Fornecedores compatíveis
A DPO2U é a camada de protocolo do compliance. Ela não escolhe o fornecedor. A PSAV e a operadora usam quem já contratam, ou quem preferirem. A DPO2U faz três coisas:
- define a interface:
TravelRuleProvider(IVMS 101.2023, Res. BCB 520, art. 44) eKycProvider(Res. BCB 520, art. 47; Circ. BCB 3.978, art. 16); - verifica a conformidade do adaptador com um kit aberto e versionado, que qualquer fornecedor pode rodar;
- atesta o resultado com a identidade do fornecedor, sem dado pessoal. No passaporte, o veredito aparece com a origem do fornecedor que a PSAV escolheu.
As tabelas abaixo são informativas e neutras. Estão em ordem alfabética, sem ranking e sem recomendação. Licença, custo e maturidade vêm de fonte pública consultada em 02/10/2026. Quando não encontramos a informação, a célula diz "não localizado". Preço muda: confirme com o fornecedor.
Travel Rule (art. 44 e art. 89)
| Opção | Tipo | Licença | Protocolos | Custo público |
|---|---|---|---|---|
| 21 Analytics | comercial, on-premise | proprietária | TRP, TRUST | não localizado |
| Autodeclaração do cliente (art. 89, § 1º, I) | regra de transição | — | — | — |
| Notabene | comercial | proprietária | TRISA, TRP, OpenVASP, Sygna (página SafeGateway) | plano gratuito até US$ 10 mil/mês enviados (notabene.id/pricing) |
| Sumsub | comercial | proprietária | próprio, GTR, CODE, Sygna, TRP | não separado do KYC |
| TRISA Envoy | código aberto, self-hosted | MIT (github.com/trisacrypto/envoy) | TRISA e TRP | software gratuito; taxa de registro na rede: não localizada |
| TRP (Travel Rule Protocol) | especificação aberta | CC BY-SA 4.0 (gitlab.com/OpenVASP) | TRP | gratuito |
Quais protocolos as PSAVs brasileiras adotaram ainda não está documentado em fonte pública. Como a etapa I do art. 89 é entre PSAVs no país, convém confirmar o protocolo da contraparte antes de escolher.
Sanções e PEP
| Opção | Tipo | Licença ou acesso | Custo público |
|---|---|---|---|
| Lista consolidada do Conselho de Segurança da ONU (scsanctions.un.org) | lista oficial (obrigatória: Res. BCB 44/2020) | pública | gratuita |
| Moov Watchman (github.com/moov-io/watchman) | motor de screening self-hosted | Apache-2.0 | gratuito |
| OFAC SDN (sanctionslistservice.ofac.treas.gov) | lista oficial (EUA) | pública | gratuita |
| OpenSanctions (opensanctions.org/licensing) | base agregada | dados CC BY-NC 4.0 (uso comercial licenciado) | € 0,10 por consulta na API |
| Portal da Transparência — PEP, CEIS, CNEP (portaldatransparencia.gov.br) | bases oficiais (CGU) | pública; a API exige cadastro | gratuita |
KYB (empresa)
| Opção | Tipo | Acesso | Custo público |
|---|---|---|---|
| BrasilAPI (brasilapi.com.br) | espelho de dados abertos | MIT | gratuito |
| Dados abertos do CNPJ (Receita Federal) | base oficial | pública (defasagem de cerca de 1 mês) | gratuita |
| Validação de assinatura ICP-Brasil ou gov.br do representante (validar.iti.gov.br) | serviço oficial (ITI) | público | gratuito |
KYC de pessoa e biometria
| Opção | Tipo | Quem contrata | Custo público |
|---|---|---|---|
| Serpro Datavalid | validação de dados e biometria contra a base oficial (Senatran) | pessoa jurídica com e-CNPJ, pela Loja Serpro | não confirmado em fonte primária |
| Sumsub | KYC comercial | qualquer empresa | US$ 1,35 a 1,85 por verificação, com mínimo mensal (sumsub.com/pricing) |
Login Único gov.br: não está disponível para empresas privadas. O serviço de integração é restrito a "órgãos da administração pública, autárquica e fundacional e Empresas Públicas" e exclui "sistemas que operam em áreas com concorrência de mercado, como é o caso dos serviços bancários" (gov.br/governodigital). A assinatura gov.br ou ICP-Brasil do cliente em uma declaração pode ser validada pelo ITI como evidência complementar.
LGPD: biometria é dado sensível. A base legal é o art. 11, II, "a" (obrigação legal) ou "g" (prevenção à fraude). Legítimo interesse não se aplica, e o tratamento exige RIPD.
Como plugar o seu fornecedor
- Implemente
TravelRuleProvidere/ouKycProvider, ou use um adaptador que já exista. - Rode o kit de conformidade da DPO2U contra o adaptador. O relatório sai com a versão da suíte e um hash.
- Registre o fornecedor escolhido para o seu tenant. Trocar de fornecedor fica registrado no histórico.
- A partir daí, cada resultado do fornecedor vira uma atestação sem dado pessoal, que o passaporte referencia com a identidade do fornecedor.
Conteúdo informativo; não é aconselhamento jurídico nem recomendação de fornecedor. Nenhum fornecedor listado tem relação comercial com a DPO2U, salvo indicação.