NOVO ARTIGO

Transparência aumenta a conversão: o que aprendemos ao criar experiências de consentimento conforme a Lei 21.719.

Leia o artigo
Soyio
Entrar Fale conosco

Nova regulamentação da CMF. Entra em operação em julho de 2027.

Sistema de Finanças Abertas

Lei 21.521 e NCG 514 da CMF

A partir de julho de 2027, bancos, emissores de cartões, seguradoras e administradoras de fundos deverão compartilhar os dados de seus clientes. Só com o consentimento expresso deles, e cada consentimento precisa poder ser comprovado.

Agende uma demoConheça as obrigações
Sem compromisso • Resposta em 48 horas

O que é o SFA

Um sistema regulado pela CMF para que os clientes compartilhem suas informações financeiras com outros provedores, sempre com consentimento expresso. Participar é obrigatório para algumas instituições e voluntário para outras.

Foi criado pelo Título III da Lei 21.521 (Lei Fintech, 4 de janeiro de 2023) e é regulamentado pela NCG 514 (3 de julho de 2024) e pela NCG 569 (1 de junho de 2026), que fixou os padrões técnicos.

Os dados continuam sendo do cliente. O que muda é quem pode pedi-los.

Que informações entram no sistema

Art. 17, Lei 21.521

  1. Termos e condições

    Condições de produtos e canais de atendimento. É pública e vem primeiro.

  2. Identificação e cadastro

    Dados de identificação de clientes e seus representantes.

  3. Produtos e transações

    Condições contratadas e histórico de transações.

  4. Portabilidade financeira

    Comunicações para a portabilidade da Lei 21.236.

  5. Iniciação de pagamentos

    Dados para ordenar transferências a terceiros.

  6. Outros dados

    Outras informações financeiras, com autorização do cliente.

Quatro papéis, duas formas de entrar

As instituições reguladas entram por obrigação. As que quiserem oferecer serviços se registram na CMF.
  • IPIObrigatória

    Instituições Provedoras de Informação

    Bancos, emissores de cartões e outras instituições fiscalizadas pela CMF: cooperativas, seguradoras, administradoras de fundos e caixas de compensação, entre outras.

    Inscrição: lista de IPI

  • IPCObrigatória

    Instituições Provedoras de Contas

    Bancos, cooperativas e emissores de pré-pagos com contas a partir das quais é possível pagar.

    Inscrição: lista de IPC

  • PSBIVoluntária

    Provedores de Serviços Baseados em Informação

    Usam os dados do cliente para lhe oferecer um serviço: análise de crédito, comparadores, finanças pessoais.

    Inscrição: Registro PSBI

  • PSIPVoluntária

    Provedores de Serviços de Iniciação de Pagamentos

    Ordenam transferências a partir da conta do cliente, em nome dele.

    Inscrição: Registro PSIP

Uma instituição pode ter vários papéis: um banco é IPI e IPC, e também pode ser PSBI.

Linha do tempo do SFA

  1. jan. de 2023Lei 21.521 (Lei Fintech)

    Publicada em 4 de janeiro. Cria o Sistema de Finanças Abertas.

  2. jul. de 2024NCG 514

    A norma do SFA, publicada em 3 de julho, sem anexo técnico.

  3. jun. de 2026NCG 569

    Anexo Técnico nº 3, consentimento mais rígido e nova data: julho de 2027.

  4. set. de 2026Em andamentoSandbox ATENA e Diretório

    O ATENA, sandbox da CMF e do BID, abre em 30 de setembro para testar integrações.

    O que sua organização deve estar fazendo agora

  5. 4º tri. 2026Anexo nº 4

    Pendente: custos do sistema.

  6. jul. de 2027Entrada em operação

    Começa o cronograma gradual, com um piloto de 60 dias por API.

  7. dez. de 2027Primeiras APIs do Grupo 1

    Bancos e emissores publicam termos, condições e canais.

  8. 2028 a jan. de 2029Grupo 1 completo

    Dados de clientes, transações e iniciação de pagamentos.

  9. mar. de 2029 a jan. de 2030Grupo 2

    Cooperativas, seguradoras, administradoras de fundos e caixas.

