Glossário Open Banking & DSP2

Protocolo de autenticação forte para pagamentos com cartão na internet. A versão atual, o 3DS2, permite biometria, pagamentos frictionless e a aplicação das isenções de SCA.

Sistema nacional de identidade digital da Índia gerido pela UIDAI, que atribui um número único de 12 dígitos a mais de 1,3 bilhão de indianos. Modelo de identidade em massa que se tornou a base da inclusão bancária (India Stack) e inspiração para o eIDAS 2 / EUDI Wallet.

O regulador francês de bancos, seguradoras e fintechs. É a ACPR que concede as autorizações de PSP, AISP e PISP — e que pode revogá-las.

No modelo de quatro pontas dos pagamentos com cartão, o emissor é o banco do portador e o adquirente é o do lojista. Dois papéis simétricos, mas dois negócios bem diferentes na prática.

Modelo que permite a um ator não autorizado distribuir os serviços de um PSP (IP ou EME) sob sua própria marca, apoiando-se na autorização do 'principal'. Padrão do Banking-as-a-Service.

Serviço básico de um AISP: reunir em um só lugar os dados das contas do PSU mantidas em vários bancos. Camada comum sob PFM, BFM, scoring e embedded finance.

Prestador autorizado que lê suas contas bancárias — saldos e transações — com o seu consentimento. Ele consulta, nunca inicia um pagamento.

A família de obrigações que impõem aos atores financeiros conhecer seus clientes (KYC), monitorar suas transações e reportar qualquer operação suspeita ao TRACFIN. Enquadrada pelas diretivas AML europeias e pelo futuro regulamento AMLR / autoridade AMLA.

Fraude na qual a vítima é manipulada para autorizar ela mesma uma transferência para uma conta controlada pelo fraudador. Alvo nº 1 das transferências instantâneas e do SCT Inst, com teto previsto pelo PSR / reforma de 2026.

É o banco. Ele detém suas contas e tem a obrigação, desde a PSD2, de expor seus dados e funções de pagamento aos TPP que você autoriza.

Modelo em que uma instituição de crédito ou EME expõe suas autorizações e sua infraestrutura (contas, cartões, pagamentos) via API a fintechs ou marcas não bancárias. Treezor, Swan, Solaris, Modulr na Europa.

Banco central francês. Além da política monetária, ele abriga a ACPR, opera os sistemas de pagamento nacionais e zela pela estabilidade financeira.

Consórcio europeu de bancos e provedores que mantém a norma NextGenPSD2 — o padrão de API da PSD2 mais difundido na Europa, fora da França.

Código SWIFT internacional que identifica um banco (8 ou 11 caracteres). Não é mais obrigatório no SEPA desde 2016, mas é indispensável para transferências internacionais fora da zona do euro.

Solução de pagamento que permite ao consumidor comprar imediatamente e pagar depois, geralmente em 3 a 12 parcelas sem juros ou de forma diferida. Mercado dominado por Klarna, Alma, Younited Pay, FLOA e PayPal Pay in 4. Sujeito a uma supervisão reforçada pela diretiva Consumer Credit Directive 2 (CCD2).

Fintech francesa que fornece APIs de agregação bancária (AISP) e de iniciação de pagamento (PISP). Marca B2B originada da Bankin' (Perspecteev SAS), separada do segmento de varejo em 2022, com a entrada do Groupe BPCE e da Truffle Capital no capital.

Método de concessão de crédito baseado na análise dos fluxos bancários reais (AIS), em vez de apenas holerites e bureaus. Permite avaliar perfis mal cobertos (freelancers, tomadores de primeira viagem, PMEs).

Etapa que transforma um descritivo bruto ("CB CARREFOUR 23/04") em uma categoria útil ("Alimentação › Supermercado"). Bloco invisível, mas crítico para PFM, BFM, scoring e contabilidade automática.

O esquema (scheme) de pagamento com cartão histórico da França, operado pelo GIE CB. A maioria dos cartões na França é co-badged CB + Visa ou CB + Mastercard, com roteamento prioritário pela CB no âmbito doméstico.

Emissor de um cartão lastreado em uma conta mantida em outro banco. Antes de cada pagamento, ele faz a esse banco uma única pergunta: "os fundos estão disponíveis?"

Regime australiano de Open Data que abrange bancos, energia e, em breve, telecomunicações. Mais amplo que a PSD2 desde o início, introduz a noção de "Action Initiation", que vai além da iniciação de pagamento clássica.

Procedimento regido pelos esquemas de cartão que permite a um portador, por meio de seu banco emissor, contestar uma transação e obter o estorno automático. Risco econômico importante para os comerciantes do e-commerce.

