BCB 85/2026 e como ela afeta plataformas white label?

A Resolução BCB 85/2026 atualiza os requisitos do Banco Central para autorização, segregação patrimonial e controles de compliance aplicáveis a provedores de contas digitais e serviços financeiros white label. A norma exige que a instituição licenciada retenha controle efetivo sobre todas as atividades reguladas, mesmo quando funções operacionais são delegadas a suboperadores. Plataformas white label que não atendem a esses requisitos expõem seus clientes a risco de descontinuidade regulatória e multas.

Qual a diferença entre BaaS e Core Banking no contexto de contas digitais white label?

No modelo BaaS, a empresa contratante opera sob a licença do provedor, sem precisar obter autorização própria do Banco Central. No Core Banking, a empresa já possui sua própria licença como IP ou IF e utiliza a infraestrutura tecnológica do provedor para operar com eficiência, compliance automatizado e escalabilidade. A Celcoin oferece ambos os modelos, o que permite que empresas iniciem no BaaS e migrem para o Core Banking sem trocar de plataforma à medida que obtêm suas próprias licenças.

Como verificar se um provedor white label cumpre os requisitos de KYC/PLD para contas digitais no Brasil?

A verificação deve incluir confirmação de cobertura de listas de sanções e PEPs com atualização diária, taxa de falsos positivos documentada abaixo de 5%, trilha de auditoria completa para cada decisão de onboarding, capacidade de monitoramento de transações em tempo real com latência inferior a 100ms e integração com relatórios regulatórios exigidos pelo Banco Central. Solicite benchmarks de clientes comparáveis e recuse fornecedores que não compartilhem esses dados.

Quais cláusulas contratuais são obrigatórias sob a LGPD para contratos com provedores de contas digitais?

O contrato deve especificar instruções de tratamento de dados pessoais, obrigações de segurança e confidencialidade, suporte ao exercício de direitos dos titulares, lista de suboperadores utilizados, formato e prazo para devolução ou exclusão de dados ao término do contrato e mecanismo de portabilidade em formato estruturado como JSON ou CSV. A ausência de qualquer desses elementos configura lacuna de conformidade com a LGPD e pode gerar responsabilidade solidária para o controlador.