Pensado para os participantes do SFA

  • Bancos e emissores de cartões

    Primeiros no cronograma e com mais consentimentos para administrar.

  • Cooperativas, caixas e seguradoras

    As mesmas exigências, mais prazo e a opção de participação simplificada.

  • Fintechs e PSBI

    Cada consulta precisa de um consentimento vigente e vinculado a um serviço. A IPI não pode cobrar delas pelos dados (art. 25), exceto os custos que a CMF regulamentar.

Áreas que lideram a implementaçãoJurídicoConformidadeRiscoTecnologiaProduto digital

Sem consentimento, não há acesso

O art. 23 da Lei 21.521 exige consentimento prévio e explícito. A NCG 514 e a NCG 569 definem como ele é dado, informado e revogado.

  1. Livre, informado, expresso e específico

    Por canais digitais seguros e em suporte duradouro que comprove como e quando foi dado.

  2. Cinco coisas à vista

    Quais dados, para qual instituição, para qual serviço, por quanto tempo e com qual finalidade.

  3. Uma finalidade legítima

    Um propósito específico, vinculado a um serviço. Os dados solicitados devem corresponder a ele.

  4. Vigência máxima

    36 meses, ou 90 dias para pagamentos únicos agendados. Depois, um novo consentimento.

  5. Painel de controle

    Gratuito, para ver e revogar. Se o cliente não acessar em um ano, é preciso lembrá-lo.

  6. Revogar corta e apaga

    Quem recebeu os dados corta o acesso e os apaga. A mudança aparece em todos os painéis; se começar na IPI ou IPC, ela avisa em 5 minutos.

  7. Cinco anos de evidência

    Acessos e status de cada consentimento, à disposição da CMF.

O consentimento, passo a passo

  1. 1.Você se autentica no seu bancoNo ambiente da instituição que tem seus dados.
  2. 2.Você escolhe o que compartilharDados, frequência e vigência à vista.
  3. 3.Você confirma para quêA finalidade, clara antes de autorizar.
  4. 4.Fica registradoCom evidência, e revogável quando quiser.

A Soyio registra cada etapa com data, hora, canal e status, pronta para a CMF.

No SFA, o consentimento é a única chave. E a CMF vai pedir para vê-la.

Obrigações dos participantes

As três que mais mudam a operação, segundo a NCG 514.
  1. Seção I · Perímetro

    Inscrever-se e manter o Diretório atualizado

    Inscrição na CMF com certificações e testes funcionais. Papéis, APIs e certificados atualizados no Diretório de Participantes.

  2. Seções II e III · Funcionamento e segurança

    Operar por API sob o FAPI 2.0

    As APIs são o único canal, com níveis de serviço, monitoramento e contingência. Segurança FAPI 2.0 (OAuth 2.0 e OpenID Connect, com PAR e mTLS).

  3. Seções III e IV · Segurança e informação

    Administrar o consentimento e sua evidência

    Concessão, painel, revogação com exclusão e relatórios à CMF. Registro de eventos de API por 5 anos.

Quem fiscaliza e o que está em jogo

A CMF fiscaliza todos os participantes, inclusive os PSBI e PSIP que hoje não são regulados. Se o cliente for pessoa física, a Lei 21.719 também se aplica.

  • CensuraSem multa

    Advertência formal no histórico perante a CMF.

  • MultaAté 100.000 UF

    Ou 30% da operação irregular, ou o dobro do benefício. Até cinco vezes em caso de reincidência.

  • Saída do sistemaRevogação ou cancelamento

    Revogação de autorizações ou saída do registro por descumprir os requisitos.

Valores do DL 3.538 (arts. 36 e 37), conforme elevados pela Lei 21.314.

Duas leis, duas autoridades

Comparação entre a Lei 21.521 e a Lei 21.719
AspectoLei 21.521 e NCG 514Lei 21.719
O que regulaQuem participa, como se conecta, o que se compartilha e como se consente.O tratamento de dados pessoais, incluídos os financeiros.
Quem fiscalizaA CMF.A Agência de Proteção de Dados Pessoais, com multas de até 20.000 UTM.
ConsentimentoFinalidade, vigência máxima e painel de controle.Base legal, finalidade e direitos ARSOPB.