Status francês para aconselhar um cliente sobre instrumentos financeiros (ações, fundos, contratos financeiros). Inscrição na ORIAS e filiação a uma associação profissional credenciada pela AMF.

O executivo da União Europeia. É ela que propõe as diretivas e os regulamentos (PSD2, PSD3, FIDA, MiCA…) que estruturam toda a fintech europeia.

Regulamento europeu em vigor desde janeiro de 2025 que impõe a todos os participantes financeiros — bancos, fintechs, seguradoras, CASPs — um marco rigoroso de resiliência de TI.

Diretiva europeia que entrou em vigor em 2018 e criou o Open Banking na Europa: obriga os bancos a abrir suas APIs e deu origem aos AISP, PISP e CBPII.

Sucessora da DSP2, proposta em junho de 2023. Reforça o combate à fraude, eleva a qualidade de API esperada e esclarece as responsabilidades. Aplicação prevista: 2026–2027.

A autoridade bancária europeia. Ela escreve as normas técnicas (RTS) e as guidelines que todos os bancos e fintechs do EEE devem aplicar.

O 'banco' clássico no sentido regulatório: único status autorizado a receber depósitos do público e a conceder crédito. Autorização da ACPR + BCE para os maiores.

Regulamento (UE) 2024/1183 que moderniza o marco eIDAS de 2014, criando a carteira europeia de identidade digital (EUDI Wallet) de reconhecimento obrigatório pelos Estados-membros e pelos grandes players privados a partir de 2026-2027.

Terceiro de confiança qualificado que emite os certificados QWAC e QSealC de que cada TPP precisa para se identificar junto aos bancos europeus.

Integração nativa de serviços financeiros (conta, pagamento, crédito, seguro) em um produto não financeiro. A Uber paga seus motoristas com uma carteira integrada; a Shopify oferece crédito aos seus lojistas.

Status específico para emitir e gerir moeda eletrônica: wallets, cartões pré-pagos, contas de Banking-as-a-Service. Treezor, Swan e Sumeria são EME franceses.

EMV é o padrão mundial dos cartões com chip (1996, Europay-Mastercard-Visa) que eliminou a fraude por cópia da tarja magnética. NFC é a camada de rádio sem contato (contactless) que se apoia no EMV.

Camada acima da categorização: adiciona logo do estabelecimento, ficha da empresa, MCC, geolocalização, identificador de estabelecimento normalizado, identificação da assinatura, etc.

Status criado pela DSP1 para atores especializados em serviços de pagamento (transferências, débitos diretos, adquirência, AIS, PIS) sem depósito nem crédito. Caso típico: Lydia, Qonto, Fintecture, Bridge.

Aplicação móvel fornecida por cada Estado-membro, contendo a identidade oficial do cidadão, seus atributos verificados (habilitação, diploma, etc.) e uma chave de assinatura qualificada. Bloco operacional do eIDAS 2.

Perfil de segurança OAuth 2.0 / OpenID Connect projetado especialmente para APIs financeiras. Padronizado pela OpenID Foundation, o FAPI 1.0 (final em 2021) e o FAPI 2.0 (final em 2024) reforçam a autenticação, o binding de token e a proteção contra ataques. Usado por OBIE UK, CDR Austrália, Open Finance Brasil.

Padrão de API de Open Banking dos Estados Unidos, conduzido pelo setor (bancos + fintechs) e não por um regulador. É o equivalente norte-americano do Berlin Group, já posicionado para a futura Section 1033 do CFPB.

Sistema de pagamento instantâneo dos Estados Unidos, lançado pela Reserva Federal em julho de 2023. Disponível 24/7, concorre com o trilho privado RTP da TCH em um cenário norte-americano fragmentado e lento para adotar o instantâneo.

Regulamento europeu proposto em junho de 2023 que estende o Open Banking a todos os dados financeiros: poupança, crédito, seguros, investimentos. É o Open Finance oficial.

Fintech francesa pure player de iniciação de pagamento (PISP) na PSD2, criada em 2018. Especializada em pagamentos B2B e de e-commerce de tíquetes altos via SCT Inst, em concorrência direta com os cartões para pagamentos acima de 1.000 €.

Os 3 modos de autenticação forte previstos pela PSD2. Cada banco privilegia um ou outro, e a escolha influencia diretamente a conversão e a experiência do usuário.

Sistema francês de federação de identidade operado pela DINUM que permite aos usuários acessar mais de 1.500 serviços públicos e privados por meio de uma única conta de terceiro (Impôts, Ameli, La Poste, MSA, etc.). Componente pré-EUDI para a França.

