INSTRUÇÃO NORMATIVA BCB Nº 511, DE 30 DE AGOSTO DE 2024 (parte 7 de 10)

. .I .Motivo da apresentação ( )
( )
( )
.Pedido de adesão
Atualização cadastral de participante do Pix em operação, nos termos dispostos no art. 88
Atualização cadastral de instituição em adesão ao Pix, nos termos dispostos no art. 88
. .II .Caso o motivo da apresentação do formulário seja atualização
cadastral, indicar ao lado o(s) item(ns) a ser(em) alterado(s).
Caso trate-se de pedido de adesão, não assinalar e pular para o
item III
( )
( )
( )
.IV - Razão social
V - Nome fantasia
VI - Participante responsável
. .III .Inscrição no CNPJ .
. .IV .Razão social .
. .V .Nome fantasia .
. .VI .Código ISPB do participante responsável .
. .VII .Número de contas de pagamento pré-pagas ativas de clientes
no momento do pedido de adesão ou de atualização1
.
. .VIII .Identificação de diretor responsável pelo atendimento às
demandas do Banco Central do Brasil relacionadas a questões
concernentes ao Pix2
.Nome:
CPF:
. .IX .Telefone da instituição para assuntos relacionados ao Pix3
(Obs1: Informar, ao menos, um telefone)
(Obs2: Ao menos um dos telefones informados deverá ser
compartilhável com outros participantes do Pix)
(Obs3: Não serão aceitos telefones de central de atendimento ao
consumidor ou similares)
.
. .IX (a) .Telefone 1:
Nome4:
( ) .autoriza o compartilhamento com outros participantes do Pix
. .IX (b) .Telefone 2:
Nome4:
( ) .autoriza o compartilhamento com outros participantes do Pix
. .IX (c) .Telefone 3:
Nome4:
( ) .autoriza o compartilhamento com outros participantes do Pix
. .... .... ... .
. X .Endereço eletrônico (e-mail) da instituição para assuntos
relacionados ao Pix5
(Obs1: Informar, ao menos, um e-mail)
(Obs2: Informar, ao menos, um e-mail correspondente a caixa
corporativa acessível a mais de um usuário)
.
. . .(Obs3: Ao menos um dos e-mails informados deverá ser
compartilhável com outros participantes do Pix)
(Obs4: Não serão aceitos e-mails de atendimento ao consumidor
ou similares)
.
. .X (a) .E-mail 1:
Nome6:
( )
( )
.autoriza o compartilhamento com outros participantes do Pix
caixa corporativa acessível a mais de um usuário
. .X (b) .E-mail 2:
Nome6:
( )
( )
.autoriza o compartilhamento com outros participantes do Pix
caixa corporativa acessível a mais de um usuário
. .X (c) .E-mail 3:
Nome6:
( )
( )
.autoriza o compartilhamento com outros participantes do Pix
caixa corporativa acessível a mais de um usuário
. .... ..... .... .
1 Fica dispensado o envio de formulário de atualização cadastral nos casos em que a alteração consista exclusivamente no montante de contas transacionais ativas, nos termos do disposto
no art. 88, caput e § 2º.
2 Para fins de atualização cadastral, a alteração de dados relacionados ao diretor responsável por questões relacionadas à participação no Pix deve ser realizada, diretamente no Unicad, pela
instituição participante ou em processo de adesão ao Pix que já possua código Sisbacen, nos termos do disposto no art. 89.
3 Para fins de atualização cadastral, a alteração de contatos para assuntos relacionados ao Pix deve ser requisitada por meio de e-mail enviado à caixa corporativa [email protected]
a partir de contato previamente informado e cadastrado para esse mesmo fim, nos termos do disposto no art. 91.
4 Preencher com o nome da pessoa que responde no telefone indicado. Caso não seja de alguém em específico, preencher o campo "Nome" com o termo "Institucional". Caso a instituição
deseje informar mais de três telefones, é excepcionalmente permitida a inserção de mais linhas, denominadas "X (d)", "X (e)" e, assim, sucessivamente.
5 Para fins de atualização cadastral, a alteração de contatos para assuntos relacionados ao Pix deve ser requisitada por meio de e-mail enviado à caixa corporativa [email protected]
a partir de contato previamente informado e cadastrado para esse mesmo fim, nos termos do disposto no art. 91.
6 Preencher com o nome da pessoa que responde no e-mail indicado. Caso não seja de alguém em específico, preencher o campo "Nome" com o termo "Institucional". Caso a instituição
deseje informar mais de três e-mails, é excepcionalmente permitida a inserção de mais linhas, denominadas "XI (d)", "XI (e)" e, assim, sucessivamente.