Um mesmo consentimento precisa servir perante a CMF e a Agência.

O que diferencia uma organização preparada para o SFA?

Aspecto Gestão tradicional Com a Soyio
ConsentimentoCheckbox ou PDF sem vínculo com um serviço nem com uma finalidadeCada consentimento vinculado ao serviço, aos dados, à instituição e ao período autorizados
VigênciaNinguém controla os prazos máximos nem as renovaçõesVencimento e renovação com registro da nova autenticação
RevogaçãoE-mail para o call center e corte manual do acessoRevogação pelo painel, corte imediato e ordem de exclusão para os sistemas que receberam os dados
EvidênciaDispersa entre o core, o CRM e o e-mailRegistro assinado com data, hora, canal e status de cada consentimento, guardado por 5 anos
Duas leisUm processo para a CMF e outro para a AgênciaUm registro que comprova finalidade e base legal perante ambas
AuditoriaReativa, quando chega o ofícioEm tempo real, por titular, data, instituição ou status

A Soyio é a camada de consentimento do SFA

Sua equipe constrói as APIs. A Soyio resolve o consentimento que as habilita, sua evidência e sua revogação, com o mesmo registro que você usa para a Lei 21.719 e o REDEC.

  1. Os cinco elementos que a norma exige, em linguagem clara e com alerta de vencimento.

    Ver documentação

  2. Centro de Privacidade para ver e revogar, com o aviso anual de inatividade.

    Ver documentação

  3. Corta o acesso e pede a exclusão a quem recebeu os dados, com registro.

    Ver documentação

  4. Carimbo de tempo e hash em cada evento, guardado por 5 anos e exportável.

    Ver documentação

  5. Os relatórios de gestão de consentimentos que a NCG 569 acrescenta.

    Ver documentação

Validação de identidade no cadastro

Se você entrar como PSBI ou PSIP, verifique quem é a pessoa antes de pedir o consentimento.

Ver documentação

Estamos 100% alinhados e preparados para a Lei de Proteção de Dados 21.719.

Perguntas frequentes sobre o SFA

Estas são as dúvidas mais comuns sobre o sistema. Se tiver outra, vamos conversar.

O REDEC (Lei 21.680 e NCG 540) é um registro de dívidas administrado pela CMF: as entidades reportam e consultam ali. O SFA (Lei 21.521 e NCG 514) é uma troca direta de dados entre participantes, por API e sem passar por um registro central. Os dois exigem consentimento prévio e rastreável, e a CMF fiscaliza ambos.

Sim, se for banco, emissor de cartões de crédito ou de cartões pré-pagos, ou uma das instituições fiscalizadas que a CMF determinar: cooperativas de poupança e crédito, seguradoras, administradoras de fundos e caixas de compensação, entre outras. Se quiser fazer parte do sistema para oferecer um serviço com dados de clientes de outras instituições, entra por registro voluntário como PSBI ou PSIP.

O sistema entra em operação em julho de 2027. Os bancos e emissores expõem suas primeiras APIs 5 meses depois e completam o restante em um prazo de até 18 meses. Cooperativas, seguradoras, administradoras de fundos e caixas de compensação têm entre 20 e 30 meses a partir dessa data.

Não. Os dados de pessoas físicas que circulam pelo SFA são dados pessoais. A CMF fiscaliza o sistema; a Agência de Proteção de Dados Pessoais fiscaliza o tratamento. O consentimento precisa cumprir as duas normas. Veja o que a Lei 21.719 exige.

No ATENA, o sandbox tecnológico que a CMF lançou com o BID em 30 de setembro de 2026. Ele permite testar integrações, credenciais e a conexão com o Diretório de Participantes antes de operar em produção.

Consulta gratuita

O SFA entra em operação em julho de 2027. O consentimento precisa estar pronto antes.

Veja com nossa equipe como chegar ao SFA com o consentimento resolvido e evidência válida perante a CMF e a Agência.

Assine nossa newsletter

A privacidade virou notícia

Um resumo semanal das notícias sobre privacidade, regulação e tecnologia que podem impactar seu negócio.

Quero assinar (LinkedIn, abre em uma nova aba)