Padrão IETF (RFC 9421, finalizado em 2024) que define um mecanismo de assinatura no nível das requisições e respostas HTTP. Oferece integridade/autenticidade aplicacional complementar ao TLS, exigida pela RTS-CSC da PSD2 para os TPPs na UE (assinada com um QSealC).

O identificador único e internacional de uma conta bancária. Na França, 27 caracteres que contêm ao mesmo tempo o banco, a agência, o número da conta e um dígito de controle.

Mecanismo pelo qual um cliente envia um identificador único junto com uma requisição de API mutante (POST), garantindo que, em caso de retry de rede, a operação seja executada apenas uma vez do lado do servidor. Best practice crítica para APIs de pagamento.

Status francês que disciplina a corretagem de crédito e de serviços bancários. Inscrição na ORIAS, em 4 categorias conforme se atue como mandatário de um banco, de um cliente, corretor ou MIOBSP.

Padrão ISO publicado em 2004 e adotado progressivamente como linguagem comum das mensagens financeiras (pagamentos, títulos, FX, trade finance). Substitui o SWIFT MT e o ISO 8583. Migração de grande porte em 2022-2025 para SEPA, SWIFT, CHAPS e Fedwire.

Padrão ISO publicado em 1987 que define o formato das mensagens trocadas entre os atores de cartões (terminal POS, PSP adquirente, scheme, emissor). Continua sendo o padrão dominante da autorização, da aquisição e da liquidação de cartões. Visa, Mastercard, CB e Amex usam todos ele.

Família de padrões IETF (RFC 7515-7519) que define um formato compacto para transportar claims assinados e/ou criptografados. Componente fundamental da autenticação moderna (OAuth, OIDC, FAPI), da assinatura aplicacional e do transporte seguro de dados estruturados.

Obrigação regulatória de verificar a identidade de todo cliente (KYC) ou empresa (KYB) antes de abrir uma conta. Pilar do combate à lavagem de dinheiro imposto a todas as fintechs.

Mecanismo das bandeiras de cartão pelo qual a responsabilidade por uma fraude passa do lojista para o banco emissor quando o 3DS2 foi utilizado. É o principal incentivo econômico para impulsionar o 3DS2.

Decomposição das taxas pagas por um lojista para aceitar um cartão: intercâmbio (ao emissor) + scheme fees (à bandeira) + acquirer fee (ao PSP) = MDR. Limitado no EEE pelo IFR.

Regulamento europeu que entrou em vigor em 2024-2025 para regular os criptoativos: autorização CASP, supervisão das stablecoins e proteção dos investidores.

TLS bidirecional: o cliente apresenta um certificado ao servidor, assim como o servidor apresenta um ao cliente. É o mecanismo que permite a um banco reconhecer um TPP a cada chamada.

O regulador financeiro nacional de cada país do EEE. Na França é a ACPR, na Alemanha a BaFin, no Reino Unido a FCA. Todas aplicam as mesmas regras europeias.

Padrão de autorização delegada usado em toda a web. Na DSP2, é o que materializa o consentimento do PSU e governa os tokens de acesso dos TPPs.

O regime de Open Banking britânico, lançado em 2018 sob mandato da CMA. Pioneiro mundial e mais estruturado que a DSP2, inspirou a maioria dos demais regimes de Open Banking do mundo.

O regime de Open Finance brasileiro, o mais ambicioso do mundo por seu escopo. Já cobre contas, crédito, investimentos, câmbio, previdência e seguros — muito além da DSP2 ou do Open Banking UK.

O titular da conta que será debitada em uma transação. O termo ganha todo o seu sentido quando o pagador não é o usuário direto do serviço de pagamento.

Mecanismo que permite a um PSP autorizado em um Estado-Membro do EEE operar nos outros 29 sem uma nova autorização, seja em livre prestação de serviços (LPS), seja por meio de uma sucursal (LE).

Carteira de pagamento histórica (1998), pioneira do e-commerce mundial. Atua ao mesmo tempo como carteira do consumidor ("Pay with PayPal"), adquirente terceiro para os lojistas e EME na Europa. Mais de 400 mi de contas ativas.

Pessoa que ocupa ou ocupou uma função pública importante (chefe de Estado, ministro, parlamentar, magistrado, dirigente de empresa pública…), ou seu círculo próximo. Sujeita a uma diligência reforçada de LCB-FT.