Declaramos ciência de que:
(i) o Banco Central do Brasil se reserva o direito de exigir informações e documentos complementares a qualquer tempo; e
(ii) a adesão e a posterior participação no Pix implica no aceite às regras, às condições e aos procedimentos estabelecidos no Regulamento do Pix.
______________________________________________________
Nome e Cargo
Anexo I-E
Formulário de intenção de oferta de produtos e de serviços a serem ofertados por instituições, não autorizadas a funcionar pelo Banco Central do Brasil, que pretendem participar
do Pix; e
Formulário de atualização de intenção de oferta de produtos e de serviços por instituições, não autorizadas a funcionar pelo Banco Central do Brasil, já participantes do Pix.
. .I .Motivo da apresentação ( )
( )
( )
.Pedido de adesão
Atualização de produtos e de serviços ofertados por participante do Pix em operação, nos termos dispostos no art.
88
Atualização de produtos e de serviços a serem ofertados por instituição em adesão ao Pix, nos termos dispostos no
art. 88
. .II .Inscrição no CNPJ .
. .III .Razão Social .
. .IV .Oferta ou ofertará contas transacionais a usuários
finais:
( )
( )
.pessoas jurídicas
pessoas naturais
. .V .Oferta ou ofertará API Pix1 ( )
( )
.Sim
Não
. .VI .Produtos e serviços obrigatórios ofertados a pessoas
naturais
(vedada e edição ou a seleção)
.¸Pix Agendado;
¸Chave Pix;
¸Leitura de QR Code estático;
¸Leitura de QR Code dinâmico; e
¸Pix Cobrança para pagamentos imediatos - geração de QR Code estático
¸Pix Automático - Pagamento
. .VII .Produtos e serviços facultativos ofertados a pessoas
naturais
( )
( )
.Pix Cobrança para pagamentos imediatos - geração de QR Code dinâmico
Pix Cobrança para pagamentos com vencimento - geração de QR Code dinâmico
. .VIII .Produtos e serviços obrigatórios ofertados a pessoas
jurídicas
(vedada a edição ou a seleção)
.Pix Agendado
Pix Automático - Pagamento
. .VIII (a) .Caso oferte ou pretenda ofertar contas
transacionais a usuários finais pessoas jurídicas,
solicita dispensa de oferta do "Pix Automático -
Pagamento" para esse público?
( )
( )
.Sim
Não
. .IX .Produtos e serviços obrigatórios ofertados a pessoas
jurídicas por participantes que ofertem API Pix
(vedada a edição ou a seleção)
.Pix Cobrança para pagamentos imediatos - geração de QR Code dinâmico
Pix Saque - geração de QR Code dinâmico; e
Pix Troco - geração de QR Code dinâmico
. .X .Produtos e serviços facultativos ofertados a pessoas
jurídicas
( )
( )
( )
( )
( )
( )
.Chave Pix2
Leitura de QR Code estático2
Leitura de QR Code dinâmico2
Geração de QR Code estático do Pix Cobrança para pagamentos imediatos e Geração de QR Code estático do Pix
Saque3
Pix Cobrança para pagamentos com vencimento - geração de QR Code dinâmico
Pix Automático - Recebimento
1 A geração de qualquer tipo de QR Code dinâmico, quando ofertada a usuários pessoas jurídicas de forma automatizada, apenas deve ser realizada por meio da API Pix.
2 A instituição que disponibilize contas transacionais a usuários pessoas jurídicas deverá disponibilizar, no mínimo, uma das três modalidades para a realização de um Pix (Chave Pix, Leitura
de QR Code estático, Leitura de QR Code dinâmico).
3 Caso opte por ofertar a geração de QR Code estático a pessoas jurídicas, fica o participante obrigado a ofertar, por meio dessa forma de iniciação, tanto as funcionalidades relativas aos
produtos Pix Cobrança para pagamentos imediatos, quanto as funcionalidades relativas ao Pix Saque.
Anexo I-F
Questionário de autoavaliação em segurança - instituições, autorizadas ou não a funcionar pelo Banco Central do Brasil, que pretendam atuar na modalidade provedor de conta
transacional, acessar de forma indireta o DICT e ser participante indireto do SPI.
O questionário aborda aspectos de segurança relacionados ao Pix.
