KYC e KYB para onboarding de merchants em marketplace — guia 2026

Em 2026, onboarding de merchants em marketplace brasileiro deixou de ser planilha de Excel e uploads em pasta compartilhada — virou pipeline regulado por Circular BACEN 3.978/2020 (prevenção a lavagem), Lei 14.063/2020 (assinatura eletrônica), LGPD pós-Lei 15.352/2026 (ANPD como agência reguladora plena) e exigências contratuais de subadquirentes Pagar.me, Mercado Pago, Adyen e Stripe. Marketplace que aceita seller sem KYB completo está em risco material: solidariedade por fraude do seller, multa ANPD por tratamento inadequado de dado pessoal de sócio, descredenciamento pelo subadquirente por inadimplência regulatória, ônus de chargeback por compra fantasma originada pelo próprio seller.

A tese contraintuitiva é esta: o objetivo do KYC/KYB não é validar identidade — é gerar um trilho de auditoria que comprove diligência razoável. Validar 100% das identidades é impossível (documento falso de alta qualidade engana qualquer biometria); demonstrar processo robusto que detectou e rejeitou o que era detectável é defensável em fiscalização. A engenharia do onboarding moderno é desenhar fluxos que produzem evidência arquivável, não fluxos que prometem certeza impossível.

Em fiscalização ANPD, BACEN ou COAF, o marketplace não é questionado se 100% dos sellers eram legítimos. É questionado se aplicou diligência proporcional ao risco. Política de onboarding com trilho documentado é o produto regulatório que protege a empresa — não o resultado individual de cada análise.

Tabela canônica — exigências KYC e KYB por perfil em 2026

Fonte: regulação vigente em maio de 2026 — Circular BACEN 3.978/2020, Lei 9.613/1998, Lei 14.063/2020, Resolução COAF 36/2021. Prazo de retenção mínimo é 5 anos para fins fiscais e 10 anos para prevenção a lavagem; o maior prevalece.

Como funciona o pipeline KYC/KYB moderno — quatro engrenagens

A primeira engrenagem é a captura digital com assinatura eletrônica. A Lei 14.063/2020 reconhece três níveis de assinatura: simples (login + senha + clique), avançada (certificado não-ICP-Brasil com prova de autoria) e qualificada (certificado ICP-Brasil tipo A1 ou A3). Para onboarding de seller, o padrão recomendado é assinatura avançada — combinação de email validado, OTP em telefone, biometria facial com prova de vida (active liveness) e aceite eletrônico do contrato. Esse stack é juridicamente robusto, cobre exigência de prova de autoria sem custo de certificado ICP-Brasil, e produz trilho auditável.

A segunda engrenagem é a validação de identidade contra fontes autoritativas. Para PF, consulta à base CPF Receita Federal (situação cadastral), Serpro Datavalid (validação de documento de identidade com biometria), bases de PEP nacionais e OFAC/UN sanctions internacionais. Para PJ, consulta a CNPJ Cartão Receita Federal (situação cadastral, QSA, atividade econômica), JUCESP/JUCERJA/outras juntas comerciais (contrato social vigente), Serasa e Boa Vista (score de crédito e protestos), bases CVM e B3 quando aplicável. Vendors brasileiros consolidados — idCerberus, Truora, Unico, Datavalid Serpro, NeoWay — empacotam essas consultas em API única.

A terceira engrenagem é o KYB recursivo até UBO (Ultimate Beneficial Owner). Quando uma PJ tem como sócio outra PJ, o KYB precisa descer a cadeia até encontrar pessoa física. A Resolução COAF 36/2021 exige identificação de UBO com participação direta ou indireta igual ou superior a 25%. Se a cadeia é offshore (sócio em jurisdição fechada), o KYB exige diligência reforçada. Marketplace que ignora KYB recursivo passa por sócios laranja sem detectar — risco de aceitar fraudador estruturado.

A quarta engrenagem é o escalonamento de risco e monitoramento contínuo. Cada seller recebe classificação de risco no onboarding (baixo, médio, alto, crítico) baseada em combinação de fatores — vertical, ticket médio esperado, geografia, perfil societário, indicadores de PEP, presença em listas de sanção, score de crédito. Sellers de baixo risco passam por revisão anual; alto risco, semestral ou trimestral; crítico, mensal com transação monitorada em tempo real. Mudanças relevantes durante o relacionamento (mudança de UBO, ingresso em processo judicial, mudança brusca de padrão transacional) disparam reanálise fora do calendário.

