Camada pública
Segurança
Como o dado de fatura e de pagador é tratado, protegido e preservado. E quem já opera na rede.
Conformidade e certificações
LGPD
Lei 13.709/2018. Consentimento do pagador por relação entre aquela instituição e aquele pagador, revogável a qualquer momento.
Em conformidade
ISO/IEC 27001
Certificação é da organização e vale pelo escopo declarado nela, nunca de uma plataforma isolada. Qual escopo alcança esta plataforma está sendo confirmado.
Escopo a confirmar
PCI-DSS
Não se aplica, e isso é verificável: a plataforma não armazena, não processa e não transmite dado de portador de cartão. Não há número de cartão em lugar nenhum do esquema nem do contrato da API.
Não aplicável
Localização do dado
Todo o dado mora em região brasileira. Não há transferência internacional de dado pessoal, portanto não há hipótese de transferência a discutir.
Sem transferência
Padrão Febraban
Layout de Arrecadação v7 e Híbrido FB005-2021. Interoperável, não proprietário.
Aderente
Política de dados
Cada linha desta tabela foi conferida contra o código em produção interna. Onde o comportamento desejado ainda não existe, a tabela diz que não existe.
Duas bases legais, não uma. O consentimento do pagador governa a distribuição: sem ele a cobrança não chega a ninguém, e revogar interrompe na hora. A conservação do documento de cobrança depois da eliminação do dado pessoal se apoia em obrigação legal, e é por isso que ela sobrevive à revogação.
| Dado | Como é tratado | Retenção |
|---|---|---|
| CPF do pagador | Só em corpo de requisição. Nunca em caminho de URL, em parâmetro de consulta ou em log de aplicação. Proteção em nível de campo está mapeada e não entrou no escopo atual. Por isso a plataforma opera hoje apenas com dado sintético. | 60 meses, alinhado ao prazo prescricional civil de cobrança. Eliminação a pedido do titular anonimiza de forma irreversível e alcança todas as instituições. A cobrança permanece sem o CPF sob base legal diferente: obrigação legal de conservação, não consentimento. É por isso que ela sobrevive à revogação. |
| Consentimento | Guardado por relação entre instituição e pagador, com data e origem. Revogável a qualquer momento, e a revogação interrompe a distribuição na hora. | Sem expiração por prazo. A plataforma não encerra consentimento por decurso de tempo. Quem encerra é quem o detém. |
| Dado de fatura | Cada mudança de estado é evento novo, nunca sobrescrita. A trilha é append-only por privilégio no banco, não por convenção. | Particionado por competência, com expurgo pelo mesmo prazo de 60 meses. |
| Cursor de leitura | O marcador de posição fica com a instituição. A plataforma não mantém checkpoint do que já foi lido, porque avançá-lo ao entregar exigiria confirmação de recebimento, que não existe. | Não se aplica: nada é guardado deste lado. |
| Trilha de auditoria | Log de negócio separado de log técnico, e sem dado pessoal no log de aplicação. | Sem expurgo, por decisão documentada: é a trilha de reconciliação de pagamento e não carrega dado pessoal. |
Limites do serviço
Não emitimos
Não geramos a cobrança: nem o código de barras, nem o código Pix. O documento é sempre do emissor.
Não custodiamos
Nenhum recurso financeiro transita pela plataforma.
Não iniciamos pagamento
O pagamento acontece na instituição, pelos trilhos dela.
Participantes da rede
Uma instituição só aparece nesta lista mediante autorização formal assinada, nunca por padrão. A ausência de um nome aqui não significa ausência na rede.
Estado inicial
A lista pública está sendo construída
Estamos coletando as autorizações de divulgação das instituições já integradas. Enquanto isso, o time comercial informa a composição atual da rede sob acordo de confidencialidade.
Documentos públicos
- Termos de Uso e Política de Privacidadepublicados, versão 2026-09-25 — aprovados pelo VP, sem revisão de jurídico externo ainda
- Encarregado de Dados (DPO)Rodrigo Melo — rodrigo.melo@multipagamentos.tech
Escolha por onde começar
Emissores falam com o time comercial. Integradores podem testar a API antes de qualquer conversa.