Como a infraestrutura aberta conecta vários provedores de pagamento

As Especificações de API do Open Banking definem os métodos e parâmetros que permitem interações entre os participantes do ecossistema fintech. No Reino Unido, os provedores de contas de pagamento acessíveis online devem dar aos provedores de informações sobre contas e de iniciação de pagamento acesso a essas contas, com o consentimento e a autenticação do usuário. Se sua camada presta serviços de iniciação de pagamento, ela deve ser autorizada antes de se conectar.

Como a infraestrutura aberta permite que uma única integração se conecte a vários provedores de pagamento?

As Especificações de API do Open Banking definem os métodos e parâmetros que permitem a interação entre os participantes do ecossistema fintech. Sua API de leitura/escrita é um conjunto de APIs RESTful que permite a provedores terceiros acessar informações e iniciar pagamentos em nome de clientes, conectando-se de forma segura, eficiente e com consentimento do cliente a provedores de serviços de conta.

Os provedores de contas de pagamento acessíveis online devem permitir que provedores terceiros acessem as contas dos usuários, com consentimento explícito do usuário; portanto, o dever de acesso recai sobre o lado da conta.

O acesso está limitado às contas de pagamento acessíveis online, e todo acesso exige o consentimento e a autenticação do usuário.

Qual status regulatório no Reino Unido uma camada precisa ter quando inicia pagamentos a partir de contas mantidas em outros provedores?

Uma camada que inicia pagamentos a partir de contas mantidas em outro prestador de serviços de pagamento precisa ser um prestador de serviços de iniciação de pagamento. Segundo os Payment Services Regulations 2017, um serviço de iniciação de pagamento é um serviço online que inicia uma ordem de pagamento a pedido de um usuário de serviços de pagamento, com o consentimento e a autenticação desse usuário. Os Regulamentos passaram a submeter pela primeira vez os serviços de iniciação de pagamento e de informações sobre contas à regulação.

A Financial Conduct Authority é responsável por garantir que os prestadores de informações sobre contas e de iniciação de pagamento estejam registrados ou autorizados. Segundo a FCA, uma empresa que presta serviços de iniciação de pagamento deve ser autorizada e deve ter capital inicial mínimo de €50,000, ou mais se prestar determinados outros serviços de pagamento. Você também deve manter seguro de responsabilidade civil profissional, como devem fazer os prestadores de informações sobre contas e de iniciação de pagamento.

O limite de capital aplica-se aos prestadores de iniciação de pagamento; portanto, verifique o status que sua camada efetivamente exerce antes de presumir um registro mais leve.

Quais requisitos de segurança, autenticação e consentimento se aplicam à conexão de provedores por meio de infraestrutura compartilhada?

Cada prestador de serviços de pagamento deve manter medidas de segurança adequadas para proteger a confidencialidade e a integridade das credenciais de segurança personalizadas dos usuários.

Um prestador de serviços de conta deve permitir que um prestador de iniciação de pagamento ou de informações sobre contas se apoie nos procedimentos de autenticação que ele forneceu ao usuário. Após a saída do Reino Unido da UE, a FCA editou normas técnicas do Reino Unido sobre autenticação forte do cliente e meios comuns e seguros de comunicação (SCA-RTS). A EBA desenvolveu normas técnicas de regulamentação que estabelecem padrões para comunicações comuns e seguras entre ASPSPs e AISPs ou PISPs.

Um prestador de serviços de conta pode negar acesso a um prestador de iniciação de pagamento ou de informações sobre contas somente por motivos razoavelmente justificados e devidamente comprovados relacionados a acesso não autorizado ou fraudulento, inclusive iniciação não autorizada ou fraudulenta de uma operação de pagamento. Um prestador de serviços de pagamento de conta pode negar acesso por motivos razoavelmente justificados e devidamente comprovados relacionados a acesso não autorizado ou fraudulento; portanto, construa sua conexão de modo que qualquer negativa possa ser rastreada até esse tipo de motivo comprovado.

Quais são as datas de vigência dessas normas e regras, distintas de suas datas de emissão?

O instrumento britânico SCA-RTS foi editado em 26 de novembro de 2020, publicado pela Financial Conduct Authority, e entrou em vigor no IP completion day, ou seja, às 11h de 31 de dezembro de 2020, imediatamente após a entrada em vigor do regulamento 106A dos Payment Services Regulations 2017. As regras de resiliência operacional da Financial Conduct Authority passaram a valer em 31 de março de 2022, e uma disposição transitória concede às empresas até 31 de março de 2025 para permanecer dentro de suas tolerâncias de impacto. Segundo a Open Banking Limited, a página das Especificações de API lista a versão 4.0.1 como a versão mais recente, datada de 18 de março de 2026; portanto, confirme a versão visada pela sua integração com base nessa listagem.

Os deveres de resiliência em si são tratados no artigo anterior deste site; trate, portanto, estas datas como os prazos a verificar antes de conectar.

Datas-chave das normas e regras por trás de uma conexão com vários provedores

Fontes

• API Specifications, Open Banking Limited, 2019-07-26T00:00:00.000Z
• Account information services (AIS) and payment initiation services (PIS), FCA, First published: 02/02/2017; Last updated: 17/09/2024
• The Payment Services Regulations 2017, legislation.gov.uk, consultado em 2 de novembro de 2026
• TECHNICAL STANDARDS ON STRONG CUSTOMER AUTHENTICATION AND COMMON AND SECURE METHODS OF COMMUNICATION INSTRUMENT 2020, Financial Conduct Authority, 26 de novembro de 2020
• OPERATIONAL RESILIENCE INSTRUMENT 2021, Financial Conduct Authority, 25 de março de 2021