Provedores de dados, como bancos e cooperativas de crédito, podem logo ser obrigados a ter APIs estruturadas para compartilhar dados de clientes, enquanto as fintechs e plataformas que recebem esses dados precisarão atender a seus próprios padrões de consentimento e uso de dados. Juntos, esses requisitos estão reformulando como os dados financeiros se movem nos EUA. Eles afastam o setor da raspagem de tela e o levam a conexões de dados auditáveis e com permissão.

A seguir, discutiremos o que a Seção 1033 envolve. Além disso, veremos como a regulamentação do open banking divide as obrigações entre provedores de dados e terceiros, e o que as empresas em ambos os lados do relacionamento precisam fazer para ficarem em conformidade.

Principais conclusões

• A Seção 1033 concede aos clientes o direito jurídico de acessar os dados financeiros e de compartilhá-los com terceiros por meio de conexões baseadas em API estruturadas em vez de raspagem de tela.

• Bancos, cooperativas de crédito, fintechs e agregadores de dados têm obrigações distintas de conformidade a respeito do acesso a dados e consentimento, conforme estipulado pela regra final.

• As empresas precisam auditar seus métodos de compartilhamento de dados, linguagem de consentimento e relacionamentos com fornecedores muito antes de os prazos de conformidade encerrarem.

O que é a Seção 1033 do CFPB?

A Seção 1033 é uma cláusula da Lei Dodd-Frank que dá aos clientes o direito legal de acessar os dados da própria conta financeira e compartilhá-los com parceiros da sua preferência. Um tribunal federal emitiu uma liminar que suspendeu a aplicação da Seção 1033 em 2025 e a regra está sob revisão.

Quais os direitos a dados financeiros do consumidor que a Seção 1033 estabelece?

A Seção 1033 concede aos clientes o direito de acessar diferentes categorias dos dados da própria conta financeira e de enviá-las a terceiros sem passar pelas interfaces do próprio banco. Algumas categorias:

• Histórico de transações e saldos de contas: os depósitos, retiradas e pagamentos que retrocedem pelo menos 24 meses.

• Termos e Condições (T&C): taxas de juros, cronograma das tarifas, limites de crédito e muito mais.

• Dados de identificação de conta: informações básicas associadas à conta, como nomes, e-mails e números de telefone.

• Detalhes de inicialização do pagamento e de contas: informações vinculadas a pagamentos futuros.

De modo geral, os clientes autorizam esse compartilhamento de dados por terceiros, e podem revogar a autorização a qualquer momento. Os provedores de dados devem garantir que a revogação seja fácil.

Quais são os principais requisitos para as instituições financeiras e terceiros segundo a Seção 1033?

A regra de open banking, que aplica a Seção 1033, define diferentes obrigações para provedores de dados e terceiros. No entanto, todos trabalham com a mesma meta: permitir que os dados se movam por canais controlados e auditáveis em vez de soluções alternativas não específicas.

Para os provedores de dados, a regra exige o seguinte:

• Interfaces dedicadas: os provedores de dados precisam criar e manter duas interfaces separadas: uma para os clientes (por exemplo, um portal bancário) e outra para os desenvolvedores parceiros autorizados (por exemplo, uma API).

• Ausência de tarifas: os provedores de dados não podem cobrar os clientes ou os parceiros pelo acesso aos dados cobertos.

• Informações de contato: os provedores de dados precisam fornecer informações aos clientes e parceiros, incluindo as informações de contato, para tirar dúvidas sobre o acesso aos dados cobertos.

Para terceiros autorizados, as obrigações funcionam na outra direção:

• Consentimento expresso: terceiros precisam obter o consentimento explícito e específico dos clientes.

• Limites de uso de dados: terceiros só podem usar os dados para a finalidade que o cliente autorizou.

• Limites de duração: a autorização expira após um ano, quando precisa ser renovada.

Como a Seção 1033 muda o ambiente de open banking?

Os EUA confiam na raspagem de tela há mais de uma década: os clientes informam as credenciais de login bancárias em um aplicativo de terceiros. Depois disso, o aplicativo faz o login e extrai dados diretamente da página da conta. Funciona, mas é um processo delicado. As reformulações dos sites dos bancos geram falhas no processo, as equipes de segurança o sinalizam como atividade de login suspeita e os dados retornados são tão bons quanto os visíveis na página da web no dia.

Em vez disso, a Seção 1033 impulsiona todo o modelo para o acesso baseado em API. Os provedores de dados precisam expor endpoints estruturados que retornam os campos de dados que a regra especifica para que terceiros parem de depender do compartilhamento de credenciais e comecem a depender de conexões limitadas e com permissão. Uma permissão da API revogada é um corte limpo de uma forma que uma sessão de login raspada normalmente não é, já que o parceiro nunca teve a senha real para começar.