A observância desses aspectos é obrigatória a todos os participantes. Dessa forma, o não atendimento à totalidade desses aspectos, bem como a não implementação efetiva dos
mecanismos de segurança previstos, desde o início da etapa de operação restrita, sujeita o pleiteante ao indeferimento do pedido de adesão.
O participante deverá armazenar evidências que suportem a sua aderência aos aspectos elencados neste questionário por ocasião do envio ao Banco Central do Brasil. Essas
evidências poderão ser requisitadas pelo Banco Central do Brasil e podem incluir, a critério do participante, diagramas, topologias, fluxogramas, capturas de tela, consultas com respectivos
retornos ou outros documentos que julgue pertinentes.
Importa ressaltar que o eventual fornecimento, ao Banco Central do Brasil, de documentos, dados ou informações incorretos ou em desacordo com os prazos e condições
estabelecidas em normas legais ou regulamentares constitui infração punível nos termos da legislação vigente.
. .Inscrição no CNPJ .
. .Razão social .
. .I .Segurança de QR Codes dinâmicos
. . .A seção 4 do Manual de Segurança do Pix dispõe sobre as especificações de segurança de QR Codes dinâmicos gerados pelo recebedor.
. .I (a) .A solução prevista considera a observação, desde o primeiro momento de operação da instituição na fase de operação restrita, dos requisitos dispostos nos itens 4.1 e 4.2 do
Manual de Segurança do Pix?
(Sim/Não/Não será ofertada a geração de QR Codes dinâmicos)
. .I (b) .A solução prevista considera a observação, desde o primeiro momento de operação da instituição na fase de operação restrita, dos requisitos dispostos no item 4.3 do Manual
de Segurança do Pix?
(Sim/Não/Não será ofertada a geração e nem a leitura de QR Codes dinâmicos)
. .II .Implementação segura de aplicativos, APIs e outros sistemas
. . .A seção 6 do Manual de Segurança do Pix dispõe sobre aspectos de segurança obrigatórios na implementação de sistemas afetos ao Pix.
. .II (a) .A solução prevista contempla a utilização, desde o primeiro momento de operação da instituição na fase de operação restrita, de mecanismos de criptografia na comunicação
entre os sistemas e APIs relacionados ao Pix e seus respectivos aplicativos ou softwares clientes?
(Sim/Não)
. .II (b) .A solução prevista contempla a implementação, desde o primeiro momento de operação da instituição na fase de operação restrita, de mecanismos de autenticação forte do
software cliente nas APIs e sistemas relacionados ao Pix?
(Sim/Não)
. .II (c) .A solução prevista contempla a implementação, desde o primeiro momento de operação da instituição na fase de operação restrita, de mecanismos de segurança capazes de
garantir que as APIs e outros sistemas utilizados sejam acessados apenas pelos softwares clientes legítimos do participante, de forma a impedir ataques man-in-the-middle?
(Sim/Não)
. .II (d) .A solução prevista contempla a implementação, desde o primeiro momento de operação da instituição na fase de operação restrita, de mecanismos de segurança capazes de
garantir que o software cliente se comunique apenas com APIs e sistemas desejados, de forma a impedir ataques man-in-the-middle e manipulação de sua comunicação?
(Sim/Não)
. .II (e) .A solução prevista contempla a implementação, desde o primeiro momento de operação da instituição na fase de operação restrita, de mecanismos de segurança que impeçam
engenharia reversa, descompilação, manipulação de código, modificação de credenciais ou de parâmetros de segurança, dentre outras técnicas que resultem na adulteração dos
aplicativos ou softwares clientes?
(Sim/Não)
. .II (f) .A solução prevista contempla a implementação da segurança das APIs e outros sistemas relacionados ao Pix majoritariamente na parte servidora, desde o primeiro momento
de operação da instituição na fase de operação restrita, de forma a evitar que a segurança se restrinja somente ao software cliente ou aplicativo?
(Sim/Não)
. .II (g) .A solução prevista contempla o fornecimento, desde o primeiro momento de operação da instituição na fase de operação restrita, apenas das informações estritamente
necessárias para o correto funcionamento dos aplicativos?
(Sim/Não)
. .II (h) .A solução prevista contempla a implementação de controles, desde o primeiro momento de operação da instituição na fase de operação restrita, para garantir que informações
como CPF completo (sem máscara), dados de agência e conta de destinatários de pagamentos via Pix, bem como informações para fins de segurança vinculadas às chaves Pix,
sejam de uso exclusivo dos sistemas internos do participante e não sejam expostas aos seus aplicativos e softwares clientes?