Quem deve operar KYC/KYB próprio versus delegado ao gateway

Operar KYC/KYB próprio em marketplace faz sentido quando:

1. Volume acima de 50 sellers ativos/mês com crescimento sustentado — a economia de escala paga vendor especializado (idCerberus, Truora, Unico).
2. Vertical regulada (saúde, fintech, gambling, criptoativos) onde KYC do gateway é insuficiente para a exigência setorial — o marketplace precisa de KYB customizado.
3. Modelo de risco compartilhado — o marketplace prefere assumir liability por fraude de seller em troca de aprovação mais rápida ou flexível.
4. Diferenciação competitiva via onboarding rápido — segmento onde "seller em 24h vs 7 dias" muda decisão de adesão.

Delegar KYC/KYB ao gateway (Pagar.me, Mercado Pago, Stripe, Adyen) faz sentido quando:

1. Marketplace de baixo volume (menos de 50 sellers/mês) — o gateway absorve o custo no MDR e cobre exigência básica.
2. Vertical horizontal de baixo risco — varejo geral, serviços profissionais, SaaS B2B simples.
3. Sem time de compliance dedicado — gateway aplica política padrão razoável e mantém atualização regulatória.
4. Modelo "marketplace facilitador" onde a relação comercial real é seller-comprador e o marketplace só intermedia — o gateway responde pelo trilho regulatório.

O erro mais comum é "fazer KYC/KYB próprio para parecer profissional" em volume baixo. O custo de manter base de dado pessoal de sócio, garantir LGPD, atualizar política regulatória e responder a fiscalização supera de longe o benefício marginal de ter cadastro próprio em volume sub-50.

Developer Experience — onboarding digital end-to-end

O fluxo canônico de onboarding em 2026 tem oito etapas em UX e quatro etapas técnicas em backend:

UX (visível ao seller)                Backend (invisível)
1. Coleta CNPJ + email
2. OTP por email ou SMS                → API call: Receita CNPJ + base PEP
3. Coleta CPF dos sócios + RG/CNH      → API call: Receita CPF + Serpro Datavalid
4. Biometria facial + prova de vida    → API call: liveness check vendor
5. Upload contrato social              → OCR + extracao QSA
6. Coleta dados bancários              → API call: validacao banco-titular
7. Aceite contrato + termo LGPD        → Assinatura avancada (Lei 14.063)
8. Confirmacao + email com proximo passo

Implementação típica em Node com vendor único (exemplo idCerberus com adaptação):

async function onboardSeller(payload) {
  // Etapa 1-2: captura inicial
  const cnpjData = await receita.consultaCnpj(payload.cnpj);
  if (cnpjData.situacao !== "ATIVA") throw new Error("CNPJ_INATIVO");
  if (cnpjData.qsa.length === 0) throw new Error("QSA_VAZIO");

  // Etapa 3-4: KYC PF dos socios majoritarios
  for (const socio of cnpjData.qsa.filter(s => s.percentual >= 25)) {
    const cpfStatus = await receita.consultaCpf(socio.cpf);
    if (cpfStatus.situacao !== "REGULAR") throw new Error(`CPF_IRREGULAR_${socio.cpf}`);

    const pepCheck = await listas.checkPep(socio.cpf, socio.nome);
    if (pepCheck.match) await flagForEnhancedDueDiligence(socio);

    const sanctionCheck = await listas.checkOfacUn(socio.nome, socio.dataNascimento);
    if (sanctionCheck.match) throw new Error("SANCAO_INTERNACIONAL");

    // Biometria com selfie + documento
    const livenessResult = await biometria.activeLiveness({
      selfieBase64: socio.selfie,
      documentBase64: socio.documento,
      cpf: socio.cpf
    });
    if (livenessResult.score < 0.85) throw new Error("BIOMETRIA_REPROVADA");
  }

  // Etapa 5: KYB UBO recursivo
  const ubos = await kyb.resolveUbos(cnpjData.qsa, { depth: 5 });
  for (const ubo of ubos.filter(u => u.tipo === "PJ_OFFSHORE")) {
    await flagForEnhancedDueDiligence(ubo); // diligencia reforcada em offshore
  }