O que a mudança para o acesso baseado em API significa para os agregadores de dados

Agregadores de dados financeiros (ou seja, as empresas que ficam entre os bancos e os aplicativos de fintech que os clientes usam) sentem essa mudança de maneira direta. O negócio deles foi construído com base na infraestrutura de raspagem em sites de bancos, e a regra os empurra para APIs padronizadas, o que significa menos manutenção do raspador.

O que isso significa para plataformas de fintech

As plataformas de fintech que dependem de agregadores para verificação de conta, avaliação de risco de empréstimo ou recursos de orçamento sentirão essa mudança mesmo sem tocar na camada da API, pois a confiabilidade e a qualidade do que recebem mudam com ela. Os dados que costumavam chegar de modo inconsistente agora chegam por uma interface definida com campos definidos. Uma plataforma que toma decisões em tempo real baseada nesses dados (por exemplo, ao aprovar um empréstimo ou ao sinalizar uma conta para análise) precisa dessa consistência tanto quanto a exigência jurídica que as sustenta.

O que as empresas precisam fazer para se preparar para a Seção 1033?

As empresas em ambos os lados do relacionamento de compartilhamento de dados, quer estejam criando a interface, quer estejam consumindo dados por meio de uma, têm muito trabalho a fazer antes dos prazos aplicáveis que não estão definidos atualmente.

Estas são algumas etapas necessárias que elas precisam seguir:

• Mapear métodos atuais de compartilhamento de dados: identifique todos os lugares em que a empresa envia ou recebe os dados financeiros de clientes por meio de raspagem de tela, compartilhamento de credenciais ou acesso informal por API. Sinalize quais dessas relações estão no escopo da regra.

• Revisar a linguagem do consentimento: as solicitações de autorização precisam informar sua finalidade de forma clara o suficiente para que o cliente entenda com o que está concordando. Isso significa que a linguagem genérica, como "precisamos acessar sua conta", não vai se sustentar.

• Auditar práticas de retenção de dados: os requisitos de minimização de dados significam que as empresas precisam de uma resposta real a quanto tempo mantêm dados de clientes e por quê.

• Avaliar terceiros e relacionamentos com fornecedores: as empresas precisam entender como seus parceiros lidam com os dados que recebem.

• Confirmar datas de conformidade aplicáveis: as empresas devem verificar seus cronogramas específicos segundo a orientação atual do CFPB. Os prazos são escalonados pelo tamanho da instituição e mudaram em meio a desafios jurídicos.

Quais ferramentas podem ajudar na conformidade com a Seção 1033?

As empresas não precisam criar infraestrutura de API ou gestão de consentimento do zero. Algumas categorias de ferramentas cobrem a maior parte do que a regra exige:

• Ferramentas de acesso a dados com permissão: conectam-se diretamente às instituições financeiras por meio de APIs em vez de raspagem de tela. Isso retorna dados estruturados de contas e transações sob uma conexão autorizada pelo cliente.

• Sistemas de gestão de consentimento e autorização: rastreiam com o que o cliente concordou, quando e com qual finalidade. Isso é importante, considerando os requisitos da regra em relação à divulgação em linguagem simples e fácil revogação.

• Ferramentas de verificação de identidade: ajudam os provedores de dados a confirmar se a solicitação vem de terceiros autorizados e não de um impostor. Esse é um risco real, já que o acesso à conta muda de um relacionamento de agência física para uma chamada da API.

A combinação certa depende do lado da relação de dados em que a empresa se encontra e da proporção da infraestrutura atual dela que já funciona por APIs ou por métodos de integração mais antigos. Uma empresa que já usa um provedor de pagamento para verificação de conta ou transferências bancárias provavelmente tem menos a reconstruir do que uma que ainda depende de uploads manuais de documentos ou sessões de login raspadas.

Como o Stripe Financial Connections pode ajudar

O Stripe Financial Connections é um conjunto de APIs que permite conectar-se com segurança às contas bancárias dos seus clientes e recuperar seus dados financeiros, possibilitando a criação de produtos e serviços financeiros inovadores.

O Financial Connections pode ajudar você a:

• Simplificar o onboarding: ofereça um processo contínuo e instantâneo de verificação de conta bancária que não exige verificação manual de identidade e de conta.

• Acessar dados financeiros abrangentes: recupere informações completas sobre as contas bancárias dos seus clientes, incluindo saldos, transações e dados da conta.

• Automatizar pagamentos recorrentes: permita que seus clientes vinculem suas contas bancárias com segurança para pagamentos recorrentes, melhorando as taxas de sucesso de pagamento.

• Aprimorar a gestão de risco: analise os dados financeiros dos clientes para tomar decisões mais informadas sobre crédito, empréstimos e outros produtos financeiros.

• Cumprir as regulamentações: O Financial Connections ajuda você a atender aos requisitos de Conheça Seu Cliente (KYC) e de Prevenção à Lavagem de Dinheiro (PLD).

• Inovar com confiança: crie novos produtos e serviços financeiros sobre a infraestrutura segura e confiável do Financial Connections.

Saiba mais sobre o Financial Connections ou comece hoje mesmo.