Categorias de apps que se apoiam na agregação e no enriquecimento para oferecer orçamento, acompanhamento, previsão e conselhos. PFM do lado da pessoa física (Bankin', Linxo), BFM do lado profissional (Pennylane, Qonto, Indy).

Provedor autorizado que inicia uma transferência direto da sua conta bancária — sem cartão e sem intermediário de pagamento tradicional.

Sistema de pagamento instantâneo gratuito lançado pelo Banco Central do Brasil em 2020. Em 4 anos, superou os cartões em volume e se tornou um caso de referência mundial no sucesso de um trilho público.

Três líderes americanos do Open Banking: Plaid (fundado em 2013, líder incontestável, conectado a mais de 12.000 bancos), MX (Utah, 2010, mais voltado a enterprise), Akoya (fundado em 2018 pela Fidelity + 11 bancos, modelo de data exchange via tokens de API em vez de screen scraping). Mercado dos EUA fragmentado, mais tech que na UE, mas menos regulado.

A família das soluções de aceitação física. Terminal clássico (Ingenico, Verifone), mPOS (leitor Bluetooth + smartphone, tipo SumUp), SoftPOS (Tap to Pay no celular do próprio lojista, sem hardware dedicado).

O beneficiário de um pagamento: a pessoa ou empresa cuja conta será creditada. Sempre identificado pelo seu IBAN nas APIs da PSD2.

Status cripto: o PSAN é o registro/autorização francês (lei PACTE, 2019), e o CASP é a autorização europeia única introduzida pela MiCA. O PSAN é extinto progressivamente em favor do CASP até o fim de 2026.

Ator que contrata com os lojistas para permitir que aceitem pagamentos (cartões, transferências, carteiras). Stripe, Adyen, Worldline, Mollie e Checkout.com são os líderes na Europa.

Regulamento europeu gêmeo da PSD3. Ao contrário de uma diretiva, ele se aplica diretamente em todos os Estados-membros — sem transposição, sem interpretação local.

O PSU é você: o usuário final de um serviço de pagamento, pessoa física ou jurídica, que detém a conta e dá (ou recusa) o consentimento.

Assinatura eletrônica do mais alto nível eIDAS, com o mesmo valor jurídico de uma assinatura manuscrita em toda a UE. Apoia-se em um certificado qualificado emitido por um TSP qualificado e em um dispositivo de criação seguro (QSCD).

Certificado eIDAS que assina cada requisição HTTP de um TPP no nível aplicativo. É a prova jurídica oponível que sobrevive a proxies, logs e intermediários.

Certificado eIDAS que prova a identidade de um TPP no nível de transporte (mTLS). É o passaporte que toda fintech deve apresentar a cada chamada de uma API bancária.

Scheme do EPC que padroniza as solicitações de pagamento entre PSPs. Permite que um beneficiário (lojista, credor) envie uma solicitação de pagamento ao pagador, que decide se aceita e executa (normalmente um SCT Inst). É o componente subjacente do Wero merchant e dos pagamentos de e-commerce em SEPA Instant.

Normas técnicas vinculantes redigidas pela EBA e adotadas pela Comissão. Detalham como aplicar concretamente uma diretiva europeia.

Autenticação forte exigida pela PSD2: para validar um pagamento ou um acesso sensível, você precisa provar duas coisas entre 'o que você sabe, o que você tem, o que você é'.

Avaliação da capacidade de pagamento de um tomador com base em dados alternativos ao bureau de crédito tradicional: fluxos bancários AIS, pagamentos, comportamento digital, dados de telecom.

Verificação sistemática e contínua de que um cliente, uma contraparte ou uma transação não consta nas listas de sanções internacionais (OFAC, UE, ONU, NCA nacionais). Pilar operacional do PLD-FT.

A transferência SEPA clássica. Prazo máximo de 1 dia útil, gratuita ou quase entre contas em EUR; é o instrumento usado para salários, faturas e pagamentos a fornecedores.

A transferência SEPA instantânea: menos de 10 segundos, 24/7, até € 100.000. Obrigatória em toda a zona do euro desde 2025. É o novo padrão do pagamento europeu.

O débito automático SEPA. É o beneficiário que debita a sua conta com base em um mandato que você assinou. Ideal para assinaturas e faturas recorrentes.

Espaço único de pagamentos em euros. Cerca de quarenta países, com regras comuns para transferir, debitar e pagar em EUR como se fosse um único mercado doméstico.

Criptoativo cujo valor é estabilizado pelo lastro em uma moeda tradicional (USD, EUR) ou em uma cesta de ativos. Mercado dominado por USDT (Tether), USDC (Circle), EURC. Regulado na UE pela MiCA desde junho de 2024.

Empresa francesa que opera o sistema de compensação CORE(FR) e publica a API PSD2 de referência na França — aquela que implementam BNP, Société Générale, BPCE, Crédit Agricole, entre outros.

Quatro líderes mundiais dos PSPs adquirentes (acquirers / payment processors): Stripe (EUA, líder cloud-native), Adyen (NL, líder enterprise em unified commerce), Mollie (NL, líder SMB na UE), Worldline (FR, histórico europeu em volumes). Juntos, processam uma parcela significativa dos pagamentos digitais mundiais.

Fintech sueca criada em Estocolmo em 2012, líder europeia do Open Banking, comprada pela Visa em 2022 por € 1,8 bi. Cobre AIS, PIS, KYC, scoring de crédito e transaction enrichment em 18 mercados europeus junto a mais de 3.400 bancos.

Plataforma de liquidação de pagamentos instantâneos em moeda de banco central operada pelo BCE desde 2018. Liquida transferências SCT Inst entre PSPs em poucos segundos, 24/7/365. Pilar da infraestrutura de pagamentos instantâneos na Europa.

Substituição do PAN (os 16 dígitos do cartão) por um token específico ao lojista, à carteira ou ao dispositivo. Limita a exposição do número real e aumenta a taxa de autorização.

Termo guarda-chuva para todo provedor terceiro autorizado que se conecta às APIs dos bancos. Três papéis possíveis: ler (AISP), pagar (PISP), verificar fundos (CBPII).

Unidade de inteligência financeira (FIU) da França, vinculada ao Ministério da Economia. Recebe as comunicações de suspeição das entidades obrigadas de PLD-FT, analisa-as e as encaminha às autoridades judiciais ou administrativas competentes.

Monitoramento em tempo real ou em lote dos fluxos de um cliente para detectar operações atípicas (PLD-FT) ou fraudulentas. Bloco operacional-chave entre o KYC e a comunicação de suspeição à TRACFIN.

Três atores principais do Banking-as-a-Service (BaaS) na Europa: Treezor (FR, adquirida pelo Société Générale em 2019), Swan (FR, EME independente em 2019), Solaris (DE, ex-Solarisbank). Permitem a fintechs e empresas não bancárias embarcar serviços bancários (conta, cartão, transferência, IBAN) sem serem elas próprias um banco.

Fintech britânica fundada em Londres em 2016, líder no Reino Unido em iniciação de pagamento (PIS) e em agregação (AIS). Pioneira do Pay by Bank no e-commerce e precursora dos Variable Recurring Payments (VRP). Atua no Reino Unido + Irlanda + Europa continental.

Sistema de pagamento instantâneo indiano lançado em 2016 pela NPCI. É o maior sistema de pagamento do mundo em volume — mais de 16 bilhões de transações por mês no fim de 2024.

As duas bandeiras de cartão mundiais dominantes, listadas na NYSE. Definem as regras e o interchange e operam os trilhos de autorização e de compensação, mas não emitem cartões nem fazem a adquirência por conta própria.

Serviço que verifica a coerência entre o nome do beneficiário digitado e o titular real de um IBAN, obrigatório para todas as transferências SEPA desde outubro de 2025. Principal medida antifraude APP do regulamento IPR.

Padrão W3C / FIDO2 de autenticação forte por criptografia assimétrica, que permite fazer login por biometria ou chave física sem senha. As passkeys são a evolução sincronizada multidispositivo, já padrão no iOS, Android e Windows.

Dois modelos de integração para notificar um cliente de uma mudança de estado do lado do servidor. O webhook (push) é disparado pelo servidor, e o polling (pull) consiste em consultar periodicamente. Escolha estruturante na integração de APIs fintech.

Carteira de pagamento europeia lançada em 2024 pela EPI (European Payments Initiative), consórcio de 16 bancos europeus (BNP, SG, BPCE, Crédit Mutuel, ING, Deutsche Bank, etc.). A ambição: uma alternativa soberana a Visa, Mastercard, PayPal e Apple Pay baseada no SEPA Instant.

Carteiras de pagamento integradas aos sistemas operacionais móveis, que tokenizam os cartões bancários (DPAN) e usam a biometria para a SCA. Representam uma parcela crescente dos pagamentos físicos e de e-commerce.

Fintech britânica fundada em Londres em 2017, posicionada como o player API-first headless mais puro do Open Banking europeu. Cobre AIS e PIS em 19 países do EEE+Reino Unido. Privilegia uma integração sem interface, voltada às empresas de tecnologia que querem embarcar Open Banking em seu produto.