  // Etapa 6: validacao bancaria
  const bancoCheck = await openFinance.checkAccountOwnership({
    cnpj: payload.cnpj,
    banco: payload.banco,
    agencia: payload.agencia,
    conta: payload.conta
  });
  if (!bancoCheck.cnpjMatch) throw new Error("CONTA_NAO_PERTENCE_CNPJ");

  // Etapa 7: assinatura eletronica avancada (Lei 14.063)
  const contratoSigned = await assinatura.collectAdvancedSignature({
    documento: contractTemplate(payload),
    signatarios: cnpjData.qsa.filter(s => s.tipoSocio === "ADMINISTRADOR"),
    metodoProvaAutoria: ["email_otp", "sms_otp", "biometria_facial"]
  });

  // Etapa 8: classificacao de risco e persistencia
  const riskScore = await scoring.classifyMerchant({
    cnpj: payload.cnpj,
    vertical: payload.vertical,
    tickerMedioEsperado: payload.tickerMedio,
    pepFound: ubos.some(u => u.pep),
    paisesEnvolvidos: ubos.map(u => u.pais)
  });

  await db.merchants.create({
    cnpj: payload.cnpj,
    razaoSocial: cnpjData.razaoSocial,
    qsa: cnpjData.qsa,
    ubos,
    riskClass: riskScore.class, // "baixo", "medio", "alto", "critico"
    proximaReanalise: calcularProximaData(riskScore.class),
    contratoSignedAt: contratoSigned.timestamp,
    contratoHash: contratoSigned.hash,
    contratoEvidencias: contratoSigned.evidencias // OTP logs, biometria timestamps
  });

  return { merchantId: ..., riskClass: riskScore.class };
}

Cinco regras canônicas embutidas: (a) toda chamada externa tem timeout configurado; (b) reprovação em qualquer etapa interrompe pipeline e gera evento de reprovação auditável; (c) evidências (logs OTP, scores biometria, timestamps) ficam persistidas, não só o resultado boolean; (d) classificação de risco define cadência de reanálise; (e) contrato assinado guarda hash do documento + lista de evidências para defesa em fiscalização.

Compliance, LGPD e o risco de não fazer KYB

Operar marketplace sem KYB completo de seller expõe a três riscos materiais cumulativos:

1. Solidariedade civil por fraude do seller — Código de Defesa do Consumidor (Lei 8.078/1990) responsabiliza marketplace por dano causado ao comprador quando o seller é insolvente ou inalcançável. STJ consolidou jurisprudência em decisões reiteradas. Sem KYB que comprove diligência, o marketplace responde sozinho.
2. Multa BACEN/COAF por falha em prevenção a lavagem — quando marketplace é classificado como subadquirente (Circular 3.886) ou instituição de pagamento (Resolução BCB 80), Circular 3.978/2020 exige programa KYC/KYB documentado. Falha estrutural gera multa proporcional ao porte e à omissão.
3. Multa ANPD por tratamento inadequado de dado pessoal de sócio — pós-Lei 15.352/2026, ANPD é agência reguladora plena, autônoma. Multas chegam a 2% do faturamento limitadas a R$ 50 milhões por infração. Marketplace que coleta CPF, RG, dados bancários de sócio e não tem ROPA, política de privacidade clara, base legal documentada e processo de exclusão pós-retenção legal está em risco.

O custo agregado de não fazer KYB direito não é "uma multa" — é a soma das três exposições, ao longo de 36 meses, com efeito multiplicativo quando a primeira fiscalização gera precedente que motiva as outras.

Marketplace que descobre fraude estruturada em fiscalização BACEN aprende que o custo de "ter feito KYB superficial para acelerar onboarding" supera de longe o custo de ter feito KYB direto desde o dia zero. A diferença em margem operacional não compensa o risco terminal.

Próximo passo

Para implementar KYC/KYB em 2026, o caminho prático em 7 etapas é: (1) classificar regulatoriamente o seu marketplace (subadquirente, IP, plataforma facilitadora); (2) escolher vendor único de KYC/KYB (idCerberus, Truora, Unico, Datavalid) versus integração ponta-a-ponta de fontes; (3) desenhar fluxo UX com no máximo 8 etapas visíveis, biometria com active liveness, assinatura avançada; (4) implementar KYB recursivo até UBO; (5) configurar classificação de risco e cadência de reanálise; (6) persistir evidências auditáveis (logs, hashes, timestamps); (7) revisar política de privacidade e contrato com seller para cobrir LGPD pós-Lei 15.352.

Para entender split de pagamento que depende de KYB de seller, split de pagamento. Para webhook idempotente que processa eventos pós-onboarding, webhook idempotência. Para antifraude que opera em transação de seller homologado, antifraude 3DS.

Perguntas frequentes

Qual a diferença entre KYC e KYB?

KYC (Know Your Customer) é a validação de identidade de pessoa física — cliente individual, sócio, representante legal. Inclui consulta a base CPF, biometria facial com prova de vida, validação de documento de identidade, checagem em listas PEP e sanções internacionais. KYB (Know Your Business) é a validação de identidade de pessoa jurídica — empresa que entra como seller ou cliente PJ. Inclui consulta a base CNPJ, validação de contrato social, análise de QSA, identificação de UBO até pessoa física, validação de atividade econômica compatível com o declarado. Em marketplace típico, KYB engloba KYC dos sócios identificados.

Vendor único ou múltiplos vendors para KYC/KYB?

Vendor único (idCerberus, Truora, Unico, Datavalid Serpro) entrega API unificada para Receita CPF/CNPJ, biometria, listas PEP e sanções, OCR de documento, assinatura eletrônica. Custo unitário é tipicamente mais alto, mas o overhead técnico de manter integrações é zero. Múltiplos vendors permitem otimização por etapa (ex: melhor biometria de um, melhor PEP check de outro, melhor consulta CNPJ de terceiro), com custo unitário menor mas overhead técnico significativo. Para volume abaixo de 1.000 onboardings/mês, vendor único é estritamente melhor; acima, o trade-off começa a inverter.

Posso aceitar seller sem biometria facial?

Tecnicamente sim, com risco regulatório. Circular BACEN 3.978/2020 exige "procedimentos adequados" de identificação, sem especificar biometria como obrigatória. Lei 14.063 aceita assinatura avançada com prova de autoria não-biométrica (OTP + dados pessoais validados). Mas em fiscalização, a ausência de biometria com active liveness em onboarding de seller que depois cometeu fraude é interpretada como diligência insuficiente. A prática de mercado em 2026 é incluir biometria facial em todo onboarding de seller com sócios majoritários, independente do nível regulatório.

Como tratar UBO em offshore (BVI, Cayman, Delaware)?

UBO em jurisdição offshore exige diligência reforçada conforme Resolução COAF 36/2021. O caminho prático: (a) obter certificate of incumbency atualizado da entidade offshore, com nomes dos diretores e shareholders nominees; (b) traçar a cadeia até pessoa física via documentação do registered agent local; (c) coletar declaração assinada do UBO PF, com foto, passaporte e CPF (se brasileiro) ou TIN equivalente; (d) classificar o seller como risco alto ou crítico e aplicar monitoramento transacional reforçado. Em casos de UBO não identificável (offshore opaca), a recomendação é recusar onboarding — o custo de fraude estruturada com UBO oculto supera qualquer ganho de receita.

Quanto tempo deve durar onboarding de seller em marketplace?

Depende do perfil de risco. MEI com sócio único e biometria simples: 5-30 minutos end-to-end. ME/EPP com 2-3 sócios: 30-90 minutos. PJ com sócio PJ: 1-3 dias úteis (KYB recursivo precisa consulta a junta comercial e tempo de análise humana). PJ com PEP ou em setor regulado: 3-7 dias úteis com due diligence reforçada. Marketplace que promete "seller aprovado em 2 minutos" para todos os perfis está cortando etapas regulatórias — risco contido só enquanto não acontece fiscalização ou fraude estruturada.

Posso usar KYC do gateway (Pagar.me, Mercado Pago) como meu KYC?

Parcialmente. O gateway faz KYC/KYB para fim de credenciamento do seller como Recipient/Vendedor no arranjo de pagamento. Esse KYC cobre exigência do gateway e do subadquirente, e o marketplace pode usar como evidência primária. Mas o marketplace mantém responsabilidade própria pela relação comercial seller-comprador no escopo CDC, e pelo cumprimento LGPD sobre o dado coletado dentro do seu sistema. A recomendação prática é: usar KYC do gateway como base, complementar com KYC próprio para campos não cobertos (atividade econômica detalhada, perfil de risco da vertical, dados comerciais), e formalizar em contrato a divisão de responsabilidades.

Stone não patrocina este conteúdo. Para Pagar.me em detalhe, pagar.me. Para webhook que confirma onboarding, webhook idempotência. Para o glossário canônico de termos, glossário banco do empreendedor.