(Sim/Não)
. .II (i) .A solução prevista contempla o tratamento e o mascaramento de dados obtidos na consulta de chaves Pix e transações utilizando QR Code diretamente no sistema ou API,
ao invés da utilização de filtros no software cliente, desde o primeiro momento de operação da instituição na fase de operação restrita?
(Sim/Não)
. .II (j) .A solução prevista contempla a implementação em seu sítio web, desde o primeiro momento de operação da instituição na fase de operação restrita, de mecanismos para
prevenção ao uso de robôs e automatização de consultas de chaves e transações Pix?
(Sim/Não/Não haverá utilização do sítio para iniciação de um Pix)
. .III .Logs de Auditoria
. . .A seção 7 do Manual de Segurança do Pix dispõe sobre os logs de auditoria que devem ser mantidos por todos os participantes do Pix.
. .III (a) .A solução prevista considera a observação, desde o primeiro momento de operação da instituição na fase de operação restrita, dos requisitos dispostos na seção 7 do Manual
de Segurança do Pix?
(Sim/Não)
. .IV .Mecanismos de prevenção a ataques de leitura
. . .A seção V do capítulo XIII do Regulamento Anexo à Resolução BCB nº 1 (Regulamento do Pix), de 12 de agosto de 2020, e a seção 13 do Manual Operacional do DICT dispõem
sobre mecanismos de prevenção a ataques de leitura.
. .IV (a) .A solução prevista contempla a implementação de mecanismos de prevenção a ataques de leitura à base interna de chaves Pix da instituição desde o primeiro momento de
operação da instituição na fase de operação restrita?
(Sim/Não)
. .IV (b) .Os mecanismos planejados de prevenção a ataques de leitura à base interna de chaves Pix da instituição são, no mínimo, iguais aos mecanismos de prevenção a ataques de
leitura existentes no DICT e detalhados no Manual Operacional do DICT?
(Sim/Não)
. .IV (c) .A solução prevista contempla a implementação de mecanismos de prevenção a ataques de leitura ao DICT desde o primeiro momento de operação da instituição na fase de
operação restrita?
(Sim/Não)
. .IV (d) .Os mecanismos planejados de prevenção a ataques de leitura ao DICT são, no mínimo, iguais aos mecanismos de prevenção a ataques de leitura existentes no DICT e
detalhados no Manual Operacional do DICT?
(Sim/Não)
. .IV (e) .A solução prevista contempla a implementação, desde o primeiro momento de operação da instituição na fase de operação restrita, de mecanismo de verificação de
autenticidade do usuário solicitante da consulta?
(Sim/Não)
. .IV (f) .A solução prevista contempla a implementação, desde o primeiro momento de operação da instituição na fase de operação restrita, de mecanismo de política interna de
limitação de consultas?
(Sim/Não)
. .IV (g) .A solução prevista contempla a implementação, desde o primeiro momento de operação da instituição na fase de operação restrita, de mecanismos de identificação e
tratamento de casos de excessivas consultas de chaves Pix que não resultem em envio de ordem de pagamento?
(Sim/Não)
. .IV (h) .A solução prevista contempla a implementação, desde o primeiro momento de operação da instituição na fase de operação restrita, de mecanismos de identificação e
tratamento de casos de excessivas consultas de chaves não registradas no DICT?
(Sim/Não)
. .IV (i) .A instituição estabelecerá, desde o primeiro momento de operação da instituição na fase de operação restrita, plano de ação para tratamento de casos suspeitos de ataque
de leitura?
(Sim/Não)
Declaramos ciência de que:
(i) o Banco Central do Brasil se reserva o direito de exigir informações e documentos complementares a qualquer tempo; e
(ii) a adesão e a posterior participação no Pix implica no aceite às regras, às condições e aos procedimentos estabelecidos no Regulamento do Pix.
______________________________________________________
Nome
(diretor responsável pela política de segurança cibernética)
Anexo II - Documentos para instituições que participam ou que pretendem participar do Pix exclusivamente na modalidade liquidante especial
Anexo II-A
Formulário de adesão para instituições, autorizadas a funcionar pelo Banco Central do Brasil, que pretendam participar do Pix exclusivamente na modalidade liquidante especial;
e
Formulário de atualização cadastral para instituições, autorizadas a funcionar pelo Banco Central do Brasil, já participantes do Pix na modalidade liquidante especial
. .I .Motivo da apresentação ( )
( )
( )
.Pedido de adesão
Atualização cadastral de participante do Pix em operação, nos termos dispostos no art. 88
Atualização cadastral de instituição em adesão ao Pix, nos termos dispostos no art. 88
. II Caso o motivo da apresentação do formulário seja
atualização cadastral, indicar ao lado o(s) item(ns)
a ser(em) alterado(s). Caso trate-se de pedido de
adesão, não assinalar e pular para o item III
( )
( )
( )
.V - Alteração na forma de acesso à RSFN.
VII1 - Montante e tipos de contas ofertadas
VIII - Oferta do serviço de iniciação de transação de pagamento no âmbito do Open Finance, atuando como iniciador de
transação de pagamento
. . . (...) .IX - Formas de iniciação de transação de pagamento
. .III .Inscrição no CNPJ .
. .IV .Razão social2 .
. .V .Forma de conexão à RSFN (direta ou por meio de
PSTI).
( )
( )
.Direta
Por meio do seguinte PSTI:
Nome do PSTI: _____________
CNPJ do PSTI: ______________
. .VI .Oferta ou ofertará contas transacionais: ( )
( )
.Sim
Não
. .VII .Caso já oferte contas transacionais, informar nos
subitens, a seguir, o número de contas ativas de
clientes no momento do pedido de adesão ou de
atualização, nas seguintes modalidades:
.
. .VII (a) .Contas de depósito à vista .
. .VII (b) .Contas de depósito de poupança .
. .VII (c) .Contas de pagamento pré-pagas .
. .VIII .Oferta ou ofertará serviço de iniciação de
transação de pagamento no âmbito do Open
Finance, atuando como iniciador de transação de
pagamento?
( )
( )
.Sim. Nesse caso, selecionar as formas de iniciação no item IX
Não
. IX Caso a resposta para o item VIII seja "sim",
informar produtos facultativos ofertados por meio
de serviço de iniciação de transação de pagamento
por participantes do Open Finance3
(...)
(...)
(...)
(...)
.Iniciação de Pix - Inserção manual de dados da conta transacional do usuário recebedor
Iniciação de Pix - Chave Pix
Iniciação de Pix - INIC8
Iniciação de Pix - leitura de QR Code
. . . (...) .Pix Agendado
. .X .Caso a resposta para o item VIII, seja sim (vedada
a edição ou a seleção), informar oferta ou não de
Pix Automático
( ) .Pix Automático - Pagamento
. .XI .Identificação de diretor responsável pelo
atendimento às demandas do Banco Central do
Brasil relacionadas a questões concernentes ao
Pix4
.Nome:
CPF:
. .XII .Telefone da instituição para assuntos relacionados
ao Pix5
(Obs1: Informar, ao menos, um telefone)
(Obs2: Ao menos um dos telefones informados
deverá ser compartilhável com outros participantes
do Pix)
(Obs3: Não serão aceitos telefones de central de
atendimento ao consumidor ou similares)
.
. .XII (a) .Telefone 1:
Nome6:
( ) .autoriza o compartilhamento com outros participantes do Pix
. .XII (b) .Telefone 2:
Nome6:
( ) .autoriza o compartilhamento com outros participantes do Pix
. .XII (c) .Telefone 3:
Nome6:
( ) .autoriza o compartilhamento com outros participantes do Pix
. .... .... ... .
. .XIII .Endereço eletrônico (e-mail) da instituição para
assuntos relacionados ao Pix7
(Obs1: Informar, ao menos, um e-mail)
(Obs2: Informar, ao menos, um e-mail
correspondente a caixa corporativa acessível a
.
. . .mais de um usuário)
(Obs3: Ao menos um dos e-mails informados deverá
ser compartilhável com outros participantes do Pix)
(Obs4: Não serão aceitos e-mails de atendimento
.
. . .ao consumidor ou similares) .
. .XIII (a) .E-mail 1:
Nome8:
( )
( )
.autoriza o compartilhamento com outros participantes do Pix
caixa corporativa acessível a mais de um usuário
. .XIII (b) .E-mail 2:
Nome8:
( )
( )
.autoriza o compartilhamento com outros participantes do Pix
caixa corporativa acessível a mais de um usuário
. .XIII (c) .E-mail 3:
Nome8:
( )
( )
.autoriza o compartilhamento com outros participantes do Pix
caixa corporativa acessível a mais de um usuário
. .... ..... .... .
. .XIV .Caso participe ou pretenda participar de forma
direta do SPI, identificação de diretor responsável
pelo atendimento às demandas do Banco Central
do Brasil relacionadas a questões concernentes ao
SPI9
.Nome:
CPF: